 TechNet Magazine May 2007

TechNet Magazine May 2007

Связь: Новые возможности обмена мобильными сообщениями при помощи Exchange 2007

Обмен мобильными сообщениями изменил способ работы людей, и это изменение сделало очень важной безопасность мобильных устройств. Узнайте о том, как Exchange Server 2007 повышает удобство работы пользователей и помогает в управлении увеличивающимся числом мобильных сотрудников.

Yee-Chen Tjie Связь: Лучшая совместимость с Exchange Server 2007

Необходимость защиты корпоративных активов и соблюдение нормативных требований является значительной нагрузкой для отделов ИТ. Узнайте, как новые функции Exchange Server 2007 помогут вам защитить данные и соблюсти нормативы.

Alan Maddison Управление идентификацией: Построение процесса одношаговой подготовки

Ищете систему управления на основе веб-технологий? Узнайте, как использовать приложение MIISWorkflow для построения автоматизированной, одношаговой системы подготовки пользователей на основе продукта Microsoft Identity Lifecycle Manager 2007.

Aung Oo Администрирование в Windows: Упрощенное администрирование групповой политики в Windows PowerShell

Windows PowerShell предназначена для значительного облегчения вашей работы. Посмотрите, как интерфейсы API GPMC, написанные для языков WSH, могут использоваться непосредственно из Windows PowerShell, значительно упрощая ваши возможности управления групповой политикой.

Thorbjörn Sjövold Администрирование в Windows: Руководство по развертыванию служб терминалов

У централизованного выполнения приложений предприятия существует множество преимуществ, и перейти к такому стилю работы в настоящее время на удивление просто. Перечислим то, что необходимо знать для того, чтобы включить службы терминалов на Windows Server 2003 и внедрить службы терминалов в рамках всей организации.

James D. Silliman От редактора: Security To Go

Joshua Trupin Письма: Ответы на ваши вопросы

Инструментарий: Новые продукты для специалистов по информационным технологиям

Greg Steen SQL: вопросы и ответы: Анализатор соответствия рекомендациям, многоядерные процессоры и многое другое

Edited by Nancy Michell Обзор служебных программ: Набор средств для обновления узлов и шаблонов SharePoint

Luis Câmara Manoel and Peter Skjøtt Larsen ИТ-проектирование: Создание бизнес-плана

Stephen Ibaraki Кабельщик: EAPHost в Windows

Joseph Davies Windows PowerShell: Подключение WMI

Don Jones Эй, сценарист!: Цветут цветы. Открываются окна. Весна…

The Microsoft Scripting Guys Exchange Queue — очередь за ответами (Exchange Queue & A): Тайм-ауты OWA, устранение неполадок командлетов и прочее

KC Lemson and Nino Bilic В поисках безопасности: Защита доступа к сети

John Morello Материалы о рабочей среде: Снова о службах развертывания Windows.

Wes Miller Полевые заметки: Как оставаться в форме

Joshua Hoffman Конфиденциальные сведения о Windows: Определение часто используемых компонентов

Raymond Chen


 Связь: Новые возможности обмена мобильными сообщениями при помощи Exchange 2007
Связь И-Чен Тье (Yee-Chen Tjie)

Новые возможности обмена мобильными сообщениями при помощи Exchange 2007
Краткий обзор:
  • Настройка мобильных устройств
  • Применение политик
  • Улучшенный обмен сообщениями
  • Мобильный доступ к файлам

Всего несколько лет назад доступ к корпоративной электронной почте не с настольного компьютера был нечастой и сложной задачей. Сегодня пользователям не только необходим удаленный доступ к электронной почте, но
вид человека в кафе с мобильным устройством для обмена сообщениями не вызывает удивление. Обмен мобильными сообщениями изменил способ работы людей. Он позволил мобильным сотрудникам выполнять свою работу более эффективно, не находясь в офисе.
Кроме того, последние улучшения в технологии обмена мобильными сообщениями привели к появлению проблемы безопасности мобильных устройств. Компании занимаются поиском лучших способов защиты конфиденциальной деловой информации на мобильных устройствах.
Появление Exchange Server 2003 и технологии Exchange ActiveSync® обеспечило возможность безопасного подключения устройства Windows Mobile® (коммуникатор или смартфон) к Exchange Server 2003 по протоколу HTTPS. Однако управление мобильными устройствами отсутствовало. С выпуском пакета обновления 2 (SP2) для Exchange Server 2003 и выпуска функционального пакета «Messaging and Security Feature Pack» (MSFP) для Windows Mobile 5.0 стала возможной установка глобальной политики для всех устройств Windows Mobile, подключаемых к Exchange. Эти политики позволили использовать обязательные ПИН определенной длины, время ожидания простоя до ввода ПИН и стирание памяти устройства после определенного числа неправильных вводов ПИН.
В Exchange Server 2003 с пакетом обновления 2 (SP2) также добавлена возможность удаленного стирания памяти устройства с помощью средства Exchange Mobile Admin Tool, как показано на рис. 1. Этот инструмент предоставляет администраторам возможность использования команды стирания памяти утерянного устройства Windows Mobile. При следующем подключении устройства к серверу Exchange произойдет аппаратный сброс устройства, и все содержимое памяти устройства будет удалено.
Рис. 1 Средство Exchange Mobile Admin Tool для стирания памяти устройства
Рис. 1 Средство Exchange Mobile Admin Tool для стирания памяти устройства
Хотя это было хорошим началом разработки процессов управления и обеспечения безопасности мобильных устройства, осталась необходимость соблюдения ряда требований безопасности. Exchange Server 2007 помогает восполнить эти пробелы.

Настройка устройства и ее применение
Exchange ActiveSync включена по умолчанию для всех пользователей почтовых ящиков в Exchange Server 2007. При необходимости включения этой функции только для ряда пользователей сначала необходимо отключить функцию для всех пользователей. Консоль управления Exchange не позволяет отключить функцию ActiveSync для группы пользователей, но это можно просто сделать с помощью команды командной консоли Exchange, например, следующей:
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Эта команда получает все почтовые ящики на сервере 2007 и направляет информацию команде Set-CASMailbox для отключения ActiveSync для всех существующих почтовых ящиков.
Следующим этапом является создание политик Exchange Mailbox ActiveSync для вашей организации. Количество создаваемых политик зависит от различных профилей безопасности пользователей. Например, финансовому аналитику, получающему конфиденциальную финансовую информацию по электронной почте, может быть необходима более строгая политика безопасности устройства, чем обычному пользователю.
Для настройки политики ActiveSync перейдите к дереву переходов консоли управления Exchange, затем в контейнере «Organizational Configuration» (Организационная конфигурация) выберите «Client Access» (Клиентский доступ). На панели «Actions» (Действия) выберите «New Exchange ActiveSync Mailbox Policy» (Новая политика почтового ящика Exchange ActiveSync).
В диалоговом окне «New Exchange ActiveSync Mailbox Policy» (Новая политика почтового ящика Exchange ActiveSync) можно создать гибкие политики для параметров, управляющих разрешением загрузки вложений на устройство или разрешением неподготавливаемых устройств (см. рис. 2). Подготавливаемые устройства – это устройства Windows Mobile с возможностями применения и принудительного выполнения указанных политик. Неподготавливаемые устройства – это устройства, которые могут применять только подмножество политики (или вообще не могут применять).
Рис. 2 Политики почтового ящика Exchange Server 2007 ActiveSync
Рис. 2 Политики почтового ящика Exchange Server 2007 ActiveSync
В число других функций входят возможность настройки параметров для шифрования и восстановления пароля. Если установлен параметр «Require encryption on the device» (Необходимость шифрования на устройстве), будет выполняться шифрование всех файлов на устройстве. Параметр «Enable password recovery» (Разрешить восстановление пароля) позволяет пользователям получать ПИН устройства с помощью Outlook® Web Access 2007.
Перед применением политик пароля для устройств их необходимо тщательно рассмотреть. Длинные и сложные ПИН обеспечивают большую безопасность, но затрудняют использование устройств. Компромисс между безопасностью и удобством использования является ключевым фактором при определении надежности пароля и времени ожидания до ввода ПИН. Установка параметров «Password expiration» (Срок истечения пароля) и «Enforce password history» (Принудительное ведение журнала пароля) также может повысить безопасность, но может разочаровать пользователей, если отслеживание паролей и ПИН станет слишком сложным.
Политики почтовых ящиков Exchange Server 2007 ActiveSync помогают повысить безопасность устройства, но для некоторых функций необходима операционная система Windows Mobile 6.0, которая станет доступной на устройствах только на момент публикации данной статьи. Для всех функций, показанных на рис. 2, Require encryption on device (Необходимость шифрования пароля), Enforce password history (Принудительное ведение журнала пароля) и Password expiration (days) (Срок истечения пароля (количество дней)) необходима новая версия. Однако можно продолжать пользоваться преимуществами новых гибких политик Exchange Server 2007 для пользователей с установленной операционной системой Windows Mobile 5.0.
После определения политик их можно применить для пользователей. В консоли управления Exchange перейдите к «Recipient Configuration» (Настройка получателя) и выберите «Mailbox» (Почтовый ящик). Выберите пользователя почтового ящика, для которого необходимо включить политику ActiveSync, затем выберите «Properties» (Свойства) на панели «Actions» (Действия). Перейдите на вкладку «Mailbox Features» (Функции почтового ящика) и дважды щелкните «Exchange ActiveSync». В окне «Exchange ActiveSync Properties» (Свойства Exchange ActiveSync) нажмите кнопку «Browse» (Обзор) и выберите политику ActiveSync, которую необходимо применить для пользователя (см. рис. 3). Можно повторить эти действия для применения различных политик к различным пользователям или можно использовать следующие команды командной консоли Exchange для применения политики к группе пользователей:
Рис. 3 Применение политики почтовых ящиков ActiveSync
Рис. 3 Применение политики почтовых ящиков ActiveSync
Set-CASMailbox –Activesyncmailpolicy
Заключительными этапами является обучение конечных пользователей и службы поддержки. Сообщите пользователям о том, что для подключения устройств к Exchange Server 2007 потребуется ввести ПИН указанной длины (см. рис. 4). Объясните им примененные к ним политики безопасности, чтобы они не считали эти изменения препятствием для выполнения повседневной работы.
Рис. 4 Политика почтовых ящиков ActiveSync запрашивает ПИН
Рис. 4 Политика почтовых ящиков ActiveSync запрашивает ПИН
Возможно вы также захотите ознакомить их с новой возможностью Exchange Server 2007 — самостоятельное стирание памяти устройства с помощью Outlook Web Access 2007. При потере устройства пользователем он может осуществить стирание памяти устройства с помощью ссылки Options (Параметры) Outlook Web Access без обращения в службу поддержки (см. рис. 5). Это может быть полезным при потере устройства не в рабочее время.
Рис. 5 Управление устройством с помощью Outlook Web Access
Рис. 5 Управление устройством с помощью Outlook Web Access
Наконец, покажите использование функции удаленного стирания памяти устройства сотрудникам службы поддержки. Это просто сделать, открыв консоль управления Exchange, перейдя к «Recipient Configuration» (Конфигурация получателя) и выбрав «Mailbox» (Почтовый ящик). Здесь необходимо выбрать пользователей для выполнения стирания, затем выбрать «Manage Mobile Device» (Управление мобильным устройством) на панели «Actions» (Действия). Интерфейс «Manage Mobile Device» (Управление мобильным устройством) показан на рис. 6. Имейте в виду, что пользователь может подключать к Exchange 2007 несколько устройств Windows Mobile, поэтому при выполнении стирания памяти необходимо выбрать верное устройство.
Рис. 6 Удаленное стирание памяти устройства
Рис. 6 Удаленное стирание памяти устройства

Обработка и поиск электронной почты
Windows Mobile 6.0 позволяет читать сообщения в формате HTML, устанавливать уведомления об отсутствии на рабочем месте (см. рис. 7) и отмечать сообщения электронной почты. Пометка сообщений электронной почты на устройстве Windows Mobile 6.0 равнозначна пометке электронной почты в Outlook. Вместо пометки сообщений электронной почты как непрочитанных для последующей работы с ними теперь можно пометить сообщения и использовать улучшенные возможности Outlook для работы при возврате на настольную систему. Чтение электронной почты в формате HTML предоставляет преимущества не только для пользователей мобильных устройств, но также и для других получателей ветви сообщений электронной почты. При ответе на сообщение электронной почты с помощью Windows Mobile 6.0 это сообщение не преобразуется в основной текст, таким образом повышается удобство других получателей сообщения, также использующих Outlook.
Рис. 7 Сообщение об отсутствии на рабочем месте
Рис. 7 Сообщение об отсутствии на рабочем месте
Функции ведения календаря Windows Mobile 6.0 значительно улучшены. Теперь можно пересылать, отвечать или отвечать всем, находясь в записи календаря, а также проверять состояние получения всех приглашений.
Windows Mobile 6.0, используемая вместе с Exchange Server 2007, предоставляет две новые возможности, относящиеся к поиску и мобильному доступу к документам. Одной из проблем использования мобильных устройств являются ограниченные возможности хранения данных. Из-за этого множество пользователей сохраняет сообщения электронной почты на своих устройствах в течение одного-трех дней. Пользователи также часто предпочитают получать сообщения электронной почты только из одной папки Входящие. Такой минималистский подход может быть проблемой при необходимости доступа к старым сообщениям или сообщениям в других папках почтового ящика.
Windows Mobile 6.0 позволяет выполнять беспроводной поиск во всем почтовом ящике с помощью механизма поиска и индексирования Exchange Server 2007. Поиск электронной почты может осуществляться по ключевым словам в нескольких папках (см. рис. 8). Затем может быть выполнена загрузка сообщений электронной почты из результатов поиска в реальном времени.
Рис. 8 Беспроводной поиск электронной почты
Рис. 8 Беспроводной поиск электронной почты

Мобильный доступ к документам
С ростом программного обеспечения для совместной работы с документами, например, SharePoint®, и ограничениями максимального размера сообщений электронной почты для пересылки конечные пользователи вкладывают в сообщения электронной почты меньшее количество документов и отправляют большее количество ссылок на общие файловые ресурсы и узлы SharePoint. Доступ к этим документам с мобильного устройства без подключения к корпоративной сети через виртуальную частную сеть может быть невозможным. Для мобильных сотрудников это может являться препятствием.
Windows Mobile 6.0 и Exchange Server 2007 предоставляют пользователям возможность доступа к данным с помощью общих файловых ресурсов UNC и узлов SharePoint, доступ к которым возможен только в режиме только для чтения. Exchange Server 2007 может переадресовывать запросы этих документов от имени устройства Windows Mobile (см. рис. 9). Даже без подключения к корпоративной сети через VPN пользователи не ограничены доступом только к документам, вложенным в сообщения электронной почты; они могут получить любые документы общих файловых ресурсов и узлов SharePoint.
Рис. 9 Доступ к документам через ссылки UNC
Рис. 9 Доступ к документам через ссылки UNC
Для администрирования мобильного доступа к документам откройте консоль управления Exchange и выберите «Client Access» (Клиентский доступ) в дереве переходов «Server Configuration» (Настройка сервера). Затем перейдите на вкладку «ActiveSyn», выберите объект «Microsoft-Server-ActiveSync» и щелкните свойства на панели «Action» (Действие). На вкладке «Remote File Servers» (Удаленные файловые серверы) можно настроить белый и черный списки для имен узлов и файловых серверов SharePoint.
По завершении вернитесь к политике почтовых ящиков Exchange ActiveSync и убедитесь, что установлены флажки «Windows® File Shares» (Общие файлы Windows®) и «Windows SharePoint Services» (Службы Windows SharePoint Services) (рис. 10).
Рис. 10 Разрешение доступа к устройству
Рис. 10 Разрешение доступа к устройству
Теперь вы можете обеспечивать лучший доступ к документам для всех пользователей устройств Windows Mobile.

Заключение
В сегодняшнем мире удаленных сотрудников устройства Windows Mobile предлагают эффективные способы доступа к информации в любое время и в любом месте. Безопасность и управление мобильными устройствами стали основными проблемами подразделений ИТ. Exchange Server 2007 вместе с Windows Mobile 6.0 упрощают создание и применение политик для устройств Windows Mobile, что может помочь устранить проблемы, а также предоставить основу для новых возможностей удаленных сотрудников.
Материалы по Windows Mobile
Доступны дополнительные информационные материалы о развертывании Exchange Server 2007 и Windows Mobile Messaging.
  • Exchange Server TechCenter
  • The Fundamentals of Mobile Access to Exchange 2007 (Основы мобильного доступа к Exchange 2007)
  • Managing Exchange ActiveSync (Управление Exchange ActiveSync)
  • Windows Mobile Virtual Labs (Виртуальные лабораторные работы по Windows Mobile)
  • Windows Mobile 6 SDK

И-Чен Тье (Yee-Chen Tjie) — технический специалист Майкрософт в регионе Новая Англия. Он работает с мобильными решениями и решениями единой связи.
© 2007 Корпорация Майкрософт и компания CMP Media, LLC. Все права защищены; полное или частичное воспроизведение без разрешения запрещено.


 Связь: Лучшая совместимость с Exchange Server 2007
Связь Алан Мэдисон (Alan Maddison)

Лучшая совместимость с Exchange Server 2007
Краткий обзор:
  • Управляемые папки
  • Правила транспорта
  • Классификация сообщений
  • Ведение журналов

По данным аналитиков, около 75 процентов корпоративной документации создается и передается посредством электронной почты. Без сомнения, значительная доля интеллектуальной собственности вашей организации находится на серверах обмена сообщениями. Это накладывает большую ответственность на
администраторов, занимающихся поддержкой серверов обмена сообщениями, на которых содержится так много важнейших данных компании. Более того, растущее количество федеральных и местных нормативов (как в США, так и в других странах), описывающих требования к архивации и хранению корпоративных данных, делает эту работу еще более сложной и важной.
Необходимость защиты корпоративных активов и соблюдение нормативных требований является значительным бременем. При разработке корпорация Майкрософт внесла в Exchange Server 2007 ряд изменений и новых функций, значительно повышающих возможности соответствия Exchange нормативам и в то же время упрощающих процесс управления. В этой статье будут рассмотрены ключевые изменения в Exchange Server 2007, которые помогают в соблюдении нормативов.

Что такое соответствие нормативам
Перед тем как мы углубимся в разговор о Exchange Server 2007, следует обсудить вышеупомянутые требования. Есть три основных области нормативов: сохранение информации, управление доступом и целостность данных. Например, в США в правиле SEC 17A-4 определены политики хранения данных для членов фондовой биржи, брокеров и дилеров, а от финансовых организаций требуется возможность создания, индексирования, архивации, поиска и получения электронной почты. Управление доступом к данным описано в нескольких хорошо известных законодательных документах, включая Закон об отчетности в области медицинского страхования (HIPAA), закон Грэмма-Лича-Билей (GLBA) и закон Сената штата Калифорния номер 1386 (SB 1386). В HIPAA и GLBA описана безопасность и конфиденциальность личных данных, а в SB 1386 регулируется публичное раскрытие нарушений компьютерной безопасности с участием конфиденциальных данных.
Кроме того, требования по целостности данных объединены в другие законодательные акты, например закон Сарбейнса-Оксли (SOX), закон о борьбе с терроризмом («Патриотический акт») и Базельское соглашение (Basel II). Но эти требования высокого ранга – только капля в море. По некоторым оценкам, количество подобных нормативов в мире превышает 35 000. Разумеется, для компаний важно контролировать риск, связанный с тем, как они сохраняют информацию, управляют доступом к данным и обеспечивают их целостность. Так как же администратору справиться с этим риском и соблюсти все эти нормативные требования?
Первым шагом является документирование политик соответствия и сохранения. Следующий шаг – применение этих политик и постоянное управление ими. Exchange Server 2007 поможет во внедрении политик посредством управляемых папок, агента правил транспорта, классификации сообщений и агента ведения журналов.

Управляемые папки
Сохранение данных (или управление записями) является важнейшей частью структуры соответствия. В Exchange Server 2007 сделан большой шаг вперед в том, как администраторы управляют данными. В Exchange Server 2007 управление записями основано на трех принципах: устаревшие сообщения удаляются, нужные сообщения сохраняются, а пользователи сами классифицируют свои сообщения.
Большинство администраторов Exchange знакомы с политиками диспетчера почтовых ящиков Exchange Server 2003, которые можно было применять к почтовым ящикам. В Exchange Server 2007 управляемые папки предоставляют администраторам способ централизованного управления созданием и развертыванием новых папок по умолчанию или пользовательских папок, которые нельзя перемещать, переименовывать и, в большинстве случаев, удалять. Кроме того, с помощью пакета SDK возможно создавать веб-приложения самообслуживания, дающие пользователям возможность выбирать, какие папки следует добавить к их почтовым ящикам.
На рис. 1 показано, как консоль управления Exchange предоставляет подход к созданию папки на основе мастера. (Эта функциональность также доступна через командлет New-ManagedFolder командной консоли Exchange.)
Рис. 1 Использование командной консоли Exchange для создания новой папки
Рис. 1 Использование командной консоли Exchange для создания новой папки
При этом запускается мастер, показанный на рис. 2. Процесс создания папок очень прост; нужно просто ввести имя и описание папки, а затем нажать кнопку «Создать». По завершении создания папки вы получите подтверждение.
Рис. 2 С помощью интуитивно понятного мастера легко создать новую управляемую папку
Рис. 2 С помощью интуитивно понятного мастера легко создать новую управляемую папку
При имеющейся политике сохранения данных необходимо предоставить пользователям простые средства упорядочения и сохранения сообщений, гарантирующие, что сохранение данных будет происходить в соответствии с требованиями организации. Представим, что для пользователей необходимо развернуть три пользовательских папки, с помощью которых они смогут отличать письма, которые следует хранить три, пять и семь лет. Следующим шагом после создания управляемых папок является применение параметров содержимого к каждой из папок. Это делается с помощью мастера параметров управляемого содержимого.
Администратор обмена сообщениями отвечает за настройку истечения срока хранения содержимого (измеряется в днях) и действий, которые следует предпринять после наступления этого срока. Существуют пять возможных вариантов.
  • Удалить с возможностью восстановления
  • Отметить, что период хранения истек
  • Переместить в управляемую пользовательскую папку
  • Переместить в папку «Удаленные»
  • Удалить окончательно
При настройке этих параметров необходимо обратить пристальное внимание на следующие три параметра. Первый – это значение срока хранения сообщения; поскольку он измеряется в днях, следует учитывать високосные годы. Корпоративное управление (не говоря уже о судьях) не одобрит удаление содержимого раньше положенного времени, пусть и всего на один день. Второй параметр – начало периода хранения. Обычно это день доставки сообщения в почтовый ящик, если указания юридического отдела не утверждают иного. Третий параметр – это действие, выполняемое после истечения срока хранения. Наилучшим подходом является окончательное удаление элемента. Кроме того, параметры содержимого позволяют вести журнал сообщений, пересылая их на адрес SMTP.
Управляемые папки применяются к почтовым ящикам с помощью политик почтовых ящиков управляемых папок. Для создания этих политик в консоли управления Exchange имеется еще один мастер. Политики позволяют выбирать и группировать несколько папок. Это позволяет привязать несколько папок к одной политике.
Как правило, политики почтовых ящиков управляемых папок применяются при создании почтовых ящиков. Кроме того, можно применить политику к существующему почтовому ящику с помощью командлета Set-Mailbox командной консоли Exchange. Например, при необходимости применить политику почтовых ящиков управляемых папок под названием retention (сохранение) к учетной записи электронной почты с псевдонимом USER1 используется следующая команда:
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
Управляемые папки и соответствующие параметры содержимого предоставляют мощный механизм управления процессами сохранения и соответствия нормативам. Он не только позволяет пользователям упорядочивать соответствующие сообщения электронной почты и сохранять данные в папках, управляемых централизованно, но и вести журнал таких элементов для того, чтобы в случае запроса на раскрытие или указания о сохранении можно было легко выполнить судебный запрос.

Правила транспорта
В Exchange Server 2007 есть два агента правил транспорта. Однако с точки зрения соответствия нас интересует только агент, работающий на транспортных серверах-концентраторах. Этот агент служит для применения правил соответствия на основе политики к сообщениям в организации Exchange. (Агент правил пограничного транспортного сервера, с другой стороны, служит для защиты организации от нежелательной почты и вирусов.)
Ниже приведены некоторые из общих требований по нормативам и соответствию, за соблюдение которых отвечают администраторы.
  • Ограничение взаимодействия между различными группами отправителей и получателей
  • Предотвращение получения компанией или отправки из компании несоответствующего содержимого
  • Фильтрация конфиденциальной информации
  • Отслеживание или архивация сообщений, отправляемых и получаемых конкретными пользователями и группами
  • Перенаправление входящих и исходящих сообщений на проверку перед доставкой
  • Применение заявлений об отказе от ответственности
Транспортный сервер-концентратор был выбран для этого агента благодаря роли, которую он играет в топологии Exchange 2007. В результате значительных изменений в топологии Exchange 2007 теперь Exchange намного теснее интегрируется с топологией Active Directory®. Поток почты в организации в определенный момент проходит через транспортный сервер-концентратор. Транспортный сервер-концентратор запрашивает у Active Directory текущую настройку правил транспорта и применяет правила ко всем обрабатываемым сообщениям.
Любое правило транспорта, настроенное на транспортном сервере-концентраторе, будет реплицировано на все остальные транспортные серверы-концентраторы через службу Active Directory. Необходимо учесть, какие последствия для репликации несут ваш веб-узел и топология, и определить, как быстро вы сможете развернуть правило по всей организации.
Кроме того, необходимо помнить, что транспортный сервер-концентратор поддерживает кэш получателей для получателя и подстановку списка рассылки. Интервал обновления (по умолчанию составляет четыре часа) повлияет на время применения правил к сообщениям.
Правила транспорта на транспортных серверах-концентраторах оценивают все приглашения на собрания, обычные, зашифрованные и защищенные правами сообщения, которые отправляют друг другу пользователи, прошедшие проверку подлинности. Все анонимно отправленные сообщения оцениваются независимо от типа сообщения, отправителя и получателя.
Каждое правило транспорта состоит из следующих компонентов: условия, исключения и действия. Условия используются для указания атрибутов сообщения, например заголовка, получателя или отправителя, с помощью которых будет выполняться идентификация сообщения. Если сообщение удовлетворяет всем условиям определенного правила, к нему применяются действия, пока сообщение не станет соответствовать настроенному исключению. Исключения являются необязательными. Если исключение настроено, оно предотвратит обработку правилом транспорта любых сообщений, отвечающих какому-либо критерию сообщения. Действия, являющиеся необходимым компонентом любого транспортного правила, определяют способ обработки сообщения. На рис. 3 приведены возможные действия, которые могут быть выполнены на основе транспортных правил, настроенных на транспортном сервере-концентраторе.
Figure 3 Доступные действия для правил транспорта сервера-концентратора (Close Figure 3)

Действие | Название действия | Описание
Занести сообщение о событии в журнал | LogEvent | Добавляет событие в журнал приложений локального компьютера.
Добавить к теме строку | PrependSubject | Добавляет строку в начало поля темы сообщения.
Применить классификацию сообщений | ApplyClassification | Применяет классификацию сообщений к сообщению.
Добавить текст заявления об отказе от ответственности | ApplyDisclaimer | Применяет к сообщению заявление об отказе от ответственности.
Установить значение для вероятности нежелательной почты | SetScl | Установка для сообщения вероятности нежелательной почты.
Установить значение заголовка | SetHeader | Создает новое поле заголовка сообщения или изменяет существующее поле заголовка сообщения.
Удалить заголовок | RemoveHeader | Удаляет из указанного сообщения поле заголовка.
Добавить получателя к адресам поля «Кому» | AddToRecipient | Добавляет одного или нескольких получателей к списку адресов «Кому» сообщения. Исходные получатели могу видеть добавленный адрес.
Скопировать сообщение по адресам | CopyTo | Добавляет одного или нескольких получателей к полю «Копия» сообщения. Исходные получатели могут видеть исходный адрес.
Отправить скрытую копию сообщения по адресам | BlindCopyTo | Добавляет одного или нескольких получателей электронной почты к полю скрытой копии «СК» сообщения электронной почты.
Перенаправить сообщение по адресам | RedirectMessage | Перенаправляет сообщение одному или нескольким получателям, определенным администратором. Сообщение не доставляется исходному получателю или получателям, и ни получатели, ни отправитель не получают уведомления.
Отправить сообщение о недоставке отправителю с расширенным кодом состояния | RejectMessage | Удаляет сообщение и отправляет отчет о недоставке отправителю. Получатель не получает ни сообщения, ни уведомления.
Удалить сообщение без уведомления | DeleteMessage | Удаляет сообщение. Уведомление не отправляется ни получателю, ни отправителю.
Для создания транспортного правила можно использовать консоль управления Exchange и мастер правил транспорта, показанный на рис. 4. Кроме того, можно использовать командную консоль Exchange для создания правил сценариев.
Рис. 4 Запустите мастер правил транспорта для настройки правила транспорта на транспортном сервере-концентраторе
Рис. 4 Запустите мастер правил транспорта для настройки правила транспорта на транспортном сервере-концентраторе
Обратите внимание, что также можно использовать пакет SDK для написания пользовательских транспортных агентов, обрабатывающих сообщения на основе событий SMTP в Exchange. Однако это не для слабонервных.

Классификация сообщений
Новое средство классификации сообщений использует метаданные для описания предполагаемого использования или целевой аудитории конкретного сообщения. Со стороны клиента эти метаданные можно использовать в Outlook® Web Access (OWA) или Outlook 2007 для отображения описания классификации в приемлемой для чтения форме. Со стороны сервера агенты правил транспорта могут выполнять действия над сообщением в зависимости от его классификации.
Классификации сообщений в Exchange Server 2007 по умолчанию таковы: Привилегированный представитель/клиент (A/C (Attorney/Client) Privileged); Вложение удалено (Attachment Removed); Служебное, конфиденциальное (Company Confidential); Служебное, внутреннее (Company Internal). Однако во многих организациях создают собственные классификации. Создать новые классификации можно с помощью командлета new-MessageClassification в командной консоли Exchange. Например, при необходимости запрета доступа к финансовым данным можно создать классификацию сообщений Financial—Confidential (Финансовое, конфиденциальное):
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Обратите внимание: хотя необходимыми являются только три параметра, Name, DisplayName и SenderDescription, для достижения базового уровня функциональности необходимо добавить по крайней мере RecipientDescription. На рис. 5 показана новая классификация, представленная через интерфейс OWA.
Рис. 5 Список классификаций сообщений содержит созданную классификацию Financial—Confidential
Рис. 5 Список классификаций сообщений содержит созданную классификацию Financial—Confidential
Эта команда не использует параметр языка и будет применена ко всем языкам в организации Exchange. При поддержке глобальных операций может потребоваться сделать пользовательские классификации сообщений применимыми к конкретному языку.
Кроме того, следует верно устанавливать разрешения для классификаций. По умолчанию все новые классификации сообщений создаются с разрешением на чтение для пользователей, прошедших проверку подлинности. Однако классификации сообщений необходимо сегментировать, чтобы пользователи имели доступ только к тем классификациям, которые соответствуют их ролям. Кроме того, каждая классификация может иметь приоритет относительно других классификаций сообщений. Этот приоритет определяет порядок описаний и указывает, какие классификации связываются с сообщением при пересылке или ответе.
Следующим шагом после создания нужных классификаций является создание правил транспорта, использующих эти классификации. (Классификации сообщений не обязательно должны быть связаны с действиями, они могут быть исключительно информационными.) На рис. 6 показаны имеющиеся варианты при комбинировании классификаций сообщений с правилами транспорта. Я создал правило транспорта, отслеживающее сообщения с классификацией Financial (Финансовые). Если сообщение помечено таким образом, агент правил транспорта изучает получателей. Если кто-то из получателей не входит в группу рассылки финансового отдела, сообщение возвращается отправителю с отчетом о недоставке.
Рис. 6 Создание правила транспорта для сообщений с классификацией Financial (Финансовые)
Рис. 6 Создание правила транспорта для сообщений с классификацией Financial (Финансовые)
Кроме того, классификацию сообщений можно использовать для введения «этических стен» в вашей организации. Например, иногда возникает необходимость запретить связь между определенными личностями или отделами. Для этого можно использовать классификацию сообщений.

