 TechNet Magazine May 2007

TechNet Magazine May 2007

Comunicações: Explore os novos recursos de mensagens móveis com o Exchange 2007

As mensagens móveis mudaram a forma como as pessoas trabalham, tornando a segurança de dispositivos móveis uma grande preocupação. Obtenha uma visão geral de como o Exchange Server 2007 aprimora a experiência do usuário e ajuda você a gerenciar uma força de trabalho cada vez mais móvel.

Yee-Chen Tjie Comunicações: Melhor conformidade com o Exchange Server 2007

A necessidade de proteger ativos corporativos e garantir a conformidade a normas impõe uma responsabilidade significativa aos departamentos de TI. Descobrir novos recursos no Exchange Server 2007 pode ajudá-lo a proteger os dados e a manter a conformidade.

Alan Maddison Gerenciamento de identidades: Crie um fluxo de trabalho de provisionamento passo a passo

Está procurando um sistema de provisionamento na Web? Descubra como você pode usar o MIISWorkflow para criar um sistema de provisionamento de usuários automatizado passo a passo, baseado no Microsoft Identity Lifecycle Manager 2007.

Aung Oo Administração do Windows: Simplifique a administração da Diretiva de Grupo com o Windows PowerShell

O Windows PowerShell está configurado para facilitar ao máximo o seu trabalho. Veja como as APIs do GPMC escritas para linguagens WSH (Windows Script Host) podem ser consumidas diretamente do Windows PowerShell, simplificando consideravelmente o gerenciamento da Diretiva de Grupo.

Thorbjörn Sjövold Administração do Windows: Um guia para implantar Serviços de Terminal

Há diversas vantagens em executar os aplicativos de sua organização centralmente, e começar a fazer isso agora é surpreendentemente fácil. Eis o que você precisa saber para habilitar os Serviços de Terminal no Windows Server 2003 e implementá-los em toda a organização.

James D. Silliman Do editor: Segurança para se locomover

Joshua Trupin Cartas: Respostas às suas perguntas

Toolbox: Novos produtos para profissionais de TI

Greg Steen P&R do SQL: Best Practices Analyzer, processadores multi-core e muito mais

Edited by Nancy Michell Destaque de utilitário: Kit de Ferramentas de Atualização para Sites e Modelos do SharePoint

Luis Câmara Manoel and Peter Skjøtt Larsen The Business of IT: Elaborando um plano comercial

Stephen Ibaraki The Cable Guy: EAPHost no Windows

Joseph Davies Windows Powershell: A conexão com o WMI

Don Jones Ei, Equipe de Scripts!: Flores florescendo. Caixas de diálogo aparecendo. A primavera chegou.

The Microsoft Scripting Guys Perguntas e respostas do Exchange: Tempos limites do OWA, solução de problemas de cmdlet e muito mais

KC Lemson and Nino Bilic Security Watch: Proteção de Acesso à Rede

John Morello Os arquivos da área de trabalho: Revisitando os Serviços de Implantação do Windows

Wes Miller Anotações de campo: Mantendo-se afiado

Joshua Hoffman Segredos do Windows: Determinando o que é usado com freqüência

Raymond Chen


 Comunica&#231;&#245;es: Explore os novos recursos de mensagens m&#243;veis com o Exchange 2007
Comunicações Yee-Chen Tjie

Explore os novos recursos de mensagens móveis com o Exchange 2007
Visão geral:
  • Configuração de dispositivos móveis
  • Imposição de diretivas
  • Serviço de mensagens avançado
  • Acesso móvel a arquivos

Apenas alguns anos atrás, acessar email corporativo estando longe do computador desktop era uma tarefa complexa e incomum. Hoje em dia, não apenas as pessoas esperam ter acesso remoto a emails, como
não é incomum ver alguém na cafeteria com um dispositivo de mensagens móveis. As mensagens móveis mudaram a forma como as pessoas trabalham. Isso permitiu que funcionários nômades passassem a ser mais eficientes no trabalho mesmo longe do escritório.
Entretanto, graças a esses recentes avanços na tecnologia de mensagens móveis, a segurança de dispositivos móveis se tornou uma preocupação. As empresas estão procurando maneiras melhores de proteger dados corporativos confidenciais que residem em dispositivos móveis.
A introdução do Exchange Server 2003 e de uma tecnologia chamada Exchange ActiveSync® forneceu os recursos para um dispositivo Windows Mobile® (Pocket PC Phone ou Smartphone) se conectar de forma segura ao Exchange Server 2003 usando HTTPS. Mas faltava o gerenciamento de dispositivos móveis. O lançamento do Exchange Server 2003 Service Pack 2 (SP2) e do Messaging and Security Feature Pack (MSFP) no Windows Mobile 5.0 possibilitou a configuração de uma diretiva global que afete todos os dispositivos Windows Mobile que se conectam ao Exchange. Essas diretivas permitiram PINs obrigatórios de determinado tamanho, tempos limite de inatividade antes de requerer o PIN digitado e apagamento de dados no dispositivo após um número especificado de tentativas de PIN com falha.
O Exchange Server 2003 SP2 também acrescentou o recurso de apagamento de dados remoto com a Ferramenta Exchange Mobile Admin, mostrada na Figura 1. Essa ferramenta ofereceu aos administradores a capacidade de emitir um comando de apagamento para um dispositivo Windows Mobile perdido. Ou seja, a execução de uma reinicialização permanente, apagando todo o conteúdo na memória do dispositivo na próxima vez em que o dispositivo se conectasse ao Exchange.
Figura 1 Ferramenta Exchange Mobile Admin para apagar dados em dispositivos
Figura 1 Ferramenta Exchange Mobile Admin para apagar dados em dispositivos
Embora esse fosse um bom começo para a segurança e o gerenciamento de dispositivos móveis, ainda existiam vários requisitos de segurança a serem resolvidos. O Exchange Server 2007 veio para preencher essas lacunas.

Configuração de dispositivos e imposição
O Exchange ActiveSync está habilitado por padrão para todos os usuários de caixa de correio no Exchange Server 2007. Se você quiser que esse recurso seja habilitado somente para um subconjunto de usuários, comece desabilitando-o para todos os usuários. O Console de Gerenciamento do Exchange não permite desabilitar um grupo de usuários para o ActiveSync, mas é fácil fazê-lo usando um comando do Shell de Gerenciamento do Exchange como este:
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Esse comando recupera todas as caixas de correio em um servidor Exchange 2007 e canaliza as informações para um comando Set-CASMailbox a fim de desabilitar o ActiveSync para todas as caixas de correio existentes.
A etapa seguinte envolve a construção de diretivas de Caixa de Correio do Exchange ActiveSync para a sua organização. O número de diretivas construídas dependerá dos variados perfis de segurança de seus usuários. Por exemplo, um analista financeiro que recebe informações financeiras confidenciais em um email talvez precise ter uma diretiva de dispositivo de segurança mais rígida que um usuário geral.
Para configurar a diretiva do ActiveSync, vá para a árvore de navegação do Console de Gerenciamento do Exchange e selecione Client Access (Acesso de Cliente) no contêiner Organizational Configuration (Configuração Organizacional). No painel Ações, selecione Nova Diretiva de Caixa de Correio do Exchange ActiveSync.
Na caixa de diálogo Nova Diretiva de Caixa de Correio do Exchange ActiveSync, podem ser criadas diretivas flexíveis para configurações que controlam se deve ser permitido o download de anexos para um dispositivo ou o uso de dispositivos não configuráveis (consulte a Figura 2). Dispositivos configuráveis são dispositivos Windows Mobile capazes de aplicar e impor diretivas especificadas. Dispositivos não configuráveis são aqueles que só podem aplicar um subconjunto da diretiva (ou nenhum).
Figura 2 Diretivas de caixa de correio do ActiveSync do Exchange Server 2007
Figura 2 Diretivas de caixa de correio do ActiveSync do Exchange Server 2007
Outros recursos incluem a capacidade de definir configurações para criptografia e recuperação de senha. Se a opção Requerer criptografia no dispositivo estiver ativada, todos os arquivos nos cartões de armazenamento do dispositivo serão criptografados. A opção Habilitar recuperação de senha permite que um usuário recupere o PIN do dispositivo através do Outlook® Web Access 2007.
Avalie com cautela suas diretivas de senha para dispositivos antes de aplicá-las. PINs longos e complexos oferecem uma segurança melhor, mas podem dificultar o uso dos dispositivos. Um bom equilíbrio entre segurança e usabilidade é a chave para determinar a força da senha e o período de tempo limite antes que um PIN seja exigido. Ativar as opções Expiração de senha (dias) e Impor histórico de senhas também pode melhorar a segurança, mas é possível que frustre os usuários se o controle de senhas e PINs se tornar muito complexo.
As diretivas de caixa de correio do ActiveSync do Exchange Server 2007 ajudam a melhorar a segurança dos dispositivos, mas alguns de seus recursos requerem o Windows Mobile 6.0, que está sendo disponibilizado em dispositivos enquanto imprimimos esta edição. Dos recursos mostrados na Figura 2, as opções Requerer criptografia no dispositivo, Impor histórico de senhas e Expiração de senha (dias) requerem a nova versão. Entretanto, você ainda pode aproveitar as novas diretivas flexíveis do Exchange Server 2007 para direcionar usuários que usam dispositivos com o Windows Mobile 5.0 instalado.
Uma vez definidas suas diretivas, você pode aplicá-las aos usuários. No Console de Gerenciamento do Exchange, vá para Configuração de Destinatário e selecione Caixa de Correio. Escolha o usuário de caixa de correio que deseja habilitar para uma diretiva do ActiveSync e selecione Propriedades no painel Ações. Vá para a guia Recursos da Caixa de Correio e clique duas vezes em Exchange ActiveSync. Na caixa Propriedades de Exchange ActiveSync, clique no botão Procurar e selecione a diretiva do ActiveSync que você quer que seja aplicada ao usuário (consulte a Figura 3). Você pode repetir as mesmas etapas para aplicar diretivas diferentes a usuários diferentes ou pode usar o comando do Shell de Gerenciamento do Exchange a seguir para aplicar a diretiva a um grupo de usuários:
Figura 3 Aplicando a diretiva de caixa de correio do ActiveSync
Figura 3 Aplicando a diretiva de caixa de correio do ActiveSync
Set-CASMailbox –Activesyncmailpolicy
A etapa final é treinar os usuários finais e o suporte técnico. Informe aos usuários finais que um PIN de determinado tamanho será exigido em seus dispositivos quando eles se conectarem ao Exchange Server 2007 (consulte a Figura 4). Instrua-os sobre as diretivas de segurança aplicáveis a eles para que não vejam essas alterações como um empecilho ao seu trabalho diário.
Figura 4 A diretiva de caixa de correio do ActiveSync requer um PIN
Figura 4 A diretiva de caixa de correio do ActiveSync requer um PIN
Convém também colocá-los a par de um novo recurso no Exchange Server 2007 ― o apagamento remoto de dados por auto-atendimento usando o Outlook Web Access 2007. Se um usuário perder seu dispositivo, ele poderá iniciar um apagamento dos dados nele contidos através do link Opções no Outlook Web Access, sem precisar contatar o suporte técnico (consulte a Figura 5). Isso pode ser muito útil caso a perda do dispositivo ocorra fora do horário comercial.
Figura 5 Gerenciando um dispositivo através do Outlook Web Access
Figura 5 Gerenciando um dispositivo através do Outlook Web Access
Finalmente, mostre ao suporte técnico como apagar remotamente dados de dispositivos. É uma tarefa fácil: basta abrir o Console de Gerenciamento do Exchange, navegar para Configuração de Destinatário e selecionar Caixa de Correio. Nela, escolha os usuários para os quais deseja iniciar o apagamento e selecione Gerenciar Dispositivo Móvel no painel Ações. A Figura 6 mostra a interface de Gerenciar Dispositivo Móvel. Observe que um usuário pode ter mais de um dispositivo Windows Mobile que se conecte ao Exchange 2007, por isso tome cuidado para selecionar o correto ao iniciar o apagamento.
Figura 6 Apagando remotamente os dados no dispositivo de um usuário
Figura 6 Apagando remotamente os dados no dispositivo de um usuário

Pesquisa e manipulação de emails
O Windows Mobile 6.0 permite que você leia emails no formato HTML, defina notificações de ausência temporária (consulte a Figura 7) e sinalize mensagens de email. As mensagens de email sinalizadas em um dispositivo Windows Mobile 6.0 são tratadas da mesma forma que um email sinalizado no Outlook. Em vez de marcá-las como não lidas para fazer o acompanhamento, agora você pode sinalizá-las e usar os recursos avançados do Outlook para continuar acompanhando mesmo quando estiver fora da sua mesa. Ler emails em HTML beneficia não apenas o usuário de dispositivo móvel, mas também outros destinatários do thread de email. Quando você responde a um email usando o Windows Mobile 6.0, a mensagem não é convertida em texto básico, aprimorando assim a experiência dos outros destinatários de email que também estejam usando o Outlook.
Figura 7 Mensagem de ausência temporária
Figura 7 Mensagem de ausência temporária
Aprimoramentos significativos foram feitos nos recursos de calendário com o Windows Mobile 6.0. Agora é possível encaminhar, responder ou responder a todos a partir de uma entrada de calendário, assim como ver o status de aceitação de todos os convidados.
O Windows Mobile 6.0, usado em conjunto com o Exchange Server 2007, oferece dois novos recursos relacionados à pesquisa e ao acesso móvel a documentos. Um dos desafios de usar dispositivos móveis é a capacidade de armazenamento limitada. Por causa disso, muitos usuários só mantêm mensagens em seus dispositivos por um a três dias. Geralmente, eles também optam por capturar emails apenas de uma pasta da Caixa de Entrada. Uma abordagem tão minimalista pode ser um problema quando se deseja acessar mensagens antigas ou que estejam armazenadas em pastas diferentes na caixa de correio.
Com o Windows Mobile 6.0, um usuário pode executar uma pesquisa via satélite em toda a sua caixa de correio através do mecanismo de pesquisa-e-índice do Exchange Server 2007. Uma pesquisa de emails pode ser iniciada com base em palavras-chave em várias pastas (consulte a Figura 8). Além disso, é possível realizar uma busca em tempo real das mensagens de email nos resultados da pesquisa.
Figura 8 Pesquisa de emails via satélite
Figura 8 Pesquisa de emails via satélite

Acesso móvel a documentos
Com o crescimento dos softwares de colaboração de documentos (como o SharePoint®) e os limites no tamanho máximo de emails permitido para transporte, os usuários finais estão anexando menos documentos a emails e enviando mais links para compartilhamentos de arquivos e sites do SharePoint. A menos que você consiga se conectar à rede corporativa através de uma VPN (rede virtual privada), acessar esses documentos através de um dispositivo móvel pode parecer impossível. Para o funcionário nômade, isso pode ser um empecilho.
O Windows Mobile 6.0 e o Exchange Server 2007 permitem que os usuários acessem seus dados por meio de compartilhamentos de arquivos UNC e sites do SharePoint, que ficarão acessíveis no modo somente leitura. O Exchange Server 2007 pode retransmitir solicitações para esses documentos em nome do dispositivo Windows Mobile (consulte a Figura 9). Mesmo sem uma conexão VPN para a rede corporativa, os usuários não estão limitados a acessar somente documentos anexados a emails. Em vez disso, eles podem chegar a qualquer documento que resida em compartilhamentos de arquivos ou sites do SharePoint.
Figura 9 Acesso a documentos através de links UNC
Figura 9 Acesso a documentos através de links UNC
Para administrar o Acesso Móvel a Documentos, abra o Console de Gerenciamento do Exchange e selecione Client Access em Configuração do Servidor na árvore de navegação. Em seguida, vá para a guia ActiveSync, selecione o objeto Microsoft-Server-ActiveSync e clique em Propriedades no painel Ações. Na guia Servidores Remotos de Arquivos, é possível configurar a lista de permissões e a lista de bloqueios para nomes de host de sites do SharePoint e servidores de arquivos.
Feito isso, volte à sua diretiva de caixa de correio do Exchange ActiveSync e certifique-se de que as caixas de seleção Compartilhamentos de Arquivos do Windows® e Windows SharePoint Services estão marcadas (Figura 10).
Figura 10 Habilitando o acesso a documentos
Figura 10 Habilitando o acesso a documentos
Agora você está no caminho certo para fornecer melhor acesso a documentos para todos os seus usuários de dispositivos Windows Mobile.

Resumo
No mundo atual de funcionários remotos, os dispositivos Windows Mobile oferecem maneiras eficientes de acessar informações a qualquer momento, em qualquer lugar. A segurança e o gerenciamento de dispositivos móveis se tornaram a principal preocupação dos departamentos de TI. O Exchange Server 2007, junto com o Windows Mobile 6.0, facilita a criação e o direcionamento de diretivas para dispositivos Windows Mobile que podem ajudar a minimizar problemas, além de fornecerem aos funcionários remotos uma base para novos recursos.
Recursos do Windows Mobile
Existem vários recursos disponíveis para você aprender mais sobre o Windows Mobile Messaging e a implantação do Exchange Server 2007.
  • TechCenter do Exchange Server
  • Os fundamentos do acesso móvel ao Exchange 2007
  • Gerenciando o Exchange ActiveSync
  • Laboratórios virtuais do Windows Mobile
  • SDK do Windows Mobile 6

Yee-Chen Tjie é especialista em tecnologia da Microsoft na região de New England, onde trabalha em soluções de comunicação unificada e mobilidade.
© 2007 Microsoft Corporation e CMP Media, LLC. Todos os direitos reservados. A reprodução parcial ou completa sem autorização é proibida..


 Comunica&#231;&#245;es: Melhor conformidade com o Exchange Server 2007
Comunicações Alan Maddison

Melhor conformidade com o Exchange Server 2007
Visão geral:
  • Pastas gerenciadas
  • Regras de transporte
  • Classificação de mensagem
  • Registro no diário

Analistas estimam que até 75 por cento da documentação corporativa é criada e comunicada via email. Sem dúvida, uma quantidade considerável da propriedade intelectual da empresa está localizada em seus servidores de mensagens. Isso coloca muita responsabilidade nas
mãos dos administradores que mantêm os servidores de mensagens, os quais passaram a hospedar um alto volume de dados críticos da empresa. Além disso, o crescente número de regulamentos federais e locais (nos Estados Unidos e em outros países), que especificam requisitos de arquivamento e retenção de dados corporativos, tornam esse trabalho ainda mais complexo e crítico.
A necessidade de proteger ativos corporativos e garantir a conformidade a normas impõe uma responsabilidade significativa. Ao projetar o Exchange Server 2007, a Microsoft implementou uma série de alterações e novos recursos para aprimorar de forma expressiva os recursos de conformidade do Exchange e tornar mais simples o gerenciamento propriamente dito. Neste artigo, eu analiso as principais alterações no Exchange Server 2007 que ajudarão em sua conformidade a normas.

Noções básicas sobre conformidade
Antes de me aprofundar no Exchange Server 2007, devo abordar os requisitos que estão sendo tratados. Em geral, há três áreas principais de requisitos de conformidade: retenção de informações, controle de acesso e integridade dos dados. Por exemplo, nos Estados Unidos, a norma SEC 17A-4 especifica políticas de retenção de dados para determinados operadores, corretores e membros da Bolsa de Valores, e exige que as organizações financeiras sejam capazes de capturar, indexar, arquivar, pesquisar e recuperar seu email. O controle de acesso a dados está incorporado em diversas leis americanas conhecidas, incluindo a HIPAA (Health Insurance Portability Accountability Act), a GLB (Gramm-Leach-Bliley Act) e a SB 1386 (California Senate Bill 1386). A HIPAA e a GLB regulam a segurança e a confidencialidade de dados pessoais, enquanto a SB 1386 determina a divulgação pública de violações de segurança em computadores envolvendo dados confidenciais.
Além disso, os requisitos de integridade dos dados foram incorporados em outras leis importantes, como a SOX (Sarbanes-Oxley), o PATRIOT Act e a Basel II. Porém, essas regulamentações ostensivas são apenas uma gota no oceano. Algumas estimativas calculam o número de regulamentos aplicados no mundo todo em mais de 35.000. Evidentemente, isso motiva as empresas a controlarem o risco associado à maneira como retêm informações, controlam o acesso a dados e garantem a integridade dos dados. Portanto, como um administrador como você pode gerenciar esse risco e o que pode fazer para cumprir todas essas obrigações reguladoras?
A primeira etapa é documentar as políticas de conformidade e retenção. A etapa seguinte é implementar e gerenciar continuamente tais políticas. O Exchange Server 2007 pode ajudá-lo a aplicar essas políticas usando pastas gerenciadas, o agente de Regras de Transporte, a classificação de mensagem e o agente de Registro no Diário.

Pastas gerenciadas
A retenção de dados (ou gerenciamento de registros) é uma parte importante de sua estrutura de conformidade. O Exchange Server 2007 avançou muito na forma como permite que os administradores gerenciem dados. No Exchange Server 2007, o gerenciamento de registros baseia-se em três princípios: as mensagens obsoletas são removidas, as mensagens necessárias são retidas e os usuários são responsáveis por classificar suas próprias mensagens.
A maioria dos administradores do Exchange conhece as diretivas do Gerenciador de Caixas de Correio do Exchange Server 2003, que poderão ser aplicadas a caixas de correio. No Exchange Server 2007, as pastas gerenciadas fornecem uma maneira centralmente gerenciada de os administradores criarem e implantarem novas pastas padrão ou personalizadas que não possam ser movidas, renomeadas ou, na maioria dos casos, excluídas. Com o SDK, também é possível criar aplicativos de auto-atendimento baseados na Web que oferecem aos usuários a possibilidade de escolher as pastas que devem ser adicionadas às suas caixas de correio.
Como mostra a Figura 1, o Console de Gerenciamento do Exchange fornece um método baseado em assistente para a criação de pastas. (Essa funcionalidade também é revelada pelo cmdlet New-ManagedFolder do Shell de Gerenciamento do Exchange.)
Figura 1 Usando o Console de Gerenciamento do Exchange para criar uma nova pasta
Figura 1 Usando o Console de Gerenciamento do Exchange para criar uma nova pasta
Isso inicia o assistente mostrado na Figura 2. O processo de criação de pastas é muito simples; basta digitar o nome e a descrição da pasta e pressionar o botão Novo. Quando a pasta estiver concluída, você receberá uma confirmação.
Figura 2 Um assistente intuitivo facilita a criação de uma nova pasta gerenciada
Figura 2 Um assistente intuitivo facilita a criação de uma nova pasta gerenciada
Com uma política de retenção de dados implementada, você precisa oferecer aos usuários uma maneira simples de classificar e armazenar suas mensagens, assegurando que os dados sejam mantidos em conformidade com os requisitos da organização. Imagine que você precise implantar três pastas personalizadas para os seus usuários, de forma que eles possam identificar os emails de três, cinco ou sete anos de retenção. Uma vez criadas as pastas gerenciadas, o próximo passo é aplicar as configurações de conteúdo a cada uma delas. Você faz isso usando o assistente de Configurações de Conteúdo Gerenciado.
O administrador de mensagens é quem configura a expiração do conteúdo (que é medido em dias) e a ação que deverá ser executada quando o conteúdo realmente expirar. Há cinco opções de ações:
  • Excluir e permitir a recuperação
  • Marcar como fora do limite de retenção
  • Mover para uma pasta personalizada gerenciada
  • Mover para a pasta de itens excluídos
  • Excluir permanentemente
Há três parâmetros em que você deve prestar especial atenção ao fazer essas configurações. O primeiro é o valor para expiração da mensagem; como ele é calculado em dias, você deve se lembrar de considerar os anos bissextos. O gerenciamento corporativo (sem falar em um juiz) não compreenderá a exclusão de conteúdo antes da data prevista, mesmo que seja por apenas um dia. O segundo parâmetro é quando o período de expiração inicia. Normalmente, esse é o dia em que a mensagem foi entregue na caixa de correio, a menos que você receba outras instruções do departamento jurídico. O terceiro parâmetro é a ação realizada quando o conteúdo expira. Uma prática recomendada é sempre excluir o item permanentemente. As Configurações de Conteúdo também permitem que você registre mensagens em diário encaminhando-as a um endereço SMTP.
As pastas gerenciadas são aplicadas a caixas de correio através de diretivas de caixa de correio de pasta gerenciada. O Console de Gerenciamento do Exchange fornece outro assistente para a criação dessas diretivas. As diretivas permitem que você selecione e agrupe várias pastas. Com isso, você vincula várias pastas a uma única diretiva.
Em geral, você aplicaria a diretiva de caixa de correio de pasta gerenciada durante a criação da caixa de correio. Como alternativa, é possível usar o Shell de Gerenciamento do Exchange para aplicar uma diretiva a uma caixa de correio existente através do cmdlet Set-Mailbox. Digamos que você queira aplicar uma diretiva de caixa de correio de pasta gerenciada chamada retention (retenção) a uma conta de email com o alias USER1. Para isso, você usaria o seguinte comando:
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
As pastas gerenciadas e as configurações de conteúdo correspondentes oferecem um poderoso mecanismo de gerenciamento do processo de retenção e conformidade. Isso não apenas permite que os usuários classifiquem o email relevante e armazenem dados em pastas que são gerenciadas centralmente, mas também possibilita o registro desses itens no diário para garantir que, no caso de uma solicitação de descoberta ou ordem de preservação, você possa cumprir o pedido judicial com facilidade.

Regras de transporte
Há dois agentes de Regras de Transporte no Exchange Server 2007. Em termos de conformidade, porém, você está interessado apenas no agente que é executado em servidores de Transporte de Hub. Esse agente ajuda você a aplicar regras de conformidade baseadas em diretivas às mensagens que passam pela sua organização do Exchange. (Por outro lado, o agente de Regras de Servidor Transporte de Borda ajuda a proteger a organização contra spam e vírus.)
Alguns dos requisitos comuns de regulamentação e conformidade que os administradores são responsáveis por implementar incluem:
  • Limitar a interação entre grupos diferentes de remetentes e destinatários
  • Impedir que conteúdo impróprio entre ou saia da empresa
  • Filtrar informações confidenciais
  • Controlar ou arquivar mensagens que são enviadas ou recebidas por usuários e grupos específicos
  • Redirecionar mensagens de entrada e saída para inspeção antes da entrega
  • Aplicar avisos de isenção
O servidor de Transporte de Hub foi escolhido por esse agente devido à função que desempenha em uma topologia do Exchange 2007. As alterações da topologia no Exchange 2007 são significativas e, conseqüentemente, o Exchange agora está muito mais integrado à topologia do Active Directory®. À medida que o email flui pela organização, ele em algum ponto será processado através de um servidor de Transporte de Hub, que consultará o Active Directory para saber a configuração de regras de transporte atual e aplicará as regras a todas as mensagens que manipular.
Qualquer regra de transporte configurada em um servidor de Transporte de Hub será reaplicada a todos os outros servidores desse tipo por meio do serviço Active Directory. Você precisa estar ciente de como o seu site e a sua topologia afetarão a replicação e, por sua vez, deverá determinar a rapidez com que poderá implantar uma regra em toda a organização.
Você também precisa ter em mente que um servidor de Transporte de Hub mantém um cache de destinatários para a pesquisa de destinatários e da lista de distribuição. O intervalo de atualização, que é de quatro horas por padrão, afetará o controle de tempo das regras sendo aplicadas às suas mensagens.
As regras de transporte em servidores de Transporte de Hub avaliam todas as solicitações de reunião, mensagens comuns, mensagens criptografadas e mensagens protegidas por direitos que são enviadas entre usuários autenticados. Todas as mensagens de email que são enviadas de forma anônima são avaliadas, independentemente do tipo, do remetente e do destinatário da mensagem.
Cada regra de transporte consiste nos seguintes componentes: condições, exceções e ações. As condições são usadas para indicar quais atributos de mensagem — como cabeçalhos, destinatários ou remetentes — são usados no processo de identificação de mensagens. Se uma mensagem atender a todas as condições para uma regra em particular, serão aplicadas ações, a menos que a mensagem corresponda a uma exceção configurada. As exceções são opcionais. Se configurada, uma exceção impedirá que as mensagens que atenderem a qualquer um dos critérios da exceção sejam processadas pela regra de transporte. As ações, que são um componente necessário para cada regra de transporte, especificam como uma mensagem deverá ser processada. A Figura 3 lista as ações disponíveis que podem ser aplicadas com base nas regras de transporte configuradas em um servidor de Transporte de Hub.
Figure 3 Ações disponíveis para regras de transporte em um servidor de Hub (Close Figure 3)

Ação | Nome da ação | Descrição
Registrar um evento com mensagem | LogEvent | Adiciona um evento ao Log do aplicativo do computador local.
Preceder o assunto com cadeia de caracteres | PrependSubject | Acrescenta uma cadeia de caracteres ao início do campo de assunto da mensagem.
Aplicar a classificação de mensagem | ApplyClassification | Aplica uma classificação à mensagem.
Anexar aviso de isenção | ApplyDisclaimer | Aplica um aviso de isenção à mensagem.
Definir um valor para o nível de confiança de spam | SetScl | Define o SCL (nível de confiança de spam) em uma mensagem.
Definir cabeçalho com valor | SetHeader | Cria um novo campo de cabeçalho de mensagem ou modifica um campo existente.
Remover cabeçalho | RemoveHeader | Remove o campo de cabeçalho especificado de uma mensagem.
Adicionar um destinatário aos endereços do campo Para | AddToRecipient | Adiciona um ou mais destinatários à lista de endereços do campo Para da mensagem. Os destinatários originais podem ver o endereço adicional.
Copiar mensagem em endereços | CopyTo | Adiciona um ou mais destinatários ao campo Cc (cópia carbono) da mensagem. Os destinatários originais podem ver o endereço original.
Enviar cópia oculta da mensagem para endereços | BlindCopyTo | Adiciona um ou mais destinatários à lista de endereços Bcc (cópia oculta) da mensagem de email.
Redirecionar a mensagem para endereços | RedirectMessage | Redireciona a mensagem para um ou mais destinatários especificados pelo administrador. A mensagem não é entregue ao(s) destinatário(s) original(is), e nenhuma notificação é enviada aos destinatários ou ao remetente.
Enviar mensagem devolvida ao remetente com código de status avançado | RejectMessage | Exclui a mensagem e envia um aviso de falha na entrega ao remetente. O destinatário não recebe a mensagem ou a notificação.
Eliminar a mensagem silenciosamente | DeleteMessage | Exclui a mensagem. Nenhuma notificação é enviada ao destinatário ou ao remetente.
Para criar uma regra de transporte, você poderá usar o Console de Gerenciamento do Exchange e o assistente de Transporte de Regras, como mostra a Figura 4. Como alternativa, use o Shell de Gerenciamento do Exchange para criar o script de criação de regras.
Figura 4 Inicie o assistente de Transporte de Regras para configurar uma regra de transporte em um servidor de Transporte de Hub
Figura 4 Inicie o assistente de Transporte de Regras para configurar uma regra de transporte em um servidor de Transporte de Hub
Saiba que também é possível usar o SDK para gravar agentes de transporte personalizados que processem mensagens com base em eventos SMTP no Exchange. Porém, isso é para os mais corajosos.

