 TechNet Magazine May 2008

TechNet Magazine May 2008

Windows-Verwaltung: Sichern und Wiederherstellen von Active Directory in Windows Server 2008

Windows Server 2008 und das neue Dienstprogramm „Windows Server-Sicherung“ bieten zahlreiche Änderungen und willkommene Verbesserungen beim Sicherungsvorgang. Dieser Artikel enthält eine ausführliche Anleitung für das Sichern und Wiederherstellen von Active Directory unter dem neuen Serverbetriebssystem.

Gil Kirkpatrick Windows-Verwaltung: Entwerfen funktionierender Organisationseinheitsstrukturen

Zu viele Administratoren unterschätzen die Bedeutung einer gut durchdachten Organisationseinheitsstruktur. Erfahren Sie, warum es wichtig ist, dass eine solide Strategie für Organisationseinheiten vorhanden ist, und bestimmen Sie die optimale Organisationseinheitsstruktur für Ihre Organisation.

Ken St. Cyr Windows-Verwaltung: Erweitern des Active Directory-Schemas

Zahlreiche Anwendungen, die auf Active Directory basieren, definieren ihre eigenen Änderungen des Schemas. Es ist jedoch wichtig, dass diese Änderungen sich nicht auf andere Anwendungen auswirken. Erhalten Sie einen Überblick über das Erweitern von Active Directory über die classSchema- und attributeSchema-Objekte.

Vikas Malhotra System Center: Einführung zu System Center Mobile Device Manager

Der neue System Center Mobile Device Manager bietet einen vollständigen Satz an Tools zum Verwalten von Windows Mobile-Geräten durch ein MMC-Snap-In oder über Windows PowerShell. Finden Sie heraus, wie Ihnen dieses unerlässliche Tool ermöglicht, mobile Geräte zu verwalten, die Sicherheit zu erhöhen und mobile VPN-Funktionen bereitzustellen.

Matt Fontaine System Center: Neuerungen in System Center Essentials SP1

Service Pack 1 führt bedeutende Verbesserungen für System Center Essentials 2007 ein. Informieren Sie sich über einige der wichtigsten Änderungen, die die Benutzerfunktionalität verbessern und die Verwaltung optimieren.

Pete Zerger Mitteilung der Redaktion: Herzlich Willkommen zu „Einblicke in SharePoint“

Joshua Hoffman Briefe: Leser sagen ihre Meinung

Toolbox: Neue Produkte für IT-Experten

Greg Steen Exchange Fragen & Antworten: Bereitstellung von Exchange 2007 SP1

In dieser Ausgabe beantworten wir Ihre Fragen zu Exchange Server 2007 SP1.

Nino Bilic Schwerpunkt Dienstprogramme: Kapazitätsplanung für SharePoint

Untersuchen Sie das SharePoint-Kapazitätsplanungstool, und erfahren Sie, wie Sie eine Topologie zum Bereitstellen von SharePoint entwerfen können und diese Topologie nach Ausführen von Auslastungs- und Nutzungssimulationen überarbeiten.

Peter Skjøtt Larsen and Satish Mathew Einblicke in SharePoint: Erstellen einer SharePoint-Infrastruktur

SharePoint ist leistungsfähig, aber die Bereitstellung kann aufgrund von Komplexität zu einer Herausforderung werden. Dabei kann Ihnen die neue Rubrik zu SharePoint möglicherweise behilflich sein. In dieser ersten Ausgabe erhalten Sie einen Überblick über die SharePoint-Architektur und erfahren, wie sich eine grundlegende SharePoint-Infrastruktur mit WSS 3.0 einrichten lässt.

Pav Cherny Windows PowerShell: Automatisieren der Verzeichnisverwaltung

Version 1 von Windows PowerShell bietet nicht sehr beeindruckende Active Directory-Verwaltungsfunktionen. Finden Sie heraus, wie Sie durch Verwendung von Add-Ins innerhalb von Windows PowerShell auf leistungsfähigere Weise mit Active Directory-Objekten arbeiten können.

Don Jones Hey, Scripting Guy!: Reguläre Ausdrücke

Die Scripting Guys besuchen den Louvre, versuchen sich als Kunstkritiker, und zeigen Ihnen, wie Sie reguläre Ausdrücke in einem Skript zum Suchen und Ersetzen verwenden.

The Microsoft Scripting Guys Sicherheit auf dem Prüfstand: Grundsätze der Quantensicherheit

Finden Sie heraus, wie die Heisenbergsche Unbestimmtheitsrelation und andere Elemente der Quantenphysik Aufschluss über zurzeit in Entwicklung befindliche Sicherheitsstrategien geben können. (Hinweis: Beim Schreiben dieses Artikels kamen übrigens keine Katzen zu Schaden.)

Jesper M. Johansson Die Desktopdateien: Vom Administrator zum Benutzer

Warum führen alle Benutzer Windows als Administrator aus? Wes Miller beschäftigt sich mit den Risiken, die auftreten, wenn Benutzer Windows als Administrator ausführen, sowie mit den Vorteilen, die sich ergeben, wenn Ihre Benutzer (Sie eingeschlossen!) Windows als Benutzer ausführen.

Wes Miller Berichte aus der Praxis: Mehrere Mäuse, ein PC

Was machen Sie, wenn in Schulklassen mehr Schüler vorhanden sind, als Computer zur Verfügung stehen? Microsoft Research India hat eine Lösung namens MultiPoint entwickelt, die es ermöglicht, gleichzeitig mehrere Mäuse mit einem Computer zu verwenden.

Kentaro Toyama Windows Confidential: 16-Bit-Symbole sind wirklich passé

Raymond Chen untersucht, warum Windows Vista keine 16-Bit-Symbole unterstützt, und fragt sich, ob das überhaupt jemandem aufgefallen ist.

Raymond Chen


 Windows-Verwaltung: Sichern und Wiederherstellen von Active Directory in Windows Server&#160;2008
Windows-Verwaltung Gil Kirkpatrick

Sichern und Wiederherstellen von Active Directory in Windows Server 2008
Auf einen Blick:
  • NTBACKUP und Windows Server-Sicherung
  • Sicherungstools und -optionen
  • Wiederherstellungstools und -optionen
  • Schlüssel zu einer soliden Active Directory-Sicherungsstrategie

Sie alle wissen, dass die Active Directory-Domänendienste (Active Directory Domain Services, ADDS) eine erfolgsentscheidende Komponente Ihrer Windows-Infrastruktur darstellen. Wenn Active Directory ausfällt, ist Ihr Netzwerk im Grunde nutzlos. Daher sind Ihre Sicherungs- und Wiederherstellungspläne für Active
Directory von grundlegender Bedeutung für die Sicherheit, Geschäftskontinuität und Einhaltung gesetzlicher Bestimmungen.
Mit Windows Server® 2008 werden viele neue Features für Active Directory® eingeführt. Zwei davon haben wesentliche Auswirkungen auf Ihre Sicherungs- und Wiederherstellungspläne: das neue Dienstprogramm „Windows Server-Sicherung“ und die Möglichkeit, Volumeschattenkopie-Dienstsnapshots von Active Directory zu erstellen und zu verwenden. In diesem Artikel erläutere ich, welche Änderungen diese Verbesserungen mit sich bringen und wie Sie diese Änderungen zur Optimierung Ihrer Active Directory-Sicherungsaktivitäten nutzen können.

NTBACKUP und Windows Server-Sicherung
Gruppenrichtlinieneinstellungen
Die Windows Server-Sicherung bietet mehrere Gruppenrichtlinieneinstellungen, über die Sie in bestimmtem Umfang steuern können, wie Sicherungen auf Ihren Servern funktionieren. Mit diesen Sicherungsrichtlinien können Sie einige Risiken verringern, die damit verbunden sind, dass nicht autorisierte Sicherungsvorgänge durchgeführt werden, um Zugriff auf nicht autorisierte Daten zu erhalten. Es stehen folgende Optionen zur Verfügung:
Nur Systemsicherung zulassen Wenn diese Einstellung festgelegt wird, können mit der Windows Server-Sicherung nur wichtige Systemvolumes gesichert werden. Es können keine Volumesicherungen durchgeführt werden. Lokal installierten Speicher als Sicherungsziel nicht zulassen Wenn diese Einstellung aktiviert ist, sind Sicherungen auf lokalen Laufwerken nicht zulässig. Sie können nur eine Netzwerkfreigabe als Sicherungsziel verwenden.
Netzwerk als Sicherungsziel nicht zulassen Diese Einstellung lässt die Sicherung auf einer Netzwerkfreigabe nicht zu.
Optische Medien als Sicherungsziel nicht zulassen Wenn diese Einstellung festgelegt wird, können mit der Windows Server-Sicherung keine Sicherungen auf einem optischen Gerät wie einem Laufwerk für beschreibbare DVDs durchgeführt werden.
Einmalig ausgeführte Sicherungen nicht zulassen Diese Einstellung lässt es nicht zu, dass mit der Windows Server-Sicherung ungeplante Ad-hoc-Sicherungen ausgeführt werden. Es können nur Sicherungsvorgänge ausgeführt werden, die mit dem MMC-Snap-In „Windows Server-Sicherung“ geplant wurden.

Das seit Windows NT® 3.5 bekannte und beliebte Dienstprogramm NTBACKUP ist nicht mehr vorhanden. An seine Stelle tritt die Windows Server-Sicherung. Bei diesem Tool handelt es sich nicht einfach um eine aufpolierte Version von NTBACKUP, sondern um eine vollkommen neue Sicherungstechnologie, die Sie zwingen wird, die Art und Weise zu überdenken, in der Sie Ihre Systeme sichern.
Obwohl die Windows® Server-Sicherung die einzige standardmäßige Sicherungslösung für Windows Server 2008 darstellt, werden durch sie die Features von NTBACKUP nicht 1:1 ersetzt. Der größte Unterschied besteht darin, dass die Windows Server-Sicherung eine Disk-to-Disk-Sicherungslösung ist und die Sicherung auf Band nicht unterstützt. Sie können Sicherungsabbilder auf direkt angeschlossenen Datenträgervolumes, auf Netzwerkfreigaben und sogar auf externen USB-Festplatten und beschreibbaren DVDs über mehrere Volumes erstellen. Die Sicherung auf Band ist jedoch nicht möglich. Damit keine Missverständnisse aufkommen: Sie können immer noch ein Bandlaufwerk an einen Server mit Windows Server 2008 anschließen und die mithilfe der Windows Server-Sicherung erstellten Sicherungsabbilder auf das Bandlaufwerk kopieren – hierzu müssen Sie aber die Software eines anderen Herstellers verwenden.
Während NTBACKUP ein dateibasiertes Sicherungs- und Wiederherstellungstool ist, handelt es sich bei der Windows Server-Sicherung um ein volume- und blockbasiertes Dienstprogramm. Bei der Windows Server-Sicherung wird die Sicherungsquelle als ein Satz von Volumes und jedes Volume als eine Sammlung von Datenträgerblöcken behandelt. Dies ist weitaus effizienter als die Sicherung von Dateien über das Dateisystem. Aufgrund des Prinzips von Sicherungen auf Blockbasis können bei der Windows Server-Sicherung auch Volumeschattenkopie-Dienstsnapshots zur Durchführung inkrementeller Sicherungen auf Blockebene sowie zum Erstellen von Snapshots auf dem Zielvolume verwendet werden, um die Verwendung mehrerer Sicherungen zu vereinfachen (und den von ihnen belegten Speicherplatz zu verringern).
Selbst wenn Sie vollständige Sicherungen durchführen, bietet die Windows Server-Sicherung einige hervorragende Möglichkeiten, Speicherplatz auf den Zieldatenträgern zu sparen. Sie können beispielsweise mehrere vollständige Sicherungen desselben Volumes durchführen. Da bei der Windows Server-Sicherung Volumeschattenkopie-Dienstsnapshots auf den Zieldatenträgern verwendet werden, auf denen die Sicherungsabbilder gespeichert werden, werden in den Snapshots nur die Blöcke gespeichert, die geändert wurden. Dadurch verringert sich der von mehreren vollständigen Sicherungen belegte Speicherplatz. Somit müssen nicht mehr mehrere Wiederherstellungsvorgänge zur Wiederherstellung einer inkrementellen Sicherung durchgeführt werden. Obwohl im Snapshot für jede Sicherung nur die Änderungen (Deltas) gespeichert werden, sorgt der Volumeschattenkopie-Dienst dafür, dass jede Sicherung vollständig erscheint.
Beachten Sie jedoch, dass Sie auf dem Ziel nur von den Vorteilen der Volumeschattenkopie-Dienstsnapshots profitieren können, wenn Sie Sicherungen auf einer lokalen Festplatte durchführen. Mit der Windows Server-Sicherung können keine Volumeschattenkopie-Dienstvorgänge für Sicherungen durchgeführt werden, die auf DVD oder Netzwerkfreigaben gespeichert werden.
Ein weiteres Plus der Windows Server-Sicherung besteht darin, dass die Sicherungsabbilder im VHD-Format (Virtual Hard Disk, virtuelle Festplatte) von Microsoft® gespeichert werden. Sie haben tatsächlich die Möglichkeit, ein Sicherungsabbild auf einem unter Microsoft Virtual Server 2005 ausgeführten virtuellen Computer als Volume bereitzustellen. Dabei können Sie einfach die virtuellen Festplatten auf einem virtuellen Computer bereitstellen und nach einer bestimmten Datei suchen, statt Testwiederherstellungen von Bändern durchführen zu müssen, um festzustellen, auf welchem Band sich die gewünschte Datei befindet. (Ein Wort der Warnung: Sie können einen virtuellen Computer nicht von einem Sicherungsabbild aus starten. Da die gesicherte Hardwarekonfiguration nicht der Konfiguration des virtuellen Computers entspricht, können Sie die Windows Server-Sicherung nicht als Tool für die Migration von physischen zu virtuellen Systemen verwenden.)
Die Volume- und Blockorientierung der Windows Server-Sicherung besitzt einen Nachteil. Da bei diesem neuen Tool die Sicherungsquelle als ein Satz von Volumes und Blöcken betrachtet wird, gestattet es Ihnen nicht, nur ausgewählte Dateien zu sichern. Sie müssen das gesamte Volume sichern. Noch problematischer ist es, dass Sie ein Sicherungsabbild standardmäßig nicht auf den Volumes speichern können, die gesichert werden. (Dieses Problem kann durch bestimmte Konfigurationseinstellungen umgangen werden. Weitere Informationen finden Sie unter support.microsoft.com/kb/944530.) Dies hat tiefgreifende Auswirkungen auf die Systemstatussicherung, auf die ich an späterer Stelle in diesem Artikel eingehen werde.

Installieren der Windows Server-Sicherung
Die Windows Server-Sicherung ist ein „Feature“ von Windows Server 2008 und wird nicht standardmäßig installiert. Bevor Sie eine Sicherung mit der Windows Server-Sicherung durchführen können, müssen Sie das Feature mit Server-Manager oder mit dem Befehlszeilenprogramm SERVERMANAGERCMD installieren:
C:\> servermanagercmd -install Backup-Features
Die Windows Server-Sicherung setzt sich aus zwei Unterfeatures zusammen: Windows Server-Sicherung und Befehlszeilentools. Beachten Sie, dass mit den Befehlszeilentools ein Satz von Windows PowerShellTM-Cmdlets und nicht das Befehlszeilentool WBADMIN.EXE gemeint ist. Daher müssen Sie das Windows PowerShell-Feature installieren, wenn Sie sich für die Installation beider Unterfeatures entscheiden.
Nach der Installation der Windows Server-Sicherung finden Sie das MMC-Snap-In (Microsoft Management Console) in Server-Manager unter dem Knoten „Speicher“ und im Menü „Verwaltung“. Wenn Sie die Windows Server-Sicherung auf einer Server Core-Installation von Windows Server 2008 installieren, verwenden Sie den Befehl OCSETUP (beachten Sie, dass beim Befehl OCSETUP zwischen Groß- und Kleinschreibung unterschieden wird):
C:\> ocsetup WindowsServerBackup
Eine vollständige Beschreibung des Installationsvorgangs finden Sie unter go.microsoft.com/fwlink/?LinkId=113146.
Beachten Sie, dass mit der Windows Server-Sicherung keine Abbilder wiederhergestellt werden können, die mit NTBACKUP erstellt wurden. Für dieses unwahrscheinliche Szenario hat Microsoft eine Downloadversion von NTBACKUP für Windows Server 2008 zur Verfügung gestellt (siehe go.microsoft.com/fwlink/?LinkId=113147).

Die Komponenten der Windows Server-Sicherung
Die Architektur der Anwendung Windows Server-Sicherung weist wesentliche Änderungen auf. Diese neue Sicherungslösung besteht aus vier Komponenten:
  • MMC-Benutzeroberfläche (WBADMIN.MCS)
  • Befehlszeilenschnittstelle
(WBADMIN.EXE)
  • Sicherungsdienst (WBENGINE.EXE)
  • Satz von Windows PowerShell-Cmdlets
Die Aufteilung der Anwendung in einen Client und einen Dienst bietet mehrere Vorteile, von denen der wichtigste in höherer Zuverlässigkeit besteht. Unabhängig davon, ob Sie eine Sicherung über den MMC-Client oder die Befehlszeilenschnittstelle starten, übernimmt der WBENGINE-Dienst den größten Teil der Arbeit. Die Clientprogramme melden lediglich den Status der Sicherung. Daher führt das Beenden des Clients nicht zu einer unvollständigen Sicherung. Der Client wird beendet, und der Dienst wird bis zum Abschluss der Sicherung weiter ausgeführt. Wenn Sie die Sicherung wirklich stoppen möchten, haben Sie natürlich die Möglichkeit dazu. Sie müssen diesen Vorgang jedoch explizit durchführen.
Ein weiterer Vorteil dieser geteilten Architektur besteht darin, dass Sie den Client zur Verwaltung von Sicherungen auf Remotecomputern verwenden können. Dies ist besonders nützlich, wenn Sie Computer mit einer Server Core-Installation von Windows Server 2008 sichern müssen.
Die Windows Server-Sicherung unterstützt eine Bare-Metal-Recovery (automatische Systemwiederherstellung) mithilfe der Windows-Wiederherstellungsumgebung (Windows Recovery Environment, WinRE), die auf den Installationsmedien von Windows Server 2008 enthalten ist. WinRE vereinfacht den Prozess der grundlegenden Wiederherstellung eines Servers. Im weiteren Verlauf dieses Artikels werde ich erklären, wie eine Bare-Metal-Recovery durchgeführt wird. Es ist erwähnenswert, dass die Windows Server-Sicherung mehrere Gruppenrichtlinieneinstellungen für die Verwaltung von Sicherungen unterstützt. Diese werden in der Randleiste „Gruppenrichtlinieneinstellungen“ beschrieben.

Volumeschattenkopie-Dienst
Bei der Windows Server-Sicherung wird der Volumeschattenkopie-Dienst auf drei verschiedene Arten verwendet. Wenn Sie in Windows Server 2008 eine vollständige Sicherung starten, erstellt die Anwendung zunächst eine Schattenkopie aller Quellvolumes. Hierdurch wird eine einheitliche Ansicht des Dateisystems bereitgestellt, mit der die Sicherungssoftware arbeiten kann. (Dies ist mit der Funktionsweise von NTBACKUP vergleichbar.) Die Windows Server-Sicherung kopiert dann Blöcke vom Quellvolume – Block für Block – auf das Sicherungsziel und erstellt so für jedes gesicherte Volume ein VHD-Abbild.
Sofern Sie nichts anderes festlegen, wird bei der Windows Server-Sicherung auch ein Snapshot des Quellvolumes erstellt, damit der Volumeschattenkopie-Dienst alle geänderten Blöcke auf dem Volume nachverfolgen kann. Dadurch können mit der Windows Server-Sicherung inkrementelle Sicherungen auf Blockebene erstellt werden, die nur das Lesen der geänderten Blöcke des Quellvolumes erfordern. Statt eine ganze Datei lesen und schreiben zu müssen, weil ein kleiner Teil der Datei geändert wurde, muss bei der Windows Server-Sicherung nur der Block gelesen und geschrieben werden, der geändert wurde.
Daraus ergeben sich äußerst effiziente inkrementelle Sicherungen, die jedoch mit zusätzlicher Datenträger-E/A für Schreibvorgänge auf dem Quellvolume verbunden sind. Wenn Sie ein besonders ausgelastetes oder leistungskritisches Volume sichern, sollten Sie den Volumeschattenkopie-Dienstsnapshot auf dem Quellvolume deaktivieren, indem Sie auf den Link „Leistungseinstellungen konfigurieren“ klicken und anschließend inkrementelle Sicherungen auf diesem Volume deaktivieren (siehe Abbildung 1).
Abbildung 1 Deaktivieren inkrementeller Sicherungen auf ausgelasteten Volumes
Abbildung 1 Deaktivieren inkrementeller Sicherungen auf ausgelasteten Volumes
Wenn die Sicherung abgeschlossen ist, wird durch die Windows Server-Sicherung ein Snapshot des Zielvolumes erstellt (sofern Sie die Sicherung auf einer lokalen Festplatte durchführen). Bei der nächsten Sicherung werden die VHD-Dateien auf dem Ziel überschrieben. Da vom Volumeschattenkopie-Dienst aber Schattenkopien des Zielvolumes verwaltet werden, sind effektiv mehrere Versionen jeder VHD-Datei vorhanden, die den einzelnen vollständigen Sicherungen entsprechen. Sie erhalten im Grunde mehrere vollständige Sicherungen zu den Kosten einer vollständigen Sicherung und der geänderten Blöcke.

Sichern auf Netzwerkfreigaben
Das Sichern auf einer Netzwerkfreigabe ist genauso einfach wie die Sicherung auf einem lokalen Volume. Der wesentliche Unterschied besteht darin, dass kein Volumeschattenkopie-Dienstsnapshot des Remotevolumes erstellt werden kann. Daher wird bei jeder vollständigen Sicherung die vorhergehende Sicherung überschrieben, sodass Sie auf einer Netzwerkfreigabe nur das aktuelle vollständige Sicherungsabbild jedes Servers erhalten. Aufgrund dieser Einschränkung können Sie den Windows Server-Assistenten für den Sicherungszeitplan nicht zum Planen von Sicherungen auf einer Netzwerkfreigabe verwenden. Sie können jedoch mithilfe der Windows-Aufgabenplanung das Befehlszeilenprogramm WBADMIN ausführen, um vollständige Sicherungen auf einer Netzwerkfreigabe durchzuführen. Wenn Sie sich dafür entscheiden, vollständige Sicherungen auf einer Netzwerkfreigabe auf diese Weise zu planen, sollten Sie für jede Sicherung den Zielordner ändern, um das Überschreiben früherer Sicherungen zu vermeiden.

Sichern auf beschreibbaren DVDs
Die Windows Server-Sicherung unterstützt auch Sicherungen auf optischen Medien wie z. B. beschreibbaren DVDs. Sie können zudem Sicherungssätze erstellen, die sich über mehrere Volumes erstrecken. Bei der Windows Server-Sicherung werden Sicherungen auf DVDs immer komprimiert. Das bedeutet, dass Sie nur vollständige System- oder Volumewiederherstellungen von DVD durchführen können. Bei Verwendung von DVDs unterstützt die Windows Server-Sicherung nicht die Systemstatussicherung und -wiederherstellung und auch keine Sicherungs- und Wiederherstellungsvorgänge auf Dateiebene. Darüber hinaus können Sie Sicherungen auf DVD nicht planen.

Systemstatussicherung und -wiederherstellung
Systemstatussicherungen, die (anstelle ganzer Volumes) nur ausgewählte Dateien und bestimmte Anwendungsdatenbanken umfassen, sind nützlich und oft unverzichtbar. In frühen Builds von Windows Server 2008 wurde jedoch die Systemstatussicherung und -wiederherstellung nicht unterstützt. Stattdessen wurden vom Sicherungstool nur wichtige Systemvolumes (d. h. alle für die Wiederherstellung und den Neustart des Betriebssystems und wichtiger Anwendungen erforderlichen Volumes) gesichert. Diese wichtigen Systemvolumes stellten das volumeorientierte Äquivalent einer Systemstatussicherung dar.
Als Reaktion auf das Feedback von Kunden nahm Microsoft Funktionen für die Systemstatussicherung und -wiederherstellung in die Windows Server-Sicherung auf. Die Anwendung erstellt mehrere VHD-Dateien (eine für jedes Volume, auf dem die Systemstatusdaten gehostet werden), kopiert jedoch nur die erforderlichen Dateien und Datenbanken auf die virtuellen Festplatten. Ein weiteres Problem besteht darin, dass bei der Durchführung einer Systemstatussicherung mit der Windows Server-Sicherung nicht wie beim normalen Sicherungsvorgang ein Snapshot des Zielvolumes erstellt wird. Stattdessen wird bei jeder Systemstatussicherung ein vollkommen neuer Satz von VHD-Dateien generiert. Das bedeutet, dass Sie nicht wie bei den auf Snapshots basierenden Volumesicherungen Speicherplatz einsparen können.
Sie können nur mit dem Befehlszeilenprogramm WBADMIN.EXE eine Systemstatussicherung durchführen – das MMC-Snap-In bietet diese Option nicht. Mit dem folgenden Befehl führen Sie eine Systemstatussicherung durch:
C:\> wbadmin start systemstatebackup
–backuptarget:e:
WBADMIN sichert dann die wichtigen Systemdateien und Anwendungsdatenbanken auf dem Zielvolume in einem für Systemstatussicherungen reservierten Ordner. Die Systemstatussicherung auf einem 32-Bit-Domänencontroller (DC) mit Windows Server 2008 und einer Standard-Verzeichnisinformationsstruktur (Directory Information Tree, DIT) umfasst etwas mehr als 6 GB. Dieser Wert ist um mehr als 5 GB höher als unter Windows Server 2003, was teilweise darauf zurückzuführen ist, dass die Windows Server-Sicherung zentrale Betriebssystemdateien erfasst, die mit NTBACKUP nicht gesichert wurden.
Wie zu erwarten, nimmt die Sicherung des Systemstatus auch mehr Zeit in Anspruch. Diese ersten Zahlen basieren natürlich auf einer Vorabversion des Betriebssystems. Sie müssen dies mit Sicherheit in Ihrer eigenen Umgebung testen, es ist jedoch wahrscheinlich, dass Sie größere Systemstatussicherungen (und längere Sicherungszeiten) einplanen müssen, wenn Sie Ihre Domänencontroller auf Windows Server 2008 umstellen.

Sichern eines Servers mit dem MMC-Snap-In
Wenn Sie das MMC-Snap-In „Windows Server-Sicherung“ ausführen (siehe Abbildung 2), haben Sie die Möglichkeit, einen Sicherungszeitplan einzurichten oder sofort eine Ad-hoc-Sicherung auszuführen. In diesem Fall wähle ich „Einmalsicherung“ aus, um sofort eine Sicherung durchzuführen.
Abbildung 2 MMC-Snap-In „Windows Server-Sicherung“
Abbildung 2 MMC-Snap-In „Windows Server-Sicherung“
Wie Sie in Abbildung 3 sehen, kann ich festlegen, ob alle Volumes auf dem Server oder nur die von mir ausgewählten Volumes gesichert werden sollen. Wenn ich „Vollständiger Server“ auswähle, werden mit der Windows Server-Sicherung alle bereitgestellten Volumes gesichert. Ich habe jedoch nicht die Möglichkeit, die Sicherung auf einer bereitgestellten Festplatte durchzuführen, sondern muss stattdessen eine beschreibbare DVD oder eine Netzwerkfreigabe verwenden.
Abbildung 3 Angeben aller oder ausgewählter Volumes im Dialogfeld „Sicherungskonfiguration auswählen“
Abbildung 3 Angeben aller oder ausgewählter Volumes im Dialogfeld „Sicherungskonfiguration auswählen“
In diesem Beispiel möchte ich die Sicherung auf einer lokalen Festplatte durchführen und wähle daher die Option „Benutzerdefiniert“ aus. In einem Dialogfeld kann ich die zu sichernden Volumes auswählen (siehe Abbildung 4). Bei der Windows Server-Sicherung ist das Kontrollkästchen „Systemwiederherstellung aktivieren“ standardmäßig aktiviert, sodass das Startvolume, das Betriebssystemvolume und alle anderen Volumes mit wichtigen Systemdateien und Anwendungsdatenbanken ausgewählt werden. Auf einem Domänencontroller gehören hierzu die Volumes, auf denen SYSVOL, Active Directory-DIT und Active Directory-Protokolle gehostet werden. Dies entspricht einer Systemstatussicherung, wobei jedoch alle wichtigen Volumes und nicht nur die wichtigen Dateien auf diesen Volumes gesichert werden. Tatsächlich habe ich sogar die Möglichkeit, eine Systemstatuswiederherstellung mithilfe eines Sicherungssatzes für die Systemwiederherstellung durchzuführen.
Abbildung 4 Auswählen zu sichernder Volumes
Abbildung 4 Auswählen zu sichernder Volumes
Nachdem ich den Zieltyp (lokales Laufwerk oder Netzwerkfreigabe) ausgewählt und das Ziel angegeben habe, werde ich von der Windows Server-Sicherung aufgefordert, eine VSS-Kopiesicherung oder eine vollständige VSS-Sicherung auszuwählen. Die Terminologie ist ein wenig verwirrend, da bei beiden Optionen die ausgewählten Volumes vollständig gesichert werden. Der Unterschied besteht darin, wie die Quelldateien von der Windows Server-Sicherung behandelt werden, nachdem sie gesichert wurden. Wenn Sie die Kopieoption auswählen, werden von der Windows Server-Sicherung keine weiteren Schritte für die gesicherten Dateien durchgeführt. Wenn Sie sich für die vollständige Sicherung entscheiden, wird das Archiv von der Windows Server-Sicherung zurückgesetzt.

Sichern eines Servers über die Befehlszeile
Wenn Sie ein Skript für den Sicherungsvorgang erstellen möchten oder einen Server auf einer Server Core-Installation sichern, können Sie das Befehlszeilenprogramm WBADMIN.EXE verwenden. WBADMIN bietet einen vollständigen Satz von Optionen, die im Grunde dieselben Funktionen wie das MMC-Snap-In erfüllen, einschließlich der Verwaltung von Sicherungszeitplänen.
Angenommen, ich möchte den WBENGINE-Dienst starten, der wiederum den Sicherungsvorgang durchführt. Ich gebe lediglich den folgenden Befehl ein:
C:\> wbadmin start backup –include:c:,d:
–backuptarget:e:
Um alle wichtigen Systemvolumes zu sichern, kann ich den folgenden Befehl eingeben:
C:\> wbadmin start backup -allcritical
–backuptarget:e:
Nach dem Starten der Sicherung wird WBADMIN weiter ausgeführt, und der Fortschritt der Sicherung wird angezeigt. Wenn ich WBADMIN beende, wird die Sicherung im Hintergrund fortgesetzt. Ich kann dann mit dem folgenden Befehl WBADMIN wieder mit einer laufenden Sicherung verbinden:
C:\> wbadmin get status
Wenn ich eine laufende Sicherung beenden möchte, gebe ich einfach folgenden Befehl ein:
C:\> wbadmin stop job

Planen von Sicherungen mit dem MMC-Snap-In
Der in die Windows Server-Sicherung integrierte Sicherungsplaner dient wirklich nur einem Zweck: der vereinfachten Planung täglicher vollständiger Systemsicherungen auf einem lokalen Datenträgervolume. Sie können den integrierten Planungsassistenten zur automatischen Rotation von Sicherungen zwischen mehreren Zielvolumes verwenden. Wenn Sie über problemlos austauschbare Festplatten verfügen (oder über USB angeschlossene Festplatten verwenden), können Sie mithilfe dieses Features einen Rotationsplan einrichten. Dabei entfernen Sie den Sicherungsdatenträger und lagern ihn außerhalb des Standorts. Für die nächste geplante Sicherung schließen Sie dann den ältesten Sicherungsdatenträger wieder an den Server an.
Mit dem Windows Server-Assistenten für den Sicherungszeitplan können Sie nur Sicherungen planen, die täglich stattfinden. Es gibt keine Möglichkeit, Sicherungen beispielsweise für Montag, Mittwoch und Freitag zu planen. Wenn Sie Ihre geplanten Sicherungen nicht täglich ausführen möchten, müssen Sie direkt mit der Windows-Aufgabenplanung arbeiten.
Wenn Sie eine geplante Sicherung auf einem lokalen Datenträger einrichten, übernimmt die Windows Server-Sicherung die Zuständigkeit für den Datenträger, wobei er formatiert, eine bestimmte Ordnerstruktur eingerichtet und der Zieldatenträger für Windows-Explorer unsichtbar gemacht wird. Der Zieldatenträger muss ein Basisvolume sein – mit der Windows Server-Sicherung können keine Sicherungen auf Datenträgern durchgeführt werden, die als dynamische Volumes konfiguriert sind.
Über das MMC-Snap-In können Sicherungen auf äußerst einfache Weise geplant werden. In diesem Beispiel klicke ich zuerst auf den Link „Sicherungszeitplan“ und gebe den Sicherungstyp und die zu sichernden Volumes an. Dann wird von der Windows Server-Sicherung das Dialogfeld „Sicherungszeit angeben“ angezeigt (siehe Abbildung 5).
Abbildung 5 Angeben der Uhrzeit für tägliche Sicherungen
Abbildung 5 Angeben der Uhrzeit für tägliche Sicherungen
Nach der Auswahl der Zeiten, zu denen die Sicherung stattfinden soll, kann ich die Volumes auswählen, auf denen ich die Sicherung durchführen möchte. In diesem Fall wähle ich wie in Abbildung 6 dargestellt das Sicherungsvolume E: aus. Die Windows Server-Sicherung versucht, ein geeignetes Zielvolume für Sie auszuwählen. Wenn jedoch der Datenträger, auf dem Sie die Sicherung durchführen möchten, nicht angezeigt wird, können Sie auf die Schaltfläche „Alle verfügbaren Datenträger anzeigen“ klicken, um alle angeschlossenen Datenträgergeräte anzuzeigen. Nachdem mehrere Bestätigungsdialogfelder angezeigt wurden, formatiert die Windows Server-Sicherung die Zielvolumes und plant den Sicherungstask mithilfe der Windows-Aufgabenplanung.
Abbildung 6 Angeben des Zieldatenträgers für eine geplante Sicherung
Abbildung 6 Angeben des Zieldatenträgers für eine geplante Sicherung
Bei jedem Abschluss einer geplanten Sicherung wird von der Windows Server-Sicherung ein Snapshot des Zielvolumes erstellt. Alle sieben Tage wird zudem ein neues Basisabbild erstellt. Die Aktivitäten werden in einem Protokoll unter „Microsoft/Backup/Operational“ erfasst. In diesem Protokoll können Sie prüfen, ob Ihre Sicherungen erfolgreich abgeschlossen wurden. Sie können Erfolgs- und Fehlerereignissen auch einen Task wie das Senden einer E-Mail-Nachricht zuordnen, damit Sie stets über den Status Ihrer geplanten Sicherungen informiert sind.

Planen von Sicherungen über die Befehlszeile
Wenn Sie Sicherungen auf einer Server Core-Installation planen oder lediglich ein Skript für den Vorgang erstellen möchten, können Sie den Sicherungszeitplan mithilfe der WBADMIN-Befehlszeile verwalten. Mit dem Befehl WBADMIN ENABLE BACKUP können Sie eine geplante Sicherung hinzufügen. Geben Sie dabei das Ziel, die Quelle und die geplante Uhrzeit folgendermaßen an:
C:\> wbadmin enable backup –addtarget:e:
-include:c:,d: -schedule:06:00,12:00,18:00
Mit diesem Befehl werden die Laufwerke C: und D: auf dem Laufwerk E: dreimal pro Tag gesichert: um 6:00 Uhr, 12:00 Uhr und 18:00 Uhr. Um alle wichtigen Systemvolumes zu sichern (anhand derer Sie eine Bare-Metal-Recovery oder eine Systemstatuswiederherstellung durchführen können), ersetzen Sie den Schalter –include durch –allcritical.
Mithilfe von WBADMIN können Sie auch alle geplanten Sicherungen folgendermaßen deaktivieren:
C:\> wbadmin disable backup
Durch diesen Befehl werden alle geplanten Sicherungsaufträge, die mit dem Windows Server-Assistenten für den Sicherungszeitplan erstellt wurden, gelöscht und alle Sicherungszielvolumes für die normale Verwendung freigegeben. Beachten Sie, dass Sie jederzeit das MMC-Snap-In WBADMIN für die Remoteverwaltung der Sicherungs- und Wiederherstellungsaktivitäten auf Server Core-Servern verwenden können.