Агент ведения журналов
Для гарантии соответствия нормативам ведение журналов является мощным, хотя подчас и непростым оружием. К счастью, в Exchange Server 2007 предоставляются гораздо более гибкие возможности ведения журналов. Теперь поддерживается как стандартное ведение журналов (на уровне базы данных почтовых ящиков), так и новое расширенное ведение журналов (для каждого получателя), позволяющее вести журналы для отдельных пользователей и групп рассылок. Это значительно упрощает процесс соответствия запросам, таким как решения суда или судебные указы о сохранении. Кроме того, увеличиваются возможности по управлению последствиями, которые ведение журналов имеет для хранения и производительности.
Например, одним из наиболее гибких новых параметров является поддержка ведения журналов на основе динамических групп рассылок. Скажем, в организации есть необходимость удерживать сообщения электронной почты определенных пользователей. Это может быть нужно для внутреннего расследования отдела кадров или судебного дела. С помощью динамической группы рассылки администратор может добавлять и удалять пользователей из имеющейся группы, для которой уже ведется журнал. Это простой и быстрый способ прямого ведения журнала.
С помощью консоли управления Exchange и мастера динамической группы рассылки можно выбрать контейнер пользователя и, как показано на рис. 7, фильтровать включенные в него почтовые ящики в соответствии со значениями определенных атрибутов Active Directory. Выбор одного из пользовательских атрибутов, также показанный на рис. 7, позволяет администратору управлять тем, для каких пользователей ведется журнал, добавляя или удаляя это значение.
Рис. 7 Использование мастера динамической группы рассылки для настройки правил ведения журнала
Рис. 7 Использование мастера динамической группы рассылки для настройки правил ведения журнала
Для получения более глубокого представления о ведении журналов в Exchange 2007 ознакомьтесь со статьей Дэвида Строума «Более мощные средства ведения журнала Exchange 2007» за декабрь 2006 г. Дополнительные сведения можно найти в статье «Обзор ведения журналов».

Алан Мэдисон (Alan Maddison) – старший консультант по технологической практике Майкрософт в корпорации MTI Technology Corporation. Его основной специализацией являются Active Directory, Exchange Server и виртуализация.


 Управление идентификацией: Построение процесса одношаговой подготовки
Управление идентификацией Онг Оо (Aung Oo)

Построение процесса одношаговой подготовки
Краткий обзор:
  • Использование приложения MIISWorkflow
  • Реализация и настройка
  • Расширение возможностей MIISWorkflow

Если вы искали веб-интерфейс для запроса и подтверждения учетных записей, и в вашей организации используется Microsoft Identity Lifecycle Manager 2007 (ILM 2007, ранее Microsoft Identity Integration Server 2003, MIIS),
тогда приложение MIISWorkflow может оказаться простым и эффективным решением. Приложение MIISWorkflow входит в состав набора MIIS 2003 Resource Tool Kit 2.0 и доступно с декабря 2004. Хотя оно не обязательно окажется полным решением для любой среды, с него удобно начать построение собственного приложения, полностью удовлетворяющего нуждам вашей организации.
MIISWorkflow предоставляет ILM 2007 функциональность подготовки на основе подтверждений путем объединения с веб-приложением. Это одношаговая, контролируемая процессом система подготовки, принимающая запросы пользователей и направляющая их к подтверждающим (обычно менеджерам) с достаточной властью, чтобы принимать решения по поводу конкретных запросов. Основываясь на решении подтверждающего, ILM подготавливает учетную запись пользователя в доступных ему каталогах, используя бизнес-правила, определенные в ILM.
Это приложение может обеспечивать только одношаговый процесс; оно не может создавать сложные технологические возможности, такие как многошаговый процесс подтверждения с параллельными путями или технологический процесс с графическим интерфейсом. Если вашей организации не нужны такие сложные возможности, вы можете использовать пример MIISWorkflow, поставляемый в наборе MIIS Resource Tool Kit, для воплощения решения.
Я сконцентрируюсь на отделе кадров воображаемой компании. Обычно системы отдела кадров являются авторитетным источником всей информации о сотрудниках в организации. Однако, хотя в этих системах обычно присутствуют детальные сведения о постоянных сотрудниках, очень часто в них не хватает данных о временных работниках, таких как работники по договору и студенты-практиканты. Данные систем отдела кадров могут не отслеживать, к каким системам у сотрудников есть доступ, включая сведения об учетных записях. Я продемонстрирую, как построить простую систему по отслеживанию временных работников в организации.

Расширение возможностей MIISWorkflow
Примером того, как организации могут воспользоваться приложением MIISWorkflow, будет создание приложения, работающего вместе с существующими системами отдела кадров. При найме новых сотрудников информация о пользователях добавляется в систему отдела кадров. Можно спроектировать потоки в ILM, которые отправляют сведения в базу данных MIISWorkflow, а затем использовать это приложение для направления сведений о пользователях подтверждающим, прежде чем ILM создаст учетные записи в подключенных каталогах.
Если в вашей организации системы отдела кадров не используются для отслеживания временных сотрудников, то приложение MIISWorkflow может выступать авторитетным источником данных для управления их учетными записями в каталогах предприятия. Поскольку автоматизирующее документооборот приложение снижает количество бумажной административной работы, необходимой для получения подтверждений, пользователям не приходится днями ожидать учетных записей для доступа к каталогам и приложениям. Также можно использовать MIISWorkflow для быстрого отзыва доступа, улучшая безопасность организации.
MIISWorkflow можно использовать для аудита, чтобы определить число систем, куда у пользователя есть доступ, даты запроса и окончания для каждой учетной записи, а также запросившего и подтвердившего для каждой учетной записи. Возможность создавать отчеты с детализованным журналом учетных записей может обеспечить организации следование нормативным актам, таким как закон Сарбэйнса-Оксли и HIPAA.
Приложение MIISWorkflow выполняется на сервере IIS и использует возможности ILM 2007 по интеграции каталогов и подготовке для создания и удаления учетных записей в подключенных каталогах. Компоненты приложения включают набор веб-страниц ASP.NET, базу данных SQL Server™, управляющий агент и хранилище политики авторизации (см. Рис. 1). Приложение использует SQL Server для хранения данных, Active Directory® для проверки подлинности и хранилище политики диспетчера авторизации Windows® (Authorization Manager, широко известный как AzMan) для авторизации.
Рис. 1 Архитектура приложения MIISWorkflow
Рис. 1 Архитектура приложения MIISWorkflow
Приложение может быть расширено и настроено при помощи C# и ASP.NET. MIISWorkflow состоит из пяти страниц ASPX: ContractorApproval, ContractorHistory, ContractorRequest, ContractorStatus и ContractorUpdate. Эти страницы позволяют администраторам запрашивать, обновлять, подтверждать и отслеживать состояние любой пользовательской учетной записи в системе. Обратите внимание, что по умолчанию приложение MIISWorkflow настроено использовать встроенную в IIS проверку подлинности Windows, чтобы задействовать Kerberos.
Приложение управляет ILM в зависимости от действий подтверждающего, и ILM создает или удаляет учетные записи пользователей в подключенных каталогах, используя заданные правила. Как только было осуществлено действие по запросу, приложение инициирует операцию ILM и запросам не приходится ожидать следующего цикла синхронизации, чтобы изменения вступили в силу в подключенных каталогах.
Приложению необходима база данных MIISWorkflow, чтобы хранить сведения об учетных записях пользователей. Она отделена от базы данных, где ILM хранит всю свою информацию, но она настроена на том же экземпляре SQL Server. Когда авторизованный пользователь запрашивает учетную запись через приложение, сведения сохраняются MIISWorkflow. Когда подтверждающий открывает страницу, данные выдаются через ASP.NET. MIISWorkflow также хранит в базе данных историю операций и другую информацию об учетной записи. ILM импортирует данные из базы данных MIISWorkflow, используя управляющий агент SQL Server, поставляемый с приложением, и соответствующим образом предоставляет или отзывает учетную запись.
AzMan, используемый MIISWorkflow для авторизации, предоставляет контроль доступа, основанный на ролях (RBAC), для управления задачами, которые пользователи могут выполнять в зависимости от назначенных им ролей. (См. go.microsoft.com/fwlink/?LinkId=85825 для получения дополнительных сведений по RBAC). После того, как пользователь прошел проверку подлинности Active Directory и получил доступ, приложение сверяется с ролями, определенными в хранилище авторизации AzMan, чтобы определить, какие операции позволены этому пользователю. Две роли предопределены для приложения: contractor requestor и contractor approver. Пользователи или группы с ролью «contractor requestor» могут лишь размещать запросы через приложение, а пользователям или группам с ролью «contractor approver» позволено создавать, а также подтверждать или отклонять запросы.
Политика авторизации приложения MIISWorkflow хранится в файле формата XML. Роли могут быть назначены либо пользователям и группам Windows, либо группам пользователей приложения. Группы пользователей приложения дают возможность выполнить во время исполнения запрос LDAP для поиска объекта пользовательской учетной записи Active Directory или Active Directory Application Mode (ADAM) на основании значения атрибута; для сотрудника отдела маркетинга, например, «(department=‘marketing’)» окажется истинным.

Подробнее о приложении
Администраторы приложения контролируют доступ к нему при помощи AzMan. В зависимости от того, как приложение используется в вашей организации, вы может назначить роль «contractor requestor» всем пользователям в домене, либо только избранным группам. Роль «contractor approver» должна быть назначена лишь тем пользователям и группам, у кого есть право подтверждать или отклонять запросы. Обычно эта роль присваивается избранным администраторам отдела кадров, а также системным администраторам и администраторам групп. По умолчанию, приложение MIISWorkflow использует встроенную в IIS проверку подлинности Windows в качестве метода проверки подлинности, так что приложение будет осуществлять проверку подлинности пользователей на основании данных входа в Windows – это означает, что у пользователей не будут дополнительно запрашивать данные для проверки подлинности для доступа к приложению.
Пользователь с ролью «contractor requestor» может открыть в обозревателе страницу ContractorRequest и предоставить информацию о временном сотруднике, чтобы запросить для него учетную запись. На рис. 2 показана страница ContractorRequest.
Рис. 2 Страница ContractorRequest
Рис. 2 Страница ContractorRequest
Запрашивающий заполняет соответствующие данные временного сотрудника и отправляет запрос. На странице есть ссылки на подтверждение запросов и на проверку состояния запроса, но запрашивающий не может получить доступ к странице подтверждения, если у него нет роли «contractor approver» . Запрашивающий может щелкнуть ссылку ContractorStatus, чтобы просмотреть свои запросы, но он будет не в состоянии увидеть состояние запросов, отправленных другими.
Только у пользователя с ролью «contractor approver» есть доступ к странице ContractorApproval, где он может подтвердить или отклонить запрос после просмотра информации. На Рис. 3 показана интерфейс веб-страницы ContractorApproval.
Рис. 3 Страница ContractorApproval
Рис. 3 Страница ContractorApproval
Пользователю с ролью «contractor approver» видны все отправленные запросы. Любой пользователь с ролью «contractor approver» может подтвердить запрос, и только одно подтверждение или отклонение необходим, чтобы направить запрос на следующий этап обработки. Как только подтверждающий принял решение по запросу, запрос пропадает со страницы ContractorApproval. Это уменьшает число избыточных действий подтверждающих.
Подтверждающему необходимо регулярно (в зависимости от требований организации) посещать страницу ContractorApproval для просмотра новых запросов и принятия решений по существующим, потому что в приложении нет механизма извещения о поступлении новых запросов или скоплении необработанных запросов. Как только подтверждающий подтверждает или отклоняет запрос на странице, приложение инициирует операцию ILM, и учетные записи пользователей предоставляются или удаляются в подключенных каталогах, в зависимости от действий подтверждающего.
Рис. 4 Страница ContractorStatus
Рис. 4 Страница ContractorStatus
Состояние ожидающих запросов и записи о завершенных запросах доступны со страницы ContractorStatus (см. Рис. 4). На этой странице запрашивающий может предпринять несколько действий. Можно видеть собственные запросы, включая такую информацию, как идентификатор сотрудника, имя и фамилию, отдел, состояние и дату последнего изменения. Можно также изменять существующую информацию, просматривать журнал и закрывать учетную запись. Вы можете изменить сведения об имени, фамилии и отделе и заново отправить сведения на подтверждение. И, наконец, можно просмотреть журнал действий над запросом с временем и датой каждого действия на странице ContractorHistory (см. рис. 5).
Рис. 5 Страница ContractorHistory
Рис. 5 Страница ContractorHistory
Приложение MIISWorkflow делает процесс закрытия учетной записи незаметным, позволяя запрашивающему закрыть учетные записи временного работника со страницы ContractorStatus. Можно щелкнуть ссылку закрытия, чтобы немедленно отключить или удалить учетные записи временного работника в подключенных каталогах. Преимущество такой возможности закрывать учетные записи из приложения в том, что системным администраторам не придется искать и вручную удалять учетные записи в каждом каталоге. Поскольку приложение немедленно инициирует операцию ILM по удалению этих учетных записей из подключенных каталогов, нет временной задержки при их удалении.

Настройка приложения
Настройка приложения MIISWorkflow включает заведение служебной учетной записи, создание базы данных для приложения, настройку ILM для совместной работы, настройку IIS и настройку хранилища политики. Для упрощения процесса приложение содержит подготовленные сценарии и файлы настройки.
Приложение MIISWorkflow поставляется с файлом запросов T-SQL для облегчения процесса создания базы данных. Вы можете загрузить файл запроса в средство Query Analyzer и исполнить его, чтобы автоматически создать базу данных.
Настройка IIS включает создание нового пула приложений IIS и виртуального каталога, а также определение проверки подлинности и контроля доступа для размещения страниц ASP.NET. С приложением также поставляется файл формата XML с предопределенными ролями для настройки хранилища политики авторизации. Используя оснастку MMC AzMan, можно назначать существующие роли пользователям и группам, а также создавать новые роли.
Последним шагом является настройка управляющего агента ILM на импорт данных из базы данных MIISWorkflow в ILM. Это делается путем импорта настройки управляющего агента из файла XML и копирования файла расширения для управляющего агента SQL Server. И файл XML, и файл расширения управляющего агента поставляются с приложением. Файл readme содержит пошаговые инструкции по настройке каждого из этапов.

Расширение приложения
Приложение MIISWorkflow предоставляет отправную точку для разработки простой интеграции процесса с MIIS и для расширения функциональности вам может потребоваться внести изменения. Помимо простых изменений, таких как изменения веб-страниц, есть много других способов расширить это приложение.
Вы можете дополнить его возможностью оповещения, так что подтверждающий будет получать сообщение по электронной почте, когда есть ожидающий подтверждения запрос. Эта возможность могла бы также посылать напоминание подтверждающему, если запрос не был обработан в заданное время. Если вам нужно, чтобы выводилось больше информации о пользователях, чем предоставлено на страницах по умолчанию, вы можете добавить поля как на страницу ContractorUpdate, так и на страницу ContractorRequest. Вы можете добавить больше ролей, например, роль аудитора, которая будет позволять пользователю просматривать историю всех запросов, не только собственных.
Более сложные функции, такие как многошаговый процесс и возможность разрабатывать потоки при помощи графического планировщика, выходят за пределы данного приложения. Однако, вы можете использовать Windows Workflow Foundation для разработки более устойчивого приложения с поддержкой сложных функций процесса.
MIIS Resource Tool Kit доступен по адресу go.microsoft.com/fwlink/?LinkId=85829. Загрузите его сегодня и начните создавать ваши собственные решения по управлению идентификацией.

Онг Оо (Aung Oo) работает экспертом по вопросам управления идентификацией в консультационной службе Майкрософт (MCS). Онг занимался проектированием, разработкой и развертыванием корпоративных каталогов и решений по управлению идентификацией как для коммерческих, так и для правительственных заказчиков с момента выхода первого выпуска Microsoft Identity Management.


 Администрирование в Windows: Упрощенное администрирование групповой политики в Windows PowerShell
Администрирование в Windows Торбьорн Сьоволд (Thorbjцrn Sjцvold)

Упрощенное администрирование групповой политики в Windows PowerShell
Краткий обзор:
  • Что такое Windows PowerShell?
  • Как объекты групповой политики управлялись ранее
  • Перенос сценариев в Windows PowerShell

Технология групповой политики Microsoft не была принята моментально – вначале ее было сложно понять, и требовалось разобраться в службе каталогов Active Directory - странной новой службе, совершенно не похожей на домены Учетных записей/Ресурсов, являвшиеся стандартами в то время. Сегодня групповая политика
- это основа управления практически каждой организацией с инфраструктурой Windows®. Мне кажется, то же самое произойдет и с Windows PowerShell™, самой новой технологией управления от Майкрософт. На самом деле Windows PowerShell наверняка значительно упростит вашу работу в качестве администратора групповой политики.
В этой статье я покажу, как интерфейсы API консоли управления групповой политикой (КУГП/GPMC) Microsoft®, написанные для таких языков WSH, как VBScript (и в целом языков сценариев на основе COM), могут использоваться непосредственно из Windows PowerShell для упрощения управления групповой политикой в вашей среде.

Написание сценариев для задач групповой политики
Когда несколько лет тому назад Майкрософт выпустил GPMC, администраторы групповой политики внезапно получили в свое распоряжение несколько очень удобных функций. В частности, оснастка консоли ММС, посвященная групповой политике, представляла собой большой шаг вперед для управления групповой политикой, в особенности по сравнению со службой каталогов пользователей и компьютеров Active Directory®. Более того, был представлен совершенно новый интерфейс API, позволявший администраторам использовать языки COM, такие как VBScript, для группового администрирования задач, например, копирования и восстановления объектов групповой политики (GPO), переноса объектов GPO между доменами, настройки параметров безопасности для объектов GPO и связей, а также отчетности.
К сожалению GPMC не давала возможности изменять уже настроенные параметры внутри объектов групповой политики. Другими словами, вы могли выполнять операции с содержанием GPO, например читать версии GPO, читать даты изменения, создавать новые объекты GPO, копировать и восстанавливать/импортировать объекты GPO из других доменов и т.д., но вы не могли программно добавлять или изменять содержание GPO, например, добавлять новую перенаправленную папку или новую установку программы. Обычно вместо этого вы создавали объект GPO и настраивали все параметры вручную с использованием редактора объектов групповой политики, затем копировали и импортировали его в тестовую среду. Когда результат проходил проверку, и все работало правильно, вы импортировали объект в рабочую среду. Несмотря на отсутствующую функцию, использование сценариев вместо взаимодействия с интерфейсами API GPMC вручную приводило к огромной экономии времени, усилий, а также снижению количества ошибок в повседневном администрировании групповой политики.

Следующий уровень
Чем Windows PowerShell отличается от языков сценариев, таких как VBScript? Начнем с того, что Windows PowerShell является оболочкой и, по крайней мере для наших целей, вы можете считать оболочку интерпретатором командной строки. Хотя VBScript можно запускать из командной строки, файл VBScript не может запускаться построчно. Сценарий Windows PowerShell, наоборот, может быть создан в процессе работы как серия индивидуальных команд. Кроме того, у Windows PowerShell имеются функции, схожие с процедурами VBScript, которые могут создаваться в реальном времени в командной строке Windows PowerShell.
Более того, Windows PowerShell построена на основе Microsoft .NET Framework, в то время как VBScript основан на устаревшей технологии COM. Это означает, что большое количество кодов .NET, создаваемых сегодня, может быть использовано непосредственно в Windows PowerShell.
Когда речь идет о Windows PowerShell, это означает, что вы получаете полную поддержку сценариев и интерактивный режим, все в одной упаковке. Примеры, которые я приведу здесь, будут вводами командной строки, так что вы сможете печатать во время чтения; тем не менее, они будут работать также хорошо, если вы поместите их в файл сценария Windows PowerShell и запустите его.

Восстановление старых сценариев с использованием Windows PowerShell
При начале работы с новой технологией вы менее всего хотите потерять всю предыдущую работу. Существует три способа, которые можно использовать для получения доступа к объектам COM из интерфейса API GPMC, или, другими словами, вновь использовать имеющиеся там старые VBScirpt. Вы можете выбрать один из этих трех вариантов:
  • Создать командлет Windows PowerShell с использованием языка программирования C# или управляемого С++.
  • Использовать Windows PowerShell для получения доступа к ScriptControl в MSScript.ocx для обертывания старых сценариев.
  • Обернуть вызовы COM в функции Windows PowerShell для повторного использования или иным способом вызвать объекты COM напрямую.
Я собираюсь подробно остановится на третьем варианте, но давайте быстро разберем другие варианты.

Создание командлета Windows PowerShell
Майкрософт включил в Windows PowerShell большое количество командлетов, позволяющих копировать файлы, форматировать результат, получать дату и время и т.д., но вы также можете создавать ваши собственные командлеты. Эта процедура полностью описана в msdn2.microsoft.com/ms714598.aspx . Вот эта процедура вкратце:
  • Создайте библиотеку DLL класса на языке программирования .NET, таком как C#.
  • Создайте новый класс и унаследуйте от базового класса cmdlet.
  • Установите характеристики, определяющие имя, использование, входные параметры и т.д. и добавьте ваш код.
Поскольку Windows PowerShell построен на основе .NET Framework, любые типы, такие как строка, объект и т.д., возвращаемые или передаваемые как параметры, будут в коде точно такими же, как и в Windows PowerShell; не требуется специального преобразования типов.
Преимуществом этого решения является то, что в вашем распоряжении имеется полный язык программирования.

Обертывание старых сценариев с использованием объекта ScriptControl в MSScript.ocx
Совершенно очевидно, что для запуска файла VBScript вам необходим обработчик VBScript. Не так очевидно то, что этот обработчик – объект COM, и, поскольку вы можете использовать объекты COM из Windows PowerShell, вы также можете вызвать обработчик VBScript. Вот как это могло бы выглядеть:
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Если вы введете этот код в интерфейс командной строки (CLI) Windows PowerShell, будет вызвана функция ShowMessage языка VBScript и исполнена с параметром, в результате чего появится окно сообщения, в котором вы увидите текст «Hello World».
Некоторые из вас могут подумать: «Здорово! Я освоил искусство использования COM из Windows PowerShell, и теперь я могу перестать читать эту статью и начать заполнять объекты ScriptControl моей коллекцией старых сценариев GPMC.» К сожалению, это не так. Этот прием становится очень сложным и трудоемким при отладке по мере того, как сценарии становятся больше.

Обертывание COM объектов
Таким образом, наилучшим вариантом является третий из предложенных: обертывание вызовов COM в функции Windows PowerShell для повторного использования, позволяющий использовать объекты COM в интерфейсе API GPMC. Строка ниже показывает, как создать объект .NET непосредственно в Windows PowerShell. В данном случае это объект FileInfo, который можно использовать для получения размера файла:
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Обратите внимание, что # используется в Windows PowerShell для встроенных комментариев. Используя этот заново созданный экземпляр объекта FileInfo, вы легко можете получить размер boot.ini простым вводом следующего кода:
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Погодите, мы же говорили об объектах COM и преобразовании VBScript? Да, но посмотрите на следующую команду:
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
Вы должны заметить, что синтаксис практически идентичен тому, который я ранее использовал для создания собственных объектов из .NET Framework, с двумя различиями. Первое из них – добавление переключателя ComObject, направляющего Windows PowerShell через мир COM, а не через мир .NET. Далее, я использую ProgID из COM вместо конструктора .NET, в данном случае Scripting.FileSystemObject. ProgID – это то же самое имя, которое вы всегда использовали. В VBScript эквивалент будет следующим:
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Для получения размера файла с использованием VBScript добавьте вышеприведенную строку в файл вместе со следующим кодом:
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
Затем запустите его, используя, например, Cscript.exe. В Windows PowerShell вы бы сделали это следующим образом (непосредственно из командной строки Windows PowerShell, если угодно):
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Разумеется, для преобразования сценария VBScript, который считывает размер файла, я мог бы использовать командлет Windows PowerShell, который управляет объектами на дисках, но я хотел показать вам, как легко получить доступ к COM из Windows PowerShell. Обратите внимание, что, хотя я приказал Windows PowerShell создать объект COM, созданный объект, в данном случае $comFileSystemObject, является объектом .NET, который обертывает объект COM и открывает доступ к его интерфейсу. В свете этой статьи это, тем не менее, не имеет большого значения.

Windows PowerShell в действии
Теперь, когда вы знаете, как получить доступ к COM из Windows PowerShell, давайте сосредоточимся на групповой политике. Примеры ниже покажут короткие фрагменты кода, чтобы дать вам представление о том, как использовать интерфейсы API GPMC из Windows PowerShell, а полный набор функций Window PowerShell для управления групповой политикой вы сможете найти в кодах для загрузки, относящихся к этой статье, на веб-узле technetmagazine.com/code07.aspx. рис. 1 содержит список всех функций, включенных в эту загрузку.
Figure 1 Специальные функции в материале для загрузки (Close Figure 1)

Название функции | Описание
BackupAllGpos | Резервное копирование всех объектов GPO в домене
BackupGpo | Резервное копирование одного объекта GPO
RestoreAllGpos | Восстановление всех объектов GPO из резервных копий в домен
RestoreGpo | Восстановление одного объекта GPO из резервной копии в домен
GetAllBackedUpGpos | Вывод последних версий резервных копий объектов GPO по указанному пути
CopyGpo | Копирование параметров одного объекта GPO в другой объект GPO
CreateGpo | Создание нового пустого объекта GPO
DeleteGpo | Удаление объекта GPO
FindDisabledGpos | Возвращает все объекты GPO, где отключены пользователь и компьютер
FindUnlinkedGpos | Возвращает все объекты GPO без связей
CreateReportForGpo | Создает отчет формата XML для одного объекта GPO в домене
CreateReportForAllGpos | Создает отдельный отчет формата XML для каждого объекта GPO в домене
GetGpoByNameOrID | Находит объект GPO по его отображаемому имени или идентификатору GPO
GetBackupByNameOrId | Находит копию объекта GPO по его отображаемому имени или идентификатору GPO
GetAllGposInDomain | Возвращает все объекты GPO в домене
Во время прочтения этой статьи вы можете открыть командную строку Windows PowerShell и вводить туда команды. Учтите, что некоторые команды зависят от предыдущих команд. Другими словами, некоторые объекты, созданные ранее, будут использоваться позднее, поэтому работайте в одном и том же сеансе Windows PowerShell. Если вы закроете сеанс, вам придется начать все сначала, вводя заново все команды.
Итак, давайте создадим новый объект GPO, используя Windows PowerShell. Команда разработчиков Майкрософт, занимающаяся групповой политикой, включила в GPMC ряд полностью работоспособных примеров VBScript, которыми вы можете воспользоваться для ускорения процесса. Они находятся в каталоге %ProgramFiles%\GPMC\Scripts, в котором вы также можете найти файл под названием gpmc.chm, содержащий всю документацию по интерфейсам API GPMC. Давайте взглянем на сценарий CreateGPO.wsf и проанализируем его, чтобы узнать, как он работает.
У самого верха вы увидите строку:
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
Это исходная точка для любого сеанса или сценария управления групповой политикой, потому что она создает экземпляр класса GPMgmt.GPM, который дает доступ к большинству функций GPMC. Пойдемте дальше и проделаем это из Windows PowerShell:
$gpm = New-Object -ComObject GPMgmt.GPM
Теперь, когда у вас есть исходная точка для управления групповой политикой, следующим шагом будет выяснение того, что вы можете с этим сделать. В обычных случаях вы углубитесь в документацию, чтобы получить такую информацию, но у Windows PowerShell есть одна замечательная способность. Если вы введете следующую строку, вы получите результат, показанный на рис.2:
Рис. 2 Выходные данные Get-Member
Рис. 2 Выходные данные Get-Member
$gpm | gm
Мне кажется, это просто здорово. Обратите внимание на то, что командлет Get-Member (или gm) позволяет вам видеть свойства и методы, которые поддерживает объект, прямо в командной строке. Это, разумеется, не то же самое, что читать документацию, но это облегчает процесс использования объектов, с которыми вы уже знакомы, если вы не помните точные цифры параметров, точное имя и т.д. Обратите также внимание на то, что когда вы смотрите на списки узлов в документации GPMC, создается впечатление, что это объект GPM, а все другие классы имеют префикс I; это происходит вследствие внутренних процессов COM и не имеет для нас большого значения; это предназначено для программистов на C++, пишущих машинный код COM, и означает разницу между интерфейсом и классом, реализующим его. Также обратите внимание на то, что при использовании интерфейсов API GPMC вам нужно создать только один объект таким образом, и этот объект - GPMgmt.GPM; все другие объекты создаются при помощи методов, которые запускаются вместе с этим объектом GPM.
Продолжим создание нового объекта GPO.
Рис.3 показывает, насколько простым является создание объекта GPO. Хотя я опустил некоторые части кода, включающие обработку ошибок (например, что произойдет в случае, если у вас нет доступа к созданию объектов GPO), и также жестко закодировал имя домена, вы должны получить общее представление.
Figure 3 Создание объекта GPO (Close Figure 3)
$gpmConstants = $gpm.GetConstants()
# This is the GPMC way to retrieve all
# constants
$gpmDomain =$gpm.GetDomain(“Mydomain.local”, “”, $gpmConstants.UseAnyDC)
# Connects to the domain where the GPO should
# be created, replace Mydomain.local with the
# name of the domain to connect to.
$gpmNewGpo = $gpmDomain.CreateGPO()
# Create the GPO
$gpmNewGpo.DisplayName = “My New Windows PowerShell GPO”
# Set the name of the GPO
Теперь, когда вы знаете, как создать объект GPO, давайте откроем существующий объект. У вас все еще есть ссылка на домен, $gpmDomain, поэтому введите следующее:
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Вы получите полный отчет в формате HTML о параметрах политики домена по умолчанию, но вы можете использовать любой из методов и свойств, например, ModificationTime, который сообщит вам, когда объект GPO в последний раз изменялся, чтобы узнать, когда изменялись какие-либо из параметров объекта GPO.
Это чрезвычайно полезно. Наверняка вы не раз были в ситуации, когда телефоны разрывались от звонков пользователей, жалующихся на то, что их компьютеры ведут себя странно. Вы полагаете, что это имеет отношение к изменениям, дополнениям или уничтожению параметров GPO, но вы понятия не имеете, к какому объекту GPO это относится. Вам на помощь придет Windows PowerShell! Если вы введете сценарий, показанный на рис.4, в командную строку Windows PowerShell, вы получите список всех объектов GPO, которые изменялись за последние 24 часа.
Figure 4 Обнаружение измененных объектов GPO (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Обратите внимание на знак операции –ge, означающий «больше или равно». Он может показаться вам странной, если вы привыкли к знакам операций < и > в других языках написания сценариев или программирования. Однако эти знаки операций используются для перенаправления, например, для перенаправления выходных данных в файл, и поэтому не могут использоваться в качестве знаков операций сравнения в Windows PowerShell.

