 TechNet Magazine May 2007

TechNet Magazine May 2007

Communications: Explorez de nouvelles capacités de messagerie mobile avec Exchange 2007

La messagerie mobile a modifié la façon dont les gens travaillent et, par conséquent, la sécurité des périphériques mobiles est devenue une préoccupation plus importante. Découvrez comment Exchange Server 2007 améliore l’expérience utilisateur et vous aide à gérer un personnel de plus en plus mobile.

Yee-Chen Tjie Communications: Une meilleure conformité avec Exchange Server 2007

Le besoin de protéger les biens de l’entreprise et d’assurer la conformité aux réglementations impose un fardeau significatif aux départements d’informatique. Découvrez comment certaines nouvelles fonctionnalités d’Exchange Server 2007 peuvent vous aider à protéger les données et à assurer la conformité aux réglementations.

Alan Maddison Gestion des identités: Générer un flux de travail de mise en service à étape unique

Vous recherchez un système de mise en service basé sur le Web ? Découvrez comment vous pouvez utiliser MIISWorkflow pour générer un système de mise en service des utilisateurs automatisé et à étape unique se basant sur Microsoft Identity Lifecycle Manager 2007

Aung Oo Administration de Windows: Simplifiez l’administration de la stratégie de groupe avec Windows PowerShell

Windows PowerShell est conçu pour vous faciliter grandement la tâche. Voyez comment les API de la GPMC écrites pour les langages de Windows Scripting Host peuvent être directement consommées depuis Windows PowerShell, vous simplifiant grandement la gestion de la stratégie de groupe

Thorbjörn Sjövold Administration de Windows: Un manuel de déploiement de services Terminal Server

Il existe de nombreux avantages à exécuter des applications d’entreprise de façon centralisée et commencer à les utiliser est désormais d’une facilité étonnante. Voici ce que vous devez savoir afin d’activer des services Terminal Server sur Windows Server 2003 et les mettre en œuvre dans toute votre organisation.

James D. Silliman De la part de l’éditeur: Sécurité à emporter

Joshua Trupin Lettres: Réponses à vos questions

Boîte à outils: Nouveaux produits pour les professionnels de l’informatique

Greg Steen Forum aux questions sur SQL: Best Practices Analyzer, processeurs multinoyaux et plus encore

Edited by Nancy Michell Coup de projecteur sur les utilitaires: Boîte à outils de mise à niveau pour les sites et modèles SharePoint

Luis Câmara Manoel and Peter Skjøtt Larsen L’informatique: Élaboration d’un plan d’activités

Stephen Ibaraki Le petit câbleur: EAPHost dans Windows

Joseph Davies Windows PowerShell: La connexion WMI

Don Jones Hé, vous le scripteur !: Les fleurs éclosent. Les dialogues surgissent. C’est le printemps.

The Microsoft Scripting Guys File d'attente Exchange: Délais d’expiration d’OWA, dépannage avec cmdlet et bien plus encore

KC Lemson and Nino Bilic Vigilance sécurité: Protection d’accès réseau

John Morello Histoires de Bureau: Nouvelle exploration des Services de déploiement Windows

Wes Miller Sur le terrain: Se tenir informé

Joshua Hoffman La vie secrète de Windows: Déterminer ce qui est fréquemment utilisé

Raymond Chen


 Communications: Explorez de nouvelles capacit&#233;s de messagerie mobile avec Exchange&#160;2007
Communications Yee-Chen Tjie

Explorez de nouvelles capacités de messagerie mobile avec Exchange 2007
Vue d'ensemble:
  • Configuration de périphériques mobiles
  • Application de stratégies
  • Messagerie avancée
  • Accès à des fichiers mobiles

Il y a quelques années seulement, il était peu courant et complexe d’accéder au courrier électronique de l’entreprise depuis un autre endroit que son ordinateur de bureau. Aujourd’hui, non seulement les gens s’attendent à avoir un accès distant à leur messagerie, mais
il n’est pas rare de voir des personnes équipées d’un périphérique de messagerie mobile assises dans un café. La messagerie mobile a modifié la façon dont les gens travaillent. Elle a permis aux employés nomades de devenir plus efficaces dans leur travail lorsqu’ils sont en déplacement.
Pourtant, en raison de ces avancements récents dans la technologie de la messagerie mobile, la sécurité des périphériques mobiles est devenue une préoccupation majeure. Les entreprises cherchent de meilleures façons de protéger leurs données sensibles résidant sur des périphériques mobiles.
L’introduction d’Exchange Server 2003 et d’une technologie appelée Exchange ActiveSync® ont fourni la possibilité pour un périphérique Windows Mobile® (téléphone Pocket PC ou Smartphone) de se connecter de façon sécurisée à Exchange Server 2003 à l’aide de HTTPS. Cependant, une gestion des périphériques mobiles était nécessaire. Avec la publication d’Exchange Server 2003 Service Pack 2 (SP2) et du pack de fonctionnalités messagerie et sécurité sur Windows Mobile 5.0, il devint possible de définir une stratégie globale affectant tous les périphériques Windows Mobile se connectant à Exchange. Ces stratégies permettaient des codes PIN obligatoires d’une durée spécifiée, des périodes d’inactivité avant de nécessiter l’entrée du code PIN et un nettoyage du périphérique après un nombre spécifié de tentatives de codes PIN échouées.
Exchange Server 2003 SP2 ajouta également la possibilité de nettoyage à distance avec l’outil Exchange Mobile Admin, illustré à la figure 1. Cet outil accordait aux administrateurs la possibilité d’émettre une commande de nettoyage pour un périphérique Windows Mobile perdu. Lors de la connexion suivante du périphérique à Exchange, le périphérique exécutait une réinitialisation matérielle, effaçant ainsi tout le contenu de la mémoire du périphérique.
Figure 1 Outil Exchange Mobile Admin pour le nettoyage des périphériques
Figure 1 Outil Exchange Mobile Admin pour le nettoyage des périphériques
Cela constituait un bon départ dans la gestion des périphériques mobiles et de la sécurité, pourtant il restait un certain nombre d’exigences en matière de sécurité à satisfaire. Exchange Server 2007 aide à combler ces lacunes.

Configuration et application des périphériques
Exchange ActiveSync est activé par défaut pour tous les utilisateurs de boîtes aux lettres dans Exchange Server 2007. Si vous souhaitez que cette fonction soit activée pour un sous-ensemble d’utilisateurs seulement, commencez par la désactiver pour tous les utilisateurs. La console de gestion Exchange ne vous permet pas de désactiver un groupe d’utilisateurs pour ActiveSync, mais vous pouvez le faire facilement en utilisant une commande Exchange Management Shell comme celle-ci :
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Cette commande récupère toutes les boîtes aux lettres sur un serveur Exchange 2007 et transfère les informations dans une commande Set-CASMailbox pour désactiver ActiveSync pour toutes les boîtes aux lettres existantes.
L’étape suivante implique la construction de stratégies de boîtes aux lettres ActiveSync Exchange pour votre organisation. Le nombre de stratégies construites dépendra des divers profils de sécurité de vos utilisateurs. Par exemple, un analyste financier qui reçoit des informations financières sensibles par message électronique peut avoir besoin d’une stratégie de sécurité de périphérique plus rigoureuse qu’un utilisateur général.
Pour configurer la stratégie ActiveSync, accédez à l’arborescence de navigation de la console de gestion Exchange et sélectionnez Accès au client en dessous du conteneur Configuration organisationnelle. Dans le volet Actions, sélectionnez Nouvelle stratégie de boîte aux lettres Exchange ActiveSync.
Dans la boîte de dialogue Nouvelle stratégie de boîte aux lettres Exchange ActiveSync, des stratégies flexibles peuvent être créées pour les paramètres qui décident d’autoriser ou non le téléchargement de pièces jointes sur un périphérique ou d’autoriser les périphériques non configurables (voir la figure 2). Les périphériques configurables sont des périphériques Windows Mobile qui sont capables d’appliquer des stratégies spécifiées. Les périphériques non configurables sont ceux qui peuvent appliquer uniquement un sous-ensemble de la stratégie (ou aucun).
Figure 2 Stratégies de boîte aux lettres Exchange Server 2007 ActiveSync
Figure 2 Stratégies de boîte aux lettres Exchange Server 2007 ActiveSync
Les autres fonctions sont la capacité de configurer des paramètres pour le chiffrement et la récupération du mot de passe. Si l’option Exiger le chiffrement sur le périphérique est activée, tous les fichiers sur les cartes de stockage du périphérique seront cryptés. L’option Exiger la récupération du mot de passe permet à un utilisateur de récupérer le code PIN du périphérique via Outlook® Web Access 2007.
Considérez vos stratégies de mot de passe pour les périphériques très soigneusement avant de les appliquer. Les codes PIN longs et complexes fournissent une meilleure sécurité, mais ils peuvent rendre les périphériques plus difficiles à utiliser. Pour déterminer la force d’un mot de passe et la période d’expiration avant qu’un code PIN soit nécessaire, il convient de trouver un bon équilibre entre la sécurité et l’utilité. L’activation des options Expiration des mots de passe et Conserver l’historique des mots de passe peut également augmenter la sécurité, mais elle risque de d’embêter les utilisateurs si le suivi des mots de passe et des codes PIN devient trop complexe.
Les stratégies de boîte aux lettres Exchange Server 2007 ActiveSync aident à améliorer la sécurité des périphériques, mais certaines de ses fonctions nécessitent Windows Mobile 6.0, qui vient tout juste de devenir disponible sur les périphériques. Parmi les fonctions illustrées dans la figure 2, Conserver l’historique des mots de passe et Expiration des mots de passe (jours) requièrent tous la nouvelle version. Cependant, vous pouvez tout de même tirer parti des nouvelles stratégies flexibles Exchange Server 2007 pour cibler des utilisateurs qui utilisent des périphériques avec Windows Mobile 5.0 installé.
Une fois vos stratégies définies, vous pouvez les appliquer aux utilisateurs. Dans la console de gestion Exchange, accédez à Configuration du destinataire et sélectionnez Boîte aux lettres. Choisissez l’utilisateur de la boîte aux lettres que vous souhaitez activer pour une stratégie ActiveSync et sélectionnez Propriétés dans le volet Actions. Accédez à l’onglet Fonctionnalités de boîte aux lettres et double-cliquez sur Exchange ActiveSync. Dans la boîte de dialogue Propriétés Exchange ActiveSync, cliquez sur le bouton Parcourir et sélectionnez la stratégie ActiveSync que vous souhaitez appliquer à l’utilisateur (voir la figure 3). Vous pouvez répéter ces étapes pour appliquer des stratégies différentes à des utilisateurs différents ou vous pouvez utiliser la commande Exchange Management Shell suivante pour appliquer une stratégie à un groupe d’utilisateurs :
Figure 3 Application d’une stratégie de boîte aux lettres ActiveSync
Figure 3 Application d’une stratégie de boîte aux lettres ActiveSync
Set-CASMailbox –Activesyncmailpolicy
L’étape finale consiste à former vos utilisateurs finaux et votre support technique. Prévenez vos utilisateurs qu’un code PIN de longueur spécifiée sera nécessaire sur leurs périphériques lorsqu’ils se connecteront à Exchange Server 2007 (voir la figure 4). Apprenez-leur les stratégies de sécurité s’appliquant à eux pour qu’ils ne voient pas ces modifications comme un obstacle à leur travail quotidien.
Figure 4 La stratégie de boîte aux lettres ActiveSync nécessite un code PIN
Figure 4 La stratégie de boîte aux lettres ActiveSync nécessite un code PIN
Il vous faudra également leur présenter une nouvelle capacité d’Exchange Server 2007 : le nettoyage distant en libre-service à l’aide d’Outlook Web Access 2007. Si un utilisateur perd son périphérique, il peut déclencher un nettoyage du périphérique via le lien Options d’Outlook Web Access, sans contacter le support technique (voir la figure 5). Ceci peut être très utile si un périphérique est perdu en dehors des heures ouvrées normales.
Figure 5 Gestion d’un périphérique via Outlook Web Access
Figure 5 Gestion d’un périphérique via Outlook Web Access
Pour finir, montrez à votre support technique comment nettoyer les périphériques à distance. Ceci se fait facilement en ouvrant la console de gestion Exchange, en accédant à la Configuration du destinataire et en sélectionnant Boîte aux lettres. Ensuite, vous choisissez les utilisateurs pour lesquels vous souhaitez déclencher un nettoyage et vous sélectionnez Gérer le périphérique mobile dans le volet Actions. L’interface Gérer le périphérique mobile est illustrée à la figure 6. Notez qu’un utilisateur peut avoir plus d’un périphérique Windows Mobile connecté à Exchange 2007, veillez donc à sélectionner le bon lorsque vous lancez un nettoyage.
Figure 6 Nettoyage du périphérique d’un utilisateur à distance
Figure 6 Nettoyage du périphérique d’un utilisateur à distance

Gestion et recherche de courrier électronique
Windows Mobile 6.0 vous permet de lire les messages électroniques dans le format HTML, de définir des notifications d’absence du bureau (voir la figure 7) et de marquer des messages électroniques. Lorsque les messages électroniques sont marqués sur un périphérique Windows Mobile 6.0, ils sont traités de la même façon que lorsque vous marquez un message électronique dans Outlook. Au lieu de marquer des messages électroniques comme non lus pour que vous les suiviez, vous pouvez maintenant les marquer et utiliser les capacités avancées d’Outlook pour leur donner suite lorsque vous revenez à votre bureau. La lecture des messages électroniques dans HTML constitue un avantage non seulement pour l’utilisateur du périphérique, mais aussi pour d’autres destinataires du thread de message électronique. Lorsque vous répondez à un message électronique à l’aide de Windows Mobile 6.0, le message électronique n’est pas converti en texte de base, ce qui améliore l’expérience des autres destinataires du message électronique qui utilisent également Outlook.
Figure 7 Message d’absence du bureau
Figure 7 Message d’absence du bureau
Des améliorations significatives ont été apportées aux fonctions de calendrier avec Windows Mobile 6.0. Vous pouvez maintenant transférer, répondre ou répondre à tous au sein d’une entrée de calendrier, ou encore voir l’état d’acceptation de tous les invités.
Windows Mobile 6.0, utilisé en conjonction avec Exchange Server 2007, fournit deux nouvelles capacités en rapport avec la recherche et l’accès aux documents mobiles. L’un des défis soulevés par l’utilisation des périphériques mobiles est la capacité de stockage limitée. Pour cette raison, de nombreux utilisateurs gardent seulement les messages électroniques sur leurs périphériques pendant un à trois jours. Les utilisateurs choisissent souvent de s’emparer des messages dans un dossier de leur boîte de réception. Une telle approche minimaliste peut être un problème lorsque vous souhaitez accéder à des messages plus anciens ou à des messages qui sont stockés dans des dossiers différents dans votre boîte aux lettres.
Avec Windows Mobile 6.0, un utilisateur peut exécuter une recherche par voie hertzienne sur l’ensemble de sa boîte aux lettres grâce au moteur de recherche et d’index d’Exchange Server 2007. Une recherche de message électronique peut être lancée à partir de mots-clés sur plusieurs dossiers (voir la figure 8). Une extraction en temps réel des messages électroniques des résultats de la recherche peut ensuite être exécutée.
Figure 8 Recherche de message électronique par voie hertzienne
Figure 8 Recherche de message électronique par voie hertzienne

Accès à des documents mobiles
Avec l’évolution des logiciels de collaboration sur des documents, tels que Sharepoint® et les limites sur les tailles maximales des messages électroniques autorisées pour le transport, les utilisateurs finaux joignent moins de documents à leurs messages électroniques et envoient plus de liens vers des partages de fichiers et des sites Sharepoint. À moins que vous ne puissiez vous connecter à votre réseau d’entreprise par un réseau privé virtuel (VPN), l’accès à ces documents par l’intermédiaire d’un périphérique peut sembler impossible. Pour l’employé nomade, ceci peut être un obstacle.
Windows Mobile 6.0 et Exchange Server 2007 permettent aux utilisateurs d’accéder à leurs données en passant par des partages de fichiers UNC et des sites Sharepoint, qui peuvent être accessibles dans le mode lecture seule. Exchange Server 2007 peut transmettre par proxy des requêtes pour ces documents de la part du périphérique Windows Mobile (voir la figure 9). Même sans une connexion VPN au réseau de l’entreprise, les utilisateurs ne sont pas restreints à accéder uniquement à des documents joints à des messages électroniques ; ils peuvent au contraire obtenir tout document résidant dans les partages de fichiers ou sur les sites Sharepoint.
Figure 9 Accès au document via des liens UNC
Figure 9 Accès au document via des liens UNC
Pour administrer l’Accès aux documents mobiles, ouvrez la console de gestion Exchange et sélectionnez Accès au client sous Configuration du serveur dans l’arborescence de navigation. Accédez ensuite à l’onglet ActiveSync, sélectionnez l’objet Microsoft-Server-ActiveSync et cliquez sur Propriétés dans le volet Actions. Sous l’onglet Serveurs de fichiers distants, vous pouvez configurer la liste verte et la liste rouge pour les noms d’hôtes de sites Sharepoint et de serveurs de fichiers.
Cela fait, retournez à votre stratégie de boîte aux lettres Exchange ActiveSync et assurez-vous que les cases correspondant à Partages de fichiers Windows® et Services SharePoint Windows sont cochées (Figure 10).
Figure 10 Activation de l’accès au document
Figure 10 Activation de l’accès au document
À présent, vous êtes en passe de fournir un meilleur accès aux documents pour tous vos utilisateurs de périphériques Windows Mobile.

Résumé
À l’époque actuelle du travail à distance, les périphériques Windows Mobile offrent des façons puissantes d’accéder aux informations n’importe quand et n’importe où. La sécurité et la gestion des périphériques mobiles sont devenues des préoccupations majeures pour les services informatiques. Exchange Server 2007, avec Windows Mobile 6.0, facilite la création et le ciblage de stratégies pour les périphériques Windows Mobile qui peuvent aider à résoudre les problèmes tout en fournissant une fondation pour les nouvelles capacités destinées aux employés à distance.
Ressources pour Windows Mobile
Un certain nombre de ressources sont à votre disposition si vous souhaitez en savoir plus sur le déploiement d’Exchange Server 2007 et sur la messagerie Windows Mobile.
  • Exchange Server TechCenter
  • Principes de base de l’Accès mobile à Exchange 2007
  • Gestion d’Exchange ActiveSync
  • Laboratoires virtuels Windows Mobile
  • SDK de Windows Mobile 6

Yee-Chen Tjie est spécialiste technique pour Microsoft en Nouvelle-Angleterre. Il se concentre sur la mobilité et les solutions de communication unifiées.
© 2007 Microsoft Corporation et CMP Media, LLC. Tous droits réservés. Toute reproduction, totale ou partielle, est interdite sans autorisation préalable.


 Communications: Une meilleure conformit&#233; avec Exchange&#160;Server&#160;2007
Communications Alan Maddison

Une meilleure conformité avec Exchange Server 2007
Vue d'ensemble:
  • Dossiers gérés
  • Règles de transport
  • Classification de messages
  • Journalisation

Les analystes estiment que jusqu’à 75 % des documentations d’entreprise sont créés et communiqués à l’aide de messages électroniques. Une quantité significative de la propriété intellectuelle de votre entreprise réside donc sans doute sur vos serveurs de messagerie. Cela donne des responsabilités accrues
aux administrateurs qui gèrent les serveurs de messagerie, qui sont devenus le réceptacle d’une bonne partie de vos données critiques d’entreprise. De plus, le nombre grandissant de réglementations fédérales et locales (aux États-Unis et dans d’autres pays) qui spécifient des cadres légaux pour l’archivage et la rétention de données d’entreprise rendent cette tâche encore plus complexe et plus critique.
Le besoin de protéger les biens de l’entreprise et d’assurer la conformité aux réglementations impose un fardeau significatif. En concevant Exchange Server 2007, Microsoft a implémenté plusieurs modifications et de nouvelles fonctionnalités pour améliorer grandement les capacités de conformité d’Exchange, tout en facilitant la gestion. Dans cet article, je présente les modifications clés d’Exchange Server 2007 qui vous aideront à être conforme aux réglementations.

Comprendre la conformité
Avant d’explorer Exchange Server 2007, je dois aborder les exigences auxquelles le logiciel répond. Il existe généralement trois grands domaines d’exigences de conformité : la rétention d’informations, le contrôle d’accès et l’intégrité des données. Par exemple, aux États-Unis, la règle SEC 17A-4 spécifie les stratégies de conservation des données pour certains membres de la Bourse, les courtiers et les négociants, et elle oblige les entreprises financières à pouvoir capturer, indexer, archiver, rechercher et récupérer leurs messages électroniques. Le contrôle de l’accès aux données est incorporé dans un grand nombre de lois américaines connues, comme les lois HIPAA (Health Insurance Portability and Accountability Act), GLB (Gramm-Leach-Bliley Act) et SB 1386 (California Senate Bill 1386). Les lois HIPAA et GLB encadrent la sécurité et la confidentialité de données personnelles, alors que la loi SB 1386 mandate la divulgation publique des violations de la sécurité informatique impliquant des données confidentielles.
De plus, les exigences d’intégrité de données ont été incorporées dans d’autres lois importantes, comme la loi SOX (Sarbanes-Oxley), le PATRIOT Act et Basel II. Mais ces lois phares ne constituent qu’une goutte d’eau dans l’océan. Certaines estimations indiquent que 35 000 lois sont appliquées dans le monde. Il existe clairement une motivation élevée pour que les entreprises contrôlent les risques associés aux moyens de rétention d’informations, de contrôle d’accès aux données et de maintien de l’intégrité des données. En tant qu’administrateur, comment pouvez-vous donc gérer ces risques, et que pouvez-vous faire pour vous conformer à toutes ces obligations légales ?
La première étape est de décrire les stratégies de conformité et de rétention. L’étape suivante est d’implémenter et de gérer ces stratégies de façon continue. Exchange Server 2007 peut vous aider à promulguer ces stratégies, par l’usage de dossiers gérés, de la classification de messages, de l’agent de règles de transport et de l’agent de journalisation.

Dossiers gérés
La conservation des données (ou la gestion d’enregistrements) constitue une partie critique de votre infrastructure de conformité. Exchange Server 2007 a fait un grand pas en avant concernant la gestion des données par les administrateurs. Dans Exchange Server 2007, la gestion des enregistrements est basée sur trois principes : les messages obsolètes sont supprimés, les messages nécessaires sont conservés et les utilisateurs sont responsables de la classification de leurs propres messages.
La plupart des administrateurs d’Exchange connaissent les stratégies du Gestionnaire de boîtes aux lettres d’Exchange Server 2003, qui pouvaient s’appliquer à toutes les boîtes aux lettres. Dans Exchange Server 2007, les dossiers gérés fournissent aux administrateurs une manière centralisée de créer et de déployer de nouveaux dossiers par défaut ou personnalisés qui ne peuvent pas être déplacés, renommés ou, dans la plupart des cas, supprimés. A l’aide du SDK, il est également possible de créer des applications Web libre-service qui permettent aux utilisateurs de choisir quels dossiers devraient être ajoutés à leurs boîtes aux lettres.
Comme l’illustre la figure 1, la console de gestion Exchange fournit une approche basée sur un Assistant pour la création de dossiers. (Cette fonctionnalité est également exposée par le cmdlet New-ManagedFolder d’Exchange Management Shell.)
Figure 1 Utilisation de la console de gestion Exchange pour créer un nouveau dossier
Figure 1 Utilisation de la console de gestion Exchange pour créer un nouveau dossier
Cela lance l’Assistant affiché à la figure 2. Le processus de création de dossiers est très simple : il vous suffit de saisir le nom et la description du dossier et d’appuyer ensuite sur le bouton Nouveau. Une fois le dossier créé, vous recevez une confirmation.
Figure 2 Un Assistant intuitif facilite la création d’un nouveau dossier géré
Figure 2 Un Assistant intuitif facilite la création d’un nouveau dossier géré
Une fois la stratégie de conservation des données en place, vous devez fournir aux utilisateurs un moyen de trier et d’enregistrer leurs messages, qui garantie que les données sont retenues en conformité avec les exigences de votre entreprise. Imaginez que vous avez besoin de déployer trois dossiers personnalisés à vos utilisateurs pour qu’ils puissent identifier les courriers sur trois, cinq ou sept années de rétention. Une fois que vous avez créé les dossiers gérés, l’étape suivante consiste à appliquer des paramètres de contenu à chaque dossier. Pour ce faire, utilisez l’Assistant des Paramètres de contenu géré.
L’administrateur de messagerie est maître du paramétrage de l’expiration du contenu (exprimée en jours) et de l’action à entreprendre concernant le contenu une fois qu’il arrive à expiration. Vous avez le choix entre cinq actions différentes :
  • Supprimer et autoriser la récupération
  • Marquer comme limite de rétention passée
  • Déplacer vers un dossier personnalisé géré
  • Déplacer vers le dossier Éléments supprimés
  • Supprimer définitivement
Il y a trois paramètres auxquelles vous devez prêter une attention particulière lors de la configuration de ces paramètres. Le premier est la valeur de l’expiration de message ; puisqu’il est exprimé en jours, prenez en compte les années bissextiles. Les responsables de l’entreprise (je ne parle même pas des juges) n’apprécieront pas que le contenu soit supprimé plus tôt que prévu, même si ce n’est qu’un jour en avance. Le deuxième paramètre est le début de la période d’expiration. C’est généralement le jour où le message a été livré à la boîte aux lettres, à moins que votre équipe juridique ne vous donne d’autres instructions. Le troisième paramètre est l’action à exécuter une fois le contenu arrivé à expiration. La méthode recommandée est de toujours supprimer l’élément d’une façon permanente. Les Paramètres du contenu vous permettent également d’effectuer une journalisation des messages en les transférant à une adresse SMTP.
Les dossiers gérés sont appliqués aux boîtes aux lettres en utilisant les stratégies de boîte aux lettres de dossier géré. La console de gestion Exchange fournit un autre Assistant pour créer ces stratégies. Les stratégies vous permettent de sélectionner et de grouper des dossiers multiples. Cela vous permet de lier des dossiers multiples à une stratégie unique.
Généralement, vous appliquez la stratégie de boîte aux lettres de dossier géré pendant la création de boîte aux lettres. Comme alternative, vous pouvez utiliser Exchange Management Shell pour appliquer une stratégie à une boîte aux lettres existante en utilisant le cmdlet Set-Mailbox. Admettons que vous souhaitez appliquer une stratégie de boîte aux lettres de dossier géré appelée rétention à un compte de messagerie avec l’alias USER1. Pour ce faire, utilisez la commande suivante :
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
Les dossiers gérés et les paramètres de contenu correspondant fournissent un mécanisme puissant pour gérer la rétention et le processus de conformité. Non seulement il permet aux utilisateurs de trier les messages électroniques pertinents et de stocker des données dans les dossiers qui sont gérés de façon centralisée, mais il permet également la journalisation de ces éléments pour assurer qu’en cas de requête de découverte ou d’ordre de préservation, vous pourrez vous conformer facilement à la requête d’un tribunal.

Règles de transport
Il y a deux agents de Règles de transport dans Exchange Server 2007. Sur le plan de la conformité, cependant, seul l’agent qui s’exécute sur les serveurs de transport Hub est important. Cet agent vous aide à appliquer des règles de conformité basées sur la stratégie aux messages circulant à travers votre organisation Exchange. (L’agent Règles de serveur de transport Edge, quant à lui, vous aide à protéger votre entreprise contre le spam et les virus.)
Voici la liste des exigences les plus communes en termes de réglementations et de conformité auxquelles doivent se plier les administrateurs :
  • Limiter l’interaction entre les différents groupes d’expéditeurs et de destinataires
  • Empêcher le contenu inopportun d’entrer ou de sortir de l’entreprise
  • Filtrer les informations confidentielles
  • Assurer le suivi ou archiver les messages qui sont envoyés et reçus par des utilisateurs et des groupes spécifiques
  • Rediriger les messages entrants et sortants pour inspection avant leur livraison
  • Appliquer des exclusions
Le serveur de transport Hub a été choisi pour cet agent en raison du rôle qu’il joue dans une topologie Exchange 2007. Les modifications apportées à la topologie d’Exchange 2007 sont significatives et, par conséquent, Exchange est maintenant intégré beaucoup plus solidement à la topologie d’Active Directory®. Au cours de la circulation des messages à travers l’entreprise, ils seront traités à un moment donné à l’aide d’un serveur de transport Hub. Ce serveur de transport Hub interrogera Active Directory pour la configuration actuelle des règles de transport et appliquera les règles à tous les messages qu’il contrôle.
Toutes les règles de transport configurées sur un serveur de transport Hub seront copiées à l’ensemble des autres serveurs de transport Hub à l’aide du service Active Directory. Il vous faut comprendre comment votre site et la topologie influeront sur la réplication, puis vous devrez déterminer comment déployer rapidement une règle à travers toute l’entreprise.
Par ailleurs, vous ne devez pas oublier qu’un serveur de transport Hub maintient un cache de destinataires pour la recherche de liste de distribution et de destinataires. L’intervalle d’actualisation, réglé par défaut sur quatre heures, affectera le moment auquel les règles seront appliquées à vos messages.
Les règles de transport sur les serveurs de transport Hub évaluent toutes les demandes de réunion, ainsi que tous les messages normaux, chiffrés ou protégés par des droits qui sont envoyés entre utilisateurs authentifiés. Tous les messages électroniques envoyés anonymement sont évalués, peu importe le type de message, de l’expéditeur ou du destinataire.
Chaque règle de transport contient les composants suivants : conditions, exceptions et actions. Les conditions sont utilisées pour indiquer quels attributs de message (en-têtes, destinataires ou expéditeurs) sont utilisés dans le processus d’identification du message. Une fois qu’un message remplit toutes les conditions d’une règle particulière, les actions sont appliquées à moins que le message ne corresponde à une exception configurée. Les exceptions sont facultatives. Lorsqu’une exception est configurée, elle empêche n’importe quel message qui remplit l’un des critères d’exception d’être traité par la règle de transport. Les actions, qui sont un composant requis pour chaque règle de transport, spécifient comment un message devrait être traité. La figure 3 propose une liste d’actions disponibles qui peuvent être appliquées sur la base des règles de transport qui sont configurées sur un serveur de transport Hub.
Figure 3 Actions disponibles pour les règles de transport sur un serveur Hub (Close Figure 3)

Action | Nom de l’action | Description
Enregistrer un événement avec le message | LogEvent | Ajoute un événement dans le journal des applications de l’ordinateur local.
Ajouter une chaîne à l’objet | PrependSubject | Ajoute une chaîne au début du champ d’objet du message.
Appliquer la classification de messages | ApplyClassification | Applique une classification de messages au message.
Ajouter un texte d’exclusion | ApplyDisclaimer | Applique une exclusion au message.
Déterminer le niveau de confiance du spam | SetScl | Détermine le niveau de confiance de spam (SCL) sur un message.
Déterminer l’en-tête | SetHeader | Crée un nouveau champ d’en-tête de message ou modifie un champ d’en-tête de message existant.
Supprimer l’en-tête | RemoveHeader | Supprime le champ spécifié d’en-tête de message d’un message.
Ajouter un destinataire dans les adresses du champ À | AddToRecipient | Ajoute un ou plusieurs destinataires à la liste d’adresses du champ À du message. Les destinataires originaux peuvent voir l’adresse supplémentaire.
Copier le message à d’autres adresses | CopyTo | Ajoute un ou plusieurs destinataires en copie (Cc) du message. Les destinataires originaux peuvent voir l’adresse originale.
Ajouter au message des adresses en copie invisible | BlindCopyTo | Ajoute un ou plusieurs destinataires du message électronique en copie invisible (Bcc) dans la liste d’adresses du message électronique.
Rediriger le message à d’autres adresses | RedirectMessage | Redirige le message à un ou plusieurs destinataires spécifiés par l’administrateur. Le message n’est pas livré au destinataire ou aux destinataires originaux, et aucune notification n’est envoyée aux destinataires ou à l’expéditeur.
Envoyer un message de retour à l’expéditeur avec un code d’état étendu | RejectMessage | Supprime le message et envoie une notification de non-livraison à l’expéditeur. Le destinataire ne reçoit pas le message ni la notification.
Supprimer le message sans avertissement | DeleteMessage | Supprime le message. La notification n’est pas envoyée au destinataire ou à l’expéditeur.
Pour créer une règle de transport, vous pouvez utiliser la console de gestion Exchange et l’Assistant des Règles de transport illustrés à la figure 4. Comme alternative, vous pouvez utiliser Exchange Management Shell pour écrire le script de la création de règles.
Figure 4 Lancez l’Assistant de Règles de transport pour configurer une règle de transport sur un serveur de transport Hub
Figure 4 Lancez l’Assistant de Règles de transport pour configurer une règle de transport sur un serveur de transport Hub
Notez qu’il est également possible d’utiliser le SDK pour écrire des agents de transport personnalisés qui traitent des messages sur la base des événements SMTP à l’intérieur d’Exchange. Mais ce n’est pas une partie de plaisir.

Classification de messages
Le nouvel outil de Classification de messages utilise les métadonnées pour décrire l’usage ou l’auditoire voulu d’un message spécifique. Côté client, ces métadonnées peuvent être utilisées par Outlook® Web Access (OWA) ou Outlook 2007 pour afficher une description de la classification lisible par l’utilisateur. Côté serveur, les agents de Règles de transport peuvent agir sur un message en se basant sur sa classification.
Les classifications par défaut de messages comprises dans Exchange Server 2007 sont : Privilégié avocat-client, Pièce jointe supprimée, Confidentiel à l’entreprise et Interne à l’entreprise. Cependant, la majorité des entreprises voudront créer leurs propres classifications. Vous pouvez créer de nouvelles classifications en utilisant le cmdlet newMessageClassification dans Exchange Management Shell. Par exemple, si vous avez besoin de limiter l’accès aux données financières, vous pourriez créer une classification de messages appelée Financier-Confidentiel :
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Notez que si seulement trois paramètres sont obligatoires (Name, DisplayName et SenderDescription), vous devez au moins ajouter RecipientDescription pour atteindre un niveau de base de fonctionnalité. La figure 5 indique cette nouvelle classification qui est maintenant répertoriée dans l’interface OWA.
Figure 5 La liste de classifications de messages inclut celle que vous venez de créer (Financier-Confidentiel)
Figure 5 La liste de classifications de messages inclut celle que vous venez de créer (Financier-Confidentiel)
Cette commande n’utilise pas le paramètre local et devrait donc s’appliquer à tous les paramètres locaux de votre organisation Exchange. Si vous prenez en charge des opérations globales, vous voudrez probablement spécifier vos classifications de messages personnalisées pour chaque paramètre local.
De plus, il ne vous faut pas oublier de déterminer correctement les autorisations sur les classifications. Par défaut, les autorisations de lecture sont attribuées aux utilisateurs authentifiés pour toute nouvelle classification de messages créée. Cependant, vous devez segmenter les classifications de messages pour que les utilisateurs aient uniquement accès aux classifications de messages qui sont appropriées à leurs rôles. Notez également que chaque classification peut avoir une priorité relative aux autres classifications de messages. Cette priorité spécifie le tri des descriptions et détermine quelles classifications sont associées à un message transféré ou répondu.
Une fois que vous avez créé les classifications nécessaires, l’étape suivante consiste à créer les règles de transport qui utilisent les classifications. (Ces classifications de messages n’ont bien sûr pas besoin d’être apparentées à une action : elles peuvent être simplement informatives.) Comme la figure 6 l’illustre, vous disposez de beaucoup d’options en combinant les classifications de messages avec les règles de transport. J’ai créé une règle de transport qui contrôle les messages de type Financier. Si un message est marqué comme tel, l’agent de règles de transport examine les destinataires. Si l’un des destinataires n’est pas membre du groupe de distribution du Département financier, le message est renvoyé à l’expéditeur avec un message de non-livraison personnalisé.
Figure 6 Création d’une règle de transport pour les messages de type Financier
Figure 6 Création d’une règle de transport pour les messages de type Financier
La classification de messages peut également être utilisée pour appliquer des « murs éthiques » dans votre entreprise. Par exemple, il est parfois nécessaire de limiter les communications entre certains individus et certains départements. La classification de messages peut être utilisée à cet effet.