Classificação de mensagem
A nova ferramenta Classificação de Mensagem utiliza metadados para descrever o uso ou o público-alvo a que uma mensagem específica se destina. No lado do cliente, esses metadados podem ser usados pelo Outlook® Web Access (OWA) ou o Outlook 2007 para exibir uma descrição da classificação legível para o usuário. No lado do servidor, os agentes de Regras de Transporte podem agir de acordo com a mensagem com base em sua classificação.
As classificações de mensagens padrão incluídas no Exchange Server 2007 são: A/C (advogado/cliente) Privilegiado, Anexo Removido, Confidencial da Empresa e Interno da Empresa. Entretanto, muitas organizações desejarão criar suas próprias classificações. Você poderá criar novas classificações usando o cmdlet new-MessageClassification no Shell de Gerenciamento do Exchange. Por exemplo, para restringir o acesso aos dados financeiros, você poderia criar uma classificação de mensagem chamada Financial—Confidential:
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Observe que, embora apenas três parâmetros sejam necessários — Name, DisplayName e SenderDescription — você deve adicionar pelo menos o RecipientDescription para atingir um nível básico de funcionalidade. A Figura 5 mostra essa nova classificação agora listada na interface do OWA.
Figura 5 A lista de classificações de mensagens inclui a recém-criada Financial—Confidential
Figura 5 A lista de classificações de mensagens inclui a recém-criada Financial—Confidential
Esse comando não usa o parâmetro locale e, portanto, seria aplicável a todos os locais em sua organização do Exchange. Se você dá suporte a operações globais, talvez prefira criar suas próprias classificações de mensagens personalizadas específicas ao local.
Além disso, lembre-se de definir corretamente as permissões nas classificações. Por padrão, todas as novas classificações de mensagens são criadas com permissões de leitura atribuídas a usuários autenticados. Entretanto, você deverá segmentar as classificações de forma que os usuários tenham acesso apenas àquelas que forem adequadas às suas funções. Observe também que cada classificação tem uma prioridade em relação às outras. Essa prioridade especifica a ordem das descrições e determina quais classificações são associadas a uma mensagem encaminhada ou respondida.
Uma vez que você tenha criado as classificações necessárias, a próxima etapa é criar regras de transporte que utilizem as classificações. (Obviamente, essas classificações de mensagens não precisam estar relacionadas a ações — elas podem ser meramente informativas.) Como ilustra a Figura 6, você tem muitas opções ao combinar classificações de mensagens com regras de transporte. Eu criei uma regra de transporte que monitora as mensagens classificadas como Financial (Financeiras). Se uma mensagem estiver marcada dessa forma, o agente de regras de transporte examinará os destinatários. Se qualquer um dos destinatários não for membro do grupo de distribuição Financial Dept (Deptº Financeiro), a mensagem será devolvida ao remetente com uma mensagem personalizada de falha na entrega.
Figura 6 Criando uma regra de transporte para mensagens classificadas como Financial.
Figura 6 Criando uma regra de transporte para mensagens classificadas como Financial.
A classificação de mensagem também pode ser usada para aplicar "limites éticos" em sua organização. Por exemplo, às vezes é necessário restringir a comunicação entre determinados indivíduos e departamentos. A classificação de mensagem pode ser usada para essa finalidade.

Agente de Registro no Diário
Na garantia da conformidade, o registro no diário pode ser uma arma poderosa, embora algumas vezes represente um desafio. Felizmente, o Exchange Server 2007 oferece recursos muito mais flexíveis de registro no diário. Ele agora oferece suporte ao registro no diário padrão (no nível de banco de dados da caixa de correio) e ao novo registro no diário premium (por destinatário), que permite o registro no diário de usuários individuais e grupos de distribuição. Isso torna muito mais simples o processo de cumprimento de solicitações, como retenções ou ordens de preservação judiciais. Além disso, você tem mais controle sobre o impacto que o registro no diário terá no armazenamento e no desempenho.
Por exemplo, uma das novas opções mais flexíveis vem na forma de suporte ao registro no diário com base em grupos dinâmicos de distribuição. Digamos que sua organização tenha uma necessidade constante de reter as mensagens de email de algumas pessoas. Talvez para uma investigação interna de RH ou uma ação judicial. Com um grupo dinâmico de distribuição, o administrador pode adicionar e remover usuários em um grupo estabelecido que já está sendo registrado no diário. Essa é uma maneira rápida e fácil de provisionar registro no diário ad hoc.
Com o Console de Gerenciamento do Exchange e o assistente de Grupo Dinâmico de Distribuição, você tem a opção de selecionar o contêiner de usuários e, como mostra a Figura 7, filtrar as caixas de correio incluídas com base no valor de alguns atributos do Active Directory. A seleção de um dos atributos personalizados, também mostrada na Figura 7, permite que o administrador controle os usuários que são registrados no diário adicionando ou removendo esse valor.
Figura 7 Usando o assistente de Grupo Dinâmico de Distribuição para configurar regras de registro no diário
Figura 7 Usando o assistente de Grupo Dinâmico de Distribuição para configurar regras de registro no diário
Para obter detalhes sobre o registro no diário no Exchange 2007, consulte o artigo de dezembro de 2006 de David Strome "Registro no diário mais eficiente no Exchange 2007". Você encontra outras informações em "Visão geral do registro no diário".

Alan Maddison é um consultor sênior na prática em tecnologia Microsoft da MTI Technology Corporation. Seu foco principal é em Active Directory, Exchange Server e virtualização.


 Gerenciamento de identidades: Crie um fluxo de trabalho de provisionamento passo a passo
Gerenciamento de identidades Aung Oo

Crie um fluxo de trabalho de provisionamento passo a passo
Visão geral:
  • Usando o MIISWorkflow
  • Implementação e configuração
  • Estendendo o MIISWorkflow

Se você procura uma interface na Web para solicitar e aprovar contas e sua organização utiliza o Microsoft Identity Lifecycle Manager 2007 (ILM 2007, antigo Microsoft Identity Integration Server 2003),
então o aplicativo MIISWorkflow poderá fornecer uma solução simples e eficaz. O MIISWorkflow faz parte do MIIS 2003 Resource Tool Kit 2.0 e está disponível desde dezembro de 2004. Embora não seja necessariamente uma solução completa para cada ambiente, é um bom ponto de partida para a criação de um aplicativo personalizado que se adapte às necessidades de sua organização.
Integrando um aplicativo Web, o MIISWorkflow oferece a funcionalidade de provisionamento baseado em aprovação ao ILM 2007. É um sistema de provisionamento orientado por fluxo de trabalho em uma etapa que aceita solicitações dos usuários e as encaminha a aprovadores (normalmente gerentes) com autoridade suficiente para tomar decisões a respeito de solicitações específicas. Com base na decisão do aprovador, o ILM prossegue com o provisionamento de contas de usuários em diretórios conectados usando regras de negócios definidas no ILM.
Esse aplicativo só facilita um fluxo de trabalho passo a passo; ele não pode criar recursos complexos de fluxo de trabalho, como um processo de aprovação em várias etapas com vias paralelas ou um processo de fluxo de trabalho com uma interface gráfica. Se a sua organização não requer esses recursos complexos de fluxo de trabalho, você pode usar o MIISWorkflow de exemplo fornecido pelo MIIS Resource Tool Kit para implementar uma solução.
Meu foco aqui será o departamento de Recursos Humanos de uma empresa fictícia. Em geral, os sistemas de RH são a fonte autoritativa para todas as informações dos funcionários de uma organização. Entretanto, embora esses sistemas geralmente tenham dados detalhados de funcionários efetivados, eles costumam não ter informações suficientes sobre funcionários temporários, como prestadores de serviço e estagiários. Os dados contidos em um sistema de RH podem não controlar quais sistemas os usuários podem acessar, incluindo as informações sobre contas de usuários. Vou mostrar a você como criar um sistema de controle simples para os funcionários temporários de uma organização.

Ampliando o MIISWorkflow
Um exemplo de como as organizações podem aproveitar o MIISWorkflow é para criar um aplicativo que funcione em conjunto com sistemas de RH existentes. Quando um novo funcionário é contratado, as informações de usuário são adicionadas ao sistema de RH. É possível projetar fluxos do ILM que enviem as informações ao banco de dados do MIISWorkflow e, em seguida, utilizar o aplicativo de fluxo de trabalho para direcionar as informações do usuário para aprovadores antes de o ILM provisionar a conta nos diretórios conectados.
Se a sua organização não usa sistemas de RH para controlar funcionários temporários, o aplicativo MIISWorkflow pode ser usado como a fonte de dados autoritativa para gerenciar essas contas nos diretórios da empresa. Como o aplicativo de fluxo de trabalho reduz o trabalho administrativo em papel necessário para a obtenção de aprovações, os usuários não precisam esperar vários dias para acessar as contas em diretórios e aplicativos. Também é possível usar o MIISWorkflow para permitir a revogação rápida de acesso, aumentando assim a segurança da organização.
O MIISWorkflow também pode ser usado como ferramenta de auditoria para controlar o número de sistemas que um usuário pode acessar, as datas de solicitação e de encerramento de cada conta, bem como o solicitante e o aprovador de cada conta. A capacidade de gerar relatórios com histórico de conta detalhado pode facilitar a conformidade da organização com leis reguladoras, como a Sarbanes-Oxley e a HIPAA.
O aplicativo MIISWorkflow é executado no IIS e utiliza recursos de provisionamento e integração de diretórios do ILM 2007 para provisionar e desprovisionar contas em diretórios conectados. Os componentes do aplicativo de fluxo de trabalho incluem um conjunto de páginas da Web ASP.NET, um banco de dados SQL Server™, um agente de gerenciamento e um armazenamento de diretivas de autorização (consulte a Figura 1). O aplicativo usa o SQL Server para armazenamento de dados, o Active Directory® para autenticação e um armazenamento de diretivas com o Windows® Authorization Manager (conhecido como AzMan) para autorização.
Figura 1 Arquitetura do aplicativo MIISWorkflow
Figura 1 Arquitetura do aplicativo MIISWorkflow
O aplicativo pode ser estendido e personalizado com C# e ASP.NET. O MIISWorkflow consiste nestas cinco páginas .aspx: ContractorApproval, ContractorHistory, ContractorRequest, ContractorStatus e ContractorUpdate. Essas páginas permitem que os administradores solicitem, atualizem, aprovem e controlem o status de cada conta de usuário no sistema. Observe que, por padrão, o aplicativo MIISWorkflow é definido para usar a Autenticação Integrada do Windows IIS para poder utilizar o Kerberos.
O aplicativo de fluxo de trabalho aciona o ILM com base na ação do aprovador, e o ILM provisiona ou desprovisiona contas de usuários em diretórios conectados usando regras definidas. Logo após uma ação ter sido executada na solicitação, o aplicativo aciona o ILM e as solicitações não precisam aguardar até ocorrer o próximo ciclo de sincronização do ILM para provisionamento e desprovisionamento nos diretórios conectados.
O aplicativo de fluxo de trabalho requer que o banco de dados do MIISWorkflow armazene informações sobre contas de usuários. Isso é separado do banco de dados em que o ILM armazena informações do metaverse, mas é configurado na mesma instância do SQL Server. Quando usuários autorizados solicitam uma conta através do aplicativo de fluxo de trabalho, as informações são salvas pelo MIISWorkflow. As informações são então processadas por meio de uma página da Web ASP.NET quando um aprovador acessa a página. O MIISWorkflow também armazena históricos de ações e outras informações sobre a conta no banco de dados. O ILM importa as informações do banco de dados MIISWorkflow usando um agente de gerenciamento SQL Server que vem com o aplicativo, e provisiona ou desprovisiona a conta conforme necessário.
O AzMan, usado pelo MIISWorkflow para autorização, fornece o RBAC (controle de acesso baseado em função) para o gerenciamento de tarefas que os usuários são autorizados a executar no aplicativo de acordo com suas funções. (Consulte go.microsoft.com/fwlink/?LinkId=85825 para obter mais informações sobre o RBAC.) Depois de um usuário ter sido autenticado no Active Directory, assim permitindo o acesso, o aplicativo de fluxo de trabalho verifica as funções atribuídas no armazenamento de autorizações do AzMan para autorizar as operações que um usuário pode realizar. Há duas funções predefinidas para o aplicativo: solicitante de prestador de serviço e aprovador de prestador de serviço. Os usuários ou grupos com a função de solicitante de prestador de serviço podem apenas inserir uma solicitação através do aplicativo, mas os usuários ou grupos com a função de aprovador têm a capacidade de criar solicitações e aprová-las ou negá-las.
A diretiva de autorização do aplicativo MIISWorkflow é armazenada em um arquivo XML. Ou usuários e grupos do Windows ou grupos de aplicativos podem ser atribuídos a funções definidas. Os grupos de aplicativos permitem que uma consulta LDAP execute uma consulta em tempo de execução do objeto de conta Active Directory ou Active Directory Application Mode (ADAM) de um usuário com base no valor do atributo; o usuário está no grupo de tal forma que (department=‘marketing’), por exemplo, retorna true.

O aplicativo passo a passo
Os administradores de aplicativos controlam o acesso ao aplicativo usando o AzMan. Dependendo de como o aplicativo é utilizado em sua organização, é possível conceder uma função de solicitante de prestador de serviço a todos os usuários do domínio ou apenas a grupos selecionados. A função de aprovador de prestador de serviço deverá ser concedida apenas aos usuários e grupos que tenham autoridade para aprovar ou negar solicitações. Administradores de RH selecionados, bem como administradores de sistemas e grupos, normalmente possuem essa função. Por padrão, o aplicativo MIISWorkflow usa a Autenticação Integrada do Windows IIS como seu método de autenticação, portanto, o aplicativo autenticará os usuários através de suas credenciais de logon à área de trabalho Windows — isso significa que os usuários não serão solicitados novamente a apresentar credenciais para autenticação no aplicativo.
Um usuário na função de solicitante de prestador de serviço pode apontar o navegador para a página de solicitação de prestador de serviço no aplicativo e fornecer informações sobre o prestador para solicitar uma conta para ele. A Figura 2 mostra a página de solicitação de prestador de serviço.
Figura 2 Página de solicitação de novo prestador de serviço
Figura 2 Página de solicitação de novo prestador de serviço
A pessoa na função de solicitante preenche as informações pertinentes do prestador de serviço e envia a solicitação. Há um link para aprovar solicitações e um link para verificar o status na página, mas os solicitantes não podem acessar a página do aprovador, a menos que também tenham essa função. Um solicitante pode clicar no link Contractor Status (Status do prestador de serviço) para ver as próprias solicitações, mas não poderá ver o status de solicitações enviadas por outras pessoas.
Somente um aprovador de prestador de serviço tem acesso à página de aprovação no aplicativo, onde pode aprovar ou negar a solicitação depois de examinar as informações. A Figura 3 mostra a interface da página da Web de aprovação de prestador de serviço.
Figura 3 Página de aprovação de prestador de serviço
Figura 3 Página de aprovação de prestador de serviço
Um aprovador de prestador de serviço pode ver as solicitações enviadas por todos os solicitantes. Qualquer aprovador de prestador de serviço pode aprovar a solicitação, e apenas uma aprovação ou negação é necessária para encaminhar a solicitação para o estágio seguinte. A solicitação desaparecerá da página de aprovação assim que o aprovador executar a ação necessária. Isso minimiza as ações redundantes de aprovador.
Para examinar novas solicitações e tomar providências para as solicitações pendentes com base nos requisitos da organização, um aprovador precisa acessar a página de aprovação de prestador de serviço regularmente, pois não há nenhum mecanismo de notificação no aplicativo para informar o aprovador sobre novas solicitações ou registros acumulados. Logo que o aprovador aprova ou nega a solicitação na página, o aplicativo aciona o ILM e as contas são provisionadas ou desprovisionadas nos diretórios conectados com base na ação do aprovador.
Figura 4 Página de status do prestador de serviço
Figura 4 Página de status do prestador de serviço
O status de solicitações e registros pendentes de solicitações concluídas pode ser controlado na página de status do prestador de serviço (consulte a Figura 4). Um solicitante pode se responsabilizar por várias ações nessa página. Você poderá ver suas próprias solicitações, incluindo informações como ID do funcionário, nome, sobrenome, departamento, status e data da última modificação. Também é possível editar as informações existentes, exibir o histórico e encerrar uma conta do prestador de serviço. Você poderá modificar as informações de nome, sobrenome e departamento, e reenviar as informações para aprovação. Finalmente, é possível ver um log de ações executadas na solicitação, além da data e hora de cada ação na página de histórico do prestador de serviço (consulte a Figura 5).
Figura 5 Página de histórico do prestador de serviço
Figura 5 Página de histórico do prestador de serviço
O aplicativo MIISWorkflow torna perfeito o encerramento de conta ao permitir que um solicitante encerre contas de prestadores de serviços na página de status do prestador. O solicitante pode clicar no link de encerramento para imediatamente desabilitar ou excluir contas de prestadores de serviços em diretórios conectados. A vantagem dessa capacidade de encerrar contas de prestadores de serviços no aplicativo de fluxo de trabalho é que os administradores de sistemas não precisam procurar a conta do prestador em cada diretório e excluir contas manualmente. Como o aplicativo MIISWorkflow aciona imediatamente o ILM para desprovisionar essas contas em diretórios conectados, não há nenhum tempo de latência para excluir essas contas.

Configurando o aplicativo
A configuração do aplicativo MIISWorkflow envolve a configuração de uma conta de serviço, de um banco de dados para o aplicativo, do ILM para trabalhar com o aplicativo de fluxo de trabalho, do IIS e do armazenamento de diretivas. O aplicativo contém arquivos de configuração e scripts pré-criados para simplificar o processo.
O MIISWorkflow vem com um arquivo de consulta T-SQL para facilitar o processo de criação de um banco de dados do MIISWorkflow. É possível carregar o arquivo de consulta no Query Analyzer e executar a consulta para criar o banco de dados automaticamente.
A configuração do IIS envolve a criação de um novo pool de aplicativos IIS e um diretório virtual, além da definição de autenticação e controle de acesso para hospedar páginas ASP.NET. O aplicativo também inclui um arquivo XML com funções predefinidas para configurar um armazenamento de diretivas de autorização. É possível atribuir usuários e grupos a funções existentes e criar novas funções usando o MMC AzMan.
A etapa final é configurar o agente de gerenciamento no ILM para importar dados do banco de dados MIISWorkflow para o ILM. Para fazer isso, importe a configuração do agente de gerenciamento no arquivo XML e copie um arquivo de extensão pré-criado para o agente de gerenciamento do SQL Server. Tanto o arquivo XML quando o arquivo de extensão do agente de gerenciamento são fornecidos com o aplicativo. Há um arquivo leiame com instruções passo a passo sobre como configurar cada uma dessas etapas.

Estendendo o aplicativo
O aplicativo MIISWorkflow fornece um ponto de partida para o desenvolvimento de uma integração simples de fluxo de trabalho com o MIIS, e você talvez precise fazer algumas personalizações para estender o aplicativo. Além de modificações simples, como alterações em páginas da Web, há muitas outras formas de estender esse aplicativo.
Você poderia adicionar um recurso de notificação, para que um aprovador recebesse uma mensagem de email quando houvesse uma solicitação pendente. Esse recurso poderia também enviar uma mensagem de lembrete ao aprovador, dentro de um número especificado de diais, se nenhuma ação fosse executada na solicitação. Se você precisar de mais informações sobre usuários do que as oferecidas na página padrão, adicione campos à página de solicitação e à página de atualização de prestador de serviço. É possível adicionar mais funções ao aplicativo, como uma função de auditoria que permitiria a um usuário exibir o histórico de cada solicitação, não apenas as solicitações enviadas por ele.
Recursos de fluxo de trabalho mais complexos, como um fluxo de trabalho de várias etapas e a capacidade de projetar um fluxo de trabalho utilizando designer gráfico, não estão no escopo deste aplicativo. Entretanto, você poderá usar o Windows Workflow Foundation para desenvolver um aplicativo mais robusto com recursos de fluxo de trabalho mais complexos.
Você encontrará o MIIS Resource Tool Kit em go.microsoft.com/fwlink/?LinkId=85829. Baixe-o hoje mesmo e comece a criar suas próprias soluções de fluxo de trabalho de identidades.

Aung Oo é um especialista em gerenciamento de identidades no MCS (Serviços de Consultoria Microsoft). Aung projeta, desenvolve e implanta soluções de gerenciamento de identidades e diretórios empresariais para clientes comerciais e governamentais desde a primeira versão do Gerenciamento de Identidades Microsoft.


 Administra&#231;&#227;o do Windows: Simplifique a administra&#231;&#227;o da Diretiva de Grupo com o Windows PowerShell
Administração do Windows Thorbjörn Sjövold

Simplifique a administração da Diretiva de Grupo com o Windows PowerShell
Visão geral:
  • O que é o Windows Powershell?
  • Como os GPOs eram gerenciados anteriormente
  • Migrando scripts para o Windows PowerShell

A tecnologia de Diretiva de Grupo da Microsoft não se difundiu da noite para o dia. Ela era um pouco difícil de entender e exigiu a adoção do Active Directory, um serviço novo e estranho que não se parecia em nada com os domínios de contas ou recursos que eram o padrão naquela época. Hoje em dia, a Diretiva de Grupo
é a espinha dorsal do gerenciamento de quase todas as organizações com uma infra-estrutura do Windows®. Tenho a impressão que é exatamente o que acontecerá com o Windows PowerShell™, a tecnologia de gerenciamento mais recente da Microsoft. Na verdade, o Windows PowerShell provavelmente facilitará ao máximo o seu trabalho como administrador de Diretiva de Grupo.
Neste artigo, mostrarei como as APIs do GPMC (Console de Gerenciamento de Diretiva de Grupo) da Microsoft®, escritas para linguagens WSH (Windows Script Host) como o VBScript (e linguagens de script baseadas em COM em geral), podem ser consumidas diretamente do Windows PowerShell para simplificar o gerenciamento da Diretiva de Grupo em seu ambiente.

Criando scripts de tarefas de Diretiva de Grupo
Quando a Microsoft lançou o GPMC alguns anos atrás, os administradores de Diretiva de Grupo passaram a contar, de repente, com vários recursos úteis à sua disposição. O snap-in MMC baseado na Diretiva de Grupo, em particular, representou um passo enorme rumo ao gerenciamento da Diretiva de Grupo, especialmente se comparado a Usuários e Computadores do Active Directory®. Além disso, havia uma API nova em folha que permitia que os administradores usassem linguagens baseadas em COM, como o VBScript, para executar a administração de tarefas de Diretiva de Grupo, como fazer backup e restauração de GPOs (objetos de diretiva de grupo), migrar GPOs entre domínios, definir configurações de segurança em GPOs e links e gerar relatórios.
Infelizmente, o GPMC não permitia editar as configurações reais dentro dos Objetos de Diretiva de Grupo. Em outras palavras, você podia executar operações no contêiner do GPO (como ler versões de GPO, ler datas de modificação, criar GPOs novos em folha, fazer backup e restauração/importação de GPOs de diferentes domínios, etc.), mas não podia adicionar ou alterar o conteúdo do GPO via programação (por exemplo, adicionando uma nova pasta redirecionada ou a instalação de um novo software). Em vez disso, o que geralmente você fazia era criar o GPO e definir todas as configurações manualmente usando o Editor de Objeto de Diretiva de Grupo. Em seguida, fazia backup do GPO e o importava em um ambiente de teste. Se tudo fosse verificado e estivesse funcionando corretamente, você o importava para o ambiente ao vivo. Apesar do recurso ausente, o uso de scripts em vez da interação manual com a API do GMPC resultou em uma economia enorme de tempo, esforços e erros na administração diária da Diretiva de Grupo.

O nível seguinte
Em que o Windows PowerShell se diferencia de linguagens de script como o VBScript? Para começar, o Windows PowerShell é um shell e, pelo menos para o nosso objetivo, é como se fosse um interpretador de linhas de comando. Embora o VBScript possa ser executado a partir da linha de comando, um arquivo VBScript não pode ser executado linha por linha. Um script do Windows PowerShell, por outro lado, pode ser criado dinamicamente como uma série de comandos individuais. Além disso, o Windows PowerShell possui funções muito parecidas com sub-rotinas no VBScript e que podem ser criadas em tempo real no prompt de comando do Windows PowerShell.
Melhor ainda, o Windows PowerShell foi desenvolvido com base no Microsoft .NET Framework, enquanto o VBScript se baseia em tecnologia COM mais antiga. Isso significa que a vasta quantidade de código .NET que está sendo produzida hoje em dia pode ser usada diretamente do Windows PowerShell.
Podemos concluir que, com o Windows PowerShell, você terá modo interativo e suporte completo a script, tudo em um único pacote. Todos os exemplos que eu fornecer aqui serão entradas de linha de comando, por isso você pode digitar à medida que lê. Entretanto, eles funcionarão igualmente bem se você os colocar em um arquivo de script do Windows PowerShell e executá-lo.

Recriar scripts antigos usando o Windows PowerShell
A última coisa que você quer quando começa a trabalhar com uma nova tecnologia é ser forçado a abandonar todo o seu trabalho anterior. Existem três abordagens que podem ser usadas para acessar objetos COM a partir da API do GPMC ou, basicamente, para reutilizar qualquer VBScript antigo fora daqui. Você pode selecionar uma destas três opções:
  • Criar um cmdlet do Windows PowerShell usando uma linguagem de programação como C# ou C++ gerenciado.
  • Usar o Windows PowerShell para acessar o ScriptControl em MSScript.ocx a fim de encapsular scripts antigos.
  • Encapsular as chamadas COM em funções reutilizáveis do Windows PowerShell ou chamar os objetos COM diretamente.
Vou me concentrar principalmente na terceira opção, mas antes vamos dar uma olhada em todas as opções.

Criando um cmdlet do Windows PowerShell
A Microsoft incluiu um grande número de cmdlets no Windows PowerShell que permitem copiar arquivos, formatar saídas, recuperar data/hora, etc., mas você pode criar seus próprios cmdlets também. O processo está totalmente documentado em msdn2.microsoft.com/ms714598.aspx . Para resumir, aqui estão as etapas:
  • Crie uma DLL de biblioteca de classes em uma linguagem de programação .NET como C#.
  • Crie uma nova classe e herde do cmdlet da classe base.
  • Defina atributos que determinem o nome, o uso, os parâmetros de entrada, etc. e adicione seu código.
Como o Windows PowerShell foi desenvolvido com base no .NET Framework, quaisquer tipos (como uma seqüência de caracteres, um objeto, etc.) que estejam sendo retornados ou passados como parâmetros são exatamente iguais no código e no Windows PowerShell. Não é necessária nenhuma conversão de tipo especial.
A vantagem dessa solução é que você tem uma linguagem de programação completa à sua disposição.

Encapsulando scripts antigos usando o objeto ScriptControl em MSScript.ocx
Obviamente, você precisa do mecanismo VBScript para executar um arquivo VBScript. O que não é tão óbvio assim é que esse mecanismo é um objeto COM. Já que é possível usar objetos COM a partir do Windows PowerShell, você pode invocar o mecanismo VBScript. Eis um exemplo:
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Se você inserir esse código na CLI (interface de linha de comando) do Windows PowerShell, a função ShowMessage do VBScript será chamada e executada com um parâmetro, resultando na exibição de uma Caixa de Mensagem com o texto “Olá, mundo”.
Alguns de vocês podem pensar: "Legal! Já dominei a arte de usar COM a partir do Windows PowerShell! Posso parar de ler este artigo e começar a preencher o objeto ScriptControl com a minha coleção de scripts antigos do GPMC". Infelizmente, não é esse o caso. Assim que os scripts ficam maiores, essa técnica rapidamente se torna muito complexa e difícil de depurar.

Encapsulando objetos COM
Portanto, a melhor opção é a terceira: encapsular as chamadas COM em funções reutilizáveis do Windows PowerShell, o que lhe permite consumir os objetos COM na API do GPMC. A linha abaixo mostra como criar um objeto .NET diretamente no Windows PowerShell. Nesse caso, trata-se de um objeto FileInfo que pode ser usado para obter o tamanho do arquivo:
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Observe que # é usado no Windows PowerShell para comentários embutidos. Usando esse objeto FileInfo recém-instanciado, você pode obter o tamanho de boot.ini simplesmente digitando este código:
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Espere aí, não deveríamos falar sobre objetos COM e conversão VBScript? Sim, mas veja o seguinte comando:
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
Você observará que a sintaxe é basicamente a mesma que usei anteriormente para criar objetos nativos do .NET Framework, exceto por duas diferenças. Primeira: eu adicionei a opção –ComObject que direciona o Windows PowerShell para o mundo COM em vez do mundo .NET. Segunda: eu usei um ProgID COM em vez de um construtor .NET (nesse caso, Scripting.FileSystemObject). O ProgID é o mesmo nome que você sempre usou. Em VBScript, o equivalente seria:
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Para obter o tamanho do arquivo usando VBScript, adicione a linha acima a um arquivo, junto com este código:
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
Em seguida, execute-o usando Cscript.exe, por exemplo. No Windows PowerShell, você faria isso desta forma (diretamente da linha de comando do Windows PowerShell, se preferir):
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Obviamente, para converter um VBScript que lê o tamanho de um arquivo, eu poderia ter usado o cmdlet do Windows PowerShell que gerencia objetos em unidades, mas eu quis mostrar como é fácil acessar COM a partir do Windows PowerShell. Observe que, embora eu peça ao Windows PowerShell para criar um objeto COM, o objeto que realmente é criado ($comFileSystemObject aqui) é um objeto .NET que encapsula o objeto COM e expõe sua interface. No escopo deste artigo, porém, isso não tem muita importância.

Windows PowerShell em ação
Agora que você viu como acessar COM a partir do Windows PowerShell, vamos nos concentrar na Diretiva de Grupo. Os exemplos aqui mostrarão trechos de código curtos para lhe dar uma idéia de como usar as APIs do GPMC a partir do Windows PowerShell, mas você encontrará um conjunto completo de funções do Windows PowerShell para gerenciar Diretiva de Grupo no download de código relacionado a este artigo, que está disponível online em technetmagazine.com/code07.aspx. A Figura 1 lista as funções incluídas no download.
Figure 1 Funções personalizadas no download (Close Figure 1)

Nome da função | Descrição
BackupAllGpos | Faz backup de todos os GPOs em um domínio
BackupGpo | Faz backup de um único GPO
RestoreAllGpos | Restaura todos os GPOs de um backup para um domínio
RestoreGpo | Restaura um único GPO de um backup
GetAllBackedUpGpos | Recupera a versão mais recente do backup dos GPOs de um determinado caminho
CopyGpo | Copia as configurações de um GPO para outro
CreateGpo | Cria um novo GPO vazio.
DeleteGpo | Exclui um GPO.
FindDisabledGpos | Retorna todos os GPOs em que tanto o usuário como a parte do computador estejam desabilitados
FindUnlinkedGpos | Retorna todos os GPOs que não têm links
CreateReportForGpo | Cria um relatório XML para um único GPO em um domínio
CreateReportForAllGpos | Cria um relatório XML separado para cada GPO em um domínio
GetGpoByNameOrID | Localiza um GPO pelo seu nome de exibição ou identificação
GetBackupByNameOrId | Localiza o backup de um GPO pelo seu nome de exibição ou identificação
GetAllGposInDomain | Retorna todos os GPOs em um domínio
No decorrer da leitura desta seção, fique à vontade para iniciar a linha de comando do Windows PowerShell e digitar nos comandos. No entanto, lembre-se que alguns deles dependem de comandos anteriores. Em outras palavras, alguns dos objetos criados inicialmente serão usados mais tarde, por isso permaneça na mesma sessão do Windows PowerShell. Se você fechar a sessão, terá de começar novamente desde o início, redigitando todos os comandos.
Sendo assim, vamos criar um novo GPO usando o Windows PowerShell. A equipe de Diretiva de Grupo na Microsoft incluiu vários exemplos de VBScript totalmente funcionais com GPMC que você pode aproveitar para agilizar o processo. Eles estão no diretório %ProgramFiles%\GPMC\Scripts, onde você também encontrará um arquivo chamado gpmc.chm que contém a documentação da API do GPMC. Vamos dar uma olhada no script CreateGPO.wsf e dissecá-lo para ver o que o faz funcionar.
Próximo à parte superior, você verá esta linha:
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
Esse é basicamente o ponto de partida de qualquer script ou sessão de gerenciamento de Diretiva de Grupo porque instancia a classe GPMgmt.GPM que permite o acesso à maior parte da funcionalidade do GPMC. Vamos fazer isso a partir do Windows PowerShell:
$gpm = New-Object -ComObject GPMgmt.GPM
Agora que você tem o ponto de partida para o gerenciamento de Diretiva de Grupo, a próxima etapa é descobrir o que você pode fazer com ele. Normalmente, você se voltaria para a documentação desse tipo de informação, mas o Windows PowerShell tem um recurso muito legal. Se você digitar a linha a seguir, verá a saída mostrada na Figura 2:
Figura 2 Saída de Get-Member
Figura 2 Saída de Get-Member
$gpm | gm
Muito legal, na minha opinião. Observe como o cmdlet Get-Member (ou gm) permite que você veja as propriedades e os métodos aos quais o objeto oferece suporte diretamente da linha de comando. É claro que não é o mesmo que ler a documentação, mas facilita o uso de objetos familiares quando você não se lembra do número exato de parâmetros, do nome exato, etc. Um ponto importante a ser observado é que, quando você olha para as listagens de nó da documentação do GPMC, parece que o objeto GPM e todas as outras classes têm a letra I como prefixo. Isso se deve a funcionamentos internos do COM e não nos interessa aqui. Destina-se a programadores de C++ que escrevem código COM nativo e denota a diferença entre uma interface e a classe que a implementa. Observe também que, ao usar as APIs do GPMC, só há um objeto que precisa ser criado dessa forma, que é o GPMgmt.GPM. Todos os outros são criados com o uso de métodos que começam com esse objeto GPM.
Vamos continuar agora com a criação de um novo GPO.
A Figura 3 ilustra como é simples criar um GPO. Observe que eu deixei de fora um pouco do código, como o tratamento de erros (por exemplo, o que acontecerá se você não tiver permissão para criar GPOs), e codifiquei um nome de domínio, mas dá para você entender.
Agora que você sabe como criar um GPO, vamos abrir um já existente. Você ainda tem a referência ao domínio, $gpmDomain, por isso digite o seguinte:
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Isso lhe dá um relatório HTML completo das configurações na Diretiva de Domínio Padrão, mas, obviamente, você pode usar qualquer um dos métodos e propriedades (como ModificationTime, que informa quando o GPO foi modificado pela última vez) para descobrir quando alguma das configurações no GPO foi alterada.
Isso é extremamente útil. É muito provável que você já tenha estado em uma situação em que os telefones não paravam de tocar com usuários reclamando que seus computadores estão funcionando de forma estranha. Você suspeita que isso esteja relacionado a uma configuração de GPO alterada, adicionada ou excluída, mas não tem nem idéia de em qual GPO procurar. A salvação é o Windows PowerShell! Se você inserir o script mostrado na Figura 4 na linha de comando do Windows PowerShell, verá todos os GPOs que foram alterados nas últimas 24 horas.
Figure 4 Descobrindo GPOs modificados (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Observe o operador –ge, que significa maior ou igual a. Pode parecer estranho se você estiver acostumado aos operadores < and > em outras linguagens de programação ou de script. Mas esses operadores são usados para redirecionamento (por exemplo, para redirecionar a saída para o arquivo) e, portanto, não podem ser usados como operadores de comparação no Windows PowerShell.