Краткое заключение
Код на рис.5 содержит полный сценарий для копирования параметров из одного объекта GPO в другой объект GPO. Теперь вы должны получить представление о том, как вы можете использовать новую технологию для групповой политики, а также о том, как повторно использовать какой-либо объект COM или код на VBScript, использующий объект COM.
Figure 5 Копирование параметров из одного объекта GPO в другой объект GPO (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
Windows PowerShell станет естественной частью любой среды управления Windows, также как ею уже является групповая политика. Однако существуют миллионы строк VBScript, которые необходимо переносить или поддерживать, и я надеюсь, что это руководство поможет вам в этом.
Существует большое количество источников, которые вы можете использовать для улучшения администрирования групповой политики и других областей, в которых вы ранее использовали VBScript, включая функции Windows PowerShell в разделе загрузки, а также руководство по преобразованию VBScript в Windows PowerShell на веб-узле TechNet, помогающее выполнять обычные задачи в Windows PowerShell, если вы знакомы с эквивалентами на VBScript. Эту информацию вы найдете на веб-узле microsoft.com/technet/scriptcenter/topics/winpsh/convert.
Кроме того, существует полная документация по интерфейсу API GPMC, которую вы можете загрузить с веб-узла групповой политики microsoft.com/grouppolicy.
И последнее – если вы еще не установили Windows PowerShell, чего вы ждете? Загрузите его с microsoft.com/powershell. Желаю удачи.

Торбьорн Сьоволд (Thorbjцrn Sjцvold) является главным техническим директором и создателем специальных эксплуатационных программ (www.specopssoft.com), а также поставщиком дополнительных программ по системному управлению и безопасности на основе групповой политики. С ним можно связаться по адресу thorbjorn.sjovold@specopssoft.com.


 Администрирование в Windows: Руководство по развертыванию служб терминалов
Администрирование в Windows Джеймс Д. Силлиман (James D. Silliman)

Руководство по развертыванию служб терминалов
Краткий обзор:
  • Развертывание служб терминалов в несколько простых действий
  • Оптимизация пакета приложений Office в среде служб терминалов
  • Эффективное управление пользователями с помощью служб терминалов

Вернемся к 1998 г.: Корпорация Майкрософт выпускает Windows NT 4.0 Terminal Server Edition под кодовым названием «Hydra». Корпорация Майкрософт лицензировала технологию от Citrix Systems, создав свой первый вариант системы «тонкий» клиент/
сервер. Развертывание системы «Hydra» представляло для системных администраторов сложную задачу. Перенесемся на несколько лет вперед от этого момента — службы терминалов поразительно изменились. Они полностью интегрированы в ядро и легко настраиваются с помощью встроенного мастера установки, не требуя отдельного компакт-диска или загрузки из Интернета. С учетом относительной простоты установки существует много доводов в пользу развертывания служб терминалов на предприятии. Наиболее очевидное преимущество заключается в том, что все приложения выполняются на центральном сервере или серверах, поэтому не возникает вопрос об архитектуре и оборудовании клиентов. Все, что требуется конечным пользователям, это клиент RDP (Remote Desktop Protocol — протокол удаленного рабочего стола) для подключения к центральным серверам. К счастью, клиенты RDP доступны для большинства современных архитектур.
В этой статье будет продемонстрирован способ включения служб терминалов на существующей установке Windows Server® 2003, метод применения групповых политик служб терминалов и использование мастера выборочной установки для автоматизации установки параметров профиля Microsoft® Outlook®. В результате будет получен полностью развернутый сервер терминалов, предоставляемый для приложений пользователей.

Начало работы
Первое, что необходимо сделать, принимаясь за установку служб терминалов, это открыть окно встроенного мастера настройки сервера, входящего в набор средств администрирования Windows Server 2003. Выберите пункт «Сервер терминалов», затем щелкайте «Далее», пока не мастер не завершит работу. Программа установки выводит предупреждение о необходимости перезагрузки компьютера для вступления в силу сделанных изменений. После перезагрузки сервер находится в режиме «Сервер терминалов».
Кстати, перед тем как начинать работу, убедитесь в том, что у вас имеются лицензии CAL (Terminal Services Client Access License — клиентская лицензия служб терминалов) — в противном случае после успешного развертывания никто не сможет установить подключение. Теперь присоедините компьютер, на котором выполняются службы терминалов, к домену Active Directory® и войдите в систему с использованием учетной записи, имеющей привилегии администратора домена. Будет сложно продолжать развертывание, не имея доступа к домену, поскольку у вас не будет возможности привести в действие групповые политики. В этой статье сервер, на котором устанавливаются службы терминалов, будет называться TS01.
Затем запустите оснастку «Active Directory — пользователи и компьютеры» из набора средств администрирования и создайте новое подразделение (OU), в котором будет размещен сервер терминалов. Для простоты дадим этому OU подкупающее оригинальностью имя Terminal Servers (Серверы терминалов). Отыщите сервер терминалов с именем TS01 и переместите его в новое подразделение Terminal Servers.
Затем загрузите (с веб-узла по адресу microsoft.com/windowsserver2003/gpmc) и установите консоль управления групповыми политиками (GPMC). Эта служебная программа управления позволяет настроить новую групповую политику, назначить ей разрешения и впоследствии исправлять политику с целью включения и отключения параметров политики для всех подключающихся пользователей. GPMC является важным средством развертывания служб терминалов, поскольку в ней имеется встроенный мастер моделирования, в котором незамедлительно отражается, какие политики применены к пользователю, а какие — нет.
Из окна «Администрирование» запустите консоль GPMC и найдите новое подразделение Terminal Servers в левой части окна «Управление групповой политикой». Щелкните это подразделение правой кнопкой мыши, выберите «Создать и связать GPO», как показано на рис. 1, и дайте ему практичное имя, например Terminal Server Policy #1.
Рис. 1 Создание и связывание нового объекта групповой политики (GPO)
Рис. 1 Создание и связывание нового объекта групповой политики (GPO)
Волшебным образом группа «Прошедшие проверку» отображается в области «Фильтры безопасности» в правой части окна GPMC. Эта группа по умолчанию добавляется во все объекты групповой политики (GPO). Щелкните эту группу, затем нажмите кнопку «Удалить». Вместо нее в дереве Active Directory требуется настроить группу «Службы терминалов», к которой будут применяться объекты GPO при регистрации пользователей на TS01. Дадим группе служб терминалов имя BottleWashers. Продолжайте работу и добавьте их в структуру Active Directory с помощью оснастки «Active Directory — пользователи и компьютеры» из средств администрирования. Группу BottleWashers понадобится добавить также к группе пользователей удаленного рабочего стола на TS01 и на любых других устанавливаемых серверах терминалов.
Теперь перейдите на вкладку «Область». Нажмите кнопку «Добавить» в зоне «Фильтры безопасности», затем добавьте группу BottleWashers. Группа BottleWashers автоматически получает права на чтение и применение групповой политики к объекту Terminal Server Policy #1. Эти два разрешения являются правами групповой политики по умолчанию и являются необходимыми для всех политик, применяемых к объекту.
Затем добавьте также в зону «Фильтры безопасности» сервер TS01. Для выполнения этой операции требуется еще один дополнительный этап. Сначала щелкните «Добавить», затем, под заголовком «Типы объектов», установите флажок на вкладке «Компьютеры»; в противном случае GPMC не сможет отыскать TS01 в Active Directory. Окончательный результат должен выглядеть, как на рис. 2.
Рис. 2 Добавление TS01 в зону «Фильтры безопасности»
Рис. 2 Добавление TS01 в зону «Фильтры безопасности»
Права корректной политики точно так же автоматически применяются к TS01 при его добавлении в зону «Фильтры безопасности». В этот момент имеет смысл выбрать вкладку «Делегирование» вверху правой стороны экрана GPMC, а затем найти группу «Администраторы домена», список которой по умолчанию также выводится для каждой новой политики. Нажмите кнопку «Дополнительно» в правом нижнем углу экрана.
Теперь можно просмотреть параметры безопасности для объекта «Групповая политика». Сосредоточьтесь на группе «Администраторы домена», затем найдите параметр «Применение групповой политики». На правой стороне выберите режим «Запретить». Нажав кнопку OK, вы получите стандартное сообщение с предупреждением, отображаемое при каждой установке разрешения «Запретить». Эта операция предотвращает применение новой политики TS к группе «Администраторы домена» — более чем нежелательное последствие.
Помните мой совет относительно наличия лицензий CAL Майкрософт? Необходимо просмотреть документы с лицензиями и определить, какие лицензии CAL для служб терминалов были приобретены. Существует два варианта лицензий CAL для сервера терминалов: для пользователя и на устройство. Для получения дополнительных сведений о лицензировании посетите веб-страницу по адресу microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx.
По существу, схема лицензирования для каждого пользователя позволяет пользователю применять только одну лицензию сервера терминалов независимо от числа устройств (ПК), с которых пользователь осуществляет подключение.
Если в домене еще нет сервера с лицензией сервера терминалов, найдите в домене сервер, который может принять на себя эту роль. Хотя такая возможность поддерживается, не стоит делать TS01 сервером лицензирования, потому что, если впоследствии на предприятии будут появляться дополнительные серверы терминалов, устойчивость инфраструктуры к сбоям не будет увеличиваться. На сервере, который предполагается сделать сервером лицензирования, откройте панель управления. Последовательно выберите «Установка и удаление программ» | «Компоненты Windows» | «Лицензирование сервера терминалов» и выполните появляющиеся на экране указания для включения сервера лицензирования. По завершении процедуры выберите «Пуск» | «Выполнить» и введите:
tscc.msc
Этой командой открывается дерево «Настройка сервера терминалов»\«Параметры сервера». В этом дереве следует выбрать «Параметры сервера» | «Лицензирование» и выбрать «Для пользователя» или «На устройство». Вариант по умолчанию — «На устройство». Если в домене уже есть сервер с лицензией сервера терминалов, в объекте Terminal Server Policy #1 будет присутствовать параметр, указывающий на то, что серверу назначена роль сервера лицензий. Выполнив эту задачу, выберите «Пуск» | «Выполнить» и введите:
licmgr.exe
Теперь, чтобы пользователи могли подключаться, необходимо активировать лицензии клиентского доступа. Существует удобная возможность активирования лицензий по телефону или на веб-узле. После этого пользователи смогут подключаться к серверу терминалов, но на нем будут отсутствовать обязательные политики, поэтому приступим к настройке нескольких важных политик. Некоторые из них, рекомендованные Майкрософт, приведены в статье базы знаний «How to lock down a Windows Server 2003 or Windows 2000 Terminal Server session»(Способ блокировки сеанса сервера терминалов в Windows Server 2003 или Windows 2000).

Включение политик
Крайне важно помнить, что не следует бессистемно включать политики, не зная в точности, что делает каждая из них, иначе можно получить незапланированные результаты. Оптимальный подход заключается в запуске нескольких важных политик и их последующем масштабном тестировании в лабораторной среде.
Первой, возможно, стоит привести в действие политику замыкания на себя. Для ее активирования запустите GPMC, найдите объект Terminal Server Policy #1, щелкните его правой кнопкой мыши и выберите «Изменить». Перейдите к узлу «Конфигурация компьютера» | «Административные шаблоны» | «Система» | «Групповая политика» и включите параметр «Режим обработки замыкания пользовательской групповой политики». После включения этой политики следует установить значение для ее параметра «Режим»: «Замена» или «Слияние». Для оптимальной работы служб терминалов выберите «Замена».
Следующим следует включить параметр сервера терминалов «Добавлять группу администраторов для перемещаемых профилей пользователя», который находится в узле «Конфигурация компьютера»\«Административные шаблоны»\«Система»\«Профили пользователей». Этот параметр обеспечивает администратору полный и постоянный контроль над всеми папками профилей пользователей. Его следует установить как можно раньше, поскольку он не применяется, если папки уже были созданы после первого входа пользователя в систему (см. рис. 3).
Рис. 3 Включение параметра «Добавлять группу администраторов»
Рис. 3 Включение параметра «Добавлять группу администраторов»
В узле «Конфигурация компьютера»\«Административные шаблоны»\«Компоненты Windows»\«Службы терминалов» представлен целый ряд политик. Рассмотрите возможность включения следующих из них:
  • «Ограничить пользователей службы терминалов одним удаленным сеансом»
  • «Установить путь для перемещаемых профилей TS»
  • «Домашний каталог пользователя сервера терминалов»
Отметим, однако, что ограничение пользователей служб терминалов одним удаленным сеансом не препятствует многократному входу пользователя в систему, как можно было бы предположить. В действительности, когда пользователь пытается запустить второй сеанс службы терминалов, он просто продолжает первый начатый сеанс.
Перемещаемые профили являются важным элементом надлежащей работы сервера терминалов. По умолчанию при входе пользователя на сервер терминалов создается локальный профиль на диске C: сервера терминалов даже в том случае, если диск C: скрыт от пользователей. По умолчанию поведение в отношении перемещаемого профиля заключается в синхронизации локального профиля с общим ресурсом перемещаемых профилей в сети при выходе пользователя из системы. Групповую политику можно настроить на удаление этого локального профиля при выходе пользователя из системы.
Следующие две политики служб терминалов, упомянутые выше, «Установить путь для перемещаемых профилей TS» и «Домашний каталог пользователя сервера терминалов», связаны с перемещаемыми профилями. Эти параметры зачастую жестко устанавливаются в поле «Путь профиля служб терминалов» пользователя Active Directory. Гораздо более простым и предпочтительным способом является установка путей для служб терминалов посредством групповых политик. В случае путей профиля служб терминалов оснастки «Active Directory – пользователи и компьютеры», если настраивается новый или копируется существующий пользователь, сведения о пути профиля сервера TS необходимо добавлять каждый раз вручную — это крайне обременительно. Гораздо удобнее устанавливать пути к общему сетевому ресурсу и для их настройки использовать объект GPO.

Перенаправление папок
Теперь кратко рассмотрим еще один очень важный компонент службы терминалов, «Перенаправление папок», выполняющий оптимизацию рабочей среды TS посредством запрета чрезмерно длительных входов и выходов из системы. Допускается перенаправление папок Application Data, Desktop (Рабочий стол), My Documents (Мои документы) и Start Menu (меню «Пуск»). Эти четыре папки должны присутствовать на общем сетевом ресурсе, и для них необходимо наличие специальных списков управления доступом (ACL). Для получения дополнительных сведений на эту тему ознакомьтесь со статьей базы знаний «How to Dynamically Create Security-Enhanced Redirected Folders by Using Folder Redirection in Windows 2000 and in Windows Server 2003» (Динамическое создание перенаправляемых папок с улучшенной защитой с помощью компонента «Перенаправление папок» в Windows 2000 и в Windows Server 2003).
Достоинство компонента «Перенаправление папок» состоит в том, что не требуется копировать весь профиль пользователя при каждом входе или выходе пользователя из системы. Службы терминалов обнаруживают присутствие этих папок в сети и, по существу, просто обеспечивают указатель на них.
.
Параметры для компонента «Перенаправление папок» находятся в узле «Конфигурация пользователя»\«Конфигурация Windows»\«Перенаправление папок» (см. рис. 4). Значения параметров папки «Перенаправление папок» крайне естественны. Вероятно, потребуется снять все флажки для компонента перенаправления папок с именами типа «Предоставить права монопольного доступа», в противном случае администраторы не смогут получить доступ к этим папкам.
Рис. 4 Местонахождение параметров компонента «Перенаправление папок»
Рис. 4 Местонахождение параметров компонента «Перенаправление папок»

Установка Microsoft Office
Теперь, когда некоторые основные политики приведены в действие, подготовимся к установке Microsoft Office 2003 или системы 2007 Microsoft Office. Microsoft Office оптимизирован на работу со службами терминалов, поэтому во время установки не придется вносить значительные изменения. Компоненты Office, требующие высокой пропускной способности, по умолчанию отключены. На данном этапе потребуется загрузить и установить файлы административных шаблонов групповой политики (файлы ADM), чтобы иметь возможность управлять политиками в рамках набора компонентов пакета Office.
Требуемые файлы ADM находятся на веб-узле по адресу microsoft.com/office/orkarchive/2003ddl.htm. Для наших целей достаточно загрузить два файла: Файлы шаблонов Office (ORKSP2AT.exe) и Custom Installation Wizard (Мастер выборочной установки). Однако второй файл требуется только в случае развертывания Office 2003. В системе 2007 Office мастер не используется — все, что требуется, — это просто выбрать «Пуск» | «Выполнить» и ввести «Setup /a», после чего выполняется автоматический запуск.
Распаковав первый файл, ORKSP2AT.exe, вы получите набор файлов. Для вас важны файлы office11.adm и outlk11.adm (см. рис. 5).
Рис. 5 Файлы шаблонов Office
Рис. 5 Файлы шаблонов Office
Запустите проводник Windows и скопируйте эти два файла в %systemroot%\inf. Затем снова запустите консоль GPMC. Среди объектов групповой политики найдите объект Terminal Server Profile #1, щелкните его правой кнопкой мыши и выберите пункт «Изменить». Теперь перейдем к узлу «Конфигурация компьютера»\«Административные шаблоны» в указанной политике. Щелкните «Административные шаблоны» правой кнопкой мыши и выберите пункт «Добавление и удаление шаблонов», как показано на рис. 6.
Рис. 6 Добавление административных шаблонов в объект GPO
Рис. 6 Добавление административных шаблонов в объект GPO
Отображаются два доступных файла. Добавьте их поочередно. Эти файлы шаблонов отображаются в узлах «Конфигурация пользователя»\«Административные шаблоны»\Microsoft Office 2003 и «Конфигурация пользователя»\«Административные шаблоны»\Microsoft Office Outlook 2003. Данные параметры шаблонов можно просматривать и включать или отключать их по своему усмотрению.
В этой статье я не стану обсуждать много параметров, рассмотрим только те два, которые, вероятно, потребуется удалить: «Помощник» и «Автоархивация Outlook». Обратите внимание, что некоторые параметры, например «Режим кэширования Exchange» и «Фильтрация нежелательных сообщений», по умолчанию отключены в службах терминалов, поэтому нет необходимости отключать эти политики.
Для получения дополнительных сведений см. статью «Outlook Features That Are Disabled with Terminal Services» (Компоненты Outlook, отключаемые службами терминалов). Компонент «Помощник» легко отключается выбором в групповой политике Конфигурация пользователя\Административные шаблоны\Microsoft Office Outlook 2003\Помощник\Параметры.
В среде служб терминалов хотелось бы избежать постоянных запросов пользователям на выполнение некоторой операции. К одному из примеров наиболее навязчивых запросов относятся параметры автоархивации почтовых сообщений в Outlook. Если этот параметр не учитывается групповой политикой, пользователям через определенные интервалы времени предлагается автоархивация. В результате отключения этого параметра он полностью удаляется из меню «Параметры Outlook». Безусловно, вам может потребоваться возможность автоархивации, поэтому предусмотрена точная настройка этих параметров в политике Конфигурация пользователя\Административные шаблоны\Microsoft Office Outlook 2003\Сервис | Параметры\Автоархивация.
Следующее действие, которое следует предпринять для успешного развертывания служб терминалов, состоит в настройке PRF-файла для Outlook, чтобы пользователям не выдавались запросы на настройку их параметров Outlook вручную. Может показаться, что такая задача по плечу только Гераклу, но это не так. Достаточно установить пакет OrkTools и с помощью мастера выборочной установки создать PRF-файл, который будет определять поведение мастера установки Outlook. В системе 2007 Office предусмотрен механизм, делающий эту процедуру устаревшей, но при желании для настройки системы Office можно по-прежнему использовать PRF-файл.
Подготовим PRF-файл для Outlook с помощью мастера выборочной установки. На самом деле не потребуется выполнять всю процедуру мастера выборочной установки, достаточно выполнить ту ее часть, которая необходима для экспорта измененного PRF-файла. В нее входит всего несколько операций.
Сначала необходимо запустить и разархивировать второй файл, загруженный ранее (мастер выборочной установки). После запуска мастера из меню Пуск | Программы | Microsoft Office 2003 Resource Kit отображается запрос на указание местоположения файла MSI Office 2003. Установите диск с Office 2003 и укажите имя и путь к MSI-файлу.
Теперь перейдем непосредственно к 17-й из 24 страниц мастера выборочной установки, чтобы пропустить часть операций выборочной установки и просто создать PRF-файл. На этапе 17 выберите пункт «Новый профиль» и назначьте ему имя, например Outlook, затем нажмите кнопку «Далее». Отображается экран для выбора сервера Exchange (как показано на рис. 7). Введите имя сервера Exchange и щелкните «Далее» для продолжения процедуры.
Рис. 7 Настройка подключения к серверу Exchange
Рис. 7 Настройка подключения к серверу Exchange
Имеет смысл добавить к создаваемому профилю адресную книгу Outlook. Это позволит пользователям выбирать нужные адреса при создании нового сообщения. Один этот этап поможет сократить объем предстоящей работы. Нажав кнопку «Добавить», на этом этапе можно настроить также дополнительно выбранные компоненты. Теперь нажмите кнопку «Далее» — после этого остается всего лишь выполнить экспорт PRF-файла.
На этом этапе необходимо создать пакетный файл и поместить его в общий ресурс Netlogon на контроллере домена, а не на сервере TS01. Этот пакетный файл запустит все необходимые сопоставления и настроит PRF-файл для развертывания. Выполнение данной задачи облегчают написанные мной сценарии WMI. Однако эти сценарии следует использовать только в качестве руководства; в них потребуется вставить данные, соответствующие конкретной ситуации. При желании можно использовать другой обработчик сценариев, подобный KiXTart.
В пакетном файле (logon.bat) должны присутствовать следующие строки:
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
Файл Clean.vbs обеспечивает удаление раздела реестра First-Run, чтобы Outlook выполнил обработку PRF-файла:
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
Outlook.vbs добавляет в реестр требуемый раздел установки Outlook для каждого пользователя сервера терминалов. В параметре SValue= необходимо указать используемый путь и не забыть добавить действующий настроенный PRF-файл в реальный сетевой каталог:
sValue = \\Serv01\PRF\Outlook.prf
Измените этот путь и поместите в него файл Outlook.prf:
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
Следующим пунктом в плане развертывания является установка Office 2003 или системы 2007 Microsoft Office на сервере TS01. Как уже упоминалось, пакет Microsoft Office оптимизирован для работы в среде служб терминалов. Больше нет необходимости в создании пользовательских преобразований. Компоненты Office, не входящие в группу предустановленных, могут быть отключены, но делать это не обязательно. Наоборот, компоненты можно также включить, но такая операция может оказать неблагоприятное влияние на расход пропускной способности. Не забудьте проверить все включаемые компоненты в лабораторной среде, прежде чем развертывать их в производственной ситуации.
Перед установкой любой из версий Microsoft Office следует перевести сервер TS01 в подходящий пользовательский режим. Существуют два возможных варианта: «Установка» и «Выполнение». Перед тем как начать выполнение установки какого либо программного обеспечения, необходимо перейти в режим «Установка». Для перевода сервера TS01 в режим установки введите в командной строке следующую команду:
C:>change user /install
По завершении установки верните TS01 в режим выполнения с помощью следующей команды:
C:>change user /execute
Режим установки запускается автоматически, если на TS01 выполняется файл Setup.exe или Install.exe. Эти файлы входят в состав всех программных продуктов Майкрософт. Однако некоторые приложения не используют эти файлы, поэтому для надежности продолжайте работать с командой Change. Что делать, если вы забыли, в каком режиме находится сервер? Ответ на этот вопрос даст команда, приведенная ниже:
C:>change user /query
Если вы добрались до этого этапа, значит, все в порядке. Теперь можно перейти на клиентскую рабочую станцию Windows, щелкнуть «Пуск» | «Выполнить», затем ввести следующую команду:
mstsc
Если вы используете Windows 2000, можно загрузить служебную программу клиента служб терминалов Майкрософт (Mstsc).
Теперь должен отобразиться экран подключения к удаленному рабочему столу. Для подключения достаточно ввести имя или IP-адрес сервера терминалов. Кнопка «Параметры» предоставляет доступ к большому числу существующих возможностей, например, можно указать, следует ли подключать локальные драйверы или принтеры, или изменить разрешение экрана. В области параметров можно также жестко определить сервер TS01 и впоследствии сохранять профиль RDP на своем рабочем столе. По умолчанию профиль RDP называется Default.RDP.

Административные задачи
Если на сервере TS01 требуется выполнить некоторые административные задачи, оптимальным вариантом будет использование следующей команды, поскольку она имитирует такое же выполнение операций, как если бы вы физически находились за консолью:
Mstsc /console
При выполнении администрирования разных служб терминалов может потребоваться служебная программа для удаленных рабочих столов, находящаяся в наборе средств администрирования, поскольку все удаленные серверы терминалов могут быть добавлены в единый древовидный формат.
Последняя команда, с которой нужно ознакомиться — Tsadmin, предоставляющая возможность просматривать список пользователей, подключенных к серверу терминалов, и процессы Windows, открытые пользователями. Она позволяет также «затенять» пользователей, что является огромным преимуществом для администраторов. Хотя стоит отметить, что при запуске TSadmin с рабочей станции возможность «затенять» пользователей отсутствует. Возможен только просмотр подключений. Для того чтобы «затенить» пользователей, необходимо войти в систему непосредственно на TS01, «затенить» пользователей, отправить им сообщение или отключить их от системы.

Заключение
Теперь у вас имеется цельное представление о службах терминалов, поэтому самостоятельное развертывание сервера терминалов не составит труда. Осталось еще много тем для дальнейшего изучения, включая параметры групповой политики и DFS, но если вы будете помнить о базовых принципах, таких как сдержанность при настройке объектов GPO и основательная проверка этих объектов перед их использованием в реальной работе с пользователями, то дела пойдут хорошо.

Джеймс Д. Силлиман (James D. Silliman) имеет сертификат MCSE, работает в должности старшего системного инженера в компании DirectApps, Inc. и является специалистом по развертыванию серверов терминалов. Компания DirectApps занимается разработкой решений .NET и обеспечивает размещение в сети и предоставляет службы ASP. С Джеймсом можно связаться по адресу James@directapps.com.


 От редактора: Security To Go
От редактора
Security To Go
Джошуа Трупин (Joshua Trupin)

Сегодня рабочее место может перемещаться куда угодно. За последнее десятилетие концепция «мобильный office» практически исчезла. Теперь для выполнения работы ненужно находиться на рабочем месте. Мобильные технологии позволяют работать в дороге, дома, в поезде и даже в машине, стоя на красный свет светофоров (будьте осторожны). Это действительно удивительный мир. Если вы не являетесь ИТ-профессионалом, решающим самые сложные задачи: управление и обеспечение безопасности мобильных устройств.
В восьмидесятых годах безопасность означала реагирование на отчеты о новых вирусах, рекомендуя пользователям хранить свои дискеты в полиэтиленовых пакетах отдельно друг от друга. (Нет, серьезно. Когда я поступал именно так на прежней работе, ни один компьютер не заразился!) Если вредоносная программа заражала компьютер, она не распространялась на другие компьютеры, пока кто-либо не переносил зараженную дискету на другое рабочее место. Иногда ИТ-специалистам было гораздо проще незаметно проникнуть во время обеденного перерыва на рабочие места и снять дисководы 5,25 дюйма. У счастливчиков для хранения данных был жесткий диск объемом 10 МБ.
В девяностые годы стало значительно труднее определять пользователей, заражающих собственные компьютеры, поскольку вирусы стали передаваться через Интернет. В отличие от предыдущего десятилетия компьютеры уже невозможно было защитить, вырывая дискеты из рук пользователей молниеносным движением в стиле Матрицы.
В то время мы справлялись с обеспечением безопасности предприятия с помощью распространения групповой политики, настройки брандмауэров, карантинов и узловых точек. И что сейчас? Сами предприятия начали перемещаться! И выходить прямо через дверь. И что же вы делаете?
Защита активов в вашем офисе является только частью проблем в сегодняшней ИТ-среде. Любая организация сильна всего лишь настолько, насколько сильно ее самое слабое место, а перемещение сотрудников с мобильными устройствами и переносными компьютерами, подключенными к сети, может быть самостоятельным созданием проблемы. В передовой статье этого месяца рассказывается об обеспечении безопасности мобильных устройств, чтобы вы, уставший администратор, могли спать по ночам спокойно.
Разумеется, в этом выпуске можно найти и многое другое. Нам необходимо управление нормативными требованиями в Exchange Server, защита доступа к сети, развертывание служб терминалов, Windows PowerShell, SQL Server, и многое другое, для перечисления всего потребуется целая страница. (На самом деле две, судя по содержанию.)
Какова самая необычная ситуация, связанная с безопасностью, с которой вы сталкивались на работе? Загляните в блог журнала TechNet (blogs.technet.com/tnmag) и присоединяйтесь к беседе. Редакторы всегда рядом! — Джошуа Трупин

Мы хотели бы поблагодарить следующих технических специалистов по продуктам корпорации Майкрософт: Алекс Балканквалл, Тед Броквей, Анна Кэмерон, Йорен де Борст, Майкл Хигаси, Райан Хёрст, Пол Лимон, Шерман Ловелл, Майкл марголо, Шивакумар Сиитараман, Джон Спиар, Дэвид Стром и Джим Трухер.

Джошуа Трупин (Joshua Trupin)


 Письма: Ответы на ваши вопросы
Письма
Ответы на ваши вопросы

Создание образов
В статье «Getting Started with Windows® PE» (Начало работы с Windows® PE) (сентябрь 2006 г.), Уэс Миллер ссылается на файл mkimg.cmd. Этот командный файл отсутствует в моей системе Windows Vista™ с установленными пакетом автоматической установки Windows и решением для развертывания настольных бизнес-систем 2007. В текущей версии имеются файлы mkimg_pe2004.cmd и mkimg_pe2005.cmd. Однако они вызывают bldini.cmd, который также отсутствует. Где найти эти файлы?
— Джим А.

Статья была опубликована до выпуска Windows Vista и ссылается на версию Windows PE, доступную для Windows XP и Windows Server® 2003 (также называется Windows PE 1.6). Последующая статья, опубликованная в выпуске за ноябрь 2006 г., была посвящена Windows PE 2.0, версии, доступной для Windows Vista. Эта статья находится здесь.
Можно создать и настроить образы Windows PE 2.0 с помощью инструментов WAIK, в частности, команда «mkimg» была заменена командой «peimg». Описание создания образа Windows PE 2.0 приведено в электронной документации WAIK.

Мифы о безопасности
В ответ на предложение, что длинные пароли предпочтительней сложных («Deconstructing Common Security Myths» (Разрушение мифов о безопасности), май/июнь 2006 г.), какой наилучший способ получения паролей в случае необходимости вы предложите? Длинные пароли трудны для запоминания. Я также слышал совет использовать различные пароли для различных систем, но это может создать схожие проблемы с сохранением и получением.
— Ян Р.

Мы спросили хорошего друга и участника Стива Райли (Steve Riley), который быстро ответил.
Вопрос о вспоминании паролей очень интересный. Я не соглашусь с тем, что проще запомнить предложение, чем произвольный набор символов в сложном пароле. Если использовать метод сопоставления, можно запомнить большое количество паролей. Например, предположим, что вашим паролем для Hotmail® является «Мы с собакой получаем почту». Этот пароль просто запомнить благодаря ассоциированию (получение почты) с назначением (почтовый узел). Используйте метод сопоставления и создайте пароль «Мы с собакой делали покупки» для eBay, пароль «Мы с собакой ушли на работу» для учетной записи домена в офисе или даже «Мы с собакой любим живопись» для любимого узла с изображениями.
Источники для создания паролей практически безграничны. Я знаю одного человека, который использует только цитаты из фильмов Монти Пайтона. Другой человек использует только фразы из пяти слов, в которых каждое слово начинается со следующей буквы на клавиатуре («Queen willie eats rancid turnips» (Королева Вилли ест горькую редьку) — QWERT). Проявив немного творчества можно создать пароли, устраняющие большинство проблем безопасности и усиливающие защиту проверки подлинности.