Bare-Metal-Recovery eines Domänencontrollers
Eine der vielversprechendsten Verbesserungen für die Sicherung und Wiederherstellung besteht darin, wie WinRE in den Installationsvorgang integriert wurde. Wenn Sie Windows Server 2008 von den Installationsmedien starten, können Sie wie in Abbildung 7 dargestellt die Option „Computer reparieren“ auswählen. Ich weise darauf hin, weil sie leicht übersehen werden kann, wenn Sie nicht darauf achten.
Abbildung 7 Auf dem Installationsbildschirm ist die Option „Computer reparieren“ verfügbar
Abbildung 7 Auf dem Installationsbildschirm ist die Option „Computer reparieren“ verfügbar
Nachdem ich die Reparaturoption auf dem Installationsbildschirm ausgewählt habe, kann ich in Windows eine Wiederherstellungsoption auswählen (siehe Abbildung 8). In diesem Fall wähle ich „Windows Complete PC-Wiederherstellung“ aus, wodurch die Windows-Wiederherstellungsumgebung aufgerufen wird.
Abbildung 8 Angeben von Systemwiederherstellungsoptionen
Abbildung 8 Angeben von Systemwiederherstellungsoptionen
Nachdem Sie das Betriebssystem ausgewählt haben, das Sie reparieren möchten (in der Regel wird nur eine Option angezeigt), ermöglicht Ihnen WinRE die Auswahl der Sicherung, anhand derer die Wiederherstellung erfolgen soll. Standardmäßig wählt WinRE die neueste vollständige Systemsicherung aus. Sie können aber auch andere Sicherungen auf lokalen Datenträgern angeben oder das Netzwerk nach Sicherungen durchsuchen, die auf Dateifreigaben auf anderen Servern gespeichert wurden.
In meinem Beispiel wähle ich die neueste vollständige Systemsicherung aus. Mithilfe des nächsten Dialogfelds (siehe Abbildung 9) kann ich alle Datenträger formatieren und neu partitionieren, bevor sie wiederhergestellt werden. Diese Option bietet sich an, wenn das Problem, aufgrund dessen Sie die Wiederherstellung durchführen, durch einen Datenträgerfehler verursacht wurde oder Sie eines oder mehrere Laufwerke des Servers ausgetauscht haben.
Abbildung 9 Datenträger können vor der Wiederherstellung mühelos formatiert und neu partitioniert werden
Abbildung 9 Datenträger können vor der Wiederherstellung mühelos formatiert und neu partitioniert werden
Nachdem mehrere Bestätigungsdialogfelder angezeigt wurden, startet WinRE den Wiederherstellungsvorgang, und der Server wird neu gestartet. Dies stellt eine recht unkomplizierte Methode für die Durchführung einer Bare-Metal-Recovery auf einem Server dar.

Systemstatuswiederherstellung für einen Domänencontroller
Wenn Sie nach einem mit Active Directory zusammenhängenden Problem eine Wiederherstellung durchführen müssen – z. B. die Wiederherstellung einer gelöschten Organisationseinheit anhand einer Sicherung – sollten Sie einen früheren Status der ADDS-Datenbank wiederherstellen, statt das gesamte System wiederherzustellen. Obwohl Sie ADDS in Windows Server 2008 wie einen Dienst beenden können, müssen Sie dennoch den Server im Wiederherstellungsmodus für Verzeichnisdienste (Directory Services Restore Mode, DSRM) starten, um eine Systemstatuswiederherstellung auf einem Domänencontroller durchführen zu können.
Das Ändern der Startoptionen, damit Windows Server 2008 im DSRM gestartet wird, ist nicht mehr so einfach wie früher. Die gesamte Windows-Startumgebung wurde zur Unterstützung von Extensible Firmware Interface (EFI) überarbeitet, und die alte Datei „boot.ini“ ist nicht mehr vorhanden. Stattdessen wird der Startvorgang in Windows Server 2008 mithilfe von Startkonfigurationsdaten (Boot Configuration Data, BCD) gesteuert.
Die einfachste Möglichkeit zur Verwaltung der Startkonfigurationsdaten besteht in der Verwendung des Befehlszeilenprogramms BCDEDIT. Da zur Erläuterung aller Befehle und Optionen von BCDEDIT ein eigener Artikel erforderlich wäre, zeige ich Ihnen an dieser Stelle nur einige nützliche Beispiele.
Mit dem folgenden Befehl starten Sie einen Windows Server 2008-Domänencontroller im DSRM:
C:\> bcdedit /set safeboot dsrepair
Dadurch wird die safeboot-Option für den standardmäßigen Startladeprogrammeintrag festgelegt. Bei einer Neuinstallation von Windows Server 2008 ist nur ein Startladeprogrammeintrag vorhanden: WINLOAD.EXE. Mit dem folgenden Befehl entfernen Sie die safeboot-Option und starten im normalen Modus neu:
C:\> bcdedit /deletevalue safeboot
Um das Verfahren ein wenig zu vereinfachen, können Sie zwei Startladeprogrammeinträge auf Ihren Domänencontrollern konfigurieren – einen für den normalen Start und einen für den DSRM-Start. Auf diese Weise können Sie die Startoptionen in den Systemeinstellungen über das Dialogfeld „Starten und Wiederherstellen“ ändern. Mit dem folgenden Befehl fügen Sie einen Startladeprogrammeintrag hinzu:
C:\> bcdedit /copy {default}
/d "Directory Service Repair Mode"
Bei dieser Aktion wird durch Kopieren des standardmäßigen Startladeprogrammeintrags ein neuer Startladeprogrammeintrag erstellt. Die BCDEDIT-Anzeige sieht in etwa so aus:
The entry was successfully copied to
{c50d4710-a1f0-11dc-9580-0003ff402ae9}.
Die GUID identifiziert den neuen Eintrag. Legen Sie dann mit dem folgenden Befehl die safeboot-Option für den neuen Startladeprogrammeintrag in den Startkonfigurationsdaten fest:
C:\> bcdedit /set {<GUID for new entry>}
safeboot dsrepair
Jetzt können Sie über die Einstellungen im Dialogfeld „Starten und Wiederherstellen“ vom normalen Startmodus zum DSRM-Startmodus wechseln (siehe Abbildung 10).
Abbildung 10 Deaktivieren inkrementeller Sicherungen auf ausgelasteten Volumes
Abbildung 10 Deaktivieren inkrementeller Sicherungen auf ausgelasteten Volumes
Bevor Sie mithilfe von WBADMIN eine Systemstatuswiederherstellung starten, müssen Sie die Sicherung angeben, anhand derer Sie die Wiederherstellung durchführen möchten. Mit WBADMIN kann eine Systemstatuswiederherstellung mithilfe einer vollständigen Systemsicherung, einer Sicherung, die nur die wichtigen Systemvolumes enthält, oder einer Systemstatussicherung durchgeführt werden. In jedem dieser Fälle müssen Sie die Version der Sicherung angeben, die Sie verwenden möchten. Die einfachste Möglichkeit zur Ermittlung der verfügbaren Sicherungsversionen besteht in der Verwendung des folgenden WBADMIN-Befehls:
C:\> wbadmin get versions
WBADMIN zeigt dann die Sicherungsversionen so ähnlich wie die Informationen in Abbildung 11 an. Beachten Sie, dass jede Sicherung eine Sicherungszeit, ein Sicherungsziel, eine Versions-ID (bei der es sich übrigens um Startuhrzeit und -datum der Sicherung in Greenwich Mean Time handelt) und eine Liste der von der Sicherung unterstützten Arten von Wiederherstellungsvorgängen aufweist.
Figure 11 Identifizieren Sie für die Wiederherstellung verfügbare Sicherungen (Close Figure 11)
wbadmin 1.0 - Backup command-line tool
(C) Copyright 2004 Microsoft Corp.
Backup time: 11/30/2007 3:47 PM
Backup target: Fixed Disk labeled E:
Version identifier: 11/30/2007-22:47
Can Recover: Application(s), System State
Backup time: 12/1/2007 10:46 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/02/2007-05:46
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/2/2007 5:58 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/03/2007-00:58
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/3/2007 11:25 AM
Backup target: Fixed Disk labeled E:
Version identifier: 12/03/2007-18:25
Can Recover: Application(s), System State
In diesem Fall wähle ich die neueste Sicherung aus und starte die Systemstatuswiederherstellung mit dem folgenden WBADMIN-Befehl:
C:\> wbadmin start systemstaterecovery
–version:12/03/2007-18:25
Dadurch wird eine nicht autorisierende Wiederherstellung durchgeführt. Wenn Sie eine autorisierende Wiederherstellung von SYSVOL durchführen möchten, können Sie einfach das wiederhergestellte SYSVOL-Replikat als autorisierend markieren, indem Sie dem WBADMIN-Befehl die authsysvol-Option hinzufügen. Weitere Informationen zu diesem Vorgang finden Sie unter go.microsoft.com/fwlink/?LinkId=113152.

Erstellen von Active Directory-Snapshots
Eine der interessantesten Änderungen im Hinblick auf die Active Directory-Sicherung hat überhaupt nichts mit der Windows Server-Sicherung zu tun. In Windows Server 2008 können Sie den Umstand nutzen, dass Active Directory Volumeschattenkopie-Dienstsnapshots bereitstellen kann. Diese Snapshots sind sehr einfache, zeitpunktgenaue Sicherungen des ausgeführten Active Directory-Diensts. Hinzu kommt, dass sie innerhalb weniger Sekunden erstellt werden können. Sie können diese Snapshots dann bereitstellen und mit normalen LDAP-basierten Dienstprogrammen wie dem LDP-Tool auf sie zugreifen.
Snapshots von ADDS oder Active Directory Lightweight Directory Services (ADLDS) werden wie folgt mit dem NTDSUTIL-Befehl erstellt:
ntdsutil: snapshot
snapshot: activate instance ntds
Active instance set to "ntds".
snapshot: create
Creating snapshot...
Snapshot set {42c44414-c099-4f1e-8bd8-4453ef2534a4} generated successfully.
snapshot: quit
ntdsutil: quit
Durch diese Folge von NTDSUTIL-Befehlen wird ein Volumeschattenkopie-Dienstsnapshot der Volumes erstellt, die Active Directory-DIT und -Protokolle sowie SYSVOL enthalten. Obwohl Active Directory immer noch aktualisiert wird, verwendet der Volumeschattenkopie-Dienst eine „Kopie-bei-Schreibvorgang“-Strategie, um sicherzustellen, dass die von Ihnen erstellten Snapshots ordnungsgemäß verwaltet werden. Beachten Sie, dass die Snapshots keine vollständige Kopie der DIT sind. Bei ihnen handelt es sich in Wirklichkeit nur um eine Sammlung von Datenträgerblöcken in der DIT, die seit der Erstellung des Snapshots geändert wurden. Durch Kombinieren dieser Blöcke mit der aktuellen Kopie der DIT kann VSS die Active Directory-DIT genau so wie zum Zeitpunkt der Erstellung des Snapshots darstellen. Abbildung 12 zeigt, wie alte oder nicht mehr benötigte Snapshots gelöscht werden.
Figure 12 Löschen Sie nicht mehr benötigte Snapshots (Close Figure 12)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: delete 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>

Bereitstellen von Active Directory-Snapshots
Um einen dieser Snapshots verwenden zu können, müssen Sie zuerst den Volumeschattenkopie-Dienst anweisen, den Snapshot im Dateisystem zur Verfügung zu stellen. Hierzu listen Sie mithilfe des ntdsutil-Befehls die verfügbaren Snapshots auf und stellen dann den gewünschten Snapshot bereit (siehe Abbildung 13).
Figure 13 Bereitstellen eines Snapshot mittels ntdsutil (Close Figure 13)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: mount 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>
Mit dem Befehl „list all“ werden alle verfügbaren Active Directory-Snapshots aufgelistet, die derzeit vom Volumeschattenkopie-Dienst verwaltet werden. Mithilfe des Befehls „mount 1“ werden die ausgewählten Snapshots der Active Directory-DIT- und -Protokollvolumes bereitgestellt und im Dateisystem zur Verfügung gestellt. Sie befinden sich unter C:\$SNAP_200712032318_VOLUMEC$\ und C:\$SNAP_200712032318_VOLUMED$\.
In diesen Ordnern wird der gesamte Inhalt dieser Volumes zu dem Zeitpunkt angezeigt, zu dem der Snapshot erstellt wurde. Beachten Sie jedoch, dass die bereitgestellten Snapshots schreibgeschützt sind, sodass Sie keine der Dateien im bereitgestellten Snapshot ändern können.

Wiederherstellen von Daten mithilfe von Active Directory-Snapshots
Die Aufgabe, die Snapshots der Volumes bereitzustellen, die Active Directory-Daten enthalten, mutet ein wenig wie ein Zaubertrick an. Wie können Sie an die in diesen Snapshots enthaltenen Active Directory-Daten gelangen? Das Geheimnis besteht im DSAMAIN-Befehl. Dies ist die ausführbare Datei, die ADLDS ausführt. Im Grunde handelt es sich dabei um einen eigenständigen LDAP-Server, der nahezu seinen gesamten Code mit ADDS gemeinsam verwendet. Mithilfe von DSAMAIN können Sie die bereitgestellten Snapshots wie einen schreibgeschützten LDAP-Server erscheinen lassen, der die Active Directory-Daten so enthält, wie sie zum Zeitpunkt der Erstellung des Snapshots vorlagen.
Betrachten Sie den folgenden Befehl:
C:\> dsamain –dbpath
c:\$snap_200712032318_volumed$\ntds\dit
\ntds.dit -ldapport 10000
Dadurch wird die im Ordner „c:\$snap_200712032318_volumed$\ntds\dit“ befindliche Datei „ntds.dit“ bereitgestellt und für LDAP-Operationen auf TCP-Port 10000 (oder dem von Ihnen angegebenen geöffneten Port) zur Verfügung gestellt. DSAMAIN öffnet den LDAPS-Port (den für LDAP über SSL-Funktionen verwendeten Port) auf dem Port mit der um 1 erhöhten Nummer des von Ihnen angegebenen Ports (in diesem Fall 10001), den GC-Port (den für Verbindungen zum globalen Katalog verwendeten Port) auf dem Port mit der um 2 erhöhten Nummer des angegebenen Ports (10002) und den GCS-Port (Global Catalog over Secure Sockets Layer) auf dem Port mit der um 3 erhöhten Nummer des angegebenen Ports (10003).
Sie können mit jedem LDAP-Programm (z. B. mit LDP) auf die bereitgestellte DIT auf dem angegebenen Port zugreifen. In Windows Server 2008 wurden jedoch die Snap-Ins für Active Directory-Benutzer und -Computer (Active Directory Users and Computers, ADUC), Active Directory-Standorte und -Dienste und Active Directory-Domänen und -Vertrauensstellungen sowie ADSIEDIT geändert, damit Sie sie mithilfe von DSAMAIN mit einer DIT verbinden können. Wenn Sie im Navigationsbereich eines ADUC-Snap-Ins mit der rechten Maustaste auf den Knoten der höchsten Ebene klicken und „Domänencontroller ändern“ auswählen, wird das in Abbildung 14 dargestellte Dialogfeld angezeigt. Wenn Sie einfach den Namen oder die IP-Adresse des Servers, auf dem der bereitgestellte Snapshot gehostet wird, zusammen mit dem Port (in meinem Beispiel localhost:10000) eingeben, stellt ADUC eine Verbindung zum bereitgestellten Snapshot her, sodass Sie den Inhalt des Verzeichnisses, wie er zum Zeitpunkt der Snapshoterstellung vorlag, durchsuchen können. Erstaunlich, nicht wahr?
Abbildung 14 Verbinden von Active Directory-Benutzern und -Computern mit einem bereitgestellten Snapshot
Abbildung 14 Verbinden von Active Directory-Benutzern und -Computern mit einem bereitgestellten Snapshot
Durch die Möglichkeit, auf diese Weise auf Verzeichnisdaten zuzugreifen, können viele Arten von Datenwiederherstellungsaufgaben viel einfacher als zuvor durchgeführt werden. Zur Wiederherstellung eines gelöschten Objekts anhand einer Sicherung mussten Sie beispielsweise zuerst eine nicht autorisierende Wiederherstellung der Sicherung auf einem vorhandenen Domänencontroller und dann eine autorisierende Wiederherstellung des gelöschten Objekts durchführen. Wenn die von Ihnen wiederhergestellte Sicherung nicht die richtigen Daten enthielt, mussten Sie mit einer anderen Sicherung wieder von vorn beginnen. Jetzt können Sie gelöschte Daten durch Wiederbeleben von Tombstones und mithilfe von Snapshots umgehend finden und wiederherstellen und müssen dafür nicht einmal den Domänencontroller offline schalten.
Es gibt jedoch einige Einschränkungen. So erhöht sich durch jeden aktiven Snapshot die mit Schreibvorgängen im Verzeichnis verbundene Datenträger-E/A. Daher sollten auf einem Produktionsdomänencontroller wahrscheinlich jeweils nicht mehr als ein oder zwei Snapshots aktiv sein. Je länger Snapshots aktiv bleiben, desto größer wird der Deltaspeicher des Volumeschattenkopie-Diensts, was ebenfalls die Leistung beeinträchtigen kann. Zudem stellt das einfache Wiederherstellen eines gelöschten Objekts nur den ersten Teil des Wiederherstellungsproblems dar. Sie müssen wahrscheinlich auch die verknüpften Attribute des Objekts, beispielsweise Gruppenmitgliedschaften, wiederherstellen. Sogar in diesem Fall kann Ihnen der Snapshot bei der Identifizierung aller Gruppen helfen, deren Mitglied das gelöschte Objekt war.

Eine solide Sicherungs- und Wiederherstellungsstrategie für Active Directory
Mit Windows Server 2008 wird ein vollkommen neues Sicherungs- und Wiederherstellungssystem eingeführt. Einige der Änderungen können anfangs Tränen und Zähneknirschen verursachen. Nachdem die IT-Organisationen diese Änderungen jedoch akzeptiert und die neue Sicherungstechnologie in ihre täglichen Abläufe eingebunden haben, erhalten sie schließlich eine effektivere Sicherungs- und Wiederherstellungsimplementierung.
Trotz all der Änderungen bei der Art und Weise, auf die Sie Server in Windows Server 2008 sichern, ändert sich nur wenig an der grundlegenden Strategie für das Sichern und Wiederherstellen von Active Directory. Berücksichtigen Sie daher bei der Planung Ihrer Strategie unbedingt die folgenden bewährten Methoden:
  • Planen Sie regelmäßige vollständige Systemsicherungen, damit Sie einen Domänencontroller nach einem Hardwarefehler wiederherstellen können. Wie häufig Sie vollständige Sicherungen eines Domänencontrollers planen, hängt davon ab, wie oft Ihre Daten aktualisiert werden, wie leicht Sie Ausfallzeiten und/oder Datenverluste hinnehmen können und wie aufwändig es ist, den Domänencontroller vollständig wiederherzustellen.
  • Planen Sie häufige Systemstatussicherungen, um Active Directory-Änderungen aufzuzeichnen. Wie häufig Sie Systemstatussicherungen durchführen, hängt von Ihrer Toleranz gegenüber Active Directory-Datenverlusten ab. Sie sollten eine solche Sicherung jedoch mindestens einmal pro Tag vornehmen. Wenn Sie über die erforderliche Hardware verfügen, speichern Sie mindestens ein oder zwei Systemstatussicherungen auf einem lokalen Datenträger, und kopieren Sie ältere Systemstatusversionen auf eine DVD oder eine Netzwerkfreigabe.
  • Führen Sie Systemstatussicherungen auf mindestens zwei Domänencontrollern in jeder Domäne durch. Dadurch sind Sie in bestimmtem Umfang abgesichert, wenn eine der Sicherungen fehlerhaft oder nicht verfügbar ist.
Sichern Sie Domänencontroller unbedingt mit Replikaten von Anwendungspartitionen, wenn Sie diese definiert haben. Ziehen Sie auch die Erstellung einer WinRE-Partition auf Ihren Domänencontrollern in Betracht, damit Sie schnell in der Windows-Wiederherstellungsumgebung starten können, falls ein wichtiges Systemlaufwerk ausfällt. 

Gil Kirkpatrick ist CTO von NetPro und entwickelt seit 1996 Software für Active Directory. Zusammen mit Guido Grillenmeier von HP bietet er die beliebten Workshops zur Active Directory-Notfallwiederherstellung an. Gil ist darüber hinaus Gründer der Directory Experts Conference (siehe www.dec2008.com).
© 2007 Microsoft Corporation und CMP Media, LLC. Alle Rechte vorbehalten. Die nicht genehmigte teilweise oder vollständige Vervielfältigung ist nicht zulässig.


 Windows-Verwaltung: Entwerfen funktionierender Organisationseinheitsstrukturen
Windows-Verwaltung Ken St. Cyr

Entwerfen funktionierender Organisationseinheitsstrukturen
Auf einen Blick:
  • Hauptprinzipien für das Entwerfen von Organisationseinheiten
  • Modelle für den Organisationseinheitsentwurf
  • Dokumentieren des Organisationseinheitsentwurfs

Unterschätzen Sie nicht die Bedeutung – und Komplexität – des Entwerfens einer guten Organisationseinheitsstruktur. Ich habe festgestellt, dass IT-Abteilungen häufig in eines von zwei Extremen verfallen:
Entweder messen sie der Struktur der Organisationseinheiten zu viel Bedeutung zu – oder nicht genug. Beides kann zu Problemen mit Ihrem Active Directory®-Modell führen.
Durch Überbetonung der Organisationseinheitsstruktur geraten andere Bereiche des Active Directory-Entwurfs aus dem Blickfeld, beispielsweise die Planung der Standorttopologie oder Überlegungen zur Größe des Domänencontrollers. Wenn andererseits die Planung der Organisationseinheiten in den Hintergrund gerät, wirkt sich dies negativ auf Gruppenrichtlinien und Delegierung aus.
Eine der Ausreden, die ich gelegentlich gehört habe, lautet, dass die Struktur der Organisationseinheiten flexibel ist und zu einem späteren Zeitpunkt geändert werden kann, falls sie nicht passt. Es stimmt, dass die Struktur der Organisationseinheiten flexibel ist. Administratoren stellen jedoch häufig fest, dass die spätere Änderung der Organisationseinheitsstruktur schwieriger ist als ursprünglich angenommen. Natürlich können neue Organisationseinheiten hinzugefügt werden – die alten Organisationseinheiten lassen sich jedoch nicht ohne weiteres bereinigen.
Eine schlecht geplante Organisationseinheitsstruktur entwickelt oft ein Eigenleben. Wenn ein neues Objekt im Verzeichnis erstellt wird und der Administrator nicht weiß, wo er es in der Organisationseinheitsstruktur platzieren muss, erstellt er entweder eine neue Organisationseinheit oder fügt das Objekt an einer Stelle ein, an die es nicht gehört. Beide Szenarios sind mit Gefahren verbunden. Eine neue Organisationseinheit lässt sich zwar mühelos erstellen, aber langfristig nur schwer überwachen. Die planlose Erstellung von Organisationseinheiten trägt zu einer chaotischen Organisationseinheitsstruktur bei, und es schleichen sich leicht undokumentierte Elemente in das Verzeichnis ein. Wenn Sie andererseits ein Objekt zu einer vorhandenen Organisationseinheit hinzufügen, in die es nicht wirklich gehört, könnten dem neuen Objekt Richtlinien zugewiesen werden, die es nicht erhalten sollte, oder Berechtigungen für das Objekt könnten an andere als die vorgesehenen Benutzer delegiert werden.
Beim Entwerfen von Organisationseinheitsstrukturen sollten Sie eine einfache Gleichung beachten: Einfachheit + Anpassungsfähigkeit = Nachhaltigkeit. Wenn Ihr Entwurf zu einfach ist, kann er möglicherweise nicht angepasst werden und muss daher zu oft geändert werden. Ist Ihr Entwurf zu anpassungsfähig, ist alles bis ins Kleinste aufgeschlüsselt, was eine zu hohe Komplexität mit sich bringt.
Es gibt drei Hauptprinzipien hinsichtlich Gruppenrichtlinien, Delegierung und Objektverwaltung, auf die Sie sich bei Ihrer Entwurfsentscheidung stützen können. Diese Prinzipien können in Form von drei Fragen zusammengefasst werden, die Sie sich stellen sollten, um sicherzustellen, dass sich die Organisationseinheitsstruktur, die Sie erstellen, langfristig und bei organisatorischen Änderungen bewährt:
  1. Muss diese Organisationseinheit erstellt werden, damit ein eindeutiges Gruppenrichtlinienobjekt auf sie angewendet werden kann?
  2. Muss eine bestimmte Gruppe von Administratoren über Berechtigungen für die Objekte in dieser Organisationseinheit verfügen?
  3. Wird diese neue Organisationseinheit die Verwaltung der in ihr enthaltenen Objekte vereinfachen?
Wenn die Antwort auf eine dieser Fragen „Ja“ lautet, sollten Sie die Organisationseinheit wahrscheinlich erstellen. Lautet die Antwort auf alle drei Fragen „Nein“, sollten Sie das Layout überdenken und feststellen, ob ein anderer Entwurf vielleicht besser passt. Bevor ich jedoch näher darauf eingehe und Ihnen zeige, wie Sie diese Prinzipien anwenden, sollte ich zuerst erklären, warum diese Prinzipien so wichtig sind.

Prinzip 1: Gruppenrichtlinie
Das erste Prinzip des Entwurfs von Organisationseinheiten besteht darin, die Gruppenrichtlinienobjekte zu berücksichtigen, die auf eine Organisationseinheit angewendet werden. Ein Gruppenrichtlinienobjekt (Group Policy Object, GPO) ermöglicht es Ihnen, Einstellungen für Benutzer und Computer auf durchsetzbare Weise zu konfigurieren. Sie können mehrere GPOs in Active Directory definieren und sie auf die gesamte Domäne, verschiedene Organisationseinheiten oder sogar auf die Standorte in der Domäne anwenden. GPOs werden in zwei Kategorien eingeteilt – eine für Benutzer und eine für Computer.
In ein und demselben GPO können sowohl Computerrichtlinien als auch Benutzerrichtlinien definiert werden. Im Abschnitt „Benutzerkonfiguration“ des GPO wird hauptsächlich die Funktionalität für angemeldete Benutzer definiert. Diese Arten von Einstellungen sind im Abschnitt „Computerkonfiguration“ ebenfalls vorhanden, er enthält jedoch weitere Einstellungen, die mit der Sicherheit des Computers in Verbindung stehen, z. B. welche Benutzer sich lokal beim Computer anmelden können oder wie Daten verschlüsselt werden.
Bei der Definition von Organisationseinheiten zur Unterstützung von GPOs sollten die folgenden Grundsätze beachtet werden. Zunächst einmal gilt: Nur weil Benutzer- und Computerrichtlinien im gleichen GPO definiert werden können, bedeutet dies nicht, dass es empfehlenswert ist, Benutzer- und Computerobjekte in der gleichen Organisationseinheit zu platzieren. Durch ihre Kombination im gleichen GPO wird die Problembehandlung bei der GPO-Anwendung erschwert. Dies wird schnell offensichtlich, wenn Sie eine Loopbackrichtlinie aktiviert haben.
Darüber hinaus vergessen viele Leute, dass GPOs auf Standortebene angewendet werden können, und entwerfen daher ihre Organisationseinheitsstrukturen so, dass ihre Standortstruktur für die GPO-Anwendung modelliert wird. Dabei handelt es sich um ein allgemeines Modell für den Entwurf von Organisationseinheiten, das als „geografisches Modell“ bezeichnet wird. Ich werde an späterer Stelle näher auf dieses Modell eingehen. Es wäre nachlässig, nicht anzuerkennen, dass das geografische Modell beim Entwerfen von Organisationseinheiten seine Berechtigung hat. Wie Sie jedoch später sehen werden, bin ich nicht davon überzeugt, dass die GPO-Anwendung der Hauptgrund für die Implementierung dieses Modells sein sollte.
Wenn bei Ihrer Organisationseinheitsstruktur GPOs im Vordergrund stehen, sollte zudem das Ziel verfolgt werden, Komplexität zu beseitigen. Stellen Sie sicher, dass die Organisationseinheit zum Fluss der GPO-Vererbung beiträgt. Wenn Ihre Organisationseinheit Server enthält, die die gleiche Richtlinie wie andere Server erfordern, sollten Sie die Möglichkeit in Betracht ziehen, diese Computerobjekte unter einer breiter gefassten Organisationseinheit namens „Server“ anzuordnen und mehrere Organisationseinheiten für unterschiedliche Servertypen unterhalb der Organisationseinheit „Server“ zu erstellen (siehe Abbildung 1). Dies kann die Richtlinienanwendung vereinfachen, da jedes Computerobjekt in den untergeordneten Organisationseinheiten die Richtlinie von der Organisationseinheit „Server“ sowie alle anderen Richtlinien erhält, die speziell für diesen Servertyp gelten.
Abbildung 1 Erstellen mehrerer Organisationseinheiten für unterschiedliche Servertypen
Abbildung 1 Erstellen mehrerer Organisationseinheiten für unterschiedliche Servertypen
Ein weiterer Grundsatz besteht darin sicherzustellen, dass Sie nicht ohne zwingenden Grund mehrere GPOs erstellen oder verknüpfen. Mit einem GPO können Sie eine Richtlinie erstellen und sie auf mehrere Organisationseinheiten anwenden. Dies ist manchmal hilfreich, kann aber auch gefährlich sein. Wenn Sie eine GPO-Einstellung ändern müssen und über ein übermäßig komplexes System verknüpfter GPOs verfügen, besteht das Risiko, dass Sie eine Änderung versehentlich auf die falschen Objekte anwenden. Je mehr Verknüpfungen Sie erstellen, desto schwerer lässt sich der Geltungsbereich einer Richtlinie erfassen. Sie sollten ebenso die Erstellung zusätzlicher Richtlinien vermeiden, die die gleichen Einstellungen wie andere Richtlinien besitzen. Wenn Sie feststellen, dass dies häufig vorkommt, sollten Sie die Änderung Ihrer Organisationseinheitsstruktur für die Anwendung eines neuen GPO-Vererbungsmodells in Erwägung ziehen.
Sie sollten auch in nahezu allen Fällen eine neue Organisationseinheit für Benutzerobjekte und Computerobjekte erstellen. Standardmäßig werden Benutzer- und Computerobjekte in Containern platziert, die es nicht zulassen, dass Sie GPOs direkt mit ihnen verknüpfen. GPOs können über die Domäne auf die Container „Benutzer“ und „Computer“ angewendet werden. Wenn Sie die Vererbung nicht an anderer Stelle blockieren, werden diese Richtlinien aber auf jeden Benutzer und Computer in der Domäne angewendet. In Windows Server® 2003 können Sie mithilfe der Tools „rediruser.exe“ und „redircomp.exe“ den Standardspeicherort für Benutzer- und Computerobjekte in die Organisationseinheit ändern, die Sie für sie erstellt haben.

Prinzip 2: Delegierung
Es ist wichtig, dass Sie die Organisationseinheitsstruktur so erstellen, dass sie der Art und Weise entspricht, auf die Berechtigungen in der Domäne delegiert werden. Beachten Sie, dass bei der Delegierung von Berechtigungen in Active Directory die Berechtigungsänderungen nur am Objekt vorgenommen werden. Wenn Sie einem Benutzer Vollzugriff für ein bestimmtes Computerobjekt gewähren, könnte diese Person daher die Attribute des Objekts ändern, verfügt jedoch nicht über Administratorrechte für den Computer selbst.
Wenn Sie eine Organisationseinheitsstruktur entwerfen, werden die folgenden Methoden im Hinblick auf die Delegierung empfohlen:
Berücksichtigen Sie beim Entwerfen die Berechtigungsvererbung Angenommen, Sie möchten beispielsweise, dass Ihre Administratoren der Stufe 1 das Kennwort für die meisten Konten ändern können. Es gibt eine spezielle Gruppe von Benutzern, für die die Administratoren nicht die Möglichkeit zum Zurücksetzen von Kennwörtern haben sollten, die Administratoren müssen jedoch die Anzeigenamen dieser Konten ändern können.
In diesem Fall haben Sie zwei Möglichkeiten: Einerseits könnten Sie zwei separate, parallele Organisationseinheiten erstellen und die speziellen Benutzer von den regulären Benutzern trennen. Wenn Sie die Delegierungsoptionen für alle Benutzer ändern möchten, bedeutet dies jedoch, dass Sie diese Berechtigungen an zwei verschiedenen Stellen ändern müssen. Dies widerspricht zudem dem Grundsatz, nicht ohne zwingenden Grund mehrere Richtlinien zu verknüpfen (siehe Abbildung 2).
Abbildung 2 Verwaltung von zwei separaten, parallelen Organisationseinheiten
Abbildung 2 Verwaltung von zwei separaten, parallelen Organisationseinheiten
Die andere Option besteht darin, eine geschachtelte Organisationseinheit zu erstellen und explizit die Berechtigung für die Organisationseinheit zu verweigern, die spezielle Benutzer enthält. Jeder Delegierungsexperte kann Ihnen sagen, dass explizites Verweigern nicht empfehlenswert ist – in diesem Fall müssen Sie jedoch das kleinere von zwei Übeln wählen (siehe Abbildung 3). Sie können entweder die Einstellungen für zwei separate Organisationseinheiten duplizieren und verwalten oder für eine der Organisationseinheiten die Berechtigung explizit verweigern. Das explizite Verweigern ist tatsächlich langfristig die bessere Entscheidung.
Abbildung 3 Explizites Verweigern der Berechtigung
Abbildung 3 Explizites Verweigern der Berechtigung
Achten Sie auf AdminSDHolder Dieses Beispiel funktioniert gut, sofern die speziellen Benutzer nicht alle zu einer der Administratorgruppen (Domänen-Admins, Schema-Admins, Organisations-Admins oder Administratoren) gehören, da Berechtigungen für Konten in diesen Gruppen anders behandelt werden. Dahinter steht der Gedanke, dass Sie nicht versehentlich einem Benutzer Berechtigungen für ein Administratorkonto erteilen möchten.
Wenn Sie eine separate Organisationseinheit für Administratoren erstellen, werden Sie feststellen, dass die an sie delegierten Berechtigungen immer wieder verschwinden. Dies wird durch AdminSDHolder verursacht, einen speziellen Container, dessen Zugriffssteuerungsliste in bestimmten Intervallen auf jedes Administratorkonto angewendet wird. Daher werden alle Delegierungsänderungen, die Sie an einem Administratorkonto vornehmen, rückgängig gemacht, wenn die Änderungen nicht auch am AdminSDHolder-Container vorgenommen werden. Daher sollten Sie Administratorkonten nicht zwecks Delegierung von anderen Konten trennen. Für Gruppenrichtlinien ist die Trennung der Administratorkonten jedoch vorzuziehen – dies gilt insbesondere in Windows Server 2008, wo mehrere Kennwortrichtlinien vorhanden sein können.

Prinzip 3: Objektverwaltung
Die Organisationseinheit sollte die Verwaltung der Objekte erleichtern. Durch die Gruppierung von Objekten in derselben Organisationseinheit kann die Durchführung von Massenänderungen häufig vereinfacht werden. Mithilfe des Snap-Ins „Active Directory-Benutzer und -Computer“ können Sie bestimmte Attribute für mehrere ausgewählte Objekte bearbeiten. Wenn Sie ein Attribut für eine Gruppe von Objekten regelmäßig ändern müssen, ist dieser Vorgang einfacher, wenn sie sich alle in der gleichen Organisationseinheit befinden.
Dies ist zudem besonders nützlich, wenn Sie mithilfe eines Skripts Aktualisierungen durchführen. Anhand von Skriptsprachen können alle Objekte in einer Organisationseinheit auf äußerst einfache Weise aufgelistet und einzeln behandelt werden. Eine andere Möglichkeit besteht darin, jedes Objekt einzeln zu suchen und zu ändern. Manchmal bleiben Ihnen pro Woche mehrere Stunden unnötiger Arbeit erspart, wenn Sie die Objekte zur Verwaltung einfach in der gleichen Organisationseinheit platzieren.
Eine weitere Möglichkeit zur einfacheren Verwaltung der Objekte besteht darin, die Objekte in Abhängigkeit von ihrem Typ auf verschiedene Organisationseinheiten aufzuteilen. Durch Erstellen einer separaten Organisationseinheit für Druckerobjekte oder veröffentlichte Freigaben wird sichergestellt, dass diese Objekte nicht aussortiert werden müssen, wenn Sie Verwaltungsaufgaben für andere Objekte in der Organisationseinheit durchführen. Diese Methode entspricht auch dem Grundsatz, Benutzer- und Computerkonten nicht zusammen in derselben Organisationseinheit zu gruppieren.

Auswählen eines Modells
Nachdem ich nun die Prinzipien für das Entwerfen von Organisationseinheiten erläutert habe, kann ich näher auf einige verbreitete Entwurfsmodelle eingehen. Beachten Sie, dass es neben den in diesem Artikel beschriebenen Modellen viele weitere Modelle gibt. Sie müssen sich auch nicht auf ein einziges Modell beschränken, sondern können Teile verschiedener Modelle auswählen und daraus ein eigenes Hybridmodell entwickeln, das Ihre speziellen Anforderungen erfüllt.
Nahezu jedes Modell kann im kleinen Rahmen erfolgreich sein, aber wenn Ihr Unternehmen wächst, wird es immer schwerer, den Überblick über die Umgebung zu behalten. Stellen Sie daher sicher, dass Sie Ihr Modell zuerst in einer angemessenen Testumgebung gründlich testen. Sie sollten auch Folgendes nicht vergessen: Obwohl Organisationseinheitsstrukturen anfangs problemlos geändert werden können, wird dies immer schwieriger, je länger sie bestehen.