Encerramento
O código na Figura 5 lista o script completo para copiar as configurações de um GPO para outro. Agora você deve ter entendido como pode usar essa nova tecnologia com a Diretiva de Grupo e como pode reutilizar qualquer objeto COM ou código VBScript que consuma um objeto COM.
Figure 5 Copie as configurações de um GPO para outro (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
O Windows PowerShell será, assim como a Diretiva de Grupo, uma parte natural de qualquer ambiente de gerenciamento do Windows. Mas há milhões de linhas de VBScript lá fora que terão de ser migradas ou mantidas. Felizmente, este tutorial o ajudará nessa tarefa.
No site da TechNet, existem várias fontes que você pode usar para aprimorar a administração da Diretiva de Grupo e outras áreas onde você usou anteriormente o VBScript (como as funções do Windows PowerShell no download), além de um excelente guia de conversão de VBScript para Windows PowerShell que fornece dicas sobre como realizar tarefas comuns no Windows PowerShell quando você sabe o equivalente no VBScript. Você o encontrará em microsoft.com/technet/scriptcenter/topics/winpsh/convert.
Além disso, a API do GPMC está totalmente documentada. Você pode baixar as informações do site de Diretiva de Grupo em microsoft.com/grouppolicy.
Por último, mas não menos importante: se você ainda não instalou o Windows PowerShell, o que está esperando? Baixe-o do site microsoft.com/powershell e divirta-se!

Thorbjörn Sjövold é CTO e fundador da Special Operations Software (www.specopssoft.com), um provedor de produtos de extensão de Segurança e Gerenciamento de Sistemas baseados em Diretiva de Grupo. Entre em contato com ele pelo email thorbjorn.sjovold@specopssoft.com.


 Administra&#231;&#227;o do Windows: Um guia para implantar Servi&#231;os de Terminal
Administração do Windows James D. Silliman

Um guia para implantar Serviços de Terminal
Visão geral:
  • Implante Serviços de Terminal em etapas rápidas e simples
  • Otimize o Office no seu ambiente de Serviços de Terminal
  • Gerencie seus usuários com eficiência usando os Serviços de Terminal

Recordando 1998: a Microsoft lança o Windows NT 4.0 Terminal Server Edition, com o codinome "Hydra". Também obtém a licença da tecnologia da Citrix Systems, criando sua primeira oferta
cliente fino/servidor. Para os administradores de sistemas, o "Hydra" foi uma implantação difícil. Alguns anos depois, os Serviços de Terminal mudaram radicalmente. São totalmente integrados ao kernel e facilmente configuráveis com um assistente de instalação interno, sem exigir um CD separado ou um download da Internet. Devido à relativa facilidade de instalação, há muitos motivos pelos quais faz sentido implantar os Serviços de Terminal na sua organização. A vantagem mais imediata é ter todos os seus aplicativos executados em um servidor ou servidores centralizados, de forma que a arquitetura cliente e o hardware não constituam problemas. O usuário final precisa apenas de um cliente de RDP (protocolo de área de trabalho remota) para conectar-se aos servidores centrais. Felizmente, há clientes de RDP disponíveis para as arquiteturas mais recentes.
Neste artigo, mostro como habilitar os Serviços de Terminal em uma instalação existente do Windows Server® 2003, como aplicar as diretivas de grupo dos Serviços de Terminal e como usar o Assistente de Instalação Personalizada para automatizar as configurações de perfis do Microsoft® Outlook®. Ao final, você terá uma implantação completa do Terminal Server para servir aplicativos aos seus usuários.

Introdução
A primeira etapa necessária para configurar os Serviços de Terminal é abrir o Assistente para Configurar o Servidor, incluído nas ferramentas administrativas do Windows Server 2003. Selecione Terminal Server e clique em Avançar até que o assistente seja concluído. O programa de instalação avisa que precisará reinicializar automaticamente a máquina para inicializar as alterações. Após a reinicialização, o servidor estará no modo Terminal Server.
Aliás, confirme se você tem as suas CALs (licenças de acesso de clientes) para os Serviços de Terminal em mãos antes de começar, ou ninguém conseguirá conectar-se após a implantação. Agora, junte a caixa que executa os Serviços de Terminal ao seu domínio do Active Directory® e faça logon com uma conta que tenha privilégios de administrador de domínio. Se você não tiver um domínio, ficará difícil prosseguir, pois não será possível aplicar as diretivas de grupo. Neste artigo, o servidor onde é feita a instalação dos Serviços de Terminal é denominado TS01.
Em seguida, inicie Usuários e Computadores do Active Directory, em Ferramentas Administrativas, e crie uma nova OU (unidade organizacional) onde será colocado o Terminal Server. Para simplificar, vamos dar à OU o nome extremamente original de Terminal Servers. Localize o seu Terminal Server, o TS01, e mova-o para a nova OU Terminal Servers.
Depois, baixe e instale o GPMC (console de gerenciamento de diretivas de grupo) em microsoft.com/windowsserver2003/gpmc. Esse utilitário de gerenciamento permite configurar uma nova diretiva de grupo, atribuir permissões a ela e editá-la, de forma a poder ativar ou desativar as configurações aplicáveis de diretivas para todos os usuários que se conectarão. O GPMC é uma ferramenta essencial para a implantação dos Serviços de Terminal, pois conta com um Assistente de Modelagem interno que reflete imediatamente as diretivas aplicadas ou não a um usuário.
Inicie o console GPMC em Ferramentas Administrativas e localize a nova OU Terminal Servers do lado esquerdo da janela de gerenciamento de diretivas de grupo. Clique na OU com o botão direito do mouse, escolha Criar e Vincular um GPO Aqui, conforme mostrado na Figura 1, e dê-lhe um nome de fácil associação, como Diretiva 1 do Terminal Server.
Figura 1 Criação e vínculo de um novo GPO
Figura 1 Criação e vínculo de um novo GPO
Você perceberá que um grupo de usuários autenticados aparecerá, como em um passe de mágica, na caixa Filtros de Segurança, do lado direito da janela do GPMC. Esse grupo é adicionado por padrão a todos os GPOs (objetos de diretiva de grupo). Clique no grupo e, em seguida, no botão Remover. No lugar dele, você vai configurar um grupo de Serviços de Terminal na sua árvore do Active Directory, ao qual aplicará seus GPOs quando os usuários fizerem logon no TS01. Chamaremos nosso grupo de Serviços de Terminal de BottleWashers. Vá em frente e adicione-os à sua estrutura do Active Directory usando a opção Usuários e Computadores do Active Directory, em Ferramentas Administrativas. Você precisará também adicionar o BottleWashers ao grupo de Usuários da Área de Trabalho Remota no TS01 e em qualquer outro Terminal Server que instalar.
Verifique se está agora na guia Escopo. Clique no botão Adicionar na caixa Filtros de Segurança e adicione BottleWashers como um grupo. O grupo BottleWashers obterá automaticamente os direitos de leitura e aplicação de diretivas de grupo para a Diretiva 1 do Terminal Server. Essas duas permissões constituem os direitos padrão de diretivas de grupo e são necessárias para que qualquer diretiva seja aplicada a um objeto.
Em seguida, adicione também seu servidor, o TS01, à caixa Filtros de Segurança. Essa operação tem uma etapa adicional. Primeiro clique em Adicionar e depois, em Tipos de Objetos, coloque uma marca de seleção na guia Computadores; do contrário, o GPMC não conseguirá localizar o TS01 no Active Directory. O resultado final deve se parecer com a Figura 2.
Figura 2 Adição do TS01 em Filtros de Segurança
Figura 2 Adição do TS01 em Filtros de Segurança
Da mesma forma, os direitos de diretivas corretos serão automaticamente aplicados ao TS01 com sua adição à caixa Filtros de Segurança. Neste ponto, é uma boa idéia clicar na guia Delegação, na parte superior da tela do GPMC, do lado direito, e encontrar a opção Administradores do Domínio, também listada por padrão em qualquer nova diretiva. Clique no botão Avançado, no canto inferior direito da tela.
Agora você verá as configurações de segurança do objeto de diretiva de grupo. Concentre-se em Administradores do Domínio e encontre a configuração Aplicar Diretiva de Grupo, na parte inferior. Do lado direito, marque a opção Negar. Quando clicar em OK, você receberá a mensagem de aviso padrão, emitida sempre que uma permissão for definida como negada. Essa etapa impede que a nova diretiva de TS seja aplicada aos administradores do domínio — um resultado nada desejável.
Lembra-se de que eu o aconselhei a ter suas CALs Microsoft em ordem? Você precisará examinar a papelada de licenças para determinar quais as CALs de Serviços de Terminal adquiridas. Há dois tipos de CALs para o Terminal Server: Usuário e Dispositivo. Você pode obter mais informações sobre licenças em microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx.
Basicamente, o licenciamento por usuário permite que um usuário utilize somente uma licença do Terminal Server, independentemente da quantidade de dispositivos (PCs) com os quais ele se conecte.
Se não tiver um servidor de licenciamento do Terminal Server no seu domínio, localize um servidor membro que possa assumir essa função. Embora haja suporte, é melhor não fazer do TS01 o servidor de licenciamento pois, se você depois adicionar mais Terminal Servers à sua organização, essa opção não produzirá uma boa tolerância a falhas na infra-estrutura. Vá ao Painel de Controle do servidor de licenciamento proposto. Abra Adicionar/Remover Programas | Componentes do Windows | Licenciamento do Terminal Server e siga as instruções para habilitar o servidor de licenciamento. Quando terminar, clique em Iniciar | Executar e digite:
tscc.msc
Isso faz com que apareça a árvore Configuração do Terminal Server\Configurações do Servidor. Aqui, você deve clicar em Configurações do Servidor | Licenciamento e escolher Por Usuário ou Por Dispositivo. O padrão é Por Dispositivo. Se já tiver um servidor de licenciamento do Terminal Server no seu domínio, há uma configuração na Diretiva 1 do Terminal Server que indica qual servidor detém a função de servidor de licenciamento. Quando concluir essa tarefa, volte a Iniciar | Executar e digite:
licmgr.exe
Agora você precisa ativar suas CALs, para permitir que os usuários se conectem. Para maior conveniência, é possível fazer isso por telefone ou via Web. Então, os usuários poderão conectar-se ao Terminal Server mas não haverá diretivas impostas, então vamos começar a definir as mais importantes. Algumas das recomendadas pela Microsoft podem ser encontradas no artigo "Como bloquear uma sessão do Terminal Server no Windows Server 2003 ou no Windows 2000", disponível na Base de Dados de Conhecimento.

Ativação de diretivas
O mais importante é ter em mente que não se pode ativar diretivas sem saber exatamente o que cada uma delas faz. Do contrário, talvez você obtenha alguns resultados indesejados mais adiante. A melhor abordagem é começar com algumas diretivas essenciais e testá-las amplamente em um ambiente de laboratório.
Provavelmente você decidirá aplicar primeiro a diretiva de auto-retorno. Para ativá-la, inicie o GPMC, localize a Diretiva 1 do Terminal Server, clique nela com o botão direito do mouse e selecione Editar. Vá para Configuração do Computador | Modelos Admin | Sistema | Diretiva de Grupo e ative a configuração do modo de processamento de auto-retorno da diretiva de grupo de usuários. Após ativar essa diretiva, defina seu valor de modo, que pode ser Substituir ou Mesclar. Para obter os melhores resultados com os Serviços de Terminal, selecione Substituir.
Outra configuração do Terminal Server que você deve ativar é "Adicionar o grupo de segurança Administradores a perfis móveis de usuários", localizada em Configuração do Computador\Modelos Administrativos\Sistema\Perfis de Usuário. Essa configuração garante que você, como administrador, tenha sempre total controle sobre as pastas de perfis de usuário. Deve ser definida o mais cedo possível, pois não será aplicada se as pastas já tiverem sido criadas, após o primeiro logon do usuário (veja a Figura 3).
Figura 3 Ativação do valor "Adicionar grupo de segurança Administradores"
Figura 3 Ativação do valor "Adicionar grupo de segurança Administradores"
Você encontrará uma grande variedade de diretivas em Configuração do Computador\Modelos Administrativos\Componentes do Windows\Serviços de Terminal. Avalie a ativação das seguintes:
  • Restringir os usuários dos Serviços de Terminal a uma única sessão remota
  • Definir caminho para perfis móveis de Terminal Server
  • Pasta base de usuário de Terminal Server
Observe, no entanto, que restringir os usuários dos Serviços de Terminal a uma única sessão remota não impedirá que façam logon mais de uma vez, como você poderia pensar. Em vez disso, quando um usuário tenta iniciar uma segunda sessão dos Serviços de Terminal, ele simplesmente retoma a primeira sessão aberta.
Os perfis móveis são um elemento essencial para a operação adequada do Terminal Server. Por padrão, quando um usuário faz logon em um Terminal Server, é criado um perfil local na unidade C: do Terminal Server, mesmo se a unidade C: estiver oculta para os usuários. O comportamento padrão de um perfil móvel é sincronizar o perfil local com um compartilhamento de perfil móvel na rede quando o usuário fizer logoff. Uma diretiva de grupo pode ser definida para remover esse perfil local sempre que o usuário fizer logoff.
As duas outras diretivas de Serviços de Terminal mencionadas acima, Definir caminho para perfis móveis de Terminal Server e Pasta base de usuários de Terminal Server, estão relacionadas aos perfis móveis. Essas configurações são geralmente codificadas em uma caixa com o caminho de perfil de Serviços de Terminal do usuário do Active Directory. É preferível e muito mais fácil definir os caminhos dos Serviços de Terminal via diretivas de grupo. No caso dos caminhos de perfil de Serviços de Terminal do usuário do Active Directory, se você configurar um novo usuário ou copiar um usuário existente, as informações de caminho do perfil do servidor de Serviços de Terminal precisarão sempre ser adicionadas manualmente — o que representará um grande inconveniente. É muito melhor definir esses caminhos em um compartilhamento de rede e usar um GPO para configurá-los para você.

Redirecionamento de pastas
Vejamos agora outro componente muito importante dos Serviços de Terminal, o redirecionamento de pastas, que otimiza a experiência com os Serviços de Terminal, impedindo logons e logoffs excessivamente longos. As pastas que você pode redirecionar são Dados de Aplicativos, Meus Documentos e Menu Iniciar. Essas quatro pastas precisam existir em um compartilhamento de rede e exigem ACLs (listas de controle de acesso) específicas. Consulte o artigo "Como criar dinamicamente pastas redirecionadas com segurança aprimorada usando o redirecionamento de pastas do Windows 2000 e do Windows Server 2003", na Base de Dados de Conhecimento, para obter mais informações sobre o tema.
A vantagem do redirecionamento de pastas é que não é preciso copiar todo o perfil do usuário sempre que um usuário faz logon ou logoff. Os Serviços de Terminal reconhecem que essas pastas residem na rede e, basicamente, fornecem um ponteiro para elas.
É aconselhável, usando os perfis móveis e o redirecionamento de pastas, explorar o DFS (sistema de arquivos distribuído) para simplificar a manutenção dos seus compartilhamentos de rede. Devido a limitações de espaço, não abordarei o DFS neste artigo, mas você pode explorar o assunto na Central de Recursos de DFS.
Você encontrará as configurações de redirecionamento de pastas em Configuração do Usuário\Configurações do Windows\Redirecionamento de Pastas (veja a Figura 4). Os valores da pasta Redirecionamento de Pastas são muito simples. Provavelmente você decidirá remover a marca de seleção em cada configuração de redirecionamento de pastas que diz Conceder ao Usuário Direitos Exclusivos. Do contrário, os administradores não poderão acessar as pastas.
Figura 4 Localização das configurações de redirecionamento de pastas
Figura 4 Localização das configurações de redirecionamento de pastas

Instalação do Microsoft Office
Agora que algumas diretivas essenciais já estão ativadas, já podemos instalar o Microsoft Office 2003 ou o Sistema Microsoft Office 2007. O Microsoft Office é otimizado para Serviços de Terminal, então não é preciso fazer muitas alterações durante a instalação. Itens de alta largura de banda no Office Suite são desativados por padrão. Neste ponto, você precisará baixar e instalar os arquivos administrativos de modelo de diretivas de grupo (arquivos ADM) para poder controlar as diretivas no Office Suite.
Os arquivos ADM necessários estão em microsoft.com/office/orkarchive/2003ddl.htm. Para atender aos nossos objetivos, você só precisa baixar dois arquivos: arquivos de modelo do Office (ORKSP2AT.exe) e o Assistente de Instalação Personalizada. No entanto, o segundo arquivo somente é necessário se você for implantar o Office 2003. O Sistema Office 2007 não usa o assistente; basta clicar em Iniciar | Executar e digitar Setup /a e ele será iniciado automaticamente.
Após descompactar o primeiro arquivo, ORKSP2AT.exe, você verá vários arquivos. Os arquivos office11.adm e outlk11.adm são os mais importantes (veja a Figura 5).
Figura 5 Arquivos de modelo do Office
Figura 5 Arquivos de modelo do Office
Inicie o Windows Explorer e copie esses dois arquivos para %systemroot%\inf. Volte e inicie novamente o console GPMC. Localize o Perfil 1 do Terminal Server em Objetos de Diretiva de Grupo, clique nele com o botão direito do mouse e selecione Editar. Agora, vá para Configuração do Computador\Modelos Administrativos na diretiva definida. Clique com o botão direito do mouse em Modelos Administrativos e selecione Adicionar/Remover Modelos, como na Figura 6.
Figura 6 Adição de modelos administrativos ao GPO
Figura 6 Adição de modelos administrativos ao GPO
Você verá que os dois arquivos estão disponíveis agora. Adicione-os um de cada vez. Esses arquivos de modelo aparecem em Configuração do Usuário\Modelos Administrativos\Microsoft Office 2003 e em Configuração do Usuário\Modelos Administrativos\Microsoft Office Outlook 2003. Você pode procurar essas configurações de modelos e ativá-las ou desativá-las como preferir.
Não entrarei em detalhes sobre muitas configurações aqui, mas talvez você queira remover duas delas, Assistente do Office e Arquivamento Automático do Outlook. Observe que algumas configurações, como o Modo de Cache do Exchange e a Filtragem de Mensagens Não Desejadas, são desativados por padrão nos Serviços de Terminal, portanto não é necessário desativar essas diretivas.
Você encontrará mais informações em "Recursos do Outlook desativados com Serviços de Terminal". O Assistente do Office pode ser desativado facilmente, selecionando Configuração do Usuário\Modelos Administrativos\Microsoft Office 2003\Assistente\Opções em Diretiva de Grupo.
Em um ambiente de Serviços de Terminal, não é desejável solicitar constantemente que os usuários executem alguma ação. Um exemplo especialmente intrusivo de solicitação envolve as configurações de arquivamento automático de emails do Outlook. Se essa configuração for ignorada na sua diretiva de grupo, os usuários receberão, em intervalos regulares, solicitações para fazer o arquivamento automático. Quando desativada, essa configuração desaparece completamente do menu de preferências do Outlook. É claro que, se você quiser fazer o arquivamento automático, poderá ajustar as configurações na diretiva, em Configuração do Usuário\Modelos Administrativos\Microsoft Office Outlook 2003\Ferramentas | Opções\Arquivamento Automático.
A próxima etapa para garantir uma implantação bem-sucedida dos Serviços de Terminal consiste em configurar um arquivo PRF do Outlook, para que não seja solicitado que os usuários definam manualmente suas configurações do Outlook. Isso pode parecer uma tarefa hercúlea, mas na verdade não é. Exige a instalação do OrkTools e o uso do Assistente de Instalação Personalizada para criar um arquivo PRF que informe ao assistente de configuração do Outlook como deve se comportar. O Sistema Office 2007 tem um mecanismo que torna o processo obsoleto, embora ainda seja possível usar um arquivo PRF com o Office, se você preferir.
Vamos configurar um arquivo PRF do Outlook com o Assistente de Instalação Personalizada. Você não precisará executar toda a rotina do Assistente, somente a parte necessária para exportar o arquivo PRF modificado. São apenas algumas etapas.
Primeiro, inicie e descompacte o segundo arquivo que você baixou (o Assistente de Instalação Personalizada). Depois, inicie o Assistente em Iniciar | Programas | Microsoft Office 2003 Resource Kit. Será perguntada a localização do arquivo MSI do Office 2003. Insira o disco do Office 2003 e indique o nome e o caminho do arquivo MSI.
Agora avance no Assistente diretamente para a página 17 de 24, para pular as etapas restantes e simplesmente criar o arquivo PRF. Na etapa 17, selecione Novo Perfil e dê-lhe um nome como Outlook. Em seguida, clique em Avançar. Aparecerá uma tela que permite selecionar um Exchange Server (como na Figura 7). Digite o nome do seu Exchange Server e clique em Avançar.
Figura 7 Configuração de uma conexão do Exchange Server
Figura 7 Configuração de uma conexão do Exchange Server
É uma boa idéia adicionar o catálogo de endereços do Outlook ao perfil que você está criando. Isso permite que os usuários selecionem seus contatos ao redigir uma nova mensagem. Somente essa etapa pode evitar muito trabalho manual mais adiante. Você pode também configurar recursos personalizados adicionais aqui, se selecionar o botão Adicionar. Agora, clique em Avançar e faltará apenas exportar o arquivo PRF.
Neste ponto, você precisará criar um arquivo em lotes e colocá-lo no compartilhamento Netlogon do seu controlador de domínio, e não no TS01. O arquivo em lotes irá iniciar os mapeamentos necessários e configurar o arquivo PRF para implantação. Procurei facilitar a tarefa escrevendo para você os scripts WMI. No entanto, use estes scripts apenas como orientação; você precisa inserir as informações relevantes para a sua situação específica. Se preferir, pode usar outro processador de scripts, como o KiXTart.
Seu arquivo em lotes (logon.bat) deve incluir estas linhas:
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
O arquivo Clean.vbs removerá a chave First-Run do Registro para que o Outlook processe o arquivo PRF:
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
O Outlook.vbs adicionará ao Registro a chave de configuração do Outlook adequada para cada usuário do Terminal Server. Você precisa fornecer seu caminho na configuração SValue= e não esquecer de adicionar seu arquivo PRF personalizado ao verdadeiro diretório de rede:
sValue = \\Serv01\PRF\Outlook.prf
Altere o caminho e coloque nele seu arquivo Outlook.prf:
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
O próximo item na sua pauta de implantação é instalar o Office 2003 ou o Sistema Microsoft Office 2007 no TS01. Como já mencionei, o Microsoft Office é otimizado para ambientes de Serviços de Terminal. Não é mais necessário criar transformações personalizadas. Você pode desativar os recursos do Office além daqueles pré-selecionados, mas isso não é obrigatório. Por outro lado, pode ativar recursos mas, fazendo isso, talvez produza efeitos adversos sobre a largura de banda. Lembre-se de testar qualquer recurso ativado em um ambiente de laboratório, antes de implantá-lo em uma situação de produção.
Antes de instalar qualquer versão do Microsoft Office, você deverá colocar o TS01 no modo de usuário adequado. É possível escolher entre duas possibilidades: instalação e execução. Você deve estar no modo de instalação para realizar qualquer instalação de software. Para colocar o TS01 no modo de instalação, digite o seguinte no prompt de comando:
C:>change user /install
Quando a instalação estiver concluída, coloque novamente o TS01 no modo de execução digitando:
C:>change user /execute
O modo de instalação será iniciado automaticamente se você executar um arquivo Setup.exe ou Install.exe no TS01. Todos os produtos Microsoft têm esses arquivos de inicialização. No entanto, alguns aplicativos não os utilizam, então use o comando Change para garantir. E se você esquecer em que modo está? Basta executar o comando a seguir, que vai indicar o modo atual:
C:>change user /query
Se você chegou até aqui, está indo bem. Agora, pode ir até uma estação de trabalho cliente do Windows, clicar em Iniciar | Executar e digitar o seguinte comando:
mstsc
Se estiver usando o Windows 2000, você pode baixar o utilitário Mstsc (Microsoft Terminal Services Client).
Deverá aparecer uma tela de conexão com a área de trabalho remota. Simplesmente digite o nome do Terminal Server ou o endereço IP para conectar-se. Há várias seleções disponíveis no botão Opções, como conectar-se a unidades ou impressoras locais, ou então alterar a resolução de vídeo. Você pode também codificar o TS01 na área de opções e salvar o perfil RDP na sua área de trabalho. Por padrão, o perfil RDP é denominado Default.RDP.

Tarefas administrativas
Se quiser realizar algumas tarefas administrativas no TS01, o melhor é usar este comando, que simula ações como se você estivesse fisicamente diante do console:
Mstsc /console
Se estiver administrando vários Terminal Servers distintos, talvez você queira usar o utilitário Áreas de Trabalho Remotas, localizado em Ferramentas Administrativas, que permitirá adicionar todos os seus Terminal Servers remotos a um só formato de árvore.
Um último comando que você deve conhecer é o Tsadmin, que permite ver os usuários conectados ao seu Terminal Server e os processos do Windows abertos pelos usuários. Permite também usar o recurso de sombra, para ver e controlar remotamente as estações dos usuários, uma grande vantagem para os administradores. No entanto, observe que se você iniciar o TSadmin na sua estação de trabalho, não poderá usar o recurso de sombra. Poderá apenas ver as conexões. Você precisa fazer logon diretamente no TS01 para usar o recurso de sombra, enviar mensagens ou fazer o logoff dos usuários.

Conclusão
Agora você já deve ter uma boa compreensão dos Serviços de Terminal, então será muito simples implantar sozinho um Terminal Server. Há vários outros temas que poderiam ser abordados, inclusive configurações de diretivas de grupo e DFS. Mas se você conseguir lembrar-se dos itens básicos, como não cometer erros ao configurar os GPOs e testá-los amplamente antes de aplicá-los aos usuários, será um ótimo ponto de partida.

James D. Silliman, MCSE, engenheiro de sistemas sênior da DirectApps, Inc., é especialista na implantação de servidores de terminal. A DirectApps projeta soluções .NET e fornece serviços de hospedagem e ASP. Você pode contatá-lo pelo email James@directapps.com.


 Do editor: Seguran&#231;a para se locomover
Do editor
Segurança para se locomover
Joshua Trupin

Hoje em dia, o local de trabalho pode ir a qualquer lugar. Na última década, o conceito de "seu escritório em qualquer lugar" realmente decolou. Você não precisa mais estar presente fisicamente em sua mesa para fazer o seu trabalho. As tecnologias de mobilidade permitem que você seja produtivo na estrada, em casa, no metrô e até no carro durante o sinal vermelho, o que requer cuidado. É um mundo verdadeiramente maravilhoso. Exceto se você for um profissional de TI enfrentando o que provavelmente é seu maior desafio: proteger e gerenciar dispositivos que possam levantar e andar.
A segurança na década de 80 significava reagir a relatórios de novos vírus orientando as pessoas a colocarem seus disquetes em sacos plásticos para mantê-los longe uns dos outros. (É sério! Quando eu fiz isso em um dos meus primeiros empregos, nenhum computador foi infectado!) Se um programa não autorizado acabasse infectando um computador, ele era contido a menos que alguém levasse um disquete infectado para outra sala. Para os profissionais de TI, às vezes era mais fácil simplesmente remover as unidades de 5,25" de todo mundo quando saíam para almoçar. Os sortudos tinham um disco rígido de 10 MB para seus dados.
Nos anos 90, ficou cada vez mais difícil pegar usuários que estivessem infectando seus próprios computadores porque eles começaram a pegar vírus através da Web. Ao contrário da década anterior, não era mais possível proteger os computadores tirando disquetes da mão de alguém com um pomposo mergulho em câmera lenta.
Atualmente, entendemos como proteger a empresa, distribuir diretiva de grupo e configurar firewalls, quarentenas e pontos de restrição. E agora? A própria empresa começa a andar! Porta afora. Então, o que fazer?
Proteger os ativos no escritório é apenas metade do seu desafio no clima de TI atual. Uma organização é tão forte quanto o seu ponto mais fraco. Ter funcionários andando por aí com dispositivos móveis e laptops conectados à rede da empresa pode ser uma fonte de problemas. Nosso artigo principal este mês fala sobre como proteger dispositivos móveis para que você – o administrador exausto – possa dormir à noite.
É claro que há muito mais a discorrer sobre esse assunto. Vamos examinar o gerenciamento da conformidade a normas com o Exchange Server, a proteção de acesso à rede, a implantação de Serviços de Terminal, o Windows PowerShell e o SQL Server e tanto mais que levaria uma página inteira para listar. (Na verdade, duas, a julgar pelo Sumário.)
Qual é a situação de segurança mais incomum com a qual você já se deparou na sua empresa? Visite o blog da TechNet Magazine (blogs.technet.com/tnmag) e junte-se à conversa. Os editores estão aguardando! – Joshua Trupin

Meus agradecimentos aos seguintes especialistas técnicos da Microsoft: Alex Balcanquall, Tad Brockway, Anah Cameron, Jeroen de Borst, Michael Higashi, Ryan Hurst, Paul Limont, Sherman Lovell, Michael Murgolo, Shivakumar Seetharaman, John Speare, David Strome e Jim Truher.

Joshua Trupin


 Cartas: Respostas &#224;s suas perguntas
Cartas
Respostas às suas perguntas

Criando imagens
No artigo "Noções básicas sobre o Windows® PE" (setembro de 2006), Wes Miller faz referência ao mkimg.cmd. Esse arquivo de comando não existe em nenhum lugar no meu sistema Windows Vista™, que tem tanto o WAIK (Kit de Instalação Automatizada do Windows) como o Solution Accelerator para BDD (Business Desktop Deployment) 2007 instalados. Nas distribuições atuais, tenho mkimg_pe2004.cmd e mkimg_pe2005.cmd. No entanto, eles chamam um arquivo bldini.cmd que também parece não existir. Onde posso encontrar esses arquivos?
― Jim A.

Na verdade, o artigo foi publicado antes do lançamento do Windows Vista e se refere exclusivamente à versão do Windows PE disponível para Windows XP e Windows Server® 2003 (conhecido como Windows PE 1.6). Um artigo subseqüente foi publicado na edição de novembro de 2006 abordando o Windows PE 2.0, que é a versão disponível para o Windows Vista. Você pode encontrar esse artigo no nosso site.
É possível criar e personalizar imagens do Windows PE 2.0 com as ferramentas encontradas no WAIK ― especificamente, o comando "mkimg" foi substituído por "peimg". A documentação online do WAIK poderá lhe fornecer uma orientação para a criação de imagens do Windows PE 2.0.