Agent de journalisation
Dans l’optique d’assurer la conformité, la journalisation peut être une arme puissante, bien que parfois complexe. Heureusement, Exchange Server 2007 offre des capacités de journalisation beaucoup plus flexibles. Il prend maintenant en charge les deux journalisations standard (au niveau de la base de données de la boîte aux lettres) et la nouvelle journalisation étendue (par destinataire), qui active la journalisation pour les utilisateurs individuels et les groupes de distribution. Cela simplifie énormément le processus de conformité aux requêtes, tel que les blocages ou les ordres de préservation émis par un tribunal. De plus, vous avez plus de contrôle sur l’impact qu’aura la journalisation sur le stockage et la performance.
Par exemple, l’une des nouvelles options les plus flexibles prend la forme d’une prise en charge de la journalisation basée sur des groupes de distribution dynamiques. Disons que votre entreprise a un besoin continu de placer un blocage sur les messages électroniques de certains individus. Cela pourrait être le cas pour une investigation interne des RH ou d’un procès. Avec un groupe dynamique de distribution, l’administrateur peut ajouter des utilisateurs à un groupe établi qui est déjà journalisé ou les en supprimer. Cela permet une configuration rapide et facile pour fournir une journalisation ad hoc.
A l’aide de la console de gestion Exchange et de l’Assistant de Groupe de distribution dynamique, vous pouvez sélectionner le conteneur d’utilisateur et, comme illustré à la figure 7, filtrer les boîtes aux lettres incluses sur la base de la valeur de certains attributs d’Active Directory. En sélectionnant l’un des attributs personnalisés (toujours dans la figure 7), l’administrateur peut contrôler quels utilisateurs sont journalisés en ajoutant ou en supprimant cette valeur.
Figure 7 Utilisation de l’Assistant de Groupe de distribution dynamique pour configurer les règles de journalisation
Figure 7 Utilisation de l’Assistant de Groupe de distribution dynamique pour configurer les règles de journalisation
Pour une description en détails de la journalisation dans Exchange 2007, référez-vous à l’article de David Strome intitulé « Une journalisation plus puissante dans Exchange 2007 » (décembre 2006). Vous pourrez trouver des informations supplémentaires dans « Aperçu général de la journalisation ».

Alan Maddison est consultant senior dans le département de technologie Microsoft chez MTI Technology Corporation. Ses domaines de spécialisation sont Active Directory, Exchange Server et la virtualisation.


 Gestion des identit&#233;s: G&#233;n&#233;rer un flux de travail de mise en service &#224; &#233;tape unique
Gestion des identités Aung Oo

Générer un flux de travail de mise en service à étape unique
Vue d'ensemble:
  • Utilisation de MIISWorkflow
  • Mise en œuvre et configuration
  • Extension de MIISWorkflow

Si cela fait un certain temps que vous recherchez une interface Web permettant la demande et l’approbation de comptes et que votre organisation utilise Microsoft Identity Lifecycle Manager 2007 (ILM 2007, anciennement Microsoft Identity Integration Server 2003),
alors l’application MIISWorkflow pourrait vous fournir une solution simple et efficace. MIISWorkflow fait partie du MIIS 2003 Resource Tool Kit 2.0 et est disponible depuis décembre 2004. Bien que ce ne soit pas nécessairement une solution complète pour chaque environnement, c’est un bon point de départ pour générer une application personnalisée qui convient aux besoins de votre organisation.
MIISWorkflow fournit des fonctionnalités de mise en service basées sur les approbations pour ILM 2007 en intégrant une application Web. C’est un système de mise en service à étape unique basé sur les flux de travail qui accepte les demandes des utilisateurs et les dirige vers des approbateurs (généralement des gestionnaires) dotés de l’autorité suffisante pour prendre des décisions concernant des demandes spécifiques. En fonction de la décision de l’approbateur, ILM procède à la mise en service du compte utilisateur dans les annuaires connectés à l’aide des règles métier définies dans ILM.
Cette application peut seulement faciliter un flux de travail à étape unique ; elle ne peut pas créer de fonctionnalités complexes, telles qu’un processus d’approbation à étapes multiples avec des chemins parallèles ou un processus de flux de travail avec une interface graphique. Si votre organisation ne nécessite pas ces fonctionnalités complexes de flux de travail, vous pouvez utiliser l’échantillon MIISWorkflow fourni par le MIIS Resource Tool Kit pour mettre une solution en place.
Je me concentrerai ici sur le service Ressources humaines d’une entreprise fictive. En général, les systèmes RH sont la source faisant autorité pour toutes les informations concernant les employés d’une organisation donnée. Cependant, si ces systèmes ont d’habitude des données détaillées pour les employés permanents, ils manquent souvent d’informations sur les travailleurs temporaires, tels que les fournisseurs et les étudiants-stagiaires. Les données contenues dans un système RH ne suivent pas forcément quels utilisateurs du système disposent d’un accès, y compris les informations de comptes utilisateur. Je vous montrerai comment générer un système de suivi simple pour les travailleurs temporaires au sein d’une organisation.

S’appuyer sur MIISWorkflow
Les organisations peuvent profiter du MIISWorkflow, notamment en créant une application qui fonctionne conjointement aux systèmes RH existants. Lorsqu’un nouvel employé est engagé, les informations utilisateur sont ajoutées au système RH. Vous pouvez concevoir des flux ILM qui envoient des informations à la base de données MIISWorkflow, puis utiliser l’application de flux de travail pour diriger ces informations utilisateur vers les approbateurs avant qu’ILM ne mette en service le compte dans les annuaires connectés.
Si votre organisation n’utilise pas de système RH pour suivre les travailleurs temporaires, l’application MIISWorkflow peut servir de source de données faisant autorité afin de gérer leurs comptes dans les annuaires d’entreprise. Puisque l’application de flux de travail réduit la paperasserie administrative requise pour l’obtention des approbations, les utilisateurs n’ont pas à attendre plusieurs jours pour accéder à des comptes dans les annuaires et les applications. Vous pouvez également utiliser MIISWorkflow pour activer la révocation rapide des accès, améliorant ainsi la sécurité de l’organisation.
MIISWorkflow peut également être utilisé comme outil d’audit pour suivre le nombre de systèmes auxquels un utilisateur peut accéder, les dates de demande et d’arrêt pour chaque compte, ainsi que le demandeur et l’approbateur de chaque compte. La capacité à produire des rapports avec un historique de compte détaillé peut faciliter la conformité d’une organisation aux lois réglementaires, telles que Sarbanes-Oxley et HIPAA.
L’application MIISWorkflow fonctionne sous IIS et utilise les fonctions d’intégration des annuaires et de mise en service d’ILM 2007 pour mettre les comptes en service ou les arrêter dans les annuaires connectés. Les composants de l’application de flux de travail incluent un ensemble de pages Web ASP.NET, une base de données SQL Server™, un agent de gestion et une banque de stratégies d’autorisation (voir la figure 1). L’application utilise SQL Server pour le stockage de données, Active Directory® pour l’authentification et une banque de stratégies avec Windows® Authorization Manager (plus connu sous le nom d’AzMan) pour l’autorisation.
Figure 1 Architecture de l’application MIISWorkflow
Figure 1 Architecture de l’application MIISWorkflow
L’application peut être étendue et personnalisée en utilisant C# et ASP.NET. MIISWorkflow se compose de ces cinq pages .aspx : Approbation du fournisseur, historique du fournisseur, demande du fournisseur, état du fournisseur et mise à jour du fournisseur. Ces pages permettent aux administrateurs de demander, mettre à jour, approuver et suivre l’état de chaque compte utilisateur du système. Notez que, par défaut, l’application MIISWorkflow est définie pour utiliser IIS Integrated Windows Authentication afin de tirer parti de Kerberos.
L’application de flux de travail déclenche ILM en fonction de l’action de l’approbateur, puis ILM met en service ou arrête les comptes utilisateur des annuaires connectés à l’aide des règles définies. Tout de suite après qu’une action ait été prise sur la demande, l’application déclenche ILM, ce qui permet aux demandes de ne pas attendre le cycle de synchronisation suivant d’ILM pour effectuer une mise en service ou un arrêt dans les annuaires connectés.
L’application de flux de travail exige que la base de données MIISWorkflow stocke les informations des comptes utilisateur. Ceci est distinct de la base de données où ILM stocke les informations du métaverse, mais il est configuré sur la même instance SQL Server. Lorsque les utilisateurs autorisés demandent un compte via l’application de flux de travail, les informations sont enregistrées par MIISWorkflow. Les informations s’affichent ensuite par le biais d’une page Web ASP.NET lorsqu’un approbateur accède à la page. MIISWorkflow stocke également des historiques d’actions et d’autres informations concernant le compte dans la base de données. ILM importe ces informations de la base de données MIISWorkflow en utilisant un agent de gestion SQL Server fourni avec l’application et met en service ou arrête le compte, selon le cas.
AzMan, utilisé par MIISWorkflow pour l’autorisation, fournit le contrôle d’accès basé sur les rôles (RBAC) pour gérer des tâches que les utilisateurs sont autorisés à exécuter dans l’application en fonction des rôles qui leur sont attribués. (Voir go.microsoft.com/fwlink/?LinkId=85825 pour plus d’informations sur RBAC). Après l’authentification d’un utilisateur dans Active Directory (ce qui donne accès à ce dernier) l’application de flux de travail vérifie les rôles définis dans la banque d’autorisations d’AzMan afin d’autoriser les opérations qu’un utilisateur peut exécuter. Il y a deux rôles prédéfinis pour l’application : Demandeur de fournisseur et approbateur de fournisseur. Les utilisateurs ou les groupes dotés du rôle de demandeur de fournisseur peuvent seulement insérer une demande via l’application, mais ceux dotés du rôle d’approbateur de fournisseur peuvent créer des demandes et les approuver ou les refuser.
La stratégie d’autorisation de l’application MIISWorkflow est stockée dans un fichier XML. Les utilisateurs et groupes de Windows, ou bien les groupes d’application peuvent être attribués à des rôles définis. Les groupes d’application permettent à une demande LDAP d’effectuer une vérification du service d’exécution de l’objet de compte Active Directory ou Active Directory Application Mode (ADAM) d’un utilisateur en fonction de la valeur de l’attribut ; l’utilisateur est dans le groupe, de telle sorte que (department=‘marketing’), par exemple, renvoie la valeur true.

Description de l’application
Les administrateurs d’application contrôlent l’accès à l’application à l’aide d’AzMan. Selon la façon dont est utilisée l’application dans votre organisation, vous pouvez accorder un rôle de demandeur de fournisseur à tous les utilisateurs du domaine ou seulement à certains groupes. Le rôle d’approbateur de fournisseur doit seulement être accordé aux utilisateurs et aux groupes qui disposent de l’autorité pour approuver ou refuser des demandes. Ce sont généralement les administrateurs RH sélectionnés, de même que les administrateurs système et de groupe, qui possèdent ce rôle. Par défaut, l’application MIISWorkflow utilise l’authentification Windows intégrée IIS comme méthode d’authentification, pour que l’application authentifie les utilisateurs via leurs informations d’identification du bureau de Windows (ceci signifie que les utilisateurs ne seront pas à nouveau invités à donner leurs informations pour s’authentifier auprès de l’application).
Un utilisateur dans le rôle de demandeur de fournisseur peut faire pointer le navigateur vers la page de demande de fournisseur dans les informations de candidature et d’offre concernant ce dernier, afin de demander un compte pour ce fournisseur. La figure 2 montre la page de demande de fournisseur.
Figure 2 Page Nouvelle demande de fournisseur
Figure 2 Page Nouvelle demande de fournisseur
La personne occupant le rôle de demandeur remplit les informations pertinentes concernant le fournisseur et envoie la demande. Il y a un lien pour approuver les demandes et un autre pour vérifier l’état de la page, mais les demandeurs ne peuvent pas accéder à la page de l’approbateur, à moins qu’ils occupent également le rôle d’approbateur de fournisseur. Un demandeur peut cliquer sur le lien État du fournisseur pour afficher ses propres demandes, mais ne pourra pas afficher l’état des demandes envoyées par d’autres.
Seul un approbateur de fournisseur a accès à la page d’approbation de fournisseur de l’application, où il peut approuver ou refuser la demande après avoir examiné les informations. La figure 3 montre l’interface de la page Web Approbation de fournisseur.
Figure 3 Page Approbation de fournisseur
Figure 3 Page Approbation de fournisseur
Un approbateur de fournisseur peut voir les demandes envoyées par tous les demandeurs. Tout approbateur de fournisseur peut approuver la demande, une seule approbation ou un seul refus étant nécessaire pour diriger la demande vers l’étape suivante. La demande disparaîtra de la page d’approbation de fournisseur une fois que l’approbateur aura réalisé l’action nécessaire. Ceci réduit les actions d’approbation redondantes.
Pour examiner de nouvelles demandes et prendre les mesures nécessaires sur les demandes en attente suivant les exigences de l’organisation, un approbateur doit régulièrement accéder à la page d’approbation de fournisseur, car il n’y a pas de mécanisme de notification dans l’application indiquant à l’approbateur l’existence de nouvelles demandes ou d’un journal. Dès que l’approbateur approuve ou refuse la demande provenant de cette page, l’application déclenche ILM et les comptes sont mis en service ou arrêtés dans les annuaires connectés en fonction de l’action de l’approbateur.
Figure 4 Page État du fournisseur
Figure 4 Page État du fournisseur
L’état des demandes en attente et les enregistrements des demandes achevées peuvent être suivis sur la page État du fournisseur (voir la figure 4). Un demandeur peut entreprendre plusieurs actions à partir de cette page. Vous pouvez afficher vos propres demandes, y compris des informations telles que l’identifiant d’un employé, son prénom, nom, service, état et dernière date de modification. Vous pouvez également modifier les informations existantes, afficher l’historique et arrêter le compte d’un fournisseur. Vous pouvez modifier le prénom, le nom et le service, ainsi qu’envoyer à nouveau ces informations pour approbation. Pour finir, vous pouvez afficher un journal des actions prises sur la demande, de même que la date et l’heure de chacune d’entre elles à partir de la page Historique du fournisseur (voir la figure 5).
Figure 5 Page Historique du fournisseur
Figure 5 Page Historique du fournisseur
Grâce à l’application MIISWorkflow, l’arrêt des comptes est transparent, car elle permet à un demandeur de mettre fin aux comptes d’un fournisseur à partir de la page État du fournisseur. Le demandeur peut cliquer sur le lien Arrêter pour immédiatement désactiver ou supprimer les comptes de fournisseur dans les annuaires connectés. L’avantage de cette capacité à mettre fin aux comptes de fournisseur à partir de l’application de flux de travail est que les administrateurs système n’ont pas à chercher les comptes de fournisseur dans chaque annuaire et à les supprimer manuellement. Puisque l’application MIISWorkflow déclenche tout de suite ILM pour arrêter ces comptes dans les annuaires connectés, il n’y a pas de décalage dans la suppression de ces comptes.

Configuration de l’application
La configuration de l’application MIISWorkflow implique la définition d’un compte de service et de la base de données de l’application, la configuration d’ILM pour travailler avec l’application de flux de travail, ainsi que celles d’IIS et de la banque de stratégies. Pour simplifier ce processus, l’application contient des scripts et des fichiers de configuration prégénérés.
L’application MIISWorkflow est fournie avec un fichier de requêtes T-SQL visant à faciliter le processus de création d’une base de données MIISWorkflow. Vous pouvez charger le fichier de requêtes dans l’Analyseur de requêtes et exécuter la requête pour automatiquement créer la base de données.
La configuration d’IIS implique la création d’un nouvel ensemble d’applications IIS et d’un annuaire virtuel, ainsi que la définition d’une authentification et d’un contrôle d’accès pour héberger les pages ASP.NET. L’application est également fournie avec un fichier XML doté de rôles prédéfinis pour configurer une banque de stratégies d’autorisation. Vous pouvez attribuer des utilisateurs et des groupes à des rôles existants et créer de nouveaux rôles à l’aide du MMC d’AzMan.
L’étape finale consiste à configurer l’agent de gestion d’ILM pour extraire des données de la base de données MIISWorkflow et les exporter vers ILM. Pour ce faire, vous devez importer la configuration de l’agent de gestion dans le fichier XML et copier un fichier d’extension prégénéré pour l’agent de gestion SQL Server. Le fichier XML et le fichier d’extension de l’agent de gestion sont tous deux fournis avec l’application. Un fichier Lisezmoi, accompagné d’instructions détaillées, explique la configuration de chacune de ces étapes.

Extension de l’application
L’application MIISWorkflow constitue un point de départ pour le développement d’une intégration de flux de travail simple avec MIIS et vous devrez peut-être effectuer quelques opérations de personnalisation pour étendre cette application. Outre les simples modifications, telles que celles apportées aux pages Web, il existe de nombreuses autres façons d’étendre cette application.
Vous pourriez ajouter une fonctionnalité de notification pour qu’un approbateur puisse recevoir un message électronique lorsqu’il y a une demande en attente. Cette fonctionnalité pourrait également envoyer un message de rappel à l’approbateur, après un certain nombre de jours, si aucune action n’a été effectuée sur la demande. Si les informations sur les utilisateurs fournies par la page par défaut ne sont pas suffisantes, vous pouvez ajouter des champs à la page de demande de fournisseur, ainsi qu’à la page de mise à jour de fournisseur. Vous pouvez ajouter d’autres rôles à l’application, comme un rôle d’auditeur qui permettrait à un utilisateur de voir l’historique de chaque demande, et pas seulement celles qui ont été envoyées.
Les fonctionnalités de flux de travail plus complexes, telles qu’un flux de travail à étapes multiples et la capacité à concevoir un flux de travail à l’aide d’un concepteur graphique, débordent du cadre de cette application. Cependant, vous pouvez utiliser Windows Workflow Foundation pour développer une application plus robuste avec des fonctionnalités de flux de travail complexes.
Vous trouverez le MIIS Resource Tool Kit sur go.microsoft.com/fwlink/?LinkId=85829. Téléchargez-le dès aujourd’hui et commencez à générer vos propres solutions de flux de travail sur les identités.

Aung Oo est un expert technique de la gestion des identités pour Microsoft Consulting Services (MCS). Aung conçoit, développe et déploie des solutions d’annuaires d’entreprise et de gestion des identités pour des clients à la fois commerciaux et gouvernementaux depuis la première version de Microsoft Identity Management


 Administration de Windows: Simplifiez l’administration de la strat&#233;gie de groupe avec Windows PowerShell
Administration de Windows Thorbjörn Sjövold

Simplifiez l’administration de la stratégie de groupe avec Windows PowerShell
Vue d'ensemble:
  • Qu’est-ce que Windows PowerShell ?
  • Méthode de gestion précédente des GPO
  • Migration des scripts vers Windows PowerShell

La technologie Microsoft Group Policy n’a pas pris du jour au lendemain : elle était assez difficile à saisir et exigeait que vous adoptiez Active Directory, un étrange nouveau service qui ne ressemblait pas du tout aux domaines Compte/Ressource qui étaient la norme à l’époque. Aujourd’hui, la stratégie de groupe
est la colonne vertébrale de gestion de presque toutes les organisations dotées d’une infrastructure Windows®. J’ai le sentiment que c’est exactement ce qui arrivera avec Windows PowerShell™, la technologie de gestion de Microsoft la plus récente. En fait, Windows PowerShell va probablement faciliter de manière significative votre tâche en tant qu’administrateur de stratégie de groupe.
Dans cet article, je montre comment les API de la Console de gestion des stratégies de groupe (GPMC) de Microsoft® écrites pour les langages Windows Scripting Host comme VBScript (et les langages de script basés sur COM en général) peuvent être directement consommés à partir de Windows PowerShell pour simplifier la façon dont vous gérez la stratégie de groupe dans votre environnement.

Tâches de la stratégie de groupe des scripts
Lorsque Microsoft a lancé la GPMC il y a quelques années, les administrateurs de la stratégie de groupe ont soudain eu plusieurs fonctionnalités pratiques à leur disposition. Ceci est le cas du composant logiciel enfichable MMC centré sur la stratégie de groupe, lequel constituait un net progrès en termes de gestion de cet élément, en particulier par rapport aux utilisateurs et ordinateurs Active Directory®. De plus, il y avait une API tout neuve qui permettait aux administrateurs d’utiliser les langages basés sur COM (tels que VBScript) pour réaliser l’administration des tâches de la stratégie de groupe, comme la sauvegarde et la restauration des Objets de stratégie de groupe (GPO), leur migration entre domaines, la configuration des paramètres de sécurité sur les GPO et les liens, ainsi que l’établissement de rapports.
Malheureusement, la GPMC ne permettait pas d’éditer les véritables paramètres configurés au sein des Objets de stratégie de groupe. En d’autres termes, vous pouviez exécuter des opérations sur le conteneur de GPO, telles que lire les versions des GPO et les dates de modification, créer des GPO tout neufs, sauvegarder et restaurer/importer des GPO à partir de domaines différents, etc., mais vous ne pouviez pas ajouter ou modifier le contenu du GPO par programmation, comme par exemple ajouter un nouveau dossier redirigé ou une nouvelle installation de logiciel. Ce que vous faisiez plutôt en général était de créer le GPO, configurer manuellement tous les paramètres à l’aide de l’Éditeur d’objet de stratégie de groupe, puis de le sauvegarder et de l’importer dans un environnement de test. Lorsque tout était vérifié et fonctionnait convenablement, vous l’importiez dans un environnement réel. Même si cette fonctionnalité manquait, l’usage de scripts à la place de l’interaction manuelle avec l’API du GPMC réduisait considérablement le temps, les efforts et les erreurs dans l’administration quotidienne de la stratégie de groupe.

Prochaine étape
En quoi Windows PowerShell est-il différent des langages de script comme VBScript ? Pour commencer, Windows PowerShell est un noyau et, au moins pour ce qui nous concerne, vous pouvez comparer un noyau à un interpréteur de ligne de commande. Bien que VBScript puisse s’exécuter à partir de la ligne de commande, un fichier VBScript ne peut pas être exécuté ligne par la ligne. Un script Windows PowerShell, par contre, peut être immédiatement créé comme une série de commandes individuelles. De plus, Windows PowerShell dispose de fonctions dont le comportement s’apparente beaucoup à des sous-routines VBScript, ce qui peut être créé en temps réel au niveau de l’invite de commande de Windows PowerShell.
Encore mieux, Windows PowerShell est construit sur Microsoft .NET Framework, tandis que VBScript se base sur la technologie COM plus ancienne. Cela signifie que la vaste quantité de code .NET produite aujourd’hui peut être directement utilisée à partir de Windows PowerShell.
Pour résumer, avec Windows Powershell, vous avez une prise en charge complète du script et un mode interactif, tout en un. Les exemples que je donne ici seront tous des saisies de lignes de commande, pour que vous puissiez taper en lisant ; cependant, ils fonctionneront tout aussi bien si vous les mettez dans un fichier script Windows PowerShell et que vous exécutez ce dernier.

Recréez d’anciens scripts à l’aide de Windows PowerShell
La dernière chose que vous voulez faire lorsque vous commencez à utiliser une nouvelle technologie est de vous débarrasser du travail que vous avez déjà accompli. Il existe trois approches pour accéder à des objets COM à partir de l’API de la GPMC ou simplement pour réemployer l’ancien VBScript. Vous pouvez sélectionner l’une de ces trois options :
  • Créer un cmdlet Windows PowerShell en utilisant un langage de programmation, tel que C# ou C++ géré.
  • Utiliser Windows PowerShell pour accéder au ScriptControl dans MSScript.ocx pour encapsuler de vieux scripts.
  • Encapsuler les appels de COM dans des fonctions Windows PowerShell réutilisables ou appeler directement les objets COM.
Je vais me focaliser principalement sur la troisième option, mais penchons-nous d’abord rapidement sur toutes les options.

Création d’un cmdlet Windows PowerShell
Microsoft a inclus un grand nombre de cmdlets dans Windows PowerShell, vous permettant de copier des fichiers, formater les résultats, récupérer la date et l’heure, etc., mais vous pouvez également créer vos propres cmdlets. Ce processus est entièrement décrit à l’adresse msdn2.microsoft.com/ms714598.aspx. Pour résumer, voici la marche à suivre :
  • Créez une DLL de bibliothèque de classes dans un langage de programmation .NET, tel que C#.
  • Créez une nouvelle classe et héritez du cmdlet de la classe de base.
  • Définissez des attributs qui déterminent le nom, l’usage, les paramètres d’entrée, etc., puis ajoutez votre code.
Étant donné que Windows PowerShell est construit sur .NET Framework, tous les types (que ce soit une chaîne, un objet, etc.) renvoyés ou passés comme des paramètres ont exactement le même code que dans Windows PowerShell ; aucune conversion spéciale n’est requise.
Le véritable avantage de cette solution est que vous avez un langage de programmation complet à votre disposition.

Encapsulage d’anciens scripts à l’aide de l’objet ScriptControl de MSScript.ocx
Pour exécuter un fichier VBScript, vous avez bien sûr besoin du moteur VBScript. Ce qui est moins évident est que ce moteur est un objet COM et, puisque vous pouvez utiliser des objets COM à partir de Windows PowerShell, vous pouvez invoquer le moteur VBScript. Voici ce à quoi cela pourrait ressembler :
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Si vous entrez ce code dans l’Interface de ligne de commande (CLI) de Windows PowerShell, la fonction ShowMessage de VBScript est appelée et exécutée avec un paramètre, entraînant l’affichage d’une Boîte de message indiquant Hello World.
Maintenant, certains d’entre vous pourraient penser : « Génial ! Je sais désormais utiliser COM à partir de Windows PowerShell. Je peux arrêter de lire cet article et commencer à remplir l’objet ScriptControl avec mon ensemble de vieux scripts de la GPMC ». Malheureusement, ce n’est pas le cas. Cette technique devient rapidement très complexe et difficile à déboguer dès que la taille des scripts augmente.

Encapsulage des objets COM
La meilleure option est donc la troisième : Encapsuler les appels COM dans des fonctions Windows PowerShell réutilisables, ce qui vous permet de consommer les objets COM dans l’API de la GPMC. La ligne ci-dessous montre comment créer un objet .NET directement dans Windows PowerShell. Dans ce cas, c’est un objet FileInfo qui peut être utilisé pour obtenir la taille du fichier :
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Notez que # est utilisé dans Windows PowerShell pour les commentaires incorporés. À l’aide de cet objet FileInfo nouvellement instancié, vous pouvez obtenir facilement la taille de boot.ini en tapant simplement le code suivant :
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Mais attendez, n’étions-nous pas censés ne pas parler des objets COM et de la conversion VBScript ? Oui, mais regardez la commande suivante :
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
Vous remarquerez que la syntaxe est en gros identique à celle que j’ai utilisée précédemment pour créer des objets natifs à partir de .NET Framework, à deux différences près. D’abord, j’ai ajouté le commutateur -ComObject qui fait pointer Windows PowerShell vers le monde COM au lieu du monde .NET. Ensuite, j’utilise un COM ProgID au lieu d’un constructeur .NET, dans ce cas Scripting.FileSystemObject. Le ProgID a le même nom que vous avez toujours utilisé. Dans VBScript, l’équivalent serait :
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Pour obtenir la taille de fichier en utilisant VBScript, ajoutez la ligne ci-dessus à un fichier avec le code suivant :
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
Ensuite, exécutez-la à l’aide de Cscript.exe, par exemple. Dans Windows PowerShell, vous le feriez comme ceci (directement à partir de la ligne de commande Windows PowerShell si vous le souhaitez) :
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Bien sûr, pour convertir un VBScript qui lit la taille d’un fichier, j’aurais pu utiliser le cmdlet Windows PowerShell qui gère les objets dans des lecteurs, mais j’ai voulu vous montrer combien il est facile d’accéder à COM à partir de Windows PowerShell. Notez que même si je dis à Windows PowerShell de créer un objet COM, l’objet qui est en fait créé, ici $comFileSystemObject, est un objet .NET qui encapsule l’objet COM et expose son interface. Cependant, pour ce qui nous intéresse dans cet article, cela n’a pas vraiment d’importance.

Windows PowerShell en action
Maintenant que vous avez vu comment accéder à COM à partir de Windows PowerShell, centrons-nous sur la stratégie de groupe. Les exemples décrits ici montreront des extraits de code courts pour vous donner une idée de l’utilisation des API de la GPMC à partir de Windows PowerShell, mais vous trouverez un ensemble complet de fonctions Windows PowerShell dans le téléchargement du code associé à cet article, à l’adresse technetmagazine.com/code07.aspx. La figure 1 liste les fonctions comprises dans ce téléchargement.
Figure 1 Fonctions de personnalisation du téléchargement (Close Figure 1)

Nom de la fonction | Description
BackupAllGpos | Sauvegarde tous les GPO dans un domaine
BackupGpo | Sauvegarde un seul GPO
RestoreAllGpos | Restaure tous les GPO d’une sauvegarde vers un domaine
RestoreGpo | Restaure un seul GPO d’une sauvegarde
GetAllBackedUpGpos | Récupère la dernière version des sauvegardes de GPO d’un chemin donné
CopyGpo | Copie les paramètres d’un GPO dans un autre GPO
CreateGpo | Crée un nouveau GPO vide
DeleteGpo | Supprime un GPO
FindDisabledGpos | Renvoie tous les GPO où l’utilisateur et la partie informatique sont tous deux désactivés
FindUnlinkedGpos | Renvoie tous les GPO qui n’ont pas de lien
CreateReportForGpo | Crée un rapport XML pour un seul GPO dans un domaine
CreateReportForAllGpos | Crée un rapport XML séparé pour chaque GPO dans un domaine
GetGpoByNameOrID | Trouve un GPO par son nom d’affichage ou son identifiant
GetBackupByNameOrId | Trouve une sauvegarde de GPO par son nom d’affichage ou son identifiant
GetAllGposInDomain | Renvoie tous les GPO dans un domaine
Lorsque vous lirez cette section, n’hésitez pas à démarrer la ligne de commande Windows PowerShell et à taper les commandes. N’oubliez pas cependant que certaines commandes dépendent des commandes précédentes. En d’autres termes, certains des objets créés à l’origine seront utilisés plus tard, restez donc dans la même session Windows PowerShell. Si vous fermez la session, vous devrez tout recommencer de zéro et retaper toutes les commandes.
Donc, créons un nouveau GPO en utilisant Windows PowerShell. L’équipe de stratégie de groupe chez Microsoft a inclus à la GPMC plusieurs exemples VBScript fonctionnant parfaitement, dont vous pouvez tirer parti pour accélérer le processus. Ils se trouvent dans le répertoire %ProgramFiles%\GPMC\Scripts, où vous trouverez également un fichier appelé gpmc.chm et qui contient la documentation des API de la GPMC. Jetons un coup d’œil au script CreateGPO.wsf et disséquons-le pour voir son fonctionnement.
Vers le haut de la page, vous verrez cette ligne :
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
Il s’agit grosso modo du point de départ de toute session de gestion ou de tout script de la stratégie de groupe, parce que cette ligne instancie la classe GPMgmt.GPM, laquelle fournit les accès à la plupart des fonctionnalités de la GPMC. Poursuivons et faisons la même chose avec Windows PowerShell :
$gpm = New-Object -ComObject GPMgmt.GPM
Maintenant que vous disposez du point de départ pour la gestion de la stratégie de groupe, l’étape suivante consiste à déterminer ce que vous pouvez en faire. Normalement, vous iriez voir la documentation pour trouver ce type d’informations, mais Windows PowerShell a une fonctionnalité très pratique. Si vous tapez la ligne suivante, vous obtenez les résultats montrés à la figure 2 :
Figure 2 Résultat Get-Member
Figure 2 Résultat Get-Member
$gpm | gm
Très pratique, si vous voulez mon opinion. Notez comment le cmdlet Get-Member (ou gm) vous permet de voir les propriétés et les méthodes que l’objet prend en charge dès la ligne de commande. Ce n’est bien évidemment pas la même chose que de lire la documentation, mais cela facilite l’utilisation des objets que vous connaissez déjà lorsque vous ne vous rappelez pas du nombre exact de paramètres, du nom, etc. Il est important de remarquer que lorsque vous regardez les listings de nœuds de la documentation de la GPMC, il semble que l’objet GPM et toutes les autres classes sont préfixés de la lettre I ; ceci est dû aux fonctionnements internes de COM et ne nous concerne pas vraiment dans le cas présent ; ce codage vise les programmateurs C++ qui écrivent du code COM natif et indique la différence entre une interface et la classe qui l’implémente. Remarquez aussi qu’en utilisant les API de la GPMC, il n’y a qu’un seul objet que vous devez créer de cette façon : GPMgmt.GPM ; tous les autres le sont à l’aide des méthodes qui démarrent avec cet objet GPM.
Abordons maintenant la création d’un nouveau GPO.
La figure 3 montre combien il est simple de créer un GPO. Notez que j’ai omis une certaine partie du code, y compris la gestion des erreurs (par exemple, ce qui se produira si vous n’êtes pas autorisé à créer des GPO) et j’ai codé en dur un nom de domaine...vous devriez savoir de quoi je parle.
Figure 3 Créez un GPO (Close Figure 3)
$gpmConstants = $gpm.GetConstants()
# This is the GPMC way to retrieve all
# constants
$gpmDomain =$gpm.GetDomain(“Mydomain.local”, “”, $gpmConstants.UseAnyDC)
# Connects to the domain where the GPO should
# be created, replace Mydomain.local with the
# name of the domain to connect to.
$gpmNewGpo = $gpmDomain.CreateGPO()
# Create the GPO
$gpmNewGpo.DisplayName = “My New Windows PowerShell GPO”
# Set the name of the GPO
Maintenant que vous savez créer un GPO, ouvrons-en un plutôt qui existe déjà. Vous avez encore la référence au domaine, $gpmDomain, donc tapez ce qui suit :
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Ceci vous donne un rapport complet HTML des paramètres de la stratégie de domaine par défaut, mais vous pouvez évidemment utiliser l’une des méthodes et des propriétés, telles que ModificationTime, qui vous indique la dernière date de modification du GPO, afin de déterminer quand les paramètres du GPO ont été changés.
C’est extrêmement utile. Vous avez certainement déjà fait l’expérience d’une situation où les téléphones commencent à sonner dans tous les sens et où les utilisateurs se plaignent que leurs ordinateurs ont un comportement étrange. Vous soupçonnez que cela est lié à la modification, l’ajout ou la suppression d’un paramètre GPO, mais vous ne savez absolument pas quel GPO vous devez inspecter. Rassurez-vous, Windows PowerShell est là ! Si vous entrez le script montré à la figure 4 au niveau de la ligne de commande Windows PowerShell, vous obtenez tous les GPO modifiés au cours des dernières 24 heures.
Figure 4 Découverte des GPO modifiés (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Remarquez l’opérateur -ge, qui signifie supérieur ou égal à. Ceci pourrait vous paraître étrange si vous êtes habitué aux opérateurs < et > des autres langages de programmation et de script. Mais ces opérateurs sont utilisés pour la redirection, par exemple pour rediriger les résultats vers le fichier, et ne pourraient donc pas servir d’opérateurs de comparaison dans Windows PowerShell.