Das flache Modell
Das flache Modell verdankt seinen Namen der Tatsache, dass es größtenteils flach gehalten wird. In diesem Modell enthalten einige wenige grundlegende Organisationseinheiten die Mehrheit der Objekte (siehe Abbildung 4). Dieses Modell wird zumeist in kleineren Unternehmen verwendet, in denen es nur eine kleine IT-Abteilung gibt, nicht viele verschiedene Geschäftsbereiche vorhanden sind oder Mitarbeiter in der Regel mehrere Rollen übernehmen. Ich empfehle normalerweise, mit nicht mehr als 10 Ebenen untergeordneter Organisationseinheiten zu arbeiten, obwohl es laut Microsoft erst bei Überschreitung eines Grenzwerts von 15 Ebenen zu Leistungseinbußen kommt.
Abbildung 4 Das flache Modell umfasst einige wenige grundlegende Organisationseinheiten, die die Mehrheit der Objekte enthalten
Abbildung 4 Das flache Modell umfasst einige wenige grundlegende Organisationseinheiten, die die Mehrheit der Objekte enthalten
Wenn Ihr Verantwortlicher für Personalfragen auch für die Lohn- und Gehaltsabrechnung verantwortlich ist, ist es nicht sinnvoll, zwei separate Organisationseinheiten für Personalabteilung und Gehaltsbuchhaltung zu erstellen. Beim flachen Modell können alle Benutzerobjekte in einer großen Organisationseinheit mit der Bezeichnung „Konten“ gruppiert werden, oder sie können im Standardcontainer „Benutzer“ gespeichert werden. Zumindest sollten Ihre Benutzerobjekte von Ihren Computerobjekten getrennt werden.
Für dieses Modell empfehle ich zudem, dass Sie einen Schritt weitergehen und Ihre Arbeitsstationen von den Servern trennen. Dann können Sie zumindest verschiedene Gruppenrichtlinien anwenden, ohne ein GPO definieren zu müssen, bei dem eine WMI-Abfrage (Windows® Management Instrumentation, Windows®-Verwaltungsinstrumentation) zum Herausfiltern von Arbeitsstationen oder Servern verwendet wird.
Ein Vorteil einer flachen Organisationseinheitsstruktur gegenüber einer tiefen Struktur besteht darin, dass die Active Directory-Suche schneller ausgeführt wird. Ich empfehle in der Regel, nicht mehr als 10 Ebenen untergeordneter Organisationseinheiten zu verwenden. Ihre Kontrolle über Objekte ist in diesem Modell nicht sehr präzise, was jedoch auch nicht erforderlich ist, wenn Sie Objekte in einem Kleinunternehmen verwalten. Daraus folgt, dass sich dieses Modell in einem großen Unternehmen nur schwer mit Erfolg implementieren ließe, in kleineren Organisationen funktioniert es jedoch sehr gut.

Das geografische Modell
Beim geografischen Modell erstellen Sie für unterschiedliche geografische Regionen separate Organisationseinheiten. Dieses Modell eignet sich am besten für Organisationen, die über dezentrale IT-Abteilungen verfügen, die aber die mit dem Betrieb mehrerer Domänen verbundenen Kosten vermeiden möchten (siehe Abbildung 5).
Abbildung 5 Beim geografischen Modell werden Organisationseinheiten nach geografischer Region getrennt
Abbildung 5 Beim geografischen Modell werden Organisationseinheiten nach geografischer Region getrennt
Angenommen, Sie verfügen über Niederlassungen in Atlanta, Baltimore und Seattle. Wenn jeder Standort seine eigenen Benutzer und Computer verwaltet, könnte dieses Modell im Hinblick auf die Delegierung gut passen. Was geschieht jedoch, wenn ein Benutzer aus Seattle zu einer Schulung nach Baltimore fliegt und dann versehentlich sein Konto sperrt? Die IT-Mitarbeiter in Baltimore können diesem Benutzer möglicherweise nicht helfen, wenn keine Berechtigungen für das Konto des Benutzers an sie delegiert wurden. Wenn es in Baltimore 8 Uhr morgens ist, ist es in Seattle erst 5 Uhr, sodass der Benutzer unter Umständen Stunden warten muss, bevor er in der Niederlassung Seattle jemanden erreicht, der ihm weiterhelfen kann.
Einige globale Unternehmen verwenden ein „Follow-the-Sun“-Modell, bei dem Helpdeskanrufe an einen Standort in einer Zeitzone weitergeleitet werden, in der gerade die Standardgeschäftszeiten herrschen. Dies bedeutet, dass das Unternehmen nicht an jedem Standort ein 24-Stunden-Helpdesk unterhalten muss, aber dennoch Mitarbeitern bei Bedarf zu später Stunde Hilfe bieten kann, beispielsweise beim Entsperren ihrer Konten.
Wenn Sie mit diesem Modell arbeiten, ist die Erstellung separater Organisationseinheiten auf Grundlage des geografischen Standorts wahrscheinlich nicht die beste Wahl für Ihre betrieblichen Anforderungen. Sie müssten an jeden regionalen Helpdesk separate Berechtigungen für jede Benutzerorganisationseinheit delegieren. Wenn Ihre Standorte aber über eigene IT-Abteilungen verfügen, könnte das geografische Modell tatsächlich für Ihre Organisation gut geeignet sein.
Das geografische Modell lässt sich zudem aufgrund der speziellen Funktionsweise einer Domäne nur schwer in einer einzelnen Domäne implementieren. In der Regel verfügen alle Domänen über verschiedene Sicherheitsmodelle. Dies tritt klarer zutage, wenn Sie eine unternehmensweite Anwendung wie Microsoft® Exchange betrachten.
Für den Exchange-Server in Atlanta wurden möglicherweise andere E-Mail-Richtlinien definiert, aber wahrscheinlich werden auf alle Exchange-Server im Unternehmen die gleichen GPOs angewendet. Wenn dies der Fall ist, würde die Platzierung der Exchange-Server in separaten Organisationseinheiten auf Basis der Region dazu führen, dass Sie ein und dasselbe GPO unnötigerweise mit mehreren Organisationseinheiten verknüpfen. Hinsichtlich der Delegierung müssen Sie sich fragen, ob die Exchange-Administratoren für die Exchange-Server wirklich eindeutige Berechtigungen für die Computerobjekte benötigen. In den meisten Fällen werden Computerobjekte für die Anwendung von Gruppenrichtlinien und nicht für Delegierungszwecke in geografische Organisationseinheiten eingeteilt.

Das typbasierte Modell
Beim typbasierten Modell werden Objekte nach ihrem Zweck klassifiziert (siehe Abbildung 6). Haben Sie Ihr letztes Benutzerobjekt für ein reguläres Benutzerkonto, ein Administratorkonto oder ein Dienstkonto erstellt? Bei einem typbasierten Modell wird jedes dieser Objekte anders behandelt.
Abbildung 6 Beim typbasierten Modell werden Objekte entsprechend ihrer Funktion gruppiert
Abbildung 6 Beim typbasierten Modell werden Objekte entsprechend ihrer Funktion gruppiert
In den meisten Fällen sollten Sie bei Richtlinien zwischen verschiedenen Klassifizierungen von Benutzerobjekten unterscheiden. Ihre Richtlinien unterscheiden sich höchstwahrscheinlich in Abhängigkeit vom Typ des Benutzerkontos. So ist es beispielsweise im Allgemeinen nicht empfehlenswert, dass sich Benutzer mit einem Dienstkonto bei einem Computer anmelden können. Die Kennwörter von Dienstkonten werden in der Regel von vielen Personen gemeinsam verwendet, sodass ein Benutzer, der sich mit einem Dienstkonto anmeldet, anonym bleibt. Würde etwas passieren, hätten Sie Probleme, den Benutzer aufzuspüren, der beim Eintreten des Ereignisses angemeldet war. Bei diesem Beispiel müssten Sie eine Richtlinie für Dienstkonten festlegen, die eine interaktive Anmeldung verhindert. Dies passt gut in das in Abbildung 3 dargestellte hierarchische Modell.
In diesem Fall könnten Sie die GPO-Vererbung zu Ihrem Vorteil nutzen. Sie könnten beispielsweise eine Richtlinie für alle Benutzer erstellen, die auf für alle Benutzerobjekte festgelegte Richtlinien verweist. Darüber hinaus könnte eine separate und eindeutige Richtlinie für Dienstkonten vorhanden sein, die auf der Richtlinie für alle Benutzer aufbaut. Mit diesem Ansatz stellen Sie sicher, dass für Ihre Dienstkonten der gleiche Basissatz an Richtlinien wie für jedes andere Konto sowie die spezifischen Anmeldeeinschränkungen gelten.
Dieser Ansatz eignet sich auch gut für die Delegierung, bei der Sie die Berechtigungsvererbung statt der GPO-Vererbung verwenden. Angenommen, Sie möchten, dass Administratoren der Stufe 2 Kennwörter für alle Konten außer den Konten der Administratoren der Stufe 3 zurücksetzen können. Bei einer flachen Organisationseinheitsstruktur müssten Sie an jede Organisationseinheit, die Benutzerkonten enthält, Berechtigungen delegieren. Bei einem typbasierten Modell mit einer hierarchischen Struktur können Sie der Gruppe der Stufe 2 Berechtigungen zum Zurücksetzen von Kennwörtern für die Organisationseinheit „Konten“ erteilen. Dann können Sie bei der Organisationseinheit der Stufe 3 einfach die Vererbung der Berechtigungen aufheben oder sogar der Gruppe der Stufe 2 explizit das Zurücksetzen von Kennwörtern verweigern.
Dies funktioniert auch gut für Computerobjekte. Server und Arbeitsstationen können getrennt werden, sodass unterschiedliche Richtlinien auf sie angewendet werden können. Die Server können dann nach ihrer Funktion weiter unterteilt werden (siehe Abbildung 1). Bei diesem Entwurf können Sie eine allgemeine Richtlinie für die Organisationseinheit „Server“ festlegen, die für alle Server gilt, und gleichzeitig für jede untergeordnete Organisationseinheit individuelle Richtlinien einrichten.
Angenommen, Sie verfügen über ein MOM-Dienstkonto (Microsoft Operations Manager). Bei diesem mehrstufigen Modell können Sie ein MOM-GPO erstellen und es auf die MOM-Server-Organisationseinheit anwenden. In diesem GPO können Sie dann dem MOM-Dienstkonto Rechte für die Anmeldung als Dienst erteilen. Dies würde nur für die MOM-Server in dieser Organisationseinheit gelten. Die MOM-Server erhalten immer noch das GPO „Server“ von der übergeordneten Organisationseinheit „Server“, jedoch auch das spezielle MOM-GPO, das mit der MOM-Organisationseinheit verknüpft ist.

Dokumentieren des Entwurfs
Der Entwurf einer Organisationseinheitsstruktur, der die vielen Änderungen, denen eine Active Directory-Umgebung unterliegt, nichts anhaben können, kann sehr lohnenswert sein. Sie benötigen aber eine Methode für die Überwachung der dynamischen Merkmale von Organisationseinheiten. Andernfalls könnten Sie schnell die Übersicht über Ihre Umgebung verlieren. Wenn Änderungen unbedingt erforderlich sind und eine Organisationseinheit hinzugefügt oder gelöscht werden muss, müssen hierfür klare Leitfäden vorhanden sein, um sicherzustellen, dass Ihr Modell weiterhin mit Ihrem Entwurfsmodell und den drei Leitprinzipien in Einklang steht. Daher müssen Sie über einen gründlich dokumentierten Entwurf verfügen.
Microsoft stellt Dokumentationsanleitungen im Windows Server Resource Kit zur Verfügung. Diese Anleitungen sind hilfreich, wenn es sich bei Ihrer Struktur um ein stabiles Framework handelt, das wahrscheinlich keinen großen Änderungen unterliegen wird. Die meisten Organisationen verfügen jedoch über eine äußerst dynamische Struktur, die sich häufig ändert. Daher folgen nun einige wichtige Tipps, wie sichergestellt werden kann, dass Ihre Organisationseinheitsstruktur gut dokumentiert ist und eine dynamische Umgebung unterstützen kann.
Stellen Sie sicher, dass alle Informationen relevant sind Ich bin ein großer Anhänger zweckdienlicher Dokumentation. Zu viele Betriebsdokumente enthalten so viele belanglose Informationen, dass es schwer ist, die wirklich wichtigen Punkte zu finden. Erstellen Sie Dokumentation nicht nur um der Dokumentation willen. Müssen Sie wirklich die Anzahl der Objekte in jeder Organisationseinheit oder jeden Zugriffssteuerungseintrag (Access Control Entry, ACE) der Zugriffssteuerungsliste für die Organisationseinheit einbeziehen? Zur Dokumentation von Organisationseinheiten genügen in der Regel die folgenden Informationen:
  • Name der Organisationseinheit
  • Kurze Beschreibung
  • Ersteller oder Kontaktperson bezüglich Informationen oder Änderungen
  • Erstellungsdatum
Erschweren Sie Aktualisierungen nicht unnötig Wenn Sie ein komplexes Microsoft Word-Dokument mühsam aktualisieren müssen, ist es wahrscheinlicher, dass Sie die Eingabe von Aktualisierungen aufschieben. Es ist in Ordnung, wenn Sie die Eingabe kleinerer Änderungen zurückstellen, wenn Sie wissen, dass Sie demnächst eine größere Menge von Aktualisierungen eingeben müssen. Leider werden diese kleinen Änderungen häufig vergessen oder einfach immer wieder aufgeschoben, sodass die Aufgabe nie erledigt wird. Daher muss sich das Dokument äußerst einfach aktualisieren lassen, damit Sie nicht entmutigt werden. In den meisten Fällen erfüllt eine einfache Microsoft Excel®-Tabelle mit wenigen Spalten diesen Zweck einwandfrei.
Fügen Sie Kommentare in das Objekt selbst ein Organisationseinheitsobjekte verfügen über ein Beschreibungsattribut, in das Sie Kommentare aufnehmen können. Statt die Kommentare in das Entwurfsdokument zu schreiben, sollten Sie in Betracht ziehen, sie in das Beschreibungsattribut einzufügen, damit andere Benutzer sofort erkennen können, welchem Zweck die Organisationseinheit dient. Wenn Sie weitere Details einbeziehen müssen, fügen Sie eine kurze Beschreibung in das Beschreibungsattribut sowie weitere Einzelheiten in das Dokument für die Organisationseinheit ein.
Automatisieren Sie die Dokumentation Es kann ein Skript geschrieben werden, um die Inhalte der Organisationseinheitsstruktur in eine Textdatei, eine Excel-Tabelle oder sogar eine HTML-Datei auszugeben. Dieses Skript könnte im Rahmen eines geplanten Tasks immer nachts ausgeführt werden. Dies kann äußerst nützlich sein, wenn Sie Kommentare in das Beschreibungsfeld der Organisationseinheit einfügen. Dann müssen Sie lediglich das Beschreibungsattribut in die Datei ausgeben und verfügen automatisch über eine vollständig dokumentierte Organisationseinheitsstruktur, die immer auf dem neuesten Stand ist. Wenn Sie bei jeder Ausführung des Skripts eine neue Datei erstellen, statt das vorhandene Dokument zu überschreiben, erhalten Sie ein Verlaufsprotokoll der Änderungen, die im Laufe der Zeit an der Organisationseinheitsstruktur vorgenommen wurden.
Leider erkennen die meisten Administratoren die Bedeutung einer gründlichen Dokumentation der Organisationseinheitsstruktur erst, wenn sie wirklich darauf angewiesen sind. Dann ist es zu fortgeschrittener Stunde ohne Durchführung einer Wiederherstellung fast unmöglich festzustellen, welche Organisationseinheiten versehentlich gelöscht wurden.
Warten Sie nicht, bis Ihnen das passiert. Ich empfehle nachdrücklich, dass Sie in diesem Bereich proaktiv handeln und sofort mit der Erstellung eines Dokuments zu den Organisationseinheiten beginnen und eine Person benennen, die für seine Aktualisierung verantwortlich ist. Wenn Sie die Regel beherzigen, dass sich die Dokumentation problemlos aktualisieren lassen sollte, ist dies auf lange Sicht eine vergleichsweise kleine Aufgabe. 

Ken St. Cyr ist als Berater für Microsoft tätig und verfügt über 10 Jahre Erfahrung in der IT-Branche. Er entwickelt und implementiert seit der Einführung von Active Directory darauf basierende Verzeichnislösungen.


 Windows-Verwaltung: Erweitern des Active&#160;Directory-Schemas
Windows-Verwaltung Vikas Malhotra

Erweitern des Active Directory-Schemas
Auf einen Blick:
  • Grundlagen des standardmäßigen Active Directory-Schemas
  • Hinzufügen von classSchema- oder attributeSchema-Objekten
  • Abrufen und Verwenden von Objektbezeichnern
  • Erweitern des Schemas mithilfe von .ldif-Dateien
Laden Sie den Code für diesen Artikel herunter: Schema2008_05.exe (151KB)

Seit der Einführung von Active Directory mit der Veröffentlichung von Windows 2000 hat Microsoft für Kunden die Basisschemadefinition zum Implementieren von Active Directory bereitgestellt.
Der Einsatz von Active Directory® hat auch eine Änderung bei der Entwicklung und Implementierung zahlreicher Anwendungen unter Windows® bewirkt. Bis zu diesem Zeitpunkt verfügten Anwendungen wie Microsoft® Exchange 5.5 über ihre eigene Verzeichnisstruktur. Mit der Einführung von Active Directory nutzten zahlreiche Anwendungen (sowohl von Microsoft als auch von anderen Unternehmen) die Vorteile der zugrunde liegenden Struktur von Active Directory, statt ein eigenes Schema neu zu entwickeln.
Diese Anwendungen nutzten die grundlegende Architektur von Active Directory und erweiterten sie nach Bedarf. Microsoft Exchange 2000 verwendet Active Directory z. B. zur Implementierung von Messaging, was zur Definition der zukünftigen Messagingarchitektur von Microsoft geführt hat.
Heute sind zahlreiche Anwendungen, die für die Verwendung in einer Active Directory-Umgebung entwickelt wurden, für ihr Funktionieren vom zugrunde liegenden Schema abhängig und definieren die eigenen Änderungen basierend auf dem Schema. Dies setzt natürlich ein erweiterbares Schema voraus, wie ich in diesem Artikel erläutern werde. Darüber hinaus ist die kontinuierliche Stabilität des Hauptschemas unerlässlich, da zahlreiche Anwendungen von den grundlegenden Definitionen in Active Directory abhängen. Da viele Anwendungen nebeneinander im gleichen Active Directory ausgeführt werden, muss es möglich sein, Änderungen für eine Anwendung vorzunehmen, die sich nicht auf andere Anwendungen auswirken.

Was ist ein Schema?
Für viele ist das Active Directory-Schema ein Buch mit sieben Siegeln, und viele würden sich nicht trauen, eine eigene Änderung des Schemas vorzunehmen. Eine Erweiterung des Active Directory-Schemas muss natürlich nicht jeden Tag vorgenommen werden, bestimmte Anwendungen oder Geschäftsanforderungen können dies jedoch erforderlich machen. Es ist daher wichtig zu wissen, was genau ein Schema ist und welche Komponenten in einem Schema enthalten sind, da es sich bei Active Directory um eine wichtige Ressource in vielen Organisationen handelt. Eine fehlerhafte Funktion von Active Directory aufgrund einer nicht korrekten Aktualisierung kann daher schwerwiegende Auswirkungen haben.
Viele Organisationen erwägen als Strategie den Einsatz von Active Directory Lightweight Directory Service (ADLDS) in Windows Server® 2008 (oder Active Directory Application Mode, ADAM, unter Windows Server 2003) als Alternative zum Testen oder zur direkten Implementierung der angepassten Schemadefinitionen statt der Erweiterung des Active Directory-Schemas.
Bei einem Schema handelt es sich um die zugrunde liegende Struktur, die das Format für einen Verzeichnisdienst bereitstellt. Das Active Directory-Schema definiert die Objektklassen und Attribute, die in Active Directory Domain Services (ADDS) verwendet werden. Das Hauptschema bietet Definitionen für viele bekannte Klassen (z. B. user, computer und organizationalUnit) und Attribute (z. B. telephoneNumber und objectSID). Die Objekte in der Hauptschemadefinition werden als Objekte der Kategorie 1 und Objekte, die hinzugefügt werden, als Objekte der Kategorie 2 bezeichnet.
Ein Active Directory-Schema befindet sich im Container, der unter dem Pfad „cn=Schema,cn=Configuration,dc=X“ definiert ist, wobei es sich bei X um den Namespace der Active Directory-Struktur handelt. Beachten Sie, dass eine Active Directory-Struktur lediglich ein Schema enthält. Änderungen der Schemadefinition in einer Struktur wirken sich auf alle Domänen in der Struktur aus. Abbildung 1 zeigt die Anzahl an Klassen und Attributen, die dem Active Directory-Schema in verschiedenen Versionen von Windows Server hinzugefügt sind.
Figure 1 Anzahl an Klassen und Attributen (Close Figure 1)

Version | Anzahl hinzugefügter Attribute | Anzahl hinzugefügter Klassen | Schemaerweiterungsdateien
Windows Server 2003 | 208 | 49 | Sch14.ldf bis sch30.ldf
Windows Server 2003 R2 | 81 | 29 | Sch31.ldf
Windows Server 2008 | 136 | 10 | Sch32.ldf bis sch44.ldf
Die Aktualisierung des Schemas für verschiedene Versionen von Windows Server wird über ein Dienstprogramm namens „Adprep“ durchgeführt. Über die Updates für Windows Server 2003 R2 wird die Schemaversion auf 31 und über Windows Server 2008 auf 44 aktualisiert.
Dies kann überprüft werden, indem der Wert des Attributs „objectVersion“ in cn=Schema,cn=Configuration,dc=X in Ihrem Active Directory mithilfe eines Tools wie ADSIEdit geprüft wird. Beachten Sie, dass einige Anwendungen wie z. B. Exchange Server, System Management Server (SMS) oder andere Anwendungen, die auf Active Directory basieren, das Schema entsprechend der Anwendungsanforderungen ändern können.

Fakten
Active Directory verfügt über zwei Objekttypen: ClassSchema (kurz Klasse) und attributeSchema (kurz Attribut). Eine Erweiterung des Active Directory-Schemas wird in der Regel in Betracht gezogen, wenn eine Organisation Daten in bestimmten Attributen speichern möchte, die nicht im vorhandenen Schema verfügbar sind. Attribute in einem Active Directory-Schema werden erstellt, indem zuerst ein attributeSchema-Objekt im Schemacontainer festgelegt und dann die erforderlichen Eigenschaften für das neue Objekt definiert werden.
Eine Liste der Eigenschaften für das attributeSchema-Objekt sowie weitere relevante Informationen finden Sie unter go.microsoft.com/fwlink/?LinkId=110445. Es gibt zahlreiche Eigenschaften, die für attributeSchema-Objekte definiert werden können. Einige dieser Eigenschaften sind obligatorisch.
Neben den allgemeinen Attributen in einem Schema gibt es auch besondere Attribute, die als verknüpfte Attribute bezeichnet und in Paaren implementiert werden, indem diese einen Forwardlink und einen Backwardlink bereitstellen. Ein Beispiel hierfür ist die Gruppenmitgliedschaft in Active Directory. Bei dem Mitgliedsattribut einer beliebigen Gruppe (z. B. eine Gruppe namens „ContosoEmployees“ mit einem Mitglied namens John Doe) handelt es sich um den Forwardlink und bei dem entsprechenden memberOf-Attribut des Mitgliedobjekts um den Backlink (das heißt, wenn das memberOf-Attribut für John Doe abgefragt wird, wird der Distinguished Name (oder DN) der Gruppe „ContosoEmployees“ berechnet).
Der Forwardlink verhält sich wie andere Attribute. Das Attribut kann einen oder mehrere Werte enthalten (wie das Mitgliedattribut, das mehrere Objekte als Mitglieder einer Gruppe enthalten kann), und die Werte werden zusammen mit dem übergeordneten Objekt im Verzeichnis gespeichert.
Backlinks hingegen werden vom System verwaltet, um die referentielle Integrität sicherzustellen. Wenn Sie den Wert für ein Backlink-Attribut abfragen, werden die Ergebnisse aus allen relevanten Forwardlink-Werten berechnet. Backlinks verfügen immer über mehrere Werte.
Jede Objektklasse in ADDS ist über ein classSchema-Objekt im Schemacontainer definiert. Eine Liste mit Attributen, die für eine erfolgreiche Definition des classSchema-Objekts erforderlich sind, finden Sie unter go.microsoft.com/fwlink/?LinkId=110445.
Es gibt drei Klassentypen, die angegeben werden können: Strukturklassen, abstrakte Klassen und Erweiterungsklassen. Diese werden über den Wert des objectClassCategory-Attributs definiert. (Eine vierte Kategorie, die auch als 88 bekannt ist, enthält Klassen, die vor X.500-1993-Standards definiert wurden. Dieser Klassentyp wird über den Wert 0 im objectClassCategory-Attribut angegeben. Der Klassentyp sollte nicht mehr definiert werden.)

Abrufen und Verwenden von Objektbezeichnern
Die Identitäten der einzelnen classSchema- und attributeSchema-Objekte im Verzeichnis werden über einen obligatorischen Objektbezeichner (OID) definiert, der wiederum über governsID für classSchema-Objekte und attributeID für attributeSchema-Objekte definiert ist. Hierbei handelt es sich um eindeutige numerische Werte, die von bestimmten Ausgabestellen zur Identifikation von Objekten bereitgestellt werden. Die Nummerierung wird über die Definition des LDAP-Protokolls (RFC 2251) gesteuert. Einige OIDs im Active Directory-Schema werden von der International Organization for Standardization (ISO) und einige von Microsoft veröffentlicht. Ein OID muss für ein Objekt innerhalb des Verzeichnisses eindeutig sein.
Beim OID handelt es sich um eine Zeichenfolge, z. B. 1.2.840.113556.1.y.z (siehe Abbildung 2). Der OID für ein classSchema-Benutzerobjekt lautet z. B. 1.2.840.113556.1.5.9.
Figure 2 Bezeichner für das Benutzerobjekt (Close Figure 2)

Wert | Verwendung | Beschreibung
1 | ISO | Identifiziert die Stammzertifizierungsstelle.
2 | ANSI | Von ISO zugewiesene Gruppenbezeichnung.
840 | USA | Von der Organisation zugewiesener Länder-/Regionscode.
113556 | Microsoft | Vom Land bzw. der Region zugewiesene Organisationsbezeichnung.
1 | Active Directory | Von Organisation zugewiesen (in diesem Fall von Microsoft).
Y | Objekttyp | Zahl, über die die unterschiedlichen Objekttypen (Kategorie) wie classSchema oder attributeSchema definiert werden. Durch 5 wird z. B. die object-Klasse definiert.
Z | Objekt | Zahl, über die ein bestimmtes Objekt innerhalb der Kategorie identifiziert wird. Der user-Klasse ist z. B. die Zahl 9 zugewiesen.
Wenn eine Organisation beabsichtigt, das Schema zu erweitern, wird sichergestellt, dass der OID eindeutig ist, indem die Organisation eine eigene OID-Stammnummer erhält. Die Stammnummer stellt dann eindeutige IDs für die neuen Objektklassen und Attribute bereit, die von der Organisation erstellt werden. Der OID-Stamm kann direkt über eine ISO-NRA (National Registration Authority) erlangt werden. (In den USA handelt es sich hierbei um das American National Standards Institute, ANSI.)
Informationen zum Verfahren und zu Gebühren für den Erhalt eines Stamm-OID finden Sie unter ansi.org. Wenden Sie sich in anderen Ländern an die entsprechende ISO-Organisation. Eine Liste der Organisationen finden Sie unter iso.org/iso/about/iso_members.htm.
Früher konnten Organisationen einen OID von Microsoft per e-Mail unter schemreg@microsoft.com anfordern. Dies führt jetzt jedoch zu einer automatisierten Antwort, die den anfordernden Benutzer auffordert, das VBScript unter go.microsoft.com/fwlink/?LinkId=110453 herunterzuladen und auszuführen.
Für OIDs, die von Microsoft ausgegeben werden, wird die Zahl innerhalb des Zahlenbereichs für Microsoft-OIDs zugewiesen: 1.2.840.113556.1.8000.x, wobei es sich bei x um eine eindeutige Zahl handelt, die der Organisation zugewiesen wird. Die Organisation kann die OIDs teilen, um die Objekte zu spezifizieren. Eine Organisation kann daher 1.2.840.113556.1.8000.x.1.y für neue classSchema-Objekte und 1.2.840.113556.1.8000.x.2.z für attributeSchema-Objekte verwenden (wobei es sich bei x um die eindeutige Zahl der Organisation und bei y und z um die Zahlen handelt, die bestimmten classSchema- und attributeSchema-Objekten zugewiesen sind). Es wird auch empfohlen, ein organisationsspezifisches Präfix für die Namen der Objekte zu verwenden, um diese zu unterscheiden.

Definieren verknüpfter Attribute
Es ist wichtig, dass der attributeSyntax-Wert eines Forwardlinks 2.5.5.1, 2.5.5.7 oder 2.5.5.14 ist. Diese Werte entsprechen der Syntax, die einen Distinguished Name enthält, wie z. B. die Object-Syntax (DS-DN).
Der attributeSyntax-Wert eines Backlinks muss 2.5.5.1 lauten, wobei es sich um die Object-Syntax (DS-DN) handelt. Entsprechend der Konvention werden Backlink-Attribute dem mayContain-Wert der obersten abstrakten Klasse hinzugefügt. Hiermit kann das Backlink-Attribut von Objekten beliebiger Klassen gelesen werden, da Backlink-Attribute nicht zusammen mit dem Objekt gespeichert werden. Stattdessen werden die Attribute basierend auf den Forwardlink-Attributen berechnet.
In Windows Server 2003 wurde ein Feature eingeführt, das Organisationen verwenden können, um zwei Objekte in einem Schema zu verknüpfen: Automatische Generierung von linkIDs. Mit diesem Feature generiert das System automatisch eine linkID für ein neues verknüpftes Attribut, wenn das linkID-Attribut des Attributs auf 1.2.840.113556.1.2.50 gesetzt ist. Ein entsprechender Backlink wird erstellt, indem die linkID auf die attributeId oder den ldapDisplayName des Forwardlinks abgestimmt wird. Der Schemacache muss nach dem Erstellen des Forwardlinks und vor dem Erstellen des Backlinks neu geladen werden. Ist dies nicht der Fall, wird die attributeId oder der ldapDisplayName des Forwardlinks nicht gefunden, wenn der Backlink erstellt wird. Das Neuladen des Schemacache erfolgt nach Bedarf, einige Minuten, nachdem Änderungen am Schema vorgenommen wurden oder wenn der Domänencontroller neu gestartet wird.
Wenn Ihr Active Directory unter Windows 2000 läuft, müssen linkIDs von Microsoft durch Senden einer E-Mail an schemreg@microsoft.com angefordert werden. In der automatisierten Antwort wird eine Zeile ähnlich der folgenden angezeigt: „E-Mails, die an schemreg@microsoft.com gesendet werden, werden nur bearbeitet, wenn es sich um linkID-Registrierungen für Legacyumgebungen handelt.“ Fügen Sie hierfür folgende Informationen in die E-Mail ein: Firmenname, Kontaktperson, E-Mail-Adresse, Telefonnummer, registriertes Präfix (sofern zutreffend), registrierter OID (sofern zutreffend).

Bereit zur Erweiterung des Schemas
Gehen wir davon aus, dass Sie entschieden haben, Ihr Active Directory-Schema zu erweitern. Im Rahmen der Analyse wurde die Verwendung eines alternativen Verzeichnisses über ADLDS (oder ADAM in Windows Server 2003) verworfen, nachdem festgestellt wurde, dass die Anforderungen damit nicht erfüllt wurden. Im nächsten Schritt haben Sie die neuen attributeSchema-Objekte identifiziert, die Sie dem Schema hinzufügen möchten. In diesem Rahmen haben Sie alle erforderlichen Werte (wie cn, ldapDisplayName usw.) definiert, mit denen die neuen Objekte angegeben werden. Beim Definieren der Attributwerte für das Objekt haben Sie den OID von Microsoft oder von einer anderen Quelle erhalten. Sie haben alle oben genannten Informationen als Geschäftsanforderungen und technische Daten dokumentiert. Sie haben außerdem eine Testumgebung implementiert, die Ihr Active Directory repräsentiert und zum Testen bereit ist.
Viele Organisationen richten besondere Gremien ein, die solche Änderungen genehmigen oder ablehnen und den Prozess für die Implementierung festlegen. Diese Prüfungen und gegenseitige Kontrollen sind erforderlich, da Active Directory in zahlreichen Organisationen als autorisierende Informationsquelle verwendet wird, und es ist besonders wichtig, dass Active Directory auch nach vorgenommenen Änderungen sofort funktionsfähig ist.
Wenn sich die Organisation entschieden hat, Änderungen vorzunehmen, müssen Test- und Implementierungspläne für das Projekt definiert werden. Das Schema kann entweder durch Hinzufügen neuer Objekte mithilfe des Active Directory-Schema-Snap-Ins der Microsoft Management Console (MMC) oder über die Verwendung programmgesteuerter oder halb programmgesteuerter Methoden (z. B. die Verwendung von LDIFDE zum Importieren von .ldif-Format-Dateien, CSVDE zum Importieren von .csv-Format-Dateien oder mit Active Directory Service Interfaces-Skripting) erweitert werden.
Für alle Methoden gilt, dass die Funktion auf einem Server ausgeführt werden muss, der entweder mit der FSMO-Rolle (Flexible Single Master Operations) des Schemamasters in der Active Directory-Struktur verbunden ist oder über diese Rolle verfügt. Das Konto, das für die Schemaaktualisierung verwendet wird, muss über die erforderlichen Berechtigungen zum Ausführen der Aktualisierung verfügen. Das Konto sollte daher ein Mitglied der Gruppe „Schemaadministratoren“ sein. Abschließend müssen Schemaaktualisierungen für die Struktur aktiviert werden (diese Option ist standardmäßig deaktiviert).
Wenn es sich nicht um eine sehr einfache Änderung handelt, sollte die Aktualisierung automatisiert werden, um die Standardisierung zwischen Test- und Produktionsimplementierungsphasen zu gewährleisten und um Fehler zu vermeiden, die bei einer manuellen Ausführung auftreten können. Gehen wir davon aus, dass Sie LDIFDE zur Implementierung der Änderungen verwenden. Um Aktualisierungen beim Erweitern des Schemas anzuwenden, fügen Sie die neuen Attribute und Klassen hinzu, fügen dann die neuen Attribute Klassen hinzu und veranlassen dann ein erneutes Laden des Cache. Im Folgenden werden einige Szenarios aufgeführt.