Mitos de segurança
Em resposta à sugestão de que é preferível usar senhas longas a complexas ("Desconstruindo mitos comuns de segurança", edição de maio/junho de 2006), o que vocês sugerem para que elas possam ser recuperadas quando necessário? Senhas longas podem ser difíceis de memorizar. Também me aconselharam a usar uma senha diferente para cada sistema que requeira acesso, mas isso pode criar problemas semelhantes com armazenamento e recuperação.
― Ian R.

Perguntamos ao nosso amigo e colaborador Steve Riley, que respondeu rapidamente:
É um ponto interessante sobre recuperabilidade mental (sim, acabei de criar esse termo). Eu diria que é mais fácil lembrar uma sentença usada como frase secreta do que memorizar uma coleção arbitrária de caracteres em uma senha complexa. E, se você empregar um método de mapeamento, poderá lembrar um grande número de frases secretas. Por exemplo, digamos que a sua frase secreta para o Hotmail® seja "Meu cachorro e eu recebemos o email". É fácil de memorizar porque existe uma associação (receber o email) com o destino (site de emails). Empregue o método de mapeamento e você terá, como frase secreta, "Meu cachorro e eu fomos ao shopping" para o eBay, "Meu cachorro e eu fomos trabalhar" para sua conta de domínio no escritório, e até mesmo "Meu cachorro e eu admiramos arte" para o seu site de imagens favorito.
As fontes para frases secretas são praticamente ilimitadas. Conheço alguém que usa apenas citações de filmes de Monty Python. Outra só usa frases de cinco palavras, em que cada palavra começa com a letra consecutiva no teclado ("William eleito rei totalmente yuppie" ―WERTY). Com um pouco de criatividade, as frases secretas podem ajudar a acabar com a maioria dos problemas associados a senhas, ao mesmo tempo em que reforçam o sigilo usado para provar a identidade de alguém.

"Desconstruindo mitos comuns de segurança" é um grande artigo. Ele transformou em pó minhas suposições. Mas, se o software permitiu a geração e o uso de conjuntos de caracteres exclusivos (nunca vistos antes, e não aqueles que aparecem em Webdings®) em um programa independente, isso não mudaria a relevância em relação à complexidade já que ninguém poderia ter um conjunto completo de todos os caracteres exclusivos possíveis e somente o usuário saberia quais foram gerados e usados? Prefiro recriar uma linha curta desses caracteres do que digitar "Guerra e Paz" caso eu perca minha chave USB.
― H.D.

Sua idéia é interessante, mas não temos certeza de como você poderia lembrar um caractere exclusivo, que nunca tenha sido visto antes. A menos que você seja aquele artista conhecido antigamente como Prince.

Sysprep
No artigo "Técnicas para simplificar a criação de imagens de desktop" (edição de maio/junho de 2006), Shelly Bird diz que, quando você está criando uma pasta Sysprep, "O processo começa com a criação da imagem mestra em um sistema herdado com hardware básico...". O que ela quer dizer exatamente? Estou procurando no BDD e não consigo encontrar nada que sugira implantação com uma única imagem. Como posso obter essa informação?
― Jon S.

No artigo mencionado por você, a autora está falando sobre a criação de uma configuração de referência padronizada que possa ser capturada como uma imagem e reimplantada em outros computadores. Em outras palavras, você pega o hardware mais simples que tiver em seu ambiente (como um mínimo denominador comum), instala o Windows e o configura com suas especificações básicas (qualquer modificação que você queira que seja implantada na sua organização). Em seguida, instala os aplicativos que deseja que sejam incluídos e prepara o hardware para implantação usando a ferramenta Sysprep (que remove informações específicas de hardware, permitindo que a imagem seja reimplantada no novo hardware).
As melhores diretrizes para esse processo se encontram no Guia da Equipe do Recurso Computer Imaging System, que faz parte do BDD. Esse componente do BDD contém uma ferramenta que pode ser baixada para ajudá-lo a personalizar e preparar sua imagem. Consulte microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx para obter mais informações.

Convertendo autenticação
Eu uso o SQL Server™ 2005 no trabalho. Como posso alterar minha autenticação da Autenticação do Windows para a do SQL Server (com um logon sa)?
― Sara J.

Este tópico dos Manuais Online do SQL Server deve ajudá-la a resolver seu problema: msdn2.microsoft.com/ms188670.aspx. Entretanto, é altamente recomendável que você mantenha a Autenticação do Windows por causa das implicações de segurança do uso de sa (principalmente sem uma senha). Não usamos mais sa/nopass em nossos exemplos de código exatamente por esse motivo.

Elogios efusivos
Adoro ler a TechNet Magazine todos os meses. Gosto tanto que sempre levo algumas cópias comigo na mochila ou no carro para onde quer que eu vá: no trabalho, em casa, realmente em todo lugar. Gostaria de poder carregar a revista inteira no meu Tablet PC ou Pocket PC Phone. Adoraria ter uma versão em áudio do conteúdo no meu MP3 player. De modo geral, a revista é O MÁXIMO. Sua leitura me dá muito prazer. Conto sobre ela aos meus colegas e faço propaganda como se fosse uma bíblia.
― Erasmo M.

Você quer conteúdo em áudio? Nós temos! Oferecemos um podcast da TechNet Magazine todos os meses. Basta ir para o site da TechNet Magazine (www.technetmagazine .com) e clicar no link Podcast à esquerda. Vamos adorar que você nos ouça!

Pôster de quebra-cabeças
O pôster de quebra-cabeças do componente Active Directory® na edição de março/abril de 2006 foi de longe a melhor representação gráfica que já vi sobre o funcionamento do Active Directory no Windows Server 2003. Eu gerenciei o projeto para colocar o Windows 2000 e o Active Directory em nossa organização internacional, e esse tipo de pôster teria facilitado muito nossas tarefas. Mesmo agora, nossos Administradores de Empresa nem sempre concordam sobre os componentes que estão claramente descritos neste pôster, e o acesso a esse tipo de informação percorreria um longo caminho para permitir que eles trabalhem de forma mais coesa e consistente. Este pôster está disponível para download?
― Mike C.

Já perdemos a conta de quantos pedidos recebemos desse pôster. Parece que muitas pessoas por aí têm as mesmas dúvidas que você. Nós disponibilizamos o pôster para download em go.microsoft.com/fwlink/?LinkID= 80428, mas não tente imprimi-lo em papel carta porque ele é muito grande.

Configurando assinaturas de email do Outlook
Trabalho como Administrador do Sistema na minha empresa e estou no meio da criação de um script para padronizar a Assinatura do Outlook® para todos os usuários no domínio. Venho usando o código de exemplo mencionado em sua coluna "Configurando assinaturas de email do Outlook" (edição de outubro de 2006), mas tenho um probleminha: quando tento personalizar e definir as cores de fonte da assinatura usando o código a seguir, a cor da fonte fica preta:
objSelection.Font.Color = wdRed
Consigo alterar a fonte e o tamanho dela, mas não suas cores.
― Edison P.

Perguntamos à Equipe de Scripts o que estava acontecendo (temos um telefone vermelho especial que nos coloca em contato direto). Esta foi a resposta que recebemos:
Acreditamos que, para alterar cores de fonte, você precisará usar as enumerações wdColor. Experimente isto:
  • Defina esta restrição no script:
wdColorRed = 255
  • Atribua a cor usando este código:
objSelection.Font.Color = wdColorRed
Isso deve ser suficiente.

Obtendo o Windows PE
Nossa empresa tem um contrato de licenciamento Microsoft® Select. Vocês poderiam me ajudar a descobrir quem preciso contatar a fim de obter a quinta geração do Windows PE para usar na nossa organização? Especificamente, estamos buscando utilizar a capacidade de inicializar a partir de unidades flash USB.
― Thom S.

O Windows PE está disponível como um benefício do Software Assurance. Você pode determinar se o seu programa de licenciamento inclui esse benefício visualizando o Gráfico de Comparações de Benefícios. Caso positivo, o Windows PE estará disponível para download com a conta dos Serviços de Licenciamento por Volume da Microsoft da sua organização (você pode fazer logon em https://licensing.microsoft.com). Se você precisar de auxílio para acessar esse site, sugerimos que contate o coordenador de licenciamentos da sua organização ou o representante de licenciamento da Microsoft.


 Toolbox: Novos produtos para profissionais de TI
Toolbox
Novos produtos para profissionais de TI
Greg Steen

Análise do tráfego HTTP
HttpWatch Professional Edition
httpwatch.com

O HTTP, base da comunicação entre navegador e site da Web, é um protocolo de camada 7 incrivelmente útil. Além disso, com o advento dos Web Services, muitos aplicativos do Windows® Forms usam o HTTP para baixar atualizações de programas e realizar a validação com o recurso de phone home. Talvez seja difícil localizar problemas, fazer o ajuste de desempenho ou verificar a segurança das comunicações aplicativo-para-aplicativo via HTTP, mas o HttpWatch Professional Edition pode ajudá-lo a solucionar problemas na comunicação entre a Web e o navegador.
O HttpWatch exibe os detalhes por trás das solicitações da Web
O HttpWatch exibe os detalhes por trás das solicitações da Web
O HttpWatch Professional pode ser integrado ao Internet Explorer® 6.0 e ao Internet Explorer 7. Pode aparecer na parte inferior do navegador ou como uma ferramenta autônoma, exibida juntamente com o navegador. Assim que você clicar no botão Record (Gravar), o HttpWatch começará a capturar e registrar o tráfego, exibindo todos os detalhes subjacentes às suas solicitações da Web. Você pode ver o fluxo bruto de HTTP, qualquer redirecionamento que ocorra na sua solicitação de página, os pares de valores-chave da cadeia de caracteres de consulta associados à solicitação, o método HTTP, as informações de compactação do HTTP e qualquer informação sobre codificação em partes. O HttpWatch mostra ainda informações detalhadas sobre os cookies associados à solicitação, fornecendo o caminho, o domínio, a data de vencimento e o valor do cookie. E como o aplicativo
é executado como um plug-in do Internet Explorer, você pode ver também todos os detalhes das solicitações HTTPS descriptografadas.
Com o HttpWatch, é possível aprofundar-se nos dados de desempenho das suas solicitações em nível de rede, pois ele mostra tempos de resposta na escala dos milissegundos, pesquisas de DNS, conexões TCP, informações sobre endereço IP, portas e bytes enviados e recebidos pelo navegador. Você acha que sabe tudo o que acontece com cada solicitação? Eu sempre me surpreendo com a quantidade de partes envolvidas em cada solicitação de uma única página HTML. Felizmente, o HttpWatch inclui uma opção para filtrar a exibição por tipo de conteúdo, código de resposta, URL, cabeçalhos ou uma cadeia de caracteres de conteúdo específico. Isso permite isolar o âmbito da sua consulta e refinar rapidamente os resultados para obter os detalhes específicos nos quais está interessado.
O site do produto promove a ferramenta como uma forma de solucionar problemas com seus clientes. O aplicativo permite salvar informações sobre solicitações, de forma que os clientes possam enviar-lhe detalhes referentes às solicitações problemáticas. Isso pode ser útil para a solução de problemas. O arquivo HWL proprietário pode ser enviado por email com apenas alguns cliques. Ao receber esse arquivo do cliente, você poderá abri-lo com o visualizador autônomo de arquivos de log incluído no pacote de instalação. Também é possível exportar os dados da solicitação para os formatos CSV e XML, permitindo seu uso em outros aplicativos.
O HttpWatch tem uma API de automação exposta, o que permite gravar informações em nível de HTTP durante testes, ajudando a localizar gargalos de desempenho. O pacote instala três exemplos de como usar a API — um em C, via biblioteca de interoperabilidade, e dois via COM para JavaScript e Ruby. Se você usar Ruby com Watir para fins de teste, consulte o site do produto para acessar um tutorial sobre como integrar o HttpWatch à sua plataforma de testes.
Preço: US$ 249 por licença de usuário.

Resenha de livro
Microsoft Solutions Framework Essentials (Fundamentos do Microsoft Solutions Framework)
microsoft.com/mspress

Para fornecer soluções tecnológicas bem-sucedidas, as empresas precisam de eficácia nos processos e clareza nas comunicações. O livro de Michael S. V. Turner, Microsoft Solutions Framework Essentials (Microsoft Press, 2006), apresenta os fundamentos do MSF (Microsoft® Solutions Framework) versão 4.0 e mostra como usá-los para desenvolver e implementar práticas testadas de processos e comunicações.
Turner já começa com um ótimo conselho: propõe que você não abandone de uma só vez todo o seu processo atual e a sua estrutura organizacional ao aplicar as diretrizes e práticas do MSF. Em vez disso, ele sugere implementar uma parte do MSF no seu desenvolvimento de produtos ou projetos e, então, avaliar o êxito obtido. Quando a avaliação for concluída com sucesso, escolha outro aspecto do MSF que seria adequado ao seu projeto e o introduza no seu ciclo de projeto padrão. Dessa forma, você pode adaptar o MSF ao seu ambiente e, ao mesmo tempo, atenuar possíveis imprevistos gerados pelas alterações.
O livro se destina a qualquer profissional — técnico ou não — envolvido no fornecimento de soluções tecnológicas. O capítulo intitulado "Building an MSF Team" (Criando uma equipe de MSF) mostra como profissionais técnicos e não-técnicos podem e devem trabalhar para a oferta de soluções bem-sucedidas. No entanto, adverte quanto ao fato de que essa pode ser uma das etapas mais difíceis da implementação do MSF, pois envolve mudanças nas responsabilidades cotidianas.
É crucial para a mudança de estrutura a idéia de formar uma equipe de representantes cujos membros trabalhem em igualdade de condições, refletindo perspectivas distintas e trazendo benefícios cumulativos ao processo como um todo (logicamente, isso não elimina a necessidade de um tomador de decisões dotado de autoridade). Conforme descrito, os representantes do MSF se dividem em sete grupos: Gerenciamento do produto, Gerenciamento do programa, Arquitetura, Desenvolvimento, Teste, Experiência do usuário e Lançamento/operações, cada um com sua composição e responsabilidades. Para organizações com grupos maiores, o livro traz alguns conselhos sobre como dimensionar a idéia de grupos de representantes para dar suporte a equipes e grupos maiores.
Os riscos estão sempre presentes em qualquer projeto e o livro traz uma grande variedade de dicas de reorganização que poderão ajudar você e sua equipe a lidar com eles de modo mais eficiente. É importante minimizar os riscos dos projetos, e o processo de gerenciamento de riscos é dividido em seis etapas capazes de garantir bons resultados: identificação; análise e priorização; planejamento e programação; acompanhamento e geração de relatórios; controle de alterações; e aprendizado com as experiências anteriores. Além disso, você deve continuar a avaliar os riscos ao longo do ciclo do projeto. Os pontos delineados nessa seção podem realmente ajudar a atenuar a possibilidade de falhas.
Os fundamentos do fornecimento de soluções são abordados em detalhes, incluindo acompanhamentos fictícios em que você prevê, planeja, cria, estabiliza e implanta sua solução, além de definir as responsabilidades de cada grupo de representantes em cada etapa. É apresentado o Modelo de governança do MSF, uma visão mais detalhada de cada elemento do ciclo de vida para o fornecimento de uma solução: Previsão, Planejamento, Criação, Estabilização, Implantação e, por fim, Governança (responsável por direcionar o fornecimento da solução).
Embora você possa pensar que a função que desempenha na sua organização não exige as ferramentas e os processos abordados no livro, a leitura lhe trará uma nova percepção dos seus processos atuais — quer você atue nas áreas de operações, desenvolvimento ou gerência de projetos. Mesmo que o seu trabalho não esteja relacionado ao desenvolvimento de software, os tópicos tratados por Turner servirão como ponto de partida para aumentar a eficiência e aperfeiçoar os canais de comunicação da sua organização.
Preço: US$ 44,99.

Edição de arquivos
UltraEdit
ultraedit.com

Todo profissional sério de TI precisa contar com um editor poderoso em sua caixa de ferramentas. Um editor que considero essencial é o UltraEdit, da IDM Computer Solutions. Ele oferece suporte a todos os recursos padrão que você encontrará em um bom editor de texto, inclusive inserção de caracteres ASCII, macros, pesquisa e substituição de expressões comuns, inicialização de aplicativos externos, suporte a UTF e manuseio rápido de grandes arquivos de texto. No entanto, o UltraEdit conta com alguns recursos nem tão comuns, que o tornam especialmente útil.
Para edição básica, traz um verificador ortográfico integrado para vários idiomas com 100.000 palavras, preenchimento automático e realce de sintaxe de código para linguagens padrão como C#. Você pode definir a quebra automática de linha em uma coluna especificada usando a tecla Enter — um ótimo recurso para formatar texto de emails que precisam ter linhas menores do que uma determinada extensão. Nesse caso, você poderá depois enviar o email via UltraEdit com apenas alguns cliques do mouse. O aplicativo é integrado ao Windows Explorer, então abrir um arquivo para edição é simples como clicar com o botão direito do mouse e depois com o esquerdo.
Realce de sintaxe de código no UltraEdit
Realce de sintaxe de código no UltraEdit
O UltraEdit não se limita a arquivos de texto. Ele tem capacidade para lidar com arquivos binários e fornece uma visualização padrão de editor hexadecimal para valores hexadecimais, referências de linha e possíveis valores ASCII. No modo de edição hexadecimal, é possível recortar, copiar e colar valores, e também usar o recurso padrão de pesquisa e substituição. O UltraEdit inclui um cliente de FTP integrado que oferece suporte a conexões via FTP e SFTP. Você pode também abrir conexões SSH ou TELNET padrão.
Para desenvolvedores Web, o aplicativo contém uma ferramenta integrada de validação HTML para verificar páginas da Web. O UltraEdit conta ainda com um modo de coluna para trabalhar com arquivos de banco de dados baseados em texto e arquivos de log delimitados; esse modo simplifica a edição, permitindo alternar, resumir e editar facilmente os dados. O UltraEdit pode até mesmo agrupar um conjunto de arquivos em um espaço de trabalho de projeto, permitindo abrir uma série de arquivos relacionados com um só clique. Enfim, o UltraEdit traz diversos recursos que podem tornar seu trabalho em TI mais fácil e eficiente.
Preço: US$ 49,95 por licença de usuário para venda direta.

Gerenciamento da sua configuração móvel
Net-Switch
net-switch.com

Trata-se de um problema comum. Você passa de um ambiente para outro (por exemplo, do ambiente de datacenter para o de controle de qualidade) usando seu laptop. Constantemente, é preciso voltar a atribuir o endereço IP estático e a impressora padrão do laptop. Se isso soa familiar, você deveria experimentar o Net-Switch. Esse utilitário prático permite configurar e salvar várias configurações de rede, cada uma com sua impressora padrão atribuída, para que você não precise lembrar-se ou digitar manualmente os números sempre que passar de um ambiente para outro.
O Net-Switch lida com as configurações do laptop
O Net-Switch lida com as configurações do laptop
O aplicativo é muito fácil de usar. Basta nomear a configuração, escolher um adaptador de rede, atribuir um endereço IP estático com a máscara, o gateway e os servidores DNS associados (ou selecionar DHCP), definir uma impressora padrão e pronto. É uma forma econômica de livrar-se de um inconveniente diário.
Preço: US$ 19,95 para venda direta.

Escreva para a Toolbox
Se você tiver uma ferramenta ou um utilitário favorito que queira apresentar aqui, escreva para o autor em tntools@microsoft.com.

Greg Steen é profissional de tecnologia, empresário e entusiasta. Ele está sempre buscando novos métodos e ferramentas para facilitar as operações e o desenvolvimento para os profissionais de TI.


 P&amp;R do SQL: Best Practices Analyzer, processadores multi-core e muito mais
P&R do SQL
Best Practices Analyzer, processadores multi-core e muito mais
Editado por Nancy Michell

P Tenho algumas perguntas sobre a regra do BPA (Best Practices Analyzer) quanto ao uso de tabelas/exibições qualificadas por esquema. De acordo com a documentação do BPA, a regra não verifica a qualificação por esquema de tabelas temporárias. O relatório do BPA faz referência a tabelas temporárias criadas em procedimentos armazenados. Elas devem ser qualificadas? Em caso positivo, com que esquema? Acredito que as tabelas temporárias deveriam ser qualificadas por proprietários, assim como as outras tabelas.
R A recomendação do BPA de qualificar por esquema as referências de tabelas e exibições não se aplica ao SQL Server™ 2005, uma vez que a separação de esquemas de usuários corrigiu o problema que exigia essa prática nas versões anteriores do SQL Server. A qualificação por esquema era necessária para habilitar a reutilização de planos de consulta por diferentes usuários que, no SQL Server 2000, tinham esquemas padrão distintos. Eles podiam usar objetos dbo sem qualificação, mas o SQL Server precisava primeiro procurar os objetos nos esquemas padrão, impedindo a reutilização de planos de consulta. Como a separação dos esquemas de usuários permite que diferentes usuários compartilhem um esquema padrão e, tipicamente, que todos os usuários do banco de dados acessem objetos em seus esquemas padrão, os planos ad-hoc com nomes não-qualificados de tabelas e exibições normalmente serão compartilhados e reutilizados pelos usuários. Os nomes não-qualificados de tabelas e exibições dentro de procedimentos armazenados nunca foram afetados por esse problema, o que enfraqueceu ainda mais os argumentos a favor dessa prática. O BPA no SQL Server 2005 não incluirá regras como essa, pois não tem um analisador T-SQL. Em vez disso, verificará a existência de definições impróprias de configuração e segurança.

P Tenho me deparado com um comportamento estranho do SQL Server 2005 SP1. Se excluo registros em uma tabela e, ao mesmo tempo, realizo inserções na mesma tabela, as inserções são bloqueadas até que a transação de exclusão seja confirmada. Há alguma forma de descobrir o que está causando o bloqueio?
R Sim. Você pode executar o script de DMV (modos de exibição dinâmicos de gerenciamento) na Figura 1 para localizar bloqueios e bloqueadores.
Figure 1 Localizar bloqueios e bloqueadores (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

P Além do hyperthreading e da tecnologia dual-core, os fornecedores de chips estão começando a lançar processadores com núcleos adicionais (quatro, oito ou mais). Estou avaliando a possibilidade de adquirir um novo servidor com processadores multi-core para dar suporte a uma implantação do SQL Server 2005 Standard Edition e gostaria de saber se, ao utilizar um processador com quatro núcleos, somente poderei ter uma única CPU física (uma vez que a Standard Edition é limitada a quatro CPUs).
R Para fins de licenciamento e suporte à edição de CPUs, o SQL Server considera somente a quantidade de soquetes/CPUs físicos, independentemente da quantidade de núcleos do processador. Então, por exemplo, o fato de o SQL Server 2005 Standard Edition oferecer suporte a até 4 CPUs significa que oferecerá suporte a 4 soquetes de CPU físicos, independentemente da quantidade de núcleos em cada um (se você tiver 4 CPUs físicas com 4 núcleos cada uma, sua implantação do Standard Edition poderá utilizar até 16 CPUs lógicas). Além disso, embora você tenha 16 núcleos/CPUs lógicas, a licença exige que você pague somente pelas 4 CPUs físicas, e não pelos 16 núcleos. Para obter mais informações sobre o SQL Server e os processadores multi-core, consulte microsoft.com/sql/howtobuy/multicore.mspx.

P Estou prestes a adquirir alguns novos servidores de banco de dados. Minha organização deve optar pelas versões de 64 bits ou manter-se nas já conhecidas e testadas de 32 bits?
R Depende. É uma pergunta muito comum, agora que os fornecedores transformaram seu hardware x86 em x64. Em primeiro lugar, você deve perguntar quais serão as pressões sobre a memória dos seus servidores de banco de dados. Se a sua instância do SQL Server consumirá menos de 3 GB de RAM durante o ciclo de vida do hardware (geralmente três anos), então o x86 de 32 bits é razoável, desde que esse seja também o direcionamento dos outros servidores (controladores de domínio, servidores DNS, servidores de aplicativos, servidores Web, servidores de email). Se a instância do SQL Server consumirá mais de 16 GB ou haverá várias instâncias por servidor (ou cluster), você deve analisar seriamente a possibilidade de adotar as tecnologias de 64 bits. Se haverá mais de oito processadores, o IA64 é a recomendação padrão. No entanto, como as CPUS x64 com quatro e oito núcleos começam a chegar ao mercado em grande quantidade, talvez haja um argumento considerável para a adoção do x64 em vez do IA64, no que se refere a custos.
Ao migrar para x64 (ou IA64), talvez suas estimativas iniciais de custos não incluam a implantação da mesma arquitetura nos ambientes de desenvolvimento, teste e desempenho. Mas você deve avaliar também se quer ficar preso a tecnologias obsoletas na metade do ciclo de vida do seu hardware. Dentro de 18 meses, será quase impossível adquirir hardware totalmente x86. Se você optar agora por esse tipo de solução, fazer atualizações nos próximos anos será caro, além de obrigar à substituição de sistemas inteiros. Optar agora pelo hardware de 64 bits lhe permitirá mais opções nos próximos anos.
Então, um bom momento para fazer a transição para os 64 bits é quando você vai adquirir novo hardware, no início do ciclo de lançamento de um aplicativo essencial ou quando você vai fazer a atualização do SQL Server 2000 para o SQL Server 2005.

P Tenho o envio de log habilitado entre dois servidores. No fim de semana, um problema de hardware no servidor principal interrompeu o envio de log. Quando voltei a monitorar o envio de log, percebi que o LS_backup_dbname estava em execução normal, apesar das várias horas de inatividade.
Contudo, no servidor secundário, o trabalho de cópia parece estar funcionando bem, mas o trabalho de restauração parece estar ignorando arquivos e, por fim, apresentando falhas repetidas. Ele é executado, mas ignora todos os arquivos e então falha. O tempo desde a última restauração é agora de 849 minutos. Em situações semelhantes, no passado, simplesmente reiniciei a configuração de envio — ou seja, desliguei e liguei novamente e, para concluir, fiz um novo backup e o restaurei no servidor secundário, e o envio de log recomeçou. Existe uma forma melhor de lidar com esse cenário?
R Provavelmente você está percebendo os efeitos da ausência de arquivos de backup. Como você sabe, os trabalhos de backup, cópia e restauração do envio de log são executadas de forma independente. Os arquivos de backup antigos no local de cópia também são removidos com base na programação especificada. Se houve um período em que o trabalho de restauração não foi executado, ele pode ter excedido o intervalo e isso pode ter resultado na ausência de arquivos de backup. O trabalho de restauração do envio de log tem uma lógica que tenta recuperar-se de diversos tipos de falhas, causadas por condições operacionais distintas. Basicamente, examina os arquivos quando são encontrados erros e tenta encontrar os arquivos de backup corretos. Se um arquivo de backup correto não foi encontrado, suspeito que algo removeu os arquivos necessários ou, possivelmente, você reconfigurou a parte do envio de log referente ao backup.
Uma solução seria fazer a restauração manual, pelo log de transações, dos arquivos de backup criados acidentalmente pelo outro trabalho de backup. O problema em simplesmente copiá-los para o local de cópia do envio de log está nas convenções de nomenclatura reconhecidas pelo envio de log. Mas, depois de fazer a restauração manual até esse ponto, a restauração normal deverá recomeçar e continuar o processo.

P Preciso saber como usar o T-SQL para descobrir o tamanho da memória física total e livre. Existe um modo fácil de obter essa informação?
R Basta executar a consulta na Figura 2 e você obterá os dados que está procurando.
Figure 2 Obter memória (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

P Eu gostaria de armazenar a senha SA (administrador do sistema) em um arquivo criptografado com uma chave simétrica, para simplificar a criação de bancos de dados a partir de um aplicativo. Isso é possível?
R Em primeiro lugar, você jamais deve usar a senha SA a partir de um aplicativo. Além disso, deve usar a Autenticação do Windows, e não a do SQL Server.
Se precisar realizar atividades com alto nível de privilégios, deve fazer o seguinte: definir as permissões mínimas necessárias para realizar a ação. Definir uma função de banco de dados que contenha essas permissões. Atribuir um usuário à função. Criar um procedimento armazenado com a cláusula EXECUTE AS, que realizará essas funções. Para obter uma explicação da cláusula Execute As, visite msdn2.microsoft.com/ms188354.aspx.
É claro que, sem levar em conta se a conta em questão é a conta SA e tendo em mente que a Autenticação do Windows nem sempre é uma opção possível, a pergunta fundamental é: como armazenar com segurança uma senha para uma conta de logon do SQL Server de forma a permitir o acesso do aplicativo que precisa usar a senha, mas não o de usuários ou aplicativos sem autorização?
Criptografar a senha é um passo na direção certa, mas apenas modifica o problema, que deixa de ser proteger a senha e passa a ser proteger a chave de criptografia.
Presumindo que se trate de um aplicativo baseado em Microsoft® .NET Framework, faça uma consulta à Enterprise Library em msdn2.microsoft.com/aa480453.aspx e às recomendações na seção de padrões e práticas do MSDN® em msdn.microsoft.com/practices. A Enterprise Library contém vários componentes de aplicativos que seriam úteis a você, inclusive um componente de configuração, um de criptografia e um de acesso a dados. Eles podem ajudá-lo, pelo menos, a armazenar suas senhas com segurança, e também a gerenciar seu acesso aos dados como um todo.
Se a Enterprise Library não for uma opção disponível (talvez você não esteja usando o .NET Framework), então você deve familiarizar-se com a CryptoAPI: msdn2.microsoft.com/aa380255.aspx. Aqui você encontrará funções essenciais de criptografia, distribuídas com o sistema operacional que permitirá vincular chaves de criptografia a um usuário principal ou a uma máquina. Isso pode simplificar o gerenciamento de chaves (que passa a ser o principal problema após a criptografia da senha).

P Quero mover meu servidor de cluster de dois nós do SQL Server 2000 (ativo/ativo — em hardware de 64 bits) do Domínio A para o Domínio B na mesma floresta. O banco de dados do SQL Server está na SAN. A arquitetura do Active Directory® solicita um domínio-raiz vazio com dois domínios filhos (Domínio A e Domínio B). No Domínio B serão colocados todos os componentes da infra-estrutura. É um ambiente Windows Server® 2003 Enterprise, com controladores de domínio adicionais executando Windows 2000.
É possível alterar a associação do servidor do SQL Server Cluster, passando-a do Domínio A para o Domínio B?
R Para começar, consulte "Como alterar domínios de um cluster de failover do SQL Server 2000" e "Como mover um servidor de cluster do Windows de um domínio para outro". O mesmo processo se aplica a um cluster de várias instâncias. A única diferença é que você precisará repetir as etapas para cada instância, conforme for adequado. Nunca é "recomendável" alterar o domínio de um cluster, devido às complexidades envolvidas, mas isso já foi feito muitas vezes. A única outra forma possível seria fazer o que você expôs, recriar uma nova instância lado a lado e migrar os dados.
Cada projeto é diferente e pode-se utilizar uma grande variedade de ferramentas para realizar a alteração de nível de domínio propriamente dita (incluindo as considerações quanto a segurança, migração de contas, mapeamento de identificadores de segurança e assim por diante). Geralmente essa é a parte mais difícil do processo, e não a alteração em si.

Meus agradecimentos aos seguintes profissionais de TI da Microsoft por seus conhecimentos técnicos: Sunil Agarwal, Laurent Banon, Steve Bloom, Chad Boyd, Matt Burr, Shaun Cox, Cindy Gross, Bobby Gulati, Matt Hollingsworth, Arnost Kobylka, Mikhail Shir, Fernando Pessoa Sousa, Stephen Strong e Ramu Veeraraghavan.