Conclusion
Le code de la figure 5 liste l’intégralité du script nécessaire à la copie des paramètres d’un GPO dans un autre GPO. Vous devriez maintenant savoir comment utiliser cette nouvelle technologie avec la stratégie de groupe et comment réemployer des objets COM ou du code VBScript qui consomme un objet COM.
Figure 5 Copiez les paramètres d’un GPO dans un autre GPO (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
Windows PowerShell sera, tout comme la stratégie de groupe l’est déjà, un composant naturel de tout environnement de gestion Windows. Cependant, il existe des millions de lignes VBScript qui devront être migrées ou maintenues et j’espère que ce didacticiel vous aidera.
Plusieurs sources sont à votre disposition pour améliorer l’administration de votre stratégie de groupe et les autres domaines où vous avez précédemment utilisé VBScript, y compris les fonctions de téléchargement de Windows PowerShell et un superbe guide de conversion VBScript/Windows PowerShell qui se trouve sur le site Web de TechNet. Celui-ci fournit des conseils sur la réalisation des tâches communes dans Windows PowerShell lorsque vous connaissez l’équivalent en VBScript. Vous le trouverez sur microsoft.com/technet/scriptcenter/topics/winpsh/convert.
En outre, l’API de la GPMC est entièrement décrite ; vous pouvez télécharger ces informations à partir du site Stratégie de groupe sur microsoft.com/grouppolicy.
Enfin et surtout, si vous n’avez pas encore installé Windows PowerShell, qu’attendez-vous ? Téléchargez-le sur microsoft.com/powershell. Amusez-vous !

Thorbjörn Sjövold est Directeur technique et fondateur de Special Operations Software (www.specopssoft.com), un fournisseur de produits d’extension pour la gestion et la sécurité des systèmes basés sur la stratégie de groupe. Vous pouvez le joindre à thorbjorn.sjovold@specopssoft.com.


 Administration de Windows: Un manuel de d&#233;ploiement de services Terminal Server
Administration de Windows James D. Silliman

Un manuel de déploiement de services Terminal Server
Vue d'ensemble:
  • Déployer des services Terminal Server en quelques étapes faciles
  • Optimiser Office dans votre environnement Terminal Server
  • Gérer efficacement vos utilisateurs à l’aide de Terminal Server

Retour en 1998 : Microsoft publie Windows NT 4.0 Édition Terminal Server, nom de code « Hydra ». Microsoft a acquis une licence pour la technologie de Citrix Systems, créant ainsi sa première offre client léger/
serveur. Pour les administrateurs système, « Hydra » représentait un déploiement difficile. Quelques années plus tard, les services Terminal Server ont considérablement changé. Ils sont totalement intégrés au noyau et sont faciles à configurer avec un Assistant d’installation incorporé, sans avoir à utiliser de CD distinct ou à effectuer un téléchargement sur Internet. Compte tenu de la facilité d’installation relative, il existe de nombreuses bonnes raisons de déployer des services Terminal Server dans votre organisation. L’avantage le plus immédiat est que toutes vos applications sont exécutées sur un ou plusieurs serveurs central/centraux, afin que l’architecture et le matériel client ne créent pas de problème. Tout ce dont l’utilisateur a besoin est un client RDP (Remote Desktop Protocol) pour se connecter aux serveurs centraux. Heureusement, il y a des clients RDP pour la plupart des architectures actuelles.
Dans cet article, j’explique comment activer des services Terminal Server sur une installation existante de Windows Server® 2003, appliquer des stratégies de groupe de services Terminal Server et utiliser l’Assistant d’installation personnalisée pour automatiser les paramètres de profil Microsoft® Outlook®. À la fin, vous disposerez d’un serveur Terminal Server totalement déployé pour servir des applications à vos utilisateurs.

Mise en route
La première étape pour configurer les services Terminal Server consiste à ouvrir l’Assistant Configurer votre serveur intégré, qui se trouve dans les Outils d’administration de Windows Server 2003. Sélectionnez Terminal Server et cliquez sur Suivant jusqu’au dernier écran de l’Assistant. Le programme d’installation vous avertit qu’il va devoir redémarrer automatiquement l’ordinateur pour initialiser les modifications. Après le redémarrage, le serveur est en mode Terminal Server.
Assurez-vous que vous possédez des licences d’accès client pour les services Terminal Server avant de commencer, autrement aucun utilisateur ne pourra se connecter une fois votre déploiement terminé. Maintenant, liez la zone qui exécute les services Terminal Server à votre domaine Active Directory® et connectez-vous avec un compte qui possède des privilèges d’administrateur. Si vous ne vous trouvez pas sur un domaine, il va être difficile de continuer car vous ne pourrez pas appliquer de stratégies de groupe. Pour cet article, le serveur sur lequel vous installez des services Terminal Server est appelé TS01.
Ensuite, lancez Utilisateurs et ordinateurs Active Directory à partir des Outils d’administration et créez une unité d’organisation (UO), dans laquelle vous allez placer votre serveur Terminal Server. Pour des raisons de simplicité, donnez à l’unité d’organisation le nom très original de Serveurs Terminal Server. Recherchez votre serveur Terminal Server, TS01, et déplacez-le vers la nouvelle unité d’organisation Serveurs Terminal Server.
Ensuite, téléchargez et installez la Console de gestion des stratégies de groupe (GPMC) à l’adresse microsoft.com/windowsserver2003/gpmc. Cet utilitaire de gestion vous permet de configurer une nouvelle stratégie de groupe, de lui affecter des autorisations, puis de modifier la stratégie de manière à pouvoir activer ou désactiver les paramètres de stratégie applicables pour les utilisateurs qui se connectent. La Console de gestion des stratégies de groupe est un outil essentiel pour le déploiement de services Terminal Server, car elle comporte un Assistant de modélisation intégré, qui répercute immédiatement les stratégies appliquées ou non à un utilisateur.
Lancez la Console de gestion des stratégies de groupe à partir des Outils d’administration, et recherchez votre nouvelle unité d’organisation Serveurs Terminal Server sur le côté gauche de la fenêtre Gestion des stratégies de groupe. Cliquez avec le bouton droit sur l’unité d’organisation, sélectionnez Créer et lier un objet de stratégie de groupe ici comme indiqué à la Figure 1 et donnez-lui un nom utilitaire comme Stratégie Terminal Server 1.
Figure 1 Création et liaison d’un objet de stratégie de groupe (GPO)
Figure 1 Création et liaison d’un objet de stratégie de groupe (GPO)
Vous noterez qu’un groupe Utilisateurs authentifiés s’affiche comme par magie dans la zone Filtrage de sécurité à droite de la fenêtre Console de gestion des stratégies de groupe. Ce groupe est ajouté par défaut à tous les objets de stratégie de groupe. Cliquez sur le groupe, puis sur le bouton Supprimer. Vous souhaitez configurer un groupe Services Terminal Server à la place de votre arborescence Active Directory, auquel appliquer vos objets de stratégie de groupe lorsque les utilisateurs se connectent au serveur TS01. Appelez le groupe de services Terminal Server BottleWashers. Continuez et ajoutez-les à votre structure Active Directory à l’aide de Utilisateurs et ordinateurs Active Directory dans Outils d’administration. Vous devez également ajouter BottleWashers au groupe Utilisateurs du bureau à distance sur le serveur TS01 et sur les autres serveurs Terminal Server installés.
Assurez-vous que vous êtes maintenant sur l’onglet Étendue. Cliquez sur le bouton Ajouter dans la zone Filtrage de sécurité, puis ajoutez BottleWashers sous forme de groupe. BottleWashers obtient automatiquement les droits Lire et Appliquer la stratégie de groupe dans Stratégie Terminal Server 1. Ces deux autorisations sont les droits par défaut de la stratégie de groupe et elles sont nécessaires à l’application des stratégies à un objet.
Ensuite, ajoutez également votre serveur, TS01, dans la zone Filtrage de sécurité. Pour cette opération, il y a une étape supplémentaire. Tout d’abord, cliquez sur Ajouter, puis dans Types d’objet, activez les cases sur l’onglet Ordinateurs. Autrement, la Console ne peut pas rechercher le serveur TS01 dans Active Directory. Le résultat final doit se présenter comme sur la Figure 2.
Figure 2 Ajout du serveur TS01 dans la zone Filtrage de sécurité
Figure 2 Ajout du serveur TS01 dans la zone Filtrage de sécurité
De même, les droits de stratégie appropriés sont automatiquement appliqués au serveur TS01 en l’ajoutant dans la zone Filtrage de sécurité. À ce stade, il est recommandé de cliquer sur l’onglet Délégation dans la partie supérieure de l’écran Console de gestion des stratégies de groupe à droite, puis de rechercher Administrateurs de domaine, qui figure également par défaut dans les nouvelles stratégies. Cliquez sur le bouton Avancé dans le coin inférieur droit de l’écran.
Maintenant, vous découvrez les paramètres de sécurité pour l’objet de stratégie de groupe. Veillez à sélectionner Administrateurs de domaine, puis recherchez le paramètre Appliquer la stratégie de groupe dans la partie inférieure. À droite, activez l’option Refuser. Lorsque vous cliquez sur OK, vous recevez le message d’avertissement standard généré lorsque vous définissez une autorisation Refuser. Cette étape empêche votre nouvelle stratégie Terminal Server d’être appliquée aux Administrateurs de domaine, ce qui ne serait pas souhaitable.
Vous rappelez-vous que je vous avais conseillé de posséder des licences d’accès client Microsoft en bonne et due forme ? Vous devez consulter la documentation de licence et déterminer les licences d’accès client Terminal Server que vous avez acquises. Il existe deux types de licence d’accès client pour Terminal Server : Utilisateur et Périphérique. Pour plus d’informations, reportez-vous au document disponible à l’adresse : microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx .
Fondamentalement, les licences par utilisateur permettent à un utilisateur d’utiliser une licence Terminal Server, quel que soit le nombre d’ordinateurs à partir desquels cet utilisateur se connecte.
Si vous ne possédez pas encore de serveur de licences Terminal Server dans votre domaine, recherchez un serveur membre qui peut endosser ce rôle. Même si cela est pris en charge, il est préférable de ne pas utiliser le serveur TS01 comme serveur de licences, car si vous ajoutez d’autres serveurs Terminal Server à votre organisation par la suite, vous ne bénéficierez pas d’une tolérance des défaillances très avancée dans votre infrastructure. Ouvrez le Panneau de configuration sur le serveur de licences proposé. Ouvrez Ajout/Suppression de programmes | Composants Windows | Gestionnaire de licences Terminal Server et suivez les invites pour activer le serveur de licences. Une fois cette opération terminée, cliquez sur Démarrer | Exécuter, et entrez :
tscc.msc
L’arborescence Configuration\Paramètres de serveur de Terminal Server s’affiche. C’est à ce niveau que vous cliquez sur Paramètres de Serveur | Gestionnaire de licences, et que vous sélectionnez Par utilisateur ou Par périphérique. La valeur par défaut est Par périphérique. Si vous possédez déjà un serveur de licences Terminal Server dans votre domaine, il y a un paramètre dans Stratégie Terminal Server 1 qui indique le serveur qui endosse le rôle de serveur de licences. Une fois cette tâche terminée, cliquez de nouveau sur Démarrer | Exécuter, et tapez :
licmgr.exe
À présent, vous devez activer les licences d’accès client afin que les utilisateurs puissent se connecter. Pour davantage de commodité, vous pouvez effectuer cette opération par téléphone ou sur Internet. Les utilisateurs doivent alors pouvoir se connecter à votre serveur Terminal Server, mais il n’y a pas de stratégies appliquées ; c’est donc le moment de définir quelques stratégies importantes. Certaines stratégies recommandées par Microsoft se trouvent dans l’article de la Base de connaissances intitulé « Comment faire pour verrouiller une session Terminal Server sur un ordinateur Windows Server 2003 ou Windows 2000 ».

Activation des stratégies
L’essentiel à retenir est de ne pas commencer à activer des stratégies dans toutes les directions sans connaître exactement l’action de chaque stratégie, ou vous pourriez obtenir des résultats indésirables. Il est préférable de commencer par quelques stratégies essentielles et de les tester de manière étendue dans un environnement de laboratoire.
La première stratégie que vous pouvez appliquer est la stratégie de bouclage. Pour l’activer, lancez la Console de gestion des stratégies de groupe, recherchez Stratégie Terminal Server 1, cliquez dessus avec le bouton droit et sélectionnez Modifier. Sélectionnez Configuration de l’ordinateur | Modèles d’administration | Système | Stratégie de groupe et activez le paramètre de mode de traitement de bouclage de Stratégie de groupe utilisateur. Après avoir activé cette stratégie, vous définissez sa valeur Mode, qui peut être Remplacer ou Fusionner. Pour de meilleurs résultats dans les services Terminal Server, sélectionnez Remplacer.
Le groupe de sécurité Ajouter des administrateurs est un autre paramètre Terminal Server à activer dans les profils d’utilisateurs itinérants. Il se trouve dans le répertoire Configuration de l’ordinateur\Modèles d’administration\Système\Profils utilisateur. Grâce à ce paramètre, vous, en tant qu’administrateur, avez toujours le contrôle total sur les dossiers de profil utilisateur. Il doit être défini le plus tôt possible, car il ne s’applique pas si les dossiers ont déjà été créés une fois que l’utilisateur se connecte pour la première fois (voir Figure 3).
Figure 3 Activation de la valeur du groupe de sécurité Ajouter des administrateurs
Figure 3 Activation de la valeur du groupe de sécurité Ajouter des administrateurs
Vous trouverez toute une série de stratégies dans le répertoire Configuration de l’ordinateur\Modèles d’administration\Composants Windows\Services Terminal Server. Envisagez d’activer les stratégies suivantes :
  • Restreindre les utilisateurs de services Terminal Server à une seule session distante
  • Définir le chemin pour les profils itinérants Terminal Server
  • Répertoire principal de l’utilisateur Terminal Server
Notez, cependant, que la restriction des services Terminal Server à une seule session distante n’empêche pas les utilisateurs de se connecter plusieurs fois, comme on pourrait le croire. Au lieu de cela, lorsqu’un utilisateur tente de lancer une deuxième session de services Terminal Server, il réutilise simplement la première session de connexion.
Les profils d’utilisateurs itinérants sont un élément essentiel au bon fonctionnement de Terminal Server. Par défaut, lorsqu’un utilisateur se connecte à Terminal Server, un profil local est créé sur le lecteur C: du serveur Terminal Server, même si ce lecteur est masqué pour les utilisateurs. Le comportement par défaut d’un profil itinérant consiste à synchroniser le profil local avec un partage de profil itinérant sur le réseau lorsque l’utilisateur se déconnecte. Une stratégie de groupe peut être définie de manière à purger ce profil local lorsque l’utilisateur se déconnecte.
Les deux stratégies de services Terminal Server suivantes mentionnées ci-dessus, Définir le chemin pour les profils itinérants Terminal Server et Répertoire principal de l’utilisateur Terminal Server sont liées à des profils itinérants. Ces paramètres sont souvent codés en dur dans la zone Chemin du profil des services Terminal Server de l’utilisateur d’Active Directory. Il est beaucoup plus facile et préférable de définir les chemins des services Terminal Server à l’aide de stratégies de groupe. Dans le cas de chemins de profils de services Terminal Server Utilisateurs et Ordinateurs d’Active Directory, si vous configurez un nouvel utilisateur ou copiez un utilisateur existant, les informations de chemin de profil de serveur Terminal Server doivent être ajoutées manuellement chaque fois, ce qui est assez fastidieux. Il est préférable de définir ces chemins sur un partage réseau et d’utiliser un objet de stratégie de groupe pour les configurer.

Redirection de dossiers
Maintenant examinons rapidement un autre composant très important des services Terminal Server, la Redirection de dossiers, qui optimise l’environnement Terminal Server en empêchant un nombre trop important de connexions et de déconnexions. Les dossiers que vous pouvez rediriger sont Données d’application, Bureau, Mes documents et Menu Démarrer. Ces quatre dossiers doivent se trouver sur un partage réseau et ils nécessitent des listes de contrôle d’accès spécifiques. Pour plus d’informations, reportez-vous à l’article de la Base de connaissances intitulé « Comment faire pour créer de manière dynamique des dossiers redirigés sécurisés à l’aide de la fonction de redirection de dossiers dans Windows 2000 et Windows Server 2003 ».
L’avantage de la redirection de dossiers est qu’il n’est pas nécessaire de copier entièrement le profil utilisateur chaque fois qu’un utilisateur se connecte ou se déconnecte. Les services Terminal Server reconnaissent que ces dossiers se trouvent sur le réseau et fournissent simplement un pointeur vers ceux-ci.
Avec les profils itinérants et la redirection de dossiers, il est conseillé d’envisager d’utiliser le système de fichiers distribués pour simplifier la maintenance de vos partages réseau. En raison des contraintes d’espace, je ne vais pas aborder le système de fichier distribué dans cet article, mais pour plus d’informations, vous pouvez vous reporter au Centre de ressources sur les systèmes de fichiers distribués.
Vous trouverez les paramètres de redirection de dossiers dans le répertoire Configuration utilisateur\Paramètres Windows\Redirection de dossiers (voir la Figure 4). Les valeurs du dossier Redirection de dossiers sont très simples. Vous souhaitez peut-être désactiver la case de chaque paramètre de Redirection de dossiers, dont la valeur est Accorder à l’utilisateur des droits exclusifs, autrement les administrateurs ne pourront pas accéder aux dossiers.
Figure 4 Emplacement des paramètres de redirection de dossiers
Figure 4 Emplacement des paramètres de redirection de dossiers

Installer Microsoft Office
Maintenant que certaines des stratégies essentielles sont en place, vous devez installer le système Microsoft Office 2003 ou Microsoft Office 2007. Microsoft Office est optimisé pour les services Terminal Server, donc il y a peu d’éléments à modifier au cours de l’installation. Les éléments de la suite Office, qui sollicitent beaucoup la bande passante sont désactivés par défaut. À ce niveau, vous devez télécharger et installer les fichiers de modèle d’administration de stratégie de groupe (fichiers ADM) afin de pouvoir contrôler les stratégies dans la suite Office.
Les fichiers ADM dont vous avez besoin se trouvent à l’adresse suivante : microsoft.com/office/orkarchive/2003ddl.htm. En l’occurrence, vous n’avez besoin de ne télécharger que deux fichiers : Fichiers de modèle Office (ORKSP2AT.exe) et l’Assistant d’installation personnalisée. En revanche, le deuxième fichier n’est nécessaire que si vous déployez Office 2003. Le système Microsoft Office 2007 n’utilise pas l’Assistant. Il suffit simplement de cliquer sur Démarrer | Exécuter, et de taper Setup /a et il est lancé automatiquement.
Après avoir décompressé le premier fichier, ORKSP2AT.exe, vous découvrez plusieurs fichiers. Les fichiers office11.adm et outlk11.adm sont les fichiers qui vous concernent (voir la Figure 5).
Figure 5 Fichiers de modèle Office
Figure 5 Fichiers de modèle Office
Lancez l’Explorateur Windows et copiez ces deux fichiers dans le répertoire %systemroot%\inf. Revenez à la Console de gestion des stratégies de groupe et lancez-la de nouveau. Recherchez Profil Terminal Server 1 dans Objets de stratégie de groupe, cliquez dessus avec le bouton droit, puis sélectionnez Modifier. Maintenant, sélectionnez Configuration de l’ordinateur\Modèles d’administration dans la stratégie définie. Cliquez avec le bouton droit sur Modèles d’administration et sélectionnez Ajout/Suppression de modèles, comme indiqué à la Figure 6.
Figure 6 Ajout de modèles d’administration dans l’objet de stratégie de groupe
Figure 6 Ajout de modèles d’administration dans l’objet de stratégie de groupe
Vous constatez que les deux fichiers sont disponibles pour vous maintenant. Ajoutez-les un par un. Ces fichiers de modèle s’affichent dans les répertoires Configuration utilisateur\Modèles d’administration\Microsoft Office 2003 et Configuration utilisateur\Modèles d’administration\Microsoft Office Outlook 2003. Vous pouvez rechercher ces paramètres de modèle et les activer ou les désactiver comme vous le souhaitez.
Au lieu de m’étendre sur de nombreux paramètres, je vais me concentrer sur deux paramètres que vous souhaiterez peut-être supprimer : l’Assistant Office et l’archivage automatique d’Outlook. Notez que certains paramètres, comme le mode de mémoire cache d’Exchange et le filtrage des courriers indésirables sont désactivés par défaut dans les services Terminal Server, donc il n’est pas nécessaire de désactiver ces stratégies.
Pour plus d’informations, reportez-vous au document « Fonctionnalités d’Outlook qui sont désactivées avec les services Terminal Server ». L’Assistant Office peut être désactivé facilement en sélectionnant la Configuration utilisateur\Modèles d’administration\Microsoft Office 2003\Assistant\Options dans Stratégie de groupe.
Dans un environnement de services Terminal Server, vous ne souhaitez pas inviter les utilisateurs à effectuer des opérations en permanence. Les paramètres d’archivage automatique des courriers électroniques dans Outlook sont un exemple d’invites particulièrement intrusives. Si ce paramètre est ignoré dans votre stratégie de groupe, les utilisateurs sont invités à effectuer un archivage automatique à intervalles spécifiques. La désactivation de ce paramètre le supprime complètement du menu Préférences d’Outlook. Bien sûr, vous souhaitez peut-être utiliser l’archivage automatique, donc vous pouvez ajuster les paramètres dans la stratégie Configuration utilisateur\Modèles d’administration\Microsoft Office Outlook 2003\Outils | Options\Archivage automatique.
Pour s’assurer du bon déploiement des services Terminal Server, vous devez ensuite configurer un fichier PRF Outlook afin que les utilisateurs ne soient pas invités à configurer manuellement leurs paramètres Outlook. Cette tâche peut apparaître comme une tâche de grande envergure, mais ce n’est pas le cas. Elle implique d’installer OrkTools et d’utiliser l’Assistant d’installation personnalisée pour créer un fichier PRF qui indique à l’Assistant d’installation Outlook comment se comporter. Le système Office 2007 possède un mécanisme qui rend ce processus obsolète, mais vous pouvez toujours utiliser un fichier PRF avec Office si vous le souhaitez.
Vous allez maintenant configurer un fichier PRF Outlook avec l’Assistant d’installation personnalisée. Vous n’allez pas suivre l’intégralité de l’Assistant d’installation personnalisée, mais uniquement la partie nécessaire à l’exportation du fichier PRF modifié. Elle ne comporte que quelques étapes.
Tout d’abord, lancez et décompressez le deuxième fichier téléchargé précédemment (l’Assistant d’installation personnalisée). Après avoir lancé l’Assistant en sélectionnant Démarrer | Programmes | Kit de ressources Microsoft Office 2003, le système vous invite à indiquer l’emplacement du fichier MSI d’Office 2003. Insérer le CD Office 2003 et indiquez le nom et le chemin du fichier MSI.
Vous pouvez ignorer une partie de l’Assistant d’installation personnalisée pour accéder directement à la page 17 (de 24 au total) et créer simplement le fichier PRF. À l’étape 17, sélectionnez Nouveau profil et donnez-lui un nom tel que Outlook, puis cliquez sur Suivant. Un écran s’affiche et vous permet de sélectionner un serveur Exchange (comme à la Figure 7). Tapez le nom de votre serveur Exchange et cliquez sur Suivant pour continuer.
Figure 7 Configurer une connexion Exchange Server
Figure 7 Configurer une connexion Exchange Server
Il est recommandé d’ajouter le Carnet d’adresses Outlook au profil que vous créez. Ainsi, les utilisateurs peuvent sélectionner leurs Contacts lorsqu’ils rédigent un nouveau message. Cette étape peut à elle seule vous permettre d’éviter une bonne partie du travail manuel. Vous pouvez également configurer d’autres fonctionnalités personnalisées ici si vous cliquez sur le bouton Ajouter. Maintenant, cliquez sur Suivant et il ne reste plus qu’à exporter le fichier PRF.
À ce stade, vous devez créer un fichier de commandes et le placer sur votre partage Netlogon sur votre contrôleur de domaine, pas sur le serveur TS01. Le fichier de commandes lance les mappages dont vous avez besoin et configure le fichier PRF pour le déploiement. J’ai simplifié la tâche en écrivant les scripts WMI à votre place. Cependant, n’utilisez ces scripts que pour vous aider ; vous devez insérer les informations appropriées à votre situation. Si vous préférez, vous pouvez utiliser un autre processeur de scripts comme KiXTart.
Votre fichier de commandes (logon.bat) doit inclure ces lignes :
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
Le fichier Clean.vbs supprime la clé de registre First-Run afin qu’Outlook traite le fichier PRF :
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
Outlook.vbs ajoute la clé de configuration Outlook correcte dans le registre pour chaque utilisateur Terminal Server. Vous devez indiquer votre propre chemin dans le paramètre SValue = et ne pas oublier d’ajouter votre fichier PRF réel personnalisé dans le vrai répertoire de réseau :
sValue = \\Serv01\PRF\Outlook.prf
Modifiez ce chemin et placez votre fichier Outlook.prf dans ce répertoire :
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
L’élément suivant pour le déploiement est d’installer Office 2003 ou le système Microsoft Office 2007 sur le serveur TS01. Comme indiqué, Microsoft Office est optimisé pour un environnement de services Terminal Server. Il n’est plus nécessaire de créer des transformations personnalisées. Vous pouvez désactiver des fonctionnalités Office au-delà des fonctionnalités présélectionnées, mais ce n’est pas obligatoire. À l’inverse, vous pouvez également activer des fonctionnalités, mais cela aurait un impact défavorable sur la bande passante. N’oubliez pas de tester les fonctionnalité que vous activez dans un environnement de laboratoire avant de les déployer dans une situation de production.
Avant d’installer l’une ou l’autre version de Microsoft Office, vous souhaitez peut-être placer le serveur TS01 dans le mode d’utilisation approprié. Il existe deux possibilités : Installer et Exécuter. Vous devez être en mode Installer avant d’effectuer des installations de logiciels. Pour placer le serveur TS01 en mode Installer, dans l’invite de commande, tapez :
C:>change user /install
Une fois l’installation terminée, placez le serveur TS01 en mode Exécuter en tapant :
C:>change user /execute
Le mode Installer est lancé automatiquement si vous exécutez un fichier Setup.exe ou Install.exe sur le serveur TS01. Tous les produits Microsoft possèdent ces fichiers de lancement. Cependant, certaines applications n’utilisent ni l’un ni l’autre. Utilisez donc la commande Modifier pour éviter tout risque. Que se passe-t-il si vous oubliez le mode dans lequel vous vous trouvez ? Exécutez la commande ci-dessous, qui vous l’indiquera :
C:>change user /query
Si vous êtes arrivé jusque-là, tout va bien. Vous pouvez maintenant accéder à un poste de travail client Windows. Cliquez sur Démarrer | Exécuter et tapez cette commande :
mstsc
Si vous utilisez Windows 2000, vous pouvez télécharger l’utilitaire Microsoft Terminal Services Client (Mstsc).
Un écran Connexion Bureau à distance doit s’afficher maintenant. Tapez simplement le nom ou l’adresse IP du serveur Terminal Server pour effectuer la connexion. Il y a de nombreuses sélections possibles avec le bouton Options : vous pouvez par exemple connecter des unités ou des imprimantes locales ou modifier la résolution vidéo. Vous pouvez également coder en dur le serveur TS01 dans la zone Options et enregistrer ensuite le profil RDP sur votre Bureau. Par défaut, le profil RDP est appelé Default.RDP.

Tâches d’administration
Si vous souhaitez exécuter certaines tâches d’administration sur le serveur TS01, il est préférable d’utiliser cette commande car elle simule des actions comme si vous vous étiez assis physiquement à la console :
Mstsc /console
Si vous administrez plusieurs serveurs Terminal Server, vous souhaitez peut-être utiliser l’utilitaire Bureaux à distance situé dans les Outils d’administration car vous pouvez ajouter tous les serveurs Terminal Server distants sous forme d’arborescence unique.
Une dernière commande que vous devez connaître est Tsadmin, qui permet d’afficher les utilisateurs qui sont connectés à votre serveur Terminal Server et les processus Windows que les utilisateurs ont ouverts. Elle permet également de masquer les utilisateurs, ce qui est un avantage énorme pour les administrateurs. Notez, cependant, que si vous lancez TSadmin à partir de votre poste de travail, vous ne pouvez pas masquer les utilisateurs. Vous ne pouvez voir que les connexions. Vous devez être connecté directement au serveur TS01 pour masquer les utilisateurs, leur envoyer un message ou les déconnecter.

Conclusion
Vous devez maintenant bien posséder les services Terminal Server, et devriez par conséquent être en mesure de déployer seul un serveur Terminal Server. Il reste de nombreux aspects à explorer (dont les paramètres de stratégie de groupe et le système de fichiers distribué), mais si vous vous rappelez les principes fondamentaux (comme ne pas être excessif lors de la définition d’objets de stratégie de groupe et les tester de manière étendue avant de les proposer aux utilisateurs) ce sera déjà un très bon début.

James D. Silliman, MCSE, ingénieur système senior chez DirectApps, Inc., est spécialisé dans le déploiement de services Terminal Server. DirectApps crée des solutions .NET et fournit des services d’hébergement et ASP. Vous pouvez lui écrire à l’adresse : James@directapps.com.


 De la part de l’&#233;diteur: S&#233;curit&#233; &#224; emporter
De la part de l’éditeur
Sécurité à emporter
Joshua Trupin

Aujourd’hui, il est possible de travailler n’importe où. C’est au cours des dix dernières années que le concept de « votre bureau partout » a vraiment pris racine. Vous n’avez plus besoin d’être à votre bureau pour travailler. Les technologies mobiles vous permettent d’être productif lors de déplacements, à la maison, dans le train et même dans votre voiture lorsque vous êtes à un feu rouge (soyez prudent). C’est véritablement un monde idéal, sauf si vous êtes un professionnel de l’informatique et que vous êtes confronté à ce qui pourrait être votre plus grand défi : la sécurisation et la gestion de périphériques qui peuvent aller par monts et par vaux.
Dans les années 1980, « sécurité » voulait dire réagir aux rapports faisant état de nouveaux virus en disant aux gens de mettre leurs disquettes dans des sacs en plastique pour les tenir à distance les unes des autres. (Vraiment ! Lorsque j’ai fait ça chez un ancien employeur, aucun ordinateur n’a été infecté !) Si un programme malhonnête finissait par infecter un ordinateur, il était contenu, à moins que quelqu’un n’introduise une disquette malsaine dans un bureau adjacent. Il était parfois plus facile pour les professionnels de l’informatique de rester à l’affût pour retirer les lecteurs de 5,25 po lorsque tout le monde était en pause déjeuner. Les plus chanceux avaient un disque dur de 10 Mo pour leurs données.
Dans les années 1990, il est devenu de plus en plus difficile de détecter les utilisateurs qui infectaient leurs propres ordinateurs car ils commençaient à recevoir des virus provenant du Web. Contrairement aux dix années précédentes, il n’était plus possible de protéger les ordinateurs en retirant les disquettes des mains des gens avec une gestuelle au ralenti très élaborée.
Ces jours-ci, nous pouvons sécuriser l’entreprise, répartir la stratégie de groupe et configurer des pare-feux, des quarantaines et des goulots d’étranglement. Et maintenant ? Et bien voilà que l’entreprise elle-même se déplace ! Comme ça, d’un coup. Que pouvez-vous donc faire ?
Dans le climat informatique actuel, la sécurisation des biens de votre bureau n’est que la partie immergée de l’iceberg. Toute organisation n’est qu’aussi forte que son maillon le plus faible, et le fait d’avoir des employés qui se déplacent avec des périphériques mobiles et des ordinateurs portables connectés à votre réseau revient à donner le bâton pour se faire battre. Ce mois-ci, notre principal article traite de la sécurisation des périphériques mobiles pour que vous (administrateur épuisé) puissiez dormir la nuit.
Bien sûr, cette édition contient de nombreuses autres informations. Nous nous penchons également sur la gestion de la conformité aux réglementations avec Exchange Server, la protection de l’accès réseau, le déploiement de Terminal Services, Windows PowerShell, SQL Server et tant d’autres choses qu’il nous faudrait une page entière pour toutes les énumérer. (En fait deux, à en croire notre Table des matières.)
En termes de sécurité, quelle est la situation la plus insolite que vous ayez rencontrée dans votre entreprise ? Faites un tour du côté du blog Technet Magazine (blogs.technet.com/tnmag) et prenez part à la conversation. Les éditeurs se tiennent prêts ! —Joshua Trupin

Remerciements aux experts techniques Microsoft suivants : Alex Balcanquall, Tad Brockway, Anah Cameron, Jeroen de Borst, Michael Higashi, Ryan Hurst, Paul Limont, Sherman Lovell, Michael Murgolo, Shivakumar Seetharaman, John Speare, David Strome et Jim Truher.

Joshua Trupin


 Lettres: R&#233;ponses &#224; vos questions
Lettres
Réponses à vos questions

Création d’images
Dans l’article « Prise en main de Windows® PE » (septembre 2006), Wes Miller fait référence à mkimg.cmd. Ce fichier de commandes n’existe nulle part sur mon système Windows Vista™, alors que le Windows Automated Installation Kit (WAIK) et Business Desktop Deployment Solution Accelerator (BDD) 2007 sont tous deux installés. Dans les distributions actuelles, j’ai mkimg_pe2004.cmd et mkimg_pe2005.cmd. Cependant, ils appellent un fichier bldini.cmd qui semble ne pas exister non plus. Où puis-je trouver ces fichiers ?
— Jim A.

Cet article a en fait été publié avant la sortie de Windows Vista et se réfère exclusivement à la version de Windows PE disponible pour Windows XP et Windows Server® 2003 (connu sous le nom de Windows PE 1.6). Un autre article, traitant de Windows PE 2.0, c’est-à-dire la version disponible pour Windows Vista, a par la suite été publié dans notre numéro de novembre 2006. Vous pouvez trouver cet article sur notre site Web.
Vous pouvez créer et personnaliser des images Windows PE 2.0 grâce aux outils trouvés dans le WAIK (penchez-vous en particulier sur la commande « mkimg », qui a été remplacée par « peimg »). Vous trouverez une présentation de la création d’une image Windows PE 2.0 dans la documentation en ligne du WAIK.

Idées reçues sur la sécurité
Vous suggérez qu’il est préférable d’avoir des mots de passe longs plutôt que complexes (« Démantèlement des idées reçues courantes sur la sécurité », mai/juin 2006). Selon vous, quelle est la meilleure méthode pour retrouver ces mots de passe lorsque nécessaire ? En effet, les longs mots de passe peuvent être difficiles à retenir. D’autre part, on m’a également conseillé d’utiliser un mot de passe différent pour chaque système nécessitant un accès, mais ceci peut créer des problèmes similaires concernant le stockage et la récupération.
— Ian R.