«"Deconstructing Common Security Myths» (Разрушение мифов о безопасности) – великолепная статья. Я поместил мои предположения прямо в их маленькие умные головы. Но если программное обеспечение позволяет создание и использование уникальных наборов символов (не наборы символов в Webdings®, а те, которых еще не видел) в независимой программе, не приведет ли это к повышению сложности, поскольку ни у кого не будет полного набора всех возможных символов и только пользователь будет знать созданные и используемые символы? Я лучше заново создам короткую строку из таких символов, чем введу «Войну и мир» с клавиатуры, в случае потери USB-устройства.
—H.D.

Интересная идея, но мы точно не представляли, как можно запомнить уникальный никогда ранее не виданный символ. Если только вы не певец по имени Prince.

Программа Sysprep
В статье «Techniques for Simplifying Desktop Image Creation» (Способы упрощения создания образов настольных систем) (май/июнь 2006 г.) Шелии Берд (Shelly Bird) сказала, что при создании папки Sysprep «Процесс начинается с создания главного образа на устаревшей системе с основным оборудованием...» Что она имела ввиду? Сейчас я изучаю BDD и не могу найти что-либо, указывающее на выполнение развертывания с помощью одного образа. Как получить эту информацию?
— Джон С.

В статье, на которую вы ссылаетесь, автор говорит о создании стандартизированной эталонной конфигурации, которая может быть сохранена в качестве образа и повторно развернута на других компьютерах. Другими словами, вы устанавливаете операционную систему Windows на наиболее простом оборудовании в вашей среде (наиболее простой из возможных вариантов), настраиваете Windows в соответствии с основными спецификациями (все необходимые изменения, которые нужно развернуть в организации), устанавливаете все необходимые приложения, затем подготавливаете развертывание с помощью инструмента Sysprep (который удаляет информацию об оборудовании, что позволяет повторное развертывание на новом оборудовании).
Лучшим руководством по этому процессу является руководство для специализированной группы по созданию образов компьютерных систем, являющееся частью BDD. Компонент создания образов компьютерных систем BDD включает загружаемый инструмент для настройки и подготовки образа. Дополнительные сведения см. на веб-узле microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx.

Преобразование проверки подлинности
На работе я использую SQL Server™ 2005. Как изменить проверку подлинности Windows на проверку подлинности SQL Server (с именем входа sa )?
— Сара Д.

Ваша проблема рассматривается в следующем разделе электронной документации по SQL Server:msdn2.microsoft.com/ms188670.aspx. Однако настоятельно рекомендуется продолжить использование проверки подлинности Windows из-за аспектов безопасности использования sa (особенно без пароля). sa/nopass более не используются в наших примерах кода именно по этой причине.

Неумеренная похвала
Я с удовольствием читаю журнал TechNet Magazine каждый месяц. Мне он настолько нравится, что в моем рюкзаке или машине всегда находится несколько экземпляров журнала, куда бы я не отправился: на работу, домой, практически в любое место. Я бы хотел иметь весь журнал на планшетном или карманном компьютере дома. Было бы здорово иметь аудио версию содержания для моего проигрывателя MP3. В общем, журнал является ПРЕВОСХОДНЫМ. Я люблю его, люблю, люблю, люблю. Я рассказываю о нем всем моим коллегам и рекламирую его в качестве библии.
— Эразмо М.

Необходимо аудио содержание? Сделано! Звукозапись журнала TechNet Magazine выпускается каждый месяц. Просто зайдите на веб-узел TechNet Magazine (www.technetmagazine .com) и щелкните ссылку «Podcast» (Звукозапись) слева. Мы будем рады, если вы нас услышите!

Плакат с пазлом
Плакат с пазлом компонентов Active Directory® в выпуске за март/апрель 2006 г. – это безусловно лучшее графическое представление работы Active Directory в Windows Server 2003. Я управлял проектом перехода нашей всемирной организации на Windows 2000 и Active Directory и этот плакат значительно упростил нашу работу. Даже теперь администраторы нашего предприятия не всегда соглашаются по поводу компонентов, явно указанных на это плакате; эти сведения играют важную роль в более сплоченной и согласованной работе. Можно ли загрузить этот плакат?
— Майк К.

Мы не можем сосчитать количество запросов, получаемых по поводу этого плаката. По-видимому, у множества людей возникают подобные вопросы. Плакат можно загрузить с веб-узла go.microsoft.com/fwlink/?LinkID= 80428, но не пытайтесь напечатать этот плакат на бумаге размера letter. Он гораздо больше.

Настройка подписей электронной почты программы Outlook
Я работаю системным администратором и занимаюсь написанием сценария для стандартизации подписи Outlook® для всех пользователей в моем домене. Я использую пример кода для статьи «Setting Up Outlook E-Mail Signatures» (Настройка подписей электронной почты программы Outlook) (октябрь 2006 г.). Но у меня возникла небольшая проблема: при попытке настройки и установки цвета шрифта подписи с помощью следующего кода цвет шрифта остается черным:
objSelection.Font.Color = wdRed
Я могу зименить шрифт и его размер, но не могу изменить цвет шрифта.
— Эдисон П.

Мы задали этот вопрос Scripting Guys (у нас есть специальный красный телефон для прямой связи с ними) и вот что они ответили.
Для изменения цвета шрифта необходимо использовать перечисления wdColor. Попробуйте следующее:
  • Определите в сценарии следующую константу:
wdColorRed = 255
  • Установите цвет с помощью следующего кода:
objSelection.Font.Color = wdColorRed
Это должно помочь.

Получение Windows PE
У нашей компании лицензионное соглашение Microsoft® Select; вы можете подсказать, к кому необходимо обратиться, чтобы получить Windows PE пятого поколения для нашей организации? В частности, нам необходима возможность загрузка с флэш-накопителей USB.
— Том С.

Windows PE доступна в качестве преимущества гарантии на программное обеспечение. Чтобы определить, включено ли это преимущество в вашу лицензионную программу, посетите веб-узел Benefits Comparison Chart (Таблица сравнения преимуществ). Если преимущество, Windows PE можно загрузить с помощью учетной записи Microsoft Volume License Services вашей организации (можно войти в систему на веб-узле https://licensing.microsoft.com). При необходимости получения помощи по доступу к этому веб-узлу необходимо обратиться к координатору по лицензированию вашей организации или специалисту по лицензированию корпорации Майкрософт.


 Инструментарий: Новые продукты для специалистов по информационным технологиям
Инструментарий
Новые продукты для специалистов по информационным технологиям
Грег Стин (Greg Steen)

Анализ HTTP-трафика
HttpWatch Professional Edition
httpwatch.com

Протокол HTTP, основа для связи обозревателя с веб-узлом, является невероятно полезным протоколом уровня 7. Более того, с появлением веб-служб многие приложения Windows® Forms стали использовать протокол HTTP для загрузки обновлений программ и для осуществления домашних вызовов для проверки. Поиск неисправностей, настройка производительности или проверка безопасности связи приложений по протоколу HTTP могут быть трудными задачами, но программа HttpWatch Professional Edition может упростить устранение неполадок, связанных с работой обозревателя в Интернете.
Программа HttpWatch отображает сведения веб-запросов
Программа HttpWatch отображает сведения веб-запросов
Программа HttpWatch Professional интегирована с обозревателями Internet Explorer® 6.0 и Internet Explorer 7 и может отображаться внизу обозревателя или в качестве отдельного инструмента. При нажатии кнопки «Record» (Запись) программа HttpWatch начинает запись и регистрацию трафика, отображая все детали веб-запросов. Как вы видите, это необработанный поток HTTP, все происходящие на запросе к странице перенаправления, пары ключ-значение строки запроса, связанные с запросом, способ HTTP, информация о сжатии HTTP и вся информация о фрагментном кодировании. Кроме того, HttpWatch отображает подробные сведения о всех файлах «cookie», связанных с запросом, предоставляя путь, домен, срок действия и значение файла «cookie». А поскольку приложение
работает в качестве подключаемого модуля обозревателя Internet Explorer, также можно просмотреть все сведения незашифрованных HTTPS-запросов.
С помощью программы HttpWatch можно проанализировать данные производительности ваших запросов на уровне сети, поскольку она отображает время отклика (в миллисекундах), поиски DNS, подключения TCP, информацию об IP-адресе, порты и принятое и полученное обозревателем количество байт. Думаете, что знаете все обо всех запросах? Меня всегда удивляло, как много всего участвует в одном запросом единственной HTML-страницы. К счастью, HttpWatch позволяет выполнять фильтрацию отображаемого содержания по его типу, коду ответа, URL-адресу, заголовкам или определенной статье содержания. Это позволяет точно определить область запроса и быстро находить необходимые сведения.
Веб-узел продукта рекламирует этот инструмент в качестве способа устранение проблем ваших клиентов. Приложение позволяет сохранять сведения о запросе, чтобы клиенты могли отправлять информацию о проблемных запросах. Это может быть полезным для устранения неполадок. HWL-файл программы можно отправить по электронной почте с помощью всего нескольких щелчков мыши. После получения файла от клиента его можно просмотреть с помощью отдельного средства просмотра файлов журналов, включенного в пакет установки. Также можно экспортировать данные запроса в форматы CSV и XML для использования в других приложениях.
HttpWatch имеет расширенный автоматический API, который предоставляет возможность записи информации на уровне HTTP по время проверки, что помогает найти узкие места для производительности. Пакет устанавливает три примера использования API — один на языке C через библиотеку взаимодействия и два примера на языках JavaScript и Ruby через COM. При использовании Ruby с Watir для целей тестирования обратитесь к учебнику по интеграции HttpWatch в платформу тестирования, находящемуся на веб-узле продукта.
Цена: 249 долларов США за лицензию для одного пользователя.

Обзор книг
Microsoft Solutions Framework Essentials
microsoft.com/mspress

Для предоставления успешных технологических решений компаниям необходимы эффективные процессы и открытая связь. В книге Майкла Тернера, Microsoft Solutions Framework Essentials (издательство Microsoft Press, 2006), рассматриваются основы Microsoft® Solutions Framework (MSF) version 4.0 и показывается ее использование для разработки и внедрения протестированного процесса и рекомендации, касающиеся связи.
Тернер начинает с отличного совета не использовать сразу же все руководства и рекомендации MSF с текущем процессе и структуре организации. Вместо этого он советует внедрить часть MSF в продукт или проект разработки, а затем оценить успешность этого. При удачных результатах оценки выберите другой аспект MSF, подходящий для вашего проекта, и введите его в стандартный цикл проекта. В этом случае можно адаптировать MSF к вашей среде, а также устранить появление непредвиденных проблем, которые могут возникнуть в результате этих изменений.
Книга предназначена для всех специалистов, будь то технических или нетехнических, участвующих в предоставлении технических решений. В главе «Building an MSF Team» (Создание команды MSF) показана работа технического и нетехнического персонала для предоставления успешных решений. Однако он предупреждает, что это может быть одной из самых сложных частей MSF для внедрения, поскольку при этом изменяются ежедневные обязанности.
Центральной идеей изменения структуры является формирование команды, члены которой работают в качестве узлов, представляя различные перспективы и дополнительные преимущества к общему процессу. (Конечно же, это не устраняет необходимость существования лица, принимающего решения.) Как описано, представители MSF разделены на девять групп: управление продуктом, управление программой, архитектура, разработка, тестирование, взаимодействие с пользователем и выпуск/операции, каждая из которых имеет собственный состав и обязанности. Для организации с группами большего размера в книге представлены советы по расширению идеи групп поддержки для поддержки более больших групп и команд.
Риски присутствуют во всех проектах, вы найдете массу советов по реорганизации, которые помогут вам и вашей команде эффективно работать с рисками. Снижение рисков проекта является очень важным; процесс управления рисками делится на шесть этапов, делающие его успешным: определение, анализ и определение приоритетов, планирование и составление графиков, отслеживание и создание отчетов, управление изменениями и анализ прошлого опыта. Более того, необходимо продолжить оценку рисков в цикле проекта. Отмеченные в данном разделе моменты могут действительно помочь снизить возможность сбоя.
Основы предоставления решения рассмотрены подробно, включая инструкции по представлению, планированию, созданию, стабилизации и развертывании решения, а также определение обязанностей групп поддержки на каждом этапе. Представлена модель управления MSF, более детальное рассмотрение всех путей жизненного цикла предоставления решения: представление, планирование, стабилизация, стабилизация, развертывание и окончательное руководство (то есть, руководство предоставлением решения)
Несмотря на то, что вы, возможно, полагаете, что ваша роль в вашей организации не требует средств и процессов, которые обсуждаются в этой книге, прочтение ее, тем не менее, поможет вам по-новому взглянуть на текущие процессы — в независимости от того, чем вы занимаетесь: операции, развитие или управление проектами. Даже если ваша работа не связана с разработкой программного обеспечения, обсуждаемые Тернером, дадут вам отправную точку для улучшения эффективности и каналов связи в вашей организации.
Цена: $44.99.

Редактировать файлы
UltraEdit
ultraedit.com

Каждый серьезные ИТ-специалист нуждается в мощном компактном редакторе в своем арсенале. Редактор, который я считаю хорошим, - это UltraEdit производства компании IDM Computer Solutions. Он поддерживает все стандартные функции и возможности, которые обеспечивает любой стоящий текстовый редактор, включая вставку символов ASCII, макросы, поиск и замену по регулярному выражению, подключение внешних приложений, поддержку UTF и быструю работу с большими текстовыми файлами. Тем не менее, UltraEdit обладает некоторыми возможностями, которые не так распространены, что делает его особенно ценным.
Для базового редактирования существует многоязычное средство проверки орфографии на 100 000 слов, автозаполнение, функция выделения синтаксиса кода для таких стандартных языков, как C#. Можно установить перенос длинных строк в заданном столбце с физической вставкой в текст символа окончания строки – отличная функция для форматирования текстовых сообщений электронной почты, где строки не могут превышать определенную длину. В этой ситуации можно отправить электронную почту с помощью UltraEdit, всего лишь пару раз щелкнув мышью. Это приложение интегрируется с Windows Explorer, поэтому открытие файла для редактирование – это щелчок правой кнопкой мыши, а потом левой.
Выделение синтаксиса кода в UltraEdit
Выделение синтаксиса кода в UltraEdit
Работа UltraEdit не ограничивается текстовыми файлами. Он также работает с двоичными файлами и предоставляет возможности стандартного шестнадцатиричного просмотра и редактирования шестнадцатиричных значений, ссылки на строку, а также потенциальные значения ASCII. В шестнадцатиричном режиме редактирования можно вырезать, копировать и вставлять значения, а также выполнять стандартный поиск и замену. UltraEdit включает в себя интегрированный FTP-клиент, который поддерживает подключения как с FTP, так и с SFTP. Кроме того, можно открыть стандартные подключения Secure Shell (SSH) или TELNET.
Для разработчиков веб-приложений UltraEdit содержит интегрированное средство проверки HTML для проверки веб-страниц. Для работы с файлами баз данных в текстовом формате или файлами журнала, в которых поля в строках разделены определённым символом, в UltraEdit предусмотрен специальный колоночный режим работы. В этом режиме можно легко перемещаться между колонками, редактировать данные в них и суммировать их содержимое. UltraEdit даже может группировать набор файлов в проект или рабочее пространство, что позволяет открыть сразу несколько связанных друг с другом файлов одним щелчком мыши. В целом, UltraEdit обладает прекрасным набором функций, которые помогут сделать вашу работу с ИТ проще и эффективнее.
Цена: 49,95 долларов США за лицензию для одного пользователя.

Управление мобильной конфигурацией
Net-Switch
net-switch.com

Это распространенная проблема. Вы перемещаетесь из среды в среду (например, из центра обработки данных на рабочее место), перенося портативный компьютер. Всякий раз вам приходится переназначать статический IP-адрес и принтер по умолчанию для своего компьютера. Если вам это знакомо, вы, возможно, захотите узнать, что такое Net-Switch. Эта полезная программа позволяет устанавливать и сохранять множество настроек сети, для каждого из которых назначен свой принтер по умолчанию, поэтому не нужно помнить или впечатывать вручную все эти цифры каждый раз, когда вы переходите из одной среды в другую.
Net-Switch управляет параметрами портативного компьютера
Net-Switch управляет параметрами портативного компьютера
Это приложение невероятно просто в использовании. Просто дайте имя настройке, возьмите сетевой адаптер, назначьте статический IP со связанной маской, шлюз и DNS-серверы (или выберите DHCP), назначьте принтер по умолчанию, и все. Это недорогой способ избавиться от повседневной суеты.
Цена: 19,95 долларов США, напрямую.

Напишите нам
Если вы хотите увидеть здесь обзор любимого инструмента или служебной программы, свяжитесь с автором по адресу tntools@microsoft.com.

Грег Стин (Greg Steen) специалист по информационным технологиям, предприниматель и энтузиаст. Он находится в постоянном поиске новых инструментов и методов для облегчения работы специалистов по информационным технологиям и процесса разработки.


 SQL: вопросы и ответы: Анализатор соответствия рекомендациям, многоядерные процессоры и многое другое
SQL: вопросы и ответы
Анализатор соответствия рекомендациям, многоядерные процессоры и многое другое
Под редакцией Нэнси Митчелл (Nancy Michell)

Вопрос. У меня есть несколько вопросов относительно правила анализатора соответствия рекомендациям (BPA), касающегося применения Schema Qualified Tables/Views (Квалифицированные схемой таблицы и представления). Согласно документации BPA, это правило не проверяет временные таблицы на квалификацию схемой. Ссылки флагов отчетов BPA на временные таблицы созданы в хранимых процедурах. Требуется ли их квалифицировать? Если да, то какой схемой? Казалось бы, временные таблицы должны быть квалифицированы для их владельцев, так же, как и другие таблицы.
Ответ. На самом деле рекомендация BPA относительно квалификации схемой таблиц и ссылок на представления не относится к SQL Server™ 2005, поскольку в нем устранена неполадка разделения пользователей и схем, требовавшая выполнения этой рекомендации на предыдущих версиях SQL Server. Квалификация схемой требовалась для обеспечения возможности повторного использования плана запроса разными пользователями, имевшими в SQL Server 2000 разные схемы по умолчанию. Они могли использовать объекты dbo без квалификации, но SQL Server должен был сначала проверить схемы по умолчанию для объектов, препятствуя повторному использованию плана запроса. Поскольку разделение пользователей и схем позволяет разным пользователям совместно использовать схему по умолчанию, и в обычной ситуации обеспечивает всем пользователям базы данных доступ к объектам в их схемах по умолчанию, специальные планы с неквалифицированными именами таблиц и представлений могут использоваться пользователями совместно и допускают повторное использование. Неприятности от этой неполадки никогда не стояли на первом месте для неквалифицированных имен таблиц и представлений в хранимых процедурах, что уменьшает основания для следования этой рекомендации. BPA в SQL Server 2005 не будет содержать таких правил, поскольку в нем отсутствует синтаксический анализатор T-SQL. Вместо этого будет выполняться проверка на наличие некорректных параметров настройки и безопасности.

Вопрос. Наблюдается странное поведение SQL Server 2005 с пакетом обновления 1 (SP1). При удалении из таблицы записей и выполнении операций вставки записей в эту же таблицу и в это же время вставленные записи блокируются до выполнения транзакции удаления. Существует ли способ, позволяющий выяснить, что приводит к блокировке?
Ответ. Да. Для поиска блокировок и их причин можно выполнить сценарий Dynamic Management Views (DMV), представленный на рис. 1.
Figure 1 Поиск блокировок и их причин (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

Вопрос. Помимо процессоров с технологией hyperthreading и двухъядерных процессоров, поставщики микросхем приступают к выпуску процессоров с дополнительными ядрами (четыре, восемь и более). Я обдумываю приобретение нового сервера с многоядерными процессорами для поддержки развертывания SQL Server 2005 Standard Edition и хотел бы уточнить: при использовании четырехъядерного процессора я смогу использовать только один физический ЦП (поскольку версия Standard Edition рассчитана только на четыре ЦП)?
Ответ. В целях поддержки версий как лицензирования, так и ЦП в SQL Server учитывается только число физических разъемов/процессоров, независимо от числа ядер процессора. Поэтому, например, тот факт, что SQL Server 2005 Standard Edition поддерживает до 4 ЦП, означает, что он будет поддерживать 4 физических разъема ЦП независимо от числа ядер в каждом из них (при наличии 4 физических ЦП, каждый из которых имеет 4 ядра, при развертывании Standard Edition будут использоваться 16 логических ЦП). Более того, даже если имеется 16 ядер/логических ЦП, для лицензирования требуется оплатить только 4 физических ЦП, а не все 16 ядер. Для получения дополнительных сведений об SQL Server и многоядерной технологии посетите веб-страницу по адресуmicrosoft.com/sql/howtobuy/multicore.mspx.

Вопрос. Я собираюсь приобрести несколько новых серверов баз данных. Стоит ли остановить выбор на 64-разрядных версиях или на испытанных и проверенных 32-разрядных версиях?
Ответ. Это зависит от конкретной ситуации. В настоящее время этот вопрос возникает очень часто, поскольку поставщики переводят оборудование с версии x86 на версию x64. В первую очередь следует выяснить, какой будет величина нагрузки на память на сервере базы данных. Если экземпляр SQL Server будет потреблять меньше 3 ГБ ОЗУ в течение срока службы оборудования (обычно три года), тогда 32-разрядная версия x86 вполне подходит при условии, что эта же версия будет на других серверах (контроллерах доменов, серверах DNS, серверах приложений, веб-серверах, почтовых серверах). Если экземпляр SQL Server будет потреблять более 16 ГБ или на серверах (кластерах) будут использоваться несколько экземпляров, следует всерьез обдумать переход на 64-разрядные технологии. В случае использования более восьми процессоров стандартной рекомендацией является IA64. Тем не менее, поскольку четырехъядерные и восьмиядерные ЦП архитектуры x64 начинают производиться в массовых масштабах, могут возникать серьезные доводы с точки зрения затрат в пользу применения версии x64, а не IA64.
Развертывание одной и той же архитектуры в средах разработки, тестирования и рабочих средах могло быть не включено в изначальные оценки затрат при переходе на архитектуру x64 (или IA64). Следует также подумать, готовы ли вы продолжать использовать старую технологию в течение половины срока службы оборудования. Через 18 месяцев будет практически невозможно получить оборудование, полностью соответствующее версии x86. Если в настоящее время вы склоняетесь к этому варианту решения, то в течение следующего года или двух следующих лет обновление будет довольно дорогостоящим, поскольку придется выполнять процедуру копирование-замена. Если перейти на 64-разрядное оборудование в настоящее время, это обеспечит больший набор возможностей в течение следующих нескольких лет.
Поэтому подходящим моментом перехода на 64-разрядное оборудование является момент приобретения нового оборудования, начало цикла выпуска основного приложения или обновление SQL Server 2000 до SQL Server 2005.

Вопрос. У меня работает доставка журналов между двумя серверами. В выходные дни сбой оборудования на главном сервере вызвал остановку доставки журналов. После проверки контроля доставки журналов было обнаружено, что LS_backup_dbname прекрасно работала, несмотря на несколько часов простоя.
На сервере-получателе, однако, оказалось, что задание на копирование работает прекрасно, но задание на восстановление, по-видимому, пропускает файлы и, в конечном счете, снова и снова заканчивается аварийно. Оно выполняется, но пропускает каждый файл и затем заканчивается аварийно. Поэтому с момента последнего восстановления к настоящему времени прошло 849 минут. В прошлом в таких ситуациях я просто заново инициализировал настройку доставки — т.е., выключал и включал ее снова; таким образом я повторял восстановление свежей резервной копии на сервере-получателе, и доставка журналов возобновлялась. Нет ли более эффективного способа справиться с этой ситуацией?
Ответ. Наблюдаемое поведение, возможно, является результатом отсутствия файлов резервных копий. Как известно, задания на архивацию, копирование и восстановление доставки журналов выполняются независимо. Старые файлы резервных копий удаляются в месте размещения копий в соответствии с указанным пользователем расписанием. Если в течение некоторого периода времени задание на восстановление не выполнялось, интервал мог исчерпаться, что привело бы к отсутствию файлов резервных копий. Логика задания на восстановление доставки журналов предполагает попытку восстановления при различных типах сбоев, вызываемых разными эксплуатационными условиями. По существу, при возникновении ошибок выполняется поиск файлов с целью поиска исправных файлов резервных копий. Если исправный файл резервной копии не обнаруживается, полагаю, что-то привело к удалению требуемых файлов или, возможно, настройка доставки журналов была изменена в части архивирования.
Возможное решение состоит в восстановлении вручную с помощью файлов резервных копий журналов транзакций, которые случайно были созданы другим заданием на архивацию. Проблема, возникающая при простом копировании их в место размещения копий доставки журналов, связана с соглашением об именах, распознаваемых доставкой журналов. Но после обработки этой ситуации вручную обычный процесс восстановления возобновляется и продолжается.

Вопрос. Каким образом можно с помощью T-SQL определить общий и свободный объемы физической памяти? Существует ли простой способ получить эту информацию?
Ответ. Достаточно выполнить запрос, приведенный на рис. 2, и вы получите требуемые вам данные.
Figure 2 Получение памяти (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

Вопрос. Для упрощения создания базы данных из приложения хотелось бы хранить пароль системного администратора (sa) в файле, зашифрованном с помощью симметричного ключа. Возможно ли это?
Ответ. Во-первых, никогда не используйте sa из приложения. Кроме этого, вместо проверки подлинности SQL Server следует использовать проверку подлинности Windows.
Если необходимо выполнять операции с высоким уровнем привилегий, выполните следующие действия. Определите минимальный набор разрешений, необходимый для выполнения операции. Определите роль базы данных, в которую входят эти разрешения. Назначьте пользователя для этой роли. Создайте хранимую процедуру с блоком EXECUTE AS, которая будет выполнять эти функции. Для ознакомления с пояснениями относительно блока Execute As посетите веб-страницу по адресу msdn2.microsoft.com/ms188354.aspx.
Конечно, отвлекаясь от того, что обсуждается учетная запись sa, и памятуя о том, что проверка подлинности Windows не всегда входит в набор возможностей, более существенным вопросом является следующий: каким образом можно обеспечить надежное хранение пароля учетной записи SQL Server для входа, чтобы приложение, которому требуется пароль, могло получить к нему доступ, а неавторизованные пользователи или приложения — не могли?
Шифрование пароля является шагом в правильном направлении, но это просто заменяет задачу защиты пароля на задачу защиты ключа шифрования.
Если это приложение на платформе Microsoft® .NET Framework, ознакомьтесь с библиотекой Enterprise Library на веб-странице по адресу msdn2.microsoft.com/aa480453.aspx и с рекомендациями MSDN® из раздела patterns & practices по адресу msdn.microsoft.com/practices. В библиотеке Enterprise Library содержится несколько блоков приложений, которые могут оказаться полезными, включая блок настройки, блок шифрования и блок доступа к данным; это поможет (по крайней мере) обеспечить надежное хранение паролей, и даже больше — управлять в целом доступом к данным.
Если нет возможности воспользоваться библиотекой Enterprise Library (возможно, вы не используете .NET Framework), тогда ознакомьтесь с интерфейсом CryptoAPI: msdn2.microsoft.com/aa380255.aspx. Здесь вы найдете набор основных криптографических функций, распространяемых вместе с ОС, которые позволят связать криптографические ключи с пользователем или компьютером, что упрощает работу с ключами (которая становится непростой, если пароль зашифрован).

Вопрос. Я хочу переместить сервер кластеров SQL Server 2000 с двумя узлами (активный/активный — на 64-разрядном оборудовании) из домена A в домен B в пределах одного и того же леса. База данных SQL Server находится в сети SAN. Для архитектуры Active Directory® требуется пустой корневой домен с двумя дочерними доменами (домен A и домен B). Домен B предполагается использовать в качестве домена, в который будут помещаться все компоненты инфраструктуры. Это среда Windows Server® 2003 Enterprise с дополнительными контроллерами доменов, работающими под управлением Windows 2000.
Возможно ли изменить принадлежность сервера кластера SQL Server к домену A на принадлежность к домену B?
Ответ. Для начала рекомендуется ознакомиться со статьями «How to Change Domains for a SQL Server 2000 Failover Cluster» (Как изменять домены отказоустойчивого кластера SQL Server 2000) и «How to Move a Windows Cluster Server from One Domain to Another» (Как переместить сервер кластеров Windows из одного домена в другой). Точно такая же процедура применяется в случае кластера с несколькими экземплярами. Единственное отличие состоит в том, что придется соответствующим образом повторить все этапы для каждого экземпляра. Учитывая возникающие сложности, никто не станет «рекомендовать» смену домена кластера, но такие операции выполняются часто. Единственный другой способ заключается именно в том, что вы сформулировали: создание нового параллельного экземпляра и перенос данных.
Каждый проект имеет свои особенности, и при выполнении реальных изменений на уровне домена (включая вопросы безопасности, переноса учетных данных, сопоставления идентификаторов sid и т.д.) используются самые разнообразные средства. Зачастую именно это, а не собственно изменение, является самой сложной частью всего процесса.

Благодарим за технические консультации следующих специалистов по информационным технологиям корпорации Майкрософт: Сунила Агаруола, Лорана Банона, Стива Блума, Чада Бойда, Мэта Бера, Шона Кокса, Синди Гросс, Бобби Гулати, Мэта Холингсворта, Арноста Кобылка, Михаила Шира, Фернандо Пессоа Суса, Стефана Стронга и Раму Веерарагхавана.


 Обзор служебных программ: Набор средств для обновления узлов и шаблонов SharePoint
Обзор служебных программ
Набор средств для обновления узлов и шаблонов SharePoint
Луис Камара Мануэль (Luis Cвmara Manoel) and Петер Скьятт Ларсен (Peter Skjшtt Larsen)
Загрузить исходный код для этой статьи: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

В результате недавнего появления служб Windows SharePoint (WSS) 3.0 многим администраторам предстоит задача перевода существующих узлов и данных WSS 2.0 на среду WSS 3.0. Хотя WSS 3.0 предоставляет достаточно средств, которые адекватно переносят данные узлов и
обновляют структуру узлов, может потребоваться дополнительная работа по обновлению структуры пользовательских узлов или шаблонов узлов.
Однако может потребоваться дополнительная работа по обновлению структуры пользовательских узлов или шаблонов узлов. К счастью, команда решений Microsoft® выпустила набор средств для обновления узлов и шаблонов служб Windows® SharePoint®, предоставляющий рекомендации и средства для этой задачи (см. боковую панель «Материалы по WSS»). Эта статья посвящена некоторым из сложностей и решений, связанных с обновлением пользовательских узлов до среды WSS 3.0. Но сперва ознакомьтесь с боковой панелью «Терминология WSS», чтобы освоиться с определениями употребляемых терминов.