 Destaque de utilit&#225;rio: Kit de Ferramentas de Atualiza&#231;&#227;o para Sites e Modelos do SharePoint
Destaque de utilitário
Kit de Ferramentas de Atualização para Sites e Modelos do SharePoint
Luis Câmara Manoel and Peter Skjøtt Larsen
Faça download do código deste artigo: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

Com a recente chegada do Windows SharePoint Services (WSS) 3.0, muitos administradores se deparam com a tarefa de atualizar seus sites e dados do WSS 2.0 para os novos ambientes WSS 3.0. Embora o WSS 3.0 forneça ferramentas abrangentes que migrem adequadamente os dados e
atualizem a estrutura do site, pode ser necessário algum trabalho adicional para atualizar a estrutura de sites personalizados ou modelos de site.
Entretanto, a atualização da estrutura de sites personalizados ou modelos de site talvez requeira um trabalho extra. Felizmente, a equipe do Microsoft® Solution Accelerator lançou o Kit de Ferramentas de Atualização para Sites e Modelos do Windows® SharePoint® Services, que fornece orientações e ferramentas acerca dessa prática (veja a barra lateral "Recursos do WSS"). Esta coluna se concentra em alguns dos desafios e soluções associados à atualização de sites personalizados para ambientes WSS 3.0. Consulte primeiro a barra lateral "Terminologia do WSS" para ver algumas definições de termos comuns.

O processo de atualização
Por que você deveria atualizar? Há uma série de recursos novos do WSS 3.0 que podem convencer os proprietários de sites a atualizarem:
  • A Lixeira, que permite que os usuários recuperem os documentos excluídos acidentalmente.
  • A segurança em nível de item de pasta, que permite que os administradores de sites controlem quais pessoas ou grupos têm acesso às pastas.
  • O envio de email para listas, que permite que listas como as de postagem de blog em um site do SharePoint recebam conteúdo por email.
  • O botão Ações de Site, que permite que os usuários criem sites e páginas, editem páginas e gerenciem configurações de site com facilidade.
  • As trilhas, que fornecem ao usuário o contexto imediato da navegação.
  • Exibições em dispositivos móveis, que permitem que os usuários móveis aproveitem os convenientes recursos de sincronização offline.
  • Os RSS feeds, que permitem que os programas habilitados para RSS, como o Internet Explorer 7.0 e o Outlook® 2007, recuperem informações de listas.
  • O controle de versão em bibliotecas de documentos, que possibilita um pequeno controle da versão e do check-out de documentos antes da edição.
Como o processo de atualização de sites e modelos depende da execução de etapas específicas antes e depois da própria atualização do servidor para o WSS 3.0 (veja a Figura 1), a definição de requisitos de atualização de sites e modelos é uma etapa importante na estratégia geral de atualização para o WSS 3.0. Os proprietários de sites e gerentes de servidores devem trabalhar em conjunto para determinar quais sites e modelos deverão ter uma instância criada e ser atualizados para um ambiente WSS 3.0. Uma vez que esses sites personalizados tenham sido selecionados, o trabalho de atualização poderá ser iniciado.
Figura 1 O fluxo de trabalho de atualização de sites e modelos de site do WSS
Figura 1 O fluxo de trabalho de atualização de sites e modelos de site do WSS

Identificar modelos de site personalizados
Como é possível determinar se os sites foram personalizados? O WSS 3.0 fornece uma ferramenta de verificação pré-atualização que gera um relatório sobre as alterações feitas em modelos de site de todo o farm. Você deve executar essa ferramenta antes de iniciar a migração para selecionar quais modelos de site requerem atenção especial.
A ferramenta fornece um relatório no formato XML, como mostra a Figura 2. O elemento unghostedPage indica que um site foi personalizado.
Figure 2 Relatório da ferramenta de verificação pré-atualização sobre as alterações feitas em modelos de site (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Definições de site personalizadas
A maioria dos sites do WSS 2.0 personalizados que você deverá atualizar foi provavelmente desenvolvida a partir de modelos criados com definições de site padrão do WSS. No entanto, é possível que alguns modelos de site personalizados tenham sido desenvolvidos com base em definições personalizadas. Esse poderá ser o caso se os desenvolvedores de sua organização criaram definições de site personalizadas ou se você adquiriu aplicativos ou modelos de terceiros baseados em definições personalizadas. Esta coluna abordará apenas o cenário de definição de site padrão. Para obter mais informações sobre o cenário de modelo de site personalizado, consulte a barra lateral "Recursos do WSS".
Depois de verificar se os seus sites e arquivos .stp foram realmente criados a partir de definições de site padrão, o que significa que há definições de atualização no WSS 3.0, você poderá prosseguir com a instalação e criação de uma instância dos seus sites.
Para atualizar modelos de site específicos do WSS 2.0, primeiro é necessário instalar os modelos em um servidor WSS 2.0 (consulte o Estágio 1 na Figura 1). Em seguida, você deverá criar sites baseados em cada um dos modelos instalados.
Para simplificar o processo de instalação de vários arquivos .stp, criação de uma instância de vários sites e limpeza do servidor de arquivos temporários após a atualização, o solution accelerator fornece um conjunto de scripts que utilizam comandos do Stsadm.exe (consulte a barra lateral "Scripts da solução" para obter detalhes). O Stsadm.exe é um aplicativo de linha de comando que oferece um conjunto completo de operações do WSS para o gerenciamento de servidores e sites do SharePoint. Os scripts da solução automatizam esse processo permitindo que você instale e crie uma instância em lote para executar essas tarefas em seqüência. A economia de tempo poderá ser considerável se houver muitos .stps instalados e muitos sites para a criação de uma instância.
Scripts da solução
O processo de instalação e criação de site utiliza dois scripts que executam o Stsadm.exe:
  • O MigInstStp.cmd instala os modelos de site usando a operação addtemplate do Stsadm.exe. Essa operação tem os parâmetros _SOURCEFILELOCATION, _SOURCEFILENAME e _FILETITLE.
  • O MigMakeSite_1.cmd cria os novos sites. O MigMakeSite_1.cmd executa a operação createweb do Stsadm.exe. Essa operação tem os parâmetros _SERVERURL, _SITENAME, _SITETEMPLATENAME e _SITETITLE.
Execute esses scripts no servidor WSS 2.0 local com acesso à localização dos seus arquivos de modelo de site (.stp) salvos. Para executar esses scripts, você deve ser membro do grupo Administradores local no servidor ou membro do grupo Administradores do WSS com permissões de criação de site. O guia Kit de Ferramentas de Atualização para Sites e Modelos do Windows SharePoint Services fornece uma descrição detalhada sobre como aproveitar ao máximo esses scripts. Com os seus .stps instalados e uma instância dos sites criada, você agora está pronto para prosseguir com a atualização do servidor. Os métodos de atualização para o WSS 3.0 são explicados em detalhes em “Atualizando para o Windows SharePoint Services 3.0” (consulte o link listado na barra lateral “Recursos do WSS”).

Terminologia do WSS
O Windows SharePoint Services tem sua própria terminologia exclusiva. Aqui está um pequeno glossário dos termos mais usados.
Definição de site Um conjunto de arquivos que define um tipo específico de site. Uma definição de site inclui arquivos .xml, .aspx, .ascx e de Página Mestra, além de arquivos de modelo de lista e de conteúdo armazenados em uma pasta especial no servidor Web front-end. O WSS vem com um conjunto de definições de site padrão prontas para uso, que incluem Site de Equipe, Site em Branco e Espaço de Trabalho de Documento. A princípio, esses são apenas modelos armazenados na galeria de modelos de site e disponíveis na lista Selecione um modelo no Novo Site do SharePoint.
Modelo de site Os modelos de site definem como criar uma instância de um site do SharePoint. Para criar um novo site do SharePoint, você deve selecionar um modelo no qual o site será baseado. Por exemplo, é possível criar um novo site chamado "Conselho Administrativo" com base em um modelo "Site em Branco" padrão. Você poderá então adicionar listas, bibliotecas, Web Parts e outras personalizações ao site do qual foi criada uma instância. Para tornar essas personalizações disponíveis para outras pessoas, você poderá salvar o site como um modelo chamado "Conselho Administrativo" baseado na definição "Site em Branco". O WSS salva o modelo de site personalizado como um arquivo .stp (modelo de site), coloca-o na galeria de modelos de site e o exibe na lista "Selecione um modelo" na página Novo Site do SharePoint, para que os usuários possam, no futuro, criar novos sites baseados nele. Os modelos de site contêm uma série de arquivos de configuração de site, incluindo .xml, .aspx, imagem e outros que são compactados em um único arquivo .stp. (Os arquivos .Stp são semelhantes em função aos arquivos .cab.) O mais importante desses arquivos é o Manifest.xml, que contém informações importantes, como estrutura e navegação do site, listas e bibliotecas, posicionamento de Web Parts, definições de listas personalizadas e a definição na qual o modelo de site personalizado se baseia.
Modelo de aplicativo Refere-se aos modelos de site do Windows SharePoint Services que são desenvolvidos para atender às exigências de processos ou tarefas comerciais específicos. Eles são publicados pela Microsoft e estão disponíveis para download gratuito aos clientes do WSS.
Site personalizado É um site do SharePoint com uma interface do usuário que foi modificada.
Página Mestra É uma área em que informações de layout padrão, como faixa, controles de navegação e outros menus, podem ser armazenadas para oferecer uma interface consistente em todo o site.
Páginas fantasma São páginas cujo conteúdo não está armazenado no banco de dados de conteúdo do WSS, mas, em vez disso, é lido em um arquivo de definição de site. As páginas fantasma não foram personalizadas.
Páginas não-fantasma São páginas que foram modificadas a partir do arquivo de definição de site e cujo conteúdo está armazenado no banco de dados de conteúdo do WSS.

Após a atualização do servidor — inspeção do site
Agora você chegou ao Estágio 2 do fluxo de trabalho de atualização (consulte a Figura 1). As etapas executadas neste estágio de atualização do site e do modelo incluem as seguintes:
  1. Abrir e verificar os sites atualizados.
  2. Aplicar a Página Mestra padrão.
  3. Corrigir os problemas de layout e recursos com os novos sites.
  4. Salvar os sites corrigidos como novos modelos de site do WSS 3.0.
  5. Reimplantar os novos modelos de site do WSS 3.0 no servidor.
  6. Criar sites a partir dos modelos de site reimplantados.
  7. Abrir os novos sites e verificar se funcionam conforme o esperado.
  8. Iniciar o processo de limpeza.

Redefinindo o site
Quando você abrir pela primeira vez seu site atualizado, verá que ele ainda lembra muito um site do WSS 2.0. Para fazer com que o site se assemelhe mais a um site do WSS 3.0, você deve primeiro redefini-lo para a nova definição de site do WSS 3.0. Isso corrigirá a maioria dos problemas de layout e você não perderá nenhuma personalização feita nas Web Parts, contanto que essas Web Parts já estejam na zona de Web Parts que há na página de definição do site. Essa ação também aplicará a Página Mestra padrão a todas as páginas dos seus sites.
Uma Página Mestra, como o próprio nome sugere, é uma área em que informações de layout padrão, como faixa, controles de navegação e outros menus, podem ser armazenadas para oferecer uma aparência consistente. Isso permite que você faça alterações de design na Página Mestra e tenha as alterações propagadas em todo o site. Com a aplicação de Páginas Mestras, toda a funcionalidade nativa do WSS 3.0 será habilitada nos seus sites atualizados.
Embora o site agora deva parecer e funcionar como um site do WSS 3.0 nativo, você ainda poderá encontrar algumas áreas com problemas, como Quadros de discussão, Web Parts personalizadas, hiperlinks e temas.

Corrigindo o que não funciona
Uma série de problemas pode ocorrer em modelos de site atualizados e personalizados. Aqui estão alguns dos mais comuns e algumas idéias simples de como corrigi-los.
A folha de estilos padrão do WSS 2.0 ainda está aplicada a um site. Remova a folha de estilos antiga no SharePoint Designer.
Faltam Web Parts ou elas estão nos lugares incorretos. Mova ou insira Web Parts usando o SharePoint Designer.
Web Parts não funcionam corretamente. Remova as Web Parts incompatíveis com o WSS 3.0 e contate o desenvolvedor da Web Part para verificar se foram criadas Web Parts correspondentes para ambientes WSS 3.0.
Listas e bibliotecas personalizadas não parecem corretas. Salve os dados existentes, recrie a lista ou biblioteca personalizada e importe os dados salvos.
Recursos do WSS 3.0 habilitados não estão disponíveis. Os recursos de colaboração em equipe podem precisar ser explicitamente ativados em Recursos do Site.
Os hiperlinks não funcionam mais. Os hiperlinks embutidos em código podem exigir atualização manual.
O tema mudou. Aplique o tema do WSS adequado.

Quase pronto
À medida que o fim do processo que se aproxima e os problemas foram todos corrigidos, é hora de fazer uma verificação final dos sites. Você deve salvar os sites corretos como modelos de site do WSS 3.0, executar uma nova instalação do .stp e criar uma instância do site (aqui também é possível usar os práticos scripts) e, finalmente, abrir o site para verificar se todos os problemas foram solucionados e se os sites e .stps atualizados estão prontos para a distribuição no ambiente de rede.

Alternativas à atualização
A atualização de modelos usando as ferramentas e os processos automatizados descritos aqui nem sempre pode ser o melhor método. Se você estiver usando modelos de terceiros altamente personalizados, poderá ser muito difícil atualizar os modelos sozinho, e talvez seja melhor aguardar uma nova versão do modelo. Em outros casos, criar um modelo totalmente novo no WSS 3.0 e, em seguida, implementar os recursos do modelo antigo pode ser a melhor opção.

Modelos de aplicativos
Há um conjunto de modelos de aplicativos desenvolvidos pela Microsoft disponíveis para o WSS 2.0 e o WSS 3.0. O novo conjunto do WSS 3.0 inclui versões atualizadas de alguns dos modelos de aplicativos do WSS 2.0. Se você usa qualquer um desses modelos, poderá carregar a versão atualizada do WSS 3.0 no seu ambiente WSS 3.0.
Se você usa um dos modelos de aplicativos do WSS 2.0 que não foram atualizados para o WSS 3.0, o solution accelerator fornece um conjunto de modelos do WSS 2.0 que foram atualizados para funcionar em um ambiente WSS 3.0.

Resumo
O Kit de Ferramentas de Atualização para Sites e Modelos do Windows SharePoint Services será fundamental para que você mantenha seus modelos, sites e personalizações do 2.0 no ambiente 3.0. Para obter mais informações sobre esse assunto, e obter o Kit de Ferramentas, visite os sites indicados na barra lateral "Recursos do WSS".
Agradecemos a Betty Houser pelas valiosas contribuições para esta coluna e para o solution accelerator.
Recursos do WSS
  • Ferramenta de verificação pré-atualização
  • Kit de Ferramentas de Atualização para Sites e Modelos do Windows SharePoint Services
  • Atualizando para o Windows SharePoint Services versão 3.0 (Biblioteca técnica do Windows SharePoint Services 3.0)
  • Implantar arquivos de definição de atualização e novas definições de site

Luis Câmara Manoel é um gerente de programa do grupo Microsoft Solution Accelerator. Ele trabalha na Microsoft há um ano. Antes disso, trabalhou como gerente de projetos e de programa na Novell Inc. e na Volera em Provo, Utah. Luis pode ser contatado pelo email luiscam@microsoft.com.
Peter Skjøtt Larsen é um gerente de produto do grupo Microsoft Solution Accelerator. Ele trabalha na Microsoft há mais de quatro anos em desenvolvimento e marketing. Antes disso, desenvolveu softwares cliente e servidor para os setores de finanças, engenharia e telecomunicações. Peter pode ser contatado pelo email petela@microsoft.com.


 The Business of IT: Elaborando um plano comercial
The Business of IT
Elaborando um plano comercial
Stephen Ibaraki

Isso talvez não seja novidade para muitos leitores, mas você não pode fazer uma aquisição ou um investimento em TI hoje em dia sem uma boa justificativa para isso. Fazer aquisições simplesmente para ter a última novidade em informática é um assunto do passado. A tecnologia irrestrita e sem planejamento já foi considerada o caminho para a dominação
do mercado e o crescimento. Esse conceito terminou com a implosão das empresas ponto-com e resultou na limitação em TI. Hoje, a empresa deve ter um retorno do valor real com os projetos de TI.
Com orçamentos restritos, como um investimento em TI pode ser justificado? A resposta está na criação de um caso comercial incorporando uma solução de tecnologia abrangente e unificada. Como seria isso? Quais são os elementos vitais para a criação de um caso comercial? Como você emprega um modelo de plano comercial para justificar um projeto de TI? O que você deveria procurar ao integrar as soluções certas de tecnologia no caso comercial? Vou fornecer algumas idéias a serem consideradas na criação do caso.

Gerando negócios
Uma empresa ou organização bem-sucedida deve gerar valor quantificável para as partes interessadas (stakeholders), que incluem funcionários, clientes, parceiros, fornecedores e proprietários. Esse valor deve ser claramente definido e medido com contínuos ajustes de aperfeiçoamento.
Em um mundo cada vez mais conectado, uma empresa deve permitir a colaboração efetiva com redes internas e externas, maximizando assim a interação da relação em tempo real. Quem quer esperar por um serviço, uma resposta a uma dúvida, uma entrega de produto? Quem quer um projeto atrasado ou a inércia devido a uma quebra da comunicação? Com o advento da Internet e a ininterrupta velocidade da globalização, o concorrente pode estar na porta ao lado ou em outro continente. Portanto, uma empresa deve criar diferenciais nesse ambiente competitivo. Como uma organização sobressai na multidão?
Além disso, uma empresa deve ser ágil: deve estar constantemente ciente do ambiente interno e externo, e ser capaz de selecionar e implementar com rapidez uma iniciativa de negócio a partir de um leque de opções. Ao fazer isso, a empresa tira vantagem de seus pontos fortes e corrige os pontos fracos para aproveitar novas oportunidades. Essas oportunidades permitem o crescimento com novos mercados, novos clientes, novos produtos e novos serviços. Uma empresa deve também avaliar e reduzir as ameaças, incluindo forças concorrentes. Tudo isso é feito com ênfase em melhorias de produtividade e eficiência, sem deixar de lado o gerenciamento dos custos e riscos operacionais.
Um investimento em tecnologia precisa estimular essa agilidade, resultando em menor tempo de entrada no mercado, resposta imediata às necessidades do cliente, antecipação de ameaças na concorrência, maior produtividade, mais eficiência e menores custos e riscos operacionais.
Até agora, foram abordados os mecanismos que estimulam o sucesso comercial e como a TI deve dar suporte e se alinhar a esses mecanismos. Na verdade, se isso não ocorrer, a TI se torna uma sobrecarga de custos cuja existência não pode ser justificada. O uso da abordagem de plano comercial oferecerá a você o caso comercial para garantir o sucesso da empresa. Isso se traduz em sucesso em TI.

Criando um plano comercial
É fundamental vincular o investimento em TI a maior valor comercial — diferenciais, custos mais baixos, foco no mercado, colaboração e inovação. Uma abordagem de plano comercial atende a essa necessidade.
Os elementos básicos de um plano comercial de TI são descritos na Figura 1. Qual é o objetivo do seu plano? As declarações de missão e visão descrevem o que a empresa faz hoje e o que quer vir a ser no futuro. Verifique se você explica claramente como o seu projeto de TI oferece suporte a esse objetivo geral. Você deverá esclarecer os vínculos entre o investimento em TI e os objetivos da empresa, mais especificamente, como os objetivos de TI apóiam a direção estratégica da empresa — deve haver alinhamento.
Figure 1 Elementos do plano comercial (Close Figure 1)

Elemento | Descrição
Finalidade | Descreve vínculos entre o investimento e os objetivos comerciais.
Visão | O resultado do negócio e como a TI oferecerá suporte a esse objetivo.
Missão | O negócio atual e como a TI aprimora essa missão da empresa.
Oportunidade de negócios | O mercado a ser captado e o valor para a empresa
Modelo de negócio | Os produtos ou serviços que a TI oferece para captar a oportunidade de negócios.
Mercados-alvo | Os clientes (ou clientes potenciais) a serem atendidos.
Integração com TI | Alinhamento de produtos e serviços com recursos de tecnologia
Análise da concorrência | A lista de concorrentes, junto como os pontos fortes e fracos.
Análise SWOT | Pontos fortes, pontos fracos, oportunidades e ameaças.
Análise de recursos | A infra-estrutura existente e os recursos previstos necessários.
Métrica do sucesso em TI | Os aspectos do plano que podem ser medidos.
Projeções financeiras | O limite de tempo para o retorno do investimento.
A declaração da oportunidade de negócio deverá explicar como a TI permite ou apóia a nova oportunidade e que valor ela retornará. Qual é o modelo de negócio específico? Que produtos e serviços o negócio realmente oferece em resposta à receita? Qual é a dimensão do mercado potencial e que valor pode ser captado como resultado dos aperfeiçoamentos em TI? Como a TI aumenta esse modelo de negócio? Você deverá explicar como o investimento em TI pode melhorar o fluxo de trabalho e o processo comercial dentro do modelo de negócio declarado — melhorar as operações, reduzir os custos, aumentar a eficiência, permitir a colaboração, fortalecer a comunicação, o planejamento e as mensagens. Todos esses fatores podem gerar redução de custo e aumento da produtividade. Não se esqueça da inovação na operação da empresa que pode ser obtida com a TI.
Além disso, você deve falar sobre seus mercados-alvo. Avalie como seus planos de TI permitem que a empresa aumente a penetração em mercados-alvo existentes ou em novos mercados. Discuta quais sistemas de entrega estão sendo utilizados para produtos e serviços, e como o suporte de TI pode oferecer melhores serviços e entregas a esses mercados.
Isso deve levar diretamente a um exame de como os produtos ou serviços da sua empresa são integrados à tecnologia de TI. Que produtos e serviços específicos estão incorporados na plataforma de tecnologia integrada e unificada? Como a TI oferece suporte aos produtos ou serviços? Como isso está relacionado aos objetivos da empresa? Esse é o seu ponto de partida para sugerir como a TI pode melhorar o gerenciamento de serviços, a entrega de projetos e as relações internas e externas. A TI permite que a empresa mude — aumentando as expectativas no nível de serviço, oferecendo supervisão, priorização, conformidade a normas, privacidade e segurança eficazes. Todos esses pontos deverão ser tratados no seu plano comercial.
Sua análise da concorrência abrange o ambiente no qual a empresa está competindo. Com quem você está competindo? Quais são os pontos fortes e os pontos fracos dos concorrentes? Indique como seus concorrentes estão empregando a tecnologia e como eles melhoraram sua posição no mercado. A TI oferece à sua empresa uma vantagem competitiva sobre os rivais? Explique como a TI melhora a agilidade da empresa, permite o crescimento, acelera a entrada em novos mercados, oferece suporte a novos clientes, melhora o atendimento a clientes existentes, etc. Como a tecnologia oferece diferenciais e vantagens à empresa? Como a TI aumenta as barreiras à entrada da concorrência?
Uma análise SWOT faz uma análise formal de pontos fortes, pontos fracos, oportunidades e ameaças relacionadas à empresa. Quais são as oportunidades externas e ameaças à empresa? Como a TI aumenta os pontos fortes internos da empresa para aproveitar novas oportunidades externas? Como a TI irá superar os pontos fracos internos e posicionar a empresa para atrair novas oportunidades como resultado desse trabalho? Como são reduzidas ou amenizadas as ameaças externas através de investimentos em TI?
Não se esqueça de considerar as necessidades de recursos para um investimento em TI antes, durante e após a implementação. Isso inclui pessoas, hardware e infra-estrutura. Que conhecimentos ou infra-estrutura existentes você pode aproveitar, e para o que precisará de verba? Quanto tempo levará para recuperar os custos de novo treinamento ou equipamento? Se houver vantagens de novos investimentos além do seu plano comercial específico, não deixe de anotá-los também.
Para saber se o plano comercial atende às suas expectativas, você deve esclarecer com antecedência a métrica do sucesso. Que aspectos do plano devem ser medidos? Com que freqüência você mede o sucesso e o que fará se não estiver sustentando os objetivos com eficiência? Quais são os planos de backup se forças destrutivas inesperadas forem encontradas?
Nenhum plano comercial é completo sem projeções financeiras. Qual é o custo total de propriedade e como esse custo será justificado nas novas oportunidades de negócios? E qual é o valor dessas oportunidades? Onde e de que forma o retorno do investimento será percebido na obtenção do sucesso da empresa? Quais são os limites de tempo para o retorno do investimento? Como a TI melhora os objetivos financeiros da empresa através do aumento da receita e dos lucros e da redução dos custos?

Seguindo em frente
Não há garantias de que seus planos realmente funcionem. Porém, fazer o esforço de conceber e desenvolver um plano comercial coloca você em uma posição privilegiada. Você terá analisado todos os problemas potenciais e revisado o plano ou traçado contingências. Terá também uma idéia clara dos custos e benefícios envolvidos, incluindo os custos de não continuar. Finalmente, não há como saber se você obteve êxito ou falhou terrivelmente sem algum tipo de parâmetro de comparação. Essas métricas serão úteis para mostrar ao chefe como o seu plano foi importante para a empresa na hora da bonificação.
Para um diálogo constante sobre TI, recomendo o IT Managers Connection, em blogs.technet.com/cdnitmanagers. Há também uma série de recursos relacionados a planos comerciais disponíveis no site da Microsoft. O Small Business Center fornece um tutorial sobre como escrever um plano em microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx, e o Office Online (office .microsoft.com/en-us/templates) contém uma série de modelos de plano comercial, além dos que são fornecidos com o 2007 Microsoft Office system.

Stephen Ibaraki é um premiado professor de Administração e Tecnologia, com mais de 35 anos de experiência nessa área. Ele atualmente tem o cargo de vice-presidente da NPA (Associação de Profissionais de Rede). Contate Stephen pelo email www.StephenIbaraki.com.


 The Cable Guy: EAPHost no Windows
The Cable Guy
EAPHost no Windows
Joseph Davies
As informações de pré-lançamento sobre o Windows Server “Longhorn” apresentadas nesta coluna estão sujeitas a alterações.

Quando um cliente de acesso se conecta a uma rede protegida, precisa usar um método negociado de autenticação que permita confirmar sua identidade para o servidor de autenticação. Por exemplo, o cliente de acesso e o servidor de autenticação podem combinar o uso de um protocolo específico de autenticação de senha, como o MS-CHAP v2 (Microsoft Challenge Handshake
Authentication Protocol versão 2). No entanto, quando o cliente de acesso e o servidor de autenticação usam métodos de autenticação com codificação incorporada, fica difícil acrescentar novos protocolos.
O EAP (protocolo de autenticação extensível) é uma estrutura arquitetônica que permite estender os métodos de autenticação às tecnologias de acesso a redes geralmente utilizadas, como redes sem fio baseadas em IEEE 802.1X e conexões PPP como dial-up e VPN. O EAP não é um método de autenticação como o MS-CHAP v2, mas sim uma estrutura no cliente de acesso e no servidor de autenticação que permite aos fornecedores de redes desenvolver e instalar facilmente novos métodos de autenticação, conhecidos como métodos EAP. Para obter mais informações de referência sobre o EAP, consulte a página da Microsoft na Web sobre o EAP em microsoft.com/eap.
Embora o EAP conte com o suporte do Microsoft® Windows® desde o Windows 2000, a arquitetura do EAP no Windows XP e no Windows Server® 2003 tem limitações de extensibilidade para métodos e suplicantes EAP, que são componentes de software que podem usar o EAP em um tipo específico de camada de link. A arquitetura EAPHost no Windows Vista™ e na próxima versão do Windows Server, de codinome "Longhorn", soluciona essas limitações, tornando muito mais fácil para outros fornecedores de redes estender o Windows a novos suplicantes e métodos EAP.

Suporte para o EAP no Windows Server 2003 e no Windows XP
O Windows Server 2003 e o Windows XP usam o EAP para conexões com ou sem fio autenticadas com 802.1X e para conexões baseadas em PPP, como conexões dial-up ou VPN de acesso remoto ou site a site. Esses sistemas operacionais contêm, especificamente, uma implementação do EAP em conformidade com a RFC 2284, e incluem suplicantes IEEE 802.1X e PPP. A Figura 1 mostra a arquitetura do EAP e dos suplicantes para Windows XP e Windows Server 2003. Contudo, deve-se observar que a implementação do EAP no Windows XP SP2 (Service Pack 2) e no Windows Server 2003 SP1 não oferece suporte à RFC 3748 (o padrão atual da Internet para EAP) e a outras RFCs do EAP.
Figura 1 Arquitetura do EAP e dos suplicantes para o Windows XP e o Windows Server 2003
Figura 1 Arquitetura do EAP e dos suplicantes para o Windows XP e o Windows Server 2003
Uma API do EAP fornece os meios necessários para estender a autenticação no Windows XP e no Windows Server 2003. Embora outros fornecedores possam desenvolver e instalar novos métodos EAP, os suplicantes PPP e 802.1X incorporados não podem usar todos os métodos EAP instalados. Um fornecedor poderia, por exemplo, criar um novo método de autenticação EAP com leitura de impressões digitais, mas talvez ele não estivesse disponível para conexões sem fio.
Devido às limitações dos suplicantes internos, outros fornecedores de software e hardware desenvolvem seus próprios suplicantes, que normalmente substituem e desabilitam os suplicantes internos e toda a arquitetura do EAP. No entanto, essa alternativa apresenta alguns problemas. Primeiro, substituir os suplicantes internos e a arquitetura do EAP gera custos de desenvolvimento e atrasos. Além disso, se um cliente empresarial não desenvolver seus próprios suplicantes, estará sujeito a custos adicionais por estação de trabalho para licenciar e instalar um produto de outro fornecedor.

Recursos do EAPHost
O EAPHost oferece os seguintes novos recursos:
Suporte a métodos EAP adicionais. O EAPHost oferecerá suporte à instalação e ao uso de todos os métodos EAP relacionados no Registro do EAP, em www.iana.org/assignments/eap-numbers, e a outros métodos comuns de autenticação como o LEAP (Lightweight EAP), desenvolvido e fornecido pela Cisco Systems, Inc.
Descoberta de rede. O EAPHost oferece suporte à descoberta de rede conforme definida na RFC 4284.
Conformidade com a RFC 3748. O EAPHost é compatível com a Máquina de estado EAP e soluciona diversas vulnerabilidades de segurança especificadas na RFC 3748. Anteriormente, os suplicantes precisavam implementar suas próprias máquinas de estado. O EAPHost oferece também suporte a recursos como Expanded EAP Types (incluindo métodos EAP específicos de fornecedores).
Coexistência de métodos EAP. O EAPHost permite a coexistência de várias implementações do mesmo método EAP. É possível, por exemplo, instalar e selecionar a versão da Microsoft e a versão da Cisco Systems, Inc. para o PEAP (EAP protegido).
Arquitetura modular de suplicantes. O EAPHost oferece suporte a uma arquitetura modular de suplicantes, na qual novos suplicantes podem ser adicionados facilmente sem que seja necessário substituir toda a implementação do EAP, como era preciso na versão anterior.
Para os fornecedores de métodos EAP, o EAPHost oferece suporte a métodos EAP já desenvolvidos para Windows XP e Windows Server 2003 e um método mais simples de desenvolvimento de novos métodos EAP para Windows Vista e Windows Server "Longhorn". O EAPHost permite também uma melhor classificação dos tipos de EAP, de forma que o suplicante IEEE 802.1X interno possa usá-los.
Para os fornecedores de suplicantes, o EAPHost fornece suporte a suplicantes adicionais para novas camadas de link. Como o EAPHost é integrado à NAP (proteção de acesso à rede), os novos suplicantes não precisam reconhecer a NAP. Para participar da NAP, os novos suplicantes precisam apenas registrar um identificador de conexão e uma função de retorno de chamada que informe ao suplicante para autenticar-se novamente. Para obter mais informações sobre a NAP, consulte a coluna Security Watch de John Morello nesta edição da TechNet Magazine, e também a página da Web sobre NAP em microsoft.com/nap. Para obter informações sobre como desenvolver métodos EAP ou suplicantes para o EAPHost, consulte Extensible Authentication Protocol Host em msdn2.microsoft.com/aa364249.aspx.