Hinzufügen von Attributen
Gehen wir davon aus, dass eine Organisation namens „Contoso“ ein Attribut in Active Directory hinzufügen möchte, über das die Schuhgröße der einzelnen Mitarbeiter identifiziert wird. Die Active Directory-Struktur verfügt über zwei Domänen: contoso.com und employees.contoso.com. Es ist erforderlich, dass alle Objekte, die über die Benutzerklassendefinition erstellt werden, auch über das neue Attribut verfügen.
Denken Sie daran, dass die Schemaänderung für beide Domänen ausgeführt wird, da sich diese in der gleichen Struktur befinden. Gehen wir davon aus, dass Sie den OID 1.2.840.113556.8000.9999 von Microsoft erhalten und diesen für Contoso in 1.2.840.113556.8000.9999.1 für classSchema- und 1.2.840.113556.8000.9999.2 für attributeSchema-Objekte unterteilt haben. Jetzt werden alle Attributwerte für dieses neue Objekt entsprechend Abbildung 3 definiert.
Figure 3 Definieren des contosoEmpShoe-Attributs (Close Figure 3)

Attribut | Wert | Hinweise
Cn | contosoEmpShoe |
lDAPDisplayName | contosoEmpShoe |
adminDisplayName | contosoEmpShoe |
attributeSyntax | 2.5.5.12 | Legt eine Unicode-Zeichenfolge fest.
oMSyntax | 64 | Gibt eine Unicode-Zeichenfolge an.
objectClass | top, attributeSchema |
attributeID | 1.2.840.113556.8000.9999.2.1 | Von der Organisation definiert.
isSingleValued | TRUE | Es kann lediglich ein Wert für die Schuhgröße gespeichert werden.
searchFlags | 1 | Ihre Analyse zeigt, dass Sie dieses Attribut indizieren möchten. Hinweis: Die Belastungstestanalyse wird in der Testumgebung durchgeführt.
isMemberOfPartialAttributeSet | TRUE | Dieses Attribut soll im globalen Katalog verfügbar sein.
Obwohl das Attribut „contosoEmpShoe“ für alle Objekte verfügbar sein muss, die als Benutzerklassenobjekte erstellt wurden, wird nicht empfohlen, die Standarddefinition der Benutzerklassen zu ändern. Stattdessen sollten Sie eine Erweiterungsklasse namens „contosoUser“ definieren, für die der Wert von mayContain als „contosoEmpShoe“ angegeben ist (siehe Abbildung 4). Fügen Sie dann der Benutzerklasse die Attribute zu, die für die Erweiterungsklasse „contosoUser“ definiert sind.
Figure 4 Definieren der contosoUser-Klasse (Close Figure 4)

Attribut | Wert
Cn | contosoUser
lDAPDisplayName | contosoUser
adminDisplayName | contosoUser
governsID | 1.2.840.113556.8000.9999.1.1 (von der Organisation definiert)
mayContain | contosoEmpShoe
possSuperiors | organizationalUnit, container
objectClassCategory | 3 (definiert eine Erweiterungsklasse)
Nachdem die Analyse durchgeführt und die Werte definiert wurden, wird die ldif-Datei erstellt, die dem Code in Abbildung 5 entspricht. Sie können den Inhalt von Abbildung 5 in Editor kopieren und die Datei als „contosoUser.ldif“ speichern (eine Kopie ist auch im Codedownload unter technetmagazine.com verfügbar).
Figure 5 .ldif-Datei zum Erweitern Ihres Schemas (Close Figure 5)
#Attribute definition for contosoEmpShoe

dn: CN=contosoEmpShoe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: contosoEmpShoe
attributeID: 1.2.840.113556.1.8000.9999.2.1
attributeSyntax: 2.5.5.12
isSingleValued: TRUE
adminDisplayName: contosoEmpShoe
adminDescription: contosoEmpShoe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: contosoEmpShoe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

# Classes

dn: CN=contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: classSchema
cn: contosoUser
governsID: 1.2.840.113556.1.8000.9999.1.1
mayContain: contosoEmpShoe
rDNAttID: cn
adminDisplayName: contosoUser
adminDescription: contosoUser
objectClassCategory: 3
lDAPDisplayName: contosoUser
name: contosoUser
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

dn: CN=User,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: auxiliaryClass
auxiliaryClass: contosoUser
-

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
Nach dem Generieren der .ldif-Datei sollte die Implementierung gründlich in einer Testumgebung getestet, die End-to-End-Replikation Ihrer Domäne und Struktur überprüft und die Aktualisierung des Schemas in der Struktur aktiviert werden. Sie sollten sich nun mit einem Konto anmelden, das über die Schemaadministratorberechtigungen verfügt. Möglicherweise sollte die ausgehende Replikation auf dem Schemamaster (auf dem die Änderung durchgeführt wird) deaktiviert und folgender Befehl zum Importieren der .ldif-Datei ausgeführt werden:
ldifde –i –f <Path>\contosoUser.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
Nachdem die Änderung durchgeführt wurde, aktivieren Sie die ausgehende Replikation auf dem Schemamaster, und stellen Sie sicher, dass die Replikation für alle Domänencontroller durchgeführt wurde.
Jetzt können Sie sich entspannen, die Aktualisierung ist abgeschlossen! Sie haben ein neues Attribut im Schema definiert, das den Objekten zugeordnet wird, die über die Benutzerklasse (d. h. Benutzerkonten) erstellt wurden.
Öffnen Sie zum Überprüfen der Änderung „Active Directory-Benutzer und -Computer“, stellen Sie eine Verbindung zur Domäne „employees.contoso.com“ her, suchen Sie die Organisationseinheit „Benutzer“ (organizational unit, OU), und erstellen Sie ein neues Benutzerkonto namens „ContosoTestUser“. Öffnen Sie die Konsole „adsiedit.msc“, und stellen Sie eine Verbindung zur Domänenpartition „dc=employees,dc=contoso,dc=com“ her, erweitern Sie die Organisationseinheit „Benutzer“, klicken Sie mit der rechten Maustaste auf „ContosoTestUser“, und öffnen Sie die Seite „Eigenschaften“. Suchen Sie das Attribut „contosoEmpShoe“. Sie können das Attribut bearbeiten, um einen Wert einzugeben. Sie können auch das Dienstprogramm „Ldp.exe“ verwenden, um die Attribute zu überprüfen und zu ändern.
Im Folgenden finden Sie ein Beispiel, in dem zwei Attribute verknüpft werden. Gehen wir davon aus, dass die Schuhgröße von Mitarbeitern bei Contoso besonders wichtig ist und Contoso die jährliche Leistung von Mitarbeitern, die Schuhgrößen im Unternehmen erfassen, nachverfolgen möchte. Gehen wir weiterhin davon aus, dass Contoso nicht nur nachverfolgen möchte, wer für die Messung der Schuhgrößen von Mitarbeitern verantwortlich war, sondern auch, wessen Schuhgrößen gemessen wurden und wie viele. Dies alles soll über eine Attributabfrage erfolgen. (Solche Daten sind möglicherweise besser in Datenbanktabellen aufgehoben, hier wird jedoch lediglich versucht, die Funktionsweise von Forward- und Backwardlinks zu verdeutlichen.)
Auch in diesem Fall wird zunächst die bereits erwähnte Analyse durchgeführt. In diesem Fall fahren wir jedoch mit der Generierung der .ldif-Dateien „linkids1.ldif“ und „linkids2.ldif“ entsprechend Abbildung 6 fort. Führen Sie dann folgenden Befehl aus, um die .ldif-Dateien zu importieren:
Figure 6 .ldif-Dateien für den Forward- und Backwardlink (Close Figure 6)

#linkids1.ldif
#Attribute definition for Forward Link Attribute

dn: CN=ContosoShoeSizeTaker,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizeTaker
attributeID: 1.2.840.113556.1.8000.9999.2.2
LinkID: 1.2.840.113556.1.2.50
attributeSyntax: 2.5.5.1
isSingleValued: TRUE
adminDisplayName: ContosoShoeSizeTaker
adminDescription: ContosoShoeSizeTaker
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizeTaker
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Reload schema

#linkids2.ldif

#Attribute definition for Backward Link Attribute

dn: CN=ContosoShoeSizesTakenByMe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizesTakenByMe
attributeID: 1.2.840.113556.1.8000.9999.2.3
LinkID: 1.2.840.113556.8000.9999.2.2
attributeSyntax: 2.5.5.1
isSingleValued: FALSE
adminDisplayName: ContosoShoeSizesTakenByMe
adminDescription: ContosoShoeSizesTakenByMe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizesTakenByMe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add ContosoShoeSizeTaker and ContosoShoeSizesTakenByMe Attribute as MayContain in
#contosoUser class

dn: CN= contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizeTaker
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add Backward Link Attribute as MayContain in Top

dn: CN=Top,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1

ldifde –i –f <Path>\linkedids<>.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
Wenn ein Benutzerobjekt erstellt wird, verfügt dieses nun auch über die Attribute „ContosoShoeSizeTaker“ und „ContosoShoeSizesTakenByMe“. Beim Erstellen eines Benutzerobjekts für John erhält das Attribut „ContosoShoeSizeTaker“ den DN der Person, die die Schuhgröße gemessen hat, in diesem Fall der Mitarbeiter namens Frank. Wenn Sie nun die Benutzerobjekteigenschaften für Frank aufrufen und das Attribut „ContosoShoeSizesTakenByMe“ abfragen, verfügt das Ergebnis über Johns DN und alle anderen DNs für Personen, deren Schuhgröße von Frank gemessen wurde. Das Management könnte Frank nun z. B. basierend auf der Anzahl an DNs im Attribut „ContosoShoeSizesTakenByMe“ seines Benutzerkontos belohnen.

Systemprüfungen und gegenseitige Kontrollen
Eine kritische Aktualisierung wie eine Schemaänderung darf nicht ohne Prüfung der Anforderungen an die Architektur durchgeführt werden. Diese Konsistenz- und Sicherheitsprüfungen werden von Active Directory dazu verwendet sicherzustellen, dass die Änderungen keine Inkonsistenzen oder anderen Probleme verursachen, wenn Änderungen am Active Directory-Schema vorgenommen werden.
Zunächst müssen die governsID-Werte für jede Klasse innerhalb des Schemas eindeutig sein. Beim Definieren eines schemaClass-Objekts, müssen alle Attribute, die in den Listen „systemMayContain“, „mayContain“, „systemMustContain“ und „mustContain“ definiert sind, bereits vorhanden sein. Ebenso müssen alle Klassen, die in den Listen „subClassOf“, „systemAuxiliaryClass“, „auxiliaryClass“, „systemPossSuperiors“ und „possSuperiors“ definiert sind, bereits vorhanden sein.
Bei der objectClassCategory aller Klassen in den Listen „systemAuxiliaryClass“ und „auxiliaryClass“ muss es sich entweder um die Klasse „88“ oder die Erweiterungsklasse handeln. Ebenso muss die objectClassCategory aller Klassen in den Listen „systemPossSuperiors“ und „possSuperiors“ entweder als Klasse „88“ oder als Strukturklasse angegeben sein.
Während der Definition verschiedener Klassen können abstrakte Klassen nur von anderen abstrakten Klassen erben, Erweiterungsklassen können nicht von Strukturklassen erben und Strukturklassen können nicht von Erweiterungsklassen erben. Das Attribut im Attribut „rDNAttID“ muss als Syntax über eine Unicode-Zeichenfolge und nur über einen Wert verfügen.
Hierbei handelt es sich um einige der Regeln für die classSchema-Objekte. Gilt dies auch für attributeSchema-Objekte? Ebenso wie bei governsID-Werten für Klassen muss der Wert von attributeID eindeutig sein. Der Wert von mAPIID (sofern zutreffend) muss ebenfalls eindeutig sein. Wenn rangeLower und rangeUpper angegeben werden, muss der Wert für rangeLower kleiner als der Wert für rangeUpper sein. Die Werte für attributeSyntax und oMSyntax müssen übereinstimmen. Wenn das Attribut über eine Objektsyntax (oMSyntax = 127) verfügt, muss es die korrekte oMObjectClass besitzen. Die linkID (sofern vorhanden) muss eindeutig sein. Außerdem muss ein Backlink immer über einen entsprechenden Forwardlink verfügen.

Was passiert, wenn Sie einen Fehler machen?
Wenn das Schema um neue Objekte (Klassen und Attribute) erweitert wurde, können diese nicht wieder gelöscht werden. Klassen und Attribute können jedoch deaktiviert werden, indem das Attribut „isDefunct“ im Schemaobjekt auf TRUE gesetzt wird. Schemaobjekte, die Teil des Standardschemas sind, das mit Active Directory (Objekte der Kategorie 1) geliefert wird, können nicht deaktiviert werden. Sie können nur Objekte deaktivieren, die dem Standardschema hinzugefügt wurden. Das heißt, es können lediglich Objekte der Kategorie 2 deaktiviert werden, und diese auch nur dann, wenn Active Directory sichergestellt hat, dass die Klasse nicht in den Listen „subClassOf“, „auxiliaryClass“ oder „possSuperiors“ einer vorhandenen nicht außer Kraft gesetzten Klasse verwendet wird.
Bei einem Versuch, ein Attribut zu deaktivieren, stellt Active Directory sicher, dass das Attribut nicht in mustContain oder mayContain einer vorhandenen nicht außer Kraft gesetzten Klasse verwendet wird. Die deaktivierten Objekte können wieder aktiviert werden, indem das Attribut „isDefunct“ auf FALSE gesetzt wird. Wenn Ihr Active Directory unter Windows Server 2003 ausgeführt wird, können Sie die ldapDisplayName-, schemaIdGuid-, OID- und mapiID-Werte des deaktivierten Objekts wiederverwenden.

Schlussbemerkung
Das Hinzufügen oder Ändern von Klassen- oder Attributdefinitionen im Schema beinhaltet das Hinzufügen oder Ändern der entsprechenden classSchema- oder attributeSchema-Objekte. Dieser Prozess ähnelt dem Hinzufügen oder Ändern eines beliebigen Objekts in Active Directory. Hinzu kommt das Durchführen weiterer Prüfungen, um sicherzustellen, dass die Änderungen nicht zu Inkonsistenzen oder Problemen bei der weiteren Verwendung des Schemas führen.
Obwohl das Ändern des Active Directory-Schemas relativ einfach ist, sollten der Aufbau des Schemas sowie die Funktionsweise des Schemas bei der Implementierung der Änderungen verstanden werden. Änderungen des Active Directory-Schemas in einer Produktionsumgebung erfordern ausführliche Planung und Umsicht bei der Durchführung. Es ist wichtig, die Geschäftsanforderungen und technischen Spezifikationen für neue Objekte zu definieren und zahlreiche Tests in einer Testumgebung durchzuführen. Da Änderungen enorme Auswirkungen haben können, wird empfohlen, das Active Directory-Schema nur zur erweitern, wenn es unbedingt notwendig ist.

Vikas Malhotra ist bei Microsoft Consulting Services in New York tätig. Während seiner 12-jährigen Tätigkeit hat er mit zahlreichen IT-Organisationen in großen und mittleren Unternehmen zusammengearbeitet, um Anforderungen an die Infrastrukturarchitektur zu erfüllen, z. B. in Bezug auf Verzeichnis, Messaging, Sicherheit und Datennetzwerk. Er verfügt über einen Bachelor of Engineering in Electronics and Telecommunications und einen Master of Science in Telecom (Tech) Management. Sie erreichen ihn unter: vikasmal@microsoft.com.


 System Center: Einf&#252;hrung zu System Center Mobile Device Manager
System Center Matt Fontaine

Einführung zu System Center Mobile Device Manager
Auf einen Blick:
  • Ein typisches Mobile Device Manager-System
  • Erweitern von Active Directory auf Windows Mobile
  • Registrieren, Bereitstellen und Inventarisieren von Windows Mobile-Geräten

Die Veröffentlichung von Microsoft System Center Mobile Device Manager 2008 ist eine äußerst interessante Entwicklung für IT-Experten, die Windows Mobile-Geräte in Unternehmensnetzwerken verwalten. Durch Bereitstellen von Funktionen für die Geräteverwaltung, Sicherheitsverwaltung und ein mobiles VPN (Virtuelles Privates Netzwerk)
in einem einzigen Produkt trägt dieses neue Angebot dazu bei, administrative Aufgaben zu vermindern und eine verbesserte Rendite (ROI) für den Bestand an mobilen Geräten einzubringen.
Mobile Device Manager ermöglicht IT-Experten, die vorhandene Active Directory®- und Gruppenrichtlinieninfrastruktur zum Erzwingen von Geräteeinstellungen zu verwenden. Mit OTA-Geräteverwaltungsfunktionen können IT-Experten problemlos Updates und Anwendungen an Geräte übermitteln, während sich die Bereitstellung durch die OTA-Selbstbereitstellungsfunktion einfacher und skalierbarer gestaltet. Ein mobiles VPN gewährt Endbenutzern den Zugriff auf Daten und Anwendungen hinter der Firewall und bietet gleichzeitig eine immer aktive Verbindung für Administratoren zur Steuerung bereitgestellter Geräte. Aufgrund all dieser Funktionen in einem erweiterbaren, anpassbaren und skalierbaren Produkt ist Mobile Device Manager ein unerlässliches Tool für die IT-Experten von heute.

Der Bedarf an Verwaltung
Das Wachstum im Bereich mobiler Mitarbeiter soll sich in den nächsten Jahren weiter fortsetzen. Im Vergleich zu anderen Netzwerkgeräten war das Verwalten mobiler Geräte wegen des Mobilitätsfaktors schon immer ein relativ schwieriges Unterfangen. Mobile Geräte stellen auf vielen verschiedenen Wegen eine Verbindung zum Netzwerk her, und manche Geräte sind nicht so sicher wie andere. Sie existieren möglicherweise außerhalb der Firewall, sie verwenden andere Betriebssysteme als die Clientgeräte, und sie sind klein und können deshalb leicht verlegt werden oder verloren gehen.
Die erweiterte Funktionalität der heutigen mobilen Geräte bietet sowohl Unternehmen als auch Endbenutzern äußerst ansprechende Vorteile, doch sie erschwert gleichzeitig den Support für diese Geräte. Dadurch könnten Unternehmensdaten und Netzwerke zusätzlichen Sicherheitsrisiken ausgesetzt werden, insbesondere wenn die Geräte verwendet werden, um auf vertrauliche Branchenanwendungen und Kundendaten zuzugreifen. Solche Geräte können zu Sicherheitsnotfällen führen, wenn sie verloren gehen, gestohlen oder unsachgemäß verwendet werden.
Die Lücke zwischen mobilen Geräten und traditionellen Netzwerkclients im Bereich Funktionalität wird nach und nach geschlossen, aber gleichzeitig wächst die Anforderung, mobile Geräte genau wie Laptops oder Desktopcomputer zu verwalten. Aus diesem Grund wurde Mobile Device Manager entwickelt. Mit steigender Beliebtheit der Windows Mobile®-Plattform bei Geschäftskunden wird sich Mobile Device Manager zu einem entscheidenden Aspekt von Windows®-basierten IT-Verwaltungssystemen entwickeln.
Mobile Device Manager wurde entworfen, um eine End-to-End-Verwaltung und die Steuerung von Windows Mobile-Geräten so problemlos zu ermöglichen, als ob es sich bei den Geräten um vernetzte PCs oder Laptops handelt. Das Tool bietet drei Hauptfunktionen:
Geräteverwaltung Zentralisierte Funktionen für das Bereitstellen, Überwachen und Verwalten von Windows Mobile-Geräten, die auf Zehntausende von Benutzern pro Server skalierbar sind.
Sicherheitsverwaltung Bessere Methoden für den Schutz vertraulicher Daten und die Geräteüberwachung.
Mobiles VPN Besserer Zugriff auf Daten und Anwendungen hinter der Firewall durch immer aktive Funktionalität.
Mobile Device Manager ist auf die allgemeine System Center-Philosophie ausgerichtet, nach der IT-Experten Tools für eine optimale Verwaltung aller Unternehmensressourcen bereitgestellt werden, nicht nur für Desktop- und Laptopcomputer. Außerdem ist die Benutzeroberfläche denjenigen bereits vertraut, die schon andere System Center-Produkte verwenden.
Mobile Device Manager funktioniert vom Entwurf her also auch gut mit einer vorhandenen Windows-basierten Infrastruktur. Zum Beispiel werden Active Directory und die Gruppenrichtlinie verwendet, vorhandene Microsoft-Analyse- und Berichttools (z. B. SQL Server®) können eingesetzt werden, und es besteht Erweiterbarkeit durch das Verwenden von Microsoft® Management Console-Snap-Ins und Windows PowerShellTM-Cmdlets.

Das Mobile Device Manager-System
Mobile Device Manager ist hochgradig skalierbar und kann Zehntausende von Geräten auf einer einzigen Instanz sowie mehrere Konfigurationsoptionen unterstützen. Grundsätzlich sind bei Mobile Device Manager serverseitig vier Hauptsystemkomponenten vorhanden: ein Gatewayserver, ein Geräteverwaltungsserver, ein Registrierungsserver und SQL Server-Datenbanken (siehe Abbildung 1).
Abbildung 1 Ein typisches Mobile Device Manager-System
Abbildung 1 Ein typisches Mobile Device Manager-System
Der Gatewayserver ist meist im Umkreisnetzwerk installiert. Er agiert als Terminal für die Netzwerkverbindung eines Geräts, authentifiziert eingehende Geräteverbindungen, bietet stabile IP-Adressen für Geräte und führt andere Funktionen in Bezug auf die Geräte- bzw. Netzwerkkonnektivität durch.
Der Geräteverwaltungsserver ist der Hub für die Geräteverwaltung, einschließlich der Bereiche Gruppenrichtlinienimplementierung, OTA-Softwareverteilung und Gerätebereinigung. Er kann mit vorhandenen Domänencontrollern eingesetzt werden. Geräteverwaltungsserver agieren als Ersatznetzwerkclients für Windows Mobile-Geräte, sodass die Geräte mit anderen Systemen kommunizieren können.
Der Registrierungsserver erstellt Active Directory-Domänendienstobjekte, die mobile Geräte im Domänencontroller darstellen. Dadurch wird ermöglicht, dass die Geräte wie andere Domänenmitglieder verwaltet werden. Dieser Server behandelt auch Zertifikatsanforderungen sowie das Abrufen mobiler Geräte. Bevor Registrierungszertifikate akzeptiert oder veröffentlicht werden, wird Active Directory als Basis für das Authentifizieren von Geräten verwendet. Die SQL Server-Datenbanken bieten ein Repository für alle Informationen in den Bereichen Gerätekonfiguration, Aufgaben, Statuseinstellungen und so weiter.
Wenn die Infrastruktur in Betrieb ist, interagiert Mobile Device Manager auf drei Arten mit mobilen Geräten: durch das Registrieren von Geräten, das Einrichten der Verbindungen des mobilen VPN und das Verwalten der Geräte. Die Geräteregistrierung ist der Prozess, durch den ein Gerät mit der Active Directory-Domäne verbunden wird. Mobile Device Manager verwendet einen „geheimen Schlüssel“, d. h. ein temporäres einmaliges Kennwort, um die Registrierung von Geräten über unsichere Verbindungen zu ermöglichen. Nach der Registrierung kann ein Gerät eine Mobile VPN-Verbindung mit dem Gatewayserver herstellen, über die der Netzwerkverkehr des Geräts weitergeleitet wird. Durch Verwenden der Mobile VPN-Verbindung kann der Administrator oder das System die Geräteverwaltung durchführen, um Software und Einstellungen mittels Push auf das Gerät zu übertragen.

Erweitern von Active Directory auf Windows Mobile
Kombinierte oder Ad-hoc-IT-Sicherheitsansätze können riskanter sein als ein vollständig integrierter Sicherheitsansatz. Durch Mobile Device Manager lassen sich derartige Risiken mindern, da eine Möglichkeit geboten wird, mobile Geräte wie Windows-Computer unter Verwendung der vorhandenen Active Directory-Domänendienste-Infrastruktur zu verwalten. Das Ergebnis ist eine optimierte Identitäts- und Zugriffsverwaltung, eine konsistentere Richtlinienzuweisung sowie eine umfassende Sicherheitskonfiguration.
Genau wie bei PCs oder Servern können Gruppenrichtlinienobjekte, die sich auf Windows Mobile-Geräte beziehen, Organisationseinheiten, Sicherheitsgruppen und WMI-Filtern (Windows Management Instrumentation) zugewiesen werden. Administratoren können zudem verhindern, dass bestimmte Geräte Gruppenrichtlinieneinstellungen empfangen.
Es gibt mehr als 130 Einstellungen und Richtlinien für Windows Mobile-Geräte, die eine genauere Steuerung der verschiedenen Funktionen ermöglichen. Hier ist nur ein Beispiel:
  • Die Kennworteinstellungen umfassen die Kennwortanforderung, den Typ und die Mindestlänge, das Ablaufdatum von Kennwörtern sowie die lokale Gerätebereinigung nach einer festgelegten Anzahl fehlgeschlagener Versuche (einschließlich der Benutzerbenachrichtigung über die Anzahl der verbleibenden Versuche).
  • Die Einstellungen zum Sperren der Plattform ermöglichen Administratoren, die Gerätefunktionalität, einschließlich Kamera, drahtloses LAN, Infrarot, Bluetooth und Wechselmedien, selektiv zu aktivieren bzw. zu deaktivieren. Das Messaging mit Post Office Protocol (POP), Internet Message Access Protocol (IMAP), Short Message Service (SMS) und Multimedia Messaging Service (MMS) kann ausgeschaltet und Windows Update für Windows Mobile kann deaktiviert werden.
  • Mobile Device Manager bietet eine präzise Anwendungssteuerung. Das Tool kann verhindern, dass Geräte nicht signierte Anwendungen oder Anwendungen mit nicht genehmigten Signaturen ausführen, oder bestimmte nicht signierte Anwendungen auf Anweisung des Administrators zulassen.
  • Zum Schutz der Daten kann der Administrator die Verschlüsselung von Dateien erzwingen, die auf austauschbaren Speicherkarten erstellt wurden (wobei der Verschlüsselungsschlüssel an das Gerät gebunden ist). Weiterhin ist eine Geräteverschlüsselung für den Schutz vertraulicher Daten auf dem Gerät verfügbar. Außer den standardmäßig geschützten Dateien kann der Administrator für die Verschlüsselung zusätzliche Dateien angeben.
  • Mobile VPN-Einstellungen bestimmen, welche Steuerungsmöglichkeiten Benutzer über die VPN-Verbindungen ihres Geräts haben und können außerdem zum Festlegen von Datenverschlüsselungsstufen verwendet werden.
  • Durch ActiveSync®-Einstellungen werden das Nachrichtenformat, die Filter für das Alter von E-Mails, die Größenlimits, die Synchronisierungseinstellungen und mehr festgelegt.
  • Anhand von S/MIME-Einstellungen können Anforderungen für die Nachrichtensignatur, die Nachrichtenverschlüsselung oder die Verwendung bestimmter Algorithmen aufgestellt werden.
Diese und andere Einstellungen unterstützen eine Vielzahl von Szenarios. IT-Experten können mithilfe der Einstellungen entscheiden, welche Art von Anwendungen auf welchen Geräten ausgeführt werden können. Hardwarefeatures können OTA-aktiviert oder -deaktiviert sein. Zum Beispiel lassen sich Kameras deaktivieren, damit eine zufällige oder absichtliche Gefährdung vertraulicher Informationen verhindert werden kann. Die Datenverschlüsselung kann auf Geräten, austauschbaren Speicherkarten oder beidem erzwungen werden, um die Wahrscheinlichkeit zu verringern, dass durch verlorene oder gestohlene Geräte bzw. Karten geheime Daten in die Hände nicht autorisierter Personen gelangen.
Mobile Device Manager enthält auch andere Sicherheitsverwaltungstools. Da für Windows Mobile-Geräte Tausende von Anwendungen verfügbar sind, müssen Administratoren über Steuerungsmöglichkeiten verfügen und bestimmen können, welche Anwendungen installiert und welche nicht installiert werden dürfen. Mit Mobile Device Manager können Sie allein für diesen Zweck Zulassungs- und Sperrlisten für Anwendungen erstellen und erzwingen. Weiterhin werden leistungsfähige Remotebereinigungsfunktionen geboten. Aufgrund der immer aktiven VPN-Verbindung zu Geräten ist es möglich, Geräte sofort zu bereinigen, ohne auf eine Geräteverbindung zum Netzwerk und nachfolgende Synchronisierung warten zu müssen. Wenn ein Gerät von einem Remotestandort aus bereinigt wird, wird es aus dem Domänencontroller entfernt und sein Zertifikat gesperrt. Wenn ein Gerät später wiederhergestellt ist, kann es so eingestellt werden, dass es nach der Registrierung mit einem neuen einmaligen Kennwort wieder mit der Domäne verbunden wird.

Steuerungsmöglichkeiten für mobile Geräte
Mobile Device Manager wurde entworfen, um das Verwalten von Windows Mobile-Geräten im Netzwerk so einfach wie möglich zu gestalten, indem eine komplette Geräteverwaltungsfunktionalität in einer einzigen Lösung bereitgestellt wird, einschließlich OTA-Bereitstellung, OTA-Software- und Updateverteilung sowie einer umfassenden und zentralen Bestandsverwaltung.
Die OTA-Selbstregistrierung ist ein Feature, das bei ausgelasteten IT-Experten und Endbenutzern sehr gut ankommen dürfte. Ein Benutzer gibt eine E-Mail-Adresse auf einem Windows Mobile 6.1-Gerät ein, das versucht, den Mobile Device Management Server mithilfe der angegebenen E-Mail-Adresse zu finden. Wenn der Server nicht gefunden wird, wird der Benutzer aufgefordert, die Adresse des Verwaltungsservers manuell einzugeben. Wenn der Server gefunden wurde und feststeht, dass der Benutzer zur Registrierung zugelassen ist, wird der Benutzer aufgefordert, eine einmalige Kennung einzugeben, die vom Administrator vorab generiert wird.
Die E-Mail-Adresse und die Kennung werden zur Identifizierung des Benutzers und zur Registrierung seines Geräts im Verwaltungsserver verwendet. Wenn dies erfolgt ist, werden die administratordefinierten Einstellungen und Richtlinien mittels Push auf das Gerät übertragen. Der Selbstregistrierungsansatz wurde entworfen, um die Skalierbarkeit von Windows Mobile-Gerätebereitstellungen zu erhöhen und den zeitlichen und finanziellen Aufwand zu verringern, der zum Einrichten und zur Inbetriebnahme von Geräten erforderlich ist.
Die OTA-Softwareverteilungsfunktionalität von Mobile Device Manager basiert auf Windows Software Update Services (WSUS) 3.0, dem Softwareupdatetoolkit, das bereits weltweit von vielen IT-Experten verwendet wird. Wie in Abbildung 2 dargestellt, bietet WSUS 3.0 die Funktionalität für eine zielgerichtete Installation und Anwendungsverpackung, die für komplexe IT-Anforderungen notwendig sind. Software kann auf der Grundlage administratordefinierter Regeln und Richtlinien automatisch für Geräte bereitgestellt werden. Wie bei Server- und Clientupdates können mobile Geräte und Patches mithilfe von WSUS 3.0 automatisiert werden. Genauso entscheidend ist, dass automatische Updates zur Bereitstellungsplanung und -prüfung ausgeschaltet werden können.
Abbildung 2 Softwareverteilungsassistent
Abbildung 2 Softwareverteilungsassistent
Eine der größten Herausforderungen beim Verwalten mobiler Geräte, die skaliert bereitgestellt werden, ist es, über alles den Überblick zu behalten. Mobile Device Manager zentralisiert die Inventarinformationen und bietet flexible, anpassbare Berichte, die auf SQL Server 2005 basieren, wobei wiederum Software verwendet wird, mit der viele Benutzer bereits arbeiten und vertraut sind. Administratoren können mehr als hundert einzelne Inventarinformationen erfassen, einschließlich (aber nicht begrenzt auf) Betriebssystem und Version, Gerätemodell, installierte Anwendungen und Sicherheitsrichtlinien. Das Inventar ist erweiterbar, sodass der Administrator Elemente und Registrierungseinstellungen hinzufügen kann.
Für eine erweiterte Flexibilität können Sie Mobile Device Manager über die Microsoft Management Console-Snap-Ins steuern, falls Sie eine grafische Benutzeroberfläche bevorzugen (siehe Abbildung 3), oder über die Windows PowerShell-Konsole, falls Sie ein Befehlszeilentool bevorzugen. In beiden Fällen ist das System erweiterbar und anpassbar – unerlässlich für Unternehmensmitarbeiter, die sich eine auf ihre Organisation zugeschnittene Software wünschen.
Abbildung 3 Mobile Device Manager-Konsole
Abbildung 3 Mobile Device Manager-Konsole

Mobiles VPN
Büroanwender verwenden bereits seit Jahren E-Mails und Messaging auf ihren mobilen Geräten. Heute ist die Möglichkeit, auf Geschäftsdaten und Anwendungen hinter der Firewall zuzugreifen, eine der nützlichsten Entwicklungen in der mobilen Gerätetechnologie. Durch die erweiterten Zugriffsmöglichkeiten entstehen neue Sicherheitsrisiken. Deshalb muss die zusätzliche Funktionalität sorgfältig verwaltet werden, um Sicherheitsrisiken zu verhindern. Mobile Device Manager bietet neueste Mobile VPN-Funktionen, die Benutzern den Zugriff auf Intranetdaten ermöglichen, angefangen bei Microsoft DynamicsTM Customer Relationship Management (CRM) und SAP bis hin zu Siebel. Das Modell kann an vorhandene Remotezugriffsstrategien für Desktop- und Laptopcomputer angepasst werden (siehe Abbildung 4).
Abbildung 4 Mobile VPN-Einstellungen
Abbildung 4 Mobile VPN-Einstellungen
Mobile VPN verbindet das Gerät mit dem Gatewayserver, indem ein zweifaches Sicherheitsfeature verwendet wird, bei dem die Daten in einem SSL-verschlüsselten Formular durch einen Tunnel mit IPsec-Verschlüsselung übertragen werden. Wenn das Gerät authentifiziert ist, hat der Benutzer Zugriff auf die Ressourcen, wie in der ressourcenspezifischen Richtlinie in Kombination mit den Anmeldeinformationen des Benutzers angegeben.
Die von Mobile Device Manager verwendete Mobile VPN-Technologie ermöglicht das Einrichten einer immer aktiven Verbindung, die Benutzern nicht nur einen verbesserten Zugriff gewährt, sondern auch sicherstellt, dass IT-Experten die Geräte stets mit den aktuellen Richtlinien und Einstellungen aktualisieren und ein Gerät sofort bereinigen können, wenn es verloren geht oder gestohlen wird. Selbst wenn eine Sitzung unterbrochen wird, stellt die schnelle Wiederherstellung der Verbindung sicher, dass die Gerätesitzung ohne eine erneute Authentifizierung fortgesetzt werden kann. Mobile Device Manager ermöglicht einen reibungslosen Übergang zwischen Wi-Fi und Mobilnetzwerken, bei dem die Konnektivität aufrechterhalten wird.
Die in Mobile Device Manager Mobile VPN verwendete Sicherheitstechnologie basiert auf Branchenstandards, einschließlich Open Mobile Alliance for Device Management (OMA DM), Internet Key Exchange (IKE) Version 2 und OMA Software Component Management Object (SCOMO). Dadurch wird die Erweiterbarkeit und Anpassbarkeit des Systems für bestimmte Situationen, die IT-Experten in komplexen Umgebungen bewältigen müssen, erhöht.

Eine vollständige Lösung
Mobile Device Manager bietet einen vollständigen Satz an Tools zum Verwalten von Windows Mobile-Geräten, auf die über eine einzige Schnittstelle zugegriffen wird. Active Directory und die Gruppenrichtlinie werden zur Bereitstellung von Sicherheitstools eingesetzt, die zum Schutz von Daten, Geräten und des Netzwerks beitragen. Die Geräteverwaltung wird durch die Registrierung, Bereitstellung und Aktualisierung über OTA sowie durch leistungsfähige Inventurprogramme erleichtert. Mobile VPN wurde entworfen, um die von Unternehmen und Benutzern gewünschte Funktionalität zu bieten, ohne die Sicherheit zu beeinträchtigen.
All dies verkörpert die Idee, die Arbeit von IT-Experten zu erleichtern, indem mobile Geräte im Netzwerk optimal verwaltet werden können. Mobile Device Manager versetzt IT-Experten in die Lage, hochwertige Endbenutzerfunktionen bereitzustellen, den Verwaltungsaufwand zu verringern und die Verwaltungsrendite zu erhöhen – eine wirklich attraktive Kombination!
Besonderer Dank gilt Brian Hoskins, Derek Snyder, Prithvi Raj, Lax Madapaty und Katharine Holdsworth für ihre Beiträge zu diesem Artikel.

Matt Fontaine ist als freiberuflicher Autor im Bereich Technologie und als Berater für die BuzzBee Company tätig. Er betreut eine Reihe unterschiedlichster Branchen in den Bereichen Hochleistungscomputing, Unternehmenssoftware, Versicherungswesen, Immobilien, Ingenieurwesen, Baugewerbe und Verbrauchsgüter. Matt Fontaine ist stolz darauf, ehemaliger Schüler des Evergreen State College in Washington zu sein.


 System Center: Neuerungen in System Center Essentials&#160;SP1
System Center Pete Zerger

Neuerungen in System Center Essentials SP1
Auf einen Blick:
  • Einfachere Installation mit integriertem Installationsprogrammpaket
  • Verbesserte Außerkraftsetzungen für die Feinabstimmung von Management Packs
  • Unterstützung für Arbeitsgruppen
  • Neue Aufgabe für die Neuberechnung des Integritätsstatus

Mit der Veröffentlichung von System Center Essentials 2007 im vergangenen Juli ist Microsoft seinem Versprechen für mittelständische Unternehmen nachgekommen, die Lücke zwischen teuren, komplexen Unternehmenstools und Sharewarelösungen zu schließen,
um eine einheitliche Verwaltungslösung für IT-Abteilungen anzubieten. Essentials 2007 wurde speziell entwickelt, um den Herausforderungen gerecht zu werden, denen mittelständische Unternehmen gegenüberstehen und die dazu führen, dass IT-Experten oft eine große Vielfalt von Aufgaben durchführen müssen.
Essentials ist einfach zu installieren und zu konfigurieren und ermöglicht es IT-Experten, Clients und Server proaktiv zu überwachen und zu verwalten und Hardware und Softwareressourcen zu verfolgen. Essentials ist dafür ausgelegt, traditionell komplexe Aufgaben wie die Anwendungs- und IT-Dienst-Überwachung, die Bereitstellung von Client- und Serversoftware sowie die Problembehandlung bei Desktopproblemen zu vereinfachen.
Seit der ersten Veröffentlichung sammelt Microsoft Feedback von jenen Kunden, die Essentials bereits für die Verwaltung ihrer IT-Infrastruktur einsetzen. Dieses Feedback wurde im ersten Service Pack für das Produkt berücksichtigt. SP1 enthält nicht nur Fehlerbehebungen, sondern führt auch bedeutende Verbesserungen ein, die das Produkt flexibler machen, um den Kundenanforderungen in vielfältigen Bereitstellungsszenarios gerecht zu werden. Leistungsverbesserungen optimieren die Benutzerfunktionalität und die Verwaltung in erheblichem Umfang.
In diesem Artikel biete ich einen Überblick über die wichtigsten Verbesserungen in Essentials 2007 SP1. Außerdem gehe ich darauf ein, wie diese Verbesserungen die Verwaltung Ihrer Umgebung noch einfacher gestalten.