Nous avons posé cette question à notre ami et collaborateur Steve Riley, qui nous a rapidement fait part de sa réponse :
Cette question de la récupérabilité mentale (oui, je viens d’inventer cette expression) est intéressante. Je dirais que, dans un mot de passe, il est plus facile de se rappeler une phrase plutôt qu’une succession arbitraire et complexe de caractères. De plus, si vous employez une méthode de mappage, vous pouvez alors vous souvenir de plusieurs expressions. Par exemple, admettons que votre mot de passe pour Hotmail® est « Mon chien et moi avons reçu le courrier ». Il est facile de retenir cette expression parce qu’il y a une association (recevoir le courrier) avec la destination (le site de message électronique). Utilisez la méthode de mappage et vous obtenez « Mon chien et moi sommes allés faire des courses » pour votre mot de passe sur eBay, « Mon chien et moi sommes allés travailler », pour votre compte de domaine au bureau et même « Mon chien et moi avons admiré une œuvre d’art » pour, par exemple, votre site préféré de photos.
Les sources des mots de passe sous forme d’expressions sont presque illimitées. Je connais quelqu’un qui utilise seulement des citations des films des Monty Python. Une autre de mes connaissances ne fait appel qu’à des expressions de cinq mots, chacun commençant par les cinq premières lettres du clavier, dans l’ordre (« Alphonse zigzague et Robert titube ». AZERT). Avec un peu d’imagination, ces expressions peuvent aider à éliminer la plupart des problèmes concernant les mots de passe, tout en renforçant le secret servant à prouver l’identité de la personne.

«Démantèlement des idées reçues courantes sur la sécurité » est un excellent article. Après l’avoir lu, j’ai pu remettre mes suppositions en perspective. Mais si les logiciels permettaient la génération et l’utilisation de jeux de caractères uniques (pas ceux de Webdings®, mais des caractères jamais vus auparavant) dans un programme indépendant, cela ne ferait-il pas pencher la balance vers plus de complexité, étant donné que personne ne pourrait avoir une série complète de tous les caractères uniques possibles et imaginables et que seul l’utilisateur saurait lesquels ont été produits et utilisés ? Je préfèrerais recréer ces caractères sous forme de trait court plutôt que de taper « Guerre et paix » si je perds ma clé USB.
— H D.

Intéressant, mais nous ne savons pas exactement comment se souvenir d’un caractère unique que personne n’a encore jamais vu. À moins d’être comme le musicien Prince, qui a changé son nom en symbole.

Sysprep
Dans l’article « Techniques visant à simplifier la création d’image de bureau » (mai/juin 2006), Shelly Bird dit que lorsque vous générez un dossier Sysprep, « Le processus démarre en générant l’image de référence sur un système hérité à l’aide de matériel de base... ». Que veut-elle exactement dire par là ? Je suis en train de regarder le BDD et suis toujours incapable d’y trouver quoique ce soit suggérant un déploiement avec une seule image. Comment puis-je obtenir cette information ?
— Jon S.

Dans l’article auquel vous faites référence, l’auteur parle de créer une configuration de référence standardisée pouvant être capturée comme une image et redéployée sur d’autres ordinateurs. En d’autres termes, prenez le matériel le plus simple que vous ayez dans votre environnement (en tant que plus petit dénominateur commun), installez Windows et configurez-le avec vos spécifications de base (c’est-à-dire toutes les modifications que vous souhaitez faire et déployer dans votre organisation), installez également toutes les applications que vous voulez inclure, puis préparez le déploiement en utilisant l’outil Sysprep (lequel supprime toutes les informations spécifiques concernant le matériel, ce qui permet à l’image d’être redéployée sur du matériel nouveau).
Les meilleurs conseils pour mener à bien ce processus se trouvent dans le Guide d’équipe technique des systèmes d’image d’ordinateur, qui fait partie du BDD. Le composant Système d’image d’ordinateur du BDD comprend un outil téléchargeable vous aidant à personnaliser et préparer votre image. Voir microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx pour plus d’informations.

Conversion de l’authentification
J’utilise SQL Server™ 2005 sur mon lieu de travail. Comment puis-je modifier mon authentification Windows en authentification SQL Server (avec l’identifiant de connexion sa) ?
— Sara J.

L’explication suivante, qui provient de SQL Server Books Online, devrait vous aider à résoudre ce problème : msdn2.microsoft.com/ms188670.aspx. Cependant, nous vous conseillons fortement de conserver votre authentification Windows, en raison des conséquences de l’utilisation d’un compte sa au niveau de la sécurité (surtout sans mot de passe). C’est exactement pour cela que nous avons cessé de faire appel à sa/nopass dans nos exemples de code.

Éloge chaleureuse
J’apprécie énormément le mensuel Technet Magazine. Je l’apprécie tellement que j’en emporte quelques exemplaires dans mon sac à dos ou dans la voiture, peu importe le moment ou l’endroit : au travail, à la maison, bref, à peu près partout. Si seulement je pouvais avoir l’intégralité de ce magazine sur mon Tablet PC ou sur mon téléphone Pocket PC. Ce serait formidable de disposer d’une version audio du contenu pour mon lecteur MP3. Dans l’ensemble, ce magazine est GÉNIAL. Je l’adooooore ! J’en parle à tous mes collègues et j’en fais la publicité partout où je le peux.
— Erasmo M.

Vous voulez du contenu audio ? Le voilà ! Nous proposons chaque mois un podcast Technet Magazine. Il vous suffit d’aller sur le site Technet Magazine (www.technetmagazine.com) et de cliquer sur le lien Podcast situé à gauche. Nous aimerions beaucoup que vous nous entendiez !

Poster puzzle
Le poster puzzle du composant Active Directory® paru dans votre numéro de mars/avril 2006 était de loin la meilleure représentation graphique que j’ai jamais vue décrivant le fonctionnement d’Active Directory dans Windows Server 2003. J’ai moi-même géré le projet de transfert de notre organisation mondiale sur Windows 2000 et Active Directory et ce type de poster nous aurait considérablement simplifié la tâche. Même maintenant, nos Administrateurs d’entreprise ne tombent pas toujours d’accord sur les composants qui sont clairement expliqués dans ce poster. S’ils pouvaient accéder à ce type d’informations, ils travailleraient sans doute de façon plus cohérente et constante. Peut-on télécharger ce poster ?
— Mike C.

Nous avons reçu énormément de demandes pour ce poster. Il semble que beaucoup de gens se posent la même question que vous. Nous avons mis le téléchargement de ce poster à disposition sur go.microsoft.com/fwlink/?LinkID= 80428, mais n’essayez pas de l’imprimer sur papier au format lettre. Il est bien trop grand.

Configuration des signatures électroniques Outlook
Je travaille comme administrateur système pour mon entreprise et je suis en train d’écrire un script visant à standardiser la signature Outlook® pour tous les utilisateurs de mon domaine. J’ai utilisé l’exemple de code décrit dans votre rubrique « Configuration des signatures électroniques Outlook » (octobre 2006). Mais j’ai un petit problème : Lorsque j’essaie de personnaliser et de définir les couleurs de police de la signature en utilisant le code suivant, elle reste noire :
objSelection.Font.Color = wdRed
Je peux modifier la police et sa taille, mais pas les couleurs.
— Edison P.

Nous avons demandé aux scripteurs ce qui posait problème (nous avons un téléphone rouge spécial en liaison directe) et voilà ce qu’ils nous ont dit :
Nous pensons que pour changer les couleurs de la police, vous devez utiliser les énumérations wdColor. Essayez ce qui suit :
  • Définissez cette constante dans le script :
wdColorRed = 255
  • Attribuez la couleur en utilisant ce code :
objSelection.Font.Color = wdColorRed
Cela devrait suffire.

Obtention de Windows PE
Notre entreprise dispose d’un accord de licence Microsoft® Select ; pourriez-vous m’aider à trouver la personne à contacter pour obtenir la cinquième génération de Windows PE pour utilisation dans notre organisation ? Nous cherchons en particulier à utiliser la fonctionnalité de démarrage à partir de lecteurs flash USB.
— Thom S.

. Si c’est le cas, le compte de Services de licences en volume Microsoft de votre organisation vous permettra de télécharger Windows PE (vous pouvez vous connecter à l’adresse https://licensing.microsoft.com). Si vous avez besoin d’assistance pour accéder à ce site Web, nous vous suggérons de contacter le coordinateur de licences de votre organisation ou votre représentant de licences Microsoft.


 Bo&#238;te &#224; outils: Nouveaux produits pour les professionnels de l’informatique
Boîte à outils
Nouveaux produits pour les professionnels de l’informatique
Greg Steen

Analyser le trafic HTTP
HttpWatch Professional Edition
httpwatch.com

HTTP, à la base des communications entre navigateur et sites Web, est un protocole de couche 7 extrêmement utile. De plus, avec l’avènement des services Web, de nombreuses applications Windows® Forms utilisent HTTP pour télécharger des mises à jour de programmes et obtenir une validation par téléphone. Il peut être difficile de trouver des problèmes, régler des performances ou vérifier la sécurité des communications entre applications sur HTTP, mais HttpWatch Professional Edition peut vous aider à dépanner les problèmes entre Web et navigateur.
HttpWatch affiche les détails concernant les demandes Web
HttpWatch affiche les détails concernant les demandes Web
HttpWatch Professional s’intègre avec Internet Explorer® 6.0 et Internet Explorer 7, et il peut apparaître soit au bas du navigateur soit en tant qu’outil autonome à côté du navigateur. Dès que vous cliquez sur son bouton d’enregistrement, HttpWatch commence à capturer et enregistrer le trafic, en affichant tous les détails concernant vos demandes Web. Vous pouvez voir le flux HTTP brut, les éventuelles redirections survenant sur votre demande de page, les paires de valeurs de clés de la chaîne de demande associées à la demande, la méthode HTTP, les informations de compression HTTP et toute information de codage mémorisée en bloc. De plus, HttpWatch vous montre des informations détaillées sur les cookies associés à la demande, en vous indiquant le chemin, le domaine, la date d’expiration et la valeur du cookie. Et comme l’application
s’exécute comme un plug-in sur Internet Explorer, vous pouvez également voir tous les détails des demandes HTTPS décryptées.
Vous pouvez étudier les données de performances au niveau du réseau avec HttpWatch, car il vous affiche les temps de réponse à la milliseconde près, les recherches DNS, les connexions TCP, les informations d’adresse IP, les ports et les octets envoyés et reçus par votre navigateur. Vous pensez savoir tout ce qui concerne chaque demande ? Je suis toujours surpris de voir la quantité d’informations impliquées dans chaque demande d’une seule page HTML. Heureusement, HttpWatch inclut une option permettant de filtrer l’affichage par type de contenu, code de réponse, URL, en-têtes ou une chaîne de contenu spécifique. Ceci vous permet d’isoler rapidement la zone et les détails particuliers qui vous intéressent.
Le site Web du produit décrit l’outil comme un moyen de dépanner les problèmes avec vos clients. L’application permet d’enregistrer les informations de la demande, pour que les clients puissent vous envoyer des détails sur les demandes problématiques. Ceci peut être utile pour le dépannage. Le fichier HWL propriétaire peut être envoyé par courrier électronique en quelques clics. Lorsque vous recevez ce fichier du client, vous pouvez l’afficher avec la visionneuse de fichier journal autonome incluse dans le package d’installation. Vous pouvez également exporter les données de la demande vers CSV et XML pour que les données puissent être utilisées dans d’autres applications.
HttpWatch a une API d’automatisation exposée, qui vous permet d’enregistrer les informations de niveau HTTP pendant les tests pour vous aider à trouver les goulots d’étranglement de performances. Le package installe trois exemples d’utilisation de l’API : un dans C via une bibliothèque d’interopérabilité et deux via COM pour Javascript et Ruby. Si vous utilisez Ruby avec Watir à des fins de tests, vous trouverez sur le site Web du produit un didacticiel expliquant comment intégrer HttpWatch dans votre plate-forme de test.
Prix : 249 USD pour une licence utilisateur unique.

Critiques
Microsoft Solutions Framework Essentials
microsoft.com/mspress

Pour livrer des solutions de technologie satisfaisantes, les entreprises ont besoin de processus efficaces et de communications claires. Le livre de Michael S. V. Turner, Microsoft Solutions Framework Essentials (Microsoft Press, 2006), présente les principes de base de Microsoft® Solutions Framework (MSF) version 4.0 et vous montre comment les utiliser pour développer et implémenter des processus et des pratiques de communication testés.
Turner commence par un conseil excellent, en vous disant de ne pas interrompre tout de suite votre processus et votre structure d’organisation actuels tout de suite lorsque vous appliquez les instructions et méthodes MSF. Il suggère plutôt d’implémenter une partie de MSF dans votre développement de produit ou projet, puis d’évaluer son succès. Lorsque cette évaluation est terminée et réussie, choisissez un autre aspect de MSF adapté à votre projet et introduisez-le dans votre cycle de projet standard. De cette façon, vous pouvez adapter MSF à votre environnement tout en atténuant les problèmes imprévus résultant des modifications.
Le livre s’adresse à tous ceux (experts ou non) qui sont impliqués dans la livraison de solutions technologiques. Le chapitre consacré à la mise en place d’une équipe MSF explique comment les personnes techniciennes et non techniciennes peuvent et doivent travailler pour livrer des solutions satisfaisantes. Il prévient, cependant, qu’il peut s’agir là de l’un des aspects les plus difficiles de MSF à implémenter puisqu’il implique des modifications des responsabilités quotidiennes.
Au cœur du changement de structure se trouve la formation d’une équipe de défenseurs dans laquelle les membres travaillent ensemble et représentent des perspectives distinctes, et l’apport d’avantages supplémentaires au processus général. (Bien sûr, un décideur faisant autorité reste nécessaire.) Comme je l’ai décrit, les avocats MSF sont répartis dans sept groupes : Gestion de produit, Gestion de Programme, Architecture, Développement, Test, Expérience utilisateur et Publication/Opérations, chaque groupe ayant sa propre constitution et ses propres responsabilités. Pour les organisations ayant de plus grands groupes, le livre fournit des conseils pour déployer l’idée de groupes de pression verticalement afin de soutenir ces équipes et groupes.
Le risque est inhérent à tous les projets et vous trouverez une mine de conseils de réorganisation pouvant vous aider, vous et votre équipe, à gérer le risque efficacement. Il est important de limiter les risques ; le processus de gestion des risques se décompose en six étapes pouvant permettre d’y parvenir : identification, analyse et définition des priorités, planification et programmation, suivi et création de rapports, contrôle des modifications et ce que l’on retient des expériences passées. De plus, vous devez continuer à évaluer les risques tout au long du cycle du projet. Les points définis dans cette section peuvent vraiment vous aider à atténuer le risque d’échec.
Les principes de base de la livraison de solutions sont présentés en détail, avec notamment des pistes de promulgation où vous prévoyez, planifiez, créez, stabilisez et déployez votre solution, mais aussi définissez les responsabilités de chaque groupe de pression dans chaque étape. Vous découvrez le Modèle de gestion MSF (un affichage plus détaillé de chacune des pistes du cycle de vie d’une livraison de solution) : Prévision, Planification, Création, Stabilisation, Déploiement et pour finir Gestion (c’est-à-dire, guidage de la livraison de solution).
Même si vous pensez que votre rôle au sein de votre organisation ne nécessite pas les outils et processus abordés dans ce livre, en le lisant, vous en apprendrez beaucoup sur vos processus actuels, que vous travailliez dans l’exploitation, le développement ou la gestion de projet. Même si votre travail n’a rien à voir avec le développement de logiciels, les thèmes abordés par Turner vous fourniront un point de départ pour améliorer l’efficacité et les canaux de communication dans votre organisation.
Prix : $44.99.

Modifier des fichiers
UltraEdit
ultraedit.com

Tout professionnel de l’informatique qui se respecte doit avoir un éditeur puissant dans sa boîte à outils. UltraEdit d’IDM Computer Solutions est, selon moi, un éditeur essentiel. Il prend en charge toutes les fonctionnalités et capacités standard que vous obtiendrez avec n’importe quel éditeur de texte digne de ce nom, y compris l’insertion de caractères ASCII, les macros, l’opération rechercher/remplacer par expression régulière, le lancement d’applications externes, la prise en charge UTF et le traitement rapide de fichiers texte énormes. Cependant, UltraEdit compte également quelques fonctionnalités plus rares qui ajoutent encore à sa valeur.
Pour les modifications de base, vous avez un vérificateur d’orthographe multilingue intégré de 100 000 mots, la saisie semi-automatique et la mise en surbrillance de la syntaxe de code pour les langages standard tels que C#. Vous pouvez définir le retour automatique à la ligne dans une colonne spécifiée avec un retour à la ligne obligatoire : une fonction intéressante pour le formatage de courrier électronique texte qui ne peut pas avoir plus d’un certain nombre de lignes. Dans ce scénario, vous pouvez ensuite envoyer le message électronique via UltraEdit en quelques clics de souris. L’application est intégrée à Windows Explorer, donc l’ouverture d’un fichier pour le modifier se fait en un clic droit suivi d’un clic gauche.
Mise en surbrillance de la syntaxe de code dans UltraEdit
Mise en surbrillance de la syntaxe de code dans UltraEdit
UltraEdit n’est pas limité aux fichiers texte. Il traite tout aussi bien les fichiers binaires et vous donne un affichage d’éditeur hexadécimal standard des valeurs hexadécimales, des références de lignes et des valeurs ASCII potentielles. Dans le mode de modification hexadécimal, vous pouvez non seulement couper, copier et coller des valeurs, mais aussi effectuer des opérations rechercher/remplacer standard. UltraEdit inclut un client FTP intégré qui prend en charge des connexions FTP et SFTP. De plus, vous pouvez ouvrir des connexions Secure Shell (SSH) ou TELNET standard.
Pour les développeurs Web, l’application contient un outil de validation HTML intégré pour vérifier les pages Web. UltraEdit a également un mode de colonne pour travailler avec les fichiers de bases de données texte et les fichiers journaux délimités ; ce mode simplifie la modification en vous permettant de parcourir, additionner et modifier vos données. UltraEdit peut même regrouper une série de fichiers dans un projet ou un espace de travail, pour vous permettre d’ouvrir un groupe de fichiers liés en un seul clic. En résumé, UltraEdit a un grand nombre de fonctions qui peuvent faciliter votre vie informatique et la rendre plus efficace.
Prix : 49,95 USD pour une licence utilisateur unique.

Gérer votre configuration mobile
Net-Switch
net-switch.com

Il s’agit là d’un problème courant. Vous vous déplacez d’environnement en environnement (de la cage Datacenter, par exemple, à votre environnement d’Assurance Qualité) votre portable en main. Et vous devez constamment réaffecter l’adresse IP statique et l’imprimante par défaut de votre portable. Si vous avez ce problème, Net-Switch vous intéressera peut-être. Cet utilitaire pratique vous permet de configurer et d’enregistrer plusieurs configurations réseau, chacune avec sa propre affectation d’imprimante par défaut de sorte que vous n’avez plus à vous rappeler ou à taper manuellement ces numéros à chaque fois que vous changez d’environnement.
Net-Switch gère les paramètres des portables
Net-Switch gère les paramètres des portables
L’application est incroyablement facile à utiliser. Il vous suffit de nommer la configuration, de choisir une carte réseau, d’attribuer une adresse IP statique avec son masque, sa passerelle et ses serveurs DNS associés (ou de sélectionner DHCP), de définir une imprimante par défaut et vous êtes fin prêt. C’est une façon peu coûteuse de vous débarrasser d’un tracas quotidien.
Prix : 19,95 USD (vente directe).

Écrire à Boîte à outils
Si vous souhaitez voir votre outil ou utilitaire préféré figurer dans l’un de nos articles, veuillez écrire à l’auteur à l’adresse tntools@microsoft.com.

Greg Steen est un professionnel de l’informatique, dynamique et enthousiaste. Il est constamment à la recherche de méthodes et d’outils innovants destinés à faciliter les opérations et le développement pour les professionnels de l’informatique.


 Forum aux questions sur SQL: Best Practices Analyzer, processeurs multinoyaux et plus encore
Forum aux questions sur SQL
Best Practices Analyzer, processeurs multinoyaux et plus encore
Par Nancy Michell

Q : J’ai certaines questions sur la règle BPA (Best Practices Analyzer) concernant l’utilisation des Tables/Vues qualifiées du schéma. Selon la documentation BPA, cette règle ne vérifie pas la qualification du schéma pour les tables temporaires. Le rapport BPA signale des références aux tables temporaires créées dans des procédures stockées. Doivent-ils être qualifiés ? Si oui, avec quel schéma ? Selon moi, les tables temporaires devraient être qualifiées par rapport à leurs propriétaires, tout comme les autres tables.
R : La recommandation BPA concernant les références des tables et des vues de qualification du schéma ne s’applique pas vraiment à SQL Server™ 2005, car la séparation utilisateur-schéma a réparé le problème qui rendait cette pratique obligatoire pour les versions précédentes de SQL Server. La qualification du schéma était nécessaire pour permettre la réutilisation des plans de requêtes par d’autres utilisateurs qui, dans SQL Server 2000, avaient des schémas par défaut différents. Ils pouvaient utiliser des objets dbo sans qualification, mais SQL Server devait d’abord vérifier les schémas par défaut pour les objets, empêchant la réutilisation des plans de requêtes. Puisque la séparation utilisateur-schéma permet à des utilisateurs différents de partager un schéma par défaut et, dans la plupart des cas, à tous les utilisateurs de base de données d’accéder à des objets dans leurs schémas par défaut, des plans ad hoc avec noms de table et de vue non qualifiées seront normalement partagés et réutilisés entre les utilisateurs. En premier lieu, les noms de tables et de vues non qualifiées au sein des procédures stockées n’ont jamais souffert de ce problème, ce qui justifie encore moins cette pratique. BPA dans SQL Server 2005 n’inclura pas ce genre de règles, car il n’a pas d’analyseur T-SQL. Au lieu de cela, il vérifiera les configurations et paramètres de sécurité inappropriés.

Q : SQL Server 2005 SP1 se comporte de façon étrange. Si je supprime certains enregistrements d’une table et réalise simultanément des insertions sur la même table, celles-ci sont verrouillées jusqu’à ce que la transaction de suppression soit validée. Y a-t-il un moyen de trouver ce qui bloque ?
R : Oui. Vous pouvez exécuter le script DMV (vues de gestion dynamique) de la figure 1 pour trouver les verrous et les bloqueurs.
Figure 1 Trouver le blocage et les verrous (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

Q : En plus des technologies hyperthread et double-noyau, les fournisseurs de puces commencent à sortir des processeurs équipés de noyaux supplémentaires (quatre, huit et plus). J’envisage actuellement d’acheter un nouveau serveur avec des processeurs multinoyaux pour prendre en charge un déploiement de SQL Server 2005 Édition standard et je suis curieux de savoir si, en utilisant un processeur à quatre noyaux, je pourrai utiliser seulement une seule UC physique (puisque l’Édition standard est limitée à quatre UC) ?
R : Dans l’objectif de gestion des licences et de prise en charge de l’édition des UC, SQL Server considère seulement le nombre de sockets/UC physiques, sans tenir compte de celui des noyaux du processeur. Donc, par exemple, le fait que SQL Server 2005 Édition standard prenne en charge jusqu’à 4 UC signifie qu’il prendra en charge 4 sockets d’UC physiques, sans tenir compte du nombre de noyaux de chacune d’entre elles (si vous avez 4 UC physiques avec 4 noyaux chacune, le déploiement de votre Édition standard aurait 16 UC logiques à utiliser). De plus, même si vous avez 16 noyaux/UC logiques, la gestion des licences ne vous contraint à payer que les 4 UC physiques, pas les 16 noyaux. Pour plus d’informations sur SQL Server et le multinoyau, voir microsoft.com/sql/howtobuy/multicore.mspx.

Q : Je suis sur le point d’acheter de nouveaux serveurs de bases de données. Mon organisation doit-elle choisir les 64 bits ou se borner aux versions 32 bits éprouvées et testées ?
R : Ça dépend. Il s’agit d’une question très fréquente maintenant que les fournisseurs transforment leur matériel en le faisant passer de x86 à x64. La première question que vous devriez poser est quelles seront les saturations de mémoire sur votre serveur de bases de données. Si votre instance SQL Server consomme moins de 3 Go de RAM pour toute la durée de vie du matériel (généralement trois années), alors 32 bits x86 est un choix raisonnable, à condition que ce soit également la direction des autres serveurs (contrôleurs de domaine, serveurs DNS, serveurs applicatifs, serveurs Web, serveurs de messagerie). Si l’instance SQL Server consomme plus de 16 Go ou qu’il y a des instances multiples par serveur (ou groupe), vous devriez sérieusement envisager un transfert aux technologies de 64 bits. S’il y a plus de huit processeurs, IA64 est la recommandation standard. Cependant, comme les UC à quatre et huit noyaux x64 commencent à inonder le marché, il peut y avoir un argument de coût significatif pour préférer x64 à IA64.
Lorsque vous effectuez un transfert à x64 (ou IA64), le déploiement de la même architecture dans des environnements de développement, de tests et de performances pourrait ne pas avoir été inclus dans les estimations de coûts initiales. Mais vous devez également réfléchir pour savoir si vous voulez rester coincé avec une ancienne technologie au milieu du cycle de vie de votre matériel. Dans 18 mois, il sera presque impossible de sourcer du matériel purement x86. Si vous choisissez ce genre de solution maintenant, améliorer vos systèmes l’année prochaine ou dans deux ans coûtera cher, car vous devrez tout remplacer. Acquérir du matériel 64 bits maintenant vous donnera plus d’options pour les quelques années à venir.
Ainsi, le bon moment pour faire le saut vers les 64 bits est lors de l’achat de nouveau matériel, au début d’un cycle de version d’applications fondamentales ou lors du passage de SQL Server 2000 à SQL Server 2005.

Q : La fonction envoi de journaux est activée entre mes deux serveurs. Le week-end dernier, un problème de matériel sur le serveur principal à entraîné l’arrêt de l’envoi de journaux. Lorsque je suis revenu pour contrôler cette fonction, j’ai pu voir que LS_backup_dbname s’exécutait sans problème malgré plusieurs heures d’interruption.
Sur le serveur secondaire, cependant, la tâche Copie semble fonctionner convenablement, mais la tâche Restauration a l’air d’ignorer des fichiers et finit toujours par échouer. Elle s’exécute, mais ignore chaque fichier, puis échoue. Ainsi, le temps passé depuis la dernière restauration s’élève maintenant à 849 minutes. Dans le passé et dans des situations similaires, je me contentais de réinitialiser la configuration de l’envoi (c’est-à-dire que j’arrêtais et je redémarrais pour me retrouver avec une nouvelle sauvegarde et pour la restaurer sur le serveur secondaire). Ainsi, l’envoi de journaux recommençait. Y a-t-il une meilleure façon de gérer cette situation ?
R : Ce que vous voyez est probablement la conséquence de fichiers de sauvegarde manquants. Comme vous le savez, les tâches de sauvegarde de l’envoi de journaux, de copie et de restauration s’exécutent de manière indépendante. Les anciens fichiers de l’emplacement de copie sont également supprimés en fonction de la planification que vous spécifiez. Si vous avez eu une période de temps où la tâche de restauration ne s’exécutait pas, elle pourrait avoir dépassé l’intervalle, ce qui pourrait entraîner des fichiers de sauvegarde manquants. La tâche de restauration de l’envoi de journaux dispose d’une logique qui essaie de se rétablir suite à des types différents de défaillances causées par des conditions opérationnelles différentes. Fondamentalement, elle analyse les fichiers lorsque des erreurs surviennent et essaie de trouver les fichiers de sauvegarde corrects. Si le fichier de sauvegarde correct est introuvable, je suppose que quelque chose a supprimé les fichiers nécessaires ou que vous avez peut-être modifié la partie de sauvegarde de l’envoi de journaux ?
L’une des solutions serait d’effectuer une restauration manuelle par le biais des fichiers de sauvegarde du journal des transactions qui ont été créés par inadvertance par l’autre tâche de sauvegarde. Le problème, lorsque l’on se contente de les copier à l’emplacement de copie de l’envoi de journaux, est lié aux conventions de nom reconnues par l’envoi de journaux. Mais une fois que vous avez procédé à une restauration manuelle jusqu’à ce stade, la restauration normale devrait reprendre et continuer.

Q : J’ai besoin de savoir comment utiliser T-SQL pour trouver la taille de la mémoire physique totale et libre. Y a-t-il un moyen simple d’obtenir ces informations ?
R : Il vous suffit d’exécuter la requête de la figure 2 et vous obtiendrez les données que vous recherchez.
Figure 2 Obtenir la mémoire (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

Q : J’aimerais stocker le mot de passe SA (administrateur système) dans un fichier crypté avec une clé symétrique pour faciliter la création de bases de données à partir d’une application. Cela est-il possible ?
R : D’abord, vous ne devriez jamais utiliser le SA à partir d’une application. De plus, vous devriez vous servir de l’Authentification Windows plutôt que de l’authentification SQL Server.
Si vous avez besoin d’exécuter des activités extrêmement privilégiées, voici ce qu’il faut faire : Définissez les autorisations minimales nécessaires à la réalisation de l’action. Définissez un rôle de base de données contenant ces autorisations. Attribuez un utilisateur à ce rôle. Créez une procédure stockée avec la clause EXECUTE AS qui réalisera ces fonctions. Pour une explication de la clause Execute As, consultez msdn2.microsoft.com/ms188354.aspx.
Bien sûr, si on ignore le fait de savoir si le compte en question est le compte SA (et sans oublier que cette Authentification Windows n’est pas toujours la solution) la question que l’on se pose est de savoir comment stocker de façon sûre un mot de passe pour un compte de connexion SQL Server de telle sorte que l’application qui a besoin d’utiliser ce mot de passe puisse y accéder, mais pas les utilisateurs ou les applications non autorisés ?
Le cryptage du mot de passe est un pas dans la bonne direction, mais cela ne fait que déplacer le problème de la protection du mot de passe à la protection de la clé de cryptage.
En supposant qu’il s’agisse d’une application basée sur Microsoft® .NET Framework, jetez un coup d’œil à la bibliothèque d’entreprise sur msdn2.microsoft.com/aa480453.aspx et aux recommandations de la section modèles & pratiques de MSDN® à l’adresse msdn.microsoft.com/practices. La bibliothèque d’entreprise contient plusieurs blocs d’applications qui pourraient vous être utiles, y compris un bloc de configuration, un bloc de cryptographie et un bloc d’accès aux données ; ceux-ci peuvent vous aider à (au moins) stocker de façon sûre vos mots de passe, mais même plus, ils peuvent vous aider à gérer votre accès aux données en règle générale.
Si la bibliothèque d’entreprise ne répond pas à vos questions (peut-être n’utilisez-vous pas .NET Framework), alors vous devez vous familiariser avec CryptoAPI : msdn2.microsoft.com/aa380255.aspx. Ici, vous trouverez la fonctionnalité cryptographique fondamentale distribuée avec le système d’exploitation qui peut vous permettre de lier des clés cryptographiques à un utilisateur ou à un ordinateur, ce qui peut simplifier la gestion des clés (thème qui devient central une fois que vous avez crypté votre mot de passe).

Q : Je veux déplacer mon Cluster Server à deux noyaux SQL Server 2000 (Active/Active — sur du matériel de 64 bits) du Domaine A au Domaine B au sein de la même forêt. La base de données SQL Server est dans le SAN. L’architecture Active Directory® appelle un domaine racine vide avec deux domaines enfants (le Domaine A et le Domaine B). Le Domaine B sera le domaine dans lequel seront placés tous les composants d’infrastructure. Il s’agit d’un environnement Windows Server® 2003 Enterprise doté de contrôleurs de domaine supplémentaires fonctionnant sous Windows 2000.
Est-il possible de modifier l’appartenance de domaine du serveur de SQL Cluster Server du Domaine A au Domaine B ?
R : Pour commencer, jetez un coup d’œil à « Comment modifier des domaines pour un cluster de basculement SQL Server 2000 » et à « Comment déplacer un Windows Cluster Server d’un domaine vers un autre ». Le même processus est valable pour un cluster à instances multiples. La seule différence est que vous aurez à répéter les étapes pour chaque instance, si nécessaire. Il n’est jamais « recommandé » de modifier le domaine d’un groupe, étant donné les complexités que cela engendre, mais cela a été fait de nombreuses fois. Le seul autre moyen serait de procéder comme vous le mentionniez, c’est-à-dire reconstruire une nouvelle instance côte à côte, puis de migrer les données.
Chaque projet est différent et une grande variété d’outils est utilisée pour réellement modifier le niveau du domaine (y compris des considérations de sécurité, les migrations de compte, les mappages du SID, etc.). C’est souvent cet aspect-là qui constitue la partie la plus difficile du processus, pas la modification elle-même.

Merci aux informaticiens Microsoft ci-dessous pour l’apport de leur expertise technique : Sunil Agarwal, Laurent Banon, Steve Bloom, Chad Boyd, Matt Burr, Shaun Cox, Cindy Gross, Bobby Gulati, Matt Hollingsworth, Arnost Kobylka, Mikhail Shir, Fernando Pessoa Sousa, Stephen Strong et Ramu Veeraraghavan.


 Coup de projecteur sur les utilitaires: Bo&#238;te &#224; outils de mise &#224; niveau pour les sites et mod&#232;les SharePoint
Coup de projecteur sur les utilitaires
Boîte à outils de mise à niveau pour les sites et modèles SharePoint
Luis Câmara Manoel and Peter Skjøtt Larsen
Télécharger le code de cet article: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

Avec l’arrivée récente de Windows SharePoint Services (WSS) 3.0, bon nombre d’administrateurs sont confrontés à la tâche de mise à niveau de leurs sites et données WSS 2.0 vers leurs nouveaux environnements WSS 3.0. Même si WSS 3.0 fournit des outils étendus, qui permettent d’effectuer, de manière appropriée, la migration des données de site et
de mettre à niveau la structure des sites, il peut être nécessaire d’effectuer des opérations supplémentaires pour mettre à niveau la structure des sites ou des modèles de sites personnalisés.
Cependant, des opérations supplémentaires peuvent être nécessaires à la mise à niveau de la structure des sites ou modèles de sites personnalisés. Heureusement, l’équipe Microsoft® Solution Accelerator a publié le Guide de boîte à outils de mise à niveau pour les sites et modèles Windows® SharePoint® Services, qui fournit des aides et des outils concernant cette pratique (voir l’encadré « Ressources WSS »). Cet article traite de certains des défis et des solutions associés à la mise à niveau de sites personnalisés vers des environnements WSS 3.0. Mais tout d’abord, reportez-vous à l’encadré « Terminologie WSS » pour obtenir la définition de termes courants.