O EAPHost e a arquitetura da infra-estrutura do EAP
A arquitetura EAPHost é constituída pela arquitetura da infra-estrutura do EAP para o EAPHost, pela arquitetura EAPHost no ponto EAP (o cliente de autenticação) e pela arquitetura EAPHost no servidor de autenticação. A Figura 2 mostra os componentes da arquitetura da infra-estrutura do EAP para o EAPHost em computadores executando o Windows Vista ou o Windows Server "Longhorn". Nesses sistemas operacionais, o ponto EAP tem uma camada de suplicantes (como o suplicante interno para 802.1X), a nova arquitetura EAPHost para pontos EAP (facilitando a comunicação e o gerenciamento de suplicantes e métodos EAP) e uma camada de métodos EAP para realizar a autenticação.
Figura 2 A arquitetura da infra-estrutura do EAP para o EAPHost
Figura 2 A arquitetura da infra-estrutura do EAP para o EAPHost
O servidor de autenticação para o Windows Server "Longhorn" tem o NPS (servidor de diretivas de rede), a nova arquitetura EAPHost para servidores de autenticação e uma camada de métodos EAP. Anteriormente conhecido como IAS (serviço de autenticação da Internet) no Windows Server 2003, o NPS é um servidor e proxy RADIUS (serviço de autenticação remota de usuários discados) e um servidor de diretivas para a NAP.
O suplicante no ponto EAP usa uma tecnologia de camada de link como PPP ou 802.1X para enviar e receber mensagens EAP no link entre o ponto EAP e o autenticador de passagem (um servidor de acesso à rede, como um ponto de acesso sem fio ou um servidor de acesso remoto). O autenticador de passagem e o NPS no servidor de autenticação usam o RADIUS para enviar e receber mensagens EAP na rede baseada em IP entre o autenticador de passagem e o NPS.
Após o ponto EAP e o servidor de autenticação negociarem o uso de um método EAP específico, a comunicação lógica consiste em mensagens EAP trocadas entre o método EAP negociado no ponto EAP e o servidor de autenticação.
A Figura 3 mostra a arquitetura EAPHost no ponto EAP executando o Windows Vista ou o Windows Server "Longhorn". Essa arquitetura é composta por suplicantes, componentes do EAPHost, componentes de gerenciamento de métodos EAP e componentes da NAP.
Figura 3 A arquitetura EAPHost no ponto EAP
Figura 3 A arquitetura EAPHost no ponto EAP
O Windows Vista e o Windows Server "Longhorn" incluem um suplicante 802.1X para conexões com ou sem fio baseadas em 802.1X. Um suplicante PPP para conexões de acesso remoto ou site a site via dial-up ou VPN está em fase de estudo para futura atualização desses dois sistemas operacionais. Suplicantes adicionais desenvolvidos por outros fornecedores também podem ser acrescentados. A API do EAPHost permite que os suplicantes usem o EAP para conexões. Para obter mais informações, consulte o artigo em msdn2.microsoft.com/aa364249.aspx.
Os componentes do EAPHost incluem o Validador de protocolo/máquina de estado do cliente EAP, que mantém a máquina de estado do ponto EAP (consulte a RFC 3748) e valida as mensagens EAP. Também está incluído o Gerenciador de métodos EAP, que gerencia os diversos métodos EAP, sejam eles compatíveis ou não com o EAPHost, e ajuda a tornar os métodos EAP disponíveis para aplicativos e serviços. Finalmente, há o Gerenciador de bibliotecas EAP, que facilita o carregamento e o descarregamento de bibliotecas de métodos EAP.
Os componentes de métodos EAP incluem:
Métodos EAP internos. Incluem PEAP, EAP-TLS (segurança da camada de transporte) e EAP-MS-CHAP-V2.
Duas APIs de host. Hospedam métodos EAP não-compatíveis com o EAPHost (API do EAP herdada) e métodos EAP de terceiros compatíveis com o EAPHost (API de métodos do EAPHost).
Método Translator herdado. Faz a tradução entre os métodos EAP não-compatíveis com o EAPHost gravados na API do EAP herdada e a API de métodos do EAPHost.
Gerenciador de proxy de métodos EAP . Hospeda métodos EAP de terceiros, sejam ou não compatíveis com o EAPHost.
A API de métodos EAP é a nova API para métodos EAP compatíveis com o EAPHost. Os métodos EAP exportam as APIs definidas na API de métodos EAP. O EAPHost carrega os métodos EAP e chama as funções exportadas da API.
Os componentes da NAP incluem os seguintes itens:
EAP NAP EC Messenger . Esse componente facilita a comunicação de dados relacionados à NAP, como declarações de integridade e eventos, entre o EC (cliente de imposição) da NAP do EAPHost e outros componentes do EAPHost.
EAPHost NAP EC . Interage com outros componentes da NAP para realizar a validação de integridade e a imposição de acesso limitado quando uma conexão autenticada por 802.1X não cumpre os requisitos de integridade do sistema da NAP.
Agente NAP. Mantém o atual estado de integridade do cliente e facilita a comunicação entre os ECs instalados da NAP e a camada de SHAs (agentes de integridade do sistema). Cada SHA é definido para um ou mais requisitos de integridade do sistema.
Como mostra a Figura 3, outros fornecedores podem desenvolver novos suplicantes e novos métodos EAP compatíveis com o EAPHost. Você pode usar também métodos EAP existentes desenvolvidos para Windows Server 2003 ou Windows XP.
A Figura 4 mostra a arquitetura EAPHost no servidor de autenticação executando Windows Server "Longhorn" e NPS. Essa arquitetura é a mesma do ponto EAP para dar suporte aos métodos EAP. Em vez de suplicantes, o servidor de autenticação tem o NPS, que utiliza a API do EAPHost para usar e configurar métodos EAP. Nos componentes do EAP, o Validador de protocolo/máquina de estado do servidor EAP realiza a tarefa de manter a máquina de estado do servidor de autenticação EAP e validar as mensagens EAP recebidas.
Figura 4 A arquitetura EAPHost no servidor de autenticação
Figura 4 A arquitetura EAPHost no servidor de autenticação
O EAPHost no servidor de autenticação permite que outros fornecedores de software desenvolvam e instalem novos métodos EAP compatíveis com o EAPHost e oferece suporte a métodos EAP já desenvolvidos para Windows XP e Windows Server 2003.
O EAPHost fornece ainda, tanto para o ponto EAP quanto para o servidor de autenticação, uma API proxy da interface do usuário do EAPHost (não mostrada nas Figuras 3 e 4), que pode ser usada pelos métodos compatíveis com o EAPHost para exibir caixas de diálogo que exijam interação com o usuário. A API proxy da interface do usuário do EAPHost permite que outros fornecedores acrescentem suas caixas de diálogo, proporcionando maior integração à experiência do usuário.

Conclusão
O EAPHost no Windows Server "Longhorn" e no Windows Vista atualiza a implementação do EAP no Windows de acordo com os mais recentes padrões da Internet e fornece uma nova arquitetura modular para estender o Windows com métodos de autenticação e suplicantes EAP. Os fornecedores de redes podem ampliar a atual experiência do usuário no Windows sem precisar substituir toda a implementação do EAP no Windows, com o desenvolvimento de novos suplicantes gravados na API do EAPHost e de novos métodos de autenticação gravados na API de métodos do EAPHost. O EAPHost também oferece suporte a métodos EAP existentes desenvolvidos para Windows Server 2003 e Windows XP.
EAPHost para Windows XP
A Microsoft programou o lançamento de uma atualização do Windows XP SP2 incluindo a arquitetura EAPHost, suporte para a RFC 3748 e um suplicante baseado no EAPHost para conectividade 802.1X com fio. Com a atualização, os suplicantes do EAPHost desenvolvidos para Windows Vista funcionarão também no Windows XP SP2. Para obter as informações mais recentes sobre essa atualização, consulte o blog da equipe de produtos NAP em blogs.technet.com/nap.

Joseph Davies é redator técnico da Microsoft e vem ensinando e escrevendo sobre assuntos relacionados a sistemas de rede do Windows desde 1992. Ele escreveu cinco livros para a Microsoft Press e é autor da coluna mensal Cable Guy da TechNet.


 Windows Powershell: A conex&#227;o com o WMI
Windows Powershell
A conexão com o WMI
Don Jones

Uma das tecnologias nas quais eu mais confiei no mundo do VBScript foi o WMI (Instrumentação de Gerenciamento do Windows). Curiosamente, o Windows PowerShell tem uma forte conexão com o WMI – e não apenas no sentido técnico. Jeffrey Snover, o arquiteto que projetou o Windows PowerShell, também desempenhou um papel fundamental na criação do
Wmic.exe, uma ferramenta de linha de comando da época do Windows Server® 2003 usada para trabalhar com o WMI. De várias maneiras, o Wmic.exe foi o precursor do Windows PowerShell™ porque funcionava de modo semelhante. (Para obter mais informações sobre o WMIC, consulte o artigo de John Kelbley na edição de setembro de 2006 da TechNet Magazine, disponível online em microsoft.com/technet/technetmag/issues/2006/09/WMIData.)
O Windows PowerShell oferece suporte ao WMI que é fornecido da mesma maneira consistente e baseada em objeto que o restante dos recursos do shell. Isso torna o WMI infinitamente mais fácil de aprender e usar – principalmente em situações ad hoc – do que tecnologias mais recentes, como o VBScript.

Uma prévia do WMI
Se você leu artigos e livros sobre a criação de scripts, é praticamente impossível não ter visto nenhuma menção ao WMI. No entanto, é fácil ficar envolvido com o uso do WMI a ponto de esquecer o modo como ele é criado no escopo, que é uma informação importante para entender como ele funciona no Windows PowerShell.
O WMI é principalmente um sistema de classes organizadas que representam informações de gerenciamento do sistema operacional Windows® e de outros produtos de software e hardware baseados no Windows. Uma classe não é nada mais do que uma descrição abstrata das propriedades e dos recursos que algum componente de software e hardware possui. Por exemplo, uma classe de discos lógicos pode descrever um dispositivo que tem um número de série, uma capacidade de armazenamento fixa, uma quantidade de capacidade disponível, etc. Enquanto isso, uma classe que descreve um serviço do Windows poderia especificar que o serviço tem um nome, pode ser iniciado e interrompido, seu status atual, e assim por diante.
No WMI, as classes representam tudo o que ele pode gerenciar. Se o WMI não tiver uma classe para algum componente, não poderá gerenciá-lo. A Microsoft documenta as classes WMI do Windows principais em msdn2.microsoft.com/aa394554.aspx. Outros produtos, como os Serviços de Informações da Internet e o SQL Server™, documentam suas classes WMI separadamente.
Como existem muitas classes, o WMI as organiza em uma hierarquia de namespaces. Por exemplo, o namespace contendo as classes de sistema operacional do Windows principais chama-se root\cimv2, enquanto o Microsoft IIS 6.0 armazena suas classes em root\MicrosoftIISv2. Convenientemente, o namespace root\cimv2 é o namespace WMI padrão, uma configuração compartilhada pelo Windows PowerShell, o que facilita o trabalho com essas classes principais.
Uma "instância" é uma ocorrência real de uma classe. Se, por exemplo, seu computador tiver dois discos lógicos, você terá duas instâncias da classe Win32_LogicalDisk. Se você tiver 50 serviços sendo executados em seu computador, o WMI verá 50 instâncias da classe Win32_Service. Trabalhar com o WMI é basicamente uma questão de pedir que ele forneça uma ou mais instâncias, examinando depois as propriedades delas para encontrar as informações de gerenciamento de que precisa ou executando os métodos delas para fazer alterações de gerenciamento, como iniciar ou interromper um serviço.
O WMI usa uma arquitetura cliente/servidor. Desde o Windows 2000, todas as versões do Windows vêm com o WMI integrado (as versões posteriores expandiram o número de classes disponíveis), o que significa que você tem o software tanto do cliente WMI como do servidor WMI prontamente disponível. Ao usar o WMI, você está enviando, na verdade, uma solicitação ao Serviço WMI que está sendo executado no computador que lhe interessa. Esse serviço recupera as instâncias do WMI especificadas e as retorna para que você possa trabalhar com elas. É aqui que entra o Windows PowerShell – ele simplifica o processo de pedir instâncias, recebê-las de volta e trabalhar com elas.

Obtendo um objeto WMI
As instâncias de classes WMI são livremente conhecidas como objetos, por isso faz sentido que a forma de recuperá-las no Windows PowerShell seja o cmdlet Get-WMIObject. Esse cmdlet tem um alias conveniente, o gwmi, que usarei para a maioria dos meus exemplos. Em sua forma mais simples, basta especificar o nome da classe WMI que deseja recuperar e depois sentar e examinar os resultados (consulte a Figura 1). Quando executei o gwmi win32_service, o Windows PowerShell se conectou ao serviço WMI no meu computador local (já que eu não tinha especificado outro computador) e ao namespace root\cimv2 (já que eu não tinha especificado outro namespace). O Windows PowerShell recuperou todas as instâncias da classe especificada e, como eu não o mandei fazer nada mais com elas, converteu-as em representação textual. Em outras palavras, o Windows PowerShell pegou esses objetos e produziu um texto que eu, como humano, pudesse ler.
Figura 1 Durante a execução do gwmi win32_service, o Windows PowerShell retorna todas as instâncias da classe especificada em um formato de texto legível
Figura 1 Durante a execução do gwmi win32_service, o Windows PowerShell retorna todas as instâncias da classe especificada em um formato de texto legível
Especificamente, o Windows PowerShell converte objetos WMI em texto lendo e exibindo os nomes e os valores de propriedades de classes selecionadas. Para a classe Win32_Service, ele seleciona um conjunto de seis propriedades.
Na verdade, o Windows PowerShell converte qualquer objeto em texto dessa forma. As propriedades que ele escolhe para exibir são, em sua maior parte, definidas em um conjunto de arquivos .format.ps1xml localizados na pasta de instalação do Windows PowerShell. Esses arquivos de definição de formato são assinados digitalmente pela Microsoft. Convém não alterá-los, embora você possa fornecer seus próprios arquivos de formatação. (Abordarei esse tópico mais detalhadamente em uma futura coluna.)
O cmdlet gwmi pode ajudá-lo a explorar seu computador para descobrir quais classes estão disponíveis. A execução do gwmi –namespace "root\cimv2" –list, por exemplo, fornece uma lista completa de classes nesse namespace. Lembre-se, porém, que as classes em seu computador só são relevantes se você o estiver gerenciando. Caso você esteja gerenciando um computador remoto, convém descobrir quais classes estão disponíveis nesse sistema. Para isso, é recomendável usar o parâmetro –computer do gwmi para se conectar a um computador remoto. Por exemplo, gwmi –namespace "root\cimv2" –list –computer ServerA listará todas as classes no namespace root\cimv2 no computador remoto chamado ServerA.

WMI remoto
Na versão 1.0 do Windows PowerShell, o gwmi é o único cmdlet que dá suporte diretamente ao gerenciamento remoto. Isso se deve principalmente ao fato de o controle remoto ser incorporado à arquitetura WMI subjacente. Além disso, como o Windows PowerShell está simplesmente utilizando essa arquitetura existente, está sujeito aos recursos de segurança dela. Por exemplo:
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
Nessa instância, tentei me conectar a um computador remoto, chamado MediaServer, para o qual não possuo permissão de acesso. Como administrador, eu devo ter permissão para trabalhar com o serviço WMI desse computador, mas é provável que as credenciais da minha estação de trabalho local não sejam suficientes. Eu poderia, por exemplo, estar conectado em um domínio diferente e não confiável ou com uma conta com menos privilégios. Felizmente, o gwmi dá suporte a um parâmetro –credential que me permite especificar um conjunto alternativo de credenciais de usuário para minha conexão com o WMI. Veja a seguir um exemplo muito simples:
gwmi win32_service –credential mydomain\administrator –computer mediaserver
Minha credencial – mais especificamente, meu nome de usuário – é fornecida no formato DOMÍNIO\Nome de usuário.
Observe que não há nenhum lugar para digitar senha. Você será solicitado a fazê-lo pelo Windows PowerShell. A ausência de um campo para inserir senha na linha de comando é intencional, pois isso permitiria que você codificasse senhas em arquivos de script, o que é um risco de segurança enorme. Entretanto, existe outra maneira de trabalhar com esse parâmetro –credential, que é criar antecipadamente um tipo de objeto de credencial, chamado PSCredential. A chave é o cmdlet Get-Credential:
$cred = get-credential mydomain\administrator
Preciso fornecer a senha correspondente mesmo quando executo o cmdlet. Dessa vez, porém, o objeto de credencial criado é armazenado na variável $cred. Se eu examinar o conteúdo de $cred, verei o nome, mas não a senha.
PS C:\> $cred

UserName
--------
mydomain\adminstrator
Posso então reutilizar esse objeto de credencial quantas vezes quiser:
gwmi win32_service –credential $cred –computer mediaserver
A definição prévia de um objeto de credencial reutilizável simplifica conexões com o WMI repetidas para um computador remoto. Vale a pena observar, porém, que o cmdlet Get-WMIObject não oferece suporte no momento à especificação de níveis de autenticação (também conhecida como representação) como faz o VBScript. Consulte msdn2.microsoft.com/aa389290.aspx para obter mais informações.

Autodetecção
Um dos pontos que eu mais aprecio no Windows PowerShell é que ele não facilita as coisas. Eu mostrei como o Windows PowerShell selecionou somente um conjunto de propriedades para a classe Win32_Service que eu consultei. O shell ainda tem acesso a todas as propriedades, porém, e pode até lhe dizer quais são. Para fazer isso, basta canalizar o(s) objeto(s) para o cmdlet Get-Member (ou seu alias, gm), como mostra a Figura 2.
Figura 2 A canalização de um objeto para o cmdlet Get-Member lhe diz quais métodos e propriedades você pode acessar
Figura 2 A canalização de um objeto para o cmdlet Get-Member lhe diz quais métodos e propriedades você pode acessar
Além de propriedades, o shell também lista métodos disponíveis, o que significa que eu não preciso necessariamente da documentação para descobrir o que uma classe pode fazer. Posso ver que a própria classe fornece os meios para alterar a configuração de uma instância, pausar um serviço, interromper um serviço, etc.
Para utilizar esses métodos ou exibir outras propriedades, geralmente é mais fácil colocar as instâncias em uma variável.
$server = gwmi win32_operatingsystem
$server.reboot()
Esse exemplo irá recuperar a única instância disponível da classe Win32_OperatingSystem (que tem apenas uma instância por computador) e salvá-la na variável $server. Em seguida, usarei a variável $server para acessar o método Reboot da instância, reiniciando o computador. Cuidado com esse aí!

Linguagem de consulta rica
Se você tiver usado o WMI em VBScript ou outra tecnologia, provavelmente já está acostumado a recuperar instâncias de classes WMI usando uma consulta escrita em linguagem WQL. Sua sintaxe semelhante à do SQL facilita a recuperação de instâncias específicas – como um serviço específico – em vez de todas as instâncias de uma determinada classe. Felizmente, o gwmi também permite especificar uma consulta, deste modo:
gwmi –query “select * from win32_service where name=’alerter’”
Essa sintaxe do gwmi (que foi acrescentada um pouco antes do lançamento oficial do Windows PowerShell) é incrivelmente útil e facilita demais a migração de consultas WMI complexas que você tenha desenvolvido para outras finalidades. E, como sempre, o Windows PowerShell retornará rich objects com seus próprios métodos e propriedades, oferecendo acesso completo ao poder do gerenciamento do WMI.

Avançando com o WMI
O WMI continua sendo desenvolvido para futuras versões do Windows, com o acréscimo de novas classes e recursos. E continua sendo adicionado a novos produtos Microsoft. Embora a maioria dos produtos Microsoft não tenha ainda lançado versões criadas especificamente no Windows PowerShell, sua capacidade de se conectar ao WMI é um dos grandes benefícios que tornam o Windows PowerShell útil hoje em dia.
Minha abordagem foi apenas superficial em comparação com o que o WMI pode fazer. Ainda assim, espero ter lhe inspirado a explorar o Windows PowerShell e a descobrir sozinho os recursos que estão disponíveis.

Don Jones é diretor de projetos e serviços da SAPIEN Technologies e co-autor do Windows PowerShell: TFM (SAPIEN Press). Entre em contato com Don pelo seu site em www.ScriptingAnswers.com.


 Ei, Equipe de Scripts!: Flores florescendo. Caixas de di&#225;logo aparecendo. A primavera chegou.
Ei, Equipe de Scripts!
Flores florescendo. Caixas de diálogo aparecendo. A primavera chegou.
A Equipe de Scripts da Microsoft

Ah, a primavera chegou. Ficamos muito felizes. Depois de um inverno com recorde de chuvas e tempestades de gelo, de neve e de vento (uma das quais espatifou uma árvore enorme contra um dos pátios da Equipe de Scripts, passando a centímetros da casa e fazendo nosso cachorro se esconder atrás da poltrona), a primavera finalmente chegou. Estamos até gostando dessa chuvinha fraca que antecede a chuva mais quente do Noroeste Pacífico que se instala para o verão.
Enquanto observamos a garoa lá fora, pensamos que esta é uma boa hora para nos aventurarmos um pouco com nossos scripts e examinarmos os Aplicativos HTML (HTAs). E quando falamos aventura, é exatamente isso que queremos dizer. Não vamos fazer nenhum tipo de introdução neste artigo. Supomos que você já sabe o que é um HTA e como criar um. Se não souber, consulte o Centro de Desenvolvedores de HTAs no Script Center. Especificamente, convém ler os dois artigos na seção HTAs para Iniciantes. Isso feito, você estará pronto para voltar aqui.
Nesta coluna, vamos mostrar como criar caixas de diálogo e como passar informações entre o HTA principal e a caixa de diálogo. É, o ar fresco da primavera realmente despertou nossas ambições, não foi? Aproveite enquanto dura.
Como você deve saber, existem dois tipos de caixas de diálogo: restrita e sem janela restrita. A diferença é que uma caixa de diálogo restrita, enquanto estiver aberta, impede que você retorne à janela principal. Quando você abre uma caixa de diálogo sem janela restrita, pode se movimentar entre as janelas. No entanto, se você fechar a janela principal, sua caixa de diálogo sem janela restrita também será fechada.
A criação de caixas de diálogo restritas e sem janela restrita funciona exatamente da mesma forma. A única diferença é que, para criar uma caixa de diálogo restrita, você chama a função ShowModalDialog e, para criar uma caixa de diálogo sem janela restrita, você chama a função ShowModelessDialog. Ambas aceitam os mesmos parâmetros. Vamos começar examinando um HTA simples que abre uma caixa de diálogo restrita (consulte Figura 1).
Figure 1 Caixa de diálogo simples inicial (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Aqui criamos um HTA intitulado Exemplo de Restrita. Na área <corpo> do nosso HTA, acrescentamos dois elementos: um botão rotulado Mostrar Caixa de Diálogo e uma caixa de texto chamada textbox. Ambos podem ser vistos na Figura 2. Quando você clica no botão, a sub-rotina ShowDialog é executada.
Figura 2 Caixa de diálogo restrita de HTA real
Figura 2 Caixa de diálogo restrita de HTA real
A sub-rotina ShowDialog é muito simples. Chamamos a função ShowModalDialog, passando como um parâmetro o nome do arquivo HTA que queremos exibir como caixa de diálogo restrita; neste caso, modaldialog.hta. (Estamos supondo que modaldialog.hta está na mesma pasta que esse HTA. Caso não esteja, você deverá incluir o caminho de arquivo inteiro aqui.)
Também capturamos um valor de retorno (intReturn) de ShowModalDialog e o exibimos na caixa de texto. Você verá daqui a pouco como esse valor foi obtido. Uma observação importante é que a chamada para ShowModalDialog só retornará quando a caixa de diálogo restrita for fechada. Isso significa que o valor de retorno não será atribuído à caixa de texto enquanto a caixa de diálogo estiver aberta.
Agora vamos examinar modaldialog.hta, que é a caixa de diálogo aberta pelo HTA que fez a chamada (consulte a Figure 3). Nesse HTA, criamos dois elementos: uma caixa de listagem chamada listbox e um botão rotulado OK, como mostra a Figura 4. Adicionamos quatro itens à caixa de listagem rotulados Opção 1, Opção 2, etc. e atribuímos valores correspondentes (de 1 a 4) a cada um desses itens. Quando se clica no botão OK, a sub-rotina CloseWindow é executada.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Figura 4 HTA que representa a caixa de diálogo restrita
Figura 4 HTA que representa a caixa de diálogo restrita
A sub-rotina CloseWindow é muito simples. Nossa primeira tarefa é ler o valor do item na caixa de listagem que foi selecionada e atribuí-lo à propriedade window.returnValue. Por exemplo, se o usuário escolher Opção 2, o valor 2 será atribuído a window.returnValue. Em seguida, chamamos o método window.Close para fechar a caixa de diálogo.
Neste momento, o controle retorna para o HTA principal. Lembre-se da nossa chamada para ShowModalDialog:
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
O valor de retorno atribuído a intReturn é o valor que atribuímos a window.returnValue no HTA da nossa caixa de diálogo. Por isso, se escolhermos Opção 2 na caixa de diálogo, que atribui o valor 2 a window.returnValue, intReturn será igual a 2 e a linha de código a seguir exibirá este valor na caixa de texto:
textbox.Value = intReturn
Agora que vimos como obter um valor de uma caixa de diálogo, vejamos como obtivemos um valor para uma caixa de diálogo. Desta vez, usaremos uma caixa de diálogo sem janela restrita (consulte a Figura 5), mas lembre-se que o processo será igual ao de uma caixa de diálogo restrita, já que ambas funcionam da mesma forma.
Figure 5 Transformando em sem janela restrita (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Figura 7 Dados passados para caixa de diálogo sem janela restrita
Figura 7 Dados passados para caixa de diálogo sem janela restrita
Desta vez, criamos uma caixa de listagem suspensa chamada lstServers (você sabe que é suspensa porque o tamanho é igual a 1). Há também um botão rotulado Recuperar Processos. Quando se clica no botão, a sub-rotina ShowDialog é executada. Essa sub-rotina tem apenas uma linha, que é a chamada para a função window.ShowModelessDialog, como mostrado aqui:
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
O primeiro parâmetro que passamos para essa função é o nome do arquivo HTA que queremos executar na caixa de diálogo restrita; neste caso, modelessdialog.hta. O segundo parâmetro é a propriedade Value da nossa caixa de listagem. Lembre-se de que a propriedade Value contém o valor da opção selecionada na caixa de listagem. Por isso, se o usuário selecionar Servidor2 na caixa de listagem, Value será server2. Esse parâmetro indica a forma como passamos informações para a caixa de diálogo. (Se você quiser passar vários valores, poderá fazê-lo nesse parâmetro como uma matriz ou talvez uma coleção.)
Veremos daqui a pouco como a caixa de diálogo recebe o valor nesse parâmetro. Mas primeiro, observe que inserimos um terceiro parâmetro:
“dialogHeight:400px;dialogWidth:300px”
Este parâmetro contém uma cadeia de caracteres que especifica a altura e a largura desejadas para nossa caixa de diálogo. Neste caso, especificamos uma altura de 400 pixels (400px) e uma largura de 300 pixels. Como vimos no nosso exemplo de restrita, mesmo que esse parâmetro seja deixado em branco, a caixa de diálogo será exibida como o tamanho padrão para o computador.
Agora vamos examinar modelessdialog.hta (na Figura 6) e ver como a caixa de diálogo lê o valor que é passado para ela.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
Neste HTA, o único elemento que especificamos é uma distribuição, que contém a área completa da caixa de diálogo. Em nossa seção de script, definimos uma sub-rotina window_onLoad, que será executada assim que o HTA for aberto (neste caso, pela chamada para ShowModelessDialog). Dê uma olhada na primeira linha dessa sub-rotina:
strComputer = window.dialogArguments
Estamos atribuindo à variável strComputer o conteúdo da propriedade window.dialogArguments. E o que você acha que está nessa propriedade? Viu? Você deve estar despertando com a primavera também. Isso mesmo, é o valor passado no segundo parâmetro da chamada para ShowModelessDialog. Se Servidor2 tiver sido selecionado na janela principal, strComputer agora contém o valor server2.
O resto da sub-rotina simplesmente recupera todos os processos de strComputer e os exibe na área de distribuição. Você pode ver os resultados dessa operação na Figura 7.
Felizmente, agora você tem o verão inteiro para se divertir com caixas de diálogo de HTA. Obviamente, a menos que você more no Hemisfério Sul, onde o inverno está chegando, e tenha tantos problemas de queda de energia como tivemos aqui.

A Equipe de Scripts da Microsoft trabalha para a – bem, é empregada da – Microsoft. Quando não está jogando/treinando/assistindo beisebol (e diversas outras atividades), ela administra o Script Center da TechNet. Confira no site www.scriptingguys.com.


 Perguntas e respostas do Exchange: Tempos limites do OWA, solu&#231;&#227;o de problemas de cmdlet e muito mais
Perguntas e respostas do Exchange
Tempos limites do OWA, solução de problemas de cmdlet e muito mais
KC Lemson and Nino Bilic

P: Nós migramos recentemente do Exchange Server 2003 para o Exchange Server 2007. Estamos recebendo reclamações de que o tempo limite do Outlook® Web Access (OWA) está se esgotando para Usuários Restritos que tenham selecionado a opção "Este é um computador particular" ao fazer logon no OWA 2007. Que comando do Shell de Gerenciamento do Exchange é apropriado para verificar o tempo limite para computadores particulares?
R: Vamos voltar um pouco. Primeiro explicarei por que há uma seleção separada para um computador particular, o que não existe para um computador público (consulte a Figura 1), e mostrarei como essas opções se comportam de modo diferente. A intenção é permitir que o usuário informe ao Exchange qual nível de segurança é necessário – se você está fazendo logon no OWA usando um quiosque público de um aeroporto, por exemplo, ou seu computador doméstico. O administrador do Exchange pode optar por tratar esses tipos de sessão de maneira diferente. Por exemplo, fazendo com que o tempo limite de sessões autenticadas se esgote mais rápido em computadores públicos (em questão de minutos) do que em computadores particulares (até três dias, no máximo). O administrador também pode definir outras configurações de forma diferente, dependendo da seleção do usuário. Por exemplo, que o acesso a bibliotecas de documentos do SharePoint® e compartilhamentos de arquivos do Windows® seja permitido apenas para o logon particular. Obviamente, isso depende de o usuário especificar a opção correta. Caso os administradores não confiem na capacidade dos usuários de tomar a decisão certa, poderão atribuir a cada opção os mesmos valores de tempo limite e outras opções de configuração.
Figura 1 Os tipos de sessão de computador particular e público possibilitam diferentes configurações de tempo limite e outras opções de configuração
Figura 1 Os tipos de sessão de computador particular e público possibilitam diferentes configurações de tempo limite e outras opções de configuração
A opção em questão é uma que transferimos do Exchange 2003, quando a autenticação baseada em formulários foi introduzida no OWA. (Nota histórica: a primeira implementação de autenticação baseada em formulários foi projetada em parte por uma brilhante gerente de programas. Não vou revelar sua identidade, mas posso dizer que, mais tarde, ela conquistou fama e fortuna escrevendo uma coluna bimensal da TechNet Magazine.)
Na verdade, a configuração é armazenada no Registro, mas, como o Windows PowerShell™ possui uma interface para atualizar o Registro, é possível definir essa configuração usando o Shell de Gerenciamento do Exchange. O exemplo a seguir define o tempo limite como 1.440 minutos (um dia) quando os usuários escolhem a opção de computador particular durante o logon:
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Obviamente, como a configuração está no Registro, você mesmo pode atualizar a chave usando regedit. Nesse caso, escolha:
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
De qualquer modo, será preciso reiniciar o IIS para ter certeza de que o OWA selecionará a nova configuração. Você pode fazer isso selecionando Iniciar | Executar e depois executando iisreset /noforce.