Процесс обновления
Почему следует провести обновление? Есть некоторые новые возможности WSS 3.0, которые могут подвигнуть владельцев узлов на обновление:
  • Корзина, позволяющая пользователям восстановить нечаянно удаленные документы.
  • Безопасность на уровне папки, что позволяет администраторам контролировать, у кого есть доступ к папкам.
  • Почтовая рассылка, что позволяет спискам, таким как почтовый список блога на узле SharePoint, получать содержимое по электронной почте.
  • Кнопка действий узла, позволяющая пользователям легко создавать узлы и страницы,править страницы и управлять параметрами узла.
  • «Хлебные крошки», предоставляющие пользователю ближайший контекст перемещения.
  • Мобильные представления, позволяющие мобильным пользователям воспользоваться удобствами возможностей автономной синхронизации.
  • Потоки RSS, позволяющие приложениям с поддержкой RSS, таким как Internet Explorer 7.0 и Outlook® 2007, получать информацию из списков.
  • Контроль версий в библиотеках документов, позволяющий базовый контроль версий и проверку того факта, что документ взят для изменения перед правкой.
Поскольку процедура обновления узлов и шаблонов зависит от выполнения специфических действий до и после собственно обновления сервера до WSS 3.0 (см. рис. 1), определение требований к обновлению узлов и шаблонов является важным шагом в общей стратегии обновления до WSS 3.0. Владельцам узлов и администраторам серверов стоит работать вместе, чтобы определить, какие узлы и шаблоны должны быть реализованы и обновлены в среде WSS 3.0. Как только пользовательские узлы отобраны, работы по обновлению можно начинать.
Рис. 1 Процесс обновления узлов и шаблонов узлов WSS
Рис. 1 Процесс обновления узлов и шаблонов узлов WSS

Определение настроенных шаблонов узлов
Как вам определить, изменялись ли узлы? WSS 3.0 предоставляет средство проверки перед обновлением, которое создает отчет об изменениях, сделанных в шаблонах узлов, для всей фермы. Вам необходимо запустить это средство прежде, чем начинать переход, чтобы выбрать узлы, где шаблоны потребуют специального внимания.
Это средство создает отчет в формате XML, как показано на рис. 2. Элемент unghostedPage указывает на то, что узел был изменен.
Figure 2 Отчет средства проверки перед обновлением об изменениях, сделанных в шаблонах узлов (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Пользовательские определения узлов
Большинство из пользовательских узлов WSS 2.0, которые вы захотите обновить, вероятнее всего, были созданы по шаблонам, основанным на стандартных определениях узла WSS. Однако возможно, что некоторые из пользовательских шаблонов узлов были построены из пользовательских определений узлов. Так может быть, если разработчики в вашей организации создали пользовательские определения узлов, или если вы приобрели приложения или шаблоны сторонних разработчиков, основанные на измененных определениях узлов. Здесь будет рассмотрен только вариант со стандартным определением узла. Дополнительные сведения о варианте с измененным шаблоном узла имеются на боковой панели «Материалы по WSS».
Проверив, что ваши файлы STP и узлы в самом деле построены на стандартных определениях узлов, что означает, что в WSS 3.0 существуют определения обновления узлов, вы можете приступать к обновлению и реализации ваших узлов.
Для обновления специфических шаблонов узлов WSS 2.0 сперва необходимо установить шаблоны на сервер WSS 2.0 (см. этап 1 на рис. 1). Затем необходимо создать узлы, основанные на каждом из установленных шаблонов.
Для упрощения процесса установки нескольких файлов STP, создания нескольких узлов и очистки сервера от любых временных файлов по завершении обновления решение предоставляет набор сценариев, использующих команды Stsadm.exe (см. боковую панель «Сценарии решения»). Stsadm.exe – это приложение командной строки, предлагающее полный набор операций WSS для управления сервером и узлами SharePoint. Сценарии решения автоматизируют этот процесс, позволяя пакетную установку и создание или выполнение этих задач последовательно. Если нужно установить много файлов STP и создать много узлов, выигрыш по времени может быть весьма значительным.
Сценарии решения
Процесс установки и создания узлов использует два сценария, запускающих Stsadm.exe:
  • MigInstStp.cmd устанавливает шаблоны узлов, используя операцию addtemplate программы Stsadm.exe. Параметрами операции являются _SOURCEFILELOCATION, _SOURCEFILENAME и _FILETITLE.
  • MigMakeSite_1.cmd создает новые узлы. MigMakeSite_1.cmd исполняет операцию createweb программы Stsadm.exe. Параметрами операции являются _SERVERURL, _SITENAME, _SITETEMPLATENAME и _SITETITLE.
Выполните эти сценарии на локальном сервере WSS 2.0 с доступом к местонахождению сохраненных шаблонов узлов (файлов STP). Для запуска этих сценариев вы должны быть членом группы администраторов на локальном компьютере или членом группы администраторов WSS с правом создания узлов. Руководство к набору средств для обновления узлов и шаблонов служб Windows SharePoint содержит детальное описание того, как максимально использовать эти сценарии. Теперь, когда шаблоны установлены и узлы созданы, вы готовы продолжать обновление сервера. Подход к обновлению на WSS 3.0 обсуждается в деталях в документе «Переход на службы Windows SharePoint 3.0» (см. ссылку, указанную в боковой панели «Материалы по WSS»).

Терминология WSS
У служб Windows SharePoint есть собственная уникальная терминология. Здесь приведен краткий словарь часто встречающихся терминов.
Определение узла Набор файлов, определяющих специфический тип узла. В определение узла входят файлы XML, ASPX, ASCX и Master Page, а также файлы шаблонов списков и файлы содержимого, хранимые в специальной папке на веб-сервере первого уровня. WSS поставляется с набором стандартных готовых определений узлов, среди которых узел команды, пустой узел и рабочее пространство документов. Изначально это единственные шаблоны узлов, хранящиеся в галерее шаблонов узлов и доступные в списке «Выберите шаблон» на странице «Новый узел SharePoint».
Шаблон узла Шаблоны узла задают, как создать узел SharePoint. Для создания нового узла SharePoint вы должны выбрать шаблон узла, на котором строится узел. Например, вы можете создать новый узел, называющийся «Совет директоров», основанный на стандартном шаблоне «Пустой узел». Затем вы можете добавить списки, библиотеки, элементы Web Parts и прочие дополнения к созданному узлу. Чтобы сделать эти изменения доступными для других, вы можете сохранить этот узел как шаблон, называющийся «Совет директоров», основанный на определении узла «Пустой узел». WSS сохраняет шаблон пользовательского узла в виде файла STP (шаблон узла), помещает его в галерею шаблонов узлов и отображает его в списке «Выберите шаблон» на странице «Новый узел SharePoint», так что пользователи позже могут создать новые узлы, основанные на нем. В шаблоне узла содержится набор конфигурационных файлов узла, включая XML, ASPX, образы и прочие, который упаковывается в единый файл STP. (Файлы STP по функциям схожи с файлами CAB). Самым важным из этих файлов является Manifest.xml, содержащий важнейшие сведения, такие как структура узла и перемещение по нему, списки и библиотеки, размещение элементов Web Parts, определения пользовательских списков и определение узла, на котором основан пользовательский шаблон узла.
Шаблон приложения Это шаблоны узлов служб Windows SharePoint, разработанные для соответствия требованиям определенных бизнес-процессов или задач. Они публикуются Майкрософт и доступны для бесплатной загрузки пользователям WSS.
Пользовательский узел Узел SharePoint, где был изменен интерфейс пользователя.
Master Page Область, где может храниться информация о компоновке по умолчанию, такая как логотип, элементы управления для перемещения и другие меню, чтобы обеспечить одинаковый интерфейс в любом месте узла.
Призрачные страницы Страницы, чье содержимое не хранится в базе данных содержимого WSS, а считывается из файла определения узла. Призрачные страницы не были настроены.
Непризрачные страницы Страницы, которые были изменены из файла определения узла, чье содержимое хранится в базе данных содержимого WSS.

После обновления сервера – проверка узла
Теперь вы подошли к Этапу 2 в процессе обновления (обратитесь к рис. 1). Действия, предпринимаемые на этом этапе обновления узла и шаблонов, включают следующее:
  1. Открыть и проверить обновленные узлы.
  2. Применить Master Page по умолчанию.
  3. Устранить проблемы функционирования и компоновки на новых узлах.
  4. Сохранить исправленные узлы как новые шаблоны узлов WSS 3.0.
  5. Переустановить новые шаблоны узлов WSS 3.0 на сервер.
  6. Создать узлы из повторно развернутых шаблонов узлов.
  7. Открыть новые узлы и проверить, что они работают как ожидалось.
  8. Запустить процесс очистки.

Сброс определения узла
Когда вы впервые откроете обновленный узел, вы увидите, что он все еще сильно напоминает узел WSS 2.0. Чтобы сделать его более похожим на узел WSS 3.0, вы должны сперва сбросить определение узла в новом узле WSS 3.0. Это решит большую часть проблем с компоновкой, и вы не потеряете ни одной настройки элементов Web Parts, если они уже находятся в зоне Web Part, существующей на странице определения узла. Это действие также применит Master Page по умолчанию ко всем страницам узла.
Master Page, как предполагает имя, это область, где может храниться информация о компоновке по умолчанию, такая как логотип, элементы управления для перемещения и другие меню, чтобы обеспечить одинаковый внешний вид. Это позволяет делать изменения дизайна на Master Page, а затем изменения распространяются по всему узлу. После применения Master Pages вся встроенная функциональность WSS 3.0 будет разрешена на обновленном узле.
Хотя узел должен теперь выглядеть и работать как изначальный узел WSS 3.0, вы все равно наверняка найдете несколько проблемных мест, таких как доски обсуждений, пользовательские элементы Web Parts, гиперссылки и темы.

Восстановление поломанного
В обновленных и измененных шаблонах узлов могут случиться некоторые проблемы. Далее приведены некоторые из наиболее распространенных проблем и некоторые простые идеи по их решению.
Таблица стилей WSS 2.0 по умолчанию все еще назначена узлу. Удалите старую таблицу стилей с помощью SharePoint Designer.
Web Parts отсутствуют или в неправильном месте. Переместите или добавьте элементы Web Parts с помощью SharePoint Designer.
Web Parts работают неправильно. Удалите элементы Web Parts, которые несовместимы с WSS 3.0, и свяжитесь с их разработчиком, чтобы выяснить, были ли соответствующие элементы Web Parts скомпилированы для сред WSS 3.0.
Пользовательские списки и библиотеки выглядят неправильно. Сохраните существующие данные, затем пересоздайте пользовательский список или библиотеку и импортируйте сохраненные данные.
Включенные возможности WSS 3.0 недоступны. Возможно, необходимо в явном виде активировать возможности группового взаимодействия в разделе возможностей узла.
Гиперссылки больше не работают. Жестко запрограммированные ссылки может потребоваться обновить вручную.
Тема изменилась. Примените нужную тему WSS.

Почти готово
Так как процесс близится к концу, и все проблемы были решены, наступило время для выполнения последней проверки узлов Вам необходимо сохранить исправленные узлы как шаблоны узлов WSS 3.0, выполнить установку новых шаблонов и создание узла (можно опять воспользоваться сценариями), и, наконец, открыть узел, чтобы проверить, что все проблемы были решены, и ваши обновленные узлы и шаблоны готовы к дальнейшему распространению в вашем рабочем окружении.

Альтернативы обновлению
Обновление шаблонов с применением описанных здесь автоматизированных средств и процессов не всегда является наилучшим подходом. Если вы пользуетесь сильно измененными шаблонами стороннего производителя, может оказаться слишком сложно обновлять шаблоны самостоятельно, и может оказаться, что лучше дождаться новой версии шаблона . В других случаях, создание нового шаблона на WSS 3.0 и последующая реализация возможностей старого шаблона может оказаться лучшим вариантом.

Шаблоны приложения.
Существуют наборы разработанных Microsoft шаблонов приложений для WSS 2.0 и для WSS 3.0. Новый набор для WSS 3.0 содержит обновленные версии некоторых шаблонов приложений для WSS 2.0. Если вы пользовались одним из этих шаблонов, вы можете загрузить обновленную версию для WSS 3.0 в ваше окружение WSS 3.0.
Если вы использовали один из шаблонов приложений для WSS 2.0, который не был обновлен для WSS 3.0, решение предоставляет набор шаблонов приложений для WSS 2.0, которые были обновлены для работы в окружении WSS 3.0.

Заключение
Набор средств для обновления узлов и шаблонов служб Windows SharePoint окажется очень полезным, помогая вам сохранить ваши шаблоны, узлы и настройки в новом окружении. Для получения дополнительной информации по этой теме и для получения набора посетите узлы, перечисленные в боковой панели «Материалы по WSS».
Нам хотелось бы поблагодарить Бетти Хаузер за ее ценный вклад в эту статью и в ускоритель решения.
Материалы по WSS
  • Средство для проверки перед обновлением
  • Набор средств для обновления узлов и шаблонов служб Windows SharePoint
  • Переход на службы Windows SharePoint 3.0 (техническая библиотека служб Windows SharePoint 3.0)
  • Развертывание файлов определения обновления и новых определений узлов

Луис Камара Мануэль (Luis Cвmara Manoel) работает менеджером программы в группе решений корпорации Майкрософт. Он работает в Майкрософт около года. До этого Луис работал в должностях менеджера проекта и менеджера программы в корпорации Novell и в компании Volera в г. Прово, штат Юта. С ним можно связаться по адресу luiscam@microsoft.com.
Петер Скьятт Ларсен (Peter Skjшtt Larsen) работает менеджером по продуктам в группе ускорителей решения корпорации Майкрософт. Он работает в Майкрософт более четырех лет в области разработки и маркетинга. Раньше он разрабатывал клиентское и серверное программное обеспечение для финансовой, машиностроительной и телекоммуникационной отраслей. С ним можно связаться по адресу petela@microsoft.com.


 ИТ-проектирование: Создание бизнес-плана
ИТ-проектирование
Создание бизнес-плана
Стефан Ибараки (Stephen Ibaraki)

Для многих читателей это давно уже не новость, но в настоящее время нельзя сделать покупку или вложить капитал в ИТ, не имея для этого серьезной причины. Покупка ради простого обладания последней новинкой в компьютерной сфере — это вчерашний день. Ничем не ограниченная, неспланированная технология когда-то считалась прямой дорогой к
лидерству на рынке и росту. Но этот подход устарел с приходом Интернета и привел к сужению сферы ИТ. В наши дни должна существовать реальная прибыль для предприятия от ИТ-проектов.
Как может быть оправдано вложение в ИТ при условии, что бюджеты становятся все меньше и меньше? Ответ кроется в создании проекта, который включает в себя полезное, объединенное техническое решение. На что оно может быть похоже? Каковы ключевые элементы в создании проекта? Как создать модель бизнес-плана, чтобы обосновать ИТ-проект? На что стоит обратить внимание при интегрировании нужных технических решений в проект? Я поделюсь с вами некоторыми идеями, которые стоит рассмотреть при создании бизнес-плана.

Создание предприятий
Успешное предприятие или организация должны функционировать так, чтобы иметь измеримую ценность в глазах держателей акций, включая сотрудников, клиентов, партнеров, поставщиков и владельцев. Эта ценность должна быть четко определена и измерена, и следует проводить меры по ее непрерывному увеличению.
В мире, который все больше и больше подключается к Интернету, предприятие должно обеспечить эффективное сотрудничество по внешней и внутренней сетям, таким образом, сделать взаимодействие максимальным в реальном времени. Разве кому-то хочется ждать услуги, ответа на запрос, доставки продукта? Разве кому-то хочется получить проект с опозданием или из-за неполадок со связью бездействовать? С появлением Интернета и постоянно набирающей темпы глобализацией конкурентная борьба может вестись как совсем рядом, так и на другом континенте. Следовательно, предприятие должно в этой конкурентной среде отличаться от других. Как организация может получить особенность, которая отличит ее от множества других?
Более того, предприятие должно быть гибким: следует постоянно помнить о внешней и внутренней среде и уметь быстро делать выбор из множества вариантов, а затем внедрять инициативу. Если действовать таким образом, предприятие получает преимущество от своих сильных сторон и корректирует слабые, открывая для себя новые возможности. Эти возможности ведут к росту на новых рынках, новым клиентам, новым товарам и услугам. Предприятию также следует определять и смягчать угрозы, в том числе и от конкурентов. Все это делается, памятуя об увеличении производительности и эффективности, управляя издержками производства и рисками.
Вложение в технологии должно создавать благоприятную среду для гибкости, что приводит к более быстром функционированию на рынке, постоянное соответствие нуждам клиентов, прогнозирование конкурентных рисков, более высокой производительности, увеличению эффективности, снижению производственных расходов и рисков.
Я обсудил факторы, которые ведут к успеху предприятия, а также то, как ИТ должны поддерживать и корректировать эти факторы. В действительности, если этого не происходит, ИТ становится дорогостоящим бременем, существование которого ничем не оправдано! Если подойти к проблеме с точки зрения бизнес-плана, это даст вам проект, который обеспечит успех предприятия. А это значит, к успеху ИТ.

Создание бизнес-плана
Очень важно связать вложение в ИТ с увеличением ценности бизнеса — его особенности, снижения издержек, сфокусированности на рынке, сотрудничества и инноваций. Подход с точки зрения бизнес-плана соответствует этому требованию.
Основные составляющие ИТ-бизнес-плана подчеркнуты на рис. 1. Какова цель вашего плана? Цель и представление описывают деятельность предприятия в настоящее время, а также его перспективы на будущее. Убедитесь, что четко объяснили, как ваш ИТ-проект поддерживает эту общую цель. Необходимо четко определить связь между ИТ-инвестициями и целями бизнеса, особенно то, как ИТ-цели поддерживают стратегическое направление бизнеса — следует провести корректировку.
Figure 1 Элементы бизнес-плана (Close Figure 1)

Элемент | Описание
Цель | Подчеркивает связь между инвестициями и целями бизнеса.
Представление | Результаты работы предприятия и как ИТ сможет соответствовать этой цели.
Задача | Текущее положение предприятия и то, как ИТ способствует выполнению этой задачи.
Возможность для предприятия | Рынок, на который необходимо выйти, и ценность для предприятия.
Бизнес-модель | Товары или услуги, которые ИТ предлагает для достижения возможности для предприятия.
Целевые рынки | Клиенты (или потенциальные клиенты), которых надо обслуживать.
Интеграция с ИТ | Корректировка товаров и услуг с помощью технологий.
Конкурентный анализ | Список конкурентов с указанием их сильных и слабых сторон.
SWOT-анализ. | Сильные и слабые стороны, возможности, угрозы.
Анализ ресурсов | Существующая инфраструктура и планируемые необходимые ресурсы.
Параметры для успеха ИТ | Аспекты плана, которые следует оценить.
Финансовое планирование | Временные рамки для получения прибыли от инвестиций.
Ваше представление о возможности предприятия должна объяснять, как ИТ открывает или поддерживает ее, и какова будет прибыль. Что из себя представляет конкретная модель предприятия? Какие товары и услуги предложит предприятие в обмен на прибыль? Насколько велик потенциальный рынок и какой его процент можно будет получить в результате ИТ-инноваций? Как ИТ способствует росту этой модели? Следует объяснить, как ИТ-вложения смогут улучшить рабочий процесс и функционирование предприятия в рамках заданной модели — улучшить операции, снизить издержки, повысить эффективность и обеспечить сотрудничество и каналы связи, график работы и обмен сообщениями. Все вышеперечисленное ведет к снижению издержек или повышению производительности. Не забудьте об инновациях в процессе функционирования предприятия, которые можно получить благодаря ИТ.
Далее следует обсудить целевые рынки. Подумайте о том, как ваши ИТ-планы помогут предприятию улучшить проникновение на существующие целевые рынки или новые рынки. Обсудите, какие системы доставки используются для товаров и услуг, и как поддержка ИТ сможет обеспечить лучшее обслуживание и доставку на эти рынки.
Все это приведет непосредственно к изучению того, как товары или услуги вашего предприятия интегрированы с ИТ-технологиями. Какие именно товары и услуги являются ключевыми для интегрированной и объединенной платформы технологий? Как ИТ поддерживает товары или услуги? Как это связано с целями бизнеса? Это отправная точка для того, чтобы предположить, как ИТ сможет улучшить обеспечение обслуживания клиента, доставке проектов, а также внешнее и внутреннее взаимодействие. ИТ обеспечивает изменение предприятия — улучшение ожиданий по уровню обслуживания, эффективного контроля, расстановки приоритетов, соответствия предписаниям и нормам, конфиденциальности и безопасности. Все эти пункты должны быть обсуждены в бизне—плане.
Ваш конкурентный анализ охватывает область, в которой ваше предприятие ведет конкурентную борьбу. Кто ваши конкуренты? Каковы их сильные и слабые стороны? Отметьте, как ваши конкуренты используют технологии и как они улучшили свое положение на рынке. Обеспечивает ли ИТ ваше предприятие превосходство над конкурентами? Объясните, как ИТ улучшает гибкость вашего предприятия, обеспечивает рост, ускоряет выход на новые рынки, поддерживает новых клиентов, улучшает обслуживание существующих клиентов, и так далее. Как технология помогает вам обеспечить отличие от конкурентов, какие преимущества она дает вашему предприятию? Как ИТ увеличивает барьеры между вами и конкурентами?
SWOT-анализ включает в себя формальное перечисление сильных и слабых сторон, возможностей и угроз, связанных с вашим предприятием. Каковы внешние возможности и угрозы для вашего предприятия? Как ИТ улучшает внутренние сильные стороны предприятия, позволяющие воспользоваться новыми внешними возможностями? Как ИТ поможет преодолеть внутренние недостатки и в результате открыть для компании новые возможности? Как можно сократить или смягчить внешние угрозы для предприятия благодаря инвестициям в ИТ?
Обязательно учтите, каковы требования к ресурсам для вложений в ИТ перед, во время и после их внедрения. Ресурсы включают в себя персонал, аппаратное обеспечение и инфраструктуру. Что из существующей информации об инфраструктуре может быть использовано, для чего необходимо запланировать средства? Сколько нужно времени, чтобы окупились издержки на обучение или новое оборудование? Если существуют преимущества новых инвестиций, не входящие в ваш бизнес-план, их также обязательно следует перечислить.
Чтобы знать, соответствует ли бизнес-план вашим ожиданиям, следует заранее определить параметры успеха. Какие аспекты плана следует оценить? Как часто следует оценивать успех и что нужно делать, если цели не поддерживаются эффективным образом? Каковы запасные планы, если появятся непредвиденные негативные факторы?
Без финансового прогноза ни один бизнес-план не может быть завершен. Какова общая стоимость владения и насколько эта стоимость оправдана новыми возможностями для предприятия? Какова значимость этих возможностей? Где и каким образом будет оценена прибыль от инвестиций в достижение коммерческого успеха? Каковы рамки для прибыли от инвестиций? Как ИТ улучшает финансовые цели предприятия через доход и рост прибылей и снижение издержек?

Двигаемся дальше
Не существует гарантий, что в реальности ваши планы сработают. Но попытка подумать о них и создание бизнес-плана дает вам карты в руки. Вы продумаете все потенциальные проблемы и или пересмотрите план, или выделите непредвиденные расходы. У вас также будет четкое представление об издержках и преимуществах, включая издержки на невыполнение плана. В конце концов, не существует способа узнать, преуспели вы или с позором проиграли, без некоего эталона, которым можно все измерить. Эти параметры пригодятся для того, чтобы показать начальству, как важен был ваш план для предприятия в нужное время.
Для непрерывного диалога об ИТ-предприятиях рекомендую вам раздел IT Managers Connection по адресу blogs.technet.com/cdnitmanagers. Существует также несколько источников, связанных с бизнес-планами, которые доступны на веб-узле Майкрософт. Small Business Center предоставляет руководство по написанию бизнес-плана по адресу microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx, и на веб-узле Office Online (office .microsoft.com/en-us/templates) можно найти несколько шаблонов бизнес-плана в дополнение к тем, которые существуют в системе Microsoft Office 2007.

Стефан Ибараки (Stephen Ibaraki) — удостоившийся наград преподаватель в области бизнеса и технологий, ветеран в этой сфере с более чем тридцатипятилетним стажем. Сейчас он занимает пост вице-председателя Международной Ассоциации сетевых специалистов (NPA). С ним можно связаться по адресу www.StephenIbaraki.com.


 Кабельщик: EAPHost в Windows
Кабельщик
EAPHost в Windows
Джозеф Дэвис (Joseph Davies)
Эта заметка содержит предварительную информацию о Windows Server «Longhorn», которая может в дальнейшем измениться.

При подключении клиентов доступа к защищенной сети должен использоваться согласованный способ проверки подлинности проверки с сервером проверки подлинности. Например, клиент доступа и сервер проверки подлинности могут согласиться использовать определенный протокол проверки подлинности пароля, такой как протокол MSCHAP.
Протокол версии 2 (MS-CHAP v2). Однако при использовании клиентом доступа и сервером проверки подлинности встроенных и жестко установленных способов проверки подлинности добавление новых протоколов затруднено.
Протокол Extensible Authentication Protocol (EAP) – это архитектурная платформа, предоставляющая расширяемость для способов проверки подлинности для обычно используемых технологий защищенного доступа к сети, таких как беспроводные сети стандарта IEEE 802.1X, и подключений Point-to-Point Protocol (PPP), таких как удаленный доступ и VPN. EAP не является способом проверки подлинности, таким как MS-CHAP v2, но скорее является платформой на клиенте доступа и сервере проверки подлинности, позволяющий поставщикам сетевого оборудования и программного обеспечения разрабатывать и просто устанавливать новые способы проверки подлинности, известные как методы EAP. Для получения дополнительных сведений о EAP см. веб-страницу Microsoft EAP по адресу microsoft.com/eap.
Хотя EAP поддерживается в операционной системе Microsoft® Windows®, начиная с Windows 2000, архитектура EAP в Windows XP и Windows Server® 2003 имеет ограничения расширяемости для методов и вызывающих сторон EAP, являющихся компонентами программного обеспечения, которые могут использовать EAP через определенный тип уровня связи. Архитектура EAPHost в Windows Vista™ и в следующей версии Windows Server с кодовым названием «Longhorn» значительно упрощает сторонним поставщикам сетевого оборудования и программного обеспечения расширение Windows новыми отправителями запросов и методами EAP.

Поддержка EAP в Windows Server 2003 и Windows XP
Windows Server 2003 и Windows XP используют EAP для проводных или беспроводных подключений с проверкой подлинности 802.1X и для подключений PPP, таких как удаленный доступ по коммутируемой линии или на основе VPN или подключения типа «сеть-сеть». В частности, эти операционные системы содержат реализацию EAP, соответствующую RFC 2284, а также отправители запросов IEEE 802.1X и PPP. На рис. 1 показана архитектура EAP и отправителя запросов для Windows XP и Windows Server 2003. Однако следует заметить, что реализация EAP в Windows XP с пакетом обновления 2 (SP2) и Windows Server 2003 с пакетом обновления 1 (SP1) не поддерживает RFC 3748 (текущий стандарт Интернет для EAP) и другие EAP RFC.
Рис. 1 Архитектура EAP и отправителя запросов для Windows XP и Windows Server 2003
Рис. 1 Архитектура EAP и отправителя запросов для Windows XP и Windows Server 2003
EAP API предоставляет средства расширения проверки подлинности в Windows XP и Windows Server 2003. Хотя сторонние поставщики могут разрабатывать и устанавливать новые методы EAP, встроенные отправители запросов PPP и 802.1X не могут использовать все установленные методы EAP. Например, поставщик может создать новый способ проверки подлинности EAP путем сканирования отпечатков пальцев, но этот способ может быть недоступен для беспроводных подключений.
Из-за ограничений встроенных отправителей запросов некоторые сторонние поставщики программного обеспечения и оборудования разрабатывают собственные отправители запросов, которые обычно отключают и заменяют встроенные отправители запросов и всю архитектуру EAP. Однако этот альтернативный вариант приводит к появлению ряда проблем. Прежде всего, замена встроенных отправителей запросов и архитектуры EAP приводит к увеличению затрат на разработку и задержкам. Кроме того, если предприятие-заказчик не разрабатывает собственные отправители запросов, оно несет дополнительные издержки на лицензирование и установку продуктов сторонних производителей для всех рабочих мест.

Функции EAPHost
EAPHost предоставляет следующие новые функции.
Поддержка дополнительных методов EAP. EAPHost поддерживает установку и использование всех методов EAP, перечисленных в реестре EAP по адресу www.iana.org/assignments/eap-numbers, и других популярных способов проверки подлинности, например Lightweight EAP (LEAP), разработанный и предоставленный компанией Cisco Systems, Inc.
Обнаружение сети. EAPHost поддерживает обнаружение сети, как определено в RFC 4284.
Соответствие RFC 3748. EAPHost поддерживает конечный автомат EAP и устраняет ряд уязвимостей безопасности, указанных в RFC 3748. Ранее вызывающим сторонам необходимо было реализовывать собственные конечные автоматы. Кроме того, EAPHost поддерживает такие возможности, как расширенные типы EAP (включая методы EAP сторонних поставщиков).
Одновременное использование методов EAP. EAPHost поддерживает одновременное совместное использование нескольких реализаций одного и того же метода EAP. Например, можно установить и выбрать версии Protected EAP (PEAP) корпорации Майкрософт и компании Cisco Systems, Inc.
Модульная архитектура отправителей запросов EAPHost поддерживает модульную архитектуру отправителей запросов с возможностью простого добавления новых отправителей запросов без замены всей реализации EAP, что было необходимо в предыдущей версии.
Для поставщиков методов EAP EAPHost поддерживает методы EAP, уже разработанные для Windows XP и Windows Server 2003, и упрощенный способ разработки новых методов EAP для Windows Vista и Windows Server «Longhorn». EAPHost также обеспечивает улучшенную классификацию типов EAP, чтобы встроенные отправители запросов IEEE 802.1X могли их использовать.
Для поставщиков отправителей запросов EAPHost предоставляет поддержку дополнительных отправителей запросов для новых уровней связи. Поскольку EAPHost интегрирован с защитой доступа к сети (NAP), новые отправители запросов не обязаны поддерживать NAP. Чтобы участвовать в NAP, новым отправителям запросов необходимо зарегистрировать идентификатор подключения и функцию обратного вызова, информирующую отправителя запросов о необходимости повторной проверки подлинности. Для получения дополнительных сведений о NAP см. статью Джона Морелло «В поисках безопасности» в этом выпуске журнала TechNet, а также веб-страницу NAP по адресу microsoft.com/nap. Для получения сведений о разработке методов EAP или отправителей запросов для EAPHost см. статью «Extensible Authentication Protocol Host» по адресу msdn2.microsoft.com/aa364249.aspx.