Le processus de mise à niveau
Pourquoi devez-vous procéder à la mise à niveau ? Il y a de nouvelles fonctionnalités WSS 3.0 qui peuvent inciter les propriétaires de sites à effectuer une mise à niveau :
  • La Corbeille, qui permet aux utilisateurs de récupérer des documents supprimés par inadvertance.
  • La sécurité au niveau des éléments de dossier, qui permet aux administrateurs du site de contrôler les personnes ou les groupes qui ont accès aux dossiers.
  • L’envoi de courriers électroniques à des listes, qui permettent à des listes comme des listes de publication de blog sur un site SharePoint de recevoir du contenu par courrier électronique.
  • Le bouton Actions du site, qui permet aux utilisateurs de créer facilement des sites et des pages, de modifier des pages et de gérer les paramètres du site.
  • Les barres de navigation, qui fournissent un contexte de navigation immédiat à l’utilisateur.
  • Les vues mobiles, qui permettent aux utilisateurs mobiles de tirer parti de fonctions de synchronisation hors ligne pratiques.
  • Les fils RSS, qui permettent aux programmes compatibles RSS comme Internet Explorer 7.0 et Outlook® 2007 d’extraire des informations de listes.
  • La gestion des versions des bibliothèques de documents, qui permet une gestion des versions et un contrôle limités pour la vérification des documents avant la modification.
Dans la mesure où le processus de mise à niveau des sites et des modèles dépend du respect d’étapes spécifiques avant et après la mise à niveau réelle du serveur vers WSS 3.0 (voir la Figure 1), les exigences de mise à niveau de la définition du site et du modèle constituent une étape importante dans la stratégie de mise à niveau globale vers WSS 3.0. Les propriétaires de sites et les responsables de serveurs doivent collaborer pour déterminer les sites et les modèles qui doivent être instanciés et mis à niveau vers un environnement WSS 3.0. Une fois que ces sites personnalisés ont été sélectionnés, le travail de mise à niveau peut commencer.
Figure 1 Flux d’opérations de mise à niveau du site WSS et du modèle de site
Figure 1 Flux d’opérations de mise à niveau du site WSS et du modèle de site

Identifier les modèles de site personnalisé
Comment déterminez-vous si les sites ont été personnalisés ? WSS 3.0 fournit l’outil d’analyse pré-mise à niveau, qui génère un rapport sur les modifications apportées aux modèles de sites pour la ferme entière. Vous devez exécuter cet outil avant de commencer la migration pour sélectionner les modèles de site qui nécessitent une attention particulière.
L’outil fournit un rapport au format XML comme indiqué à la Figure 2. L’élément unghostedPage indique qu’un site a été personnalisé.
Figure 2 Rapport de l’outil d’analyse pré-mise à niveau sur les modifications apportées aux modèles de sites (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Définitions de site personnalisé
La plupart des sites WSS 2.0 personnalisés que vous souhaitez mettre à niveau ont probablement été générés à l’aide de modèles créés à partir de définitions de site WSS standard. Il est possible, cependant, que certains modèles de sites personnalisés aient été générés à partir de définitions de site personnalisé. Cela peut être le cas si les développeurs de votre entreprise ont créé des définitions de site personnalisé ou si vous avez acheté des applications tierces ou des modèles créés à partir de définitions de site personnalisé. Cet article ne décrit que le scénario de définition de site standard. Pour plus d’informations sur le scénario de modèles de sites personnalisés, reportez-vous à l’encadré « Ressources WSS ».
Après avoir vérifié que vos fichiers .stp et vos sites sont vraiment créés à partir de définitions de site standard (ce qui signifie que les définitions de site de mise à niveau existent dans WSS 3.0) vous pouvez poursuivre l’installation et l’instanciation de vos sites.
Pour mettre à niveau des modèles de site WSS 2.0 spécifique, vous devez d’abord installer les modèles sur un serveur WSS 2.0 (voir l’étape 1 de la Figure 1). Ensuite, vous devez créer des sites basés sur chacun des modèles installés.
Pour rationaliser le processus d’installation de plusieurs fichiers .stp, d’instanciation de plusieurs sites et le nettoyage des fichiers temporaires sur le serveur une fois que le processus de mise à niveau est terminé, l’accélérateur de solution fournit un ensemble de scripts qui réutilisent Stsadm.exe (pour plus d’informations, voir l’encadré « Scripts de solution »). Stsadm.exe est une application de ligne de commande qui propose une série complète d’opérations WSS pour gérer des serveurs et des sites SharePoint. Les scripts de solution automatisent ce processus en vous permettant d’installer et d’instancier par lot ou d’effectuer ces tâches séquentiellement. Les gains de temps peuvent être considérables si de nombreux fichiers .stps doivent être installés et si de nombreux sites doivent être instanciés.
Scripts de solution
Le processus d’installation et de création de sites utilise deux scripts qui exécutent Stsadm.exe:
  • Miginststp.cmd installe les modèles de sites à l’aide de l’opération addtemplate de Stsadm.exe. Cette opération comporte les paramètres _SOURCEFILELOCATION, _SOURCEFILENAME et _FILETITLE.
  • MigMakeSite_1.cmd crée les sites. MigMakeSite_1.cmd exécute l’opération createweb de Stsadm.exe. Cette opération comporte les paramètres _SERVERURL, _SITENAME, _SITETEMPLATENAME et _SITETITLE.
Exécutez ces scripts sur le serveur local WSS 2.0 avec l’accès à l’emplacement de vos fichiers de modèle de site (.stp) enregistrés. Pour exécuter ces scripts, vous devez être membre du groupe local Administrateurs sur le serveur ou membre du groupe Administrateurs WSS avec des droits de création de sites. Le Guide de boîte à outils de mise à niveau pour les sites et modèles Windows SharePoint Services décrit en détail comment tirer pleinement parti de ces scripts. Avec vos sites .stps installés et instanciés, vous êtes maintenant prêt à continuer la mise à niveau du serveur. Les approches de la mise à niveau WSS 3.0 sont expliquées en détail dans « Mise à niveau vers Windows SharePoint Services 3.0 » (voir le lien figurant dans l’encadré « Ressources WSS »).

Terminologie WSS
Windows Sharepoint Services possède sa propre terminologie. Voici un glossaire court des termes généralement utilisés.
Définition de site Série de fichiers qui définit un type de site spécifique. Une définition de site inclut des fichiers .xml, .aspx, .ascx et des fichiers Page maître, ainsi que des fichiers de modèles de liste et des fichiers de contenu stockés dans un dossier spécial sur le serveur Web frontal. WSS est fourni avec une série de définitions de site standard, prêtes à l’emploi, dont Site d’équipe, Site vide et Espace de travail du document. À l’origine, ce sont les seuls modèles de sites enregistrés dans la galerie de modèles de sites et qui sont disponibles dans la liste Sélectionnez un modèle dans Nouveau site Sharepoint.
Modèle de site Les modèles de sites indiquent comment instancier un site Sharepoint. Pour créer un site Sharepoint, vous devez sélectionner un modèle de site qui sert de base au site. Par exemple, vous pouvez créer un site appelé « Conseil d’administration », basé sur le modèle standard « Site vide ». Vous pouvez ensuite ajouter des listes, des bibliothèques, des composants WebParts et d’autres personnalisations au site instancié. Pour que ces personnalisations soient disponibles pour d’autres personnes, vous pouvez enregistrer ce site comme modèle appelé « Conseil d’administration », basé sur la définition de site « Site vide ». WSS enregistre le modèle de site personnalisé sous forme de fichier .stp (modèle de site), le place dans la galerie des modèles de sites et l’affiche dans la liste « Sélectionnez un modèle » de la page Nouveau site Sharepoint afin que les utilisateurs puissent par la suite créer des sites basés sur ce modèle. Les modèles de sites contiennent une série de fichiers de configuration de site, dont les fichiers .xml, .aspx, image et d’autres fichiers, qui sont ensuite compressés en un seul fichier .stp (les fichiers .stp possèdent les mêmes fonctions que les fichiers .cab). Le plus important de ces fichiers est le fichier Manifest.xml, qui contient des informations critiques telles que la structure du site et la navigation, les listes et les bibliothèques, le positionnement des composants WebPart, les définitions de liste personnalisées et la définition de site sur lequel le modèle de site personnalisé est basé.
Modèle d’application Modèles de site Windows SharePoint Services développés pour répondre aux besoins de processus métier ou de tâches spécifiques. Ils sont publiés par Microsoft et peuvent être téléchargés gratuitement par les clients de WSS.
Site personnalisé Site Sharepoint avec une interface utilisateur modifiée.
Page maître Zone dans laquelle les informations de disposition par défaut, comme la bannière, les commandes de navigation et les autres menus peuvent être enregistrés pour que l’interface soit cohérente sur tout le site.
Pages dupliquées Pages dont le contenu n’est pas enregistré dans la base de données WSS, mais plutôt lu à partir d’un fichier de définition de site. Les pages dupliquées n’ont pas été personnalisées.
Pages non dupliquées Pages qui ont été modifiées dans le fichier de définition de site et dont le contenu est stocké dans la base de données WSS.

Après la mise à niveau du serveur : contrôle du site
Vous êtes maintenant arrivé à l’étape 2 du flux d’opérations de mise à niveau (voir la Figure 1). Les étapes à suivre pour mettre à niveau le site et le modèle sont les suivantes :
  1. Ouvrez et vérifiez les sites mis à niveau.
  2. Appliquez la page maître par défaut.
  3. Corrigez les problèmes de fonctionnalité et de disposition au niveau des nouveaux sites.
  4. Enregistrez les sites corrigés sous formes de nouveaux modèles de sites WSS 3.0.
  5. Redéployez les nouveaux modèles de sites WSS 3.0 sur le serveur.
  6. Créez des sites à partir des modèles de sites redéployés.
  7. Ouvrez les nouveaux sites et vérifiez qu’ils fonctionnent de la manière escomptée.
  8. Lancez le processus de nettoyage.

Réinitialisation de la définition de site
Lorsque vous ouvrez votre site mis à niveau pour la première fois, vous découvrez qu’il ressemble toujours beaucoup à un site WSS 2.0. Pour que le site se présente davantage comme un site WSS 3.0, vous devez d’abord réinitialiser la définition de site sur votre nouveau site WSS 3.0. Cette opération corrige la plupart des problèmes de disposition et vous ne perdez pas les personnalisations apportées aux composants WebParts, sous réserve que ces composants se trouvent déjà dans une zone WebPart qui existe dans la page de définition de site. Cette action applique également la page maître par défaut à toutes les pages de vos sites.
Une page maître, comme son nom l’indique est une zone dans laquelle les informations de disposition par défaut, comme la bannière, les commandes de navigation et les autres menus peuvent être enregistrées pour préserver la cohérence de l’apparence. Cela permet d’apporter des modifications à la conception dans la page maître et que ces modifications soient répercutées sur tout le site. En appliquant des pages maîtres, toutes les fonctionnalités WSS 3.0 natives seront activées dans vos sites mis à niveau.
Même si le site doit dorénavant se présenter et fonctionner comme un site WSS 3.0 natif, vous pouvez toujours rencontrer des aspects qui posent problème comme les forums de discussion, les composants WebPart personnalisés, les liens hypertextes et les thèmes.

Correction des éléments défaillants
Des problèmes peuvent survenir dans les modèles de sites mis à niveau et personnalisés. Voici certains des problèmes les plus courants et quelques idées simples pour les corriger.
C’est la feuille de style WSS 2.0 par défaut qui continue à être appliquée à un site. Supprimez l’ancienne feuille de style dans Sharepoint Designer.
Des composants WebPart manquent ou ne se trouvent pas au bon endroit. Déplacez ou insérez les composants WebPart à l’aide de SharePoint Designer.
Les composants WebPart ne fonctionnent pas correctement. Supprimez les composants WebPart qui ne sont pas compatibles avec WSS 3.0 et prenez contact avec le développeur WebPart pour demander si des composants WebPart correspondants ont été générés pour les environnements WSS 3.0.
L’apparence des listes et des bibliothèques personnalisées n’est pas correcte. Enregistrez vos données existantes. Ensuite recréez la liste ou la bibliothèque personnalisée, et importez les données enregistrées.
Les fonctionnalités WSS 3.0 activées ne sont pas disponibles. Les fonctions de collaboration d’équipe ont peut-être été activées explicitement dans les fonctionnalités du site.
Les liens hypertextes ne fonctionnent plus. Les liens hypertextes codés en dur peuvent nécessiter une mise à jour manuelle.
Le thème a été modifié. Appliquez le thème WSS approprié.

Opération presque terminée
Comme la fin des processus approche et que les problèmes ont tous été corrigés, il est temps d’effectuer une vérification finale des sites. Vous devez enregistrer les sites corrigés sous forme de modèles de sites WSS 3.0, exécuter une nouvelle installation et une nouvelle instanciation de site .stp (vous pouvez également utiliser les scripts pratiques ici) et, enfin, ouvrir le site pour vérifier que tous les problèmes ont été pris en compte et que vos sites mis à jour et vos fichiers .stps sont prêts à être distribués dans votre environnement de travail.

Alternatives à la mise à niveau
La mise à niveau des modèles à l’aide des outils et des processus automatisés décrits ici ne constitue peut-être pas toujours la meilleure approche. Si vous utilisez des modèles de tiers très personnalisés, vous n’arriverez peut-être pas à mettre à niveau les modèles tout seul et il peut être plus approprié d’attendre une nouvelle version du modèle. Dans d’autres cas, il peut être préférable de créer un modèle totalement nouveau dans WSS 3.0, puis de mettre en œuvre les fonctionnalités de l’ancien modèle.

Modèles d’application
Il existe un ensemble de modèles d’application développés par Microsoft, disponibles pour WSS 2.0 et WSS 3.0. Le nouvel ensemble WSS 3.0 inclut des versions mises à niveau de certains modèles d’application WSS 2.0. Si vous avez utilisé l’un de ces modèles, vous pouvez transférer la version WSS 3.0 mise à niveau dans votre environnement WSS 3.0.
Si vous avez utilisé l’un des modèles d’application WSS 2.0 qui n’a pas été mis à niveau pour WSS 3.0, l’accélérateur de solution met à votre disposition un ensemble de modèles d’applications WSS 2.0 qui ont été mis à niveau de manière à fonctionner dans un environnement WSS 3.0.

Résumé
La boîte à outils de mise à niveau pour les sites et modèles Windows SharePoint Services peut s’avérer extrêmement utile pour vous aider à conserver vos modèles, sites et personnalisations WSS 2.0 dans votre environnement WSS 3.0. Pour plus d’informations à ce sujet et pour vous procurer la boîte à outils, visitez les sites indiqués dans l’encadré « Ressources WSS ».
Nous souhaitons remercier Betty Houser pour ses précieuses contributions à cet article et à l’accélérateur de solution.
Ressources WSS
  • Outil d’analyse pré-mise à niveau
  • Boîte à outils de mise à niveau pour les sites et modèles Windows SharePoint Services
  • Mise à niveau vers Windows SharePoint Services 3.0 (bibliothèque technique Windows SharePoint Services 3.0)
  • Déployer des fichiers de définition de mise à niveau et de nouvelles définitions de site

Luis Câmara Manoel est responsable de programme au sein du groupe Microsoft Solution Accelerator. Il travaille chez Microsoft depuis un an. Auparavant, Luis travaillait comme chef de projet et responsable de programme chez Novell Inc et Volera à Provo (Utah). Vous pouvez prendre contact avec Luis à l’adresse : luiscam@microsoft.com.
Peter Skjøtt Larsen est responsable de produit au sein du groupe Microsoft Solution Accelerator. Il travaille chez Microsoft depuis plus de quatre ans et occupe des fonctions de développement et de marketing. Auparavant, il développait des logiciels client et serveur pour les secteurs de la finance, de l’ingénierie et des télécommunications. Vous pouvez prendre contact avec Peter à l’adresse : petela@microsoft.com.


 L’informatique: &#201;laboration d’un plan d’activit&#233;s
L’informatique
Élaboration d’un plan d’activités
Stephen Ibaraki

Un grand nombre de lecteurs savent déjà qu’il n’est pas possible de nos jours de réaliser un achat ou un investissement en informatique, de nos jours, sans avoir une bonne raison pour le justifier. Fini les achats dans le seul but de posséder la toute dernière innovation informatique. La technologie imprévue, sans contrainte, était autrefois considérée comme essentielle pour dominer
le marché et garantir une croissance. Ce concept a pris fin avec l’implosion point-com qui a mis la pression sur l’informatique. Aujourd’hui, il faut que l’entreprise retire une véritable valeur des projets informatiques.
Avec des budgets resserrés, comment justifier un investissement informatique ? La réponse se trouve dans la réalisation d’un script commercial intégrant une solution technologique unifiée et complète. À quoi ressemblerait ce script ? Quels sont les éléments indispensables pour établir un script commercial ? Comment employer un modèle de plan d’activités pour justifier un projet informatique ? Que devez-vous chercher lorsque vous intégrez les bonnes solutions technologiques au sein du script commercial ? Je vais vous donner quelques idées à prendre en considération.

Création d’entreprises
Pour réussir, une entreprise ou organisation doit générer une valeur quantifiable pour les parties prenantes, ce qui inclut les employés, les clients, les partenaires, les fournisseurs et les propriétaires. Cette valeur doit être clairement définie et mesurée avec des ajustements continus pour permettre l’amélioration.
Dans un monde de plus en plus connecté, une entreprise doit permettre une collaboration efficace avec des réseaux internes et externes, optimisant ainsi l’interaction des relations en temps réel. Qui veut attendre un service, une réponse à une question ou une livraison de produit ? Qui veut d’un projet retardé ou d’une inaction due à un problème de communication ? Avec l’avènement d’Internet et le développement de plus en plus rapide de la globalisation, la concurrence peut être juste à côté ou sur un autre continent. Par conséquent, une entreprise doit créer une différenciation dans cet environnement compétitif. Comment une organisation se distingue-t-elle de la foule ?
Par ailleurs, une entreprise doit être souple : elle doit être constamment consciente de l’environnement interne et externe et capable de sélectionner rapidement puis d’implémenter une initiative d’entreprise à partir d’un éventail de choix. De cette façon, l’entreprise tire parti de ses forces et corrige ses faiblesses pour exploiter de nouvelles opportunités. Ces opportunités permettent la croissance avec de nouveaux marchés, de nouveaux clients, de nouveaux produits et de nouveaux services. Une entreprise doit également évaluer et atténuer les menaces, y compris la concurrence. Tout ceci est fait en mettant l’accent sur les améliorations de la productivité et de l’efficacité tout en gérant les frais d’exploitation et les risques.
Un investissement technologique doit encourager cette souplesse, et accélérer la commercialisation, apporter une réponse instantanée aux besoins des clients, anticiper les menaces concurrentielles, augmenter la productivité, améliorer l’efficacité et réduire les frais d’exploitation et les risques.
Jusqu’ici, j’ai parlé des clés de la réussite de l’entreprise et de la façon dont l’informatique doit prendre en charge et s’aligner avec ces clés. En fait, si ceci ne se produit pas, l’informatique devient une surcharge de coût dont l’existence ne peut pas être justifiée ! En prenant une approche de plan d’activités, vous aurez un script commercial garantissant la réussite de l’entreprise. Ceci se traduit par une réussite informatique.

Création d’un plan d’activités
Il est essentiel de lier les investissements informatiques à l’augmentation de la valeur de l’entreprise : différenciation, baisse des coûts, objectif de marché, collaboration et innovation. Une approche par plan d’activités répond à ce besoin.
Les éléments fondamentaux d’un plan d’activités informatiques sont présentés à la figure 1. Quel est l’objectif de votre plan ? La définition de la mission et la vision stratégique décrivent ce que l’entreprise fait aujourd’hui et ses projets pour l’avenir. Veillez à expliquer clairement comment votre projet informatique prend en charge cet objectif global. Vous devrez énoncer les liens entre les investissements informatiques et les objectifs de l’entreprise, en particulier la façon dont les objectifs informatiques prennent en charge la direction stratégique de l’entreprise : il doit y avoir un alignement.
Figure 1 Éléments du projet d’entreprise (Close Figure 1)

Élément | Description
Objectif | Présente les liens entre les investissements et les objectifs de l’entreprise.
Vision | Les résultats de l’entreprise et comment l’informatique prendra cet objectif en charge.
Mission | L’entreprise actuelle et comment l’informatique améliore cette mission d’entreprise.
Opportunité de marché | Le marché à capturer et sa valeur pour l’entreprise.
Modèle d’entreprise | Les produits ou services que l’informatique propose pour capturer l’opportunité de marché.
Marchés cibles | Les clients (ou clients potentiels) à servir.
Intégration avec l’informatique | L’alignement des produits et services avec les ressources technologiques.
Analyse compétitive | La liste des concurrents, avec leurs forces et leurs faiblesses.
Analyse SWOT | Forces, faiblesses, opportunités, menaces.
Analyse des ressources | L’infrastructure existante et les ressources prévues requises.
Mesures pour la réussite informatique | Les aspects du projet qui peuvent être mesurés.
Prévisions financières | Le délai pour le retour sur investissement.
Votre présentation de l’opportunité de marché doit expliquer comment l’informatique permet ou prend en charge la nouvelle opportunité de marché et quelle valeur en résultera. Quel est le modèle d’entreprise spécifique ? Quels produits et services l’entreprise offre-t-elle en contrepartie du revenu ? Quelle est la taille du marché potentiel et quelle part peut être capturée grâce aux améliorations informatiques ? Comment l’informatique développe-t-elle ce modèle d’entreprise ? Vous devriez expliquer comment les investissements informatiques peuvent améliorer le workflow et le processus métier au sein du modèle d’entreprise énoncé : en améliorant les opérations, réduisant les coûts, augmentant l’efficacité, permettant la collaboration, les communications, la planification et la messagerie. Tous ces aspects peuvent entraîner une baisse des coûts ou une augmentation de la productivité. N’oubliez pas d’énoncer l’innovation dans les activités de l’entreprise qui peut être atteinte grâce à l’informatique.
De plus, vous devez parler de vos marchés cibles. Prenez en compte la façon dont vos projets informatiques permettent à l’entreprise d’augmenter la pénétration sur les marchés cibles existants ou les nouveaux marchés. Expliquez quels systèmes de livraison sont utilisés pour les produits et les services et comment le support informatique peut fournir un meilleur service et une meilleure livraison à ces marchés.
Ceci devrait mener directement à un examen de la façon dont les produits ou services de votre entreprise s’intègrent avec la technologie informatique. Quels produits et services spécifiques sont saisis sur la plate-forme technologique unifiée et intégrée ? Comment l’informatique prend-elle en charge les produits ou services ? Comment ceci est-il lié aux objectifs d’entreprise ? Voilà votre tremplin pour suggérer comment l’informatique peut améliorer la gestion des services, la livraison de projet et les relations internes et externes. L’informatique permet des modifications de l’entreprise : amélioration des attentes au niveau des services, intégration d’une vue d’ensemble efficace, définition des priorités, respect des réglementations, confidentialité et sécurité. Tous ces points doivent figurer dans votre plan d’activités.
Votre analyse compétitive traite du paysage dans lequel votre entreprise évolue. Qui sont vos concurrents ? Quelles sont leurs forces et leurs faiblesses ? Précisez comment vos concurrents emploient la technologie et comment ils ont amélioré leur position sur le marché. L’informatique fournit-elle un avantage compétitif à votre entreprise par rapport à ses rivaux ? Expliquez comment l’informatique améliore la souplesse de votre entreprise, permet la croissance, accélère l’entrée sur de nouveaux marchés, prend en charge de nouveaux clients, améliore le service pour les clients existants et ainsi de suite. Comment la technologie fournit-elle une différenciation et des avantages pour votre entreprise ? Comment l’informatique augmente-t-elle les obstacles pour les concurrents ?
Une analyse SWOT étudie de façon formelle les forces, les faiblesses, les opportunités et les menaces associées à votre entreprise. Quelles sont les opportunités et les menaces externes pour votre entreprise ? Comment l’informatique améliore-t-elle les forces internes de l’entreprise pour profiter de nouvelles opportunités externes ? Comment l’informatique surmontera-t-elle des faiblesses internes et placera-t-elle l’entreprise pour engager de nouvelles opportunités à la suite de ces efforts ? Comment les menaces externes sont-elles réduites ou atténuées grâce à des investissements informatiques ?
N’oubliez pas de tenir compte des exigences en matière de ressources pour un investissement informatique avant, pendant et après l’implémentation. Ceci inclut les personnes, le matériel et l’infrastructure. De quelles connaissances ou infrastructure existantes pouvez-vous tirer parti et quels achats devrez-vous prévoir ? Combien de temps faudra-t-il pour recouvrer les coûts des nouvelles formations ou nouveaux équipements ? Si de nouveaux investissements représentent des avantages au-delà de votre plan d’activités spécifique, ne manquez pas de les mentionner également.
Pour savoir si votre plan d’activités répond à vos attentes, énoncez à l’avance les mesures de la réussite. Quels aspects de votre plan peuvent être mesurés ? À quelle fréquence mesurerez-vous la réussite et que ferez-vous si vous ne prenez pas les objectifs en charge efficacement ? Quels sont les plans de secours en cas d’imprévus perturbateurs ?
Aucun plan d’activités n’est complet sans prévisions financières. Quel est le coût total de la propriété et comment ce coût sera-t-il justifié dans les nouvelles opportunités de marché ? Et quelle est la valeur de ces opportunités ? Où et de quelles façons le retour sur investissement sera-t-il réalisé en cas de réussite ? Quels sont les délais pour le retour sur investissement ? Comment l’informatique améliore-t-elle les objectifs financiers de l’entreprise par la croissance des revenus et de la rentabilité et la baisse des coûts ?

Suite
Rien ne garantit que vos plans fonctionnent réellement. Mais en faisant l’effort de réfléchir à et de développer un plan d’activités, vous serez aux commandes. Vous aurez envisagé tous les problèmes potentiels et soit révisé votre plan soit présenté des plans d’urgence. Vous aurez également une idée claire des coûts et avantages impliqués, y compris les coûts de non-poursuite. Pour finir, il n’y a pas de moyen de savoir si vous avez réussi ou échoué pitoyablement sans une sorte d’échelle de référence. Ces mesures seront utiles pour montrer au patron l’importance de votre plan pour l’entreprise quand arrivera l’heure des bonus.
Pour un dialogue continu sur les activités informatiques, je recommande l’IT Managers Connection à l’adresse blogs.technet.com/cdnitmanagers. Il y a également un certain nombre de ressources liées aux plans d’entreprise sur le site Web Microsoft. Le Small Business Center fournit un didacticiel sur l’écriture d’un plan d’activités à l’adresse microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx et Office en ligne (office .microsoft.com/en-us/templates) dispose d’un certain nombre de modèles de plans d’activités en plus de ceux fournis avec le système Microsoft Office 2007.

Stephen Ibaraki est un professeur de métier et technologies récompensé travaillant dans le commerce et l’informatique depuis plus de 35 ans. Il est actuellement vice-président du conseil d’administration de l’association NPA (Network Professional Association) internationale. Contactez Stephen à l’adresse suivante : www.StephenIbaraki.com.


 Le petit c&#226;bleur: EAPHost dans Windows
Le petit câbleur
EAPHost dans Windows
Joseph Davies
Dans cette rubrique, les informations de la version bêta concernant Windows Server « Longhorn » sont susceptibles d’être modifiées.

Lorsqu’un client d’accès se connecte à un réseau protégé, il doit utiliser une méthode d’authentification négociée pour se vérifier auprès d’un serveur d’authentification. Par exemple, le client d’accès et le serveur d’authentification peuvent consentir à utiliser un protocole d’authentification par mot de passe spécifique, tel que Microsoft Challenge Handshake Authentication
Protocole version 2 (MS-CHAP v2). Cependant, lorsqu’un client d’accès et un serveur d’authentification utilisent des méthodes d’authentification intégrées et codées en dur, il est difficile d’ajouter de nouveaux protocoles.
L’EAP (Extensible Authentication Protocol) est une infrastructure architecturale qui fournit de l’extensibilité aux méthodes d’authentification pour les technologies d’accès réseau protégées fréquemment utilisées, telles que les réseaux sans fil basés sur IEEE 802.1X et les connexions PPP (Point-to-Point Protocol), comme la numérotation et le VPN. EAP n’est pas une méthode d’authentification comme MS-CHAP v2, mais plutôt une infrastructure sur le client d’accès et le serveur d’authentification qui permet aux fournisseurs de mise en réseau de développer et de facilement installer les nouvelles méthodes d’authentification connues sous le nom d’EAP. Pour plus d’informations de base sur EAP, voir la page Web Microsoft EAP sur microsoft.com/eap.
Bien qu’EAP soit pris en charge par Microsoft® Windows® depuis Windows 2000, l’architecture EAP dans Windows XP et Windows Server® 2003 est limitée pour les méthodes EAP et les demandeurs, lesquels sont des composants logiciels pouvant utiliser EAP sur un type spécifique de couche liaison. L’architecture EAPHost dans Windows Vista™ et dans la prochaine version de Windows Server, dont le nom de code est « Longhorn », traite de ces limites, ce qui, pour les fournisseurs de réseau tiers, facilite l’extension de Windows pour les nouveaux demandeurs et les nouvelles méthodes EAP.

Prise en charge d’EAP dans Windows Server 2003 et Windows XP
Windows Server 2003 et Windows XP utilisent EAP pour les connexions sans fil ou câblées qui procèdent à des authentifications avec 802.1X et pour les connexions basées sur PPP, telles que les connexions à distance ou site à site basées sur une numérotation ou un VPN. Ces systèmes d’exploitation contiennent plus particulièrement une mise en œuvre d’EAP qui adhère à la norme RFC 2284 et inclut les demandeurs IEEE 802.1X et PPP. La figure 1 montre l’architecture EAP et des demandeurs pour Windows XP et Windows Server 2003. Il faut remarquer, cependant, que la mise en œuvre d’EAP dans Windows XP Service Pack 2 (SP2) et Windows Server 2003 SP1 ne prend pas en charge la norme RFC 3748 (norme Internet actuelle pour EAP) et les autres RFC EAP.
Figure 1 Architecture EAP et des demandeurs pour Windows XP et Windows Server 2003
Figure 1 Architecture EAP et des demandeurs pour Windows XP et Windows Server 2003
Dans Windows XP et Windows Server 2003, c’est une API EAP qui permet d’étendre l’authentification. Bien que les fournisseurs tiers puissent développer et installer les nouvelles méthodes EAP, les demandeurs PPP et 802.1X intégrés sont incapables d’utiliser toutes les méthodes EAP installées. Par exemple, un fournisseur pourrait créer une nouvelle méthode d’authentification EAP d’analyse des empreintes digitales, mais celle-ci pourrait ne pas être disponible pour les connexions sans fil.
En raison des limites des demandeurs intégrés, certains fournisseurs tiers de logiciels et de matériel développent leurs propres demandeurs, lesquels remplacent et désactivent généralement les demandeurs intégrés, ainsi que l’intégralité de l’architecture EAP. Cependant, cette alternative présente quelques problèmes. D’abord, le remplacement des demandeurs intégrés et de l’architecture EAP entraîne des coûts au niveau du développement et provoque des retards. De plus, si un client d’entreprise ne développe pas ses propres demandeurs, l’octroi de licences et l’installation d’un produit tiers peuvent engendrer des coûts par siège.

Fonctionnalités d’EAPHost
EAPHost possède les nouvelles fonctionnalités suivantes :
Prise en charge de méthodes EAP supplémentaires. EAPHost prendra en charge l’installation et l’utilisation de toutes les méthodes EAP listées dans le Registre EAP sur www.iana.org/assignments/eap-numbers, ainsi que d’autres méthodes d’authentification fréquentes, telles que Lightweight EAP (LEAP), développée et fournie par Cisco Systems, Inc.
Découverte réseau EAPHost prend en charge la découverte réseau telle que définie dans la norme RFC 4284.
Conformité à la norme RFC 3748 EAPHost est conforme à l’ordinateur d’état EAP et traite plusieurs failles de sécurité qui ont été spécifiées dans la norme RFC 3748. Auparavant, les demandeurs devaient effectuer eux-mêmes cette mise en place. De plus, EAPHost prend en charge des capacités telles que les types Expanded EAP (y compris les méthodes EAP spécifiques aux fournisseurs).
Coexistence des méthodes EAP EAPHost permet la coexistence simultanée de plusieurs mises en place de la même méthode EAP. Par exemple, vous pouvez installer et sélectionner la version PEAP (Protected EAP) de Microsoft et celle de Cisco Systems, Inc.
Architecture modulaire des demandeurs EAPHost prend en charge une architecture modulaire de demandeurs dans laquelle il est facile d’ajouter de nouveaux demandeurs sans devoir remplacer la mise en place complète d’EAP, comme vous le faisiez dans la version précédente.
Pour les fournisseurs de méthodes EAP, EAPHost prend en charge les méthodes EAP déjà développées pour Windows XP et Windows Server 2003, ainsi qu’une méthode plus facile visant au développement de nouvelles méthodes EAP pour Windows Vista et Windows Server « Longhorn ». EAPHost permet également une meilleure classification des types EAP pour que le demandeur IEEE 802.1X intégré puisse les utiliser.
Pour les fournisseurs de demandeurs, EAPHost fournit la prise en charge de demandeurs supplémentaires pour les nouvelles couches liaison. Étant donné qu’EAPHost est intégré à NAP (Network Access Protection), les nouveaux demandeurs n’ont pas besoin d’y être sensibles. Pour participer à NAP, les nouveaux demandeurs ont juste besoin d’enregistrer un identificateur de connexion et une fonction de rappel qui informe le demandeur qu’il doit s’authentifier à nouveau. Pour plus d’informations sur NAP, voir la rubrique Vigilance sécurité de John Morello dans ce numéro de Technet Magazine, de même que la page Web NAP sur microsoft.com/nap. Pour des renseignements concernant le développement des méthodes EAP ou des demandeurs pour EAPHost, voir EAPHost à l’adresse msdn2.microsoft.com/aa364249.aspx.