P: Incentivamos os funcionários que usam os clientes MAPI completos do Outlook a arquivar todos os itens de menor urgência em arquivos de pastas particulares (.pst). Entretanto, os itens arquivados não ficam disponíveis quando os usuários fazem logon no Outlook Web Access em casa. Como podemos disponibilizar esses arquivos .pst através da interface do OWA?
R: Lamento dizer que não há suporte no OWA para o acesso a arquivos .pst. Desde o início, o OWA foi projetado para ser um cliente somente online. Trabalhamos muito para não deixar nenhum traço de dados pessoais no computador local. Isso inclui recursos como o mecanismo de logoff seguro oferecido pela primeira vez no Exchange 2003 e a Exibição de Documento WebReady no Exchange 2007, que garante que cópias de anexos armazenadas em cache não sejam deixadas no disco rígido. Por isso, o acesso a arquivos .pst a partir do OWA não se enquadra no nosso objetivo de torná-lo um cliente simples de implantar e somente online.
Isso posto, o uso de arquivos .pst em geral é um cenário interessante que gostaríamos de discutir. Há alguns meses, tive uma reunião com um cliente cujos usuários possuíam cotas de caixa de correio com cerca de 200 MB e quase todos tinham pelo menos um arquivo .pst, se não mais. Como essa organização tinha uma diretiva que permitia o apagamento de dados e a substituição de computadores de usuários com esforço mínimo, era solicitado que todos os usuários armazenassem seus arquivos .pst em um compartilhamento de rede. O backup desse compartilhamento de rede, por sua vez, era feito por um sistema central.
Em primeiro lugar, existem problemas conhecidos ao acessar arquivos .pst a partir de compartilhamentos de rede. Assim como o OWA foi projetado desde o início para ser somente online, a finalidade original dos arquivos .pst era armazenamento local. Não importa a qualidade da sua rede: ela está sujeita a latência e outros problemas que podem tornar complicado o armazenamento remoto de dados (que também precisam ser acessados por usuários ao mesmo tempo).
Em segundo lugar, essa organização tinha uma cota de caixa de correio bastante pequena (admito que somos privilegiados por termos uma caixa de correio corporativa de 2 GB, aproximadamente) porque não queria ter todos esses dados no Exchange, já que seria responsável por fazer o backup deles. Entretanto, com usuários armazenando os dados em arquivos .pst em um compartilhamento de rede do qual era feito backup, o trabalho dos administradores não diminuía em nada. Na verdade, provavelmente era até maior devido a vários fatores, como: nenhum armazenamento de cópia única em vários arquivos .pst; custos de suporte técnico relacionados a problemas com arquivos .pst (como senhas esquecidas e flocosidade geral da rede); dificuldade de limpar mensagens em arquivos .pst após um ataque de vírus; dificuldade de detectar mensagens em arquivos .pst quando surge uma questão legal; sobrecarga de manter um sistema de backup diferente; e assim por diante.
Por isso, insistimos para que você considere todos os custos envolvidos nas suas decisões de configuração. É possível que você descubra que eles podem atingir cifras bastante significativas e que uma outra configuração pode acabar sendo uma escolha melhor.

P: Estou tendo problemas com um comando do Shell de Gerenciamento do Exchange. Ele simplesmente não está funcionando. O que há de errado?
R: Não podemos responder essa pergunta, mas podemos lhe dizer que, para obter a melhor ajuda possível – onde quer que esteja procurando – você deve usar o cmdlet interno no Windows PowerShell chamado start-transcript para registrar em log os comandos que está tentando e os resultados obtidos. Isso permitirá que você cole os detalhes exatos em uma mensagem de email, postagem de blog ou pergunta em um fórum.
Abra uma sessão do Shell de Gerenciamento do Exchange e digite start-transcript, como mostra a Figura 2. O Shell de Gerenciamento do Exchange iniciará automaticamente o registro em log de todos os futuros comandos em um arquivo de texto como o mostrado na Figura 3 (não se preocupe: o aplicativo lhe informará o local do arquivo de texto). Para interromper o registro em log, basta digitar stop-transcript.
Figura 2 Use o cmdlet start-transcript para registrar em log os comandos que você usar e seus resultados
Figura 2 Use o cmdlet start-transcript para registrar em log os comandos que você usar e seus resultados
Figura 3 O Windows PowerShell salva uma transcrição dos comandos que você usar e a armazena em um arquivo .txt
Figura 3 O Windows PowerShell salva uma transcrição dos comandos que você usar e a armazena em um arquivo .txt
Ter a lista completa de comandos usados e os resultados retornados ajuda bastante a quem for solucionar seu problema. Porém, antes de compartilhar o log com alguém que você não conhece ou não confia, examine-o em busca de dados confidenciais ou sigilosos que possam ter sido retornados.

P: Vejo que a instalação do Exchange 2007 cria uma OU (unidade organizacional) no domínio raiz. Ela se chama Grupos de Segurança do Microsoft Exchange e contém cinco novos grupos de segurança do Exchange 2007. É possível mover esses grupos para outra OU? E para outro domínio?
R: Essa pergunta se refere a cinco USGs (grupos de segurança universais) que foram criados no domínio raiz durante a etapa de preparação do Active Directory. São eles:
  • Administradores da Organização do Exchange
  • Administradores de Destinatários do Exchange
  • Administradores Somente para Exibição do Exchange
  • Servidores Exchange
  • ExchangeLegacyInterop
Na época do Exchange 2000 e do Exchange 2003, a capacidade de mover os grupos de segurança padrão (Servidores de Domínio do Exchange e Exchange Enterprise Servers) era limitada. Uma forma melhor de dizer isso é que você podia movê-los, mas danificaria outros itens no processo. (Consulte support.microsoft.com/kb/260914 para obter mais detalhes sobre esse problema.) Como você pode ver, esse recurso era de fato muito limitado.
No Exchange 2007, as coisas são diferentes. Os cinco grupos padrão podem ser movidos, tanto para outra OU dentro do mesmo domínio como para um domínio diferente.
Caso você "perca" esses cinco grupos e não saiba para onde os moveu (qual OU ou domínio), poderá verificar o valor do atributo otherWellKnownObjects neste contêiner:
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
A localização dos grupos é atualizada nesse atributo à medida que eles são movidos, permitindo que você descubra onde estão. Legal!

P: Descobri um grupo de Segurança Global chamado "Servidores de Domínio de Instalação do Exchange" no meu domínio. Para que ele serve?
R: Você está definitivamente controlando seu Active Directory®. De fato, haverá um grupo chamado Servidores de Domínio de Instalação do Exchange em cada domínio que tenha servidores Exchange 2007 instalados. Esse grupo é criado na OU Objetos do Sistema do Microsoft Exchange (MESO). Se você examiná-lo, verá que ele passará a ser membro do grupo Servidores Exchange do domínio raiz, que é um Grupo de Segurança Universal.
Resumindo, Servidores de Domínio de Instalação do Exchange é um grupo usado para contornar possíveis ciclos longos de replicação do Active Directory caso você esteja executando a instalação do Exchange 2007 em um dos domínios filho. Por exemplo, digamos que você tenha um domínio raiz chamado Root, um domínio filho chamado Child e um domínio filho de Child chamado Grandchild. (Sabemos que o esquema de nomeação é brilhante! Consegue adivinhar quais são as nossas senhas?)
Para começar a configurar o Exchange 2007 nessa organização, primeiro você precisa estender o esquema e preparar seu domínio Root. Isso cria os cinco USGs originais que abordamos na resposta anterior.
Em seguida, digamos que você precisa executar a instalação no domínio Grandchild. Para poder iniciar os serviços do Exchange 2007 no domínio local, a instalação coloca uma conta de computador da máquina do Exchange 2007 no grupo Servidores Exchange a partir do domínio Root. Mas, como agora você está no domínio Grandchild, a associação do grupo Servidores Exchange pode demorar um pouco para ser replicada.
Servidores Exchange é um grupo universal e sua associação é replicada através da floresta. Devido à possível latência de replicação, talvez a instalação no domínio Grandchild não consiga iniciar serviços, já que as permissões não seriam replicadas até o término da instalação. É por essa razão que, quando o primeiro servidor Exchange 2007 é configurado em um domínio, ele cria o grupo Servidores de Domínio de Instalação do Exchange no domínio local.
Como parte da instalação, a conta de computador do Exchange será colocada como membro desse grupo. Uma associação nesse grupo dá permissões suficientes aos serviços para serem iniciados no final da instalação, mesmo que a associação no grupo Servidores Exchange não tenha sido ainda replicada do domínio Root. Observe que a replicação de domínio local geralmente é mais rápida que a entre domínios.

P: A documentação do Exchange 2007 informa que eu deveria estar executando a instalação com a opção /PrepareLegacyExchangePermissions, mesmo antes de estender meu esquema para o Exchange 2007. Por que isso? (E vocês não poderiam ter feito o nome dessa opção mais longo?)
R: Ficamos satisfeitos em saber que você está lendo a documentação antes de executar a instalação. Gostou dela?
Embora tenha um nome comprido, a opção /PrepareLegacyExchangePermissions (ou /pl, para abreviar) concede aos RUSes (Serviços de Atualização de Destinatário) do Exchange 2000 e do Exchange 2003 as permissões necessárias para gravar nos conjuntos de propriedades Informações do Exchange e Informações Pessoais. Durante o processo de extensão do esquema do Exchange 2007, diversos atributos (como proxyAddresses) são movidos do conjunto de propriedades Informações Públicas do Active Directory para o conjunto de propriedades Informações do Exchange. Por padrão, os RUSes do Exchange 2000 e do Exchange 2003 não têm os direitos necessários para gravar no conjunto de propriedades Informações do Exchange. Na vida real, isso significa que, se você executar primeiro a extensão de esquema do Exchange 2007, danificará os RUSes do Exchange 2000 e do Exchange 2003 porque eles não conseguirão carimbar nenhum recipiente novo! (Caso você queira ler mais sobre conjuntos de propriedades, visite nosso blog em msexchangeteam.com.)
Desse modo, é muito importante que você execute a opção /pl antes que o esquema seja estendido para o Exchange 2007. Você também deve verificar se essa alteração será replicada em todos os domínios que tenham contêineres do Exchange 2000 ou do Exchange 2003 (assim os RUSes existirão para esses domínios). Se novos domínios forem adicionados à floresta posteriormente e você precisar colocar RUSes do Exchange 2000 e do Exchange 2003 neles, deverá executar a opção /pl nesses domínios também.
Falando nisso, ao executar uma opção /pl pela primeira vez, tudo será muito mais simples se você executá-la com uma conta que tenha direitos de Administração de Empresa. Em seguida, a instalação do domínio raiz identificará quais domínios precisam ter a /pl executada e a executará em todos. Se você não estiver usando uma conta de Administração de Empresa, precisará executar a opção /pl usando uma Administração do Domínio para cada domínio individualmente. Felizmente, a documentação do Exchange 2007 apresenta todos os requisitos de permissões.
E, por último, você perguntou se não poderíamos ter dado um nome mais longo a essa opção. Tente repetir /PrepareLegacyExchangePermissions três vezes seguidas:
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
Pensamos em chamá-la de /Prepare-LegacyExchangePermissionsWOWThisIsaReallyLongname, mas então optamos por /PrepareLegacyExchangePermissions, que é um nome mais curto e amigável.
Falando sério, nós simplesmente inventamos um nome. Mas você pode usar /pl, que é muito menor. É verdade. Eu juro!

KC Lemson é gerente de experiência do usuário do Exchange Server. Ela gasta seu tempo livre esperando emails que lhe digam onde deve investir a poupança-educação de seus filhos.
Nino Bilic, responsável técnico, está ocupado no controle de quantos jogos de Halo ele consegue escapar durante um dia de trabalho típico.


 Security Watch: Prote&#231;&#227;o de Acesso &#224; Rede
Security Watch
Proteção de Acesso à Rede
John Morello
As informações de pré-lançamento sobre o Windows Server “Longhorn” apresentadas nesta coluna estão sujeitas a alterações.

Uma das maiores ameaças à segurança que organizações de todos os tamanhos estão enfrentando hoje em dia é o uso de dispositivos não autorizados por trás do perímetro da rede. Independentemente do nível de autoproteção de uma organização contra ameaças externas vindas da Internet, sua segurança pode ser ameaçada por um funcionário bem-intencionado que, involuntariamente, se torna um vetor de
transmissão de malware por um worm ou um cavalo de Tróia. Em nenhum lugar isso acontece mais do que nos ambientes de TI de pequenas e médias empresas, onde os laptops corporativos e pessoais dos membros da equipe podem ser um dispositivo só e onde as tecnologias de controle de acesso à rede geralmente são muito caras e complexas para serem implantadas. No entanto, são precisamente essas organizações que costumam pagar um preço alto pela inatividade, por isso é tão importante se protegerem contra essas ameaças.
A tecnologia de NAP (Proteção de Acesso à Rede) da Microsoft permite que organizações de todos os tamanhos verifiquem a integridade dos computadores de maneira proativa durante o ingresso deles na rede e a garantam durante todo o tempo em que estiverem conectados. A NAP fornece uma arquitetura flexível e baseada em diretivas para as organizações se protegerem contra computadores incompatíveis que sejam trazidos para suas redes, intencional ou inadvertidamente, por funcionários, fornecedores e visitantes. A NAP se baseia em quatro pilares: validação de diretivas, isolamento, correção e conformidade contínua.

Visão geral da NAP
O primeiro serviço básico fornecido pela NAP é a validação de diretivas, que é o processo no qual a NAP avalia um sistema em relação a um conjunto de regras definidas pelo administrador e classifica o estado de integridade do sistema.
Os administradores de TI especificam um conjunto de elementos de diretiva que a NAP usa para fins de comparação quando os computadores tentam se conectar à rede. Os computadores que correspondem aos elementos de diretiva são considerados íntegros, enquanto os que falham em uma ou mais verificações (conforme especificado pelo administrador) são considerados problemáticos. Essas diretivas podem verificar, por exemplo, a presença de software antivírus e anti-spyware, se o firewall de um host está ativo e se faltam atualizações de segurança no computador. Além disso, como a NAP foi criada para ser extensível, os fornecedores independentes de software podem criar seus próprios plug-ins para NAP que permitam verificações específicas para o aplicativo.
Outro serviço básico fornecido pela NAP é a restrição da conectividade de rede. Dependendo das diretivas definidas por um administrador, a NAP pode colocar os computadores em vários estados de conectividade de rede. Por exemplo, se um computador for considerado problemático porque faltam atualizações críticas de segurança, a NAP poderá colocá-lo em uma rede de quarentena, onde ele ficará isolado do restante do ambiente até retornar a um estado íntegro. Sem a NAP, o cliente problemático teria acesso irrestrito à rede da organização. Se o malware conseguisse comprometer o computador através de falhas que as atualizações ausentes teriam evitado, ele poderia tentar espalhar ativamente sua infecção para o restante da rede. A Figura 1 dá uma idéia geral da arquitetura.
Figura 1 Arquitetura geral da NAP
Figura 1 Arquitetura geral da NAP
Contudo, simplesmente restringir a conectividade não é uma maneira eficiente de lidar com computadores problemáticos (afinal de contas, os usuários ainda têm trabalho a fazer). Por isso, a NAP também fornece serviços de correção com os quais os computadores problemáticos em quarentena podem corrigir seus problemas de integridade sem a intervenção do administrador. No exemplo acima, a rede restrita permitiria que o computador problemático acessasse apenas determinados recursos de rede necessários para instalar as atualizações ausentes, como o computador Windows Server® Update Services (WSUS) da organização. Em outras palavras, com a NAP em vigor, o computador problemático só consegue acessar aqueles recursos de rede que lhe permitem readquirir a integridade; ele não pode enviar tráfego para o restante da rede enquanto não estiver curado.
O último pilar da NAP é a conformidade contínua, por meio da qual essas diretivas de integridade são impostas durante todo o tempo em que o computador estiver conectado à rede, e não apenas na conexão inicial. No nosso exemplo, pense no que aconteceria depois que o computador fosse atualizado e readquirisse a integridade (e, portanto, recebesse acesso irrestrito à rede). Se, posteriormente, esse computador ficasse fora do escopo da conformidade porque o Firewall do Windows foi desabilitado, por exemplo, a NAP automaticamente o recolocaria em quarentena. A NAP também permite que os administradores configurem a autocorreção, na qual o estado incompatível é automaticamente corrigido sem intervenção adicional do usuário, mesmo muito tempo depois da conclusão da conexão de rede inicial.
A NAP pode utilizar várias técnicas diferentes para controlar o acesso à rede. Para organizações com comutadores de rede gerenciada, o 802.1X pode ser utilizado para fornecer controle de acesso baseado em portas na camada de hardware da rede. A NAP possibilita utilizar imposição baseada no IPSec, na qual redes seguras são criadas através de associações de IPSec e sobrepostas nas redes físicas. Com a imposição baseada no IPSec, a NAP controla o acesso à zona segura criando e removendo dinamicamente certificados usados pelo mecanismo IPSec. Por último, a NAP pode fornecer imposição baseada no DHCP. Nesse caso, o servidor DHCP fornece concessões de IP de pools restritos aos clientes problemáticos. Essas concessões usam rotas de IP e sufixos DNS para controlar quais recursos poderão ser acessados por um cliente restrito.
O componente do servidor NAP está incorporado na próxima versão do Windows Server, cujo codinome é "Longhorn", especificamente no novo NPS (Servidor de Diretivas de Rede), o sucessor amplamente aprimorado dos Serviços de Autenticação da Internet. Para organizações que utilizam a imposição baseada no 802.1X, o hardware de rede deve oferecer suporte a autenticação 802.1X e a recursos de VLAN dinâmica (o site de Parceiros do NAP na barra lateral "Recursos da NAP" dá mais detalhes sobre fornecedores de hardware específicos). Para imposição baseada no DHCP, é necessário um serviço DHCP habilitado para NAP, como o disponibilizado no Windows Server "Longhorn". No cliente, o suporte a NAP vem incorporado ao Windows Vista™. Ele também estará disponível como complemento no Windows® XP, junto com um novo suplicante 802.1X que permitirá imposição do 802.1X.
Além disso, a NAP se integra à Central de Segurança do Windows, bem como a agentes de integridade de terceiros, para relatar informações sobre integridade. Por causa disso, a NAP é capaz de tomar decisões de validação de diretivas com base em nos dados expostos pela Central de Segurança.
Como a NAP é uma solução de gerenciamento de diretivas de nível empresarial altamente capaz, é impossível abordar todos os recursos e estratégias de implantação em um único artigo. Por isso, este artigo se concentra em implantações para pequenas e médias empresas nas quais o tempo da equipe de TI já está totalmente distribuído e onde a implantação de NAP pode ser simplificada para fornecer um rápido retorno sobre o investimento necessário para a implantação. Muitas das lições e da orientação geral, porém, são igualmente aplicáveis a qualquer design de NAP em organizações de qualquer tamanho. No entanto, observe que o meu exemplo não visa ser um guia de instalação passo a passo, mas sim uma visão geral das principais áreas de foco de uma implantação de NAP baseada no DHCP bem-sucedida. Consulte a barra lateral "Recursos da NAP" para ver o link para um guia de instalação mais detalhado.

Conjunto de problemas da Contoso
Para examinar mais de perto como a NAP pode atender às necessidades exclusivas de pequenas e médias empresas, vamos usar a Contoso, Inc. como exemplo. A Contoso é uma empresa de médio porte fictícia com 250 computadores em três escritórios principais. Ela tem uma força de trabalho altamente móvel, com muitos usuários se telecomunicando e se conectando ao escritório principal a partir de locais de clientes remotos. Conseqüentemente, cerca de metade da sua população de computadores é formada por laptops e Tablet PCs. Como muitas organizações, a Contoso vem enfrentando crescentes desafios de segurança à medida que sua força de trabalho se torna mais móvel. Alguns usuários com computadores móveis pegaram malware em sites de clientes ou em casa e trouxeram computadores infectados para a rede interna da Contoso.
A Contoso também lutou para garantir que esses computadores remotos fossem mantidos atualizados. Em geral, os usuários trabalham a partir de locais de clientes por longos períodos antes de retornar a um escritório da Contoso. Nessas situações, os computadores deles costumam ficar meses atrasados em termos atualizações de segurança, o que aumenta o risco geral para o restante dos computadores na rede da Contoso. A Contoso precisa de uma solução que possa garantir que todos os computadores conectados à sua rede, remota ou localmente, estejam protegidos e íntegros.
Como a NAP pode ajudar a Contoso a conseguir isso? Lembre-se dos pilares básicos da NAP. Através da validação de diretivas, a NAP pode verificar a integridade de todos os computadores que se conectem à rede da Contoso. A validação de diretivas pode determinar se um computador tem assinaturas de antivírus atuais e se está com todos os patches das atualizações de segurança instalados. Quando as rotinas da validação de diretivas da NAP determinam que um computador está problemático, a NAP restringe a conectividade de rede para os hosts problemáticos. Isso garante que um computador que tenha sido usado externamente e contraído malware não consiga espalhar o problema para outras partes da rede. A NAP restringirá a conectividade do computador problemático para que ele só possa acessar os recursos de correção definidos pelo administrador de TI da Contoso. Por exemplo, o computador problemático teria acesso ao servidor WSUS da Contoso e ao servidor que hospeda as assinaturas antivírus. Por último, a NAP pode garantir que, depois de o computador se tornar íntegro novamente, seja mantido em um estado contínuo de integridade. No exemplo que mostrei aqui, se o host problemático fosse usado por um telecomunicador pela VPN e o usuário desativasse o firewall do host, a NAP automaticamente corrigiria o problema. Assim que o firewall fosse desabilitado, a infra-estrutura da NAP colocaria o computador em quarentena, tornaria a habilitar o firewall, avaliaria novamente a integridade do computador e, depois de determinar se ele está íntegro, o devolveria à rede irrestrita. Os quatro pilares da NAP atendem diretamente às principais necessidades de segurança do ambiente de computação móvel e dinâmico da Contoso.

Design de NAP
Para pequenas e médias empresas, a imposição baseada no DHCP para NAP é a opção de implementação mais rápida e fácil. Isso porque a imposição de DHCP não requer nenhuma alteração adicional na rede e nenhum serviço além do DHCP e do NPS. Embora as opções de imposição de IPsec e de 802.1X sejam mais flexíveis, elas também requerem alterações adicionais na rede e a implantação de novos serviços. Para ambientes de menor complexidade, o uso de DHCP oferece os principais benefícios da NAP a um custo de implementação muito menor e com menos comprometimento operacional contínuo.
No ambiente da Contoso, um computador com o Windows Server "Longhorn" é usado como base da implantação de NAP. Como a NAP requer o NPS do Windows Server "Longhorn", não pode ser implantada em versões anteriores do Windows Server. A imposição baseada no DHCP para NAP também requer um servidor DCHP do Windows Server "Longhorn". Para consolidar serviços, a Contoso pode implantar o NPS e o DHCP no mesmo servidor; eles coexistem sem problemas. Por isso, a infra-estrutura do servidor NAP da Contoso é muito simples: um único computador com o Windows Server "Longhorn" executa os componentes de imposição e de diretiva.
No cliente, os computadores da Contoso que executam o Windows Vista já têm os recursos necessários para oferecer suporte a NAP. A única alteração no cliente necessária para os computadores com o Windows Vista é habilitar a funcionalidade da NAP, o que pode ser feito através da Diretiva de Grupo. Para os computadores da Contoso que executam o Windows XP, o pacote de um cliente NAP deve ser instalado separadamente. Computadores com Windows XP que tiverem ingressado no domínio têm, por padrão, a funcionalidade da Central de Segurança do Windows desabilitada. Se a diretiva da NAP usar informações de status da Central de Segurança para avaliar a integridade do computador, a Central de Segurança deverá ser executada para que a NAP funcione corretamente. Por isso, para computadores da Contoso com o Windows XP, os administradores ativaram a Central de Segurança através da Diretiva de Grupo. Além dessas alterações, nada mais é necessário no cliente para oferecer suporte a NAP.

Implantação de NAP na Contoso
Depois que a Contoso tiver feito as alterações necessárias na Diretiva de Grupo que abordamos anteriormente, a próxima etapa na implantação de NAP é a instalação do Windows Server "Longhorn". Todas as versões do Windows Server "Longhorn" incluem os componentes de NAP necessários, por isso a Contoso pode usar a edição que melhor atender à suas necessidades. Uma vez concluída a instalação, o administrador de TI usará a ferramenta Gerenciador de Servidores para adicionar novas funções ao computador. Para a imposição baseada no DHCP que a Contoso está usando, as funções necessárias são Network Access Services (Serviços de Acesso à Rede) e DHCP Server (Servidor DHCP). O assistente Add Roles (Adicionar Funções) ajudará o administrador a lidar com as dependências e a incluir recursos adicionais no servidor. Uma vez adicionadas as funções, a Contoso está pronta para começar a configurar a NAP.
O administrador da Contoso usará a ferramenta Gerenciador de Servidores para acessar o snap-in do DHCP para o MMC (Console de Gerenciamento Microsoft) e adicionará um novo escopo. A configuração do servidor DHCP do Windows Server "Longhorn" fará com que todos os serviços DHCP existentes nos segmentos IP a que ele serve sejam substituídos. Depois de criado e populado o escopo com as opções certas baseadas na rede da Contoso, a NAP deverá ser habilitada nela. Isso é feito na guia Proteção de Acesso à Rede das propriedades do escopo (consulte a Figura 2).
Figura 2 Habilitando a NAP
Figura 2 Habilitando a NAP
A NAP alterna os computadores entre o acesso à rede restrito ou irrestrito dentro do mesmo escopo usando uma nova opção de escopo de classe de usuário. Esse conjunto especial de opções de escopo (incluindo servidores DNS, sufixo DNS padrão, etc.) é usado quando concessões são fornecidas a clientes problemáticos. Por exemplo, enquanto os clientes íntegros receberiam o sufixo DNS padrão "contoso.com", os clientes problemáticos receberão o sufixo "restricted.contoso.com", como mostra a Figura 3. Uma vez configuradas as opções de escopo do DCHP, o Servidor de Diretivas de Rede poderá ser configurado e as regras criadas.
Figura 3 Acesso restrito
Figura 3 Acesso restrito
A diretiva NPS é formada por quatro componentes principais. Os SHVs (Validadores da Integridade do Sistema) definem quais verificações devem ser executadas para avaliar a integridade de um computador. Os Grupos de Servidores de Atualizações contêm a lista de sistemas que podem ser acessados pelos computadores problemáticos para se tornarem íntegros de novo (o WSUS, por exemplo). O componente Modelo de Validador da Integridade do Sistema é usado para definir os estados de integridade atuais. Por exemplo, a Contoso pode dizer que um computador "Compatível" é aquele que passa no SHV da Segurança do Windows, mas permitir que o cliente falhe em outra verificação de SHV do fornecedor de antivírus. Finalmente, esses componentes são combinados em um conjunto de Diretivas de Rede, que contêm a lógica que determina o que acontece aos computadores com base no estado de integridade deles.
Os Validadores da Integridade do Sistema são listas de itens que o agente NAP verifica e cujo status ele relata para o NPS. Uma implantação de NAP padrão inclui o SHV do Windows, que se conecta à Central de Segurança do Windows e permite que a NAP verifique o status de todos os componentes de segurança relatados através da Central de Segurança. Isso inclui componentes de firewall, antivírus, atualizações automáticas e anti-spyware.
Lembre-se que a NAP foi projetada para ser extensível e para permitir que terceiros criassem seus próprios SHVs para fornecer verificações mais detalhadas de componentes individuais (consulte microsoft.com/windowsserver2003/partners/nappartners.mspx para obter mais informações). Por exemplo, o SHV da Segurança do Windows permite que a NAP verifique se o antivírus está habilitado e atualizado, mas não pode executar verificações mais detalhadas sobre o aplicativo de antivírus, como a freqüência com que o computador é examinado ou outras opções específicas do aplicativo. O fornecedor de antivírus, porém, pode criar um SHV próprio que se conecte ao seu aplicativo mais profundamente e exponha mais verificações específicas do aplicativo que o SHV do Windows padrão. Esse SHV funcionaria em conjunto com o SHV do Windows e outros possíveis SHVs. Uma implantação de NAP pode ter muitos SHVs em uso ao mesmo tempo (consulte a Figura 4).
Figura 4 SHV da Segurança do Windows
Figura 4 SHV da Segurança do Windows
Os Grupos de Servidores de Atualizações são usados para especificar quais recursos um computador problemático é capaz de acessar. Geralmente, esses grupos incluem recursos como servidores WSUS ou SMS (Systems Management Server), assim como servidores de atualização de antivírus. É fundamental incluir não apenas os servidores em si, mas também os servidores de resolução de nome usados pelos clientes para encontrá-los. Como os clientes da Contoso foram configurados através de Diretiva de Grupo para usar o servidor chamado wsus.contoso.com para Atualizações Automáticas, os Grupos de Servidores de Atualizações devem incluir não apenas o endereço IP do servidor WSUS, como também o do servidor DNS que os clientes usam para converter o FQDN (nome de domínio totalmente qualificado) em um endereço IP numérico. Sem a permissão de acesso a esses recursos de resolução de nome (que podem ser tanto DNS como WINS, dependendo da forma como os clientes estão configurados), os clientes não conseguirão resolver os endereços IP dos recursos de correção e, portanto, não conseguirão acessá-los. A Figura 5 mostra as configurações de IP e DNS referentes ao exemplo.
Figura 5 Endereços IP e nomes DNS
Figura 5 Endereços IP e nomes DNS
Os Modelos de Validador da Integridade do Sistema são usados para definir o que constitui um computador íntegro. Eles pegam os resultados das verificações do SHV e determinam se um computador é íntegro ou problemático com base na aprovação ou reprovação em uma ou mais verificações (consulte a Figura 6).
Figura 6 Verificações de conformidade
Figura 6 Verificações de conformidade
No ambiente da Contoso (assim como em muitas implantações de pequeno e médio porte), há apenas dois estados definidos. Um computador íntegro é aquele que passa em todas as verificações do SHV. Um computador incompatível é aquele que falha em uma ou mais dessas verificações. Se necessário, as empresas podem optar por implementar lógica mais complexa (por exemplo, criando padrões de conformidade diferentes para usuários com base em função, departamento, localização geográfica, etc.), mas devem estar cientes de que isso pode tornar a identificação e solução de problemas mais difícil e demorada.
Todos esses componentes são reunidos às Diretivas de Rede, que são definidas por administradores e instruem o NPS a tratar os computadores com base no estado de integridade deles. Essas diretivas são avaliadas de cima para baixo (conforme exibidas na interface do usuário do NPS), e o processamento pára quando uma regra de diretiva for coincidente.
Mais uma vez, como a simplicidade é o objetivo da rede da Contoso, são necessárias apenas algumas diretivas. A primeira é a Compliant-FullAccess, que determina que os computadores que passarem em todas as verificações do SHV receberão acesso irrestrito à rede. Especificamente, se a integridade de um computador for avaliada e ele for aprovado em todas as verificações, o NPS instruirá o servidor DHCP a oferecer ao computador uma concessão de IP com opções de escopo "normais". O normal é essa diretiva Compliant-FullAccess estar listada em primeiro lugar na ordem de processamento, já que a maioria dos computadores deve estar compatível quando verificada. Isso reduz o tempo e o volume de processamento no NPS.
A próxima diretiva usada é Noncompliant-Restricted. No ambiente da Contoso, qualquer computador que falhe em uma ou mais verificações do SHV (e, portanto, coincidam com o Modelo de Validação da Integridade do Sistema Incompatível) corresponde a essa diretiva. Quando ela é coincidente, o NPS instrui o servidor DHCP a oferecer ao cliente uma concessão de IP com as opções especiais de escopo "restritas" da NAP. Isso permite que os computadores incompatíveis acessem apenas aqueles recursos definidos no Grupo de Servidores de Atualizações da Contoso.
A terceira diretiva usada é para fins de compatibilidade com versões anteriores. Lembre-se que, por padrão, o suporte a NAP está disponível para o Windows XP e sistemas operacionais posteriores (embora fornecedores independentes de software possam desenvolver clientes NAP para versões mais antigas do Windows e outros sistemas operacionais). Se a Contoso tiver o Windows 2000 ainda em produção, poderá criar uma regra (Downlevel-Full-Access no nosso exemplo) que permita que computadores sem suporte a NAP recebam acesso normal à rede (dadas as opções de escopo padrão do servidor DHCP). Essa diretiva deve ser avaliada por último e só precisa ser criada e habilitada quando computadores de nível inferior requererem acesso (consulte a Figura 7).
Figura 7 Configurações de acesso para computadores de nível inferior
Figura 7 Configurações de acesso para computadores de nível inferior
E se a Contoso tiver recursos em sua rede que não estão (nem nunca estarão) capacitados para NAP, como impressoras e outros tipos de hardware? Além disso, e se a Contoso tiver computadores que estão capacitados para NAP mas deseja isentar as verificações de diretiva permanente ou temporariamente? Uma maneira fácil de isentar esses computadores é pelo endereço MAC. Para fazer com que as verificações da NAP ignorem esses computadores, os administradores da Contoso podem criar uma nova diretiva (Exempt by MAC) que conceda acesso total à rede. Essa diretiva usa uma declaração de condição na qual a propriedade do cliente RADIUS chamada Calling Station ID coincide com o endereço MAC desses dispositivos que precisam ser ignorados pela NAP. Se um computador coincidir com a declaração de diretiva, o NPS instruirá o DHCP a oferecer uma concessão com as opções de escopo "normais". Essa diretiva deverá ser listada em primeiro lugar na ordem de avaliação a fim de reduzir o tempo e o volume de processamento geral no NPS. Computadores coincidentes com essa diretiva não precisam de nenhuma avaliação do SHV, por isso não há motivo algum para dedicar ciclos no NPS para verificá-los (consulte a Figura 8).
Figura 8 Ignorando determinados computadores
Figura 8 Ignorando determinados computadores
Quando combinadas, essas diretivas ajudam a garantir que o NPS da Contoso avalie de maneira precisa e rápida os computadores que se conectem à rede. Se necessário, elas também fornecem isenções para dispositivos e computadores de nível inferior ou para ocasiões em que é necessário ignorar temporariamente dispositivos capacitados para NAP.