EAPHost и архитектура инфраструктуры EAP
Архитектура EAPHost состоит из архитектуры инфраструктуры EAP для EAPHost, архитектуры EAPHost на узле EAP (клиент проверки подлинности) и архитектуры EAPHost на сервере проверки подлинности. На рис. 2 показаны компоненты архитектуры инфраструктуры EAP для EAPHost на компьютерах под управлением Windows Vista или Windows Server «Longhorn». В этих операционных системах узел EAP имеет уровень отправителей запросов (таких как встроенные отправители запросов для 802.1X), новую архитектуру EAPHost для узлов EAP (упрощает связь и управление отправителями запросов и методами EAP) и уровень методов EAP для выполнения проверки подлинности.
Рис. 2 Архитектуры инфраструктуры EAP для EAPHost
Рис. 2 Архитектуры инфраструктуры EAP для EAPHost
Сервер проверки подлинности для Windows Server «Longhorn» имеет сервер сетевых политик (NPS), новую архитектуру EAPHost для серверов проверки подлинности и уровень методов EAP. NPS, ранее известный в Windows Server 2003 как служба проверки подлинности в Интернете (IAS), является сервером RADIUS (Remote Authentication Dial-In User Service), а также прокси-сервером и сервером политик для NAP.
Отправитель запросов на узле EAP использует технологию уровня связи, такую как PPP или 802.1X, для отправки и получения сообщений EAP связи между узлом EAP и сквозным средством проверки подлинности (сервером сетевого доступа, таким как беспроводная точка доступа или сервер удаленного доступа). Сквозное средство проверки подлинности и NPS на сервере проверки подлинности используют RADIUS для отправки и получения сообщений EAP в IP-сети между сквозным средством проверки подлинности и NPS.
После согласования узлом EAP и сервером проверки подлинности определенного метода EAP устанавливается логическая связь из сообщений EAP, отправляемых между определенным методом EAP на узле EAP и сервером проверки подлинности.
На рис. 3 показана архитектура EAPHost на узле EAP под управлением Windows Vista или Windows Server «Longhorn». Эта архитектура состоит из отправителей запросов, компонентов EAPHost, компонентов управления метода EAP и компонентов NAP.
Рис. 3 Архитектура EAPHost на узле EAP
Рис. 3 Архитектура EAPHost на узле EAP
В состав Windows Vista и Windows Server «Longhorn» входит отправитель запросов 802.1X для проводных и беспроводных подключений на основе стандарта 802.1X. Для будущего обновления этих двух операционных систем разрабатывается отправитель запросов PPP для удаленного подключения по коммутируемой линии или на основе VPN и подключения типа «сеть-сеть». Кроме того, могут быть добавлены дополнительные отправители запросов сторонних производителей. Интерфейс API EAPHost позволяет отправителям запросов использовать EAP для подключений. Для получения дополнительных сведений см. статью по адресу msdn2.microsoft.com/aa364249.aspx.
Компоненты EAPHost включают конечный автомат клиента EAP/средство проверки протокола, который поддерживает конечный автомат узла EAP (см. RFC 3748) и подтверждает сообщения EAP. Также включен диспетчер метода EAP, управляющий различными методами EAP, совместимыми и несовместимыми с EAPHost, и помогающий сделать методы EAP доступными для приложений и служб. И, наконец, доступен диспетчер библиотеки EAP, обеспечивающий загрузку и выгрузку библиотек методов EAP.
В число компонентов метода EAP входят:
Встроенные методы EAP. В их число входят PEAP, EAP-Transport Layer Security (TLS) и EAP-MS-CHAP-V2.
Два интерфейса API размещения. Они размещают методы EAP, не совместимые с EAPHost (API устаревшего EAP), и методы EAP сторонних производителей, совместимые с EAPHost (API метода EAPHost).
Устаревший метод транслятора. Переводит методы EAP, не совместимые с EAPHost, написанные для устаревшего интерфейса API EAP и интерфейса API метода EAPHost.
Диспетчер прокси метода EAP . Размещает методы EAP сторонних производителей, совместимые или несовместимые с EAPHost.
Интерфейс API метода EAP является новым интерфейсом API для методов EAP, совместимых с EAPHost. Методы EAP экспортируют интерфейсы API, определенные в интерфейсе API метода EAP. EAPHost загружает методы EAP и вызывает экспортированные функции интерфейсов API.
В число компонентов NAP входят следующие элементы.
Служба сообщений EAP NAP EC . Этот компонент обеспечивает передачу данных NAP, таких как состояние работоспособности и события, между EAPHost NAP Enforcement Client (EC) и другими компонентами EAPHost.
EAPHost NAP EC . Взаимодействие с другими компонентами NAP для обеспечения проверки состояния и ограниченного доступа, если подключение с проверкой подлинности 802.1X не соответствует требованиям исправности системы NAP.
Агент NAP. Поддерживает текущее состояние клиента и обеспечивает связь установленных NAP EC и слоя агентов System Heath Agent (SHA). Каждый агент SHA определен для одного или нескольких требований исправности системы.
Как показано на рис. 3, сторонние поставщики могут разрабатывать новые запрашивающие устройства и методы EAP, совместимые с EAPHost. Также можно использовать существующие методы EAP, разработанные для Windows Server 2003 и Windows XP.
На рис. 4 показана архитектура EAPHost на сервере проверки подлинности под управлением Windows Server «Longhorn» и NPS. Эта архитектура соответствует архитектуре узла EAP для поддержки методом EAP. Вместо отправителей запросов сервер проверки подлинности использует сервер сетевых политик (NPS), использующий интерфейс API EAPHost для настройки и использования методов EAP. Среди компонентов EAP конечный автомат сервера EAP/средство проверки протокола поддерживает конечный автомат сервера проверки подлинности EAP и подтверждает входящие сообщения EAP.
Рис. 4 Архитектура EAPHost на сервере проверки подлинности
Рис. 4 Архитектура EAPHost на сервере проверки подлинности
EAPHost на сервере проверки подлинности позволяет сторонним поставщикам программного обеспечения разрабатывать и устанавливать новые методы EAP, совместимые с EAPHost, и поддерживает методы EAP, уже разработанные для Windows XP и Windows Server 2003.
Для узла EAP и сервера проверки подлинности EAPHost также предоставляет API прокси UI EAPHost (не показан на рис. 3 и 4), который могут использовать методы, совместимые с EAPHost, для отображения диалоговых окон с необходимостью взаимодействия с пользователем. Интерфейс API прокси пользовательского интерфейса EAPHost позволяет сторонним поставщикам добавлять собственные диалоговые окна для улучшения работы пользователей.

Заключение
EAPHost в Windows Server «Longhorn» и Windows Vista обновляет реализацию EAP в Windows для последних стандартов Интернета и предоставляет новую модульную архитектуру для расширения Windows методами проверки подлинности EAP и отправителями запросов. Поставщики сетевого оборудования и программного обеспечения могут расширить существующие возможности пользователей вWindows без замены всей реализации Windows EAP благодаря разработке новых отправителей запросов, написанных для API EAPHost, и новых методов проверки подлинности, написанных для интерфейса API метода EAPHost. EAPHost также поддерживает существующие методы EAP, разработанные для Windows Server 2003 и Windows XP.
EAPHost для Windows XP
Корпорация Майкрософт запланировала выпуск обновления для Windows XP с пакетом обновления 2 (SP2), включающего архитектуру EAPHost, поддержку RFC 3748 и отправитель запросов на основе EAPHost для проводных подключений стандарта 802.1X. Это обновление обеспечивает работу отправителей запросов EAPHost, разработанных для Windows Vista, в Windows XP с пакетом обновления 2 (SP2). Наиболее актуальная информация об этом обновлении приведены на блоге группы разработчиков по адресу blogs.technet.com/nap.

Джозеф Дэвис (Joseph Davies) работает разработчиком технической документации в корпорации Майкрософт. С 1992 года занимается преподаванием и пишет о сетях Windows. Джозеф Дэвис написал пять книг, опубликованных издательством Microsoft Press, и ведет ежемесячную рубрику TechNet Cable Guy .


 Windows PowerShell: Подключение WMI
Windows PowerShell
Подключение WMI
Дон Джонс (Don Jones)

Одной из технологий, на которую я основательно опирался при работе со сценариями VBScript, является инструментарий управления Windows или WMI. Интересно, что оболочка Windows PowerShell в большой степени связана с WMI — и не только с технической точки зрения. Джефри Сноувер, создававший архитектуру оболочки Windows PowerShell, был также основным участником создания
Wmic.exe, интерфейса командной строки времен Windows Server® 2003, использовавшегося для работы с WMI. Во многих отношениях Wmic.exe предвосхищал Windows PowerShell™, функционируя в некотором смысле аналогичным образом. (Для получения дополнительных сведений о WMIC см. статью Джона Келбли, опубликованную в сентябрьском выпуске журнала TechNet Magazine за 2006 г. и доступную на веб-узле по адресу microsoft.com/technet/technetmag/issues/2006/09/WMIData.)
В Windows PowerShell имеется поддержка WMI, предоставляемая в точно таком же согласованном объектном виде, как и другие возможности данной оболочки. Благодаря этому WMI несравненно легче изучать и использовать (особенно в специфических ситуациях), чем более ранние технологии, такие как VBScript.

WMI для начинающих
Практически во всех книгах и статьях, посвященных написанию сценариев, встречается упоминание о WMI. Однако очень легко погрязнуть в практическом применении WMI и забыть о его внутреннем устройстве — а его внутреннее устройство крайне важно для его работы в рамках Windows PowerShell.
В первую очередь WMI является системой структурированных классов, представляющих управляющую информацию из операционной системы Windows® и других программных продуктов и оборудования, основанных на Windows. Класс, в действительности, это не более, чем абстрактное описание свойств и возможностей, которыми обладает некоторый конкретный программный или аппаратный компонент. Например, класс логического диска может описывать устройство, имеющее серийный номер, общий объем памяти, доступный объем памяти и т.д. Между тем как класс, описывающий службу Windows, может указывать на то, что у службы есть имя, ее можно запускать и останавливать, ее текущее состояние и т.д.
В инструментарии WMI классы представляют все объекты, которыми управляет WMI. Если в WMI нет класса для какого-либо объекта, он не может управлять этим компонентом. Документация Майкрософт по основным классам Windows WMI представлена на веб-узле по адресу msdn2.microsoft.com/aa394554.aspx; другие программные продукты (например, Internet Information Services, SQL Server™) представляют документацию по своим классам WMI независимо.
Вследствие большого числа классов WMI организует их в виде иерархической структуры пространств имен. Например, пространство имен, содержащее основные классы операционной системы Windows, называется root\cimv2, в то время как Microsoft IIS 6.0 хранит свои классы в root\MicrosoftIISv2. Удобно то, что пространство имен root\cimv2, будучи пространством имен WMI по умолчанию, является общим параметром также для Windows PowerShell, что облегчает работу с этими основными классами.
Экземпляр — это действующая реализация класса. Если, например, на компьютере имеется два логических диска, у вас будут два экземпляра класса Win32_LogicalDisk. Если на компьютере выполняются 50 служб, инструментарий WMI различит 50 экземпляров класса Win32_Service. Работа с WMI состоит в основном из отправки иннструментарию WMI запроса на предоставление одного или нескольких экземпляров и последующего изучения их свойств с целью получения необходимой информации или выполнения методов этих экземпляров для изменения управления, например, запуск или остановка службы.
В WMI применяется архитектура клиент-сервер. Начиная с Windows 2000, во всех версиях Windows содержится встроенный инструментарий WMI (в последних версиях число классов увеличено), таким образом можно без труда получить доступ и к клиенту, и к серверу WMI. Используя WMI, вы фактически отправляете запрос службе WMI, выполняющейся на каком-либо интересующем вас компьютере. Эта служба WMI извлекает указанные экземпляры WMI и возвращает их вам для последующей обработки. Именно здесь вступает в игру оболочка Windows PowerShell — с ее помощью упрощается процедура запроса экземпляров, их получения и работы с ними.

Получение объекта WMI
Экземпляры класса WMI неточно называют объектами, что объясняет, почему средство извлечения этих экземпляров называется командлетом Get-WMIObject. У этого командлета имеется удобный псевдоним, gwmi, который будет использоваться в большинстве моих примеров. В его простейшей форме достаточно указать имя класса WMI, который требуется извлечь, а затем просто смотреть на результаты его работы (см. рис. 1). После того, как запущен командлет gwmi win32_service, Windows PowerShell подключается к службе WMI на моем локальном компьютере (поскольку не был указан другой компьютер) и подключается к пространству имен root\cimv2 (поскольку не было указано другое пространство имен). Windows PowerShell извлекает все экземпляры указанного класса и, поскольку не была указана никакая другая обработка этих экземпляров, преобразует их в текстовое представление. Другими словами, Windows PowerShell берет эти объекты и создает некоторый текст, доступный человеку для чтения.
Рис. 1 При выполнении командлета gwmi win32_service Windows PowerShell возвращает все экземпляры указанного класса в доступном для чтения текстовом формате.
Рис. 1 При выполнении командлета gwmi win32_service Windows PowerShell возвращает все экземпляры указанного класса в доступном для чтения текстовом формате.
Более точно, Windows PowerShell преобразует объекты WMI в текст, считывая и отображая имена и значения выбранных свойств класса. Для класса Win32_Service выбирается набор из шести свойств.
Фактически Windows PowerShell любой объект преобразует в текст этим способом. Свойства, выбираемые для отображения, чаще всего определяются в наборе файлов .format.ps1xml, находящихся в папке установки оболочки Windows PowerShell. Эти файлы определения форматов снабжаются цифровой подписью Майкрософт. Данные файлы не рекомендуется изменять, хотя предусмотрена возможность создания собственных файлов форматирования. (Эта тема будет подробно обсуждаться в будущей заметке.)
Командлет gwmi упрощает обследование компьютера с целью выявления доступных классов. Например, результатом работы командлета gwmi –namespace "root\cimv2" –list является список классов указанного пространства имен. Однако следует помнить о том, что классы вашего компьютера необходимы только в том случае, если вы управляете данным компьютером; если вы управляете удаленным компьютером, потребуется выяснить, какие классы существуют в этой системе. Для этого, чтобы подключиться к удаленному компьютеру, потребуется использовать параметр командлета gwmi «–computer». Например, результатом работы командлета gwmi –namespace "root\cimv2" –list –computer ServerA является список всех классов пространства имен root\cimv2 на удаленном компьютере ServerA.

Удаленный WMI
В версии 1.0 оболочки Windows PowerShell командлет gwmi является практически единственным командлетом, непосредственно поддерживающим удаленное управление. Это объясняется в основном тем, что удаленное управление встроено в являющуюся базовой архитектуру WMI. И, поскольку оболочка Windows PowerShell просто использует эту существующую архитектуру, она является подчиненной по отношению к компонентам безопасности этой архитектуры. Приведем пример:
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
В этом примере выполняется попытка подключения к удаленному компьютеру (с именем MediaServer), на доступ к которому у меня нет разрешения. В качестве администратора я должен был бы иметь разрешение на работу со службой WMI этого компьютера, но очень вероятно, что учетных данных моей рабочей станции недостаточно. Я мог, например, быть зарегистрированным на другом, не являющимся доверенным, домене, или войти в систему с использованием менее привилегированной учетной записи. К счастью, командлет поддерживает параметр gwmi «–credential», позволяющий указывать альтернативный набор пользовательских учетных данных для подключения моего WMI. Ниже приведен очень простой пример:
gwmi win32_service –credential mydomain\administrator –computer mediaserver
Мои учетные данные (более точно — мое пользовательское имя) предоставлено в формате DOMAIN\Username.
Отметим, что в этом формате не предусмотрен ввод пароля — запрос на ввод пароля выдает Windows PowerShell. В Windows PowerShell сознательно не предоставляется возможность ввода пароля в командной строке, поскольку такой способ позволил бы жестко указывать пароли в файлах сценариев, что является недопустимым с точки зрения безопасности. Однако существует еще один способ работы с параметром «–credential», состоящий в заблаговременном создании некоторого рода объекта учетных данных с именем PSCredential. Ключом является командлет Get-Credential:
$cred = get-credential mydomain\administrator
Выполняя его, я по-прежнему получаю запрос на соответствующий пароль. Однако на этот раз созданный объект учетных данных хранится в переменной $cred. Посмотрев на содержимое $cred, я увижу имя, но не пароль:
PS C:\> $cred

UserName
--------
mydomain\adminstrator
Этот объект учетных данных допускает неограниченное повторное использование:
gwmi win32_service –credential $cred –computer mediaserver
Это упрощает установку повторных подключений WMI к удаленному компьютеру посредством предварительного определения повторно используемого объекта учетных данных. Следует, однако, отметить, что командлет Get-WMIObject в настоящее время не поддерживает указание уровней проверки подлинности (или олицетворение) в том виде, как это делает VBScript. Для получения дополнительных сведений см. статью по адресу msdn2.microsoft.com/aa389290.aspx.

Самораскрытие
Больше всего мне нравится, что оболочка Windows PowerShell не замалчивает известную ей информацию. Уже было показано, как Windows PowerShell выбирает только часть свойств запрошенного класса Win32_Service. Однако у оболочки по-прежнему есть доступ ко всем свойствам и даже есть возможность сообщить о них. Для этого достаточно направить по каналу объект (или объекты) командлету Get-Member (можно использовать его псевдоним, gm), как показано на рис. 2.
Рис. 2 Отправка объекта по каналу в командлет Get-Member позволяет выяснить, к каким методам и свойствам можно получить доступ
Рис. 2 Отправка объекта по каналу в командлет Get-Member позволяет выяснить, к каким методам и свойствам можно получить доступ
Кроме свойств, оболочка выводит также списки доступных методов, поэтому нет необходимости в документации для того, чтобы выяснить функциональные возможности класса. Можно узнать, что класс самостоятельно предоставляет средства для изменения настройки экземпляра, приостановки выполнения службы, полной остановки службы и т.д.
Чтобы применить эти методы или отобразить другие свойства, зачастую проще всего поместить экземпляры в переменную:
$server = gwmi win32_operatingsystem
$server.reboot()
В этом образце кода выполняется извлечение единственного существующего экземпляра класса Win32_OperatingSystem (у этого класса имеется только по одному экземпляру на компьютер) и сохранение его в переменной $server. Затем переменная $server будет использована для получения доступа к методу Reboot данного экземпляра, выполняющего перезагрузку компьютера. Будьте осторожны с этим методом!

Мощный язык запросов
Если вы пользовались инструментарием WMI в рамках VBScript или другой технологии, возможно, вы привыкли извлекать экземпляры классов WMI с помощью запроса, написанного на WQL, языке запросов WMI. Благодаря его синтаксису, аналогичному синтаксису SQL, специальные экземпляры (например, специальная служба) извлекать легче, чем все экземпляры данного класса. К счастью, командлет также позволяет формировать запросы следующим образом:
gwmi –query “select * from win32_service where name=’alerter’”
Этот синтаксис gwmi (добавленный непосредственно перед официальным выпуском Windows PowerShell) невероятно удобен и существенно облегчает перенос сложных запросов WMI, которые, возможно, были разработаны для других целей. И, как всегда, Windows PowerShell возвращает развитые объекты с их свойствами и методами, обеспечивая полный доступ к возможностям управления, предоставляемым инструментарием WMI.

Дальнейшее развитие вместе с WMI
Продолжается разработка WMI для будущих версий Windows — в инструментарий добавляются новые классы и возможности. Одновременно продолжается его внедрение в новые продукты Майкрософт. Хотя для большей части программных продуктов Майкрософт еще не выпущены версии, собранные на платформе Windows PowerShell, ее возможность подключаться к WMI является одним из важнейших преимуществ, благодаря которому Windows PowerShell полезна уже сегодня.
В этой статье я набросал только контуры возможностей инструментария WMI. Тем не менее, я надеюсь, что подтолкнул вас к изучению оболочки Windows PowerShell и открытию ее возможностей, существенных для вас.

Дон Джонс (Don Jones) занимает должность руководителя по проектам и услугам компании SAPIEN Technologies и является соавтором книги Windows PowerShell: TFM (издательство SAPIEN Press). Связаться с Доном можно через его веб-узел www.ScriptingAnswers.com.


 Эй, сценарист!: Цветут цветы. Открываются окна. Весна...
Эй, сценарист!
Цветут цветы. Открываются окна. Весна...
Сотрудники группы Microsoft Scripting Guys

Да, весна... Нашли чему радоваться. После зимы с рекордным количеством осадков, гололедицами, метелями и бурями — одна из них повалила огромное дерево во дворе одного из нас, пролетевшее в полуметре от дома, и заставила программистского пса спрятаться за диваном — весна, наконец, пришла, и мы наслаждаемся небольшим прохладным дождиком, пока не зарядил на все лето теплый тихоокеанский дождь с северо-запада.
Глядя на моросящий снаружи дождь, мы подумали, что самое время немного рискнуть с написанием сценариев и разобраться с приложениями HTML (HTA). А когда мы говорим «рискнуть», именно это мы и имеем в виду. Мы не собираемся писать никакого введения; мы рассчитываем на то, что вы уже знаете, что из себя представляет HTA и как его создавать. Если это не так, вам следует посетить веб-узел: HTA Developers Center on the Script Center (Центр разработчиков HTA в центре сценариев). В частности, рекомендуется прочесть две статьи в разделе «HTAs for Beginners» (HTA для начинающих). Сделав это, вы и увлечетесь этой темой, и будете подготовлены для чтения данной заметки.
В этой заметке мы продемонстрируем способ создания диалоговых окон. Не только это, но и то, как осуществлять обмен информацией между главным окном HTA и диалоговым окном. Свежий весенний воздух разбудил в нас амбициозность, не так ли? Пользуйтесь этим, пока мы в настроении.
Возможно, вы знаете, что существует два типа диалоговых окон: модальные и немодальные. Отличие заключается в том, что из открытого модального диалогового окна невозможно вернуться в главное окно, из которого было открыто текущее, не закрыв его. Открыв немодальное диалоговое окно, можно перемещаться туда-сюда между окнами. Однако закрытие главного окна приводит также к закрытию немодального диалогового окна.
Создание модального диалогового окна происходит точно так же, как создание немодального диалогового окна. Единственное отличие состоит в том, что для создания модального диалогового окна вызывается функция ShowModalDialog, а для создания немодального диалогового окна — функция ShowModelessDialog. Обе функции принимают одинаковые параметры. Начнем с рассмотрения простого HTA, открывающего модальное диалоговое окно (см. рис. 1).
Figure 1 Простой диалог для начинающих (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Здесь создано приложение HTA с названием Modal Example. В <тело> HTA добавлено два элемента: кнопка с надписью Show Dialog Box (Показать диалоговое окно), и текстовое поле с названием «textbox», оба элемента показаны на рис. 2. При нажатии кнопки выполняется подпрограмма ShowDialog.
Рис. 2 Модальное диалоговое окно текущего приложения HTA
Рис. 2 Модальное диалоговое окно текущего приложения HTA
Подпрограмма ShowDialog крайне проста. Вызывается функция ShowModalDialog, которой передается в качестве параметра имя файла HTA, который требуется отобразить в виде модального диалогового окна — в данном случае это modaldialog.hta. (Предполагается, что файл modaldialog.hta находится в той же папке, что и приложение HTA. Если это не так, необходимо указать полный путь к файлу.)
Также запоминается значение (intReturn), возвращаемое функцией ShowModalDialog. Это значение отображается в поле textbox. Сейчас будет показано, как мы получаем возвращаемое значение. Необходимо отметить один важный момент — вызываемая функция ShowModalDialog не возвращает значение до закрытия модального диалогового окна. Это означает, что возвращаемое значение не будет присвоено полю textbox до момента закрытия диалогового окна.
Теперь взглянем на файл modaldialog.hta, представляющему диалоговое окно, открываемое вызывающим его приложением HTA (см. рис. 3). В этом приложении HTA были созданы два элемента: список с именем listbox и кнопка с надписью OK, как показано на рис. 4. В список listbox введены четыре элемента, названные Option 1, Option 2 и т.д., и каждому из этих элементов присвоены соответствующие значения — от 1 до 4. При нажатии кнопки OK выполняется подпрограмма CloseWindow.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Рис. 4 HTA, представляющее модальное диалоговое окно
Рис. 4 HTA, представляющее модальное диалоговое окно
Подпрограмма CloseWindow крайне проста. Первое, что мы выполняем, это чтение значения выбранного в списке элемента и присвоение этого значения свойству window.returnValue. Например, если пользователь выбрал Option 2, свойству window.returnValue присваивается значение 2. Затем вызывается метод window.Close для закрытия диалогового окна.
В этот момент управление возвращается в главный модуль HTA. Напомним, как вызывается функция ShowModalDialog:
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
Возвращаемое значение, присвоенное переменной intReturn, это то значение, которое было присвоено свойству window.returnValue в диалоговом окне HTA. Поэтому, если в диалоговом окне выбирается Вариант 2, в результате чего присваивается значение 2 свойству window.returnValue, значит intReturn будет равно 2, и следующая строка кода обеспечивает отображение этого значения в поле textbox:
textbox.Value = intReturn
Теперь, после того, как мы узнали, как получить значение из диалогового окна, посмотрим, как передать значение в диалоговое окно. На этот раз воспользуемся немодальным диалоговым окном (см. рис. 5), но будем помнить, что модальное и немодальное окна работают одинаково, поэтому такая же процедура сработает и для модального диалогового окна.
Figure 5 Поработаем с немодальным (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Рис. 7 Передача данных в немодальное диалоговое окно
Рис. 7 Передача данных в немодальное диалоговое окно
На этот раз мы создали раскрывающийся список с именем lstServers (то, что это раскрывающийся список, видно из того, что его размер равен 1). Здесь имеется также кнопка с надписью Retrieve Processes (Извлечение процессов). При нажатии кнопки выполняется подпрограмма ShowDialog. Как видно ниже, подпрограмма ShowDialog состоит всего из одной строки — вызова функции window.ShowModelessDialog:
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
Первый передаваемый этой функции параметр — имя HTA, которое требуется запустить в диалоговом окне, в данном случае это modelessdialog.hta. Вторым параметром является свойство Value нашего списка. Напомним, что в свойстве Value содержится значение варианта, выбранного из списка. Поэтому, если пользователь выбрал из списка элемент Server2, Value будет содержать server2. Этот параметр определяет способ передачи информации в диалоговое окно. (Если требуется передать несколько значений, их можно передать в этом параметре в качестве массива или, возможно, коллекции.)
Сейчас мы увидим, как диалоговое окно получает значение, заключенное в этом параметре. Но сначала обратите внимание на то, что мы добавили третий параметр:
“dialogHeight:400px;dialogWidth:300px”
Этот параметр содержит строку, указывающую требуемую высоту и ширину диалогового окна. В данном случае указаны высота, составляющая 400 пикселей (400 px), и ширина, составляющая 300 пикселей. Из примера с модальным окном видно, что этот параметр можно оставить пустым, и для отображения диалогового окна будут использованы размеры по умолчанию, принятые на данном компьютере.
Теперь обратимся к файлу modelessdialog.hta (на рис. 6) и посмотрим, как в диалоговом окне происходит считывание переданного в него значения.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
В этом HTA укаазан единственный элемент — это диапазон, охватывающий всю область диалогового окна. В разделе сценария мы определили подпрограмму window_onLoad. Эта подпрограмма запускается непосредственно после открытия HTA (в данном случае — в результате вызова ShowModelessDialog). Посмотрите на первую строку в этой подпрограмме:
strComputer = window.dialogArguments
Мы присваиваем переменной strComputer содержимое свойства window.dialogArguments. И как вы думаете, что содержится в этом свойстве? Что же, и вы должны были проснуться с началом весны. Верно, это значение, переданное во втором параметре при вызове функции ShowModelessDialog. Если в главном окне был выбран элемент Server2, strComputer содержит теперь значение server2.
Оставшаяся часть подпрограммы просто извлекает все процессы из переменной strComputer и отображает их в области окна. Результаты этой операции показаны на рис. 7.
Какая удача — у вас впереди целое лето для забав с диалоговыми окнами HTA. Если только, конечно, вам не довелось жить в южном полушарии — в этом случае приближается зима и вам, возможно, придется плохо, если в течение зимы у вас так же часто будут отключать электричество, как это было в наших краях.

Сотрудники группы Microsoft Scripting Guys работают... ну хорошо, числятся в корпорации Майкрософт. Когда они не играют в бейсбол, не тренируют бейсбольную команду, не смотрят бейсбол и не занимаются другими делами, они ведут проект Script Center в журнале TechNet. Веб-узел проекта находится по адресу www.scriptingguys.com .


 Exchange Queue&#160;— очередь за ответами (Exchange Queue &amp; A): Тайм-ауты OWA, устранение неполадок командлетов и прочее
Exchange Queue — очередь за ответами (Exchange Queue & A)
Тайм-ауты OWA, устранение неполадок командлетов и прочее
Кей Си Лемсон (KC Lemson) and Нино Билик (Nino Bilic)

В.: Мы недавно перешли с Exchange Server 2003 на Exchange Server 2007. Мы получаем жалобы, что веб-доступ к Outlook® (OutlookWeb Access, OWA) отключается по тайм-ауту для пользователей с ограниченным доступом, выбравшими вариант «Это личный компьютер» при входе в OWA 2007. Какой командой командной консоли Exchange можно проверить тайм-аут для личных компьютеров?
О Давайте на секунду остановимся. Сперва я объясню, зачем сделана возможность выбрать личный или общий компьютер (см. рис. 1), и покажу, как выбор обуславливает разницу в поведении. Цель – дать пользователю способ дать знать Exchange, какой уровень безопасности необходим – входите ли вы в OWA из общедоступного интернет-киоска в аэропорту, например, или с вашего домашнего компьютера. Администратор Exchange может принять решение по-разному относиться к этим типам сеансов. Например, администратор может настроить сеансы, прошедшие проверку подлинности, таким образом, чтобы они завершались быстрее на общедоступных компьютерах (скажем, за несколько минут), чем на личных компьютерах (максимум до трех дней). В зависимости от выбора пользователя, администратор может настроить и другие параметры по-другому. Например, администратор может позволить доступ к библиотекам документов SharePoint® и разделяемым папкам Windows® только при входе с личного компьютера. Конечно, это зависит от того, сделал ли пользователь правильный выбор. Если администраторы не верят, что пользователь сделает правильный выбор, они могут выставить значения тайм-аута и прочих параметров настройки одинаково для всех вариантов выбора.
Рис. 1 Общедоступный и личный типы сеансов позволяют по-разному настроить тайм-аут и другие параметры настройки
Рис. 1 Общедоступный и личный типы сеансов позволяют по-разному настроить тайм-аут и другие параметры настройки
Вариант, по поводу которого возник вопрос, был перенесен нами из Exchange 2003, когда в OWA впервые появилась проверка подлинности, основанная на формах. (Историческая справка: первая реализация проверки подлинности на основе форм была отчасти разработана талантливым менеджером программы. Не стану раскрывать ее имени, но могу сказать, что позднее она обрела славу и счастье, выпуская раз в два месяца статью для TechNet Magazine.)
Этот параметр на самом деле хранится в системном реестре, но, поскольку в Windows PowerShell™ есть интерфейс для обновления реестра, вы можете установить его при помощи командной консоли Exchange. Следующий пример устанавливает тайм-аут равным 1440 минутам, или одному дню, когда пользователь при входе выбирает вариант с личным компьютером:
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Конечно, поскольку этот параметр хранится в системном реестре, можно обновить параметр реестра самостоятельно при помощи regedit, если вам угодно:
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
В любом случае, вам придется перезапустить IIS, чтобы быть уверенным, что OWA воспримет новое значение параметра. Это должно быть возможно сделать, выбрав Пуск | Выполнить и введя «iisreset /noforce».

В.: Мы поощряем каждого сотрудника, пользующегося полным клиентом MAPI Outlook, архивировать менее-чем-срочно необходимое содержимое в личные папки (PST-файлы). Однако архивированное содержимое недоступно, когда пользователь входит в Outlook Web Access из дома. Как сделать эти файлы PST доступными через интерфейс OWA?
О.: К сожалению, OWA не поддерживает доступ к файлам PST. OWA с самого начала строился как исключительно сетевой клиент. Мы проделали немало работы, чтобы быть уверенными, что на локальном компьютере не остается ни следа личных данных – это включает возможности вроде механизма безопасного отключения, впервые использованного в Exchange 2003, и технологии WebReady Document Viewing в Exchange 2007, которая проверяет, что на жестком диске не осталось кэшированных копий вложений. Поэтому доступ к PST-файлам из OWA идет вразрез с нашей целью создать простой в развертывании, только сетевой клиент.
При этом, в целом использование PST представляет интересный момент, который нам хотелось бы обсудить. Прошлой осенью мы встретились с заказчиком, пользователям которого была установлена квота в 200 МБ на размер почтового ящика, и практически у каждого пользователя был как минимум один PST-файл. Поскольку в этой организации была политика, позволявшая очистку и замену пользовательских компьютеров с минимальными затратами труда, все пользователи были обязаны держать свои PST-файлы на сетевом диске. Его резервное копирование выполнялось централизованно.
Во-первых, есть известные проблемы с доступом к PST-файлам, находящимся в сетевой папке. Точно так же, как OWA с самого начала разрабатывался исключительно для сети, PST-файлы предназначались для локального хранения. Не важно, насколько превосходна ваша сеть, она подвержена задержкам и прочим дефектам, которые могут сделать удаленное хранение данных (к которым в то же время нужен пользовательский доступ) проблематичным.
Во-вторых, квота на почтовый в этой организации была маловата (признаемся, мы живем в роскоши с корпоративным почтовым ящиком около 2 ГБ) по той причине, что они не хотели хранить все данные в Exchange, потому что тогда они были бы в ответе за резервное копирование всех этих данных. Тем не менее, с пользователями, хранящими свои данные в PST-файлах на сетевом диске, подлежащем резервному копированию, администраторы нисколько не выигрывали в работе. На самом деле, скорее всего, возникало больше работы по разным причинам, таким как: отсутствие контроля за единственным экземпляром в нескольких PST-файлах; расходы на техническую поддержку, связанные с проблемами с PST-файлами (такими как забытые пароли и общие сетевые проблемы); сложности с чисткой сообщений в PST-файлах после вирусной атаки; сложности с поиском сообщений в PST-файлах при возникновении юридических вопросов; издержки на поддержку отдельной системы резервного копирования; и т. д.
Поэтому мы призываем вас оценить все затраты, принимая решение о конфигурации. Может оказаться, что затраты складываются, и другая конфигурация будет действительно лучшим выбором.