Einfachere Installation
Das integrierte SP1-Installationsprogramm enthält alle bisherigen Essentials-Hotfixes. Die Installation ist deshalb ganz einfach und erfordert nur wenige Mausklicks. Essentials kann jetzt auch dafür konfiguriert werden, eine 64-Bit-Remoteinstanz von SQL Server® 2005 zu verwenden, während sich der Essentials-Server auf einer 32-Bit-Instanz von Windows Server® 2003 befindet. Hierdurch erhalten Administratoren mehr Flexibilität in einer verteilten Essentials-Bereitstellungstopologie, wenn sie die vorhandene Serverinfrastruktur in ihrer Umgebung verwenden. Außerdem wird Windows Server 2008 eine unterstützte Plattform für den Essentials 2007 SP1-Server, die Konsole und den Agent darstellen. Eine vollständige Unterstützung für Windows Server 2008 wird kurz nach dem Zeitpunkt erwartet, zu dem das neue Betriebssystem für die Produktion freigegeben wird.

Bessere Konsolenleistung
Wenn Sie die RTM-Version von Essentials 2007 verwendet haben, werden Sie die wesentlich reaktionsschnellere Essentials-Konsolenoberfläche in SP1 zu schätzen wissen. Die Leistung wurde in der Warnungsansicht, der Ereignisansicht, der Leistungsansicht, der Statusansicht und der Taskstatusansicht verbessert. Beispielsweise führen Änderungen beim Abrufen von Daten in allen Warnungsansichten zu einer drei Mal schnelleren Warnungsdatenauswahl. Aktionen und Berichte werden jetzt im Hintergrund abgerufen, wodurch die Leistung der Benutzeroberfläche weiter verbessert wird. Auch kontextbasierte Aufgaben und Berichte (die im Aktionsfenster auf der rechten Seite der Vorgangskonsole angezeigt werden) werden im Hintergrund geladen, wodurch die Ansichten schneller auf Ihre Auswahl reagieren können.
Warnungsinformationen, die im Fenster „Warnungsdetails“ angezeigt werden, können entsprechend den Benutzereinstellungen einfach durch Klicken auf die entsprechenden Links ein- oder ausgeblendet werden (siehe Abbildung 1). Das Programm merkt sich diese Einstellungen für das zukünftige Anzeigen von Warnungen. Administratoren können jetzt auch Warnungsdetails mithilfe der Standardtastenkombinationen (wie Strg+C und Strg+V) kopieren und einfügen.
Abbildung 1 Fenster „Warnungsdetails“ mit Links zum Ein- und Ausblenden von Informationen
Abbildung 1 Fenster „Warnungsdetails“ mit Links zum Ein- und Ausblenden von Informationen

Verbesserungen bei Außerkraftsetzungen
Außerkraftsetzungen werden verwendet, um Ihre Management Packs anzupassen, indem nicht benötigte Regeln und Monitore deaktiviert und verschiedene Schwellenwerte eingestellt werden. Es gibt mehrere bedeutende Verbesserungen bei Außerkraftsetzungen, die nicht nur das Anpassen von Regeln und Monitoren für Ihre Umgebung erleichtern, sondern auch die Transparenz bei bereits in Ihrer Essentials-Umgebung vorhandenen Außerkraftsetzungen erhöhen. Dadurch müssen weniger benutzerdefinierte Regeln erstellt werden, und es muss weniger Zeit dafür aufgewendet werden, die in Ihrer Umgebung vorhandenen Außerkraftsetzungen zu identifizieren.
Beispielsweise können Sie nun, nachdem Sie eine Außerkraftsetzung für ein Management Pack-Objekt erstellt haben, die Außerkraftsetzungsübersicht für den Objekttyp im entsprechenden Feld sehen. Essentials 2007 SP1 stellt sicher, dass die Beschreibung der Außerkraftsetzung vollständig ist. Wenn Sie zum Beispiel eine Außerkraftsetzung für den freien Speicherplatz des logischen Datenträgers C:\ von Server1 erstellen, wird in der Übersicht „server1/c:“ angezeigt. Die Bedeutung dieser Änderung lässt sich an einem Beispiel verdeutlichen.
Wie Sie in Abbildung 2 sehen können, ist es in der Essentials 2007 RTM-Version in dieser Außerkraftsetzungsübersicht für den freien Speicherplatz des logischen Datenträgers für Windows Server 2003 nicht möglich zu sagen, welcher Computer die von der Außerkraftsetzung betroffene Instanz des Laufwerks C:\ hostet. In der gleichen Außerkraftsetzungsübersicht in Essentials SP1 können Sie sehen, dass in der Namensspalte jetzt nicht nur die Ziellaufwerksinstanz, sondern auch der Computer angezeigt wird, der dieses Laufwerk hostet (siehe Abbildung 3).
Abbildung 2 Außerkraftsetzungsübersicht in Essentials 2007 RTM
Abbildung 2 Außerkraftsetzungsübersicht in Essentials 2007 RTM
Abbildung 3 Die gleiche Außerkraftsetzungsübersicht in Essentials 2007 SP1
Abbildung 3 Die gleiche Außerkraftsetzungsübersicht in Essentials 2007 SP1
Der Schweregrad der Warnung kann eine erhebliche Auswirkung auf die Menge des Warnungsverkehrs haben, der von Administratoren gesammelt wird. Bisher konnten Administratoren, wenn eine Essentials-Regel in einem versiegelten Management Pack so konfiguriert war, das eine kritische Warnung generiert wurde, die auf einigen Servern nicht kritisch war, nichts tun, um diese Einstellung anzupassen, da der Schweregrad und die Priorität von Warnungen nicht in den Außerkraftsetzungen angezeigt wurden. Die einzige Möglichkeit bestand bisher darin, mühsam Außerkraftsetzungen zu erstellen, die die Regel für einige Computer deaktivierten, und anschließend die Regeln in einem nicht versiegelten Management Pack erneut zu erstellen, in dem Warnungsparameter geändert werden konnten – ganz klar keine ideale Situation aus der Sicht eines Administrators.
Dieses Problem ist in SP1 gut gelöst, da sowohl der Schweregrad als auch die Priorität von Warnungen als Außerkraftsetzungsparameter in allen Regeln versiegelter Management Packs angezeigt werden (siehe Abbildung 4). Administratoren können folglich schnell und problemlos den Schweregrad und die Priorität der durch Regeln in Essentials 2007 generierten Warnungen ändern, indem sie Außerkraftsetzungen erstellen.
Abbildung 4 Regelaußerkraftsetzungen für Schweregrad und Priorität von Warnungen
Abbildung 4 Regelaußerkraftsetzungen für Schweregrad und Priorität von Warnungen
Vielleicht haben Sie auch das Kontrollkästchen „Enforced“ (Erzwungen) in Abbildung 4 bemerkt, das nicht auf der Konsolenoberfläche in der Essentials RTM-Version vorhanden ist. In Fällen, in denen mehrere Außerkraftsetzungen für ein Objekt aktiviert sind, erhält die Außerkraftsetzung, für die die Option „Enforced“ aktiviert ist, eine höhere Priorität. Dies kann nützlich sein, wenn die gleiche Außerkraftsetzung für zwei Objektgruppen eingestellt ist und einige Objekte zu beiden Gruppen gehören. Wenn Sie die Option „Enforced“ für die Außerkraftsetzung aktivieren, der Vorrang gegeben soll, können Sie sicher sein, welche Außerkraftsetzung angewendet wird.
Um die Erstellung neuer Management Packs einfacher zu gestalten, bietet Essentials 2007 SP1 die Möglichkeit, Ansichten aus einem vorhandenen Management Pack in ein nicht versiegeltes Management Pack zu kopieren. Der Kopiervorgang wird für alle Arten von Ansichten (wie z. B. Ereignis, Warnung, Leistung, Dashboard und Diagramm) unterstützt und kann im Überwachungsbereich erfolgen. Wenn Sie zum Beispiel ein Management Pack für Active Directory®-Außerkraftsetzungen erstellt haben und eine der Active Directory-Management Pack-Ansichten im Management Pack für Active Directory-Außerkraftsetzungen verwenden möchten, würden Sie einfach die gewünschte Ansicht auswählen und dann in den gewünschten benutzerdefinierten Management Pack-Ordner im Navigationsbereich innerhalb des Überwachungsbereichs kopieren.

Neuer Außerkraftsetzungsbericht
Ebenfalls erwähnenswert ist der neue Außerkraftsetzungsbericht in der Microsoft® Generic Reporting Library, die sich im Berichterstattungsbereich der Essentials-Konsole befindet. Dieser Bericht bietet eine Möglichkeit, Außerkraftsetzungen aus der Sicht des Management Packs zu beschreiben, in dem sie gespeichert sind, bzw. entsprechend dem Management Pack, auf das sie angewendet werden (siehe Abbildung 5). Benutzer können Berichtsparameter festlegen, um versiegelte MP-Außerkraftsetzungen aus dem Bericht auszuschließen. Dies ist eine wichtige Filteroption, weil versiegelte Management Packs von Microsoft und anderen Anbietern viele Außerkraftsetzungen enthalten können, die für Sie bei Berichten über in Ihrer eigenen Umgebung vorgenommene Änderungen nicht von Interesse sind.
Abbildung 5 Parameter im Außerkraftsetzungsbericht
Abbildung 5 Parameter im Außerkraftsetzungsbericht
Wenn Sie die bewährte Methode von Microsoft zum Erstellen eines separaten benutzerdefinierten Management Packs für jedes versiegelte Management Pack (ein Pack für das Active Directory-MP, ein Pack für das Exchange-MP und so weiter) befolgen, haben Sie die Möglichkeit, den Berichtsumfang effektiver einzuengen, um die für ein bestimmtes Management Pack gültigen Außerkraftsetzungen anzuzeigen.
Sobald Sie die entsprechenden nicht versiegelten Management Packs ausgewählt haben, können Sie den Bericht ausführen, der die Daten wie in Abbildung 6 zu sehen anzeigt. Beachten Sie, dass der Bericht die Regel oder den Monitor deutlich anzeigt, auf die bzw. den sich die Außerkraftsetzung bezieht (in der Spalte für betroffene Elemente), sowie die dem Monitor zugeordneten Informationen bzgl. Datum und Uhrzeit der Installation bzw. Löschung. Der Außerkraftsetzungsbericht dient also nicht nur als Liste aktiver Außerkraftsetzungen, sondern auch als Verlaufsbericht, der die Konfigurationsänderungen anzeigt.
Abbildung 6 Detailansicht des Außerkraftsetzungsberichts
Abbildung 6 Detailansicht des Außerkraftsetzungsberichts
Am unteren Rand der Detailansicht für jede betroffene Regel bzw. jeden Monitor befindet sich ein Hyperlink zum Anzeigen der Regelkonfiguration. Mit diesem Link wird eine separate Regel- oder Monitoransicht gestartet, die den betroffenen Objekttyp umfasst. Wenn Sie zum Beispiel auf den Link zum Anzeigen der Regelkonfiguration für die in Abbildung 6 gezeigte Außerkraftsetzung klicken (eine Außerkraftsetzung für die Active Directory Domain Controller Server 2003-Computerrolle), werden in der Regelansicht nur Regeln für diesen Objekttyp angezeigt.

Unterstützung für Arbeitsgruppencomputer
Einer der wichtigen Punkte des Kundenfeedbacks bezieht sich auf die Anforderung, Server und Arbeitsstationen in Arbeitsgruppenkonfigurationen verwalten zu können. Viele Umgebungen haben mindestens einen Server, der sich in einem Umkreisnetzwerk oder in einer Zweigstelle befindet, das bzw. die nicht zur Domäne gehört. Weil Essentials eine gegenseitige Authentifizierung zwischen dem Essentials-Server und agentverwalteten Computern erfordert, befinden sich Arbeitsgruppencomputer außerhalb des Vertrauensbereichs des Essentials-Servers auch außerhalb des Bereichs der Essentials-Agentbereitstellung. In vielen Umgebungen kann dies bedeuten, dass wichtige Komponenten der Infrastruktur nicht überwacht werden und außerhalb des Essentials-Patchverwaltungprozesses liegen. Wie können diese Computer sicher verwaltet werden?
SP1 führt eine zertifikatbasierte Authentifizierung für Szenarios ein, in denen Active Directory- und Kerberos-Authentifizierung nicht verfügbar sind. Hierfür muss auf dem Essentials-Server und auf dem agentverwalteten Computer ein digitales X.509-Zertifikat installiert sein. Das digitale Zertifikat kann von einer eigenständigen Windows®-Stammzertifizierungsstelle oder einer Unternehmens-Stammzertifizierungsstelle ausgestellt werden. Wenn es in Ihrer Umgebung keine Windows-Zertifizierungsstelle gibt, können Sie dieses Feature über „Programme hinzufügen/entfernen“ auf einem Domänencontroller oder Mitgliedsserver in Ihrer Umgebung, einschließlich des Essentials-Servers, installieren. Weitere Informationen zu Zertifikatdiensten und zur Public Key-Infrastruktur (PKI) in Windows Server 2003 finden Sie unter microsoft.com/windowsserver2003/technologies/pki.
Um eine zertifikatbasierte Authentifizierung in Essentials zu konfigurieren, fordern Sie zunächst ein Zertifikat für den Essentials-Server sowie für den Computer an, der verwaltet werden soll. Die Anforderung kann über eine Website auf dem Server eingegeben werden, der als Zertifizierungsstelle fungiert.
Nachdem das Zertifikat ausgestellt und installiert wurde, muss es für die Verwendung mit Essentials mithilfe des Befehlszeilendienstprogramms „MOMCertImport“ „registriert“ werden. Um die Zertifikatkonfiguration abzuschließen, exportieren Sie einfach das Zertifikat in eine Datei (im .pfx-Format) und führen MOMCertImport auf dem lokalen Computer mit der folgenden Syntax aus:
MOMCertUtil.exe <cert path \ name>
Nachdem alle diese Schritte auf dem Essentials-Server und dem Computer, der verwaltet werden soll, ausgeführt wurden, können sich diese Systeme gegenseitig authentifizieren und dann sicher Daten über einen verschlüsselten Kanal austauschen. Um den Agentbereitstellungsprozess abzuschließen, führen Sie einfach eine manuelle Installation des Essentials-Agent auf dem Zielcomputer durch.

Netzwerk- und Geräteüberwachung
Essentials 2007 bietet eine Überwachungsfunktion für Netzwerkgeräte, die Attribute vieler SNMP-fähiger Netzwerkgeräte erkennen kann. SNMP, Version 2c, (SNMPv2c) ist zwar derzeit am weitesten verbreitet, aber nicht alle Netzwerkgeräte sind gleich beschaffen. Aus diesem Grund bietet SP1 Unterstützung für SNMP, Version 1, (SNMPv1), um verschiedene ältere Netzwerkgeräte wie z. B. einige USV, Router und Druckserver, die nicht SNMPv2c-fähig sind, zu überwachen. Wie in Abbildung 7 zu sehen ist, können Administratoren Essentials über ein zusätzliches Dropdownfeld im Assistenten für Computer- und Geräteverwaltung mitteilen, welche SNMP-Version verwendet werden soll.
Abbildung 7 Verbesserte Oberfläche für die Erkennung von Netzwerkgeräten
Abbildung 7 Verbesserte Oberfläche für die Erkennung von Netzwerkgeräten

Verbesserte Updateverwaltung
SP1 enthält auch bedeutende Verbesserungen für die Updateverwaltung. Die Regeln für automatische Genehmigungen in Windows Server Update Services (WSUS) 3.0 ermöglichen es, verschiedene Produkt- und Updateklassifizierungen anzugeben, z. B. die automatische Genehmigung für Definitionsupdates für Microsoft Word.
Essentials unterstützt jetzt auch mehrere Regeln für automatische Genehmigungen, womit seine Funktionalität mit der Funktionalität der WSUS 3.0-Plattform (siehe Abbildung 8) vergleichbar ist. Hierdurch können Administratoren automatische Genehmigungen für mehrere Updatekategorien einschließlich kritischer Windows Vista®-Updates und Service Packs für Office System 2007 erstellen. Regeln für automatische Genehmigungen werden dann auf alle Updates angewendet, die sich gerade auf dem WSUS-Server befinden. Wenn also im Dialogfeld „Automatische Genehmigungen“ auf die Aufgabe zum sofortigen Ausführen der Regeln geklickt wird, können Administratoren Änderungen sofort auf vorhandene Updates, die sich in der Essentials-Konsole befinden, anwenden.
Abbildung 8 Automatische Genehmigungen in der Updateverwaltung
Abbildung 8 Automatische Genehmigungen in der Updateverwaltung
Mit der hinzugefügten Unterstützung für die Agentbereitstellung auf Computern in Arbeitsgruppenkonfigurationen können Administratoren die Updateverwaltung für ihre gesamte Umgebung über die Essentials-Konsole steuern.

Berechnung des Integritätsstatus von Objekten
In der Vergangenheit mussten Administratoren beim Anzeigen des Monitorstatus im Integritäts-Explorer warten, bis der Monitorstatus wieder aktualisiert wurde, um zu sehen, ob Wiederherstellungen oder andere Korrekturmaßnahmen erfolgreich waren. Neu in der SP1-Version des Integritäts-Explorers ist die Aufgabe zum Neuberechnen der Integrität, die die Monitorintegrität bei Bedarf neu berechnet (siehe Abbildung 9). Hierdurch kann die Problembehandlung erheblich beschleunigt werden, da nach Korrekturmaßnahmen nicht mehr lange gewartet werden muss, bis der neue Monitorstatus angezeigt wird.
Abbildung 9 Neuberechnung der Integrität im Integritäts-Explorer
Abbildung 9 Neuberechnung der Integrität im Integritäts-Explorer
Auch die Aufgabe „Integrität zurücksetzen“ (die es seit RTM gibt) wurde in wesentlichen Teilen verbessert, um dafür zu sorgen, dass jeder Monitor auf den Befehl reagiert, seinen Integritätsstatus auf „Fehlerfrei“ (grün) zurückzusetzen. Damit können jetzt sogar Zurücksetzungsbefehle für den Essentials-Server ausgeführt werden, was in der RTM-Version nicht möglich war.

Geskriptete Diagnose
Die Diagnose ist eine spezielle Aufgabe, die in Essentials 2007 eingeführt wurde und es ermöglicht, beim Auftreten einer Warnung automatisch oder manuell Daten zu sammeln. Eine automatische Diagnose wird ausgeführt, wenn ein Monitor in einen Fehlerzustand übergeht. Die Ergebnisse der Diagnose werden im Detailbereich der Registerkarte „Statusänderungsereignisse“ des Integritäts-Explorers angezeigt. Eine manuelle Diagnose wird als Hyperlink im gleichen Bereich angezeigt und kann einfach durch Klicken auf den Link ausgeführt werden. Die Ergebnisse werden in einem Popupfenster auf dem lokalen Computer angezeigt.
Wie Abbildung 10 zeigt, erweitert SP1 die Funktionalität der Diagnose dadurch, dass in Diagnoseaufgaben die Verwendung von Skripts zugelassen wird (im Gegensatz zur RTM-Version, in der nur Befehlszeilenantworten erlaubt waren). Hierdurch lassen sich Daten automatisch und auf komplexere Weise sammeln, wenn ein Fehler auftritt. Für Diagnoseaufgaben kann sowohl VBScript als auch JScript® eingesetzt werden.
Abbildung 10 Fenster „Warnungsdetails“ mit Links zum Ein- und Ausblenden von Informationen
Abbildung 10 Fenster „Warnungsdetails“ mit Links zum Ein- und Ausblenden von Informationen

Export nach Visio
Ein weiteres neues Feature in SP1 ist die Unterstützung für das Exportieren von Diagrammen in das Microsoft Visio® 2007-Format über eine Schaltfläche in der Symbolleiste, wenn der Benutzer eine Diagrammansicht auswählt. Dies ist ein sehr praktisches Dokumentationsfeature, da das Active Directory- und das Exchange Server 2003-Management Pack detaillierte Topologiediagramme zur Verfügung stellen und Administratoren somit viel Zeit beim Schreiben von Dokumentation sparen. Außerdem können Diagrammlayouteinstellungen gespeichert werden. Die Essentials-Konsole speichert diese Einstellungen und verwendet sie, wenn die Diagrammansicht das nächste Mal ausgewählt wird.

Bessere Leitfäden für Sicherung und Wiederherstellung
Sofort nach der Installation von Essentials 2007 SP1 fordert der Installationsassistent den Benutzer jetzt automatisch auf, eine Sicherungskopie der Essentials Management Server-Verschlüsselungsschlüssel zu erstellen (siehe Abbildung 11). Dieses Schlüsselpaar wird vom Essentials-Server im sicheren Speicher der „Ausführen als“-Anmeldeinformationen in der Operations-Datenbank verwendet. Diese Schlüssel werden auch in dem Fall benötigt, dass der Essentials-Server wiederhergestellt werden muss. Ohne dieses Schlüsselpaar müsste Essentials ganz neu installiert und konfiguriert werden.
Abbildung 11 Sicherung der Essentials-Verschlüsselungsschlüssel
Abbildung 11 Sicherung der Essentials-Verschlüsselungsschlüssel

Verbesserte Management Pack-Qualität
Zusätzlich zu den vielen Verbesserungen in SP1 für Essentials bemüht sich das Essentials-Produktteam sehr, die Qualität der Management Packs für die Essentials-Plattform zu steigern, indem es Essentials vielfältigen, strengen Tests unterzieht und sich verstärkt mit anderen Produktteams und Fachgebietsexperten für Anwendungen austauscht. Die Ergebnisse dieser Bemühungen werden sich dadurch zeigen, dass mehr Management Packs herausgegeben werden, die die neuen Features in der Microsoft-Überwachungsplattform nutzen, einschließlich automatisch eingestellter Schwellenwerte, dienstorientierter Überwachung mithilfe verteilter Anwendungsmodelle sowie des leistungsfähigen Berichterstattungsmoduls.
Microsoft wird ab 2008 mehr systemeigene Management Packs herausbringen, die die neuen Features in Essentials nutzen. Management Packs für Essentials 2007 können über den System Center-Management Pack-Katalog unter go.microsoft.com/fwlink/?LinkId=112399 heruntergeladen werden.

Probieren Sie es aus
SP1 wartet mit verbesserten Funktionen auf und macht System Center Essentials 2007 zu einer guten Investition zum Verwalten der IT-Infrastruktur Ihres mittelständischen Unternehmens. Wenn Sie bereits Essentials 2007 in Ihrer Umgebung einsetzen, laden Sie eine Kopie von SP1 herunter, und sehen Sie sich die neuen und verbesserten Features selbst an. Wenn Sie Essentials 2007 noch nicht eingesetzt haben und Essentials 2007 mit SP1 testen möchten, können Sie das Installationsprogrammpaket mit dem integrierten SP1 herunterladen. Beide Pakete sowie zusätzliche Produktinformationen finden Sie auf der Essentials 2007-Homepage unter microsoft.com/systemcenter/essentials. 

Pete Zerger ist beratender Partner bei AKOS Technology Services und verfügt über neun Jahre Erfahrung in der IT-Branche. Er ist auf die Bereiche Entwurf und Bereitstellung für Unternehmensbetriebsverwaltung, Verzeichnisdienste und Messaginglösungen spezialisiert. Pete ist als MCSE für Messaging und als MCTS für SQL Server 2005 zertifiziert und ist Microsoft MVP für Microsoft Operations Manager. Er ist der Gründer von systemcenterforum.org, einer beliebten Communitywebsite für Themen rund um Essentials 2007 und die System Center-Produktfamilie.


 Mitteilung der Redaktion: Herzlich Willkommen zu „Einblicke in SharePoint“
Mitteilung der Redaktion
Herzlich Willkommen zu „Einblicke in SharePoint“

Wahrscheinlich erinnern Sie sich daran, dass in der Mitteilung der Redaktion des vergangenen Monats die Rubrik „The Cable Guy “ verabschiedet und für die nächste Ausgabe des TechNet Magazins eine neue Rubrik angekündigt wurde. Hier ist sie nun: Die monatliche Rubrik „Einblicke in SharePoint“ befasst sich mit allem, was IT-Experten über Entwurf, Bereitstellung, Sicherung, Wartung und Support einer SharePoint-Infrastruktur wissen müssen. Wie versprochen enthält der erste Artikel von Pav Cherny einen Überblick über die Hauptelemente einer flexiblen SharePoint-Infrastruktur. Im nächsten Monat wird das Thema mit einem Bericht über die SharePoint-Websiteverwaltung fortgesetzt. Weiterhin gilt: Wenn Sie sich eine Erörterung bestimmter SharePoint-Themen wünschen, senden Sie einfach eine E-Mail an tnmag@microsoft.com.
Außerdem meldet sich Gil Kirkpatrick in der aktuellen Ausgabe mit einer detaillierten und umfassenden Übersicht über die Active Directory-Sicherung und den Wiederherstellungsprozess in Windows Server 2008 zurück. In vielen, wenn nicht sogar in den meisten Windows-orientierten Netzwerken ist Active Directory die maßgebliche Quelle für Identitäts- und Zugriffsinformationen (Sie werden mir sicher zustimmen, dass dies ziemlich wichtig ist). Active Directory ist außerdem ein Hauptinfrastrukturelement jeder Bereitstellung von Exchange, SharePoint, Configuration Manager und so weiter und so fort. Als ich jedoch im vergangenen Monat an einer von Gil Kirkpatrick gehaltenen Directory Experts Conference in Chicago teilnahm, und er fragte, wie viele Teilnehmer über einen umfassenden Notfallwiederherstellungsplan für Active Directory verfügten, konnten Sie die Meldungen an einer Hand abzählen. Daran lässt sich ablesen, dass der Artikel für uns alle relevant ist.
Für den unwahrscheinlichen Fall, dass Active Directory nicht Ihre Stärke ist, machen Sie sich keine Sorgen – wir haben viele weitere Themen für Sie vorbereitet. Matt Fontaine stellt System Center Mobile Device Manager vor (eine essenzielle neue Technologie, wenn Sie Windows Mobile-Geräte in Ihrer Organisation verwalten), Pete Zerger führt uns durch die Neuheiten von System Center Essentials SP1, und Jesper Johansson wendet die Heisenbergsche Unbestimmtheitsrelation auf IT-Sicherheit an. Wie immer melden sich die Scripting Guys, es werden Fragen und Antworten zu Exchange Server beantwortet und vieles mehr.
Außerdem arbeiten wir gerade an einem Projekt für die brandneue Website des TechNet Magazins (nach wie vor zu finden unter technetmagazine.com). Einige unserer Lieblingsautoren sind dabei, Screencast-Anleitungen zu entwickeln. Diese Videos sollen als Online-Begleitung der Artikel des Magazins dienen und Sie Schritt für Schritt durch die Inhalte führen. Wir freuen uns auf Ihre Anregungen zu Themen, die Ihrer Meinung nach in diesen Screencasts behandelt werden sollten. Senden Sie uns wie immer eine E-Mail an tnmag@microsoft.com. Danke! – Joshua Hoffman


 Briefe: Leser sagen ihre Meinung
Briefe
Leser sagen ihre Meinung

Windows-Clusterserver
Worin unterscheidet sich ein Windows® Compute Cluster Server von einem herkömmlichen Windows-Clusterserver?
– von blogs.technet.com/tnmag

Das ist eine häufig gestellte Frage! Wann immer ich über Windows Compute Cluster Server (CCS) spreche, werden mir viele Fragen über Verfügbarkeitscluster (Failoverclustering) gestellt. Computecluster unterscheiden sich von „Verfügbarkeitsclustern“, die ein Failover von Diensten auf Systemen bieten.
Computecluster verwenden eine Auftragswarteschlange oder einen Planer, um verschiedenen Systemen im Cluster Aufgaben zuzuweisen. Der Planer (der auf dem Headknoten des Clusters ausgeführt wird) erhält Auftragsplanungsanforderungen und weist den anderen Computeknoten im Cluster die Arbeit zu. Einfach ausgedrückt können Sie mit CCS Arbeitsvorgänge auf Computer aufteilen, während Verfügbarkeitscluster für einen ununterbrochenen Dienst verantwortlich sind.
– John Kelbley, Senior Technical Product Manager

Robocopy-GUI
Vielen Dank für den Beitrag zur grafischen Benutzeroberfläche (GUI) von Robocopy (November 2006, technetmagazine.com/issues/2006/11/UtilitySpotlight). Dadurch lässt sich Robocopy einfacher verwenden, und mithilfe der Gruppierungen von Registerkarten werden die vielen Befehlszeilenoptionen verständlicher.
– Biff M.

Herzlichen Dank für Ihr Feedback! Wir freuen uns, dass Sie dieses Tool nützlich finden. Wenn es andere Tools gibt, die Ihrer Meinung nach im TechNet Magazin vorgestellt werden sollten, lassen Sie es uns wissen! Schreiben Sie uns unter tntools@microsoft.com.

Gerätetreiber
Wie lassen sich alle Dateien, die mit bestimmten Gerätetreibern verbunden sind, auflisten?
– T. P.

Zum Erstellen einer Liste mit allen unterschiedlichen Dateien, die eine bestimmte Treiberinstallation unterstützen, gibt es leider keine perfekte Lösung. Die beste Möglichkeit besteht darin, einen Blick auf die .inf-Datei des betreffenden Treibers zu werfen – insbesondere auf den Abschnitt, der normalerweise mit „*.copyfiles“ bezeichnet ist, da er sich auf die Plug-n-Play-ID (PnpID) für diesen Treiber bezieht. In diesem Abschnitt sind die Dateien aufgeführt, die während der Installation des Treibers kopiert wurden.
Dieser Vorgang ist jedoch bei Treibern schwieriger, die „CoInstaller“ als Teil des Treibers aufrufen – einer von diesen kann wiederum andere Dateien extrahieren oder installieren. Doch durch Analyse des Abschnitts CopyFile erhalten Sie zumeist den Großteil der Dateien – Sie müssen nur genau hinschauen und verstehen, was die .inf-Datei Ihnen mitteilt.
– Wes Miller, Kolumnist, Die Desktopdateien

Windows-Authentifizierung
Ich suche nach Beiträgen oder Whitepapers, die Informationen zur Windows-Authentifizierung bieten. Insbesondere möchte ich mehr über drahtlose Verbindungen unter Verwendung des Internetauthentifizierungsdiensts (Internet Authentication Service, IAS) in einer Windows 2000 Active Directory®-Domäne erfahren. Können Sie mir Artikel zu diesen Informationen nennen?
– Brett M.

Die meisten Inhalte zu diesem Thema finden Sie wahrscheinlich im IAS TechCenter auf der TechNet-Website unter technet.microsoft.com/network/bb643123. Hier sind Links zu zahlreichen Artikeln und Whitepapers über die Authentifizierung mit IAS aufgeführt.
Ein anderes geeignetes Onlineforum, in dem Sie Fragen zu diesem Thema stellen können, ist die Newsgroup Windows 2000 Server Security unter microsoft.com/technet/community/newsgroups/dgbrowser/en-us/default.mspx?dg=microsoft.public.win2000.security.

Ein dankbarer Leser
Ich habe Ihren interessanten Artikel „Handbuch zu den Grundlagen der Computerforensik“ in der Ausgabe vom Dezember 2007 gelesen (zu finden unter technetmagazine.com/issues/2007/12/Forensics). Zunächst möchte ich Ihnen zur Veröffentlichung dieser wichtigen Informationen gratulieren. Außerdem möchte ich mich beim Mitautor Tom Cloward, Programmmanager bei Microsoft, für das Einbringen seiner weitreichenden Erfahrung im Bereich Sicherheit bedanken. Weiterhin möchte ich hiermit die Arbeit von Mitautor Frank Simorjay, technischer Programmmanager und Experte in Sicherheitsangelegenheiten bei Microsoft anerkennen. Sie alle arbeiten im Bereich Sicherheit und haben sich entschieden, andere an Ihrem umfangreichen Wissen auf diesem Gebiet teilhaben zu lassen, um durch Internetsicherheitsangriffe hervorgerufene Probleme zu lösen. Das ist wirklich lobenswert. Vielen Dank.
– Herr S.

Vielen Dank für Ihre Nachricht, Herr S. Auch wir sind der Meinung, dass dies ein äußerst wichtiges Thema ist und freuen uns, Ihnen mitteilen zu können, dass für zukünftige Ausgaben des TechNet Magazins weitere Beiträge zu diesem Thema geplant sind. Nochmals Danke!