Architecture d’infrastructure EAPHost et EAP
L’architecture EAPHost se compose de l’architecture d’infrastructure EAP pour EAPHost, l’architecture EAPHost sur l’homologue EAP (le client qui authentifie) et l’architecture EAPHost sur le serveur d’authentification. La figure 2 montre les composants de l’architecture d’infrastructure EAP pour EAPHost sur les ordinateurs fonctionnant sous Windows Vista ou Windows Server « Longhorn ». Sur ces systèmes d’exploitation, l’homologue EAP a une couche de demandeurs (tels que le demandeur intégré pour 802.1X), la nouvelle architecture EAPHost pour les homologues EAP (facilitant la communication et la gestion des demandeurs et des méthodes EAP) et une couche de méthodes EAP visant à l’exécution de l’authentification.
Figure 2 L’architecture d’infrastructure EAP pour EAPHost
Figure 2 L’architecture d’infrastructure EAP pour EAPHost
Le serveur d’authentification pour Windows Server « Longhorn » dispose du NPS (Network Policy Server), la nouvelle architecture EAPHost pour les serveurs d’authentification, ainsi que d’une couche de méthodes EAP. Anciennement connu sous le nom d’IAS (Internet Authentication Service) dans Windows Server 2003, NPS est un serveur et un proxy RADIUS (Remote Authentication Dial-In User Service), ainsi qu’un serveur de stratégie pour NAP.
Le demandeur de l’homologue EAP utilise une technologie de couche liaison, telle que PPP ou 802.1X, pour envoyer et recevoir des messages EAP sur la liaison entre l’homologue EAP et l’authentificateur direct (un serveur d’accès réseau comme point d’accès sans fil ou un serveur d’accès à distance). L’authentificateur direct et le NPS du serveur d’authentification utilisent RADIUS pour envoyer et recevoir des messages EAP sur le réseau basé sur IP, lequel se situe entre ces deux entités.
Une fois que l’homologue EAP et le serveur d’authentification ont négocié l’utilisation d’une méthode EAP spécifique, la communication logique se compose de messages EAP envoyés entre la méthode EAP négociée sur l’homologue EAP et le serveur d’authentification.
La figure 3 montre l’architecture EAPHost sur l’homologue EAP fonctionnant sous Windows Vista ou Windows Server « Longhorn ». Cette architecture est constituée de demandeurs, composants EAPHost, composants de gestion des méthodes EAP et composants NAP.
Figure 3 Architecture EAPHost sur l’homologue EAP
Figure 3 Architecture EAPHost sur l’homologue EAP
Windows Server et Windows Server « Longhorn » incluent un demandeur 802.1X pour les connexions sans fil et câblées basées sur 802.1X. Un demandeur PPP pour les connexions à distance ou site à site basées sur la numérotation ou un VPN visant à prochainement mettre à jour ces deux systèmes d’exploitation est en cours d’étude. Il est également possible d’ajouter d’autres demandeurs développés par des tiers. L’API EAPHost permet aux demandeurs d’utiliser EAP pour les connexions. Pour plus d’informations, voir l’article correspondant sur msdn2.microsoft.com/aa364249.aspx.
Les composants EAPHost incluent le Validateur de machine/protocole d'état de client EAP, qui maintient l’ordinateur d’état de l’homologue EAP (voir RFC 3748) et valide les messages EAP. Également compris est le Gestionnaire de méthodes EAP, qui gère les diverses méthodes EAP, qu’elles soient compatibles ou non à EAPHost, et aide à mettre à disposition les méthodes EAP aux applications et services. Pour finir, il y a le Gestionnaire de bibliothèques EAP, qui facilite le chargement et le déchargement des bibliothèques de méthodes EAP.
Les composants des méthodes EAP comprennent :
Les méthodes EAP intégrées. Elles comprennent PEAP, EAP-TLS (Transport Layer Security) et EAP-MS-CHAP-V2.
Deux API hôtes Ces API hébergent des méthodes EAP non compatibles avec EAPHost (API EAP héritée) et des méthodes EAP compatibles avec EAPHost (API de méthode EAPHost).
Méthode de traduction héritée. Elle traduit les méthodes EAP non compatibles avec EAPHost écrites pour l’API EAP héritée et l’API de méthode EAPHost.
Gestionnaire de proxy de la méthode EAP . Il héberge des méthodes EAP tierce, qu’ils soient compatibles ou non avec EAPHost.
L’API de méthode EAP est la nouvelle API pour les méthodes EAP compatibles avec EAPHost. Les méthodes EAP exportent les API définies dans l’API de méthode EAP. EAPHost charge les méthodes et appels EAP dans les fonctions d’API exportées.
Les composants NAP incluent les éléments suivants :
Messager CC NAP EAP . Ce composant facilite la communication de données liées à NAP, telles que les déclarations d’intégrité et les événements, entre le EAPHost NAP EC (Enforcement Client) et les autres composants EAPHost.
CC NAP EAPHost . Il interagit avec les autres composants NAP pour fournir une validation et une application d’accès restreint de l’intégrité lorsqu’une connexion 802.1X authentifiée n’est pas conforme aux exigences d’intégrité d’un système NAP.
Agent NAP Il maintient l’état actuel d’intégrité du client et facilite la communication entre les NAP EC installés et la couche SHA (System Health Agent). Chaque SHA est défini pour une ou plusieurs exigences d’intégrité d’un système.
Comme le montre la figure 3, les fournisseurs tiers peuvent développer de nouveaux demandeurs et de nouvelles méthodes EAP compatibles avec EAPHost. Vous pouvez également utiliser les méthodes EAP existantes développées pour Windows Server 2003 ou Windows XP.
La figure 4 montre l’architecture EAPHost sur le serveur d’authentification fonctionnant sous Windows Server « Longhorn » et NPS. Cette architecture est identique à celle de l’homologue EAP et prend en charge les méthodes EAP. Au lieu des demandeurs, le serveur d’authentification dispose du NPS, qui utilise l’API EAPHost pour utiliser et configurer les méthodes EAP. Au sein des composants EAP, le Validateur de machine/protocole d'état de serveur EAP s’occupe de maintenir la machine d’état du serveur d’authentification EAP et de valider les messages EAP entrants.
Figure 4 Architecture EAPHost sur le serveur d’authentification
Figure 4 Architecture EAPHost sur le serveur d’authentification
EAPHost sur le serveur d’authentification permet aux fournisseurs tiers de logiciels de développer et d’installer de nouvelles méthodes EAP compatibles avec EAPHost et prend en charge les méthodes EAP qui ont déjà été développées pour Windows XP et Windows Server 2003.
Pour l’homologue EAP et le serveur d’authentification, EAPHost fournit également une API de proxy d’interface utilisateur EAPHost (qui n’apparaît pas aux figures 3 et 4) que les méthodes compatibles avec EAPHost peuvent utiliser pour afficher des boîtes de dialogue nécessitant l’interaction des utilisateurs. L’API de proxy d’interface utilisateur EAPHost permet aux fournisseurs tiers d’ajouter leurs propres boîtes de dialogue pour une expérience utilisateur plus transparente.

Conclusion
Dans Windows Server « Longhorn » et Windows Vista, EAPHost met à jour la mise en œuvre d’EAP dans Windows, pour se conformer aux dernières normes Internet, et fournit une nouvelle architecture modulaire permettant d’étendre Windows avec des méthodes d’authentification et des demandeurs EAP. Les fournisseurs de mise en réseau peuvent étendre l’expérience utilisateur existante dans Windows sans remplacer la mise en œuvre complète d’EAP par Windows et ce, en développant de nouveaux demandeurs écrits pour l’API d’EAPHost et de nouvelles méthodes d’authentification écrites pour l’API de méthode EAPHost. EAPHost prend également en charge les méthodes EAP existantes développées pour Windows Server 2003 et Windows XP.
EAPHost pour Windows XP
Microsoft prévoit de sortir une mise à jour pour Windows XP SP2, incluant l’architecture EAPHost, la prise en charge de la norme RFC 3748 et un demandeur basé sur EAPHost pour la connectivité 802.1X câblée. Avec cette mise à jour, les demandeurs EAPHost développés pour Windows Vista fonctionneront également sous Windows XP SP2. Pour les toutes dernières informations sur cette mise à jour, consultez le blog de l’équipe produit NAP à l’adresse blogs.technet.com/nap.

Joseph Daviesest rédacteur technique chez Microsoft et il enseigne et écrit sur le réseau Windows depuis 1992. Il a écrit cinq livres pour Microsoft Press et on lui doit les articles mensuels du petit câbleur de Technet.


 Windows PowerShell: La connexion WMI
Windows PowerShell
La connexion WMI
Don Jones

L’une des technologies qui m’a beaucoup servi dans l’univers VBScript est Windows Management Instrumentation ou WMI. Il est intéressant de voir que Windows PowerShell dispose de liens très étroits avec WMI (et pas juste au sens technique). Jeffrey Snover, l’architecte de Windows PowerShell, a également joué un rôle clé dans la création de
Wmic.exe, un outil de ligne de commande de l’ère Windows Server® 2003 à utiliser avec WMI. De bien des façons, Wmic.exe a anticipé la création de Windows PowerShell™, de par le fait qu’il fonctionnait de façon similaire. (Pour plus d’informations sur WMIC, voir l’article de John Kelbley dans le numéro de septembre 2006 de Technet Magazine, disponible en ligne à l’adresse microsoft.com/technet/technetmag/issues/2006/09/WMIData.)
Windows PowerShell prend WMI en charge avec autant de cohérence et la même méthodologie basée sur objet que pour le reste des fonctionnalités du noyau. Ceci facilite considérablement l’apprentissage et l’utilisation de WMI (surtout dans les situations ad hoc) par rapport aux technologies précédentes telles que VBScript.

Introduction à WMI
Si vous lisez des livres et des articles sur le script, il est presque impossible de ne pas voir WMI mentionné. Cependant, il est facile de se perdre dans l’utilisation de WMI au point d’en oublier son fonctionnement en coulisses. En effet, savoir comment WMI est généré est particulièrement important pour comprendre son fonctionnement dans Windows PowerShell.
WMI est principalement un système de classes organisées qui représentent les informations de gestion provenant du système d’exploitation Windows®, ainsi que du matériel et des logiciels basés sur Windows. Une classe n’est vraiment rien de plus qu’une description abstraite des propriétés et des fonctionnalités qu’un certain composant logiciel ou de matériel possède. Par exemple, une classe de disque logique peut décrire un périphérique qui a un numéro de série, une capacité de stockage fixe, une quantité de capacité disponible, etc. Dans le même temps, une classe qui décrit un service Windows peut spécifier que le service a un nom, qu’il peut démarrer et s’arrêter, son état actuel, etc.
Dans WMI, les classes représentent tout ce que WMI peut gérer. Si WMI n’a pas de classe pour un élément particulier, il ne peut pas le gérer. Microsoft décrit les classes WMI fondamentales de Windows sur msdn2.microsoft.com/aa394554.aspx ; d’autres produits (tels que les Internet Information Services, SQL Server™) décrivent leurs classes WMI séparément.
Comme il y a tant de classes, WMI les organise en une hiérarchie d’espaces de noms. Par exemple, l’espace de noms contenant les classes fondamentales de Windows OS s’appelle root\cimv2, tandis que Microsoft IIS 6.0 stocke ses classes dans root\MicrosoftIISv2. Pour plus de commodité, l’espace de noms root\cimv2 est l’espace de noms WMI par défaut, un paramètre partagé avec Windows PowerShell, ce qui facilite l’utilisation de ces classes fondamentales.
Une « instance » est une occurrence véritable et réelle d’une classe. Si, par exemple, votre ordinateur a deux disques logiques, vous aurez deux instances de la classe Win32_LogicalDisk. Si vous avez 50 services qui s’exécutent sur votre ordinateur, WMI verra 50 instances de la classe Win32_Service. L’utilisation de WMI consiste essentiellement à lui demander de vous donner une ou plusieurs instances, puis d’en examiner les propriétés pour trouver les informations de gestion dont vous avez besoin ou d’en exécuter les méthodes pour effectuer des modifications de gestion, telles que le démarrage ou l’arrêt d’un service.
WMI fait appel à une architecture client-serveur. Depuis Windows 2000, WMI est intégré à toutes les versions de Windows (les versions ultérieures ont étendu le nombre de classes disponibles), ce qui veut dire que le client WMI et le logiciel de serveur WMI sont tous deux disponibles. Lorsque vous utilisez WMI, vous envoyez une requête au Service WMI qui s’exécute sur l’ordinateur qui vous intéresse. Ce Service WMI récupère les instances WMI que vous spécifiez et vous les retourne pour que vous puissiez les utiliser. C’est là que Windows PowerShell entre en scène : il simplifie le processus de demande, de retour et d’utilisation des instances.

Obtention d’un objet WMI
Les instances de classe WMI sont vaguement appelées des objets. Il est donc sensé de voir que c’est le cmdlet Get-WMIObject qui récupère ces instances dans Windows PowerShell. Ce cmdlet a un alias pratique, gwmi, que j’utiliserai dans la plupart de mes exemples. Dans sa forme la plus simple, il vous suffit de spécifier le nom de la classe WMI que vous voulez récupérer. Ensuite, détendez-vous et contemplez les résultats (voir la figure 1). Lorsque j’ai exécuté gwmi win32_service, Windows PowerShell s’est connecté au service WMI sur mon ordinateur local (puisque je n’avais pas spécifié d’autre ordinateur), puis à l’espace de noms root\cimv2 (car je n’avais pas spécifié un espace de noms différent). Windows PowerShell a récupéré toutes les instances de la classe spécifiée et, puisque je ne lui avais pas indiqué de faire quoique ce soit d’autre avec, les a converties en représentation textuelle. En d’autres termes, Windows PowerShell a pris ces objets et a produit du texte que je pouvais, en tant qu’être humain, lire.
Figure 1 En exécutant gwmi win32_service, Windows PowerShell renvoie toutes les instances de la classe spécifiée dans un format de texte lisible.
Figure 1 En exécutant gwmi win32_service, Windows PowerShell renvoie toutes les instances de la classe spécifiée dans un format de texte lisible.
Windows PowerShell convertit en particulier les objets WMI en texte en liant et en affichant les noms et les valeurs des propriétés de la classe sélectionnée. Pour la classe Win32_Service, il sélectionne une série de six propriétés.
En fait, Windows PowerShell convertit de cette façon n’importe quel objet en texte. Les propriétés qu’il choisit d’afficher sont, pour la plupart, définies dans un ensemble de fichiers .format.ps1xml situés dans le dossier d’installation de Windows PowerShell. Ces fichiers de définition du format sont numériquement signés par Microsoft. Il vous est recommandé de ne pas modifier ces fichiers, bien que vous puissiez fournir vos propres fichiers de formatage. (Je traiterai ce sujet plus en détails dans une prochaine rubrique.)
Le cmdlet gwmi peut vous aider à explorer votre ordinateur pour trouver les classes disponibles. Par exemple, si vous exécutez gwmi –namespace "root\cimv2" –list, vous obtiendrez une liste complète des classes de cet espace de noms. Cependant, n’oubliez pas que les classes de votre ordinateur ne sont pertinentes que si vous gérez votre ordinateur ; si vous gérez un ordinateur distant, il vous faudra trouver les classes disponibles de ce système. C’est pour cela qu’il est préférable d’utiliser le paramètre informatique du gwmi pour se connecter à un ordinateur distant. Par exemple, gwmi –namespace "root\cimv2" –list –computer ServerA listera toutes les classes de l’espace de noms root\cimv2 sur l’ordinateur distant appelé ServerA.

WMI distant
Dans la version 1.0 de Windows PowerShell, gwmi est à peu près le seul cmdlet qui prend directement en charge la gestion à distance. Ceci est principalement dû au fait que ce contrôle à distance est intégré à l’architecture WMI sous-jacente. De plus, parce que Windows PowerShell n’utilise que cette architecture existante, il est sujet aux fonctionnalités de sécurité de cette dernière. Voici un exemple :
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
Dans cette instance, j’ai essayé de me connecter à un ordinateur distant (Media Server) dont l’accès m’est interdit. En tant qu’administrateur, je devrais avoir l’autorisation de travailler avec le service WMI de cet ordinateur, mais il se peut que les informations d’authentification de mon poste de travail local ne soient pas suffisantes. Je pourrais, par exemple, avoir ouvert une session sur un domaine différent et douteux, ou je pourrais avoir ouvert une session sur un compte moins privilégié. Heureusement, gwmi prend en charge un paramètre d’informations d’authentification qui m’autorise à spécifier un ensemble alternatif d’informations d’identification de l’utilisateur pour ma connexion à WMI. Ci-dessous, vous en verrez un exemple très simple :
gwmi win32_service –credential mydomain\administrator –computer mediaserver
Mes informations d’authentification (en particulier, mon nom d’utilisateur) sont fournies au format DOMAIN\Username.
Notez que vous ne pouvez saisir de mot de passe nulle part (Windows PowerShell m’y invitera). Windows PowerShell ne fournit, de façon délibérée, aucun moyen pour saisir un mot de passe sur la ligne de commande, car ce faire vous permettrait de coder en dur des mots de passe en fichiers de script, ce qui représente un très grand risque en matière de sécurité. Cependant, il existe une autre façon d’utiliser ce paramètre d’informations d’authentification : en créant une sorte d’objet d’informations d’authentification, appelé PSCredential, à l’avance. La clé ici est le cmdlet Get-Credential :
$cred = get-credential mydomain\administrator
Lorsque je l’exécute, l’ordinateur m’invite encore à donner le mot de passe correspondant. Cette fois, cependant, l’objet d’informations d’authentification créé est stocké dans la variable $cred. Si je regarde le contenu de $cred, je verrai le nom mais pas le mot de passe :
PS C:\> $cred

UserName
--------
mydomain\adminstrator
Je peux ensuite réutiliser cet objet d’informations d’authentification autant que je le souhaite :
gwmi win32_service –credential $cred –computer mediaserver
Ceci simplifie les connexions WMI répétées à un ordinateur distant par la prédéfinition d’un objet d’informations d’authentification réutilisable. Cependant, il convient de noter que le cmdlet Get-WMIObject ne prend pas actuellement en charge la spécification des niveaux d’authentification (manipulation également connue sous le nom d’imitation) de la même façon que VBScript. Voir msdn2.microsoft.com/aa389290.aspx pour plus d’informations.

Auto-découverte
L’une des choses que je préfère avec Windows PowerShell est qu’il ne simplifie pas les choses à outrance. Je vous ai montré comment Windows PowerShell sélectionnait seulement un ensemble de propriétés pour la classe Win32_Service que j’interrogeais. Le noyau a cependant toujours accès à toutes les propriétés et peut même vous dire ce qu’elles sont. Pour ce faire, il vous suffit de canaliser le ou les objets vers le cmdlet Get-Member (ou son alias, gm), comme le montre la figure 2.
Figure 2 La canalisation d’un objet vers le cmdlet Get-Member vous indique les méthodes et les propriétés auxquelles vous pouvez accéder.
Figure 2 La canalisation d’un objet vers le cmdlet Get-Member vous indique les méthodes et les propriétés auxquelles vous pouvez accéder.
Outre les propriétés, le noyau liste également les méthodes disponibles, ce qui veut dire que je n’ai pas forcément besoin de la documentation pour savoir ce que peut faire une classe donnée. Je peux voir que la classe elle-même permet de modifier la configuration d’une instance, mettre un service en pause, arrêter un service, etc.
Pour utiliser ces méthodes ou afficher d’autres propriétés, il est souvent plus facile de mettre les instances dans une variable :
$server = gwmi win32_operatingsystem
$server.reboot()
Cet exemple récupérera la seule instance disponible de la classe Win32_OperatingSystem (cette classe a seulement une instance par ordinateur) et l’enregistrera dans la variable $server. Il utilisera ensuite cette variable pour accéder à la méthode de redémarrage de l’instance, ce qui fera redémarrer l’ordinateur. Faites-y attention !

Langage de requête riche
Si vous avez utilisé WMI sous VBScript ou une autre technologie, vous êtes probablement habitué à récupérer des instances de classes WMI en utilisant une requête écrite dans WQL, le langage de requête de WMI. Sa syntaxe, apparentée à celle de SQL, facilite la récupération d’instances spécifiques (telles qu’un service particulier) au lieu de toutes les instances d’une classe donnée. Heureusement, gwmi vous permet aussi de spécifier une requête, comme suit :
gwmi –query “select * from win32_service where name=’alerter’”
Cette syntaxe de gwmi (qui a été ajoutée juste avant la sortie officielle de Windows PowerShell) est incroyablement utile et facilite énormément la migration de requêtes WMI complexes que vous pourriez avoir développées à d’autres fins. Et, comme toujours, Windows PowerShell renverra des objets riches avec leurs propres propriétés et méthodes, vous offrant un accès complet à la puissance de gestion de WMI.

Poursuivre sa lancée avec WMI
WMI continue d’être développé pour les versions futures de Windows, ce qui se traduit par l’ajout de nouvelles classes et de nouvelles fonctionnalités. Il est en outre de plus en plus souvent accolé aux nouveaux produits Microsoft. Si les versions de la plupart des produits Microsoft intégrées spécifiquement à Windows PowerShell ne sont pas encore sorties, la capacité de ce système à se connecter à WMI constitue l’un des plus grands avantages qui font de Windows PowerShell un outil si utile aujourd’hui.
J’ai seulement effleuré les capacités de WMI. Cela dit, j’espère que je vous ai donné l’envie d’explorer Windows PowerShell et de découvrir vous-même les fonctionnalités disponibles.

Don Jonesest Directeur des projets et services de SAPIEN Technologies et co-auteur de Windows PowerShell : TFM (SAPIEN Press). Pour contacter Don, rendez-vous sur son site Web à l’adresse suivante : www.ScriptingAnswers.com.


 H&#233;, vous le scripteur&#160;!: Les fleurs &#233;closent. Les dialogues surgissent. C’est le printemps.
Hé, vous le scripteur !
Les fleurs éclosent. Les dialogues surgissent. C’est le printemps.
Les scripteurs Microsoft

Ah, c’est le printemps. Et ça nous rend heureux. Après avoir vu cet hiver des records de précipitations, de pluies verglaçantes, de tempêtes de neige et de vents violents (l’une de ces tempêtes provoquant notamment la chute d’un gros arbre dans l’arrière-cour de l’un des scripteurs à quelques centimètres seulement de sa maison), le printemps est enfin arrivé et nous avons actuellement une petite pluie fraîche avant l’arrivée de la pluie plus chaude du nord-ouest pacifique cet été.
Pendant que nous observons cette petite bruine, nous avons pensé que c’était le moment idéal pour faire preuve d’un peu d’audace dans nos scripts et nous pencher sur des applications HTML (HTA). Et nous prenons ici le mot « audace » au sens fort. Nous n’allons faire aucune présentation, nous allons supposer que vous savez déjà ce qu’est une HTA et comment en créer une. Dans le cas contraire, consultez le Centre des développeurs HTA sur le Script Center. Lisez notamment les deux articles de la section HTA pour débutants. Cela fait, vous serez tous à niveau et prêts à reprendre ici.
Dans cette rubrique nous vous montrerons comment créer des boîtes de dialogue. Nous vous montrerons également comment transférer des informations entre la HTA principale et la boîte de dialogue. Oui, ce petit air printanier nous a rendus vraiment audacieux, n’est-ce pas ? Profitez-en avant qu’il ne soit trop tard.
Comme vous le savez peut-être, il y a deux genres de boîtes de dialogue : modales et non modales. La différence est que, lorsque vous ouvrez une boîte de dialogue modale, vous ne pouvez pas retourner à la fenêtre principale à partir de laquelle la boîte de dialogue a été ouverte tant que vous ne fermez pas la boîte de dialogue. Lorsque vous ouvrez une boîte de dialogue non modale, vous pouvez passer d’une fenêtre à l’autre. Cependant, si vous fermez la fenêtre principale, votre boîte de dialogue non modale se fermera également.
La création d’une boîte de dialogue modale fonctionne exactement de la même façon que la création d’une boîte de dialogue non modale. La seule différence est que, pour créer une boîte de dialogue modale, vous appelez la fonction ShowModalDialog et, pour créer une boîte de dialogue non modale, vous appelez la fonction ShowModelessDialog. Les deux fonctions acceptent les mêmes paramètres. Commençons par étudier une HTA simple qui ouvre une boîte de dialogue modale (voir la figure 1).
Figure 1 Boîte de dialogue de démarrage simple (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Ici, nous avons créé une HTA intitulée Modal Example. Dans le <corps> de notre HTA, nous avons ajouté deux éléments : un bouton intitulé Afficher la boîte de dialogue et une zone de texte intitulée textbox (vous pouvez les voir tous les deux à la figure 2). Lorsque vous cliquez sur le bouton, la sous-routine ShowDialog s’exécute.
Figure 2 Boîte de dialogue HTA modale
Figure 2 Boîte de dialogue HTA modale
La sous-routine ShowDialog est assez simple. Nous appelons la fonction ShowModalDialog, en faisant passer le nom du fichier HTA que nous souhaitons afficher en tant que boîte de dialogue modale comme paramètre, dans ce cas modaldialog.hta. (Nous supposons que modaldialog.hta se trouve dans le même dossier que cette HTA. Si ce n’est pas le cas, vous devrez inclure le chemin d’accès complet du fichier complet ici.)
Nous capturons également une valeur de retour (intReturn) dans ShowModalDialog. Nous affichons cette valeur dans la zone de texte. Vous verrez dans un moment comment nous obtenons cette valeur de retour. Il est important de noter que l’appel de ShowModalDialog ne reviendra pas tant que la boîte de dialogue modale n’est pas fermée. Ceci signifie que la valeur de retour ne sera pas attribuée à la zone de texte jusqu’a ce que la boîte de dialogue ait été fermée.
Observons à présent modaldialog.hta, la boîte de dialogue que notre HTA appelante ouvre (voir la figure 3). Dans cette HTA, nous avons créé deux éléments : une zone de liste intitulée listbox et un bouton intitulé OK, comme illustré à la figure 4. Nous avons ajouté quatre éléments dans la zone de liste intitulés Option 1, Option 2, et ainsi de suite, et avons attribué des valeurs correspondantes, de 1 à 4, à chacun de ces éléments. Lorsque vous cliquez sur le bouton OK, la sous-routine CloseWindow s’exécute.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Figure 4 HTA représentant la boîte de dialogue modale
Figure 4 HTA représentant la boîte de dialogue modale
La sous-routine CloseWindow est assez simple. Nous commençons par lire la valeur de l’élément dans la zone de liste qui a été sélectionnée et nous attribuons cette valeur à la propriété window.returnValue. Par exemple, si l’utilisateur a choisi l’Option 2, la valeur 2 sera attribuée à window.returnValue. Nous appelons ensuite la méthode window.Close pour fermer la boîte de dialogue.
À ce stade, le contrôle revient à la HTA principale. Rappelez-vous notre appel de ShowModalDialog :
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
La valeur de retour attribuée à intReturn est la valeur que nous avons attribuée à window.returnValue dans notre HTA de boîte de dialogue. Donc, si nous choisissons l’Option 2 dans la boîte de dialogue, qui attribue la valeur 2 à window.returnValue, intReturn sera égal à 2 et la ligne de code suivante affiche cette valeur dans la zone de texte :
textbox.Value = intReturn
Maintenant que nous avons vu comment obtenir une valeur à partir d’une boîte de dialogue, voyons comment nous obtiendrions une valeur dans une boîte de dialogue. Cette fois, nous allons utiliser une boîte de dialogue non modale (voir la figure 5), mais souvenez-vous que les boîtes de dialogue modales et non modales fonctionnent de la même façon, donc ce processus fonctionnera aussi avec une boîte de dialogue modale.
Figure 5 En non modal (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Figure 7 Données transférées dans une boîte de dialogue non modale
Figure 7 Données transférées dans une boîte de dialogue non modale
Cette fois, nous avons créé une liste déroulante appelée lstServers (on voit qu’il s’agit d’une liste déroulante car la taille est égale à 1). Il y a également un bouton intitulé Récupérer les processus. Lorsque vous cliquez sur le bouton, la sous-routine ShowDialog s’exécute. La sous-routine ShowDialog n’a qu’une ligne, l’appel à la fonction window.ShowModelessDialog, comme illustré ici :
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
Le premier paramètre que nous transférons vers cette fonction est le nom de la HTA que nous souhaitons exécuter dans la boîte de dialogue, dans ce cas modelessdialog.hta. Le deuxième paramètre est la propriété Value de notre zone de liste. Rappelez-vous : la propriété Value contient la valeur de l’option sélectionnée dans la zone de liste. Donc, si l’utilisateur a sélectionné Server2 dans la zone de liste, la valeur sera server2. Ce paramètre définit la façon dont les informations sont transférées dans la boîte de dialogue. (Si vous souhaitez transférer plusieurs valeurs, vous pourriez les transférer dans ce paramètre sous la forme d’un tableau, voire d’une collection).
Nous verrons dans un moment comment la boîte de dialogue reçoit la valeur dans ce paramètre. Mais je souhaite d’abord attirer votre attention sur le troisième paramètre que nous avons ajouté :
“dialogHeight:400px;dialogWidth:300px”
Ce paramètre contient une chaîne qui spécifie la hauteur et la largeur de notre choix pour notre boîte de dialogue. Dans ce cas, nous avons spécifié une hauteur de 400 pixels (400px) et une largeur de 300 pixels. Comme nous l’avons vu dans notre Modal Example, nous pouvons laisser ce paramètre vierge et la boîte de dialogue sera affichée dans la taille par défaut de l’ordinateur.
À présent, si vous examinez modelessdialog.hta (à la figure 6), vous verrez que la boîte de dialogue lit la valeur qui lui est transférée.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
Dans cette HTA, le seul élément que nous avons spécifié est une étendue, qui contient l’ensemble de la zone de la boîte de dialogue. Dans notre section de script, nous avons défini une sous-routine window_onLoad. Cette sous-routine s’exécutera dès l’ouverture de la HTA (dans ce cas, en appelant ShowModelessDialog). Observez la première ligne de cette sous-routine :
strComputer = window.dialogArguments
Nous attribuons à la variable strComputer le contenu de la propriété window.dialogArguments. Et que renferme cette propriété, d’après vous ? Vous voyez, il faut vous réveiller aussi avec le printemps. C’est cela, il s’agit de la valeur transférée dans le second paramètre de l’appel de ShowModelessDialog. Si Server2 a été sélectionné dans la fenêtre principale, strComputer contient maintenant la valeur server2.
Le reste de la sous-routine récupère simplement tous les processus dans strComputer et les affiche dans la zone d’étendue. Vous pouvez voir les résultats de cette opération à la figure 7.
Heureusement, vous allez pouvoir vous amuser avec les boîtes de dialogue HTA pendant tout l’été. À moins, bien sûr, que vous ne viviez dans l’hémisphère sud, auquel cas l’hiver s’annonce et vous risquez d’avoir des difficultés si vous vous retrouvez avec autant de pannes de courant pendant votre hiver que nous avons eues pendant le nôtre.

Les scripteurs Microsofttravaillent pour (enfin, sont employés par) Microsoft. Lorsqu’ils ne sont pas en train de jouer au base-ball, d’entraîner une équipe ou de regarder un match (ou de se livrer à de multiples autres activités), ils dirigent le Script Center TechNet. Vous pouvez le vérifier vous-même sur www.scriptingguys.com.


 File d'attente Exchange: D&#233;lais d’expiration d’OWA, d&#233;pannage avec cmdlet et bien plus encore
File d'attente Exchange
Délais d’expiration d’OWA, dépannage avec cmdlet et bien plus encore
KC Lemson and Nino Bilic

Q : Nous avons récemment migré d’Exchange Server 2003 à Exchange Server 2007. Nous recevons des plaintes concernant le délai d’expiration d’Outlook® Web Access (OWA) pour les utilisateurs restreints qui ont sélectionné l’option « Ordinateur privé » en se connectant à OWA 2007. Quelle est la commande Exchange Management Shell permettant de vérifier le délai d’expiration pour les ordinateurs privés ?
R : Commençons par remettre les choses dans leur contexte. Tout d’abord, j’expliquerai pourquoi il est possible de sélectionner un ordinateur privé ou un ordinateur public (voir la figure 1) et je vous montrerai la différence de comportement de ces options. Le but est de permettre à l’utilisateur d’indiquer à Exchange le niveau de sécurité nécessaire : qu’il se connecte à OWA en utilisant une borne publique à un aéroport, par exemple, ou à partir de l’ordinateur installé à son domicile. L’administrateur Exchange peut choisir de traiter différemment ces types de sessions. Par exemple, l’administrateur peut amener les sessions authentifiées à expirer plus vite sur les machines publiques (par exemple, en quelques minutes) que sur les machines privées (jusqu’à trois jours maximum). L’administrateur peut également configurer différemment d’autres paramètres en fonction du choix de l’utilisateur. Par exemple, l’administrateur peut réserver l’accès à la bibliothèque de documents SharePoint® et aux partages de fichiers Windows® uniquement à une connexion privée. Bien entendu, pour cela, l’utilisateur doit spécifier la bonne option. Si les administrateurs ne font pas confiance aux utilisateurs pour prendre la bonne décision, ils peuvent donner à chaque option les mêmes valeurs de délai d’expiration et autres options de configuration.
Figure 1 Les types de session publique et privée permettent différents paramétrages des délais d’expiration et autres options de configuration
Figure 1 Les types de session publique et privée permettent différents paramétrages des délais d’expiration et autres options de configuration
L’option en question provient d’Exchange 2003, lorsque l’authentification basée sur les formulaires a été tout d’abord introduite dans OWA. (Remarque historique : la première mise en œuvre d’une authentification basée sur les formulaires a été conçue en partie par un brillant responsable de programme. Je ne révèlerai pas son identité, mais vous dirai simplement qu’elle est ensuite devenue riche et célèbre en rédigeant un article bimensuel pour TechNet Magazine).
Le paramétrage est stocké dans le registre, mais comme Windows PowerShell™ a une interface pour mettre à jour le registre, vous pouvez configurer ce paramètre en utilisant Exchange Management Shell. L’exemple suivant fixe le délai d’expiration à 1440 minutes, soit une journée, lorsque les utilisateurs choisissent l’option ordinateur privé lors de l’ouverture de session :
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Bien entendu, comme le paramètre se trouve dans le registre, vous pouvez vous-même mettre à jour la clé en utilisant regedit, si vous le souhaitez :
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
Quoi qu’il en soit, vous devrez redémarrer IIS pour vous assurer qu’OWA intègre le nouveau paramètre. Pour cela, sélectionnez Démarrer | Exécuter puis exécutez iisreset/noforce.

Q : Nous conseillons à toutes les personnes qui utilisent les clients Outlook MAPI complets d’archiver tous les éléments non urgents dans des fichiers de dossiers personnels (.pst). Toutefois, les éléments archivés ne sont ensuite plus disponibles lorsque les utilisateurs se connectent à Outlook Web Access depuis leur domicile. Comment rendre ces fichiers .pst disponibles via l’interface OWA ?
R : OWA ne prend malheureusement pas en charge l’accès aux fichiers .pst. OWA a été conçu dès le départ pour être un client uniquement en ligne. Nous avons beaucoup travaillé pour nous assurer que nous ne laissons pas de traces de données personnelles sur l’ordinateur local. Notamment par des fonctionnalités comme le mécanisme de déconnexion sécurisé apparu dans Exchange 2003 et WebReady Document Viewing d’Exchange 2007, qui veille à ce que des copies cachées de pièces jointes ne restent pas sur le disque dur. En conséquence, accéder aux fichiers .pst depuis OWA ne correspond pas à notre objectif qui est de proposer un client uniquement en ligne, simple à déployer.
Cela étant dit, l’utilisation des fichiers .pst en général est un scénario intéressant que nous aimerions aborder. L’automne dernier, nous avons rencontré un client qui avait des utilisateurs avec des quotas de boîte aux lettres d’environ 200 Mo, et presque chaque utilisateur avait au moins un, voire plusieurs, fichiers .pst. Parce que cette société avait une stratégie qui permettait de nettoyer et de remplacer les machines d’utilisateur avec un minimum d’effort, il a été demandé à tous les utilisateurs d’enregistrer leurs fichiers .pst sur un partage réseau. Ce partage réseau était, à son tour, sauvegardé par un système central.
Tout d’abord, il existe des problèmes connus en accédant aux fichiers .pst à partir des partages réseau. Tout comme OWA a été conçu dès le début pour être uniquement en ligne, les fichiers .pst ont été prévus au départ pour être enregistrés localement. Quelle que soit l’excellence de votre réseau, il est soumis à latence et autres problèmes qui peuvent rendre le stockage à distance des données (auxquelles les utilisateurs doivent également accéder en même temps) problématique.
Deuxièmement, cette entreprise avait ce que nous appellerions un quota de boîte aux lettres assez petit (admettons-le, nous vivons dans le luxe avec une boîte aux lettres d’entreprise d’environ 2 Go) parce qu’elle ne voulait pas avoir toutes ces données dans Exchange, ce qui l’aurait obligée à sauvegarder toutes les données. Pourtant, les utilisateurs enregistrant les données dans des fichiers .pst sur un partage réseau qui était sauvegardé, le travail des administrateurs n’était pas diminué pour autant. En fait, cela créait probablement plus de travail en raison de divers facteurs, tels que : absence de stockage à une seule instance sur de multiples fichiers .pst ; coûts de support technique liés aux problèmes avec les fichiers .pst (tels que mots de passe oubliés et friabilité générale du réseau) ; difficulté à nettoyer les messages dans les fichiers .pst après une attaque de virus ; difficulté à découvrir les messages dans les fichiers .pst lorsqu’un problème juridique se pose ; surcharges liées à la gestion d’un système de sauvegarde différent ; et ainsi de suite.
Nous vous invitons donc à étudier tous les coûts associés à vos décisions de configuration. Vous pourriez découvrir que les coûts s’additionnent et qu’une autre configuration pourrait finalement s’avérer être un meilleur choix.