Conclusão
A NAP engloba um amplo conjunto de tecnologias e, principalmente em cenários mais complexos, requer planejamento e teste minuciosos. Embora eu tenha me concentrado em um cenário menos completo, o site da NAP contém orientações mais detalhadas para implantações de todos os tamanhos. O site também inclui assistência de planejamento para tecnologias de imposição de 802.1X e de IPSec, que geralmente são uma escolha melhor que a imposição baseada no DHCP para empresas.
A NAP oferece uma plataforma capaz e extensível para avaliar a integridade de computadores que se conectem a uma rede. Para pequenas e médias empresas, a imposição baseada no DHCP pode trazer muitos benefícios com baixos custos de gerenciamento e implementação. A NAP é um dos principais benefícios do Windows Server "Longhorn" e pode ajudar a aprimorar a segurança e a conformidade da sua organização.
Recursos NAP
  • Proteção de Acesso à Rede
  • Configurando imposição de protocolo de configuração de host dinâmico para a Proteção de Acesso à Rede em um laboratório de teste
  • Parceiros da Proteção de Acesso à Rede
  • WebCast do whitepaper “Introdução à Proteção de Acesso à Rede”

John Morello trabalha na Microsoft há seis anos, em várias funções. Como consultor sênior, Morello criou soluções de segurança para empresas da lista Fortune 100 e clientes civis federais e da defesa. Atualmente, ele é gerente de programas sênior do grupo Windows Server e trabalha em tecnologias de acesso em qualquer lugar.


 Os arquivos da &#225;rea de trabalho: Revisitando os Servi&#231;os de Implanta&#231;&#227;o do Windows
Os arquivos da área de trabalho
Revisitando os Serviços de Implantação do Windows
Wes Miller

Passei várias de minhas recentes colunas discutindo tecnologias de implantação relacionadas ao Windows Vista e à próxima versão do Windows Server, codinome "Longhorn". A única constante no que diz respeito a software é a mudança, e por isso trago novidades para você com relação ao WDS (Windows Deployment Services), que estará disponível no
Windows Server® "Longhorn". Também acumulei um bom número de perguntas dos leitores e de discussões de que participei nos últimos meses, e vou usar uma parte desta coluna para responder a algumas dessas perguntas relacionadas ao ImageX, ao WDS e ao Windows® PE.

Novos recursos e aperfeiçoamentos
Quando o WDS foi originalmente concebido, esperava-se que a funcionalidade fornecida como um complemento do Windows Server 2003 seria praticamente idêntica à funcionalidade da versão oferecida mais tarde no Windows Server "Longhorn". Entretanto, a equipe de desenvolvimento do WDS para o Windows Server "Longhorn" trabalha com afinco em três novos recursos-chave que devem ser exclusivos ao WDS na futura plataforma de servidor.
Esses novos recursos são a implantação multicast, o desempenho do download TFTP avançado e o suporte à inicialização de rede EFI (Extensible Firmware Interface) para sistemas x64. Tais recursos são relevantes e altamente benéficos para usuários e administradores do WDS, portanto, vamos analisar cada um deles para ver as novidades. Uma observação importante: esses recursos não estão programados para serem incluídos em nenhuma versão futura do WDS para Windows Server 2003.

Multicast
Muito antes de eu começar a trabalhar na equipe do Windows, o multicast era um dos recursos mais discutidos e requisitados para o RIS (Serviços de Instalação Remota), e para a implantação do Windows em geral. Os clientes que haviam usado tecnologias de implantação de terceiros sabiam o que a implantação do multicast poderia fazer. Algumas tecnologias de implantação específicas ao cenário da Microsoft — em particular, o ADS (Serviços de Implantação Automatizada) — implementavam o multicast, mas nenhuma o fornecia para OEM e implantação empresarial, e ele permanecia um recurso freqüentemente requisitado sempre que eu discutia a implantação com clientes OEM ou empresariais.
A principal vantagem do multicast é permitir que vários computadores recebam uma comunicação simultaneamente. Ou seja, o remetente (neste caso, o servidor WDS) envia a informação a ser comunicada apenas uma vez. Cada cliente deve então escutar o comunicado inteiro, do início ao fim, para recebê-lo. Como todos os clientes estão escutando especificamente um endereço de rede ao mesmo tempo, o benefício é duplo: a velocidade de implantação avançada, já que a rede está menos congestionada com vários clientes executando a mesma tarefa; e a menor saturação da rede, já que cada cliente está escutando um único fluxo.
A desvantagem do multicast tem sido, historicamente, a própria infra-estrutura do multicast. Imagine o jogo do "telefone sem fio" que muitos de nós jogamos na infância. Você provavelmente se lembra das etapas:
  1. Você diz uma frase para a pessoa ao lado.
  2. Essa segunda pessoa ouve a frase.
  3. A segunda pessoa repete a frase para uma terceira pessoa.
  4. O ciclo continua com todas as pessoas presentes.
Agora, o problema inerente ao multicast é que, para você dizer a quatro pessoas a frase inteira, todas elas precisam estar na sala e escutar ao mesmo tempo. Se uma quinta pessoa entrar na sala, a menos que capte a frase, você precisará repetir a frase inteira novamente.
O multicast geralmente funciona da mesma forma. Você envia uma imagem binária (normalmente uma imagem de disco baseada em setores) por cabo. Todos os clientes que precisam recebê-la geralmente devem esperar na fila, caso não estejam preparados quando a imagem estiver sendo transmitida pela primeira vez. Ainda mais incômodo: se os clientes perderem dados demais devido a problemas de rede ou desempenho, precisarão sair completamente da fila de comunicação (pois não podem garantir que receberam toda a imagem de disco) ou o grupo inteiro deverá reduzir a velocidade para se adequar às necessidades do cliente que apresenta problemas. Em um cenário em que você implanta centenas de sistemas ao mesmo tempo, garantir que todos os clientes inicializem ao mesmo tempo e que as deficiências de velocidade de um deles não afete os outros é motivo de atenção especial no projeto de um sistema multicast.
A equipe do WDS mudou tudo isso ao fornecer um novo mecanismo de multicast que tira proveito da infra-estrutura WIM (Windows Imaging Format) baseada em arquivo para permitir alguns recursos muito exclusivos. Você poderá executar os mesmos cenários de multicast possíveis em etapas com a maioria dos softwares de multicast de terceiros, mas a solução de multicast para WDS fornece muito mais.
Primeiro, os computadores cliente podem entrar a qualquer momento na transferência. O multicast é uma transmissão em turnos (round robin) dos fluxos de arquivos, que continuarão a ser transmitidos até as necessidades de cada computador cliente terem sido atendidas. Por causa disso, não importa quando os clientes ficam online. Eles escutam o servidor WDS e, quando o servidor tiver concluído a transmissão do arquivo de imagem, ele começará de novo desde o início. Se um cliente perder um arquivo, simplesmente esperará por ele (pense nos cavalos em um carrossel).
Segundo, o protocolo é totalmente novo e apresenta o controle de congestionamento e o controle de fluxo, o que significa que funciona bem em redes de produção sem interferir na comunicação de rede existente. Um receio comum dos administradores de rede — justificado com algumas soluções de multicast — é que, ao ativá-los, você inunde a rede com o tráfego quando, por ironia, estava na verdade tentando tornar a comunicação mais eficiente.
Terceiro, a solução foi projetada para ser independente do WDS e do Active Directory®. Isso significa que você não precisa ter o Active Directory ou uma implementação ativa do WDS para poder utilizá-la. O multicast ImageX pode ser executado de modo independente, adequando-se a muito mais cenários. O cliente multicast é um aplicativo de linha de comando que pode ser executado no Windows Server "Longhorn" (e sua versão associada do Windows PE), no Windows Vista™, no Windows XP Service Pack 2 (SP2) ou no recentemente lançado Windows Server 2003 SP2.
Há novas tarefas de gerenciamento no MMC do WDS e no aplicativo WDSUtil para instalar e configurar o multicast. Há também uma mudança na interface do usuário do cliente WDS indicando que o multicast está sendo usado.
As ferramentas de gerenciamento do WDS permitem que os administradores monitorem em tempo real o progresso da transmissão aos clientes (incluindo a remoção de clientes de uma transmissão). As ferramentas de gerenciamento também oferecem log e relatório completos, indicando que os administradores agora terão um método de registrar as instalações — algo que fazia muita falta no RIS.
O multicast no WDS para Windows Server "Longhorn" é um dos anúncios mais empolgantes que ouvi ultimamente. É ótimo saber que a equipe foi capaz de satisfazer esse desejo sempre solicitado pelos clientes de uma forma que deverá funcionar muito bem, tanto para os clientes OEM quanto os empresariais.

Desempenho do download TFTP avançado
O TFTP (Trivial File Transfer Protocol) é um componente-chave do PXE (Pre-boot eXecution Environment), sendo ele mesmo o backbone do RIS e agora do WDS. O TFTP foi escolhido não devido à sua eficiência de rede ou sua robustez, mas principalmente por ser um protocolo muito pequeno (sendo sem monitoração de estado, não-seguro e baseado em UDP), prestando-se ao encapsulamento em uma ROM de inicialização, necessário para que os sistemas realizem a inicialização PXE na rede.
No Windows Server "Longhorn", o TFTPD (TFTP Daemon) foi totalmente reescrito, de forma que tornou possível avanços significativos nos tempos de download TFTP (um aperfeiçoamento importante agora que toda a implantação do WDS baseia-se em uma inicialização do Windows PE a partir de uma imagem da RAM). Isso é uma boa notícia para os clientes que desejavam melhor desempenho no download do Windows PE a partir do RIS ou do WDS no Windows Server 2003.
À medida que o mundo da informática se desloca do onipresente BIOS (o backbone dos computadores x86 de hoje) para a EFI, a Microsoft preparou o WDS para trabalhar com os sistemas de servidores x64 disponíveis recentemente que inicializam usando a EFI, em vez do BIOS. A funcionalidade incluída permitirá que os sistemas cliente x64 realizem a inicialização PXE em um servidor WDS.

Perguntas
Com a atualização do WDS sob controle, eu gostaria de usar o restante desta coluna para responder a algumas perguntas que recebi por email ou vi em discussões online recentes, e que acho que podem ser de interesse geral dos meus leitores.

P É possível usar o WDS em um ambiente não-DHCP? Minha rede não permite tráfego DHCP ou PXE.
R Sim, em tese, você pode usar o WDS em um ambiente não-DHCP, mas a solução não é dimensionada, já que você deverá criar um CD exclusivo para cada instalação a que pretende dar suporte — cada um com seu próprio endereço IP exclusivo. Talvez seja mais aconselhável usar DVD para a instalação. Se precisar instalar através do WDS sem DHCP, execute estas etapas:
  1. Crie uma imagem WDS Discover com um servidor definido estaticamente (apontando para o servidor WDS específico do qual você fará a instalação).
  2. Permita o tráfego DHCP na porta 4011 desse servidor WDS de destino. Mesmo que você não use o DHCP, deve dar essa permissão, que é como os clientes WDS realizam o handshake com o servidor.
  3. Crie mídia exclusiva do Windows PE com um endereço IP estático em vez de DHCP.
Saiba que essa solução é difícil porque a mídia do cliente deve ser exclusiva para evitar colisões de endereço IP, e você deve apontar para um servidor WDS específico em sua rede. Como o PXE (que se baseia no DHCP) é o backbone do WDS, você pode ver por que o WDS funcionará muito melhor se o DHCP for permitido no ambiente.

P Desejo fazer a inicialização PXE do Windows PE 2.0 a partir de um servidor PXE que não seja WDS. Como posso fazer isso?
Um artigo da Base de Dados de Conhecimento em support.microsoft.com/kb/926172 pode oferecer alguma orientação para fazer o Windows PE 2.0 funcionar em um servidor PXE não-WDS, mas saiba que a Microsoft oferece suporte limitado para isso.

P O que é o BDD? O WAIK (Kit de Instalação Automatizada do Windows) é uma parte dele?
R O BDD (na verdade, o Solution Accelerator para Business Desktop Deployment ) é uma estrutura de orientações sobre como usar ferramentas de implantação do Windows (como o WAIK) de uma forma gerenciável e reproduzível. O WAIK não é uma parte do BDD diretamente, mas o BDD fornecerá todas as ferramentas necessárias, inclusive o WAIK, para você instalar, caso ainda não tenham sido instaladas. Portanto, embora o BDD tecnicamente não inclua o WAIK, ele requer o WAIK para funcionar. Visite o site microsoft.com/desktopdeployment para obter mais informações sobre o BDD.

P Onde posso obter o WDS para meu sistema Windows Server 2003?
Há um WDS disponível como parte do download do WAIK no diretório do WDS (consulte go.microsoft.com/fwlink/?LinkId=85377).

P Como posso configurar o Windows PE 2.0 para inicializar com um endereço IP estático, e oferecer suporte à configuração DNS?
R Para configurar um IP estático, use o arquivo unattend.xml de exemplo da Figura 1 e coloque-o na raiz do seu CD, unidade flash USB ou outra mídia inicializável, para que seja selecionado. Se desejar ter também o suporte a DNS, você deverá executar o seguinte comando:
Figure 1 Figura 1 unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

P É possível inicializar o Windows PE em um controlador Fibre Channel?
R Sim, contanto que o HBA Fibre Channel ofereça suporte ao registro do volume de inicialização via Int13, de forma que ele apareça no BIOS com um volume inicializável do Windows PE. É necessário ainda adicionar o driver do controlador Fibre Channel, como você faria com qualquer outro driver de controlador de armazenamento não incluído.

P O Windows PE 2.0 é sempre inicializado com um RAMDisk. Alguns dos meus sistemas não têm RAM suficiente para inicializar dessa forma. É possível inicializar o Windows PE 2.0 sem um RAMDisk?
R Sim, é possível. O sistemas com menos de 256 MB de RAM, em particular, podem exigir uma implementação sem RAMDisk do Windows PE para serem inicializados. Há um artigo de suporte da Microsoft sendo elaborado que descreverá como fazer isso. Alguns avisos importantes: você não poderá trocar a mídia, como faz com um RAMDisk, e a inicialização será mais lenta do que uma versão do Windows PE 2.0 baseada em RAMDisk.

P Tentei inicializar o Windows PE 2004 e o Windows PE 2005 (1.5 ou 1.6) de mídia que não é DVD, e copiar uma imagem (ou outros dados) de um DVD. Não estou inicializando a partir do DVD, apenas copiando dados dele, mas não está funcionando. O DVD pode ser lido em uma instalação completa do Windows, mas, no Windows PE, eu recebo uma mensagem de erro afirmando que o volume está corrompido ou não pode ser lido. É possível corrigir isso?
R Sim, é possível. Por padrão, o Windows PE 1.x não tem suporte para mídia formatada para UDF. Os DVDs são, por definição, formatados com suporte para ponte ISO (um formato duplo de ISO e UDF) ou apenas UDF. É necessário adicionar o driver UDF à sua instalação do Windows PE para que isso funcione. O driver já está lá; apenas não está instalado. Para instalá-lo, faça o seguinte:
  1. No Bloco de Notas, abra o arquivo txtsetup.sif no seu diretório I386 (ou MiniNT, se for uma instalação de disco rígido do Windows PE).
  2. Localize a seção chamada [CdRomDrivers.Load] e procure a linha com o driver chamado cdfs.sys. Abaixo dessa linha, adicione a linha udfs = udfs.sys. A entrada deverá ser semelhante a isto:
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Localize a seção chamada [CdRomDrivers] e procure a linha contendo cdfs. Abaixo dessa linha, adicione a linha udfs = "Universal Disk File System". A entrada deverá ser semelhante a isto:
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Salve e feche seu txtsetup.sif e recrie a imagem do Windows PE conforme necessário. Agora você deve conseguir ler qualquer DVD formatado para UDF no Windows PE.

P Tenho uma série de sistemas mais antigos, nos quais executo o Windows XP, que não aceitam ACPI. Eu poderia usar o Windows PE 2.0 nesses sistemas para migrá-los para o Windows Vista ou talvez para reinstalar o Windows XP?
R Não é possível. O Windows PE 2.0 aceita sistemas compatíveis com ACPI (Interface de Energia e Configuração Avançada), e não será inicializado nesses sistemas. Se precisar usar o Windows PE nesses sistemas, use o Windows PE 1.6 ou anterior.

P Escrevi meu próprio aplicativo no Visual Studio® 2005 e gostaria de executá-lo no Windows PE (1.x ou 2.0). Ele irá funcionar?
R Depende de como o aplicativo foi escrito. Se você estiver usando C++ não gerenciado, a resposta é sim, seu aplicativo deverá funcionar. Se estiver usando qualquer linguagem de código gerenciado (C# ou J#, por exemplo) ou escrevendo código C++ gerenciado, ele não funcionará. Como o Microsoft® .NET Framework (qualquer versão) não está disponível no Windows PE, o código gerenciado não será executado.

P Estou tentando escrever meu próprio aplicativo para usar no Windows PE 2.0 e preciso de ajuda. Onde é o melhor lugar para procurar?
R Sugiro que você comece com o White paper Guia do desenvolvedor do Windows PE.

P Inicializei o Windows PE 2.0 várias vezes a partir de um CD, mas a letra da unidade (RAMDisk) é sempre X. Como posso realmente saber de que letra de unidade ele foi inicializado?
R Se você examinar o Registro, a seguinte chave deverá indiciar a letra da unidade da qual o Windows PE foi de fato inicializado:
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Se você achar que essa chave não foi preenchida porque um shell de terceiros foi usado no Windows PE, a execução do seguinte comando a atualizará para o valor correto:
start /w wpeinit UpdateBootInfo

P É possível usar o ImageX e arquivos WIM para fazer backup dos meus sistemas?
R Teoricamente, é possível, mas eu não recomendaria. O ImageX não pode fazer backup de nenhum arquivo bloqueado ou aberto como faz uma verdadeira ferramenta de backup. Recomendo que você continue a usar um verdadeiro utilitário de backup que lhe permita proteger arquivos abertos e bloqueados.

P Se eu capturar um arquivo WIM descompactado, ele será implantado mais rápido do que a imagem de mesmo volume compactada?
R Não de forma significativa. A captura demora, devido à compactação. Entretanto, a aplicação da imagem a um sistema de destino não demora tanto, seja qual for o tipo de compactação utilizado (nenhum, XPress ou LZX). Recomendo que você faça a sua opção de compactação com base no tamanho que sua imagem real precisa e no tempo que você pode dedicar à captura.

P Eu preciso reparticionar e formatar o disco se estiver planejando aplicar uma imagem WIM a ele?
R Sim. Para fazer uma imagem limpa de um sistema, você primeiro precisa limpar o volume com a ferramenta diskpart (ou excluir e recriar a partição de destino). Como alternativa, é possível formatar completamente o volume antes da aplicação.
Além disso, lembre-se de que as versões do Windows anteriores ao Windows Vista usavam um setor de inicialização diferente, portanto, se você estiver usando o Windows PE 2.0 para implantar o Windows Server 2003 ou versões anteriores, precisará executar o seguinte comando no Windows PE para definir o setor de inicialização em um que o Windows Server 2003 e versões anteriores possam utilizar para a inicialização antes de iniciar a configuração do Windows ou de aplicar um WIM dele:
bootsect /nt52 sys C: /force

Conclusão
Espero que você tenha achado a atualização do WDS e as respostas às perguntas úteis e interessantes. Todas as suas perguntas são bem-vindas e farei o que puder para respondê-las sempre que tiver espaço nesta coluna. Não deixe de enviá-las para o endereço de email indicado em minha biografia.
Windows Vista Hardware Assessment
Baldwin Ng

Boa notícia: seu gerente finalmente responde à sua proposta de um mês atrás. Ao que tudo indica, ele estava avaliando seriamente sua idéia de uma distribuição em toda a organização e começou a enxergar os benefícios e a economia nos custos de gerenciamento de um único sistema operacional. Entretanto, ele não está totalmente convencido de que faz sentido em termos financeiros substituir todos os computadores para a instalação do Windows Vista. Ele quer informações concretas detalhadas sobre quais computadores podem migrar para o Windows Vista imediatamente e quais poderiam ser migrados se recebessem algumas pequenas atualizações, como memória adicional de sistema e espaço em disco rígido. E ele quer uma resposta até o final da semana. Por onde começar então? Como você obtém a resposta em poucos dias quando sua organização não tem nenhuma ferramenta sofisticada de gerenciamento de ativos ou de rede? Para piorar as coisas, seu predecessor não deixou informações suficientes sobre os ativos de rede que existem.
A Microsoft acaba de lançar o Windows Vista Hardware Assessment, um solution accelerator que ajuda você a determinar a preparação de sua organização para o Windows Vista (consulte o site microsoft.com/technet/wvha). Essa ferramenta avalia rapidamente os computadores de uma rede e gera relatórios detalhados em questão de horas sobre a preparação do seu hardware e a compatibilidade de dispositivos na maioria das organizações de médio porte, tudo sem a instalação de nenhum agente de software nos computadores da rede.
Tendo como base as poderosas tecnologias de relatório e coleta de inventário anteriormente desenvolvidas para o Microsoft Assessment and Deployment Solution (ADS), o Windows Vista Hardware Assessment cria um conjunto de relatórios de preparação por meio de um processo em três etapas:

1. Inventário de hardware
Com o uso de WMI (Instrumentação de Gerenciamento do Windows), Active Directory® e outros protocolos de rede do Windows como o NetServerEnum, essa ferramenta descobre computadores em um domínio, bem como computadores de grupo de trabalho. Uma vez concluído o inventário, todas as informações sobre dispositivos e recursos do sistema são armazenadas em um banco de dados SQL Server™ 2005 Express. A versão atual dessa ferramenta oferece suporte à descoberta de rede de até 5.000 máquinas. Futuras versões serão provavelmente dimensionadas para redes maiores.

2. Análise de compatibilidade
Usando os bancos de dados de dispositivos e BIOS mais atualizados da equipe do Windows, a ferramenta analisa a preparação de cada computador no que se refere à compatibilidade de hardware e dispositivos para o Windows Vista. Além disso, as informações sobre driver são transferidas regularmente através de um Web Service atualizado, de forma que você possa obter as informações mais recentes sempre que executar a ferramenta.

3. Relatório de preparação
A última etapa é a geração automática de um conjunto de relatórios de preparação na forma de documentos do Microsoft Word e planilhas do Excel®. Esses relatórios fornecem o status de preparação junto com recomendações de atualização para cada computador.
O Windows Vista Hardware Assessment complementa outros solution accelerators do Windows Vista, incluindo o Business Desktop Deployment 2007 e o Windows Vista Security Guide. Para obter mais informações, examine a home page dos Solution Accelerators.

Baldwin Ng é o gerente de produto da equipe Microsoft Solution Accelerators, cujo foco é a criação de ferramentas de software automatizadas para ajudar clientes e consultores a adotarem softwares da Microsoft de uma maneira mais rápida e eficiente. Ele pode ser contatado pelo email Baldwin.Ng@microsoft.com.

Wes Miller é gerente de desenvolvimento na Pluck (www.pluck.com) em Austin, TX. Ele trabalhou na Winternals Software, em Austin, e na Microsoft como gerente de programa e gerente de produto do Windows. Wes pode ser contatado pelo email technet@getwired.com e agradece a Scott Dickens, o gerente de programa dos Serviços de Implantação do Windows na Microsoft, por ajudá-lo nesta nova seção de recursos do WDS.


 Anota&#231;&#245;es de campo: Mantendo-se afiado
Anotações de campo
Mantendo-se afiado
Joshua Hoffman

Ah, o campo. Conheço muito bem. Antes de assumir minha função atual (como editor técnico desta primorosa publicação) há quase dois anos, eu era um profissional de TI ativo no campo. Trabalhei cinco anos na Microsoft Consulting Services e outros tantos nos departamentos de TI de várias empresas da lista Fortune 100. Aí fui fisgado por esse arpão. Não que eu esteja reclamando – tenho um grupo excelente de pessoas aqui, além de poder conhecer e trabalhar com vocês, leitores! E se eu nunca mais precisasse pegar um avião às 6h da manhã de uma segunda-feira para ir trabalhar, seria muito bom também.
Mas há um aspecto negativo no meu novo trabalho. Muitos profissionais de TI argumentariam que a melhor forma de aprender algo novo na nossa área de trabalho (e permanecer atualizado) é colocando a mão na massa. A aplicação prática é uma poderosa ferramenta educacional. Mas as carreiras avançam, as responsabilidades mudam e, de repente, você descobre que é um profissional de TI sem um sistema para administrar ou uma infra-estrutura para gerenciar. As coisas mudam muito rapidamente. Desde que assumi esta nova função, há uma nova versão do Windows® com uma nova estrutura de implantação, uma nova infra-estrutura de segurança, uma nova pilha de rede e alguns outros recursos. Ah, e há uma nova versão do Office também. E do Exchange Server. E do SQL Server™. E do Microsoft® Operations Manager. Além disso, há algumas novas ferramentas por aí: Windows PowerShell™, MMC 3.0, o Kit de Instalação Automatizada do Windows. Espero não ter esquecido nada.
Acontece que, em dois anos, muita coisa pode mudar. Então, se a melhor forma de aprender é fazendo e o seu trabalho não inclui mais essa parte prática, como você pode se manter atualizado?
Bem, espero sinceramente que esta revista o ajude. A mim ajuda. Temos vários autores que sabem muito sobre o que estão falando. Eu venho me beneficiando constantemente com o conhecimento deles. Mas, da mesma forma, às vezes você precisa realmente colocar a mão na massa. Normalmente, eu começo com o Virtual PC ou o Virtual Server, que podem ser baixados gratuitamente no site da Microsoft (você encontrará os links na seção de downloads do nosso site na Web). Com a tecnologia de virtualização, posso criar meu próprio Active Directory® ou personalizar uma implantação do Windows Vista™ direto no meu laptop. Sem nenhum hardware extra. Executar sozinho o processo faz uma grande diferença quando você está tentando entender como algo funciona.
O único problema com o Virtual PC é que você precisa criar de fato o ambiente virtual (instalar o sistema operacional, configurar tudo corretamente, etc.), o que é ótimo quando se está querendo aprender. Mas e se você só quiser explorar uma determinada função ou recurso de um produto? Por exemplo, e se você quiser saber mais sobre os novos recursos de conformidade no Exchange Server 2007? Instalar e configurar o Windows Server®, o Active Directory e o Exchange Server a partir do zero parece muito trabalho. Entre nos Laboratórios virtuais da TechNet. Na minha modesta opinião, os Laboratórios Virtuais são um dos melhores recursos de treinamento que surgiram nos últimos tempos. A equipe dos Laboratórios Virtuais já fez a parte mais difícil – instalou e configurou previamente mais de 180 máquinas virtuais com várias combinações de mais de 20 produtos. Cada uma vem com um conjunto de exercícios de treinamento para orientá-lo em tarefas comuns e novos recursos. E a melhor parte é que o processo inteiro é executado em um ambiente de navegador, hospedado em servidores gerenciados pela Microsoft, por isso você não precisa empregar seus próprios recursos de hardware.
Sim, realmente é mais difícil manter-se atualizado se você não estiver mais na linha de frente, mas não é impossível! Indiquei para você alguns dos meus recursos favoritos. E, como meu bom amigo Edward Dake destacou nesta coluna alguns meses atrás, um dos melhores recursos que temos são os próprios profissionais de TI. Você sempre pode pedir ajuda.

Joshua Hoffman é editor técnico e de aquisições da TechNet Magazine.


 Segredos do Windows: Determinando o que &#233; usado com freq&#252;&#234;ncia
Segredos do Windows
Determinando o que é usado com freqüência
Raymond Chen

Clique no botão Iniciar e será aberto o menu Iniciar. No lado esquerdo está uma lista de programas. Como essa lista de programas é escolhida? Partimos do princípio geral de que os programas que você executou mais recentemente são aqueles que deveriam ser mostrados na página frontal do menu Iniciar. Com esse princípio em mente, logo descobrimos que era necessário fazer algum ajuste fino.
A regra básica é que, sempre que você inicia um programa, ele ganha um ponto. De forma oposta, quanto menos você inicia um programa, mais pontos ele perde. O menu Iniciar mostra os programas que possuem mais pontos. Não é simples? Não é a parte do algoritmo de seleção que confunde as pessoas. Após a aplicação da regra básica, o ajuste fino tem uma contribuição, e essa é parte que as pessoas consideram mais intrigante.
Antes de entrar no ajuste fino, há alguns aspectos que não são óbvios com a regra básica. Observe que a regra fala sobre iniciar programas, não atalhos. Alguns programas instalam vários atalhos, e não importa qual atalho você usa para iniciar o programa. Se todos apontam para o mesmo executável, esse programa acumula todos os pontos ganhos através dos diferentes atalhos.
Menu Iniciar
Isso também significa que um programa pode ganhar pontos mesmo se você não usar o menu Iniciar para executá-lo, contanto que o execute a partir do Explorer. Se você executar um programa manualmente, digamos, abrindo a pasta e clicando duas vezes no executável, ele ainda ganhará pontos e poderá acabar sendo promovido à página frontal do menu Iniciar.
Agora, uma vez que um programa ganhe pontos suficientes para chegar à página frontal do menu Iniciar, o Windows® precisa decidir qual ícone de atalho mostrar se houver mais de um atalho apontando para o programa. Obviamente, a escolha recai sobre o atalho usado com mais freqüência.
Como parte do ajuste fino, alguns programas são filtrados na lista. Por exemplo, um programa que você fixou no menu Iniciar não será exibido, pois não faz sentido mostrar a você dois ícones do mesmo programa. Afinal, você fixou o programa no menu Iniciar porque o executa freqüentemente.
Uma outra etapa de ajuste fino filtra o ruído. Muitos programas eram exibidos porque eram atalhos para os programas auxiliares mais comuns, como o Bloco de Notas e o Wordpad — como um atalho para exibir um arquivo Leiame. Esses atalhos precisaram ser filtrados para não serem nomeados como, digamos, o representante do Bloco de Notas. Por acaso, um programa pode registrar-se como não qualificado para inclusão na página frontal do menu Iniciar criando um valor NoStartPage em seu registro de aplicativo.
A regra básica também não explica um programa que você inicia uma vez e mantém em execução o tempo todo. Interpretando-se a regra ao pé da letra, esse programa ganharia um ponto quando você o iniciasse e perderia esse ponto com o passar do tempo. (Neste caso, "freqüentemente" não é um modo de dizer "exatamente o tempo todo!") Então adicionamos outra regra: para cada dia consecutivo que um programa é mantido em execução, ele ganha um ponto. Isso é suficiente para manter o programa à frente na corrida por pontos, mas não tanto para superar os programas que você realmente inicia. Afinal, se você mantém o programa em execução o tempo todo, não precisa iniciá-lo com freqüência.
No Windows Vista™, foram acrescentadas algumas regras de ajuste fino. Por exemplo, ao escolher entre os atalhos candidatos de um programa que nunca foi executado a partir do menu Iniciar, um atalho sem parâmetros de linha de comando é agora o preferencial. E o programa executado mais recentemente sempre será exibido na lista, não importa o seu número de pontos.

Raymond Chen, The Old New Thing, e o livro de título idêntico (Addison-Wesley, 2007) tratam da história do Windows e da programação Win32. A sua chamada é importante para ele e será atendida na ordem em que foi recebida.