 Toolbox: Neue Produkte f&#252;r IT-Experten
Toolbox
Neue Produkte für IT-Experten
Greg Steen

Analysieren von Speicherplatz
FolderSizes
foldersizes.com
Woher wissen Sie, wodurch der Speicherplatz auf dem Computer Ihres Kunden belegt wird? Möglicherweise verwenden Sie einen Speicherplatzmonitor, der Sie über einen bevorstehenden Speicherengpass informiert, doch die Bestimmung, wie die Festplatte aufgeräumt werden soll, um ausreichend freien Speicherplatz zu erzielen, kann kompliziert sein. Ein Dienstprogramm, mit dem Sie bestimmen können, wodurch Speicherplatz belegt wird, ist FolderSizes von Kay Metric Software.
Wenn Sie diese Anwendung zum ersten Mal starten, erhalten Sie zum Einstieg eine kurze Einführung in die Benutzeroberfläche (obwohl die Anwendung ziemlich einfach ist). Zum Analysieren eines Laufwerks oder Ordners doppelklicken Sie auf den Bereich „Folder Browser“. Nach dem Scannen des Zielobjekts durch FolderSizes bietet das Programm eine grafische Darstellung der Datenträgerverwendung und eine Ordneransicht, die aufzeigt, wie viel Speicherplatz die Inhalte des jeweils übergeordneten Ordners einnehmen. Mit nur einem Klick können Sie die Visualisierung von einem Kreisdiagramm zu einem Balkendiagramm ändern, um genau feststellen zu können, an welcher Stelle der Speicherplatz verwendet wird. Ich persönlich finde das Balkendiagramm nützlicher, wenn zahlreiche gleichgeordnete Verzeichnisse vorhanden sind.
Durch Doppelklicken auf einen Balken, Kreisausschnitt oder Ordner wird der jeweilige Unterordner angezeigt. Mit dieser Navigation wird das Einblenden potenzieller Problempunkte, wie beispielsweise ein „ausgeblendetes“ Verzeichnis mit MP3s, das Ihr Benutzer „Vertriebspräsentationen“ genannt hat, schnell und einfach. Wenn einer Ihrer Benutzer hamstert und einfach alles auf seinem Rechner aufbewahrt, können Sie Dateien nach dem Datum der letzten Änderung sortieren und feststellen, auf welche Dateien seit langem nicht mehr zugegriffen wurde. Das ist ein gutes Argument für den Benutzer, die Dateien möglicherweise auf CD zu archivieren oder sogar permanent zu löschen.
Ein weiteres praktisches Feature von FolderSizes besteht darin, dass sich die Anzahl von Ebenen in der Diagrammanzeige anpassen lässt. Sie können zum Beispiel ein Diagramm aller Ordner auf dem Laufwerk anzeigen, geordnet vom größten zum kleinsten, wodurch sich Problempunkte auffinden lassen. Wenn Sie einen Problempunkt gefunden haben, können Sie mit der rechten Maustaste darauf klicken, um auf die Aktionen „Command prompt from here“ oder „Explore this Folder“ zuzugreifen. Somit können Sie andere Hilfsprogramme oder jeweils erforderliche Überprüfungen ausführen.
FolderSizes enthält außerdem einen eingebauten Berichtgenerator, mit dem Sie einen weiteren Satz Ansichten der Inhalte des Zieldateisystems erhalten. So lassen sich zum Beispiel die größten Dateien eines bestimmten Typs oder die ältesten Dateien im System auffinden, temporäre oder doppelte Dateien lokalisieren, alle schreibgeschützten Dateien anzeigen sowie alle Dateien eines bestimmten Besitzers auf dem Dateiserver bestimmen. Die Liste geht noch weiter. Nach Generierung des Berichts können Sie die Ansicht filtern, ausdrucken oder sogar in XML, HTML oder CSV exportieren.
Zusätzlich bietet FolderSizes auch eine großartige Möglichkeit an, Sicherungsdateien zu rationalisieren, sodass Sie lediglich die wirklich benötigten Dateien archivieren. Die Befehlszeilenschnittstelle der Anwendung lässt sich außerdem einsetzen, um Skripts für Überprüfungen von Client- oder Serversystemen zu erstellen oder sie zu automatisieren. Wenn Sie schnell herausfinden möchten, wodurch Speicherplatz auf Ihren Server- oder Clientrechnern belegt wird, sollten Sie FolderSizes ausprobieren.
Preis: Ab 50 $ (Einzelbenutzerlizenz).
FolderSizes bietet Diagrammvisualisierung von Systemordnern
FolderSizes bietet Diagrammvisualisierung von Systemordnern

Verwalten von Benutzerkonten
Inactive Users Tracker
netwrix.com/inactive_users_tracker_freeware.html
Je größer Ihre Organisation ist, desto leichter ist es, die Übersicht über inaktive Benutzerkonten zu verlieren. In Bezug auf Sicherheit ist es immer eine gute Idee, über einen Prozess zu verfügen, mit dem inaktive Benutzerkonten verfolgt und anschließend deaktiviert oder entfernt werden, wodurch eine potenzielle Sicherheitslücke geschlossen wird. Inactive Users Tracker, ein Freewarehilfsprogramm von NetWrix Corporation, bietet dafür eine einfache Lösung.
Das Tool scannt regelmäßig Ihre Active Directory®-Domänen nach inaktiven Benutzern und schickt eine E-Mail mit inaktiven Konten an die Administrator-E-Mail-Adresse Ihrer Wahl. Sie können angeben, welche Domäne Sie verwalten möchten, sowie das Konto, das über die Berechtigung zum Scannen von Active Directory nach inaktiven Konten verfügt. Außerdem können Sie die Anzahl Tage festlegen, die ein Konto inaktiv sein muss, bevor es als inaktiv „gekennzeichnet“ und in die E-Mail-Benachrichtigung aufgenommen wird. Selbstverständlich können Sie auch planen, wann der Prozess beginnt.
Ansonsten konfigurieren Sie einfach Ihren SMTP-Server, sodass die Benachrichtigungs-E-Mail an die Administratoradresse gesendet wird und legen fest, ob das Hilfsprogramm inaktive Benutzerkonten mithilfe eines Namensfilters filtern soll – falls beispielsweise alle Beraterkonten mit „b_“ beginnen.
Es steht auch eine Version zum Kauf zur Verfügung (Preisangebote werden auf den Kunden zugeschnitten, der das Produkt erwirbt). Mit dieser Version können Sie die an Ihre Benutzer gesendeten E-Mail-Nachrichten anpassen. Außerdem wird die automatische Deaktivierung inaktiver Benutzerkonten unterstützt und technischer Support geboten.
Preis: Kostenlos
Inactive Users Tracker benachrichtigt Sie über inaktive Benutzer
Inactive Users Tracker benachrichtigt Sie über inaktive Benutzer

Verbessern Sie Ihre E-Mail-Kommunikation
Exclaimer Mail Utilities 2007
exclaimer.com/MailUtilities2007.aspx
Einerseits ist es in der heutigen zunehmend prozesssüchtigen und geregelten Welt besonders wichtig, dass die E-Mail-Kommunikation in Ihrer Organisation geschützt wird. Andererseits helfen konsistente Kommunikation und Branding Ihrer Organisation, intern und auch zu externen Kommunikationspartnern bessere Beziehungen aufzubauen. Exclaimer Mail Utilities 2007 kann mit Exchange Server 2007-Bereitstellungen eingesetzt werden und unterstützt Sie an beiden Fronten.
Die Anwendung verfügt über drei grundlegende Features, mit denen Sie die E-Mail-Kommunikation Ihrer Organisation vereinheitlichen und schützen: Haftungsausschlüsse, Branding und Signaturen. Außerdem haben Sie die Möglichkeit, Module zur Spam- und Virenbekämpfung hinzuzufügen.
In Bezug auf Haftungsausschlüsse hilft Exclaimer Mail Utilities bei der Reduzierung möglicher Rechtsstreitigkeiten und erhöht die Einhaltung gesetzlicher Vorschriften, z. B. Health Insurance Portability and Accountability Act (HIPAA) und Circular 230, indem jeder Nachricht, die von Ihrer Organisation ausgeht, ein benutzerdefinierter Text hinzugefügt wird (entweder nach oder vor dem E-Mail-Text). Was Branding betrifft, können Sie jeder gesendeten Nachricht ganz einfach ein Bild und Markenzeichen hinzufügen, um bei Ihren Kunden den Eindruck einer konsistenten Kommunikation zu hinterlassen. In jede Nachricht wird eine automatische Signatur eingefügt, ob sie nun von einem intelligenten Gerät, Microsoft® Outlook® Web Access oder einem standardmäßigen Outlook-Client gesendet wird. Die Signatur wird dynamisch aus Daten generiert, die wahrscheinlich bereits in Ihrer Active Directory-Struktur gespeichert sind. Sie können das Tool so konfigurieren, dass diese Signaturen basierend auf einer Reihe von Faktoren angepasst werden, z. B. ob die E-Mail an eine interne oder externe Person gesendet wird, wer der Absender ist, wer der Empfänger ist und was die Nachricht enthält.
Die Preisberechnung für Exclaimer Mail Utilities 2007 ist benutzerabhängig und beginnt bei 245 $ für 25 Benutzer mit Rabatten für eine höhere Benutzerzahl. Zusätzlich erhöht sich der Grundpreis durch das Antispammodul, das Antivirusmodul und den technischen Support. Support ist für das erste Jahr obligatorisch. Kosten: Ab 55 $ für 25 Benutzer. Aus Leistungsgründen benötigen Sie zum Ausführen von Exclaimer Mail Utilities einen Computer mit 64-Bit Windows Server® 2003 oder Windows Server 2008. Sollten Sie interessiert sein, jedoch noch Exchange Server 2003 verwenden, ist eine andere Version verfügbar.
Preis: Ab 245 $ für 25 Benutzer.

Buchbesprechung
How to Cheat at Securing SQL Server 2005
syngress.com
Als IT-Experten wissen Sie, dass Sicherheit für Infrastrukturimplementierungen oberste Priorität haben sollte. Bedenken Sie nur, wie stark Umgebungen heutzutage miteinander verbunden sind und wie viele vertrauliche Informationen auf unseren Systemen aufbewahrt werden. Das trifft vor allem auf SQL Server®-Instanzen zu, da sie häufig der zentrale Aufbewahrungsort für vertrauliche Informationen sind. Außerdem können die Regelungen zum Schutz der Privatsphäre, beispielsweise Sarbanes-Oxley und HIPAA, zu erheblichen rechtlichen und finanziellen Problemen führen, sollte etwas schief gehen und diese Daten gefährdet werden.
Zum Sichern Ihrer SQL Server 2005-Instanzen sollten Sie einen Blick in das Buch „How to Cheat at Securing SQL Server 2005“ werfen. Dabei ist der Titel etwas irreführend – das Buch bietet keine „Cheats“, sondern eine schrittweise Anleitung zur Sperrung Ihrer SQL Server 2005-Bereitstellungen. Die Strategie folgt dem grundlegenden Prinzip des „geringsten Zugriffs“, wobei Sie nur zulassen, was für die Unternehmensbedürfnisse erforderlich ist. Der Rest wird ausgeschaltet.
Nach der Einführung werden Möglichkeiten der Verringerung des Oberflächenbereichs Ihrer SQL Server 2005-Instanz mithilfe des Surface Area Configuration Tools erörtert. Sie erhalten nützliche Informationen, z. B. die Standarddienste mit den standardmäßigen Systemstartoptionen (manuell, automatisch oder deaktiviert) bei der Installation von SQL Server 2005. Im nächsten Kapitel erhalten Sie Informationen über SQL Server-Rollen und wie durch sie Verwaltungsaufgaben stark vereinfacht werden können. So wird beispielsweise aufgezeigt, wie eine Rolle mit einer Windows®-Gruppe verbunden wird. Auf diese Weise wird beim Hinzufügen eines neuen Benutzers zur Gruppe diesem automatisch Zugriff auf die für diese Rolle verfügbaren Ressourcen gewährt.
Das Kapitel über Authentifizierung und detaillierten Zugriff informiert über Windows- und SQL Server-Anmeldungen sowie die jeweiligen Vorteile und Nachteile. Außerdem werden bewährten Methoden von Microsoft in Bezug auf Authentifizierung erkundet. Das Buch geht dann zur Autorisierung über und deckt die Optionen ab, die zur Feinabstimmung der für Ihre Benutzer zugelassenen Optionen auf der Instanz zur Verfügung stehen (oder in der Datenbanksprache ausgedrückt: die Berechtigungen Ihrer Prinzipale für sicherungsfähige Elemente). Sie erfahren beispielsweise Näheres über die dedizierte Administratorverbindung (Dedicated Administrator Connection, DAC), die eine lokale Verbindung nur für Administratoren bietet, mit der Sie auf eine Instanz zugreifen können, wenn eine Abfrage oder ein Prozess alle Ressourcen benötigt und der Server nicht antwortet. Dies ist ein nützliches Feature, das es vor SQL Server 2005 nicht gab.
In SQL Server 2005 werden Schemas und Benutzer in unterschiedliche Entitäten getrennt. Es gibt ein Kapitel über das Definieren, Aktualisieren und Löschen von Schemas über T-SQL und das SQL Server Management Studio. In diesem Abschnitt finden Sie auch einige gute Tipps, so z. B. dass die gespeicherte Prozedur sp_adduser nicht verwendet werden sollte, um in SQL Server 2005 neue Benutzer zu erstellen, es sei denn, Sie wollen ein neues Schema erstellen. Verwenden Sie stattdessen ausschließlich die Anweisung CREATE USER T-SQL, um den Benutzer zu erstellen.
Kennwörter sind natürlich ein weiterer wichtiger Teil der Sicherung Ihrer Konfiguration, und das nächste Kapitel enthält eine ausführliche Behandlung von Kennwortrichtlinien, damit der Sicherheitsgrad auf allen Konten einheitlich ist. Der Autor erforscht verschiedene Implementierungsszenarios, um Sie bei der Auswahl der besten Richtlinie und Richtlinienart für Ihre Umgebung anzuleiten. Dann geht es weiter zu DDL-Triggern (Data Definition Language), die Schutz vor unbeabsichtigten Strukturänderungen sowie Überwachungsprotokolle für Änderungen bei Serveranmeldeinformationen bieten können.
Im nächsten Kapitel entdecken Sie die vielen Möglichkeiten, auf die SQL Server 2005 Ihre Daten und Schemas verschlüsseln kann, um vertrauliche Informationen zu schützen. Abschließend gibt das Buch einen Überblick über SQL Reporting Services, SQL Analysis Services und SQL Server Integration Services (SSIS), einschließlich sicherheitsbezogener Richtlinien für bewährte Methoden. Die beiden Anhänge sind ebenfalls sehr nützlich, denn Sie bieten einen Einblick in die Sicherung und Implementierung von Gruppenrichtlinien und Active Directory in Bezug auf SQL Server 2005.
Zwei der im Buch verwendeten Elemente fand ich besonders nützlich. Zunächst bietet jedes Kapitel einen Abschnitt namens „Solutions Fast Track“ mit einer stichpunktartigen Aufzählung von Features, Fakten und bewährten Methoden für die im jeweiligen Kapitel behandelten Elemente. Außerdem ist der Abschnitt „Frequently Asked Questions“ mit kurzen Antworten auf Fragen zur Administration der SQL Server 2005-Instanz äußerst hilfreich. Wenn Sie eine schnelle Möglichkeit für einen Einstieg in die Administration von SQL Server 2005 unter Sicherheitsgesichtspunkten suchen, sollten Sie „How to Cheat at Securing SQL Server 2005“ in Ihre Referenzbibliothek aufnehmen.
Preis: 19,98 $ für E-Book, 49,95 $ für Papierbuch

Leistungsfähige Bildschirmaufzeichnung
ScreenHunter 5 Pro
wisdom-soft.com/products/screenhunter_pro.htm
Bildschirmaufzeichnungen bieten eine großartige Möglichkeit, Benutzeranweisungen Schritt für Schritt zu dokumentieren, Fehlermeldungen, die in Anwendungen auftreten, darzustellen oder eine schnelle Featurepräsentation zusammenzustellen. Selbstverständlich verfügt Windows über eine eigene integrierte Bildschirmaufzeichnungsfunktionalität (PrtScr für eine volle Bildschirmaufzeichnung, Alt-PrtScr für das aktive Fenster). Doch die im Betriebssystem integrierten Fähigkeiten sind begrenzt. Wenn Sie eine detailliertere Steuerung darüber wünschen, was aufgezeichnet werden soll und wann, oder wenn Sie einen Bildschirm von einer Filmwiedergabe aufzeichnen möchten, sollten Sie eines der zahlreichen Bildschirmaufzeichnungsprogramme von Drittanbietern in Betracht ziehen. Ein solches Tool ist ScreenHunter Pro von Wisdom Software. Dieses kostengünstige Dienstprogramm verfügt über eine Reihe nützlicher Features, mit denen Sie Bildschirmaufzeichnungen besser auf Ihre speziellen Bedürfnisse zuschneiden können.
Die Benutzeroberfläche ist einfach. Sie wählen lediglich die Quelle für die Bildschirmaufzeichnung aus und richten Sie dann mithilfe der treffend benannten Registerkarten „From“ und „To“ auf das Ziel der Aufzeichnung aus. Mit der Anwendung können Sie Folgendes erfassen: einen skalierbaren oder feststehenden rechteckigen Bereich, ein spezielles Objekt oder Fenster, das aktive Fenster, einen speziellen Abschnitt des aktiven Fensters, den gesamten Bildschirm, eine DirectX®- oder Bildschirmschonerquelle, eine Filmwiedergabe oder eine komplexere Form (einen von Ihnen definierten Freihandbereich, Ellipsen- oder Polygonbereich). Sie können auch mehrere Fensterobjekte oder Meldungsfelder gleichzeitig aufzeichnen (dies eignet sich hervorragend für das Erfassen lediglich der aktiven Anwendung zusammen mit ihren Dialogen und anderen Fensterschnittstellen). Anschließend können Sie die Bildschirmaufzeichnung in der Zwischenablage, einem speziellen Anzeige- oder Bearbeitungsprogramm, einem Drucker oder einer Datei speichern. Sie kann sogar an eine E-Mail-Adresse gesendet werden.
Aufzeichnungen können als BMP-, PNG-, JPEG- oder TIFF-Dateien unterschiedlicher Bildqualität gespeichert werden. Zusätzlich kann die Aufzeichnung von der Anwendung automatisch auf eine spezielle Größe skaliert, und es kann eine Umrandung oder ein Wasserzeichen hinzugefügt werden, wodurch weniger Nacharbeit am Bild erforderlich ist. Sie können sogar festlegen, dass die Anwendung den Bildschirm in einem festgelegten Intervall automatisch aufzeichnet, wodurch die Aktivitäten auf dem Computer erfasst werden.
Ein anderes nettes Feature ist die Unterstützung der AutoBildlauf-Funktion durch ScreenHunter Pro, mit dem Sie beispielsweise eine umfangreiche Webseite mit einem sichtbaren Bereich aufzeichnen können, der sich über den sichtbaren Bereich auf Ihrem Bildschirm hinaus erstreckt. Wie viele andere IT-Experten verfüge auch ich über mehrere Monitore. Daher gefällt mir die Aufzeichnungsunterstützung für mehrere Monitore, mit der die Informationen auf allen Bildschirmen mit einer Aufzeichnung erfasst werden können.
Dieses Dienstprogramm enthält sogar einen integrierten Bildeditor, mit dem Sie Ihre Bilder innerhalb desselben Anwendungskontexts zuschneiden können. Wenn Sie einige der erweiterten Funktionen nicht benötigen – z. B. automatisches Senden per E-Mail, geplante Aufzeichnung, Wasserzeichen und Mehrfachmonitoraufzeichnung – sind Sie eventuell an der etwas kostengünstigeren ScreenHunter Plus-Version interessiert. Zudem ist eine gekürzte Version kostenlos verfügbar.
Preis: 29,95 $ für ScreenHunter Pro
Mit ScreenHunter Pro legen Sie fest, was wann aufgezeichnet wird
Mit ScreenHunter Pro legen Sie fest, was wann aufgezeichnet wird


 Exchange Fragen &amp; Antworten: Bereitstellung von Exchange&#160;2007&#160;SP1
Exchange Fragen & Antworten
Bereitstellung von Exchange 2007 SP1
Nino Bilic

F: Ist Exchange Server 2007 SP1 nur als 64-Bit-Version verfügbar? Wenn das Programm als 32-Bit-Version verfügbar ist, wird die Version in einer Produktionsumgebung unterstützt?
A: In dieser Hinsicht besteht kein Unterschied zwischen der Originalversion (RTM) und der SP1-Version von Exchange 2007. SP1 ist als 32- und als 64-Bit-Version verfügbar. Beachten Sie jedoch, dass wie bei der RTM-Version lediglich die 64-Bit-Version für installierte Serverfunktionen in einer Produktionsumgebung unterstützt wird. Sie können die 32-Bit-SP1-Version verwenden, um Setupschalter auszuführen/vorzubereiten und Ihre 64-Bit-Server zu verwalten, wie es auch in der RTM-Version möglich war.

F: Muss zuerst der RTM-Version von Exchange 2007 vollständig installiert und dann SP1 angewendet werden, um den SP1-Server zu erhalten?
A: Darin unterscheidet sich Exchange 2007 SP1 deutlich von Service Packs für frühere Exchange-Versionen. Bei der Installation von SP1 erhalten Sie auch die RTM-Funktionen. Daher ist für die Neuinstallation von Exchange 2007 SP1 nicht RTM-DVD erforderlich.
Für die Installation neuer Exchange 2007 SP1-Server benötigen Sie deshalb lediglich die SP1-Version. Selbst wenn Sie z. B. zuerst Exchange 2007 in die Server 2003-Organisation integrieren, können Sie sofort mit SP1 weitermachen.
F: Ich verfüge über einen Server mit Exchange 2007 RTM unter Windows Server® 2003 und installiere jetzt Exchange 2007 SP1 auf dem Computer. Da Exchange 2007 SP1 laut Microsoft unter Windows Server 2008 unterstützt wird, habe ich vor, später eine direkte Aktualisierung auf Windows Server 2008 vorzunehmen. Ist dies ein guter Plan?
A: Leider ist das keine gute Idee. Eine direkte Aktualisierung des Servers von Windows Server 2003 auf Windows Server 2008 bei installiertem Exchange 2007 RTM oder SP1 wird nicht unterstützt. Hierfür gibt es mehrere technische Gründe, und Sie sollten sich bewusst sein, dass Ihre Exchange-Installation beschädigt wird, wenn eine solche direkte Aktualisierung durchgeführt wird.
Weitere Informationen finden Sie unter „Mission Impossible: Direkte Aktualisierung von Microsoft® Exchange Server 2007 von Windows Server 2003 auf Windows Server 2008“ unter msexchangeteam.com/archive/2007/10/04/447188.aspx.

F: Ich habe für einige meiner Testumgebungsserver bislang nie eine Produkt-ID eingegeben. Daher wird, wenn ich die Exchange-Verwaltungskonsole starte, ein Popupfenster mit der Warnung angezeigt, dass „0 Tage“ verbleiben. Kann ich eine Aktualisierung auf Exchange 2007 SP1 durchführen, ohne die Product Keys für diese Server einzugeben?
A: Ja. Das Installationsprogramm von Exchange 2007 SP1 (siehe Bildschirmfoto) kann die Länge des Testzeitraums für einen bereits installierten Server nicht prüfen. Bei diesem Szenario gibt es keine Aktualisierungsblockierung.

F: Exchange 2007 SP1 ist bereits auf meinem Postfachserver installiert. Ich möchte diesem Server nun die ClientAccess-Serverfunktion hinzufügen. Muss ich hierfür die Exchange 2007 RTM- oder die neue Exchange 2007 SP1-Version verwenden?
A: Für die Installation zusätzlicher Serverfunktionen muss die Exchange 2007 SP1-Version verwendet werden, wenn Exchange 2007 SP1 bereits angewendet wurde. Bei Exchange 2007 SP1 handelt es sich um ein vollständiges Produkt, das alle erforderlichen Dateien für die Ausführung von Exchange 2007 enthält. Die Exchange 2007 RTM-Version wird nach einer erfolgreichen Installation von SP1 nicht mehr benötigt.
Wenn auf dem Server, den Sie auf Exchange 2007 SP1 aktualisieren, mehrere Serverfunktionen vorhanden sind, werden bei der Anwendung von SP1 automatisch alle installierten Serverfunktionen aktualisiert. Es ist nicht möglich, SP1 nur auf einen Teil der Serverfunktionen auf dem gleichen physischen Server anzuwenden.

F: Meine Exchange-Organisation verfügt über mehrere Exchange 2007-Server, und die Serverfunktionen sind auf die Server verteilt. Welche Serverfunktionen sollte ich zuerst aktualisieren?
A: Sie sollten zuerst die Anmerkungen zu Exchange 2007 SP1 herunterladen (go.microsoft.com/fwlink/?LinkId=112364) und lesen. Diese enthalten wichtige Informationen zur Anwendung von SP1 bei einer vorhandenen Installation.
In den Anmerkungen zu SP1 finden Sie folgende Informationen zu dieser Frage:

Es wird empfohlen, Server, die die Mailbox-Serverfunktion ausführen, zu aktualisieren, nachdem die Server aktualisiert wurden, die die Serverfunktionen „ClientAccess“, „Unified Messaging“, „Hub-Transport“ oder „Edge-Transport“ ausführen. Wenn Sie Ihre Server in dieser Reihenfolge aktualisieren, vermeiden Sie möglicherweise potenzielle Dienstunterbrechungen. (Durch das Aktualisieren der Funktionen in dieser Reihenfolge wird sichergestellt, dass die Server, die als Front-End für die Funktionalität für Postfächer dienen, unterbrechungsfrei mit dem Postfachserver kommunizieren können. Es werden Probleme vermieden, die auftreten können, wenn versucht wird, mit einem Back-End-Server mit mehr Features zu kommunizieren.) Es wird auch empfohlen, Clientzugriffsserver, die über das Internet zugänglich sind, zu aktualisieren, bevor Sie Clientzugriffsserver aktualisieren, auf die nicht über das Internet zugegriffen werden kann.
Wenn Sie die Edge-Transport-Serverfunktion in Ihrer Exchange-Organisation ausführen und ein Edge-Abonnement erstellt haben, müssen alle Transportserver, die am EdgeSync-Prozess beteiligt sind, die gleiche Version von Exchange 2007 ausführen. Es müssen alle abonnierten Edge-Transport-Server sowie sämtliche Hub-Transport-Server an dem Active Directory®-Standort aktualisiert werden, den die Edge-Transport-Server abonniert haben. Dies muss innerhalb von 15 Tagen erfolgen, nachdem der erste Transportserver, der am Edge-Abonnement-Prozess beteiligt ist, auf Exchange 2007 SP1 aktualisiert wurde.

F: Ich habe ForefrontTM Security for Exchange Server auf meinem Server mit Exchange 2007 RTM installiert. Muss ich etwas Besonderes tun, bevor ich eine Aktualisierung auf Exchange 2007 SP1 vornehmen kann?
A: Die RTM-Version von Forefront Security for Exchange Server ist nicht mit Exchange 2007 SP1 kompatibel. Forefront Security for Exchange Server muss entweder entfernt oder auf eine spätere Version aktualisiert werden, bevor Sie die Aktualisierung vornehmen können. In den Anmerkungen zu SP1 finden Sie weitere Informationen.
Das Installationsprogramm von Exchange 2007 SP1 verfügt übrigens über eine neue Voraussetzungsprüfung, die in diesem Fall eine entsprechende Warnung anzeigt, wenn Sie versuchen, die Aktualisierung durchzuführen.

F: Ich verfüge über Exchange 2007 RTM mit installiertem Rollup Update (RU), das nach der RTM-Version erschienen ist. Muss das RU entfernt werden, bevor Exchange 2007 SP1 angewendet werden kann?
A: Rollup Updates müssen nicht manuell entfernt werden, bevor Sie Exchange 2007 SP1 installieren. Das Installationsprogramm von Exchange 2007 SP1 löscht alle Updates, die entfernt werden müssen, bevor SP1 auf dem Computer installiert wird. 

Nino Bilic ist Supportability Program Manager für Exchange Server. In Mass Effect erforscht er die Galaxie, jagt Bösewichte und häuft dabei sagenhafte Reichtümer an.


 Schwerpunkt Dienstprogramme: Kapazit&#228;tsplanung f&#252;r SharePoint
Schwerpunkt Dienstprogramme
Kapazitätsplanung für SharePoint
Peter Skjøtt Larsen and Satish Mathew

Das Planen einer großen Installation von Microsoft® Windows® SharePoint® Services (WSS) und Microsoft Office SharePoint Server (MOSS) kann ein komplexes Unterfangen sein. Viele Faktoren spielen eine Rolle, wenn es um das Bestimmen der kostengünstigsten Topologie, Hardware und Bandbreitenanforderungen geht. Darüber hinaus müssen je nach Verwendung des Systems viele Konfigurationsoptionen in Betracht gezogen werden. Bei der Bestimmung der Systemgröße verfügen Administratoren und Planer oft nur über ziemlich vage Vorstellungen.
Erfreulicherweise hat Microsoft die zweite Generation von Microsoft System Center Capacity Planner (SCCP) 2007 veröffentlicht, ein universelles Tool, das verschiedene Anwendungen mit einem Simulator kombiniert, der einschätzen kann, wie sie sich in einer bestimmten Bereitstellung verhalten. In dieser Veröffentlichung wird das neue SharePoint-Kapazitätsplanungstool eingeführt, das diesem Modul zwei weitere Modelle für WSS 3.0 und MOSS 2007 hinzufügt.
Das SharePoint-Kapazitätsplanungstool und SCCP 2007 sind kostenlos im Microsoft-Downloadcenter unter microsoft.com/systemcenter/sccp/default.mspx verfügbar.
Das SharePoint-Kapazitätsplanungstool erfasst die Anforderungen Ihrer Organisation durch Kompilieren Ihrer Antworten zu Fragen über die erwartete Verwendung und die Betriebsbedingungen. Zum Generieren eines vorläufigen Entwurfs fordert ein Assistent Sie zur Angabe relevanter Informationen zu Ihrer Struktur und Ihren voraussichtlichen SharePoint-Anforderungen auf, einschließlich Anzahl und Art der Benutzer (authentifiziert oder anonym), Netzwerkparameter, Hardwarekonfiguration, Verwendungsmuster (z. B. Veröffentlichung oder Zusammenarbeit), Speicheranforderungen und Abfrageanforderungen.
Ergebnisse einer Simulation im SharePoint-Kapazitätsplanungstool
Ergebnisse einer Simulation im SharePoint-Kapazitätsplanungstool
Das Tool generiert eine empfohlene grundlegende Topologie, bei der die Bezeichnungen aus Ihrem eigenen Setup verwendet werden. Sie führen Auslastungs- und Nutzungssimulationen anhand der vorgeschlagenen Topologie aus, um festzustellen, wie die vorgeschlagene Installation unter verschiedenen Bedingungen funktionieren würde.
Die anfängliche Topologie kann mit einem Modelleditor geändert werden, und Sie können WhatIf-Szenarios ausführen, um die Auswirkungen einer erhöhten Nutzung, der Ausweitung von Unternehmensfilialen, zusätzlicher Hardware und erhöhter Bandbreite zu simulieren. Wie im Screenshot angezeigt, werden bei der Simulation Berichte über die geschätzte Serverauslastung und die Benutzerfunktionalität generiert, mit denen Sie die Optimierung der Konfiguration auf Grundlage von Parametern wie Kosten, Leistung und verfügbarer Hardware vornehmen können. Sie können einen ausführlichen oder zusammenfassenden Bericht in eine Excel®-Tabelle und das Topologiediagramm in eine Visio®-Datei exportieren.
Das SharePoint-Kapazitätsplanungstool erleichtert neue Bereitstellungen, da Sie die Möglichkeit haben, verschiedene Konfigurationen zu testen und somit eine sinnvolle Startkonfiguration festzulegen. Da Sie zudem vorhandene Topologien modellieren und WhatIf-Szenarios ausführen können, ist das Tool auch für die Untersuchung potenzieller Änderungen an vorhandenen Bereitstellungen nützlich.

Peter Skjøtt Larsen ist leitender Produktmanager im Microsoft Solution Accelerator-Team. Er ist seit vier Jahren bei Microsoft tätig und arbeitet an der UNIX-Migration und in den Bereichen Kommunikation und Zusammenarbeit.
Satish Mathew ist Programmmanager im Microsoft Solution Accelerator-Team. Er ist seit fast fünf Jahren bei Microsoft tätig und hat vor seinem Wechsel zum Solution Accelerator-Team im Windows PowerShell-Team mitgearbeitet.


 Einblicke in SharePoint: Erstellen einer SharePoint-Infrastruktur
Einblicke in SharePoint
Erstellen einer SharePoint-Infrastruktur
Pav Cherny
Laden Sie den Code für diesen Artikel herunter: SharePoint2008_05.exe (412KB)

Genau wie E-Mail-Nachrichten die Geschäftskommunikation revolutioniert haben, ändert die webbasierte Zusammenarbeit die Art, wie Menschen zusammenarbeiten und Informationen freigeben. Sehen Sie sich zum Beispiel an, was die SharePoint-Technologie bietet. Mit Microsoft Windows SharePoint Services (WSS) 3.0 und Microsoft Office SharePoint Server
(MOSS) 2007 können Sie Teamwebsites, Portale, Lösungen für das Verwalten von Webinhalten, Dokumentbibliotheken und Suchcenters erstellen, ganz zu schweigen von der 2007 Microsoft® Office System-Integration, den XML-basierten Formularen, Workflows, der Mobilitätsunterstützung und so weiter.
Die ersten Schritte mit SharePoint® sind jedoch nicht immer einfach. Die Terminologie ist möglicherweise verwirrend. Die Systemarchitektur kann komplex sein, und SharePoint erfordert, dass Sie mit mehreren Komponenten arbeiten, einschließlich IIS, Microsoft .NET Framework, SQL Server® und vielleicht anderen Technologien wie Business Intelligence, InfoPath® Forms Services, Rights Management Services (RMS), Exchange Server und ForefrontTM Security.
Angesichts der vielen Verfahren, mit denen sich SharePoint-Lösungen über die integrierte Benutzeroberfläche oder programmgesteuert erstellen lassen, können Sie bei Integration und Anpassung schnell die Orientierung verlieren. Hinzu kommt, dass die Problembehandlung kompliziert werden kann, wenn eine SharePoint-Anwendung nicht funktioniert. Oftmals müssen Sie die Denkweise eines Anwendungsentwicklers annehmen, um die beteiligten Komponenten und ihre Interaktionsweise zu verstehen. Wie können Sie angesichts all dieser Herausforderungen eine stabile, skalierbare und überschaubare SharePoint-Infrastruktur erstellen?
In diesem Artikel erfahren Sie, wie Sie den Einstieg am besten bewältigen: Zunächst wird in einer allgemeinen Architekturabhandlung eine Grundlage erarbeitet, dann erhalten Sie einen tieferen Einblick in die Bereitstellung von WSS, einschließlich grundlegender Brandinganpassungen Mithilfe der Self-Service Site-Verwaltung von WSS 3.0 werden Sie feststellen, wie Sie Berechtigungen für das Erstellen und Verwalten von SharePoint-Websites auf einzelne Benutzer delegieren, während Sie die zentrale administrative Kontrolle über die SharePoint-Infrastruktur beibehalten.
Durch eine anfängliche genauere Untersuchung der SharePoint-Architektur können Sie einfacher verstehen, welche Bereitstellungs- und Konfigurationsschritte erforderlich sind, um eine flexible und skalierbare Infrastruktur zu implementieren. Im Folgenden wird zunächst der Bereich Abhängigkeiten näher beleuchtet, anschließend geht es dann direkt um die Bereitstellung von WSS 3.0. Ausführliche Bereitstellungsanweisungen finden Sie im Begleitreferenzmaterial. Sie können das Referenzmaterial im Downloadbereich auf der Website des TechNet Magazins unter technetmagazine.com herunterladen.