Q : J’ai un problème avec une commande Exchange Management Shell. Ca ne marche pas. Quel est le problème ?
R : Nous ne pouvons pas répondre à cette question, mais nous pouvons vous dire que pour bénéficier de la meilleure aide possible, quelle qu’elle soit, vous devriez utiliser le cmdlet intégré dans Windows PowerShell appelé start-transcript pour enregistrer les commandes que vous essayez et les résultats que vous obtenez. Vous pourrez ensuite coller les détails exacts dans un message électronique, blog ou question sur un forum.
Ouvrez une session Exchange Management Shell et entrez start-transcript, comme sur la figure 2. Exchange Management Shell commence automatiquement à enregistrer toutes les futures commandes dans un fichier texte semblable à celui de la figure 3 (ne vous inquiétez pas, l’application indique l’emplacement du fichier texte). Pour arrêter l’enregistrement, il suffit de taper stop-transcript.
Figure 2 Utilisez le cmdlet start-transcript pour enregistrer les commandes que vous utilisez et leurs résultats
Figure 2 Utilisez le cmdlet start-transcript pour enregistrer les commandes que vous utilisez et leurs résultats
Figure 3 Windows PowerShell enregistre la transcription des commandes que vous utilisez dans un fichier .txt
Figure 3 Windows PowerShell enregistre la transcription des commandes que vous utilisez dans un fichier .txt
Disposer de la liste complète des commandes utilisées et des résultats obtenus est très utile pour quiconque essaie de résoudre votre problème. Mais avant de partager le journal avec une personne que vous ne connaissez pas ou à laquelle vous ne faites pas confiance, assurez-vous d’en supprimer toutes les données confidentielles ou sensibles susceptibles d’y figurer.

Q : Je remarque que l’installation d’Exchange 2007 crée une nouvelle Unité d’organisation (UO) dans le domaine racine. Elle s’appelle Groupes de sécurité de Microsoft Exchange et contient cinq nouveaux groupes de sécurité Exchange 2007. Pouvons-nous déplacer ces groupes dans une autre UO ? Et vers un autre domaine ?
R : Cette question fait référence aux cinq groupes universels de sécurité créés dans le domaine racine à l’étape de préparation d’Active Directory. Les groupes en question sont :
  • Administrateurs d’organisation Exchange
  • Administrateurs de destinataires Exchange
  • Administrateurs Affichage seul d’Exchange
  • Serveurs Exchange
  • ExchangeLegacyInterop
À l’époque d’Exchange 2000 et d’Exchange 2003, la possibilité de déplacer les groupes de sécurité par défaut (Serveurs de domaine Exchange et Serveurs d’entreprise Exchange) était limitée. Autrement dit, il était possible de les déplacer, mais avec des dégâts. (Consultez support.microsoft.com/kb/260914 pour plus d’informations sur ce problème). En conséquence, l’effet était très limité.
Dans Exchange 2007, les choses sont différentes. Les cinq groupes par défaut peuvent être déplacés. Vous pouvez les déplacer dans une autre UO dans le même domaine ou dans un domaine différent.
Au cas où vous « perdriez » ces cinq groupes et ne sauriez plus où vous les avez transférés (autrement dit, dans quelle UO ou dans quel domaine), vous pouvez toujours vérifier la valeur de l’attribut otherWellKnownObjects sur le conteneur suivant :
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
Lorsque les groupes sont déplacés, leur emplacement est mis à jour sur cet attribut, ce qui vous permet de toujours savoir où les groupes se trouvent. Parfait !

Q : J’ai trouvé un groupe de sécurité global appelé « Serveurs de domaine Exchange » dans mon domaine. À quoi sert-il ?
R : Vous conservez le suivi sur votre Active Directory®. En fait, il y a un groupe appelé Serveurs de domaine Exchange dans chaque domaine sur lequel des serveurs Exchange 2007 sont installés. Ce groupe est créé dans l’UO Objets système Microsoft Exchange. Si vous étudiez ce groupe, vous verrez qu’il fait partie du groupe Serveurs Exchange du domaine racine, qui est un groupe universel de sécurité.
Pour résumer, Serveurs de domaine Exchange est un groupe utilisé pour travailler sur des cycles de réplication d’Active Directory éventuellement longs si vous exécutez l’installation d’Exchange 2007 dans l’un de vos domaines enfants. Par exemple, disons que vous avez un domaine racine appelé Racine, un domaine enfant appelé Enfant et un domaine enfant appelé Petit-enfant. (D’accord, ces noms ne sont pas vraiment originaux ! Vous pensez pouvoir deviner nos mots de passe ?)
Pour lancer l’installation d’Exchange 2007 dans cette organisation, vous devez étendre le schéma et préparer votre domaine Racine. Cela crée les cinq groupes universels de sécurité originaux dont nous avons parlés dans la réponse précédente.
Ensuite, indiquez que vous voulez lancer l’installation dans le domaine Petit-enfant. Afin de pouvoir lancer les services Exchange 2007 dans le domaine local, l’installation place un compte d’ordinateur de la machine sur laquelle Exchange 2007 est installé dans le groupe Serveurs Exchange à partir du domaine Racine. Mais comme vous êtes dans le domaine Petit-enfant, la réplication de l’appartenance du groupe Serveurs Exchange peut durer assez longtemps.
Serveurs Exchange est un groupe universel et son appartenance est répliquée dans la forêt. En raison de la latence de réplication potentielle, il est possible que l’installation dans le domaine Petit-enfant ne puisse pas démarrer les services, les autorisations n’étant pas répliquées alors que l’installation est terminée. C’est pourquoi lorsque le premier serveur Exchange 2007 est installé dans un domaine, il crée le groupe Serveurs de domaine Exchange dans le domaine local.
Le compte d’ordinateur Exchange est placé comme membre dans ce groupe dans le cadre de l’installation. Une appartenance à ce groupe donne aux services une autorisation suffisante pour démarrer à la fin de l’installation, même si l’appartenance du groupe Serveurs Exchange n’a pas encore été répliquée depuis le domaine Racine. Veuillez noter que la réplication de domaine locale est généralement plus rapide que la réplication entre les domaines.

Q : La documentation d’Exchange 2007 indique qu’il convient d’exécuter l’installation avec le commutateur /PrepareLegacyExchangePermissions, même avant que je développe mon schéma pour Exchange 2007. Pourquoi ? (Et auriez-vous pu donner un nom plus long à ce commutateur ?)
R : Nous sommes heureux d’apprendre que vous lisez la documentation avant d’exécuter l’installation. Qu’en pensez-vous ?
Le /PrepareLegacyExchangePermissions (ou /pl en résumé) est un commutateur qui donne aux services de mise à jour de destinataire Exchange 2000 et Exchange 2003 les autorisations d’écrire sur les ensembles de propriétés Informations Exchange et Informations personnelles. Pendant le processus d’extension du schéma Exchange 2007, plusieurs attributs (tels qu’adresses proxy) sont déplacés de l’ensemble de propriétés Informations publiques d’Active Directory dans l’ensemble de propriétés Informations Exchange. Par défaut, les services de mise à jour de destinataire Exchange 2000 et Exchange 2003 n’ont pas le droit d’écrire sur les ensembles de propriétés Informations Exchange. En pratique, cela signifie que si vous exécutez votre extension de schéma Exchange 2007 en premier, vous brisez vos services de mise à jour de destinataire Exchange 2000 et Exchange 2003 parce qu’ils sont incapables d’estampiller un nouveau destinataire ! (Pour plus d’informations sur ces ensembles de propriétés, consultez notre blog sur msexchangeteam.com).
Il est en conséquence très important que vous exécutiez le commutateur /pl avant l’extension du schéma pour Exchange 2007. Veillez également à ce que ce changement soit répliqué dans tous les domaines ayant des destinataires Exchange 2000 ou Exchange 2003 (ainsi des services de mise à jour de destinataire existent pour ces domaines). Si de nouveaux domaines sont ultérieurement ajoutés à la forêt et que vous deviez y intégrer des services de mise à jour de destinataire Exchange 2000 ou Exchange 2003, vous devriez exécuter le commutateur /pl dans ces domaines également.
À ce sujet, veuillez noter que, en exécutant un commutateur /pl pour la première fois, il est beaucoup plus simple d’exécuter le commutateur avec un compte ayant des droits Administrateur d’entreprise. Ensuite, l’installation à partir du domaine racine identifie sur quels domaines /pl doit être exécuté et elle exécute le commutateur /pl sur tous ces domaines. Si vous n’utilisez pas un compte Administrateur d’entreprise, vous devez exécuter un commutateur /pl en utilisant un Administrateur de domaine pour chaque domaine. Heureusement, la documentation d’Exchange 2007 indique toutes les exigences relatives aux autorisations.
Et pour finir, vous avez demandé si nous aurions pu donner un nom encore plus long à ce commutateur. Essayez juste de dire /PrepareLegacyExchangePermissions trois fois très rapidement :
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
Nous avons pensé utiliser /PrepareLegacyExchangePermissionsOuahC’estUnNomVraimentLong, mais nous avons finalement préféré la version plus courte et plus conviviale, /PrepareLegacyExchangePermissions.
Voila pour l’explication. Mais vous pouvez toujours utiliser l’abréviation /pl. Et celle-là est vraie, c’est promis !

KC Lemson est Directeur expérience utilisateur pour Exchange Server. Elle consacre son temps libre à attendre l’arrivée d’e-mails lui indiquant sur quels supports elle devrait investir les économies qui lui permettront d’envoyer ses enfants à l’université.
Nino Bilicresponsable technique pour Exchange Server, est occupé à comptabiliser le nombre de parties de Halo qu’il peut jouer pendant une journée normale de travail.


 Vigilance s&#233;curit&#233;: Protection d’acc&#232;s r&#233;seau
Vigilance sécurité
Protection d’accès réseau
John Morello
Les informations de version bêta de cet article sur Windows Server « Longhorn » sont susceptibles d’être modifiées.

Les périphériques pirates qui se trouvent au-delà du périmètre du réseau représentent l’une des plus grandes menaces pour la sécurité à laquelle sont confrontées les organisations de toutes tailles. Indépendamment de la protection d’une organisation contre les menaces externes provenant d’Internet, sa sécurité peut être menacée par un employé bien intentionné, qui devient malgré lui un vecteur de
transmission de logiciel malveillant par un ver ou un cheval de Troie. Cela est d’autant plus vrai dans les environnements informatiques des petites et moyennes entreprises, dans lesquels les ordinateurs portables personnels et professionnels peuvent être les mêmes, et dans lesquels les technologies de contrôle de l’accès au réseau son souvent trop coûteuses et trop complexes à déployer. Cependant, en général, ce sont précisément ces entreprises qui paient un prix élevé pour le temps d’interruption ; la protection contre ces menaces est donc vraiment importante.
La technologie de protection NAP (Network Access Protection) de Microsoft permet aux entreprises de toute taille de vérifier activement l’intégrité des ordinateurs lorsqu’ils sont ajoutés au réseau et de s’assurer en permanence qu’ils conservent leur intégrité pendant toute la durée de leur connexion. La protection NAP fournit une architecture flexible basée sur les stratégies pour que les entreprises se protègent contre les ordinateurs qui ne sont pas conformes, ou que leurs employés, fournisseurs ou visiteurs ont pu laisser accéder aux réseaux, de manière intentionnelle ou par inadvertance. La protection NAP s’articule autour de quatre piliers fondamentaux : la validation des stratégies, l’isolation, la correction et la conformité continue.

Vue d’ensemble de la protection NAP
Le premier service principal fourni par la protection NAP est la validation de stratégie. La validation de stratégies est le processus dans lequel la protection NAP évalue un système par rapport à une série de règles administrateur et catégorise l’état d’intégrité du système.
Les administrateurs informatiques spécifient une série d’éléments de stratégie que la protection NAP utilise pour effectuer la comparaison lorsque les ordinateurs tentent de se connecter au réseau. Les ordinateurs qui correspondent aux éléments de stratégie sont considérés comme intègres, tandis que ceux qui n’ont pas franchi une ou plusieurs vérifications (selon les indications de l’administrateur) sont jugés non intègres. Ces stratégies peuvent vérifier des aspects comme la présence de logiciels antivirus et anti-logiciels espions, l’activation d’un pare-feu hôte et l’absence de mises à jour de sécurité sur un ordinateur. De plus, comme la protection NAP est créée pour être extensible, les éditeurs de logiciels indépendants peuvent créer leurs propres plug-ins pour la protection NAP, qui permettent d’effectuer des vérifications spécifiques aux applications.
Un autre service fondamental fourni par la protection NAP est la restriction de la connectivité réseau. En fonction des stratégies définies par un administrateur, la protection NAP peut placer des ordinateurs dans les différents états de connectivité du réseau. Par exemple, si un ordinateur n’est pas jugé intègre parce qu’il manque des mises à jour de sécurité critiques, la protection NAP peut placer cet ordinateur dans un réseau de quarantaine, dans lequel il peut être isolé du reste de l’environnement jusqu’à ce qu’il retrouve son intégrité. Sans la protection NAP, le client non intègre aurait un accès sans entrave au réseau de l’organisation. Si un logiciel malveillant pouvait compromettre l’ordinateur par les failles que les mises à jour manquantes n’ont pas comblées, il pourrait tenter activement de répandre son infection au reste du réseau. La figure 1 vous donne une idée générale de l’architecture.
Figure 1 Architecture générale de la protection NAP
Figure 1 Architecture générale de la protection NAP
La simple restriction de la connectivité, cependant, ne constitue pas un moyen efficace de gérer des ordinateurs ne fonctionnant pas correctement (après tout, vos utilisateurs ont encore du travail à faire). Ainsi, la protection NAP fournit également des services de correction dans lesquels des ordinateurs qui ne sont pas intègres, mis en quarantaine, peuvent corriger leurs problèmes d’intégrité sans intervention de l’administrateur. Dans l’exemple ci-dessus, le réseau restreint permet à l’ordinateur non intègre de n’accéder qu’à des ressources réseau spécifiques nécessaires à l’installation des mises à jour manquantes, comme l’ordinateur Windows Server® Update Services (WSUS) de l’entreprise. En d’autres termes, si la protection NAP est mise en place, l’ordinateur ne fonctionnant pas correctement ne peut accéder qu’aux ressources réseau qui lui permettent de préserver son intégrité. Il ne peut pas envoyer de trafic au reste du réseau tant qu’il n’a pas été corrigé.
Le dernier pilier de la protection NAP est la conformité continue, dans laquelle ces stratégies d’intégrité sont appliquées tant que l’ordinateur est connecté au réseau et pas seulement à la première connexion. À partir de cet exemple, imaginez ce qui se passerait une fois que l’ordinateur est mis à jour et qu’il est devenu intègre (et bénéficie donc d’un accès au réseau sans restriction). Si cet ordinateur n’est plus conforme car, par exemple, le Pare-feu Windows a été désactivé, la protection NAP peut automatiquement le remettre en quarantaine. La protection NAP permet également aux administrateurs de configurer la correction automatique, dans laquelle l’état non conforme est corrigé automatiquement sans l’intervention d’un autre utilisateur, même longtemps après que la première connexion réseau est terminée.
La protection NAP peut utiliser plusieurs techniques pour contrôler l’accès réseau. Pour les entreprises qui utilisent des commutateurs réseau gérés, 802.1X peut être utilisé pour permettre un contrôle d’accès basé sur les ports au niveau de la couche matérielle du réseau. La protection NAP permet également d’utiliser la mise en œuvre basée sur IPSec, dans laquelle des réseaux sécurisés sont créés par le biais d’associations IPSec et sont disposés en couches sur les réseaux physiques. Avec la mise en œuvre basée sur IPSec, les contrôles de la protection NAP accèdent à la zone sécurisée en créant et en supprimant de manière dynamique les certificats utilisés par le moteur IPSec. Enfin, la protection NAP permet la mise en œuvre basée sur DHCP. Dans ce cas, le serveur DHCP fournit aux clients non intègres des baux IP à partir de pools restreints. Ces baux utilisent des suffixes DNS distincts et des itinéraires IP pour contrôler les ressources auxquelles un client restreint peut accéder.
Le composant serveur NAP est créé à partir de la version suivante de Windows Server, nom de code « Longhorn », en particulier sur le nouveau Serveur de stratégies réseau (NPS), successeur nettement amélioré des services d’authentification Internet. Pour les entreprises qui utilisent la mise en œuvre basée sur 802.1X, le matériel réseau doit prendre en charge l’authentification 802.1X et les fonctions VLAN dynamiques (le site des partenaires de la protection NAP dans l’encadré « Ressources de la protection NAP » fournit plus d’informations sur les fournisseurs de matériel spécifiques). Pour la mise en œuvre basée sur DHCP, il est nécessaire de disposer d’un service DHCP compatible NAP, comme celui qui est disponible dans Windows Server « Longhorn ». Sur le client, la prise en charge de la protection NAP est intégrée à Windows Vista™. La prise en charge de la protection NAP est également disponible comme module complémentaire dans Windows® XP, avec une nouvelle prise en charge 802.1X qui permet de mettre en œuvre 802.1X sur Windows XP.
De plus, la protection NAP est intégrée au Centre de sécurité Windows, comme les agents d’intégrité tiers, pour signaler les informations d’intégrité. Ainsi, la protection NAP peut prendre des décisions de validation des stratégies basées sur les données proposées par le Centre de sécurité.
La protection NAP est une solution très perfectionnée de gestion de stratégies au niveau de l’entreprise. Il est donc impossible de traiter toutes les fonctionnalités et les stratégies de déploiement dans un seul article. Ainsi, cet article porte sur les déploiements pour les petites et moyennes entreprises, dans lesquelles le personnel informatique est déjà bien occupé et pour lesquelles le déploiement de la protection NAP peut être rationalisé de manière à permettre une rentabilité rapide de l’investissement nécessaire au déploiement. De nombreuses leçons et aides générales sont, cependant, elles aussi applicables à la conception de la protection NAP dans les entreprises de toutes tailles. Notez, cependant, que le cheminement de mon exemple n’est pas conçu pour être un manuel de configuration pas à pas, mais plutôt une vue d’ensemble générale des principaux points d’un déploiement réussi de la protection NAP basé sur DHCP. Pour obtenir un lien vers un manuel de configuration plus détaillé, reportez-vous à l’encadré « Ressources de la protection NAP ».

Ensemble de problèmes de Contoso
Pour examiner de plus près la manière dont la protection NAP peut prendre en compte les besoins uniques des petites et moyennes entreprises, nous allons utiliser l’exemple de Contoso, Inc. Contoso est une entreprise moyenne fictive qui possède 250 ordinateurs, répartis entre trois bureaux principaux. La société s’appuie sur une main d’œuvre très mobile, comprenant de nombreux télétravailleurs ou des employés qui se reconnectent au bureau principal à partir de sites clients distants. Par conséquent, approximativement la moitié de son parc informatique est composé d’ordinateurs portables et de Tablet PC. Comme beaucoup d’entreprises, la sécurité de Contoso est de plus en plus menacée à mesure que sa main d’œuvre gagne en mobilité. Certains utilisateurs avec des ordinateurs portables ont été infectés par des logiciels malveillants sur le site d’un client ou à domicile, et ont introduit des ordinateurs infectés sur le réseau interne de Contoso.
Contoso a également œuvré pour s’assurer que ces ordinateurs distants sont maintenus à jour. Souvent, les utilisateurs travaillent à partir de sites clients pendant de longues périodes avant de revenir à un bureau Contoso. En pareil cas, les ordinateurs qu’ils utilisent ont souvent des mois de retard pour ce qui est des mises à jour de sécurité, ce qui augmente le risque général pour les autres ordinateurs sur le réseau de Contoso. Contoso a besoin d’une solution qui peut garantir que tous les ordinateurs connectés à son réseau, localement ou à distance, sont sécurisés et intègres.
Comment la protection NAP peut-elle aider Contoso à atteindre ses objectifs ? N’oubliez pas les piliers principaux de la protection NAP. Grâce à la validation des stratégies, la protection NAP peut vérifier l’intégrité de tous les ordinateurs connectés au réseau de Contoso. La validation des stratégies peut déterminer si un ordinateur possède les signatures d’antivirus appropriées et s’il est entièrement corrigé avec toutes les mises à jour de sécurité. Lorsque les routines de validation des stratégies de la protection NAP déterminent qu’un ordinateur n’est pas intègre, la protection NAP peut limiter la connectivité réseau pour les hôtes qui ne sont pas intègres. Cela permet de s’assurer qu’un ordinateur qui a été utilisé hors site et qui a été infecté par un logiciel malveillant ne peut pas propager le problème aux autres parties du réseau. La protection NAP limite la connectivité de l’ordinateur non intègre afin qu’il ne puisse accéder qu’aux ressources de correction définies par l’administrateur informatique de Contoso. Par exemple, l’ordinateur non intègre peut accéder au serveur WSUS de Contoso et au serveur qui héberge les signatures antivirus. Enfin, la protection NAP peut s’assurer qu’une fois que l’ordinateur redevient intègre, il le reste pour toujours. Dans cet exemple, si l’hôte non intègre a été utilisé par un télétravailleur sur un réseau VPN et que l’utilisateur a désactivé le pare-feu de l’hôte, la protection NAP corrige automatiquement le problème. Dès que le pare-feu a été désactivé, l’infrastructure de la protection NAP met l’ordinateur en quarantaine, réactive le pare-feu, réévalue l’intégrité de l’ordinateur et, après avoir déterminé qu’il est intègre, replace l’ordinateur sur le réseau sans restriction. Les quatre piliers de la protection NAP prennent directement en compte les besoins de sécurité clés pour l’environnement informatique dynamique et mobile de Contoso.

Conception de la protection NAP
Pour bon nombre de petites et moyennes entreprises, la mise en œuvre basée sur DHCP pour la protection NAP est l’option de mise en œuvre la plus rapide et la plus facile. Cela s’explique par le fait que la mise en œuvre basée sur DHCP ne nécessite pas de modifications du serveur et de services supplémentaires en dehors de DHCP et de NPS. Même si les options de mise en œuvre basées sur IPSec et 802.1X sont plus flexibles, elles impliquent également des modifications supplémentaires au niveau du réseau et des services à déployer. Pour les environnements moins complexes, l’utilisation de DHCP offre les principaux avantages de la protection NAP, avec un coût de mise en œuvre et avec un engagement opérationnel moins importants.
Dans l’environnement de Contoso, un ordinateur qui exécute Windows Server « Longhorn » est utilisé comme noyau du déploiement de la protection NAP. Comme la protection NAP nécessite un serveur NPS Windows Server « Longhorn », elle ne peut pas être déployée sur les versions précédentes de Windows Server. La mise en œuvre basée sur DHCP pour la protection NAP nécessite également un serveur DHCP Windows Server « Longhorn ». Pour consolider les services, Contoso peut déployer NPS et DHCP sur le même serveur ; ils coexistent sans problème. Ainsi, l’infrastructure de base du serveur NAP pour Contoso est relativement simple : un seul ordinateur avec Windows Server « Longhorn » exécute les composants de stratégie et de mise en œuvre.
Côté client, les ordinateurs de Contoso qui exécutent Windows Vista possèdent déjà les fonctions nécessaires à la prise en charge de la protection NAP. La seule modification nécessaire côté client pour les ordinateurs qui exécutent Windows Vista consiste à activer la fonctionnalité NAP, ce qui peut être effectué au travers de la stratégie de groupe. Pour les ordinateurs de Contoso qui exécutent Windows XP, un package client NAP doit être installé séparément. Sur les ordinateurs qui exécutent Windows XP, joints à un domaine, la fonctionnalité de Centre de sécurité Windows est désactivée par défaut. Si la stratégie de protection NAP utilise les informations d’état du Centre de sécurité pour évaluer l’intégrité informatique, le Centre de sécurité doit être exécuté pour que la protection NAP fonctionne de manière appropriée. Ainsi, pour les ordinateurs de Contoso qui exécutent Windows XP, les administrateurs ont activé le Centre de sécurité au travers de la stratégie de groupe. Au-delà de ces modifications, rien d’autre n’est nécessaire côté client pour prendre en charge la protection NAP.

Déploiement de la protection NAP pour Contoso
Une fois que Contoso a apporté les modifications nécessaires de stratégie de groupe, mentionnées précédemment, l’installation de Windows Server « Longhorn » est l’étape suivante du déploiement de la protection NAP. Toutes les versions de Windows Server « Longhorn » incluent les composants nécessaires de la protection NAP, pour que Contoso puisse utiliser l’édition la plus adaptée à ses besoins. Une fois que l’installation est terminée, l’administrateur informatique utilise l’outil Gestionnaire de serveur pour ajouter de nouveaux rôles sur l’ordinateur. Pour la mise en œuvre basée sur DHCP utilisée par Contoso, les rôles nécessaires sont Services d’accès réseau et Serveur DHCP. L’Assistant d’ajout de rôles permet à l’administrateur de gérer les dépendances et d’inclure des fonctionnalités supplémentaires, qui peuvent s’avérer utiles sur le serveur. Une fois que les rôles ont été ajoutés, Contoso peut commencer à configurer la protection NAP.
L’administrateur de Contoso utilise l’outil Gestionnaire de serveur pour accéder au composant logiciel enfichable de DHCP pour Microsoft Management Console (MMC) et ajoute une nouvelle étendue. La configuration du serveur DHCP Windows Server « Longhorn » va entraîner le remplacement de tous les services DHCP sur les segments IP dont il assure la maintenance. Une fois que l’étendue a été créée et remplie avec les options appropriées basées sur le réseau de Contoso, la protection NAP doit être activée. Cette opération est effectuée sur l’onglet Protection d’accès réseau des propriétés de l’étendue (voir la figure 2).
Figure 2 Activation de la protection NAP
Figure 2 Activation de la protection NAP
La protection NAP bascule les ordinateurs entre l’accès réseau restreint ou sans restriction dans la même étendue en utilisant une nouvelle option d’étendue de classe d’utilisateur NAP. Cette série spéciale d’options d’étendue (y compris les serveurs DNS, le suffixe DNS par défaut, etc.) est utilisée lorsque des baux sont fournis à des clients qui ne sont pas intègres. Par exemple, alors que les clients intègres reçoivent par défaut le suffixe DNS « contoso.com », les clients non intègres reçoivent le suffixe « restricted.contoso.com » comme indiqué à la figure 3. Une fois que les options d’étendue DHCP sont configurées, le serveur NPS peut être configuré et des règles peuvent être créées.
Figure 3 Accès restreint
Figure 3 Accès restreint
La stratégie de protection NAP comporte quatre composants principaux. Les validateurs d’intégrité du système (SHV) définissent les vérifications à exécuter pour évaluer l’intégrité d’un ordinateur. Les groupes de serveurs de correction contiennent la liste des systèmes auxquels les ordinateurs ne fonctionnant pas correctement peuvent accéder pour retrouver leur intégrité (WSUS, par exemple). Le composant Modèle de validateur d’intégrité du système permet de définir les états d’intégrité réels. Par exemple, Contoso peut indiquer qu’un ordinateur est « conforme » lorsqu’il franchit le validateur d’intégrité du système de Sécurité de Windows, et autorise le client à échouer à une autre vérification de validateur d’intégrité du système de son fournisseur d’antivirus. Enfin, ces composants sont combinés dans une série de stratégies réseau, qui contiennent la logique qui détermine ce qui se produit au niveau des ordinateurs en fonction de leur état d’intégrité.
Les validateurs d’intégrité du système sont des listes d’éléments que l’agent NAP vérifie. Puis il signale l’état au serveur NPS. Un déploiement par défaut de la protection NAP inclut les validateurs d’intégrité du système de Windows, qui sont liés au Centre de sécurité de Windows et permettent à la protection NAP de vérifier l’état de tous les composants de sécurité signalés par le biais du Centre de sécurité. Cela inclut le pare-feu, l’antivirus, la mise à jour automatique et les composants anti-logiciels espions.
Souvenez-vous que la protection NAP est conçue de manière à être extensible et permettre à des tiers de créer leurs propres validateurs d’intégrité du système pour fournir des vérifications plus détaillées des composants (pour plus d’informations, consultez microsoft.com/windowsserver2003/partners/nappartners.mspx). Par exemple, les validateurs d’intégrité du système de Sécurité de Windows permettent à la protection NAP de vérifier si l’antivirus est activé et à jour. Cependant, le validateur d’intégrité du système de Sécurité de Windows ne peut pas exécuter de vérifications plus détaillées de l’application antivirus, comme la fréquence d’analyse de l’ordinateur ou d’autres options spécifiques à des applications. Le fournisseur d’antivirus, cependant, peut créer son propre validateur d’intégrité du système plus intégré à son application et proposer plus de vérifications spécifiques à des applications que le validateur d’intégrité du système Windows par défaut. Ce validateur d’intégrité du système fonctionne conjointement au validateur d’intégrité du système de Windows et les autres validateurs d’intégrité du système éventuels. Un déploiement de la protection NAP peut comporter de nombreux validateurs d’intégrité du système utilisés simultanément (voir la figure 4).
Figure 4 Validateur d’intégrité du système de Sécurité de Windows
Figure 4 Validateur d’intégrité du système de Sécurité de Windows
Les groupes de serveurs de correction sont utilisés pour spécifier les ressources auxquelles un ordinateur ne fonctionnant pas correctement peut accéder. Ces groupes incluent souvent des ressources comme des serveurs WSUS ou Systems Management Server (SMS), ainsi que des serveurs de mise à jour des antivirus. Il est essentiel d’inclure non seulement les serveurs proprement dits, mais également les serveurs de résolution de noms utilisés par les clients pour les rechercher. Comme les clients de Contoso sont configurés à l’aide de la stratégie de groupe pour utiliser le serveur wsus.contoso.com pour les mises à jour automatiques, le groupe de serveurs de correction doit inclure non seulement l’adresse IP du serveur WSUS, mais également celle du serveur DNS que les clients utilisent pour convertir le nom de domaine pleinement qualifié (FQDN) en adresse IP numérique. Sans accès à ces ressources de résolution de noms (qui peuvent être DNS et WINS, en fonction de la configuration des clients), les clients ne peuvent pas résoudre les adresses IP des ressources de correction et, de ce fait, ne peuvent pas y accéder. La figure 5 affiche les paramètres DNS et IP pour l’exemple.
Figure 5 Noms DNS et adresses IP
Figure 5 Noms DNS et adresses IP
Les modèles de validateur d’intégrité du système sont utilisés pour définir les éléments constitutifs d’un ordinateur intègre. Les modèles de validateur utilisent les résultats des vérifications des validateurs d’intégrité du système et indiquent si un ordinateur est intègre ou non, selon qu’il franchit ou échoue à une ou plusieurs de ces vérifications (voir la figure 6).
Figure 6 Vérifications de conformité
Figure 6 Vérifications de conformité
Dans l’environnement de Contoso (comme pour un grand nombre de petites et moyennes entreprises), il n’y a que deux états définis. Un ordinateur intègre est un ordinateur qui franchit toutes les vérifications des validateurs d’intégrité du système. Un ordinateur non conforme est un ordinateur qui échoue à une ou plusieurs de ces vérifications. Les entreprises peuvent choisir de mettre en œuvre une logique plus complexe si nécessaire (par exemple, en créant des normes de conformité différentes pour les utilisateurs en fonction de leur rôle, de leur service, de leur emplacement, etc.), mais doivent garder à l’esprit que cela peut rendre les opérations d’identification et de dépannage plus difficiles et plus longues.
Tous ces composants sont réunis avec les stratégies réseau. Les stratégies réseau sont définies par les administrateurs et indiquent au serveur NPS de traiter les ordinateurs en fonction de leur état d’intégrité. Ces stratégies sont évaluées de haut en bas (selon l’affichage dans l’interface utilisateur du serveur NPS) et le traitement s’interrompt une fois qu’une règle de stratégie est respectée.
Là encore, la simplicité est l’objectif pour le réseau de Contoso, et donc seules quelques stratégies sont nécessaires. Tout d’abord, la stratégie Accès total conforme. Cette stratégie indique que les ordinateurs qui franchissent toutes les vérifications des validateurs d’intégrité du système bénéficient d’un accès illimité au réseau. En particulier, lorsque l’intégrité d’un ordinateur est évaluée et que toutes les vérifications sont réussies, le serveur NPS indique au serveur DHCP de proposer à l’ordinateur un bail IP avec les options d’étendue « normales ». Cette stratégie Accès total conformité doit normalement figurer en premier dans l’ordre de traitement, car la plupart des machines doivent être conformes lors de la vérification. Si cette stratégie est répertoriée en premier, la charge et le temps de traitement sur le serveur NPS sont réduits.
La stratégie suivante utilisée est Restriction pour non-conformité. Dans l’environnement de Contoso, tous les ordinateurs qui échouent à une ou plusieurs des vérifications des validateurs d’intégrité du système (correspondant ainsi au modèle de validation d’intégrité du système non conforme) correspondent à cette stratégie. Lorsque cette stratégie est respectée, le serveur NPS indique au serveur DHCP de proposer au client un bail IP avec les options d’étendue « restreintes » de la protection NAP. Cela permet aux ordinateurs non conformes d’accéder uniquement aux ressources définies dans le groupe de serveurs de correction de Contoso.
La troisième stratégie utilisée concerne la rétrocompatibilité. N’oubliez pas que, par défaut, la prise en charge de la protection NAP est disponible pour Windows XP et systèmes d’exploitation ultérieurs (même si les éditeurs de logiciels indépendants peuvent développer des clients NAP pour des versions anciennes de Windows ou d’autres systèmes d’exploitation). Si Contoso utilise toujours Windows 2000, il peut créer une règle (Accès total de niveau inférieur en l’occurrence) qui permet aux ordinateurs qui ne sont pas compatibles NAP de bénéficier d’un accès normal au réseau (compte tenu des options d’étendue par défaut par le serveur DHCP). Cette stratégie doit être évaluée en dernier et ne doit être créée et activée que lorsque des ordinateurs de niveau inférieur doivent accéder au réseau (voir la figure 7).
Figure 7 Paramètres d’accès pour les ordinateurs de niveau inférieur
Figure 7 Paramètres d’accès pour les ordinateurs de niveau inférieur
Que se passe-t-il si des ressources (imprimantes ou autre matériel) sur le réseau de Contoso ne sont pas (et ne seront pas) compatibles NAP ? Par ailleurs, que se passe-t-il si des ordinateurs de Contoso sont compatibles NAP, mais que Contoso souhaite les exempter des vérifications de stratégie, de façon permanente ou temporaire ? Le recours à une adresse MAC est un moyen facile de les exempter. Pour que ces ordinateurs puissent contourner les vérifications NAP, les administrateurs Contoso peuvent créer une stratégie (exempte par MAC), qui offre un accès réseau total. Cette stratégie utilise une instruction de condition, dans laquelle la propriété du client RADIUS « ID station d’appel » correspond à l’adresse MAC des périphériques qui doivent contourner une vérification NAP. Lorsqu’un ordinateur correspond à cette instruction de stratégie, le serveur NPS indique au serveur DHCP de proposer un bail avec des options d’étendue « normales ». Cette stratégie doit figurer en premier dans l’ordre d’évaluation pour réduire le temps de traitement et la charge généraux sur le serveur NPS. Les ordinateurs qui respectent cette stratégie n’ont pas besoin d’être évalués par des validateurs d’intégrité du système, donc il n’est pas utile de procurer des cycles à cet effet au serveur NPS pour les vérifier (voir la figure 8).
Figure 8 Écartement de certains ordinateurs
Figure 8 Écartement de certains ordinateurs
Lorsque ces stratégies sont combinées, elles permettent de s’assurer que le serveur NPS de Contoso évalue rapidement et précisément les ordinateurs qui se connectent au réseau. Elles prévoient également des exemptions lorsque cela est nécessaire pour des ordinateurs de niveau inférieur et des cas dans lesquels les périphériques compatibles NAP ont besoin de contourner temporairement des vérifications.