В.: У меня проблемы с командой командной консоли Exchange. Она просто не работает. Что не так?
О.: Мы не можем ответить на этот вопрос, но мы можем сказать, что для того, чтобы получить наилучшую возможную справку – куда бы вы не обратились – вам стоит использовать встроенный командлет Windows PowerShell, называющийся start-transcript, для записи команд, которые вы пытаетесь использовать, и получаемых результатов. Это позволит вам вставить полные детали в сообщение электронной почты, запись в блоге или вопрос на форуме.
Откройте сеанс командной консоли Exchange и введите start-transcript, как на рис. 2. Командная консоль Exchange начнет автоматически заносить все последующие команды в текстовый файл, как на рис. 3 (не волнуйтесь, приложение сообщит вам, где он находится). Чтобы прервать запись, вы просто вводите stop-transcript.
Рис. 2 Использование командлета start-transcript для записи используемых команд и их результатов
Рис. 2 Использование командлета start-transcript для записи используемых команд и их результатов
Рис. 3 Windows PowerShell сохраняет журнал использованных вами команд в файле TXT
Рис. 3 Windows PowerShell сохраняет журнал использованных вами команд в файле TXT
Для любого, кто решает вашу проблему, наличие полного списка использованных команд и полученных результатов является огромным подспорьем. Но прежде чем поделиться журналом с кем-то, кого вы не знаете, удостоверьтесь, что вы просмотрели его на предмет обнаружения секретных данных, которые могли быть выданы на консоль.

В.: Я увидел, что установка Exchange 2007 создает новое подразделение (OU) в корневом домене. Оно называется Microsoft Exchange Security Groups и содержит пять новых групп безопасности Exchange 2007. Можно ли переместить эти группы в другое подразделение? Или даже в другой домен?
О.: Это вопрос про универсальные группы безопасности (USG), которые создаются в корневом домене на стадии подготовки Active Directory. Это группы:
  • Exchange Organization Administrators
  • Exchange Recipient Administrators
  • Exchange View-Only Administrators
  • Exchange Servers
  • ExchangeLegacyInterop
Во времена Exchange 2000 и Exchange 2003 возможность перемещать группы безопасности по умолчанию (сервера Exchange домена и сервера Exchange предприятия) была ограниченной. Лучше даже сказать, что вы могли перемещать их, но в процессе вы наломали бы дров. (Дополнительные сведения об этой проблеме можно найти в статье базы знаний Майкрософт по адресу support.microsoft.com/kb/260914). Так что все это было весьма ограничено.
В Exchange 2007 ситуация изменилась. Пять групп по умолчанию могут быть перемещены. Вы можете перенести их в другое подразделение в том же домене или в совсем другой домен.
В случае, если вдруг вы «потеряете» эти пять групп и не будете знать, куда вы их переместили – какое подразделение и какой домен – вы всегда сможете проверить значение атрибута otherWellKnownObjects в следующем контейнере:
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
Когда группы перемещаются, их местоположение отражается в этом атрибуте, что дает возможность всегда знать, где они. Изящно!

В.: Я нашел глобальную группу безопасности, называемую «Exchange Install Domain Servers», в моем домене. Для чего она нужна?
О.: Вы определенно ведете учет в Active Directory®. И в самом деле, в каждом домене, где установлены серверы Exchange 2007, будет группа, называющаяся «Exchange Install Domain Servers». Эта группа создается в подразделении Microsoft Exchange System Objects (MESO). Если вы посмотрите на эту группу, вы увидите, что она является членом группы «Exchange Servers» корневого домена, которая является универсальной группой безопасности.
Вкратце, «Exchange Install Domain Servers» используется для обхода возможной проблемы с длинными циклами репликации Active Directory, когда вы выполняете установку Exchange 2007 в одном из дочерних доменов. Предположим, что у вас есть корневой домен Root, дочерний домен Child и дочерний домен Child - Grandchild. (Мы знаем, что схема названий великолепна! Полагаете, что сможете угадать наши пароли?)
Чтобы начать установку Exchange 2007 в этой организации, первым делом вам необходимо расширить схему и подготовить домен Root. Это создает исходные пять универсальных групп безопасности, обсуждавшихся в предыдущем ответе.
Затем, пусть вам нужно произвести установку в домене Grandchild. Чтобы быть в состоянии запустить службы Exchange 2007 в локальном домене, программа установки помещает учетную запись сервера Exchange 2007 в группу Exchange Servers домена Root. Поскольку в этот момент вы в домене Grandchild, репликация членства в группе Exchange Servers может занять немало времени.
Exchange Servers является универсальной группой, и репликация членства в ней происходит для всего леса. Из-за потенциальной задержки в репликации возможно, что установка в домене Grandchild не сможет запустить службы, поскольку репликация разрешений не завершится к окончанию установки. Вот поэтому, когда первый сервер Exchange 2007 устанавливается в домене, в локальном домене создается группа Exchange Install Domain Servers.
Учетная запись сервера Exchange будет сделана членом этой группы во время установки. Членство в этой группе дает службам достаточно прав, чтобы запуститься по окончании установки, даже в том случае, когда репликации группы Exchange Servers из домена Root еще не произошло. Обратите внимание, что репликация в локальном домене обычно происходит быстрее, чем репликация между доменами.

В.: В документации по Exchange 2007 сказано, что нужно запускать установку с ключом /PrepareLegacyExchangePermissions даже до того, как схема расширена для Exchange 2007. Почему? (И не могли ли вы сделать название этого ключа подлиннее?)
О.: Мы рады слышать, что вы читаете документацию перед установкой. Как она вам?
Ключ /PrepareLegacyExchangePermissions (для краткости /pl), многословно говоря, дает службам обновления получателей (Recipient Update Services, RUS) Exchange 2000 и Exchange 2003 разрешения на запись в наборы свойств Exchange Information и Personal Information. В процессе расширения схемы Exchange 2007 несколько атрибутов (таких как Proxy Addresses) перемещаются из набора свойств Active Directory Public Information в набор свойств Exchange Information. По умолчанию, RUS Exchange 2000 и Exchange 2003 не обладают правами записи в набор свойств Exchange Information. На практике это означает, что, если вы сперва запустите расширение схемы Exchange 2007, это повредит службы обновления получателей Exchange 2000 и Exchange 2003, потому что они будут не в состоянии обновлять получателей! (Если вы хотите дополнительно почитать про эти наборы свойств, посетите наш блог по адресу msexchangeteam.com.)
Поэтому очень важно запустить установку с ключом /pl до того, как расширять схему для Exchange 2007. Следует также удостовериться, что закончена репликация этих изменений во все домены, где есть получатели Exchange 2000 или Exchange 2003 (чтобы службы обновления получателей существовали в этих доменах). Если позже новые домены добавляются к лесу, и вам необходимо создать в них службы обновления получателей Exchange 2000 или Exchange 2003, вам нужно выполнить установку с ключом /pl в этих доменах.
Поэтому, когда вы впервые запускаете установку с ключом /pl, вы значительно облегчите себе жизнь, сделав это под учетной записью с правами администратора предприятия. Тогда установка в корневом домене определит, для каких еще доменов это необходимо, и запустит для каждого из них установку с ключом /pl. Если не пользоваться учетной записью администратора предприятия, вам придется запускать установку с ключом /pl, пользуясь учетной записью с правами администратора домена в каждом домене отдельно. К счастью, документация Exchange 2007 четко описывает все требования к правам.
(И наконец, вы спрашивали, не могли ли мы сделать название этого ключа подлиннее?) Просто попробуйте трижды быстро произнести /PrepareLegacyExchangePermissions:
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
Мы планировали сделать его /PrepareLegacyExchangePermissionsWOWThisIsaReallyLongname, но потом мы выбрали более короткий и дружественный вариант /PrepareLegacyExchangePermissions.
Ладно, мы просто выдумали это. Но вы всегда можете пользоваться гораздо более коротким /pl. И это правда – мы клянемся!

Кей Си Лемсон (KC Lemson) - менеджер по пользовательской среде для Exchange Server. Свободное время она проводит в ожидании сообщения электронной почты, в котором будет сказано, куда вложить средства на обучение ее детей.
Нино Билик (Nino Bilic), технический руководитель для Exchange Server, занят подсчетами, сколько раз в течение обычного рабочего дня ему удастся сыграть в Halo.


 В поисках безопасности: Защита доступа к сети
В поисках безопасности
Защита доступа к сети
Джон Морелло (John Morello)
Информация о Windows Server «Longhorn», содержащаяся в этой заметке, является предварительной и в дальнейшем может быть изменена.

Одной из основных угроз безопасности, с которыми в настоящее время сталкиваются все предприятия, независимо от их размера, является попытка доступа к сети со стороны неконтролируемых устройств извне сети. Независимо от того, насколько хорошо предприятие защищается от внешних угроз из сети Интернет, его безопасности может угрожать вполне благонадежный сотрудник, не подозревающий о том, что причастен
к вредительской передаче через червя или троянскую программу. Это особенно справедливо для инфраструктуры ИТ небольших или средних предприятий, в которых личные переносные компьютеры сотрудников используются одновременно в качестве рабочих и для которых развертывание технологий контроля доступа к сети зачастую оказывается слишком дорогим и сложным. Однако обычно именно эти предприятия платят высокую цену за время простоя, поэтому защита от таких угроз является для них жизненно важной.
Технология NAP (Network Access Protection — защита доступа к сети), созданная в Майкрософт, позволяет предприятиям любого размера выполнять профилактическую проверку состояния компьютеров при их присоединении к сети и обеспечивать их защиту в течение всего периода подключения. NAP предоставляет предприятиям гибкую архитектуру, основанную на применении политик и обеспечивающую возможность защищаться от неподдерживаемых компьютеров, преднамеренно или случайно приносимых в производственные сети сотрудниками, поставщиками или посетителями. В основе NAP лежат четыре основных принципа: проверка политик, изоляция, исправление и постоянная проверка на соответствие нормативам.

Обзор технологии NAP
Первой из основных служб, обеспечиваемых NAP, является проверка политик. Проверка политик представляет собой процесс, в котором NAP выполняет оценку систему с точки зрения выполнения правил, определенных администратором, и определяет категорию текущего состояния системы.
Администраторы ИТ указывают набор элементов политики, используемых NAP с целью сравнения при попытке компьютеров подключиться к сети. Компьютеры, прошедшие проверку на соответствие элементам политики, считаются допустимыми, а не прошедшие одну или несколько проверок (в том виде, как они определены администратором) рассматриваются как недопустимые. Эти политики могут выполнять проверку, например, на наличие антивирусного и антишпионского программного обеспечения, активность главного брандмауэра и отсутствие обновлений безопасности. Кроме этого, поскольку NAP создавалась с учетом расширяемости, независимые поставщики программного обеспечения могут создавать для NAP свои собственные подключаемые модули, позволяющие выполнять проверки, ориентированные на конкретные приложения.
Еще одна основная служба, предоставляемая NAP — ограничение сетевых подключений. В зависимости от политик, определенных администратором, в NAP предусмотрен перевод компьютеров в различные состояния сетевого подключения. Например, если компьютер считается недопустимым из-за отсутствия важных обновлений безопасности, NAP может перевести этот компьютер в карантинную сеть, где он будет изолирован от остальной рабочей среды до его возврата в допустимое состояние. В отсутствие NAP недопустимый клиент имел бы беспрепятственный доступ к сети предприятия. Если бы вредоносные программы имели возможность нарушить безопасность компьютера, воспользовавшись «дырами», которые были бы закрыты отсутствующими обновлениями, они смогли бы выполнять активные попытки по распространению инфекции в остальную часть сети. На рис. 1 представлен общий архитектурный замысел.
Рис. 1 Общая архитектура NAP
Рис. 1 Общая архитектура NAP
Простое ограничение возможностей подключения, однако, не обеспечивает эффективной обработки недопустимых компьютеров (в конце концов, пользователям требуется продолжать работу). Поэтому NAP предоставляет службы исправления, позволяющие недопустимым компьютерам, находящимся в карантине, разрешить проблемы своей собственной безопасности без вмешательства администратора. В приведенном выше примере в сети с ограничением недопустимому компьютеру разрешен доступ только к конкретным сетевым ресурсам, необходимым для установки недостающих обновлений, например, к компьютеру предприятия, на котором находятся службы Windows Server® Update Services (WSUS). Другими словами, при наличии NAP недопустимый компьютер может получить доступ только к тем сетевым ресурсам, которые дадут ему возможность достичь безопасного состояния; до этого момента он не сможет передавать информацию в остальную часть сети.
Последний принцип, на котором основана NAP — это постоянная проверка на соответствие нормативам, состоящая в принудительном применении политик безопасности в течение всего времени подключения компьютера к сети, а не только при первоначальном подключении. Рассмотрим, как развиваются события в нашем примере после того, как компьютер выполнит обновления и станет допустимым (и таким образом получит неограниченный доступ к сети). Если впоследствии этот компьютер станет недопустимым вследствие, например, отключения брандмауэра Windows, NAP сможет автоматически вернуть его в карантин. В NAP предусмотрено также выполнение администратором настройки автоматического исправления, в рамках которого состояние несоответствия автоматически исправляется без дополнительного вмешательства пользователя, даже по прошествии длительного периода времени после начального подключения к сети.
В NAP предусмотрено использование нескольких различных методик управления доступом к сети. На предприятиях с управляемыми сетевыми коммутаторами для обеспечения управления доступом, основанного на использовании порта, на уровне слоя оборудования сети можно использовать стандарт 802.1X. NAP обеспечивает также возможность использования управления на основе IPsec, при котором безопасные сети создаются посредством ассоциаций IPsec и находятся в слое над физическими сетями. С помощью управления на основе IPsec управление доступом к безопасной зоне осуществляется в NAP посредством динамического создания и удаления сертификатов, используемых обработчиком IPsec. Наконец, NAP может обеспечить управление на основе DHCP. В этом случае сервер DHCP предоставляет неисправным клиентам возможность аренды IP-адреса из пулов с ограничениями. Для такой аренды используются отдельные суффиксы DNS и маршруты IP, позволяющие управлять доступом к ресурсам со стороны клиента с ограничениями.
Компонент сервера NAP встроен в следующую версию Windows Server с кодовым названием «Longhorn», а именно в новый сервер NPS (Network Policy Server — сервер сетевых политик), являющийся значительно усовершенствованным преемником служб Internet Authentication Services. На предприятиях, использующих управление на основе 802.1X, сетевое оборудование должно поддерживать проверку подлинности 802.1X и динамические возможности VLAN (на узле NAP Partners, на боковой панели «NAP Resources» (Материалы по NAP) представлены подробные сведения о поставщиках аппаратного обеспечения). Для управления на основе DHCP требуется служба DHCP, поддерживающая NAP, например такая, как в Windows Server «Longhorn». В клиентской версии поддержка NAP встроена в Windows Vista™. Поддержка NAP будет также доступна в качестве расширения для Windows® XP, наряду с новым отправителем запроса 802.1X, который активирует управление на основе 802.1X в Windows XP.
Кроме этого, NAP интегрируется в центр безопасности Windows, так же, как и агенты безопасности сторонних разработчиков, для формирования отчетов с информацией о допустимости устройств. Вследствие этого NAP может принимать решения относительно проверки политик на основе всех данных, доступных посредством центра безопасности.
NAP является высокопроизводительным решением для управления политиками на уровне предприятия, поэтому в рамках одной статьи невозможно обсудить все компоненты и стратегии развертывания. Поэтому данная статья будет посвящена в основном развертыванию для небольших и средних предприятий, в которых рабочее время специалистов ИТ уже распределено экономно и в которых развертывание NAP можно упростить с целью быстрой окупаемости инвестиций, необходимых для развертывания. Однако многие выводы и общие соображения в равной степени применимы к любому проекту NAP на предприятии любого размера. Отметим, однако, что разбираемый мною пример не предназначен для использования в качестве пошагового руководства, а является, скорее, общим обзором основных областей, которым необходимо уделить пристальное внимание, чтобы успешно выполнить развертывание NAP на основе DHCP. Ссылка на подробное руководство по настройке имеется на боковой панели «NAP Resources» (Материалы по NAP).

Постановка задачи для предприятия Contoso
Чтобы подробнее рассмотреть, каким образом NAP удовлетворяет конкретные потребности небольших и среднего размера предприятий, возьмем в качестве примера компанию Contoso. Contoso — вымышленное предприятие среднего размера, имеющее 250 компьютеров, установленных в трех основных офисах. На предприятии работают мобильные сотрудники, имеется множество пользователей, работающих в удаленном режиме или подключающихся по обратному вызову с главным офисом из удаленного местонахождения заказчика. Результатом этого является то, что половина всего компьютерного парка состоит из переносных компьютеров и планшетных ПК. Перед Contoso, как перед многими предприятиями, стоят задачи повышения безопасности, поскольку сотрудники предприятия стали гораздо мобильнее. На мобильные компьютеры некоторых пользователей попали вредоносные программы с узлов заказчиков или в домашнем офисе, и инфицированные компьютеры были принесены во внутреннюю сеть Contoso.
На предприятии Contoso следят также за тем, чтобы программные средства этих удаленных компьютеров своевременно обновлялись. Зачастую пользователи, прежде чем вернуться в офис Contoso, в течение длительного времени работают там, где находится заказчик. В такой ситуации их компьютерные системы не обновляются подчас в течение нескольких месяцев, что повышает общую угрозу безопасности для остальных компьютеров сети Contoso. Компании Contoso требуется решение, обеспечивающее безопасность и работоспособность всех компьютеров, подключенных к сети предприятия, как в удаленном режиме, так и локально.
Каким образом технология NAP может помочь в достижении этих целей компанией Contoso? Вспомним основные принципы NAP. Посредством проверки политик NAP проверяет на допустимость все компьютеры, подключающиеся к сети Contoso. В рамках проверки политик определяется наличие на компьютере актуальных сигнатур антивируса и полнота обновлений безопасности. Если в процессе проверки политики NAP выясняется, что компьютер недопустим, NAP может ограничить возможности подключения к сети для недопустимых компьютеров. Это гарантирует, что компьютер, использовавшийся вне предприятия и зараженный вредоносными программами, не сможет распространить инфекцию на остальные части сети. NAP ограничит возможности подключения недопустимого компьютера, разрешая ему доступ только к ресурсам, обеспечивающим исправления, определенным администратором ИТ компании Contoso. Например, недопустимый компьютер получит доступ к серверу WSUS компании Contoso и серверу, на котором размещены сигнатуры антивируса. Наконец, NAP может гарантировать, что после восстановления допустимого состояния компьютера он будет постоянно поддерживаться в допустимом состоянии. В приведенном здесь примере, в случае, если сотрудником, работающим в удаленном режиме по сети VPN, использовался недопустимый компьютер, и пользователь отключил брандмауэр компьютера, NAP автоматически исправит неполадку. Сразу же после отключения брандмауэра инфраструктура NAP переводит компьютер в карантин, снова включает брандмауэр, оценивает состояние компьютера и, убедившись, что он допустим, возвращает компьютер в сеть без ограничений доступа. Основные задачи безопасности динамичной и мобильной вычислительной среды Contoso напрямую решаются с помощью четырех базовых принципов технологии NAP.

Проектирование NAP
Для многих небольших и среднего размера предприятий управление на основе DHCP является наиболее быстрым и простым вариантом реализации NAP. Это определяется тем, что управление на основе DHCP не требует, за исключением DHCP и NPS, дополнительных изменений сети и дополнительных служб. Варианты управления на основе IPsec и на основе 802.1X являются более гибкими, кроме того, для них требуется внесение дополнительных изменений в сеть и развертывание новых служб. В случае сред с несложной структурой использование DHCP обеспечивает основные преимущества технологии NAP при значительно меньшей стоимости реализации и накладывает меньшие ограничения на текущую эксплуатацию.
В среде Contoso в качестве центра по развертыванию NAP используется компьютер, работающий под управлением Windows Server «Longhorn». Поскольку для NAP необходим сервер NPS операционной системы Windows Server «Longhorn», разворачивание NAP на предыдущих версиях Windows Server невозможно. Для использования управления на основе DHCP в технологии NAP требуется также сервер DHCP операционной системы Windows Server «Longhorn». Для консолидации служб Contoso может развернуть как NPS, так и DHCP на одном сервере; их сосуществование не приводит к осложнениям. Поэтому базовая инфраструктура сервера NAP для компании Contoso будет крайне простой: на одном компьютере с установленной операционной системой Windows Server «Longhorn» выполняются компоненты, ответственные за политики и принудительные меры.
На клиентской стороне компьютеры Contoso, работающие под управлением Windows Vista, уже обладают необходимыми для поддержки NAP возможностями. Единственное, что требуется изменить на компьютерах клиентской стороны, работающих под управлением Windows Vista, это активировать набор функций NAP, что можно выполнить посредством групповой политики. Для компьютеров компании Contoso, работающих под управлением Windows XP, необходимо отдельно установить пакет клиента NAP. На присоединенных к домену компьютерах, работающих под управлением Windows XP, функции центра безопасности Windows по умолчанию отключены. Если политика NAP использует информацию о состоянии, получаемую из центра безопасности, для оценки безопасности компьютера, то для корректной работы NAP необходимо, чтобы центр безопасности находился в активном состоянии. Итак, на компьютерах компании Contoso, работающих под управлением Windows XP, центр безопасности активирован администраторами с помощью групповой политики. На клиентской стороне для поддержки NAP больше не требуется никаких изменений.

Развертывание NAP в компании Contoso.
За выполнением необходимых изменений групповой политики, обсуждавшиеся ранее, в компании Contoso следует этап развертывания NAP, заключающийся в установке операционной системы Windows Server «Longhorn». Необходимые компоненты NAP входят во все версии Windows Server «Longhorn», поэтому в Contoso можно использовать любую версию, оптимальным образом удовлетворяющую потребности компании. По завершении установки администратор ИТ использует средство «Диспетчер сервера» для добавления новых ролей компьютеру. Для используемого в компании Contoso управления на основе DHCP требуются роли Network Access Services и DHCP Server. Операции, выполняемые администратором для обработки всех зависимостей и включения дополнительных компонентов, наличие которых может потребоваться на сервере, облегчаются благодаря использованию мастера добавления ролей. После того, как роли добавлены, в Contoso можно приступать к настройке NAP.
Для доступа к оснастке DHCP консоли управления MMC (Microsoft Management Console) и добавления новой области администратор Contoso использует средство «Диспетчер сервера». Настройка сервера DHCP операционной системы Windows Server «Longhorn» приводит к необходимости замены всех существующих служб DHCP в обслуживаемых сервером сегментах. После того, как область создана и заполнена требуемыми вариантами, определяемыми сетью Contoso, необходимо активировать NAP. Это выполняется на вкладке «Защита доступа к сети» свойств области (см. рис. 2).
Рис. 2 Включение системы NAP
Рис. 2 Включение системы NAP
Переключение режима доступа к сети с ограниченного на неограниченный для компьютеров в пределах одной области осуществляется в системе NAP посредством нового параметра области класса пользователя NAP. Этот специальный набор параметров области (включая серверы DNS, суффикс DNS по умолчанию и т.д.) используется при предоставлении аренды недопустимым клиентам. Например, в то время как допустимым клиентам по умолчанию предоставляется суффикс DNS «contoso.com», недопустимым клиентам выдается суффикс «restricted.contoso.com», как показано на рис. 3. После настройки параметров области DHCP можно настраивать сервер сетевых политик и создавать правила.
Рис. 3 Ограниченный доступ
Рис. 3 Ограниченный доступ
Политика NPS состоит из четырех основных компонентов. Проверки допустимости системы (SHV — System Health Validators) определяют проверки, выполняемые для оценки допустимости компьютера. Группы серверов исправления (Remediation Servers Groups) содержат список систем, к которым разрешен доступ для недопустимых компьютеров с целью восстановления (например, WSUS). Компонент шаблона проверки допустимости системы (System Health Validator Template) используется для определения исправных состояний. Например, в компании Contoso может быть признан «соответствующим» компьютер, прошедший проверку Windows Security SHV, но клиенту может быть позволено не пройти другую проверку SHV, обеспечиваемую поставщиком антивируса. В конце концов, эти компоненты объединяются в набор «Сетевые политики», в котором содержится логика, определяющая судьбу компьютеров на основе их состояния допустимости.
System Health Validators представляют собой списки элементов, которые проверяет агент NAP и о состоянии которых сообщает серверу NPS. В вариант развертывания NAP по умолчанию включен компонент Windows SHV, подключаемый к центру безопасности Windows и позволяющий системе NAP проверять состояние всех компонентов безопасности, информация о которых поступает через центр безопасности. К ним относятся такие компоненты, как брандмауэр, антивирус, компонент автоматического обновления и антишпионские программы.
Напомним, что система NAP проектировалась с учетом расширяемости и предоставления возможности сторонним разработчикам создавать собственные SHV с целью обеспечения более детальных проверок отдельных компонентов (подробнее см. на веб-узле по адресу microsoft.com/windowsserver2003/partners/nappartners.mspx). Например, SHV Windows Security позволяет NAP проверять, активирована ли антивирусная программ и было ли выполнено ее обновление. Однако SHV Windows Security не выполняет более детальных проверок, относящихся к антивирусному приложению, например, частоту проверки компьютера или другие параметры, присущие приложению. Поставщик антивируса, однако, может создать свой собственный компонент SHV, подключаемый к приложению на более глубоком уровне и предоставляющий больший набор проверок конкретного приложения, чем используемый по умолчанию компонент Windows SHV. Этот SHV может работать согласованно с Windows SHV и любыми другими возможными SHV; развертывание системы NAP может одновременно использовать множество SHV (см. рис. 4).
Рис. 4 Компонент SHV Windows Security
Рис. 4 Компонент SHV Windows Security
Группы серверов исправления (Remediation Server Groups) используются для указания ресурсов, доступ к которым разрешен недопустимому компьютеру. В эти группы часто включаются такие ресурсы, как WSUS или серверы SMS (Systems Management Server — сервер управления системами), а также серверы для обновления антивируса. Крайне важно включить не только сами серверы, но также используемые клиентами для их поиска серверы разрешения имен. Поскольку, чтобы для автоматических обновлений использовать сервер wsus.contoso.com, клиенты Contoso настраиваются с помощью групповой политики, в группу серверов исправления необходимо включить не только IP-адрес сервера WSUS, но также адрес сервера DNS, используемого клиентами для преобразования полного доменного имени (FQDN) в числовой IP-адрес. Не имея доступа к ресурсам разрешения этих имен (которые могут быть как DNS, так и WINS, в зависимости от настройки клиентов), клиенты не смогут разрешить адрес ресурсов исправления и, следовательно, не смогут получить к ним доступ. На рис. 5 показаны параметры DNS и IP для рассматриваемого примера.
Рис. 5 Имена DNS и IP-адреса
Рис. 5 Имена DNS и IP-адреса
Шаблоны проверки исправности системы (System Health Validator Template) используются для определения того, что понимается под исправным состоянием компьютера. Шаблоны проверки получают результаты проверок SHV и, основываясь на числе успешных и не успешных из этих пройденных проверок, сообщают, является компьютер допустимым или недопустимым (см. рис. 6).
Рис. 6 Проверки на соответствие
Рис. 6 Проверки на соответствие
В вычислительной среде компании Contoso (как и во многих небольших и среднего размера развертываниях), определены только два состояния. Допустимый компьютер — это компьютер, прошедший все проверки SHV. Компьютер, не соответствующий требованиям безопасности, это компьютер, который не удовлетворяет условиям одной или нескольких из этих проверок. При необходимости на предприятии может быть выбрана более сложная логика (например, создание для пользователей различных стандартов соответствия на основе роли, отдела, местоположения и т.д.), но следует иметь в виду возможность того, что задача определения и разрешения проблем станет более сложной и потребует больше времени.
Все эти компоненты объединяются посредством сетевых политики. Сетевые политики определяются администраторами и передают инструкции серверу NPS относительно способа обращения с компьютерами в зависимости от их состояния допустимости. Эти политики оцениваются в порядке следования сверху вниз (в соответствии с отображением в пользовательском интерфейсе NPS), и обработка прекращается, как только попадается соответствующее правило.
Как всегда, простота является главной целью для сети компании Contoso, поэтому необходимыми являются всего несколько политик. Первая — политика Compliant-FullAccess. В этой политике утверждается, что компьютерам, прошедшим все проверки SHV, предоставляется неограниченный доступ к сети. А именно, при оценке состояния компьютера, после прохождения проверок сервер NPS передает инструкцию серверу DHCP относительно предоставления компьютеру аренды IP-адреса с «обычными» параметрами области. Данная политика Compliant-FullAccess должна быть, как правило, первой в списке обработки, поскольку большая часть компьютеров должна соответствовать нормативам во время проверки. Помещение этой политики на первое место в списке снижает загруженность и время работы сервера NPS.
Следующей применяется политика Noncompliant-Restricted. В вычислительной среде компании Contoso любой компьютер, не прошедший одну или несколько проверок SHV (и поэтому соответствующий шаблону проверки Noncompliant System Health), соответствует этой политике. При обнаружении соответствия этой политике сервер NPS передает инструкцию серверу DHCP относительно предоставления клиенту аренды IP со специальными «ограниченными» параметрами области. При этом компьютеры, не соответствующие требованиям, получают доступ только к ресурсам, определенным в группе серверов исправления компании Contoso.
Третьей применяется политика для проверки обратной совместимости. Напомним, что по умолчанию поддержка NAP существует в Windows XP и более поздних операционных системах (хотя независимые поставщики программного обеспечения могут разрабатывать клиенты NAP для более ранних версий Windows и других операционных систем). Если в компании Contoso продолжается использование Windows 2000, можно создать правило (в нашем примере Downlevel-Full-Access), позволяющее компьютерам, не поддерживающим NAP, предоставлять обычный доступ к сети (обеспечиваемый параметрами области по умолчанию, предоставляемыми сервером DHCP). Эта политика должна оцениваться последней, и ее требуется создавать и активировать только в том случае, когда компьютерам нижнего уровня требуется доступ к сети (см. рис. 7).
Рис. 7 Параметры доступа для компьютеров нижнего уровня
Рис. 7 Параметры доступа для компьютеров нижнего уровня
Что, если в сети компании Contoso имеются ресурсы, которые не поддерживают и никогда не смогут поддерживать NAP, например, принтеры и другое оборудование? Более того, в компании Contoso могут быть компьютеры, поддерживающие NAP, которые требуется исключить из проверок посредством политик постоянно или временно. Простой способ исключения этих компьютеров состоит в использовании адреса MAC. Для обхода этих компьютеров во время проверок NAP администраторы компании Contoso могут создать новую политику (Exempt by MAC), предоставляющую полный доступ к сети. В этой политике используется условный оператор, в котором свойство Calling Station ID клиента RADIUS соответствует MAC-адресу тех устройств, которые требуется обходить в системе NAP. Если компьютер удовлетворяет этому оператору политики, сервер NPS передает инструкцию серверу DHCP относительно предоставления аренды с «обычными» параметрами области. С целью снижения общего времени работы и загрузки сервера NPS эту политику следует поместить на первое место в списке для оценки. Компьютерам, удовлетворяющим требованиям этой политики, не требуется проходить никакую оценку SHV, поэтому для их проверки не требуется организовывать циклы на NPS (см. рис. 8).
Рис. 8 Пропуск некоторых компьютеров
Рис. 8 Пропуск некоторых компьютеров
Применяемые в совокупности, эти политики помогут гарантировать быструю и точную оценку сервером NPS компании Contoso компьютеров, подключенных к сети. При необходимости в них предусматриваются также исключения для компьютеров и устройств нижнего уровня или для тех случаев, когда необходим временный обход для устройств, поддерживающих NAP.