SharePoint-Architektur
Bei SharePoint ist es hilfreich, die Technologie vom Standpunkt eines Systemarchitekten zu betrachten. Allerkleinste Details brauchen Sie nicht zu kennen, doch wenn Sie mit den allgemeinen Abhängigkeiten vertraut sind, die sich aus der SharePoint-Architektur ergeben, können Sie schneller mit Lösungen aufwarten, weil Sie voraussehen können, was konfiguriert werden muss und aus welchem Grund.
SharePoint ist eine Technologie zum Bereitstellen von Webanwendungen und Websites. Es handelt sich um eine auf IIS basierte Websitelösung, die durch ASP.NET in IIS integriert ist und auf einem SQL Server-Datenbank-Back-End für das Speichern von Konfigurationsdaten und -inhalten beruht. Kurz gesagt besteht SharePoint im Wesentlichen aus einer Kombination von drei verschiedenen Architekturen (IIS, .NET und SQL Server), wie in Abbildung 1 dargestellt.
Abbildung 1 Auf IIS 6.0 und ASP.NET 3.0 basierte WSS 3.0-Architektur
Abbildung 1 Auf IIS 6.0 und ASP.NET 3.0 basierte WSS 3.0-Architektur
Lassen Sie sich durch dieses Diagramm nicht abschrecken. Die Architektur sieht anfangs angesichts der großen Anzahl von Komponenten womöglich gigantisch aus. Doch all diese Komponenten passen in ein logisches Framework, das bei einer systematischen Untersuchung einen Einblick in die Komponentenabhängigkeiten vermittelt.
Wie dargestellt, verlässt sich SharePoint bei der Behandlung von HTTP-Anforderungen und -Antworten auf IIS und ASP.NET. Standard-IIS-Komponenten, z. B. der HTTP-Kernelmodustreiber (http.sys) und der Arbeitsprozess (w3wp.exe), führen das anfängliche Einreihen in die Warteschlange und das Weiterleiten von Anforderungen durch, bis sie am ASP.NET-ISAPI-Filter (aspnet_isapi.dll) ankommen. Bei der Installation von .NET Framework registriert die Setuproutine „aspnet_isapi.dll“ folgendermaßen in der IIS-Metabasis (C:\Windows\System32\Inetsrv\metabase.xml):
InProcessIsapiApps="C:\WINDOWS\system32\inetsrv\httpext.dll
C:\WINDOWS\system32\inetsrv\httpodbc.dll
C:\WINDOWS\system32\inetsrv\ssinc.dll
C:\WINDOWS\system32\msw3prt.dll
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_isapi.dll"
Wenn IIS den ASP.NET-ISAPI-Filter geladen hat, können alle eingehenden Anforderungen für eine Website an ASP.NET weitergeleitet werden, was wichtig ist, da SharePoint diese Anforderungen letztendlich über ASP.NET empfangen muss. Um dies zu erreichen, erweitert SharePoint die Konfiguration der ausgewählten Website durch Hinzufügen einer Platzhalteranwendungszuordnung, die alle eingehenden Anforderungen unabhängig von der Dateinamenerweiterung zum ASP.NET-ISAPI-Filter weiterleitet.
Dies ist in IIS-Manager ersichtlich, wenn Sie WSS 3.0 mithilfe der Option für die einfache Installation installieren. Die WSS-Setuproutine deaktiviert die vorhandene Standard-IIS-Website auf dem Server und erstellt eine neue Standardwebsite auf Port 80, in der die ASP.NET-Platzhalteranwendungszuordnung definiert wird (siehe Abbildung 2).
Abbildung 2 Platzhalteranwendungszuordnung für ASP.NET-ISAPI-Filter
Abbildung 2 Platzhalteranwendungszuordnung für ASP.NET-ISAPI-Filter
Damit ASP.NET wiederum Anforderungen an SharePoint weiterleitet, muss SharePoint auch die HTTP-Anforderungspipeline durch ein benutzerdefiniertes HttpApplication-Objekt erweitern, das mithilfe einer Klasse namens „SPHttpApplication“ in der Microsoft.SharePoint-Assembly implementiert wird. SharePoint definiert dieses benutzerdefinierte Anwendungsobjekt in der ASP.NET-Anwendungsdatei (global.asax), die Sie im Dateisystem im Stammordner der mit SharePoint erweiterten Websites finden können. Der folgende Code listet den Inhalt einer solchen global.asax-Datei auf:
<%@ Assembly Name="Microsoft.SharePoint"%>
<%@ Application Language="C#" Inherits="Microsoft.SharePoint.ApplicationRuntime.SPHttpApplication" %>
ASP.NET führt eine dynamische Analyse und Kompilierung dieser Datei durch, um das SharePoint-Anwendungsobjekt zu instanziieren.
Für jede empfangene Anforderung löst ASP.NET eine Reihe von Ereignissen aus, die die Webanwendung verarbeiten kann, z. B. BeginRequest, AuthenticateRequest, ProcessRequest und EndRequest. Die Details der Ereignisverarbeitung gehen über den Rahmen dieses Artikels – das Bereitstellen und Verwalten von SharePoint – hinaus, doch Sie sollten wissen, dass SharePoint zusätzlich zur SPHttpApplication, die in „global.asax“ angegeben wird, benutzerdefinierte in der web.config-Datei definierte HTTP-Handler und Module für die Website implementiert. Zum Beispiel verwendet SharePoint ein auf der SPRequestModule-Klasse basiertes HTTP-Modul, das als das erste HTTP-Modul noch vor den Standard-ASP.NET-Modulen registriert wurde. SPRequestModule initialisiert die SharePoint-Laufzeitumgebung, zum Beispiel durch das Registrieren einer SPVirtualPathProvider-Komponente in ASP.NET. Das SPRequestModule ist für die interne SharePoint-Verwendung bestimmt, aber Entwickler von SharePoint-Lösungen können die web.config-Datei ändern, um zusätzliche Komponenten, z. B. benutzerdefinierte HTTP-Handler und Module, zu registrieren. SharePoint nutzt ASP.Net sowohl mit benutzerdefinierten als auch mit Standard-HTTP-Modulen, während alle Anforderungen an SharePoint-Anwendungen weiterhin strikt kontrolliert werden.
Beachten Sie Folgendes: Beim Erstellen einer Webanwendung mithilfe der Website „SharePoint 3.0-Zentraladministration“ fügt WSS der ausgewählten IIS-Website die ASP.NET-Platzhalteranwendungszuordnung hinzu und erstellt die Dateien „global.asax“ und „web.config“ im Stammordner der Website. Jede Webanwendung verwendet ihren eigenen Satz von global.asax- und web.config-Dateien der höheren Ebene.
Um Anforderungen zu verarbeiten und aussagekräftige Informationen an Browser zurückzugeben, verlassen sich WSS 3.0 und MOSS 2007 auf den Standard-ASP-NET-Seitenparser, der die angeforderten ASP.NET-Seiten kompiliert oder sie im Nichtkompilierungsmodus verarbeitet. Doch die ASP.NET Seiten, die SharePoint an den ASP.NET-Parser weiterleitet, sind nicht unbedingt dort platziert, wo sie sich allem Anschein nach befinden. Zum Beispiel werden Sie keine default.aspx-Datei im Stammordner einer mit SharePoint erweiterten Website wie der „SharePoint 3.0-Zentraladministration“ finden können, und doch öffnen Sie „default.aspx“, wenn Sie die Homepage dieser Website anzeigen. Die SPVirtualPathProvider-Komponente erstellt nämlich eine virtuelle Umgebung, indem der Seiteninhalt vom lokalen Dateisystem oder einer SQL Server-Inhaltsdatenbank geladen und als virtuelle Datei zum ASP.NET-Seitenparser weiterleitet wird. Für die Zentraladministrationswebsite lädt SharePoint die default.aspx-Datei vom Ordner „C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Server Extensions\12\TEMPLATE\SiteTemplates\CentralAdmin“.
Die Homepage und die meisten anderen SharePoint-Webseiten sind mit einer ASP.NET-Masterseite verknüpft (default.master), über die ein allgemeines Layout für Menüs und Navigationssteuerelemente implementiert wird. Die default.master-Datei befindet sich im Order „C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Server Extensions\12\Template\Global“ und enthält benannte Platzhalter für weitere Inhaltsseiten, die sich auch auf dem lokalen Dateisystem oder in einer SQL Server-Inhaltsdatenbank befinden können. Wichtig ist Folgendes: Wenn Sie eine SharePoint-Website in einem Webbrowser öffnen, zeigen Sie eigentlich Informationen aus einer Sammlung von Inhaltsseiten an, die sich nicht unbedingt auf dem lokalen Webserver befinden und die entsprechend einem in einer Masterseite definierten Layout angeordnet sind.
Die allgemeine Regel ist die, dass unveränderte Seiten (oder in SharePoint-Terminologie nicht angepasste Seiten) als Seitenvorlagen auf dem lokalen Dateisystem jedes SharePoint-Servers existieren, während angepasste Seiten in die Inhaltsdatenbank geschrieben werden, damit alle SharePoint-Server in einer Webfarm Zugriff auf den gleichen Satz von Seiten haben (siehe Abbildung 3). Es wird angenommen, dass nicht angepasste Seiten für alle Server und Websites in der Webfarm identisch sind. Wenn Sie jedoch eine Inhaltsseite oder eine Masterseite in einer SharePoint-Website anpassen, vielleicht mithilfe von Office SharePoint Designer 2007, speichert SharePoint die angepasste Seite automatisch in der Inhaltsdatenbank.
Abbildung 3 Nicht angepasste und angepasste ASP.NET-Seiten in einer SharePoint-Anwendung
Abbildung 3 Nicht angepasste und angepasste ASP.NET-Seiten in einer SharePoint-Anwendung
Zusätzlich zu angepassten Seiten und anderem Websiteinhalt speichert SharePoint auch Konfigurationsdaten in einer SQL Server-Datenbank. SharePoint hält die Konfigurationsdaten vom Inhalt fern, weil die Konfigurationsdaten ihrer Natur nach global sind, während der Inhalt einzelner Webanwendungen und Websitesammlungen spezifisch ist. Dementsprechend kann eine Webfarm nur eine einzige Konfigurationsdatenbank, aber mehrere Inhaltsdatenbanken haben.
Alle WSS-Server in der Webfarm verwenden die gleiche Konfigurationsdatenbank für die Freigabe von Metadaten, Konfigurationseinstellungen und Informationen zu jeder IIS-Website, die in der Webfarm mit SharePoint erweitert wurde. Einzelne Webanwendungen dagegen können einer oder mehreren Inhaltsdatenbanken zugeordnet werden (obwohl jede Inhaltsdatenbank nur einer Webanwendung zugeordnet werden kann).
Die Beziehung zwischen IIS-Websites, Webanwendungen, Websitesammlungen, Websites und Inhaltsdatenbanken kann verwirrend sein. In SharePoint-Terminologie bezeichnet der Begriff Webanwendung eine mit SharePoint erweiterte IIS-Website. Eine Webanwendung kann mehrere Websitesammlungen enthalten, und jede Websitesammlung kann wiederum eine Website einer höheren sowie Websites einer untergeordneten Ebene enthalten, die über die gleichen Konfigurationseinstellungen verfügen.
Unter anderem ermöglicht Ihnen das Erstellen mehrerer Websitesammlungen, die Verwaltung der Websitesammlungen an verschiedene Benutzer und Gruppen zu delegieren. Eine einzige Websitesammlung kann nicht mehrere Inhaltsdatenbanken enthalten, aber eine Webanwendung kann mehrere Inhaltsdatenbanken für mehrere Websitesammlungen verwenden, um die Skalierbarkeit zu erhöhen, und die Leistungsbeeinflussung bei großen Websites zu verringern, die einen beachtlichen Anteil an Datenbankaktivität auf anderen SharePoint-Websites generiert. Es empfiehlt sich jedoch nicht, jede SharePoint-Website in ihre eigene Websitesammlung zu stellen, weil durch diese Art von Bereitstellung die websiteübergreifende Funktionalität eingeschränkt wird.
WSS 3.0 unterstützt die Inhaltssuche über mehrere Websitesammlungen nicht. Solche Suchvorgänge erfordern MOSS 2007 oder Microsoft Search Server 2008. Sie können zum Beispiel eine Webanwendung und Website der höheren Ebene für „http://contoso“ erstellen, und ein Websitesammlungsadministrator kann dann mithilfe der SharePoint-Benutzeroberfläche untergeordnete Websites erstellen, z. B. „http://contoso/info“ und „http://contoso/events“. All diese Websites existieren in derselben Inhaltsdatenbank, weil sie zur selben Websitesammlung gehören.
Als Webfarmadministrator können Sie in „SharePoint 3.0-Zentraladministration“ auch einen verwalteten Pfad verwenden, z. B. „/sites“, und dann zusätzliche Websitesammlungen definieren, z. B. „http://contoso/sites/IT“ und „http://contoso/sites/HR“. Diese drei Websitesammlungen (http://contoso, http://contoso/sites/IT und http://contoso/sites/HR) können unterschiedliche Websitesammlungsadministratoren, Konfigurationseinstellungen und Inhaltsdatenbanken haben, doch der Zugriff auf sie erfolgt weiterhin über die IIS-Website (http://contoso), und sie verwenden dieselbe Anwendungspoolidentität der Webanwendung.
Selbstverständlich gibt es noch viele weitere Details zu beachten, aber es ist äußerst wichtig, beim Arbeiten mit SharePoint diese Beziehung zwischen IIS, ASP.NET und SQL Server zu verstehen. Wenn Sie sich für weitere Informationen zur SharePoint-Architektur interessieren, empfiehlt sich der im MSDN® Magazin veröffentlichte Artikel von Ted Pattison „Entdecken Sie bedeutende Verbesserungen für Entwickler in SharePoint Services“, der unter msdn.microsoft.com/msdnmag/issues/06/07/WSS30Preview verfügbar ist.

SharePoint-Infrastrukturelemente
Als Nächstes soll diese kurze Architekturabhandlung in eine flexible SharePoint-Infrastruktur umgesetzt werden. Wie Sie sicher bemerkt haben, sind Windows Server®, IIS, .NET Framework 3.0 (beides für ASP.NET und Windows® Workflow Foundation), WSS 3.0 oder MOSS 2007 sowie SQL Server erforderlich. Obwohl Sie sich auf IIS 7.0 unter Windows Server 2008 freuen können, wird für den vorliegenden Zweck IIS 6.0 unter Windows Server 2003 verwendet, weil dies zum Zeitpunkt dieses Artikels die am häufigsten bereitgestellte Version ist. WSS 3.0 bleibt, weil für dieses anfängliche SharePoint-Pilotprojekt keine MOSS 2007-spezifischen Features erforderlich sind.
Für einen minimalistischen Ansatz können Sie WSS 3.0 mit allen erforderlichen Komponenten auf einem einzigen Computer installieren (siehe Beschreibung in der PDF-Datei zu WSS 3.0 auf einem einzelnen Computer, die im Begleitmaterial für diesen Artikel verfügbar ist). Dies ist für einen Testumgebungsserver oder eine kleine Arbeitsgruppenumgebung völlig ausreichend. Wenn Sie jedoch die Absicht haben, Ihre SharePoint-Infrastruktur möglichst flexibel zu gestalten, sollten Sie nicht mit einer eigenständigen Bereitstellung in Ihrer Produktionsumgebung starten. Aus Gründen der Verfügbarkeit und der zukünftigen Skalierbarkeit ist es besser, gleich eine mehrstufige Infrastruktur einzusetzen und bei Bedarf weitere Server hinzuzufügen.
In Abbildung 4 sehen Sie die SharePoint-Infrastruktur, die sich für eine einfache und flexible Systemkonfiguration empfiehlt. Sie enthält eine Webfarm mit zwei SharePoint-Servern und einen separaten Computer mit SQL Server. Diese Konfiguration beseitigt den Datenbankverarbeitungsaufwand auf den Webservern, erhöht die Verfügbarkeit und die Skalierbarkeit und vereinfacht die Systemwartung. Beachten Sie, dass Active Directory® erforderlich ist, weil dies bei einer Webfarmbereitstellung mit WSS 3.0 eine Softwareanforderung ist. Schritt-für-Schritt-Anleitungen für die Bereitstellung finden Sie in der PDF-Datei zur grundlegenden SharePoint-Infrastruktur im Begleitmaterial.
Abbildung 4 Grundlegende SharePoint-Infrastruktur für zukünftiges Wachstum
Abbildung 4 Grundlegende SharePoint-Infrastruktur für zukünftiges Wachstum
Das Domänenkonto, das für die Bereitstellung von SharePoint in dieser Anordnung verwendet wird, erfordert lokale Administratorberechtigungen für die Webserver. Es ist außerdem erforderlich, dieses Konto den SQL Server-Rollen „dbcreator“ und „securityadmin“ sowie der Datenbankrolle „db_owner“ für die Masterdatenbank in SQL Server 2005 hinzuzufügen, wie in der PDF-Datei zur grundlegenden SharePoint-Infrastruktur beschrieben. Sie können dann Konfigurations-Assistenten für SharePoint-Produkte und -Technologien bei der WSS 3.0-Installation verwenden, um die erforderliche Konfigurationsdatenbank für die Webserverfarmen und eine Inhaltsdatenbank für die Website „SharePoint 3.0-Zentraladministration“ zu erstellen. Andernfalls muss ein SQL Server-Administrator diese Datenbanken für Sie bereitstellen und der Rolle „db_owner“ die WSS-Systemkonten hinzufügen.
Bedenken Sie auf jeden Fall, dass das von Ihnen verwendete Benutzerkonto zum Installieren von SharePoint nicht das Konto ist, das SharePoint für den Zugriff auf die Konfigurationsdatenbank oder die Inhaltsdatenbank für die Zentraladministrationswebsite verwendet. Stattdessen verwendet SharePoint das Systemkonto, das als Anwendungspoolidentität für die Website „SharePoint 3.0-Zentraladministration“ konfiguriert wurde.
Der Konfigurations-Assistent für SharePoint-Produkte und -Technologien fordert Sie zur Eingabe der Konteninformationen auf. Es ist sinnvoll, hier ein dediziertes Domänenbenutzerkonto zu verwenden, z. B. CONTOSO\WssConfigAdmin. Ich persönlich verwende in der Regel individuelle, dedizierte Benutzerkonten für alle zusätzlichen Webanwendungen, die ich nachfolgend erstelle. Das Verwenden eines separaten Anwendungspools für jede Webanwendung trägt zum Gewährleisten einer Prozessisolation bei, das Verwenden eines unterschiedlichen Benutzerkontos für jeden Anwendungspool sorgt dafür, dass die Sicherheitsisolation beibehalten wird. Beachten Sie jedoch, dass dies nur ein möglicher Ansatz ist, und dass die potenziellen Auswirkungen auf die Verwaltbarkeit und Leistung anhand Ihrer eigenen Umgebung und Geschäftsanforderungen evaluiert werden müssen.
Ein anderes wichtiges Systemkonto, das der Domänenadministrator für Sie erstellen sollte, ist das Suchdienstkonto. Sie können das Zentraladministrationskonto verwenden, doch für eine erhöhte Sicherheit ist es vorzuziehen, ein dediziertes Suchkonto wie „CONTOSO\WssSearch“ zu verwenden, das keine Administratorberechtigungen hat und nicht jeden Inhalt ändern kann. Eine Schreibberechtigung für Inhaltsdatenbanken ist nicht erforderlich, weil der Suchdienst den Inhalt lediglich für Indizierungszwecke crawlt und die Suchdaten in einer separaten Datenbank verwaltet.
Wenn Sie eine Webanwendung in einer Serverfarm erstellen, können Sie diese Inhaltsdatenbank einem Suchserver zuordnen, der das entsprechende Suchdienstkonto implizit der Richtlinie „Alles lesen“ der Webanwendung hinzufügt. Suchserver sind SharePoint-Server, die den Windows SharePoint Services-Suchdienst ausführen. Wenn Sie die Schritt-für-Schritt-Anweisungen in der PDF-Datei zur grundlegenden SharePoint-Infrastruktur befolgt haben, wurden beide Webserver als Suchserver konfiguriert, damit Sie die durch Crawlen und Indizieren mehrerer Inhaltsdatenbanken verursachte Last besser verteilen können. Es ist jedoch auch möglich, einen dedizierten Suchserver in einer Webfarm zu konfigurieren, der vom Netzwerklastenausgleich und von Clientverbindungen ausgeschlossen ist, sodass die Clientverbindungen nicht von Crawlaktivitäten betroffen sind.

Self-Service Site-Verwaltung
Da nun eine grundlegende SharePoint-Infrastruktur eingerichtet ist, können Sie die Verwaltung von Websitesammlungen und Websites an einzelne Abteilungen und Benutzer delegieren, ohne die Kontrolle über Active Directory, die Webserverfarmen oder die SQL Server-Datenbanken zu dezentralisieren. Als Webfarmadministrator arbeiten Sie mit Active Directory- und SQL Server-Administratoren zusammen, um Anwendungspoolkonten und Inhaltsdatenbanken für Ihre Webanwendungen bereitzustellen. Innerhalb dieser Webanwendungen erstellen Sie dann Websitesammlungen und legen Websitesammlungsadministratoren mit der Berechtigung zum Erstellen untergeordneter Websites fest. Auf diese Weise können Websitesammlungsadministratoren innerhalb einzelner Abteilungen ihre SharePoint-Ressourcen unter minimaler Beteiligung der IT-Abteilung verwalten (siehe Abbildung 5).
Abbildung 5 Dezentralisierte Websiteverwaltung in einer zentralisierten SharePoint-Infrastruktur
Abbildung 5 Dezentralisierte Websiteverwaltung in einer zentralisierten SharePoint-Infrastruktur
Weiterhin kann Benutzern ermöglicht werden, Websitesammlungen unter verwalteten Pfaden zu erstellen (wie dem „/sites“-Pfad oder anderen verwalteten Pfaden mit Platzhalterinklusionen, die Sie in der SharePoint 3.0-Zentraladministration erstellen). Wenn Sie das Feature „Self-Service Site-Verwaltung“ innerhalb einer Webanwendung aktivieren, können Benutzer eigene Websitesammlungen erstellen und Websitegruppen und Berechtigungen innerhalb der SharePoint-Benutzeroberfläche verwalten. Im Unterschied zu untergeordneten Websites erben Websitesammlungen nicht die Berechtigungen einer übergeordneten Website.
Self-Service Site-Verwaltung ist nicht für jede SharePoint-Umgebung geeignet und daher standardmäßig deaktiviert. Wenn Sie dieses Feature aktivieren, führt dies möglicherweise zu einer großen Zahl selten verwendeter Websitesammlungen in den Inhaltsdatenbanken. Dieses Feature illustriert jedoch die Flexibilität der SharePoint-Verwaltung, und es empfiehlt sich, es in Ihrer Pilotbereitstellung auszuprobieren. (Darüber hinaus gibt es Optionen innerhalb von SharePoint, um Benutzer und/oder Administratoren über inaktive Websites zu benachrichtigen, damit sie gegebenenfalls entfernt werden können.) Sie müssen „Self-Service Site-Verwaltung“ explizit für eine Webanwendung aktivieren, wie es in der PDF-Datei zum Zulassen der Self-Service Site-Verwaltung im Begleitmaterial beschrieben ist.

SharePoint-Anpassungen und Branding
SharePoint-Ressourcen
  • Windows SharePoint Services-TechCenter
  • Windows SharePoint Services-Developer Center
  • Teamblog zu Microsoft SharePoint-Produkten und -Technologien
  • Logische Architekturkomponenten
  • Entwerfen von Serverfarmen und Topologien

An diesem Punkt kommt natürlich der Wunsch auf, das Logo, den Namen und die Farben des Unternehmens in die SharePoint-Benutzeroberfläche aufzunehmen. Bedenken Sie jedoch, dass Sie Ihr SharePoint-Projekt dadurch auf die ASP.NET-Entwicklerebene befördern. Als Mindestvoraussetzung benötigen Sie dazu ein Entwicklungssystem, z. B. einen eigenständigen WSS 3.0-Server mit Microsoft Office SharePoint Designer 2007 (siehe die PDF-Datei zur Installation von SharePoint Designer im Begleitmaterial), damit Sie Ihre Anpassungen erstellen und testen können, ohne die Produktionsumgebung zu beeinflussen. Außerdem empfiehlt sich der Besuch des „Windows SharePoint Services-Developer Center“ unter msdn2.microsoft.com/sharepoint, um mehr über die Fülle von Anpassungsoptionen in SharePoint zu erfahren.
Auch wenn die SharePoint-Entwicklung in diesem Artikel nicht behandelt werden kann, sollen kurz einige Überlegungen aufgeführt werden, die Sie in Betracht ziehen sollten. SharePoint speichert angepasste Seiten in der Inhaltsdatenbank der entsprechenden Websitesammlung. Anders ausgedrückt: Alle Anpassungen, die Sie auf Seiten, Anwendungsseiten, Masterseiten, Stylesheets und so weiter vornehmen, werden in einer SharePoint-Website nur auf die Websitesammlung oder die Websiteebene angewendet. Dies ist für einzelne Websitesammlungsadministratoren, die das äußere Erscheinungsbild ihrer Websites mithilfe von SharePoint Designer 2007 anpassen wollen, hervorragend, nicht jedoch für den Farmadministrator, der das Unternehmensimage auf allen Webanwendungen, Websitesammlungen und Websites in einer Webfarm durchsetzen will.
Sie können benutzerdefinierte Websitethemen oder benutzerdefinierte Websitedefinitionen erstellen, die auf einer Kopie des Standard-SharePoint-Themas oder der Websitedefinition basieren. Weiterhin können Sie benutzerdefinierte Masterseiten erstellen und diese dem Masterseitenkatalog hinzufügen. Allerdings setzt keine dieser Optionen das globale Branding durch, wenn das Feature „Self-Service Site-Verwaltung“ aktiviert ist, weil ein Benutzer mit den Berechtigungen zum Erstellen von Websitesammlungen oder Websites immer noch eine Standardwebsitevorlage auswählen kann, die das Unternehmensbranding nicht enthält.
Globales Branding erfordert, dass Sie die Standard-SharePoint-Komponenten ersetzen, damit stattdessen Ihre benutzerdefinierten Komponenten verwendet werden. Entwickler sind darum bemüht, dies ohne eine Änderung der ursprünglichen Dateien zu erreichen. Ein Ansatz besteht darin, die Konfiguration der virtuellen Verzeichnisse in IIS-Manager zu ändern und sie auf neue Ordner mit angepassten Dateien zu verweisen. Eine andere Methode besteht darin, ein benutzerdefiniertes HTTP-Modul oder einen ISAPI-Filter zu implementieren, um die URLs neu zu schreiben, sodass Anforderungen für bestimmte Standardseiten an angepasste Versionen umgeleitet werden.

Schlussbemerkung
Schwerpunkt dieses Artikels waren die Grundlagen für das Einrichten einer SharePoint-Infrastruktur mit WSS 3.0. Andere Features wie etwa Workflows, Umfragen, Nachrichtenintegration und Antivirus oder MOSS 2007-spezifische Funktionen wie Portale, Websiteverzeichnisse und Geschäftsdatenkataloge wurden nicht erörtert. Auch bei den Anpassungen für die Websiteverwaltung und das Unternehmensbranding wurde nur oberflächlich auf die Möglichkeiten von SharePoint eingegangen. Sie können weitere Anpassungen mit WSS 3.0 vornehmen, indem Sie benutzerdefinierte Anwendungen in Visual Studio® programmieren.
Die Infrastruktur ist stabil genug für zukünftiges Wachstum, wenn Sie weitere Webserver oder Datenbankserver hinzufügen. Mit der Piloteinführung einiger Anpassungen können Benutzer individuelle Websites erstellen und sich nach und nach mit SharePoint vertraut machen. Auf diese Weise können die zentralen Komponenten sowohl im Bereich Benutzerakzeptanz als auch bei Hardware und Software etabliert werden. Sie erhalten die Flexibilität, Änderungen zuzulassen, und schaffen die Grundlage für eine ausgereifte Produktionseinführung.

Pav Cherny ist IT-Experte und Autor, der sich auf Microsoft-Technologien für die Zusammenarbeit und einheitliche Kommunikation spezialisiert. Seine Veröffentlichungen umfassen Whitepapers, Produkthandbücher und Bücher mit dem Schwerpunkt IT-Vorgänge und Systemverwaltung. Pav Cherny ist Vorsitzender der Biblioso Corporation.


 Windows PowerShell: Automatisieren der Verzeichnisverwaltung
Windows PowerShell
Automatisieren der Verzeichnisverwaltung
Don Jones

Einer der missglückten Aspekte der ersten Version von Windows PowerShell ist der Zeitpunkt der Veröffentlichung. Das Windows PowerShell-Team stand mit der Lieferung des Produkts unter erheblichem Druck (die Veröffentlichung von Exchange Server 2007 hing praktisch von Windows PowerShell ab), und das Active
Directory-Team hatte zu der Zeit viel zu tun (Windows Server® 2008 befand sich auch schon in den Startlöchern). Daher wurde Windows PowerShell mit unterdurchschnittlichen Active Directory®-Verwaltungsfunktionen geliefert.
Nur der Klarheit halber: Es ist nicht so, dass Windows PowerShell® überhaupt keine Active Directory-Features enthält. In der Tat hat das Windows PowerShell-Team in letzter Minute einen heroischen Kraftakt an den Tag gelegt, um eine annehmbare Unterstützung für ADSI (Active Directory Services Interface) einzuarbeiten, eine für die Skripterstellung geeignete Technologie, die Benutzern von VBScript bereits bekannt ist.

Funktionsweise von ADSI
ADSI ähnelt in seiner Funktionsweise der Windows®-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI). Sie erstellen eine Abfrage, die Sie mithilfe einer besonderen Syntax schreiben. Die Abfrage wird an einen Remotecomputer (z. B. einen Domänencontroller) weitergeleitet und dann ausgeführt. Das Ergebnis der Abfrage ist ein Active Directory-Objekt oder eine Sammlung von Objekten (z. B. ein Benutzer oder eine Gruppe), und Sie erhalten einen Verweis zum entsprechenden Objekt, mit dem Sie dann arbeiten können. Sie können die Objekteigenschaften ändern oder Methoden ausführen, um Ihre Änderungen zu speichern, neue Objekte zu erstellen, Objekte zu löschen und so weiter. Zum Erstellen eines Benutzers beispielsweise fragen Sie die Organisationseinheit oder den Container ab, in dem Sie den Benutzer platzieren wollen. Das zurückgegebene Objekt enthält eine Create-Methode, die zum Erstellen des Benutzers verwendet werden kann.
Grundsätzlich ist das Verwenden von ADSI in Windows PowerShell einfach und übersichtlich. Zum Beispiel wird durch diesen Befehl ein Benutzer abgerufen und sein Company-Attribut angezeigt:
$user = [ADSI]"LDAP://cn=Ringo,ou=Singers,dc=company,dc=pri"
$user.Get("Company")
Sie können den Benutzer zu Get-Member leiten, um seine Eigenschaften und Methoden anzuzeigen. Leider zählt die Implementierung dieser Verzeichnisobjekte nicht zu den Stärken von Windows PowerShell 1.0. Wie in Abbildung 1 dargestellt, zählt die Shell die Verzeichnisattribute des Objekts nicht auf, und sie zeigt auch die Methoden des Objekts, zum Beispiel die verwendete Get-Methode, nicht an.
Abbildung 1 Leiten des Benutzers zu Get-Member zur Anzeige seiner Eigenschaften
Abbildung 1 Leiten des Benutzers zu Get-Member zur Anzeige seiner Eigenschaften
Dieser Support wurde im Community Technology Preview (CTP) von Windows PowerShell 2.0 teilweise verbessert. Im Endeffekt macht das zugrunde liegende Microsoft® .NET Framework es Administratoren nicht einfach, die gewünschten Informationen anzuzeigen. Das Framework wurde immerhin ursprünglich für Entwickler entworfen. Das andere Problem besteht darin, dass das Windows PowerShell-Team zwar seinen Teil beitragen kann, eine optimale Active Directory-Unterstützung aber von dem Team bereitgestellt werden sollte, das sich am besten mit Verzeichnissen auskennt: dem Active Directory-Team. Dies wird mit der Zeit sicher geschehen, schließlich ist Windows PowerShell ja noch ein relativ neues Tool. Doch wie gehen Sie in der Zwischenzeit vor?
Vielleicht erinnern Sie sich, dass das Verwenden der ADSI-Technologien in einem Artikel der Windows PowerShell-Ausgabe vom Juni 2007 behandelt wurde (technetmagazine.com/issues/2007/06/PowerShell). Es empfiehlt sich, diesen Artikel noch einmal zu lesen, wenn Sie weitere Einzelheiten zu diesem „systemeigenen“ Verfahren wünschen. In dieser Ausgabe sollen einige andere Ansätze erläutert werden.

Ein umfangreiches Ökosystem
Der Windows PowerShell-Architekt Jeffrey Snover bezieht sich häufig auf das umfangreiche Ökosystem, das Windows PowerShell umgibt. Das heißt praktisch, dass das Team gute Arbeit geleistet und sichergestellt hat, dass die Funktionen von Windows PowerShell von beliebigen Personen erweitert werden können, nicht nur von Programmierern bei Microsoft. Eine Reihe von Unternehmen, darunter VMWare, IBM, Citrix und Foundry, ist bereits dabei und erstellt systemeigene Windows PowerShell-Cmdlets, die Ihnen ermöglichen, die jeweiligen Produkte von der Befehlszeile aus zu verwalten.
Eines meiner Lieblingsbeispiele für dieses umfangreiche Ökosystem ist die Quest-Software. Das Unternehmen bietet einen Satz von kostenlosen, nichtgewerblichen Cmdlets für die Active Directory-Verwaltung an. Sie können diese Cmdlets unter quest.com/powershell herunterladen. Ein weiteres Produkt von Quest ist PowerGUI (powergui. org), eine kostenlose, nichtgewerbliche grafische Benutzeroberfläche, die über der Windows PowerShell-Oberfläche installiert wird und für diejenigen ideal ist, die sich noch nicht an eine vollständige Befehlszeilenoberfläche wagen. PowerGUI erleichtert es außerdem, das Verwenden von Active Directory-Verwaltungs-Cmdlets zu erlernen. Eins steht fest: Verwenden werden Sie sie auf jeden Fall. Diese Cmdlets ermöglichen Ihnen eine bequeme und leistungsstarke Active Directory-Verwaltung, die einfach beispiellos ist. (Wenn Sie mehr über PowerGUI lesen wollen, empfiehlt sich der im Januar 2008 veröffentlichte Toolbox-Artikel, den Sie unter technetmagazine.com/issues/2008/01/Toolbox finden.)

Die Windows PowerShell-Funktionsweise
Wann immer Cmdlets zur Anwendung kommen, haben Sie es ganz und gar mit Windows PowerShell zu tun. Sie müssen sich nicht mit herkömmlichen Skripts oder komplizierten Programmierobjekten abgeben. Hier ist meine absolute Lieblingszeile. Es handelt sich um eine einzige Befehlszeile, die eine CSV-Datei importiert und die darin enthaltenen Informationen verwendet, um Dutzende oder sogar Hunderte neuer Active Directory-Benutzer zu erstellen:
Import-CSV 'C:\provision1.csv' |
ForEach-Object {New-QADUser -organizationalUnit 'company.pri/Singers' -name ($_.'First Name' + '.' + $_.'Last Name')
-samAccountName $_.'Logon name' -city $_.city -title $_.'Job title' -department $_.department}
Dies ist zwar ein langer Befehl, aber er ist erstaunlich leistungsfähig. Am Anfang steht Import-CSV, ein systemeigenes Shell-Cmdlet, das eine CSV-Datei liest und Objekte zurückgibt. Jede Zeile in der CSV-Datei ist ein einzelnes Objekt, und die Spalten der CSV-Datei werden zu Eigenschaften des Objekts. In der hier verwendeten Datei „Provision1.csv“ handelt es sich bei den Spaltennamen um „Anmeldename“ und „Vorname“ – das ist interessant, weil die Spaltennamen nicht direkt Active Directory-Benutzerattributen zugeordnet werden. Meiner Erfahrung nach ist es bei solchen Dateien üblich, eher vertraute Spaltennamen zu verwenden, anstatt Namen, die sich spezifisch auf Active Directory beziehen. Zum Beispiel kann es vorkommen, dass Sie diese Datei von jemandem in der Personalabteilung Ihres Unternehmens erhalten, und die Person wird wahrscheinlich nicht wissen, dass „Nachname“ das sn-Attribut in Active Directory ist.
Wenn alle Daten in der CSV-Datei importiert und in Objekte umgewandelt wurden, werden diese Objekte zum ForEach-Object-Cmdlet geleitet, das innerhalb der geschweiften Klammern in meiner Lieblingszeile für jedes Objekt einen Codeblock ausführt. Das heißt, dass dieses Skript für jede Zeile in der CSV-Datei einmal ausgeführt wird. Innerhalb des Skripts ist die besondere Variable „$_“ ein Verweis zum aktuellen Objekt bzw. zur aktuellen Zeile der CSV-Datei.
Wie Sie sehen, wird hier für jedes Objekt das New-QADUser-Cmdlet ausgeführt. Dabei handelt es sich um eins der Cmdlets im Quest-Add-In, von denen es mindestens ein Dutzend gibt. Beachten Sie den Namen „QADUser“. Das Q steht, wie Sie sicher schon erraten haben, für Quest (Suche). Durch diese Benennungskonvention wird ein Konflikt mit dem letztendlichen New-ADUser-Cmdlet vermieden, das wahrscheinlich zu den zukünftigen Entwürfen des Microsoft Active Directory-Teams gehören wird. Wenn beide Cmdlets gleichzeitig in der Shell geladen werden, können sowohl Sie als auch die Shell die Cmdlets problemlos unterscheiden.
Die restliche Zeile besteht aus Parametern für das New-QADUser-Cmdlet. Am Anfang wird die Organisationseinheit angegeben, also der Ort, an dem alle neuen Benutzer erstellt werden müssen. Als Nächstes folgt das name-Attribut, das hier folgendermaßen festgelegt wurde: die Inhalte der First Name-Spalte, ein Punkt und dann die Inhalte der Last Name-Spalte.
An dieser Stelle soll noch eine interessante Tatsache erwähnt werden: Der City-Parameter ändert tatsächlich das l-Attribut (oder Locality-Name) in Active Directory. Das Cmdlet akzeptiert auch einen Parameter namens „l“, mit dem dasselbe erzielt wird. Größtenteils können Parameter, die Active Directory-Attribute bezeichnen, sowohl den Attributnamen als auch die Textbeschriftung des Tools „Active Directory-Benutzer und -Computer“ verwenden.

Die alternative Windows PowerShell-Funktionsweise
Bei Active Directory handelt es sich um einen hierarchischen Speicher, und eine der Stärken von Windows PowerShell ist die Möglichkeit, einen hierarchischen Speicher als Laufwerk verfügbar zu machen. Auf diese Weise können Sie einen Ihnen vertrauten Satz von Befehlen wie „Dir“, „Del“, „Ren“, „Copy“ und so weiter verwenden, um eine Reihe verschiedener Speicher zu verwalten. Leider wurde Windows PowerShell 1.0 nicht mit einem PSDrive-Anbieter für Active Directory geliefert, was bedeutet, dass die Shell keine Möglichkeit hat, Active Directory selbst als Laufwerk verfügbar zu machen.
Glücklicherweise kommt mit den PowerShell-Communityerweiterungen wieder das umfangreiche Ökosystem ins Spiel. Dies ist ein kostenloses Open-Source-Add-In, das unter codeplex.com/powershellcx verfügbar ist. Nach der Installation des Add-Ins ermöglichen Ihnen die PowerShell Communityerweiterungen, die Shell an Ihren Domänennamen zu leiten, um das Verzeichnis so zu verwalten, als ob es ein Laufwerk wäre:
CD COMPANY:
CD SINGERS
DIR
Diese Befehle werden zur COMPANY-Domäne, werden zur Singers-Organisationseinheit und werden dann als eine Liste von Objekten angezeigt (siehe Abbildung 2). Von dort können Befehle wie „Del“ zum Löschen eines Benutzers, „Md“ zum Erstellen einer neuen Organisationseinheit und so weiter verwendet werden. Es gibt einige Probleme mit dem Communityerweiterungs-PSDrive-Anbieter. Dabei geht es im Grunde darum, dass die erwartete Funktionalität doch nicht verfügbar ist, weil die Zuordnungen nicht mit der Funktionsweise von Active Directory übereinstimmen. Außerdem müssen Sie äußerst vorsichtig sein: Durch Ändern des Stamms Ihrer Domäne und Ausführen von „del * -recurse“ werden tatsächlich alle Objekte in der Domäne gelöscht, vorausgesetzt, Sie haben die Berechtigung dazu. Es gibt keine Standardeinstellung, die nachfragt, ob Sie „dies wirklich vornehmen möchten“. Die Befehlszeile ist leistungsfähig, doch diese Leistung ist für jemanden, der nicht sachkundig und vorsichtig ist, mit Risiken verbunden.
Abbildung 2 Verwenden der PowerShell-Communityerweiterungen zum Steuern der Shell und zur Verzeichnisverwaltung
Abbildung 2 Verwenden der PowerShell-Communityerweiterungen zum Steuern der Shell und zur Verzeichnisverwaltung

Setzen Sie Windows PowerShell noch heute ein
Ich werde von meinen Studenten immer gefragt, auf welche Weise sie Windows PowerShell sofort verwenden können. Immerhin wurde nicht jedes Microsoft-Produkt neu entworfen, damit es mit Windows PowerShell verwendet werden kann, und es taucht vielleicht der Gedanke auf, dass vor dem eigentlichen Einsatz von Windows PowerShell noch einiges passieren muss.
Tatsache ist, dass schon eine ganze Menge passiert ist. Obwohl Active Directory von Microsoft noch nicht für die Befehlszeilenverwaltung ausgestattet wurde, haben andere bereits einen Anfang gemacht und recht gute Erfolge damit erzielt. Sie können Windows PowerShell für viele Verwaltungsaufgaben verwenden, einschließlich des Automatisierens einiger der zeitaufwändigsten und lästigsten Aufgaben, z. B. das Erstellen von Batches neuer Benutzer. Der Trick besteht darin, in Erfahrung zu bringen, was zurzeit in der Community vor sich geht, um mehr Nutzen aus Windows PowerShell zu ziehen. (Zu empfehlen ist PowerShellCommunity.org, eine Website, die unter anderem von Microsoft gesponsert wird und an deren Verwaltung ich beteiligt bin.) Mit den richtigen in Windows PowerShell geladenen Tools können Sie bereits jetzt Skripts für einige der zeitaufwändigsten und mühsamsten Verwaltungsaufgaben erstellen und Ihre Rolle als Administrator sehr viel effizienter gestalten.