Conclusion
La protection NAP englobe de nombreuses technologies et, en particulier, dans des scénarios plus complexes, nécessite une planification et des tests élaborés. Je me suis concentrée sur un scénario moins complexe, mais le site Web NAP inclut une aide plus détaillée pour les déploiements de toutes les tailles. Le site Web inclut également une aide pour la planification des technologies de mise en œuvre basée sur 802.1X et IPSec, qui constituent souvent une option plus appropriée que la mise en œuvre basée sur DHCP pour les entreprises.
La protection NAP met à disposition une plate-forme active et extensible pour évaluer l’intégrité des ordinateurs qui se connectent à un réseau. Pour les petites et moyennes entreprises, la mise en œuvre basée sur DHCP peut apporter de nombreux avantages avec des coûts de mise en œuvre et de gestion faibles. La protection NAP est un avantage clé de Windows Server « Longhorn ». Elle peut aider votre entreprise à améliorer la sécurité et la conformité.
Ressources de la protection NAP
  • Protection d’accès réseau
  • Configuration de la mise en œuvre du protocole DHCP pour la protection d’accès réseau dans un laboratoire de test
  • Partenaires de la protection d’accès réseau
  • Webcast du livre blanc « Introduction à la protection d’accès réseau »

John Morello a travaillé à différents postes chez Microsoft pendant six ans. En tant que consultant senior, il a conçu des solutions de sécurité pour des entreprises classées dans Fortune 100 ainsi que des clients civils et militaires du Gouvernement. Il est actuellement responsable senior de programme dans le groupe Windows Server qui se consacre aux technologies de sécurité et d’accès distant.


 Histoires de Bureau: Nouvelle exploration des Services de d&#233;ploiement Windows
Histoires de Bureau
Nouvelle exploration des Services de déploiement Windows
Wes Miller

La plupart de mes articles récents abordaient les technologies de déploiement apparentées à Windows Vista et la prochaine version de Windows Server, nom de code « Longhorn ». La grande constante dans les logiciels, c’est le changement, et j’ai donc une petite mise à jour pour vous en ce qui concerne les Services de déploiement Windows (WDS), qui seront livrés avec
Windows Server® « Longhorn ». J’ai également accumulé plusieurs questions de lecteurs et des discussions auxquelles j’ai participé ces derniers mois, et une partie de cet article sera dédié aux réponses à certaines de ces questions apparentées à ImageX, WDS et Windows® PE.

Nouvelles fonctionnalités et améliorations
Lorsque WDS a été envisagé au départ, le but était que cette fonctionnalité intégrée comme module complémentaire pour Windows Server 2003 soit presque identique à la fonctionnalité de la version qui sera plus tard intégrée dans Windows Server « Longhorn ». Cependant, l’équipe développant WDS pour Windows Server « Longhorn » a travaillé diligemment sur trois nouvelles fonctionnalités clés qui devraient être exclusives à WDS sur la prochaine plate-forme de serveur.
Ces nouvelles fonctionnalités sont un déploiement de multidiffusion, une performance de téléchargement TFTP améliorée et la prise en charge de démarrage de réseau EFI (Extensible Firmware Interface) pour les systèmes x64. Ces fonctionnalités sont significatives et extrêmement avantageuses pour les utilisateurs et les administrateurs de WDS : jetons donc un coup d’œil à chacune d’entres-elles pour voir ce qu’elles proposent de nouveau. Veuillez cependant noter la chose suivante : il n’est pas prévu que ces fonctionnalités soient incluses dans la version future de WDS pour Windows Server 2003.

Multidiffusion
Bien avant que je commence à travailler dans l’équipe de Windows, la multidiffusion était l’une des fonctionnalités les plus abordées et demandées pour les Services d’installation à distance (RIS), et même pour le déploiement de Windows en général. Les clients qui avaient utilisé les technologies de déploiement de tiers connaissaient les avantages d’un déploiement de multidiffusion. Quelques technologies de déploiement spécifiques à des scénarios implémentaient la multidiffusion à l’intérieur de Microsoft, notamment les ADS (Services de déploiement automatisés), mais aucune ne le faisaient pour les déploiements d’OEM ou d’entreprise. Et cette fonctionnalité était fréquemment demandée, à chaque fois que je parlais de déploiement avec des clients d’OEM ou d’entreprise.
Le principal avantage de la multidiffusion est qu’elle permet à des ordinateurs multiples de recevoir une communication simultanément. C’est à dire que l’expéditeur (le serveur WDS dans ce cas) n’envoie qu’une seule fois les informations à communiquer. Chaque client doit ensuite écouter la communication entière de bout en bout pour la recevoir. Puisque tous les clients écoutent une adresse de réseau spécifique simultanément, l’avantage est double : une vitesse de déploiement améliorée, puisque le réseau est moins bouché avec des clients multiples exécutant une tâche identique, et une saturation de réseau diminuée, puisque chaque client écoute un flux unique.
Historiquement, l’inconvénient de multidiffusion était sa propre infrastructure. Souvenez-vous du jeu du « téléphone arabe » auquel nous avons pratiquement tous joué quand nous étions enfants. Vous vous rappelez probablement du fonctionnement du jeu :
  1. Vous dites une phrase à la personne à côté de vous.
  2. Cette deuxième personne entend la phrase.
  3. La deuxième personne répète ensuite la phrase à une troisième personne.
  4. Le cycle continue avec toutes les personnes présentes.
Maintenant, le problème inhérent à la multidiffusion est que pour que vous puissiez dire la phrase entière à quatre personnes, elles doivent toutes être dans la pièce et écouter simultanément. Si une cinquième personne entre dans la pièce, à moins qu’elle ne sache tout de suite qu’il faut écouter, vous devrez répéter la phase à tout le monde.
La multidiffusion fonctionne d’une façon similaire. Vous envoyez une image binaire (d’habitude une image de disque basée sur un secteur) via le réseau. Tous les clients qui ont besoin de la recevoir doivent généralement l’attendre dans une file s’ils ne sont pas prêts immédiatement lorsque l’image est diffusée pour la première fois. Ce qui est encore plus ennuyant, c’est que si les clients perdent trop de données en raison de problèmes de réseau ou de performance, ils doivent quitter complètement la file de communication (puisqu’ils ne peuvent pas s’assurer d’avoir reçu l’image de disque entière), ou tout le groupe doit ralentir pour répondre aux besoins du client qui éprouve des problèmes. Dans un scénario où vous déployez des centaines de systèmes simultanément, lors de la conception d’un système de multidiffusion, il est nécessaire de porter une grande attention pour s’assurer que tous les clients démarrent en même temps, et que les baisses de vitesse de l’un n’affectent pas les autres.
L’équipe de WDS a modifié tout cela en créant un nouveau moteur de multidiffusion qui profite de l’infrastructure du Format d’image Windows (WIM) basé sur un fichier, pour proposer des capacités uniques. Vous pouvez exécuter les mêmes scénarios de multidiffusion planifiée possibles avec la plupart des logiciels de multidiffusion de tiers, mais la solution de multidiffusion pour WDS propose des arguments supplémentaires.
Tout d’abord, les ordinateurs clients peuvent s’y joindre à tout moment du transfert. La diffusion de multidiffusion est une diffusion de « tourniquet » de flux de fichiers qui continuera la diffusion jusqu’à ce qu’il ait répondu aux besoins de tous les ordinateurs clients. C’est pourquoi il importe peu quand les clients s’y connectent. Ils écoutent le serveur WDS, et lorsque le serveur a terminé la diffusion des fichiers image, il recommence depuis le début. Si un client rate un fichier, il n’a qu’à écouter jusqu’à ce que le fichier soit répété (comme lorsque vous essayiez d’attraper le pompon au manège).
Ensuite, le protocole est complètement nouveau et il propose des fonctionnalités de contrôle de congestion et de flux, ce qui signifie qu’il fonctionne bien sur des réseaux de production sans interférer avec la communication existante sur le réseau. L’une des craintes les plus répandues chez les administrateurs réseau (justifiée par certaines solutions de multidiffusion) est qu’en l’allumant, ils risquent d’inonder leur réseau de trafic, ce qui est d’autant plus ironique que vous essayez en fait d’optimiser l’efficacité des communications.
Enfin, la solution a été conçue pour être indépendante de WDS et d’Active Directory®. Ceci signifie que vous n’avez besoin ni d’Active Directory, ni d’une implémentation active de WDS pour en profiter. La multidiffusion d'ImageX peut être exécutée d’une manière indépendante, ce qui donne lieux à de multiples scénarios supplémentaires. Le client de multidiffusion est une application de ligne de commande qui peut exécuter sous Windows Server « Longhorn » (et sa version associée de Windows PE), sous Windows Vista™, Windows XP Service Pack 2 (SP2) ou le nouveau Windows Server 2003 SP2.
Il y a de nouvelles tâches de gestion dans le MMC de WDS et dans l’application WDSUtil pour installer et configurer la multidiffusion. Il y a également une modification de l’interface utilisateur du client WDS indiquant qu’une multidiffusion est en cours.
Les outils d’administration de WDS permettent aux administrateurs de contrôler le progrès de transmission vers clients en temps réel (y compris la suppression de clients d’une transmission). Les outils d’administration offrent également un enregistrement et une capacité de rapport complets, ce qui signifie que les administrateurs possèdent désormais une méthode pour enregistrer des installations, fonction qui manquait vraiment à RIS.
La multidiffusion dans WDS pour Windows Server « Longhorn » est l’une des annonces les plus intéressantes que j’ai entendue depuis un moment. C’est une grande nouvelle d’apprendre que l’équipe a pu exaucer ce souhait souvent formulé par les clients, et d’une façon qui devrait satisfaire les clients OEM et entreprise.

Une performance de téléchargement TFTP améliorée
Le protocole TFTP (Trivial File Transfer Protocol) est un composant clé de PXE (Pre-boot eXecution Environment), lui-même colonne vertébrale de RIS et maintenant de WDS. TFTP n’a pas été choisi à cause de son efficacité de réseau ou sa robustesse, mais principalement en raison du fait qui c’est un protocole extrêmement petit (puisqu’il est sans prise en compte des états, non sécurisé et basé sur UDP), qu’il se prête à l’encapsulation dans un ROM de démarrage, nécessaire pour un démarrage PXE des systèmes à partir du réseau.
Pour Windows Server « Longhorn », le démon TFTP (TFTPD) a été complètement réécrit de façon à permettre des améliorations significatives dans les temps de téléchargement du protocole TFTP (une amélioration majeure, maintenant que tout déploiement de WDS est basé sur un démarrage de Windows PE à partir de l’image RAM). C’est une bonne nouvelle pour les clients qui souhaitaient de meilleures performances lors du téléchargement de Windows PE à partir de RIS ou WDS sur Windows Server 2003.
Comme le monde des PC commence à s’éloigner du tout-puissant BIOS (la colonne vertébrale des PC x86 d’aujourd’hui) en direction de l’EFI, Microsoft a préparé WDS pour fonctionner avec les nouveaux systèmes de serveurs x64 qui démarrent en utilisant l’EFI au lieu du BIOS. La fonctionnalité incluse autorisera les systèmes clients x64 à effectuer un démarrage PXE à partir d’un serveur WDS.

Questions
Maintenaient que vous savez tout sur la mise à jour de WDS, j’aimerais utiliser le reste de cet article pour répondre à certaines questions que j’ai reçues par courrier électronique ou vu abordées récemment en ligne, et que j’estime être d’intérêt général pour mes lecteurs.

Q : Est-il possible d’utiliser WDS dans un environnement non-DHCP ? Mon réseau n’autorise pas le trafic DHCP ou PXE.
R : Oui, il est concevable d’utiliser WDS dans un environnement non-DHCP, mais la solution n’est pas une évolution, puisque vous devez créer un support CD unique pour chaque installation que vous projetez de prendre en charge, chacun avec sa propre adresse IP unique. Il est probablement plus judicieux d’utiliser un support DVD pour l’installation. Si vous devez effectuer l’installation via WDS sans DHCP, suivez la procédure suivante :
  1. Créez une image WDS Discover avec un serveur défini de façon statique (ceci pointe vers le serveur WDS spécifique à partir duquel vous effectuerez l’installation).
  2. Autorisez le trafic DHCP sur le port 4011 sur ce serveur WDS de destination. Bien que vous n’utiliserez pas le DHCP, vous devez l’autoriser, car il constituera le point de rendez-vous des clients WDS avec le serveur.
  3. Créez un support Windows PE unique avec une adresse IP statique au lieu de DHCP.
Notez que cette solution est pénible parce que le support du client doit être unique pour éviter les collisions d’adresse IP et vous devez pointer à un serveur WDS spécifique sur votre réseau. Puisque le PXE (lui-même basé sur DHCP) est la colonne vertébrale de WDS, vous comprenez pourquoi WDS fonctionne bien mieux si le DHCP est autorisé dans votre environnement.

Q : Je veux effectuer un démarrage PXE de Windows PE 2.0 à partir d’un serveur PXE autre que WDS. Comment puis-je réaliser cela ?
R : L’article de la base de connaissances à cette adresse support.microsoft.com/kb/926172 peut fournir certaines aides pour faire fonctionner Windows PE 2.0 à partir d’un serveur PXE non-WDS, mais notez que la prise en charge de Microsoft pour ce problème est quelque peu limitée.

Q : Qu’est-ce que le BDD ? Est-ce que le WAIK (Kit d’installation automatique de Windows) en fait partie ?
R : Le BDD (en fait Business Desktop Deployment Solution Accelerator) est une infrastructure fournissant une aide sur l’utilisation des outils de déploiement de Windows (tel que le WAIK), de façon maniable et reproductible. Le WAIK n’est pas directement une partie du BDD, mais le BDD rassemble tous les outils nécessaires, y compris le WAIK, pour que vous les installiez si ça n’a pas déjà été fait. Alors, si le WAIK n’est techniquement pas inclus dans le BDD, ce dernier en a besoin afin de fonctionner. Je vous invite à vous rendre à la page microsoft.com/desktopdeployment pour plus d’informations sur le BDD.

Q : Où puis-je obtenir WDS pour mon système Windows Server 2003 ?
R : WDS est inclus dans le téléchargement de WAIK dans l’annuaire WDS (voir go.microsoft.com/fwlink/?LinkId=85377).

Q : Comment configurer Windows PE 2.0 pour qu’il démarre avec une adresse IP statique, et prendre en charge la configuration DNS ?
R : Pour configurer une adresse IP statique, utilisez l’échantillon unattend.xml dans la Figure 1 et mettez-la à la racine de votre CD, lecteur flash de USB ou autre support amorçable pour qu’il soit exécuté. Si vous voulez également avoir la prise en charge de DNS, il vous faudra aussi exécuter la commande suivante :
Figure 1 Figure 1 unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

Q : Est-il possible de démarrer Windows PE à partir d’un contrôleur Fibre Channel ?
R : Oui, si le HBA du Fibre Channel prend en charge l’enregistrement du volume de démarrage à l’aide de Int13 pour qu’il apparaisse dans le BIOS comme un volume démarrable pour Windows PE. Vous devez également ajouter le pilote du contrôleur Fibre Channel, comme vous le feriez pour n’importe quel pilote de contrôleur de stockage prêt à l’emploi.

Q : Windows PE 2.0 démarre toujours à partir d’un RAMDisk. Certains de mes systèmes n’ont pas assez de RAM pour démarrer comme ça. Je peux démarrer Windows PE 2.0 sans un RAMDisk ?
R : Oui, vous le pouvez. Les systèmes possédant moins de 256 Mo de RAM en particulier peuvent nécessiter une mise en œuvre non-RAMDISK de Windows PE pour démarrer. Le support technique de Microsoft travaille d’ailleurs sur un article qui décrira exactement comme faire cela. Quelques avertissements importants : vous ne pourrez pas échanger de support, comme vous pouvez le faire avec un RAMDisk, et il démarrera plus lentement qu’une version de Windows PE 2.0 basée sur RAMDisk.

Q : J’ai essayé de démarrer Windows PE 2004 et Windows PE 2005 (1.5 ou 1.6) à partir d’un support autre qu’un DVD, et de copier une image (ou d’autres données) à partir d’un DVD. Je ne démarre pas du DVD, je copie seulement des données à partir de celui-ci, mais ça ne fonctionne pas. Le DVD est lisible sous une installation complète de Windows, mais sous Windows PE, je reçois une erreur déclarant que le volume est endommagé ou illisible. Est-ce que je peux réparer ça ?
R : Oui, c’est possible. Par défaut, Windows PE 1.x ne prend pas en charge les supports formatés UDF. Les DVD sont, par définition, formatés avec prise en charge ISO Bridge (un format hybride ISO et UDF) ou simplement UDF. Il vous faut ajouter le pilote d'UDF à votre installation de Windows PE pour que cela fonctionne. Le pilote y figure déjà ; il n’est simplement pas installé. Pour l’installer, suivez la procédure suivante :
  1. Dans le Bloc-notes, ouvrez le fichier txtsetup.sif dans votre annuaire I386 (ou MiniNT dans le cas d’une installation disque dur de Windows PE).
  2. Recherchez la section appelée [CdRomDrivers.Load] et cherchez la ligne contenant le pilote nommé cdfs.sys. En dessous de cette ligne, ajoutez la ligne udfs = udfs.sys. L’entrée doit ressembler à ceci :
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Recherchez la section appelée [CdRomDrivers] et trouvez la ligne qui contient le cdfs. En dessous de cette ligne, ajoutez la ligne udfs = "Universal Disk File System". L’entrée doit ressembler à ceci :
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Enregistrez et fermez votre txtsetup.sif et recréez votre image de Windows PE comme nécessaire. Vous devez maintenant pouvoir lire le support DVD formaté UDF dans Windows PE.

Q : J’ai plusieurs systèmes plus anciens sur lesquels tourne Windows XP mais qui ne prennent pas en charge l’interface ACPI. Pourrais-je utiliser Windows PE 2.0 sur ces systèmes afin de les migrer sur Windows Vista ou peut-être de réinstaller Windows XP ?
R : Non, c’est impossible. Windows PE 2.0 ne prend en charge que les systèmes compatibles ACPI (Advanced Configuration and Power Interface), et il ne démarrera pas sur ces systèmes. Si vous avez besoin d’utiliser Windows PE sur ces systèmes, utilisez Windows PE 1.6 ou une version précédente.

Q : J’ai écrit ma propre application dans Visual Studio® 2005 que j’aimerais exécuter sur Windows PE (1.x ou 2.0). Est-ce qu’elle fonctionnera ?
R : Cela dépend de la façon dont vous avez écrit votre application. Si vous utilisez C++ non-géré, alors oui, votre application devrait fonctionner. Si vous utilisez n’importe quel autre langage de code géré (C# ou J#, par exemple) ou que vous avez écrit n’importe quel code en C++ géré, alors elle ne fonctionnera pas. Puisque Microsoft®.NET Framework (n’importe quelle version) n’est pas disponible sur Windows PE, le code géré ne s’exécutera pas.

Q : J’essaie d’écrire ma propre application pour l’utiliser sur Windows PE 2.0 et j’ai besoin d’aide. Où puis-je en trouver ?
R : Je suggère que vous commenciez par consulter le Livre blanc des développeurs de Windows PE.

Q : J’ai démarré Windows PE 2.0 à partir d’un CD à plusieurs reprises, mais la lettre du lecteur (le RAMDisk) est toujours X. Comment puis-je savoir de quel lecteur il démarre réellement ?
R : Si vous regardez dans le registre, la clé suivante doit refléter la véritable lettre de lecteur à partir duquel Windows PE a démarré au départ :
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Si vous découvrez que cette clé n’a pas été peuplée parce qu’un noyau de tiers a été utilisé dans Windows PE, exécutez la commande suivante pour la mettre à jour à la valeur correcte :
start /w wpeinit UpdateBootInfo

Q : Est-il possible d’utiliser des fichiers ImageX et WIM pour sauvegarder mes systèmes ?
R : C’est théoriquement possible, mais je ne le recommanderais pas. ImageX ne peut pas sauvegarder de fichiers verrouillés ou ouverts comme le ferait un outil de sauvegarde dédié. Je recommande l’utilisation d’un utilitaire de sauvegarde dédié qui vous autorise à protéger des fichiers ouverts et verrouillés.

Q : Si je capture un fichier WIM non compressé, se déploiera-t-il plus vite que la même image de volume compressée ?
R : La différence ne sera pas flagrante. La capture dure plus de temps, en raison de la compression. Cependant l’application de l’image à un système cible ne prend pas beaucoup plus de temps selon le type de compression utilisé (aucune, XPress ou LZX). Je vous recommande de faire votre choix de compression selon la taille réelle que l’image nécessite et le temps que vous pouvez dédier à la capture.

Q : Est-ce que j’ai besoin de repartitionner ou formater le disque si je prévois d’y appliquer une image WIM ?
R : Oui, effectivement. Pour obtenir une image propre de votre système, vous devez d’abord nettoyer le volume avec l’outil Diskpart (ou supprimer et recréer la partition de destination). Comme alternative, vous pouvez formater le volume complètement, avant d’appliquer l’image.
De plus, gardez à l’esprit que les versions de Windows antérieures à Windows Vista utilisaient un secteur d’amorçage différent. Donc, si vous utilisez Windows PE 2.0 pour déployer Windows Server 2003 (ou une version antérieure), vous devrez exécuter la commande suivante à partir de Windows PE pour déterminer un secteur d’amorçage à partir duquel Windows Server 2003 (ou antérieur) pourra redémarrer avant d’installer Windows et d’y appliquer une image WIM.
bootsect /nt52 sys C: /force

Conclusion
J’espère que vous avez trouvé la mise à jour de WDS et les réponses à ces questions utiles et intéressantes. J’apprécie toutes vos questions et ferai de mon mieux pour y répondre lorsque j’ai la place dans cet article. Merci de continuer à me les envoyer à l’adresse qui apparaît dans ma biographie.
Windows Vista Hardware Assessment
Baldwin Ng

Bonne nouvelle : votre responsable répond enfin à la proposition que vous lui avez soumise il y a un mois. Il semble avoir sérieusement réfléchi à votre idée d’un déploiement de Windows Vista dans toute l’entreprise, et il a commencé à voir les avantages et les économies générées par la gestion d’un système d’exploitation unique. Cependant, il n’est pas totalement convaincu qu’il soit logique, d’un point de vue financier, de remplacer tous les PC pour l’installation de Windows Vista. Il veut du concret, des informations détaillées sur les PC qui peuvent migrer sur Windows Vista dès à présents, et ceux qui pourront migrer après quelques mises à jour mineures (comme une augmentation de la mémoire système et de l’espace disque dur). Et il veut une réponse avant la fin de la semaine. Par où allez-vous commencer ? Comment obtenir une réponse en quelques jours, alors que votre entreprise n’a pas d’actifs sophistiqués ou d’outils d’administration de réseau ? Pour corser encore la difficulté, votre prédécesseur n’a pas laissé assez d’informations sur les actifs de réseau qui existent déjà.
Microsoft vient de lancer Windows Vista Hardware Assessment, un accélérateur de solution qui vous aide déterminer la préparation de votre entreprise nécessaire pour recevoir Windows Vista (voir microsoft.com/technet/wvha). Cet outil évalue rapidement les PC sur un réseau et produit des rapports de préparation détaillés sur leur compatibilité matérielle et périphérique, ceci en quelques heures pour la plupart des entreprises de taille moyenne, le tout sans installation d’agents de logiciel sur les PC du réseau.
En s’appuyant sur les technologies de collecte d’inventaire et de rapport développées précédemment pour l’ADS (Microsoft Assessment and Deployment Solution), Windows Vista Hardware Assessment crée une série de rapports de préparation grâce à une procédure en trois étapes :

1. Inventaire matériel
En utilisant WMI (Windows Management Instrumentation), Active Directory® et d’autres protocoles de réseau de Windows tels que NetServerEnum, cet outil découvre les ordinateurs sur un domaine, ainsi que les ordinateurs d’un groupe de travail. Une fois l’inventaire terminé, toutes les informations de ressources et périphériques système sont enregistrées dans une base de données SQL Server™ 2005 Express. La version actuelle de cet outil prend en charge les découvertes réseau comprenant jusqu’à 5 000 machines. Les versions ultérieures seront certainement adaptées à des réseaux plus grands.

2. Analyse de compatibilité
En utilisant les mises à jour les plus récentes des bases de données des périphériques et du BIOS de l’équipe Windows, l’outil analyse la préparation de chaque PC pour estimer sa compatibilité matérielle et périphériques pour Windows Vista. De plus, les informations de pilote proviennent d’un service Web régulièrement mis à jour pour vous faire profiter des dernières informations à chaque fois que vous exécutez l’outil.

3. Rapport de préparation
La dernière étape est la génération automatique d’une série de rapports de préparation sous la forme de documents Microsoft Word et de feuilles de calcul Excel®. Ces rapports fournissent l’état de préparation, ainsi que les recommandations de mise à niveau pour chaque PC.
Windows Vista Hardware Assessment complète la gamme des accélérateurs de solution de Windows Vista, qui comprend Business Desktop Deployment 2007 et le Guide sur la sécurité de Windows Vista. Pour plus d’informations, jeter un coup d’œil sur la Page d’accueil des accélérateurs de solution.

Baldwin Ng est le directeur de produit dans l’Équipe des accélérateurs de solution Microsoft, qui se concentre sur la création d’outils logiciels automatisés pour aider les clients et les consultants à adopter les logiciels de Microsoft d’une façon plus rapide et plus efficace. Vous pouvez lui écrire à l’adresse suivante : Baldwin.Ng@microsoft.com.

Wes Miller est responsable du développement chez Pluck (www.pluck.com) à Austin, au Texas. Wes a travaillé chez Winternals Software à Austin et chez Microsoft en tant que responsable de programme et responsable de produit pour Windows. Vous pouvez écrire à Wes à l’adresse suivante : technet@getwired.com. Wes remercie Scott Dickens, responsable de programme pour les Services de déploiement Windows à Microsoft, pour son aide sur la section


 Sur le terrain: Se tenir inform&#233;
Sur le terrain
Se tenir informé
Joshua Hoffman

Le terrain, je le connaissais bien. Avant d’endosser mon rôle actuel (comme rédacteur technique de cette publication) il y a presque deux ans, j’étais un informaticien de terrain. J’ai passé cinq ans au sein de Microsoft Consulting Services et plusieurs années dans les services informatiques de différentes entreprises classées dans Fortune 100. Ensuite, j’ai quitté le terrain. Non pas que j’ai matière à me plaindre : nous travaillons ici avec un groupe de personnes géniales, et je travaille et fais la connaissance de mes lecteurs. Et le fait que je n’aie plus jamais besoin de prendre un avion à 6h00 un lundi matin pour aller travailler est appréciable aussi.
Mais mon nouveau poste comporte un inconvénient. Beaucoup d’informaticiens affirmeraient que la meilleure manière de connaître les nouveautés dans notre travail (et de rester à jour) est de les essayer. L’expérience pratique est un outil de formation puissant. Mais les carrières évoluent, les responsabilités changent et soudain vous vous rendez compte que vous êtes un informaticien sans système à administrer, sans infrastructure à gérer. Et la situation change très rapidement. Depuis que j’ai changé de poste, il y a une nouvelle version de Windows® avec une nouvelle infrastructure de déploiement, une nouvelle infrastructure de sécurité, une nouvelle pile réseau et quelques autres fonctionnalités. Il y a aussi la nouvelle version d’Office. Et Exchange Server. Et SQL Server™. Et Microsoft® Operations Manager. Il y a aussi de nouveaux outils : Windows PowerShell™, MMC 3.0, Windows Automated Installation Kit. J’espère n’avoir rien oublié.
Il s’avère qu’en deux ans, la situation a beaucoup évolué. Donc si la meilleure façon d’apprendre c’est d’agir et que votre poste ne comporte plus la partie « action », comment pouvez-vous rester informé ?
J’espère que ce magazine sera utile à cet effet. Je sais qu’il l’est pour moi. Nous travaillons avec beaucoup de grands auteurs qui connaissent vraiment leur sujet, et je profite en permanence de leur expertise. Mais parfois vous avez tout de même besoin d’essayer concrètement. En général, je commence par Virtual PC (ou Virtual Server), qui sont en téléchargement gratuit sur le site Web de Microsoft (vous trouverez les liens dans la section de téléchargements de notre site Web). Avec la technologie de virtualisation, je peux générer rapidement mon propre annuaire Active Directory® ou personnaliser un déploiement Windows Vista™ à partir de mon ordinateur portable. Aucun matériel supplémentaire n’est nécessaire. Lorsque je découvre moi-même le processus dans son intégralité pour comprendre le fonctionnement d’un élément, cela fait une différence énorme.
Le seul problème avec Virtual PC est que vous devez réellement créer l’environnement virtuel (installer le système d’exploitation, configurer correctement tous les éléments, etc.), ce qui est appréciable si c’est ce que vous aviez envie d’apprendre. Mais que se passe-t-il si vous souhaitez uniquement explorer une fonctionnalité ou une fonction spécifique d’un produit ? Par exemple, que se passe-t-il si vous souhaitez en savoir plus sur de nouvelles fonctionnalités de conformité dans Exchange Server 2007 ? L’installation et la configuration ex nihilo de Windows Server®, d’Active Directory et d’Exchange Server semblent représenter un travail considérable. Accédez aux Laboratoires virtuels TechNet. À mon humble avis, les laboratoires virtuels constituent l’une des meilleures ressources de formation disponibles depuis bien longtemps. L’équipe des laboratoires virtuels a déjà effectué le plus gros du travail : ils disposent de plus de 180 ordinateurs préinstallés et préconfigurés, qui couvrent différentes combinaisons de plus de 20 produits. Chacun est fourni avec une série d’exercices de formation pour vous aider à découvrir les tâches courantes et les nouvelles fonctionnalités. Et de surcroît, le processus entier est exécuté dans un environnement de navigateur, hébergé sur des serveurs gérés par Microsoft, donc vous n’avez pas besoin d’utiliser vos propres ressources matérielles.
Ainsi, oui il devient difficile de rester à jour si vous n’êtes plus en prise directe avec la réalité, mais cela reste faisable. Je vous ai indiqué certaines de mes ressources préférées. Et mon ami Edward Dake le faisait remarquer dans cette rubrique il y a quelques mois, le fait de pouvoir compter les uns sur les autres représente la meilleure des ressources. Vous pouvez toujours demander de l’aide.

Joshua Hoffmanest le rédacteur en chef pour la partie techniques et acquisitions de Technet Magazine


 La vie secr&#232;te de Windows: D&#233;terminer ce qui est fr&#233;quemment utilis&#233;
La vie secrète de Windows
Déterminer ce qui est fréquemment utilisé
Raymond Chen

Cliquez sur le bouton Démarrer et le menu du même nom apparaît. Une liste de programmes se trouve sur le côté gauche. Comment est-elle choisie ? Nous avons suivi le principe général selon lequel les programmes que vous avez utilisés le plus souvent dernièrement sont ceux qui doivent s’afficher sur la première page du menu Démarrer. En gardant ce principe à l’esprit, nous nous sommes vite rendus compte qu’il fallait procéder à des ajustements.
La règle de base est que chaque fois vous lancez un programme, il gagne un point. De la même façon, moins vous lancez un programme, plus il perd de points. Le menu Démarrer affiche les programmes qui ont le plus de points. C’est simple, non ? Mais ce n’est pas ce qui déroute les gens dans l’algorithme de sélection. Une fois la règle de base appliquée, il faut s’occuper des ajustements, et c’est ça qui pose problème.
Avant d’explorer cette question, certains aspects de la règle de base doivent être éclaircis. Remarquez que la règle parle du lancement des programmes, pas des raccourcis. Certains programmes installent des raccourcis multiples, celui que vous utilisez important peu. S’ils pointent tous vers le même exécutable, alors ce programme accumule tous les points gagnés par les différents raccourcis.
Menu Démarrer
Ceci signifie également qu’un programme peut gagner des points même si vous n’utilisez pas le menu Démarrer pour l’exécuter, à condition que vous le fassiez à partir d’Explorer. Si vous exécutez un programme manuellement, par exemple en ouvrant le dossier et en double-cliquant sur l’exécutable, celui-ci continuera de gagner des points et pourra ensuite s’afficher sur la première page du menu Démarrer.
Maintenant, une fois qu’un programme a gagné suffisamment de points pour apparaître à cet endroit, Windows® doit choisir l’icône de raccourci à afficher dans le cas où il y en a plusieurs qui pointent vers le même programme. Il ne sera donc pas étonnant de voir que le choix se porte sur le raccourci le plus fréquemment utilisé.
Dans le cadre des ajustements, certains programmes sont filtrés à partir de la liste. Par exemple, si vous avez épinglé un programme au menu Démarrer, il n’apparaîtra pas, car il est inutile de vous montrer deux icônes pour un même programme. Après tout, vous avez effectué cette opération parce que vous utilisez souvent ce programme.
Il existe une autre étape d’ajustement visant à éliminer le bruit. Auparavant, beaucoup de programmes s’affichaient car il s’agissait de raccourcis vers des programmes d’aide communs, tels que Bloc-notes ou Wordpad (comme un raccourci servant à afficher un fichier Lisezmoi). Ces raccourcis devaient être éliminés pour ne pas être nommés représentants de Bloc-notes, par exemple. D’ailleurs, un programme peut s’auto-enregistrer comme non éligible à l’inclusion sur la première page du menu Démarrer en créant une valeur NoStartPage dans l’enregistrement de son application.
La règle de base ne prenait pas non plus en compte la situation où vous lancez un programme une fois et continuez à l’utiliser tout le temps. Selon une stricte interprétation de la règle, ce programme gagnait un point lors de son lancement, puis le perdait au fil du temps. (Dans le cas présent, « fréquemment » est un doux euphémisme pour « absolument tout le temps ! ») Nous avons donc ajouté une autre règle : Lorsqu’un programme est utilisé en continu, il gagne chaque jour un point supplémentaire. Cela suffit à maintenir le programme dans la course aux points, mais pas assez pour engloutir ceux que vous lancez réellement. Après tout, si vous utilisez un programme en continu, vous n’avez pas besoin de le lancer tout le temps.
Dans Windows Vista™, d’autres règles d’ajustement ont été ajoutées. Par exemple, lorsqu’il faut choisir entre différents raccourcis pour un même programme qui n’a jamais été utilisé à partir du menu Démarrer, c’est le raccourci sans paramètre de ligne de commande qui sera désormais retenu. De plus, le programme que vous avez utilisé en dernier apparaîtra toujours sur la liste, indépendamment de son score.

Raymond Chen, The Old New Thing, et son livre portant le même titre (Addison-Wesley, 2007) traitent de l’historique de Windows et de la programmation Win32. Votre appel est important pour lui et sera traité dans l'ordre d'arrivée.