Заключение
В систему NAP входит широкий набор технологий, и ее требуется тщательно планировать и тестировать, в особенности в сложных ситуациях. В данной статье рассматривалась не очень сложная ситуация, но на веб-узле NAP представлены подробные инструкции по развертываниям всех масштабов. На веб-узле представлены также вспомогательные материалы по планированию использования технологий управления на основе 802.1X и на основе IPsec, которые часто лучше удовлетворяют потребности предприятий, чем управление на основе DHCP.
NAP обеспечивает мощную, допускающую расширение платформу для оценки состояния компьютеров, подключенных к сети. Для небольших и среднего размера предприятий технология управления на основе DHCP обеспечивает широкий набор преимуществ при низких затратах на реализацию и управление. NAP является основным преимуществом операционной системы Windows Server «Longhorn» и поможет вашему предприятию повысить уровень безопасности и соответствия стандартам.
Материалы по NAP
  • Network Access Protection (Защита доступа к сети)
  • Setting Up Dynamic Host Configuration Protocol Enforcement for Network Access Protection in a Test Lab (Настройка функции Dynamic Host Configuration Protocol Enforcement для защиты доступа к сети в лаборатории тестирования)
  • Network Access Protection (Защита доступа к сети)
  • “Introduction to Network Access Protection” whitepaper WebCast(Веб-трансляция документа «Введение в защиту доступа к сети»)

Джон Морелло (John Morello) работает в корпорации Майкрософт в течение шести лет, и за это время занимал самые разные должности. Работая в должности старшего консультанта, он разрабатывал решения в сфере безопасности для предприятий, входящих в рейтинг Fortune 100, а также для клиентов из гражданских и оборонных федеральных ведомств. В настоящее время является старшим руководителем программы в группе по разработке операционной системы Windows Server, занимающейся технологиями доступа из любого места.


 Материалы о рабочей среде: Снова о службах развертывания Windows.
Материалы о рабочей среде
Снова о службах развертывания Windows.
Уэс Миллер (Wes Miller)

Я посвятил несколько последних статей обсуждению технологий развертывания, связанных с Windows Vista и следующей версией Windows Server (кодовое название «Longhorn»). Единственное, что постоянно в программном обеспечении, это изменения, и у меня есть новости по поводу служб развертывания Windows (WDS), которые будут включены
в Windows Server® «Longhorn». У меня также скопилось несколько вопросов от читателей и из обсуждений, где я принимал участие за последние несколько месяцев, и я займу часть этой статьи, чтобы ответить на часть вопросов, связанных с ImageX, WDS и Windows® PE.

Новые возможности и улучшения
Когда изначально планировали WDS, существовала надежда, что функциональность, включенная в виде дополнения в Windows Server 2003, будет практически той же, что и функциональность версии, которая будет включена в Windows Server «Longhorn». Однако команда, разрабатывающая WDS для Windows Server «Longhorn», усердно поработала над тремя новыми ключевыми возможностями, которые, похоже, будут доступны только в WDS для грядущей серверной платформы.
Этими новыми возможностями являются многоадресное развертывание, повышенная производительность загрузки TFTP и поддержка сетевой загрузки Extensible Firmware Interface (EFI) для систем x64. Эти возможности важны и очень полезны для пользователей и администраторов WDS, так что давайте рассмотрим каждую, чтобы посмотреть, что нового. Но сперва важное замечание: эти возможности не планируется включать в следующие версии WDS для Windows Server 2003.

Многоадресность
Задолго до того, как я начал работать в команде Windows, многоадресность была наиболее обсуждаемой и востребованной возможностью служб удаленной установки Remote Installation Services (RIS) и даже развертывания Windows в целом. Заказчики, пользующиеся технологиями развертывания сторонних производителей, имели представление о возможностях многоадресного развертывания. Некоторые из технологий развертывания для конкретных ситуаций от Майкрософт – в частности, службы автоматизированного развертывания Automated Deployment Services (ADS) – реализовывали многоадресность, но не для корпоративного или заводского развертывания, поэтому при обсуждениях развертывания с корпоративными клиентами или сборщиками систем это оставалось часто запрашиваемой возможностью.
Ключевым преимуществом многоадресности является возможность получать содержимое на нескольких компьютерах одновременно. Это означает, что отправитель (в этом случае сервер WDS) посылает сведения только один раз. Поэтому каждый клиент должен воспринять передачу от начала до конца, чтобы ее получить. Поскольку все клиенты одновременно воспринимают информацию с одного сетевого адреса, выгода получается двойная: улучшение скорости развертывания, поскольку сеть меньше загружена, когда несколько клиентов выполняют одну и ту же задачу, и меньшая нагрузка на сеть, поскольку все клиенты воспринимают один поток.
Негативной стороной многоадресности исторически являлась ее инфраструктура. Представьте себе игру «испорченный телефон», в которую многие из нас играли в бытность детьми. Вы, вероятно, сможете припомнить шаги:
  1. вы говорите какую-то фразу своему соседу.
  2. Он выслушивает эту фразу.
  3. Затем он повторяет эту фразу следующему.
  4. Так продолжается со всеми участниками.
Постоянная проблема с многоадресностью состоит в том, что для того, чтобы сказать фразу полностью четырем людям, необходимо, чтобы все они находились в комнате и слушали одновременно. Если вдруг пятый человек войдет в комнату, то вам придется повторить всю фразу снова, даже если он будет готов слушать немедленно.
Многоадресность обычно работает по такому же принципу. Вы отправляете двоичный образ (обычно посекторный образ диска) по сети. Всем клиентам, желающим его получить, обычно приходится ждать в очереди, если они не готовы немедленно в тот момент, когда начинается передача. Что раздражает еще сильнее, если клиенты теряют слишком много данных из-за проблем с сетью или производительности, то, либо им приходится совсем отключиться от приема (поскольку невозможно проверить, что образ диска получен полностью), либо всей группе приходится замедлиться для удовлетворения потребностей клиента, где произошли проблемы. При разработке многоадресной системы в ситуации, где сотни систем развертываются одновременно, проверка, что все клиенты загружаются синхронно, и неполадки одного не влияют на остальных, является очень важной.
Команда WDS изменила все это, предоставив новый многоадресный механизм, использующий основанную на файлах инфраструктуру Windows Imaging Format (WIM) для реализации некоторых совершенно уникальных возможностей. Можно выполнять такие же поэтапные многоадресные планы, как и в большинстве многоадресных продуктов сторонних производителей, но многоадресное решение для WDS предоставляет гораздо большие возможности.
Во-первых, клиентские компьютеры могут присоединиться к передаче в любой момент. Многоадресная передача является циклической передачей файловых потоков, продолжающейся, пока не удовлетворены запросы всех клиентских компьютеров. Поэтому не имеет значения, когда подключаются клиенты. Они прослушивают сервер WDS, и, когда сервер заканчивает передачу файла образа, он начинает сначала. Если клиент пропустил какой-то из файлов, он просто ждет, пока файл снова начнет передаваться (как с лошадками на карусели).
Во-вторых, протокол полностью новый и предоставляет контроль за загруженностью и за обменом данными, что означает, что он хорошо работает в промышленных сетях, не нарушая существующего сетевого взаимодействия. Распространенное опасение администраторов сетей – оправданное в случаях с некоторыми многоадресными решениями – то, что при их включении сеть переполняется трафиком, хотя, по иронии, вы на самом деле пытаетесь сделать передачу данных более эффективной.
В-третьих, решение было разработано таким образом, чтобы быть независимым от WDS и Active Directory®. Это означает, что вам не нужно иметь ни Active Directory, ни активной реализации WDS для того, чтобы воспользоваться им. Многоадресная схема ImageX может быть реализована независимо, применяясь в различных вариантах. Многоадресный клиент – это приложение командной строки, работающее в Windows Server «Longhorn» (и связанном с ним выпуске Windows PE), Windows Vista™, Windows XP с пакетом обновления 2 (SP2) или Windows Server 2003 с пакетом обновления 2 (SP2).
В оснастке WDS MMC и в приложении WDSUtil появились новые задачи управления для создания и настройки многоадресной передачи. Пользовательский интерфейс клиента WDS тоже изменен – в нем отображается, когда задействована многоадресная передача.
Средства управления WDS позволяют администраторам отслеживать выполнение передачи данных к клиентам в реальном времени (включая отключение клиентов от передачи). Средства управления также предлагают возможность ведения полного журнала и построения отчетов, что означает, что у администраторов теперь будет способ протоколировать сеансы установки – то, чего так не хватало в RIS.
Поддержка многоадресной передачи в WDS для Windows Server «Longhorn» - одно из самых волнующих объявлений, которые я слышал в последнее время. Это просто великолепно – знать, что команда смогла реализовать это часто высказываемое пожелание заказчика так, что это должно хорошо работать у корпоративных потребителей и сборщиков систем.

Улучшенная производительность загрузки TFTP
Упрощенный протокол передачи файлов (TFTP) является ключевым компонентом среды предзагрузочного выполнения (PXE), являющейся основой и RIS, и теперь WDS. TFTP был выбран не за свои эффективность или надежность, а в основном за малые размеры (потому что он не сохраняет состояние, не поддерживает безопасность и основан на протоколе UDP), что позволяет применять его для включения в состав прошивки загрузочного ПЗУ, необходимого системам для выполнения сетевой загрузки при помощи протокола PXE.
В Windows Server «Longhorn» серверный процесс (демон) TFTP (TFTPD) был полностью переработан таким образом, что стало возможным значительное улучшение времени закачек TFTP (значимое улучшение теперь, когда развертывание WDS основано на загрузке Windows PE из образа оперативной памяти). Это хорошее известие для заказчиков, которым хотелось лучшей производительности при закачке Windows PE через RIS или WDS в Windows Server 2003.
В мире персональных компьютеров начинается переход с повсеместно используемой BIOS (основе сегодняшних компьютеров x86) на интерфейс EFI, и корпорация Майкрософт подготовила WDS для работы с новейшими 64-разрядными серверными системами, которые загружаются при помощи EFI, а не BIOS. Эта функциональность позволит 64-разрядным клиентским системам загружаться по протоколу PXE с сервера WDS.

Вопросы
Закончив с новостями про WDS, мне бы хотелось посвятить оставшуюся часть этой статьи ответам на некоторые вопросы, которые я получил по электронной почте или недавно видел в обсуждениях в сети и которые, как мне кажется, могут оказаться интересны моим читателям.

В.: Возможно ли использовать WDS в среде без DHCP? В моей сети запрещен трафик DHCP и PXE.
О.: Да, потенциально возможно использовать WDS в окружении без DHCP, но это решение не масштабируемо, поскольку придется создать отдельный компакт-диск для каждой установки, которую планируется поддерживать, каждый со своим собственным IP-адресом. Возможно, лучше было бы использовать для установки носитель DVD. Когда необходима установка с WDS без DHCP, выполните следующие действия:
  1. Создайте образ WDS Discover со статически определенным сервером (указывающим на тот сервер WDS, откуда вы будете производить установку).
  2. Разрешите доступ трафика DHCP на порт 4011 этого сервера WDS. Хотя DHCP не будет использоваться, это необходимо, потому что клиенты WDS таким образом регистрируются на сервере.
  3. Создайте отдельный носитель Windows PE со статическим IP-адресом вместо DHCP.
Обратите внимание, что это решение неудобно, потому что клиентские носители должны быть уникальными во избежание коллизий по IP-адресам и необходимо указать конкретный сервер WDS в вашей сети. Поскольку PXE (сам основанный на DHCP) является основой WDS, вы можете видеть, почему WDS работает значительно лучше, если в вашем окружении разрешен DHCP.

В.: Нужно загрузить Windows PE 2.0 по протоколу PXE с сервера PXE, отличного от WDS. Как это сделать?
О.: В статье базы знаний по адресу support.microsoft.com/kb/926172 есть некоторые советы по тому, как добиться работы Windows PE 2.0 с сервером PXE, отличным от WDS, но поддержка Майкрософт в этой области ограничена.

В.: Что такое BDD? Является ли пакет автоматической установки Windows (WAIK) его частью?
О.: BDD (на самом деле, BDDSA –решение по развертыванию деловых настольных компьютеров) – это среда для указания, как управляемым образом, а также повторно использовать средства развертывания Windows (такие как WAIK). WAIK не является частью BDD напрямую, но BDD соберет все необходимые средства, включая WAIK, чтобы вы установили их, если они еще не были установлены. Поэтому, хотя технически BDD не содержит WAIK, WAIK нужен для его работы. Посетите веб-страницу по адресу microsoft.com/desktopdeployment для получения дополнительных сведений о BDD.

В.: Где взять WDS для моего Windows Server 2003?
О.: WDS входит в загружаемый пакет WAIK в каталоге WDS (см. go.microsoft.com/fwlink/?LinkId=85377).

В.: Как настроить Windows PE 2.0 для загрузки со статическим IP-адресом и поддержки настройки DNS?
О.: Для указания статического IP-адреса воспользуйтесь примером unattend.xml на рис. 1 и поместите его в корневом каталоге вашего компакт-диска, флэш-накопителя USB или другого загрузочного устройства, чтобы параметры вступили в силу. Если вам нужна поддержка DNS, вам также необходимо выполнить следующую команду:
Figure 1 Рис. 1 unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

В.: Возможна ли загрузка Windows PE через контроллер Fibre Channel?
О.: Да, в том случае, когда главный адаптер шины (HBA) Fibre Channel поддерживает регистрацию загрузочного раздела через прерывание Int13, так что для Windows PE в BIOS он выглядит как загрузочный диск. Вам придется добавить драйвер контроллера Fibre Channel так же, как любой другой драйвер контроллера дисков.

В.: Windows PE 2.0 всегда загружается, используя диск в оперативной памяти. В некоторых из моих систем недостаточно оперативной памяти для такой загрузки. Можно ли загрузить Windows PE 2.0, не используя диск в оперативной памяти?
О.: Да, это возможно. В частности, системам с объемом оперативной памяти менее 256 МБ для загрузки может понадобиться реализация Windows PE без использования диска в оперативной памяти. Сейчас создается статья технической поддержки Майкрософт, где будет объяснено, как это сделать. Пара важных предостережений: не будет возможности менять носитель, в отличие от случая с диск в оперативной памяти, и сама загрузка будет более медленной по сравнению с версией Windows PE 2.0, основанной на диске в оперативной памяти.

В.: Я попробовал загружать Windows PE 2004 и Windows PE 2005 (1.5 или 1.6) с отличного от диска DVD носителя и копировать с диска DVD образ или другие данные. Я не загружаюсь с DVD, просто копирую с него данные, но это не работает. DVD читается в полной установке Windows, но в Windows PE я получаю сообщение об ошибке, утверждающее, что раздел поврежден или нечитаем. Возможно ли это исправить?
О.: Да, это возможно. По умолчанию Windows PE 1.x не поддерживает носители в формате UDF. Диски DVD по определению имеют формат либо с поддержкой моста ISO (формат, поддерживающий ISO и UDF), либо просто в UDF. Для того, чтобы это работало, необходимо добавить драйвер UDF в вашу установку Windows PE. Драйвер уже там, просто не установлен. Для того чтобы установить его, сделайте следующее:
  1. Откройте файл txtsetup.sif из каталога I386 (или MiniNT в случае установки Windows PE на жесткий диск) в программе «Блокнот».
  2. Найдите раздел под названием [CdRomDrivers.Load], и поищите строчку с драйвером, называющимся cdfs.sys. Добавьте за ней строку «udfs=udfs.sys». Запись должна выглядеть примерно так:
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Найдите раздел, называющийся [CdRomDrivers], и поищите строчку, где упоминается «cdfs». Добавьте за ней строку «udfs = "Universal Disk File System"». Запись должна выглядеть примерно так:
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Сохраните txtsetup.sif и при необходимости пересоздайте образ Windows PE. Теперь вы должны иметь возможность читать любые диски DVD формата UDF из Windows PE.

В.: У меня есть старые системы под управлением Windows XP, где нет поддержки ACPI. Получится ли использовать Windows PE 2.0 на этих системах для перехода на Windows Vista или, возможно, переустановки Windows XP?
О.: Нет, это невозможно. Windows PE 2.0 поддерживает только системы, отвечающие стандарту Advanced Configuration and Power Interface (ACPI), и не загрузится на ваших системах. При необходимости использования Windows PE на этих системах воспользуйтесь Windows PE 1.6 или более ранней версией.

В.: Я создал в Visual Studio® 2005 приложение, которое мне хотелось бы выполнять в Windows PE (1.x or 2.0). Будет ли оно работать?
О.: Здесь все зависит от того, как ваше приложение написано. Если вы используете неуправляемый код C++, тогда ваше приложение должно работать. Если вы используете один из языков управляемого кода (например C# или J#) или используете какой-то управляемый код на C++, тогда оно не будет работать. Поскольку ни одна их версий Microsoft® .NET Framework не доступна в Windows PE, управляемый код не будет работать.

В.: Я пытаюсь создать приложение для Windows PE 2.0, и мне нужна справка. Куда лучше всего заглянуть?
О.: Предлагаю начать с документа «Windows PE Developer's Guide».

В.: Я несколько раз загружал Windows PE 2.0 с компакт-диска, но буква диска в оперативной памяти всегда «X». Как узнать, какова буква устройства, откуда на самом деле произведена загрузка?
О.: Если посмотреть в системном реестре, следующий параметр должен показывать букву устройства, откуда изначально была произведена загрузка Windows PE:
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Если вдруг этот параметр не содержит нужной информации, потому что в Windows PE используется оболочка производства сторонних разработчиков, запуск следующей команды обновит его правильным значением:
start /w wpeinit UpdateBootInfo

В.: Возможно ли использовать файлы ImageX и WIM для резервного копирования моих систем?
О.: Теоретически это возможно, но я бы не советовал. В отличие от специализированных средств для резервного копирования, ImageX не может скопировать заблокированные или открытые файлы. Я советую продолжать использовать средства резервного копирования, позволяющие защитить открытые и заблокированные файлы.

В.: Если я запишу файл WIM без сжатия, будет ли он развертываться быстрее, чем образ того же размера со сжатием?
О.: Незначительно. Запись происходит дольше из-за сжатия. Однако применение образа к целевой системе не происходит дольше независимо от используемого типа сжатия (без сжатия, XPress или LZX). Я рекомендую делать выбор типа сжатия в зависимости от ваших действительных требований к размеру образов и количества времени, которое вы можете выделить на запись образов.

В.: Нужно ли переразмечать и форматировать диск, если я планирую применять образ WIM?
О.: Да, это необходимо. Чтобы получить чистый образ системы, сперва необходимо очистить диск при помощи средства diskpart (либо удалить и пересоздать целевой раздел). Или же можно отформатировать весь диск целиком.
Кроме того, необходимо помнить, что версии Windows до Windows Vista использовали другой загрузочный сектор, поэтому, если вы используете Windows PE 2.0 для развертывания Windows Server 2003 или более ранней версии, вам необходимо выполнить следующую команду в Windows PE для задания загрузочного сектора, откуда могут загрузиться Windows Server 2003 и предыдущие версии, прежде чем начинать установку Windows или применение образа WIM:
bootsect /nt52 sys C: /force

Заключение
Я надеюсь, что новости про WDS и ответы на эти вопросы оказались полезными и интересными. Я рад вашим вопросам и постараюсь ответить на них, когда будет позволять место в этом разделе. Пожалуйста, продолжайте присылать их по адресу электронной почты, указанному в данных обо мне.
Средство Windows Vista для оценки оборудования
Болдуин Нг (Baldwin Ng)

Знаменательное событие – ваш менеджер наконец-то отзывается на ваше предложение месячной давности. Оказывается, он серьезно взвешивал вашу идею по установке Windows Vista во всей организации, и начал осознавать выгоды и возможность сокращения расходов при управлении единственной операционной системой. Однако он не полностью убежден, что с точки зрения финансов целесообразна замена всех персональных компьютеров при установке Windows Vista. Ему нужны точные, детализированные сведения о том, которые из компьютеров можно перевести на Windows Vista прямо сейчас, а какие могут быть переведены при условии незначительного обновления, такого как дополнительная оперативная память и место на диске. И ответ нужен до конца недели. Итак, с чего начать? Как получить ответ за несколько дней, когда в вашей организации нет сложных средств для управления ресурсами или сетевого управления? Что еще хуже, ваш предшественник не оставил вам достаточной информации об уже существующих активах в сети.
Корпорация Майкрософт только что выпустила средство Windows Vista для оценки оборудования (Windows Vista Hardware Assessment, WVHA), решение, позволяющее оценить готовность вашей организации к переходу на Windows Vista (см. microsoft.com/technet/wvha). Это средство быстро оценивает компьютеры в сети и создает детальные отчеты о готовности их оборудования и совместимости устройств всего за несколько часов в большинстве организаций среднего размера, все это без установки каких-либо программных агентов на компьютеры вашей сети.
Построенное на мощных технологиях инвентаризации и построения отчетов, ранее разработанных для решения Майкрософт по оценке и развертыванию (ADS), решение WVHA создает набор отчетов о готовности в три этапа:

1. Инвентаризация оборудования.
Используя WMI, Active Directory® и прочие сетевые протоколы Windows, такие как NetServerEnum, это средство обнаруживает компьютеры в домене, а также в рабочей группе. Когда инвентаризация завершена, вся информация о системных ресурсах и устройствах помещается в базу данных SQL Server™ 2005 Express. Текущая версия этого средства поддерживает сетевое обнаружение до 5000 компьютеров. Последующие выпуски, вероятно, будут предназначены для более крупных сетей.

2. Анализ совместимости
Используя наиболее свежие базы данных по устройствам и BIOS от команды Windows, средство анализирует готовность оборудования и совместимость устройств с Windows Vista. Кроме того, сведения о драйверах загружаются через регулярно обновляемую веб-службу, чтобы у вас была свежая информация каждый раз, как вы запускаете это средство.

3. Отчет о готовности
Последним шагом является автоматическое создание отчетов в виде документов Microsoft Word и таблиц Excel®. Эти отчеты предоставляют информацию о готовности вместе с рекомендациями по обновлению каждого компьютера.
Средство Windows Vista Hardware Assessment дополняет прочие решения Windows Vista, включая Business Desktop Deployment 2007 и Windows Vista Security Guide. Дополнительные сведения доступна на домашней странице решений.

Болдуин Нг работает менеджером по продуктам в команде Microsoft Solution Accelerators, специализирующейся на создании автоматизированных программных средств, помогающих пользователям и консультантам быстрее и эффективнее воспринять программные продукты Microsoft. С ним можно связаться по адресу Baldwin.Ng@microsoft.com.

Уэс Миллер (Wes Miller) - менеджер по развитию в компании Pluck (www.pluck.com) в г. Остине, штат Техас. Ранее Уэс работал в компании Winternals Software, а также в корпорации Майкрософт в должности руководителя программы и менеджера по продуктам Windows. С Уэсом можно связаться по адресу электронной почты technet@getwired.com. Уэс благодарит Скотта Диккенса, руководителя программы служб развертывания Windows в Microsoft, за содействие при написании раздела по новым возможностям WDS.


 Полевые заметки: Как оставаться в форме
Полевые заметки
Как оставаться в форме
Джошуа Хоффман (Joshua Hoffman)

А, настоящая работа. Все это хорошо знакомо. До перехода на мою нынешнюю позицию (технического редактора этого замечательного издания) почти два года назад, я активно работал как специалист по ИТ. Я провел пять лет, работая в консалтинговой службы корпорации Майкрософт, и несколько лет в отделах ИТ различных компаний из списка «Fortune 100». Затем я был увлечен этой работой. Не то, чтобы я жаловался – у нас тут замечательный народ, к тому же я знакомлюсь и работаю со всеми вами! И если мне никогда снова не придется садиться в самолет в 6:00 утра в понедельник, чтобы ехать на работу, это тоже будет неплохо .
Но есть в моей работе и отрицательная сторона. Многие специалисты по ИТ скажут, что лучшим способом изучать что-то новое в нашей профессии (и оставаться в курсе дел) является применять это новое на практике. Практическое применение является мощным средством обучения. Но карьеры двигаются, обязанности меняются, и неожиданно вы обнаруживаете, что вы стали специалистом по ИТ без системы, которую нужно администрировать, или инфраструктуры, которой надо управлять. И все меняется очень быстро. С тех пор, как я на этой позиции, вышла новая версия Windows® с новой моделью развертывания, новой инфраструктурой безопасности, новым стеком протоколов и несколькими другими возможностями. О, и новая версия Office тоже. И Exchange Server И SQL Server™. И Microsoft® Operations Manager. К тому же, появилось несколько новых средств: Windows PowerShell™, MMC 3.0, Windows Automated Installation Kit. Я надеюсь, что ничего не упустил.
Оказывается, за два года многое может измениться. Если лучшим способом изучить является сделать, а ваша работа больше не включает «делания», то как вам не отставать от прогресса?
Я очень надеюсь, что этот журнал помогает в этом. Я знаю, что он помогает мне. У нас много замечательных авторов, которые действительно знают, о чем пишут, и я постоянно обогащаюсь их опытом. Но все же, иногда вам просто необходима практика. Я обычно начинаю с Virtual PC (или Virtual Server), оба продукта доступны для бесплатной загрузки с веб-узла Microsoft (вы найдете нужные ссылки в разделе закачек нашего веб-узла). Используя технологии виртуализации, я могу быстро создать собственный Active Directory® или настроить развертывание Windows Vista™ прямо у себя на портативном компьютере. Не требуется никакого дополнительного оборудования. Когда я пытаюсь понять, как что-либо устроено, следование процессу лично сильно меняет дело.
Единственная загвоздка с Virtual PC в том, что необходимо создать виртуальное окружение (установить ОС, все правильно настроить и т. д.), что хорошо тогда, когда вы именно этому хотите научиться. Но что если вам хочется лишь исследовать специфическую возможность или функцию продукта? Например, вам хочется узнать о новых возможностях соответствия Exchange Server 2007? Установка и настройка Windows Server®, Active Directory и Exchange Server с нуля выглядит большой работой. Зайдите в виртуальные лаборатории TechNet . По моему скромному мнению, эти виртуальные лаборатории являются одним из лучших материалов для обучения за очень долгое время. Команда виртуальных лабораторий уже проделала тяжелую часть работы – у них подготовлено более 180 предустановленных и настроенных виртуальных компьютеров, где сочетаются в разных комбинациях более 20 продуктов. Для каждого есть набор тренировочных упражнений, чтобы познакомить вас с наиболее частыми задачами и новыми возможностями. И, что лучше всего, весь процесс происходит на серверах, управляемых Майкрософт, с доступом через обозреватель, так что вам не приходится отводить для этого собственное оборудование.
Поэтому, да, становится тяжелее успевать за всем, если вы больше не в первых рядах, но это возможно! Я показал вам некоторые из моих любимых материалов. И, как мой хороший друг Эдвард Дэйк подчеркнул в этом разделе несколько месяцев назад, лучшие материалы, которые у нас есть, — это мы сами. Вы всегда можете попросить о помощи.

Джошуа Хоффман (Joshua Hoffman) - технический редактор и рецензент журнала TechNet


 Конфиденциальные сведения о Windows: Определение часто используемых компонентов
Конфиденциальные сведения о Windows
Определение часто используемых компонентов
Рэймонд Чен (Raymond Chen)

Нажмите кнопку «Пуск», появится меню «Пуск». В левой части находится список программ. Как выбираются программы в списке? Мы начали с общего принципа размещения на первой странице меню «Пуск» последних запущенных программ. Имея в виду этот принцип, в скором времени мы обнаружили, что необходима некоторая настройка.
Общее правило – при каждом запуске программа зарабатывает одно очко. И наоборот, чем дольше не запускается программа, тем больше очков она теряет. В меню «Пуск» отображаются программы с наибольшим количеством очков. Просто, не так ли? Алгоритм выбора не является сложным. После применения основного правила используется точная настройка, являющаяся самой сложной частью для большинства людей.
До рассмотрения точной настройки остановимся на нескольких моментах, не являющихся очевидными выводами из основного правила. Обратите внимание, что правило распространяется на запуск программ, а не ярлыков. Некоторые программы устанавливают несколько ярлыков, и выбор ярлыка для запуска программы не имеет значения. Если они указывают на один и тот же исполняемый файл, программа зарабатывает все очки, полученные от различных ярлыков.
Меню «Пуск»
Это также означает, что программа зарабатывает очки независимо от того, используется ли для ее запуска меню «Пуск» или нет, если для запуска используется проводник. При запуске программы вручную, например, открыв нужную папку и дважды щелкнув исполняемый файл, очки также зарабатываются, и в итоге программа переходит на первую страницу меню «Пуск».
Теперь, после того, как программа достаточное количество очков для того, чтобы отображаться на первой странице меню «Пуск», Windows® выбирает отображаемый значок, если для программы существует несколько значков. Не удивительно, что выбираются наиболее часто используемые ярлыки.
В результате выполнения точной настройки некоторые программы удаляются из списка. Например, программа, добавленная вами в меню «Пуск», не будет отображаться, поскольку один значок этой программы уже существует. Как-никак, вы добавили программу в меню «Пуск», потому что часто запускаете ее.
Другим этапом точной настройки является удаление излишних элементов. Множество программ отображались на первой странице меню по той причине, что они являлись ярлыками вспомогательных программ, таких как Блокнот или Wordpad — например, ярлык для отображения файла «Read Me». Эти ярлыки необходимо скрыть, например, чтобы не было дублирования программы «Блокнот». Кстати, можно запретить включение программы в первую страницу меню «Пуск», установив значение NoStartPage в регистрации приложения.
Общее правило также не распространяется на программу, запущенную один раз и постоянно работающую. При строгом толковании этого правила эта программа заработает очко при запуске, а затем с течением времени потеряет его. (В данном случае «частота» является явным занижением «такого количества времени!») Поэтому было добавлено другое правило: за каждый день работы программы начисляется очко. Этого достаточно, чтобы программа сохраняла необходимое количество очков, но недостаточно для того, что набрать больше очков, чем у фактически запускаемых программ. Как-никак, если программа постоянно работает, отсутствует необходимость часто ее запускать.
В операционной системе Windows Vista™ добавлены несколько дополнительных правил точной настройки. Например, при выборе между несколькими ярлыками для программы, никогда ранее не запускавшейся из меню «Пуск», предпочтение отдается ярлыку без параметров командной строки. Кроме того, последняя запущенная программа всегда отображается в списке независимо от количества очков.

Рэймонд Чен (Raymond Chen) на своем веб-узле The Old New Thing и в книге с таким же названием (издание Addison-Wesley, 2007 г.) рассказывает об истории развития Windows и касается вопросов программирования в среде Win32. Ваш звонок важен для него, и будет принят в порядке очереди.