Don Jones ist Mitautor von Windows PowerShell: TFM, 2nd Edition, Autor von VBScript, WMI, and ADSI Unleashed und Leiter von PowerShellCommunity.org.


 Hey, Scripting Guy!: Regul&#228;re Ausdr&#252;cke
Hey, Scripting Guy!
Reguläre Ausdrücke
Die Scripting Guys von Microsoft
Laden Sie den Code für diesen Artikel herunter: HeyScriptingGuy2008_05.exe (150KB)

Im November 2007 hatten die Scripting Guys die Gelegenheit, auf ihrer Reise zur IT-Konferenz Tech•Ed in Barcelona einen Tag in Paris zu verbringen. Während der eintägigen Ruhepause nutzten wir die Möglichkeit, den Louvre, das weltberühmte Museum dieser Stadt, zu besuchen.
Wie fanden die Scripting Guys den Louvre? Die Antwort ist ganz einfach: Wir gingen bis zur Kathedrale Notre Dame und sind dann links abgebogen.
Ach so, Sie meinen, ob uns der Louvre gefallen hat? Größtenteils ja. Unser einziges Problem damit war, dass der Louvre, so wie viele Museen, zum Ansehen aber nicht zum Anfassen einlädt. Jeder weiß, dass die Mona Lisa viel besser aussehen würde, wenn sie Augenbrauen hätte. Doch aus unerfindlichen Gründen regt sich der Kurator des Louvre sehr auf, wenn man versucht, Verbesserungen an einem der Gemälde vorzunehmen.
Hinweis: Die Mona Lisa hat beiden Scripting Guys gut gefallen. Das war sogar eine angenehme Überraschung, denn nach all dem Rummel und den großen Erwartungen hatten wir befürchtet, dass es sich doch nur um ein weiteres unspektakuläres Gemälde handeln könnte. So war es aber nicht. Es war toll. (Obwohl die Augenbrauen fehlen.) Interessanterweise waren wir beide von der gleichermaßen hochgejubelten Venus von Milo enttäuscht. Keiner von uns beiden war beeindruckt. Der Scripting Guy, der diesen Artikel schreibt, sah in der Venus von Milo eigentlich keinen Sinn. Die Statue einer Frau, die keine Arme hat? Wie soll sie denn dann putzen oder spülen!?
Hinweis für unsere Leserinnen (falls wir noch welche haben): Das war offensichtlich ein Tippfehler. Wir meinten: Die Statue einer Frau, die keine Arme hat? Dabei kann sie zweimal so viel Arbeit verrichten wie ein Mann und auch noch richtig.
Die Scripting Guys entschuldigen sich für jegliche Missverständnisse aufgrund unserer ursprünglichen Aussage.
Wie auch immer, in dem Augenblick, in dem wir die großartigen Schätze des Louvre erblickten, wurden die beiden Scripting Guys vom selben Gedanken befallen: Wo sind die Toiletten? Während dieser Suche hatte der Autor einen weiteren Gedanken: Die Scripting Guys sind eigentlich ziemliche Heuchler. Wir sind verärgert, dass der Louvre uns die Problembehebung bei der Mona Lisa nicht gestattet. Dabei haben wir uns neulich ganz ähnlich verhalten. In der Ausgabe des TechNet Magazins vom Januar 2008 haben wir einen Artikel über das Verwenden regulärer Ausdrücke in einem Skript geschrieben. Dies ist ein hervorragendes Beispiel für „Ansehen erlaubt, Anfassen aber nicht“: Wir haben Ihnen gezeigt, wie Sie reguläre Ausdrücke zum Identifizieren von Problemen in einer Textdatei verwenden, aber wir haben Ihnen nicht vorgeführt, wie Sie die Probleme beheben. Dumm gelaufen.
Hinweis: Wenn die Scripting Guys im November 2007 den Louvre besucht haben, wie soll dann der Autor dieses Artikels plötzlich über einen Artikel nachgedacht haben, der erst im Januar 2008 im TechNet Magazin erschienen ist? Wow, das ist schon rätselhaft, nicht wahr? Das muss etwas mit dem Zeitunterschied zwischen Redmond und Paris zu tun haben.
Glücklicherweise sind die Scripting Guys im Unterschied zu den Leuten, die den Louvre betreiben, bereit, ihre Fehler zuzugeben. Es war unser Fehler, nur aufzuzeigen, wie Sie eine Textdatei mithilfe von regulären Ausdrücken durchsuchen können. Wir hätten auch erläutern sollen, wie Sie mithilfe von regulären Ausdrücken Ersetzungen vornehmen können. Eigentlich hätten wir Ihnen ein Skript wie in Abbildung 1 zeigen sollen.
Figure 1 Suchen und ersetzen (Close Figure 1)
      Set objRegEx = _
    CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.IgnoreCase = True
objRegEx.Pattern = "Mona Lisa"

strSearchString = _
    "The Mona Lisa is in the Louvre."
strNewString = _
    objRegEx.Replace(strSearchString, _
                     "La Gioconda")

Wscript.Echo strNewString
Hierbei handelt es sich eindeutig um eine recht banale Verwendung regulärer Ausdrücke: Alles, was hier geschieht, ist das Ersetzen aller Instanzen des Zeichenfolgenwerts Mona Lisa durch La Gioconda (Italienisch für „Wo habe ich nur meine Augenbrauen gelassen?“). Zugegebenermaßen hätten wir diese Ersetzung mithilfe der VBScript-Funktion „Replace“ viel einfacher durchführen können. Aber keine Angst: Mit diesem einfachen kleinen Skript wird erläutert, wie Sie Such- und Ersetzungsvorgänge mithilfe regulärer Ausdrücke durchführen. Anschließend lernen Sie einige interessante Anwendungen dieser Ausdrücke kennen.
Wie Sie sehen, ist dieses Skript wirklich nichts Besonderes. Erstellen Sie zunächst eine Instanz des VBScript.RegExp-Objekts, wobei es sich natürlich um das Objekt handelt, das die Verwendung regulärer Ausdrücke innerhalb eines VBScript-Skripts ermöglicht. Nach dem Erstellen des Objekts weisen Sie drei Eigenschaften des Objekts Werte zu:
Global Durch Festlegen dieser Eigenschaft auf „True“ wird dem Skript mitgeteilt, dass es jede Instanz von Mona Lisa im Zieltext sucht und ersetzt. Wenn für Global-Eigenschaft der Wert „False“ festgelegt wäre (der Standardwert), würde das Skript nur die erste Instanz von Mona Lisa suchen und ersetzen.
IgnoreCase Durch Festlegen von IgnoreCase auf „True“ wird dem Skript mitgeteilt, dass die Suche ohne Beachtung der Groß-/Kleinschreibung erfolgen soll. Anders gesagt sollen „mona lisa“ und „Mona Lisa“ identisch behandelt werden. Standardmäßig beachtet VBScript bei der Suche die Groß-/Kleinschreibung, d. h. aufgrund der groß bzw. klein geschriebenen Buchstaben werden „mona lisa“ und „Mona Lisa“ als völlig verschiedene Werte betrachtet.
Pattern Die Pattern-Eigenschaft enthält den gesuchten Wert. In diesem Fall suchen Sie nur nach einem einfachen Zeichenfolgenwert: Mona Lisa.
Als Nächstes weisen Sie den Suchtext einer Variablen namens „strSearchString“ zu:
strSearchString = "The Mona Lisa is in the Louvre."
Dann rufen Sie die Replace-Methode für reguläre Ausdrücke auf und leiten dieser Methode zwei Parameter weiter: den gesuchten Zieltext (die veränderliche Variable strSearchString) und den Ersetzungstext (La Gioconda). Das ist schon alles.
strNewString = objRegEx.Replace(strSearchString, "La Gioconda")
Weiter ist nichts zu tun. Der geänderte Text wird in der Variablen strNewString gespeichert. Wenn Sie jetzt den Wert von strNewString zurückgeben, müssten Sie Folgendes erhalten:
The La Gioconda is in the Louvre.
Die Grammatik ist wahrscheinlich ein wenig fragwürdig, aber Sie erhalten zumindest eine Vorstellung.
Wie oben schon angemerkt, ist das alles gut und schön, doch es ist definitiv zu viel des Guten. Der gleiche Vorgang hätte auch mithilfe der folgenden Codezeilen erzielt werden können (sogar alles in einer Zeile, falls gewünscht):
strSearchString = "The Mona Lisa is in the Louvre."
strNewString = Replace(strSearchString, "Mona Lisa", "La Gioconda")
Wscript.Echo strNewString
Im Folgenden soll untersucht werden, welche Vorgänge mit regulären Ausdrücken möglich sind, die sich mit der Replace-Funktion in VBScript nicht durchführen lassen.
Haben Sie vielleicht eine Idee? Wir haben eine: Die Scripting Guys müssen oft Text von einer Art von Dokument in ein anderes Dokument kopieren. Manchmal funktioniert das ziemlich gut, und manchmal nicht. Wenn es nicht funktioniert, treten oft merkwürdige Probleme mit dem Wortabstand auf, wobei der Text etwa so aussieht:
Myer Ken, Vice President, Sales and Services
Du liebe Güte, wo kommen denn die ganzen Leerstellen her? In diesem Fall ist die Replace-Funktion nur begrenzt anwendbar. Warum? Hier liegt eine scheinbar zufällige Anzahl irrelevanter Leerstellen vor: Zwischen den Wörtern können sich 7, 2 oder vielleicht 6 Leerstellen befinden. Deshalb ist es schwierig, das Problem mit der Replace-Funktion zu beheben. Wenn Sie zum Beispiel versuchen, 2 aufeinander folgende Leerstellen zu suchen (wobei Sie diese 2 durch eine einzige Leerstelle ersetzen), erhalten Sie Folgendes:
Myer Ken, Vice President, Sales and  Services
Das ist zwar besser, aber noch lange nicht ideal. Es gibt eine Möglichkeit, doch dabei ist es erforderlich, eine willkürliche Zahl von Leerstellen zu suchen, angenommen 39, die Ersetzung vorzunehmen, von der Anfangszahl 1 zu subtrahieren, dann 38 Leerstellen zu suchen, die Ersetzung vorzunehmen und so weiter und so fort. Alternativ können Sie das folgende viel einfachere (und benutzerfreundlichere) Skript mit regulären Ausdrücken verwenden:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = " {2,}"

strSearchString = _
"Myer Ken, Vice President, Sales and Services"
strNewString = objRegEx.Replace(strSearchString," ")

Wscript.Echo strNewString
Wie zu den meisten Skripts mit regulären Ausdrücken ist der Schlüssel zu diesem Skript das Muster (Pattern):
objRegEx.Pattern = " {2,}"
Hier wird nach 2 oder mehr aufeinander folgenden Leerstellen gesucht. Woher wissen Sie, dass dieses Muster nach 2 oder mehr Leerstellen sucht? Innerhalb des doppelten Anführungszeichens befindet sich eine einzelne Leerstelle, gefolgt von dieser Konstruktion: {2,}. In einer Syntax mit regulären Ausdrücken stellt dies eine Anweisung zur Suche von mindestens 2 aufeinander folgenden Instanzen des vorhergehenden Zeichens dar (in diesem Fall eine Leerstelle). Doch was ist, wenn 3, 4 oder 937 aufeinander folgende Leerstellen vorhanden sind? Das ist in Ordnung, denn diese werden ebenfalls erfasst. (Falls mindestens 2 Leerstellen, aber nicht mehr als 8 erfasst werden sollen, verwenden Sie die Syntax {2,8}, wobei die 8 die maximale Anzahl Übereinstimmungen angibt.)
Mit anderen Worten, jedes Mal, wenn Sie 2 oder mehr Leerstellen suchen, die aufeinander folgen, werden all diese aufeinander folgenden Leerstellen erfasst und durch eine einzelne Leerstelle ersetzt. Wie wirkt sich dies auf den anfänglich genannten Zeichenfolgenwert mit all den irrelevanten Leerstellen aus? So:
Myer Ken, Vice President, Sales and Services
Es stimmt also doch: Die Scripting Guys können wirklich zu Verbesserungen beitragen. Wenn nur das Personal im Louvre uns die Korrektur der Mona Lisa gestatten würde.
Hier ist ein interessantes und gar nicht ungewöhnliches Szenario. Angenommen Ihr Unternehmen hat ein Telefonverzeichnis, und alle Telefonnummern sind folgendermaßen formatiert:
555-123-4567
Jetzt hat Ihr Chef jedoch beschlossen, dass alle Telefonnummern so formatiert werden sollen:
(555) 123-4567
Wie schaffen Sie es also, die Telefonnummern neu zu formatieren? Wir schlagen vor, Sie verwenden ein ähnliches Skript wie dieses:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString, "($1) $2-$3")

Wscript.Echo strNewString
Hierbei wird nach 3 Ziffern (\d{3}) gesucht, gefolgt von einem Strich, gefolgt von 3 weiteren Ziffern und einem Strich, gefolgt von 4 Ziffern. Kurz gesagt, es wird Folgendes gesucht, wobei jedes X eine Zahl von 0 bis 9 darstellt:
XXX-XXX-XXXX
Hinweis: Woher wussten wir, dass \d{3} dem Skript mitteilen würde, drei Zahlen direkt hintereinander zu suchen? Soweit wir uns erinnern können, haben wir das irgendwo gelesen. Es muss entweder das schockierende Schlusskapitel von „Sakrileg“ oder das Kapitel „VBScript-Sprachreferenz“ auf MSDN® online gewesen sein (siehe go.microsoft.com/fwlink/?LinkID=111387).
Es ist schon toll, dass Sie mit regulären Ausdrücke nach einer beliebigen Telefonnummer suchen können. Sie haben allerdings immer noch ein großes Problem. Schließlich lässt sich diese beliebige Telefonnummer nicht durch eine gleichermaßen beliebige Telefonnummer ersetzen. Sie müssen stattdessen dieselbe Telefonnummer verwenden, die nur etwas anders formatiert wurde. Wie lässt sich dies erreichen?
Ganz einfach mithilfe des folgenden Ersetzungstexts:
"($1) $2-$3"
$1, $2 und $3 sind Beispiele für einen „Rückverweis“ mit regulärem Ausdruck. Ein Rückverweis ist ein Teil des gefundenen Texts, der gespeichert und dann wiederverwendet werden kann. Im vorliegenden Skript suchen Sie nach drei „untergeordneten Übereinstimmungen“:
  • einem Satz von 3 Ziffern
  • einem Satz von weiteren 3 Ziffern
  • einem Satz von 4 Ziffern
Jede dieser untergeordneten Übereinstimmungen wird automatisch einem Rückverweis zugewiesen: Die erste untergeordnete Übereinstimmung ist $1, die zweite ist $2 und so weiter, bis hin zu $9. In diesem Skript werden also die drei Teile der Telefonnummer automatisch den Rückverweisen in Abbildung 2 zugewiesen.
Figure 2 Telefonnummernrückverweise (Close Figure 2)

Telefonnummernteil | Rückverweis
555 | $1
123 | $2
4567 | $3
In der Ersetzungszeichenfolge wird durch diese Rückverweise sichergestellt, dass die richtige Telefonnummer wiederverwendet wird. Der Ersetzungstext sagt Folgendes aus: den ersten Rückverweis ($1) in Klammern einschließen. Ein Leerzeichen lassen, dann einen zweiten Rückverweis einfügen ($2), gefolgt von einem Strich. Abschließend den dritten Rückverweis ($3) anfügen.
Was ist das Ergebnis? Eine Telefonnummer, die folgendermaßen aussieht:
(555) 123-4567
Nicht schlecht, gar nicht mal so schlecht.
Hier ist eine andere Version des Telefonnummernskripts. Angenommen Ihre Organisation hat ein brandneues Telefonsystem installieren lassen, sodass nun alle Telefonnummern die gleiche Vorwahl haben. Nummern, die bisher mit 666, 777 oder 888 anfingen, fangen jetzt mit 333 an. Können die Telefonnummern neu formatiert und die Telefonnummernvorwahl gleichzeitig geändert werden? Selbstverständlich:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString,"($1) 333-$3")

Wscript.Echo strNewString
Sehen Sie, was hier geschehen ist? Die alte Vorwahl (Rückverweis $2) im Ersetzungstext wurde einfach entfernt und durch den hartcodierten, und jetzt standardmäßigen, Vorwahlwert 333 ersetzt. Wie sieht die Telefonnummer 555-123-4567 aus, wenn dieses geänderte Skript ausgeführt wird? Sie sieht genau so aus:
(555) 333-4567
Es gibt noch eine andere allgemeine Verwendung für Rückverweise. Angenommen Ihnen liegt dieser Zeichenfolgenwert vor:
Myer, Ken
Gibt es eine Möglichkeit, den Wert zu ändern und den Namen so anzuzeigen:
Ken Myer
Es wäre schon albern, wenn es keine Möglichkeit gäbe. Hier ist ein Skript, das genau dies ausführt:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\S+), (\S+)"

strSearchString = "Myer, Ken"
strNewString = objRegEx.Replace _

strSearchString,"$2 $1")

Wscript.Echo strNewString
Im vorliegenden Skript wird ein Wort, (\S+), gesucht, gefolgt von einem Komma, gefolgt von einer Leerstelle, gefolgt von einem anderen Wort. (In diesem Fall verwenden wir \S+, um ein „Wort“ darzustellen.) Die Konstruktion \S+ steht für einen beliebigen aufeinander folgenden Satz von Nichtleerstellenzeichen. Anders gesagt steht hier ein Buchstabe, eine Zahl oder ein Symbol. Genau genommen könnte hier alles stehen, ausgenommen ein Leerzeichen, ein Tabulatorstopp oder ein Zeilenumbruch. Wie Sie sehen, müssten hier zwei untergeordnete Übereinstimmungen gefunden werden: eine für den Nachnamen ($1) und eine für den Vornamen ($2). Daher kann der Benutzername mithilfe dieser Syntax als „FirstName LastName“ angezeigt werden:
"$2 $1"
Wo ist das Komma? Es war nicht erforderlich, deshalb wurde es einfach wegrationalisiert.
Hinweis: Seltsam, bei dem Vorgang kam uns aus irgendeinem unerfindlichen Grund der Skripting Editor in den Sinn. Hmmm ...
Abschließend folgt noch ein Beispiel, bevor wir uns für heute verabschieden. (Ok, genau genommen bis nächsten Monat.) Es wurde ein wenig vereinfacht, ist daher nicht völlig idiotensicher – ein Einführungsartikel wie dieser soll schließlich nicht zu kompliziert geraten. Reguläre Ausdrücke sind nämlich potenziell außerordentlich komplex ... Dennoch ist hier ein Skript, das – in den meisten Fällen – die Anfangsnullen aus einem Wert wie 0000.34500044 entfernt:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\b0{1,}\."

strSearchString = _
"The final value was 0000.34500044."
strNewString = objRegEx.Replace _
strSearchString,".")

script.Echo strNewString
Wie bei den obigen Beispielen hängt wieder alles vom Muster ab: "\b0{1,}\." Anfangs wird nach einer Wortbegrenzung (\b) gesucht. So wird sichergestellt, dass die Nullen in einem Wert wie 100.546 nicht entfernt werden. Wir suchen dann nach einer oder mehr Nullen – 0{1,} – gefolgt von einem Dezimalzeichen (\.). Wenn das Muster gefunden wird, werden die Nullen (und das Dezimalzeichen) durch ein einzelnes Dezimalzeichen „.“ ersetzt. Wenn alles nach Plan läuft, wird die Zeichenfolge so umgewandelt:
The final value was .34500044.
Das war schon alles für diesen Monat. Zu guter Letzt möchten wir anmerken, dass die Mona Lisa sozusagen bereits Meinungsverschiedenheiten ausgelöst hat, noch bevor die Farbe auf der Leinwand trocken war. Wer ist diese mysteriöse Frau? Weshalb lächelt sie so? Warum hat sie keine Augenbrauen? Einige Kunsthistoriker behaupten, dass Mona Lisa gar keine Frau ist, sondern ein Selbstporträt von Leonardo da Vinci. (Wenn das wahr ist, sollte er sich wirklich mal einen neuen Schneider suchen.) Inzwischen ist die Unarius Educational Foundation einen Schritt weiter gegangen und hat behauptet, dass das Gemälde tatsächlich die „Zwillingsseele“ von Leonardo in der „höheren Welt“ darstellt, und dass diese Zwillingsseele Leonardos Hand geführt hat. Was für ein bemerkenswerter Zufall, genau so ist der Artikel für diese Ausgabe von „Hey, Scripting Guy!“ entstanden.
Richten Sie Ihre Beschwerden also an die-zwillingsseele-des-scripting-guys-der-diesen-artikel-schreibt@das-andere-microsoft.com. Vielen Dank.

Der Scripting Perplexer von Dr. Scripto
Die monatliche Herausforderung, die nicht nur Ihr Talent zum Rätsellösen testet, sondern auch Ihre Skriptingfähigkeiten.

Mai 2008: Skriptdoku
Diesen Monat wird Sudoku gespielt, aber mit einer kleinen Raffinesse. Anstelle der Zahlen 1 bis 9 im Raster stehen die Buchstaben und Symbole, die ein Windows PowerShell™-Cmdlet ausmachen. In der Auflösung wird in einer der horizontalen Zeilen der Name des Cmdlet buchstabiert.
Hinweis: Wenn Sie nicht wissen, wie Sudoku gespielt wird, finden Sie im Internet vermutlich mehrere tausend Websites mit Anleitungen dazu, sodass wir uns die Regeln hier wirklich ersparen können.

Der Scripting Perplexer von Dr. Scripto
Antwort: Skriptdoku, Mai 2008

Die Scripting Guys von Microsoft arbeiten für Microsoft (oder sind zumindest dort angestellt). Wenn sie nicht gerade ihrem Hobby, dem Baseball (oder verschiedenen anderen Aktivitäten) nachgehen, betreiben sie das TechNet-Skriptcenter. Besuchen Sie es unter www.scriptingguys.com.


 Sicherheit auf dem Pr&#252;fstand: Grunds&#228;tze der Quantensicherheit
Sicherheit auf dem Prüfstand
Grundsätze der Quantensicherheit
Jesper M. Johansson

Es kann manchmal äußerst interessant sein, eine Debatte von einem völlig anderen, aber dennoch nützlichen Blickwinkel anzugehen. Seit einiger Zeit verwende ich die Heisenbergsche Unbestimmtheitsrelation bei der Erläuterung von Sicherheitskonzepten. (Wenn Sie meine Einhorngeschichte kennen, wissen Sie, dass ich gern Grundsatztheorien aus anderen Disziplinen einbringe, um ein Argument anzubringen.) So ungewöhnlich
dies auch erscheint, aus anderen Wissenschaftszweigen können tatsächlich logische Konsequenzen für grundlegende Konzepte der Informationssicherheit abgeleitet werden.
Die Heisenbergsche Unbestimmtheitsrelation, die aus der Quantenphysik herrührt, basiert auf der Gleichung in Abbildung 1. Die Relation sagt aus, dass die Position eines Partikels (p) und das Moment eines Partikels (x) voneinander abhängig sind, d. h. wenn Sie die Messgenauigkeit für die Position erhöhen, verringern Sie die Genauigkeit, mit der Sie das Moment messen. Die Grenze für die Genauigkeit der beiden Faktoren ist ein kleines festgelegtes Vielfaches des Planckschen Wirkungsquantums. Um es verständlicher auszudrücken, dieses Prinzip besagt, dass Sie bestimmte Fakten über ein einziges Partikel nicht gleichzeitig genau beobachten können.
Abbildung 1 Heisenbergsche Unbestimmtheitsrelation
Abbildung 1 Heisenbergsche Unbestimmtheitsrelation
Dies bezieht sich direkt auf das Vorherbestimmen ungewisser Bereiche, was Ihnen grundsätzlich die Vorhersage ermöglicht, wie unsicher Sie sich über den Zustand gewisser Fakten in Bezug auf ein Partikel sind. Sie können zwar die Bereiche (noch) nicht voraussagen, doch die Tatsache, dass Sie nicht mit Sicherheit voraussagen können, wie zwei Variable auf einem einzigen Computernetzwerk sich auf die Sicherheit dieses Netzwerks auswirken, ist wichtig.
Sie müssen außerdem Kompromisse eingehen. Auch wenn Sie in der Informationssicherheit nicht vom Planckschen Wirkungsquantum beschränkt werden, so liegen trotzdem Beschränkungen vor. Der wichtigste Kompromiss, den Sie eingehen müssen, betrifft die Sicherheit auf der einen und die Benutzerfreundlichkeit bzw. Nützlichkeit auf der anderen Seite. Wenn Sie für einen Moment die Verfügbarkeit ignorieren – und offen gesagt sollte das Sicherheitspersonal meiner Meinung nach nicht für die Verfügbarkeit verantwortlich sein, ausgenommen angesichts eines Denial-of-Service-Angriffs – besteht die einfachste Möglichkeit, etwas zu sichern, darin, es auszuschalten. So können Hacker nicht länger darauf zugreifen. Die Nützlichkeit geht dabei natürlich völlig verloren.
Ebenso gilt: Auch wenn es erheblich mehr kostet, können Sie den Verlust vertraulicher Daten durch das Implementieren eines entsprechenden Produkts zur Verhinderung von Datenverlust viel eher eindämmen, als durch das Senden einer alljährlichen E-Mail an alle Mitarbeiter, in der Sie daran erinnern, dass Instant Messaging-Anwendungen nicht für die Verwendung am Arbeitsplatz gedacht sind. Ist Ihre Organisation jedoch bereit, Ausgaben für ein Tool zur Verhinderung von Datenverlust vorzunehmen? Jetzt können Sie sehen, wie relevant die Quantenphysik für die Sicherheit ist.

Schrödingers Katze
Ein verwandtes, wenn auch anderes Konzept aus der Quantenphysik wird in der Parabel von Schrödingers Katze erläutert. Die Geschichte besagt, dass Erwin Schrödinger, ein bekannter Physiker des 20. Jahrhunderts, mit Albert Einstein (einem anderen bekannten Physiker des 20. Jahrhunderts, von dem Sie vermutlich schon gehört haben) ein lange andauerndes Streitgespräch über das Überlagerungsprinzip geführt hat. Schrödinger fand die Bereiche der Quantenmechanik, bei denen Elemente in einer Überlagerung von zwei Zuständen existieren, ziemlich absurd.
Um dies zu unterstreichen, führte Schrödinger ein Gedankenexperiment durch, bei dem eine Katze in einer hermetisch abgedichteten Kiste gehalten wurde. Bei dem anderen Element in der Kiste handelte es sich um einen Behälter mit Gift, dessen Ausschüttung von einem (imaginär) subatomaren radioaktiven Partikel gesteuert wurde. Beim Verfall des radioaktiven Partikels würde das Gift entweichen und die Katze sterben.
Das subatomare Partikel, das den Gesetzen der Quantenmechanik unterliegt, existiert in einem Zustand der Überlagerung. Die entschieden atomare Katze, deren Zustand vollständig vom subatomaren Partikel abhängt, existiert deshalb ebenfalls in diesem Zustand der Überlagerung. Nur dadurch, dass der Zustand der Katze tatsächlich beobachtet wird, kann sie in einen bestimmten Zustand von Lebendigkeit oder Leblosigkeit eingeordnet werden.
Schrödinger wollte damit natürlich illustrieren, wie absurd einige Gesetze der Quantenmechanik sind, wenn sie auf atomare Systeme angewendet werden. Dennoch wird sein Beispiel oft angeführt, wenn es darum geht, wie das allgemein als der „Beobachtereffekt“ bezeichnete Phänomen entstanden ist. Der Beobachtereffekt gilt zwar nicht für die subatomaren Systeme der Quantenmechanik, ist jedoch für Sicherheitsexperten interessant. Kurz gesagt, er sagt aus, dass etwas durch dessen Beobachtung geändert wird.
Der Beobachtereffekt
Nehmen Sie zum Beispiel eine Tasse Tee. Um herauszufinden, wie heiß der Tee ist, halten Sie ein Thermometer in die Tasse. Angenommen, der Tee hatte 80 Grad Celsius, als Sie das Thermometer in die Tasse gehalten haben, und das Thermometer selbst hatte eine Zimmertemperatur von 22 Grad. Sobald Sie das Thermometer in den Tee halten, nimmt es Wärme auf, und der Tee verliert bei Erwärmung des Thermometers einen Teil seiner Wärme. Schließlich erreichen das Thermometer und der Tee die gleiche Temperatur. Diese Temperatur beträgt allerdings weder 80 Grad noch 22 Grad, sondern etwas dazwischen. Folglich haben Sie die Teetemperatur durch das Messen geändert.
Der Beobachtereffekt ist auch für die Informationssicherheit wichtig. Jedes Mal, wenn Sie etwas unternehmen, um ein Sicherheitsproblem zu verringern, ändern Sie möglicherweise Ihre Sicherheitsposition, da Sie das System ändern. Ich will dies als den Effekt der Sicherheitspositionsfluidität (Security Posture Fluidity Effect, SPFE) bezeichnen, da mir momentan nichts Besseres in den Sinn kommt.
Eines der einfacheren Beispiele sind hierbei die Dienstkontenabhängigkeiten. In Kapitel 8 von „Protect Your Windows Network“ (protectyourwindowsnetwork.com) wird erläutert, wie Sie einen Angriffserkennungsdienst (Intrusion Detection Service, IDS) auf Ihren Systemen installieren, um Angriffe zu erkennen. Der Angriffserkennungsdienst speichert seine Protokolle jedoch in einem zentralen System und erfordert umfangreiche Rechte für die überwachten Systeme. In der Regel bedeutet das, dass der Dienst in einem Dienstkonto mit umfangreichen Rechten ausgeführt wird.
Wenn eins der Systeme beeinträchtigt wird, kann der Angreifer auf die Dienstkontenanmeldeinformationen und auf alle anderen Systeme zugreifen, abgesehen davon, dass er den Angriffserkennungsdienst deaktivieren kann. Dies ist ein sehr gutes Beispiel für den Effekt der Sicherheitspositionsfluidität (SPFE). Dadurch, dass Sie etwas installieren, um die Sicherheit in Ihrer Umgebung zu gewährleisten, führen Sie ein neues potenzielles Sicherheitsproblem ein.
Andere Beispiele für diesen Effekt sind reichlich vorhanden. Die Beschreibung von Steve Riley, warum bei 802.1x bestimmte Probleme in verkabelten Netzwerken auftreten (microsoft.com/technet/community/columns/secmgmt/sm0805.mspx), ist ein weiteres hervorragendes Beispiel. Es liegt auf der Hand, dass die Verwendung hostbasierter Firewalls in vielen Umgebungen sehr wünschenswert ist. Wenn sie jedoch zusammen mit 802.1x verwendet werden, ermöglicht diese Kombination einen bestimmten Angriff, der zuvor unmöglich war. Auch hier wird durch eine Sicherheitstechnologie die Sicherheitsposition der Umgebung geändert und ein Angriff ermöglicht, der andernfalls nicht möglich war.
All dies soll nicht heißen, dass diese Maßnahmen von Natur aus unnütz sind und vermieden werden sollten. Es bedeutet aber, dass Sie die Implikationen aller Sicherheitsmaßnahmen bedenken müssen. Beim Risikomanagement müssen Sie in Erwägung ziehen, was Ihre Aktionen und vorbeugenden Maßnahmen in Bezug auf Risiken tatsächlich bedeuten. Bei der Schadensbegrenzung können Sie nicht einfach aufhören, nachdem Sie eine Gegenmaßnahme implementiert haben. Sicherheit ist im wahrsten Sinne des Wortes ein Prozess. Sie müssen die Tiefenverteidigungsstrategie verwenden, doch bedenken Sie, welchen Veränderungen Ihre Sicherheitsposition durch diese Verteidigungsmaßnahmen unterworfen wird und wie Sie den neuen Bedrohungen begegnen, die aufgrund der Strategie auftreten.

Eine durchdachte Diensthärtungsstrategie
Ich arbeite bereits seit mehr als zehn Jahren an Anleitungen für die Diensthärtung. Rückblickend enthielten die ersten Handbücher, an denen ich gearbeitet habe, weiter nichts als Listen mit Einstellungen, deren Aktivierung meine Kollegen und ich für empfehlenswert hielten. Die allgemeine Sicherheitsstrategie war damals naiv. Im Grunde bestand die Logik darin, dass etwas eingeschaltet werden muss, um Sicherheit zu bieten. Die Tatsache, dass es legitime Gründe dafür geben könnte, dass etwas ausgeschaltet wird, fand nicht viel Beachtung.
Schließlich wurde mir bewusst, dass für eine effektive Diensthärtung viele Überlegungen angestellt werden und die Bedrohungen in Erwägung gezogen werden müssen, denen das System ausgesetzt ist. Diese Erkenntnis führte zu der Liste von Szenarios, die Sie im Windows 2000-Handbuch zur Härtung und Absicherung finden (go.microsoft.com/fwlink/?LinkID=22380). Der natürliche Folgeschritt bestand darin, die Anleitung in verschiedene Bedrohungsebenen aufzuteilen, was im Windows Server 2003-Sicherheitshandbuch (go.microsoft.com/fwlink/?linkid=14846) geschehen ist.
Dabei störte mich jedoch stets die Tatsache, dass es nach wie vor möglich war, in ein System einzudringen, auch wenn das gesamte Handbuch befolgt wurde und die entsprechenden Vorkehrungen getroffen waren. Das lag daran, dass entweder Patches fehlten, Zugriff aufgrund einer Betriebspraxis gewährt oder eine unsichere Drittanbietersoftware installiert wurde.
Es stellte sich heraus, dass die Diensthärtung in diesen beiden Handbüchern keine große Hilfestellung bei der gesamten Sicherheitsposition war. Wichtig sind im Endeffekt nur einige wenige Punkte. Genau genommen wurden beim sichersten System, das ich je erstellt habe (msdn2.microsoft.com/library/aa302370), nur vier oder fünf der in den Sicherheitshandbüchern aufgelisteten Anpassungen verwendet, und keine davon hat einen der Angriffe verhindert, denen sie ausgesetzt wurde. Leider will der Benutzer einfach nur eine große blaue Schaltfläche mit der Aufschrift „Jetzt sichern“, mit der die Systeme automatisch abgesichert werden. Sicherheit ist jedoch eine viel komplexere Angelegenheit.

Einstellung zum Risiko
Für einen effektiven Schutz (im Gegensatz zum finiten Zustand des Sicherseins), müssen Sie eine vernünftige Einstellung zum Risiko einnehmen. Sie müssen verstehen, welchen Risiken Sie gegenüberstehen. Sie müssen entscheiden, welche Risiken Sie verringern wollen, und schließlich müssen Sie verstehen, wie Sie diese Risiken verringern – etwas, was sich nicht allein durch den Einbau von Schaltern erzielen lässt.
In der Regel wurden diese Sicherheitsschalter für bestimmte Szenarios entworfen und bieten nicht unbedingt die beste Konfiguration für Ihr Szenario. Stattdessen stellen sie einen grundlegenden Ausgangspunkt dar und sind hauptsächlich deshalb verfügbar, weil ein Großteil des Markts solche schnellen Diensthärtungsanpassungen fordert. In moderner Software sind die meisten bereits standardmäßig aktiviert, und diejenigen, bei denen dies nicht der Fall ist, haben wahrscheinlich keine bedeutenden Nebeneffekte.
Außerdem könnte eine Vielzahl von Schaltern ein nicht unterstützbares und unsicheres System zur Folge haben, das die erforderlichen Aufgaben nicht durchführt, und das alles, um Bedrohungen zu verringern, die Sie noch gar nicht benannt haben. Der SPF-Effekt und die Quantenphysik heben die Bedeutung der erneuten Analyse nach dem Sichern hervor, doch viel zu viele Organisationen handeln nicht danach. Genau genommen machen sie den Fehler, die Bedrohungen gar nicht erst zu analysieren. Wenn Sie sich genauer mit der Analyse von Bedrohungen befassen, werden Sie feststellen, dass es sich bei den Dingen, die wirklich einen Unterschied machen, nicht um anonyme Einschränkungen für die Auflistung von Kontonamen und pauschale Änderungen von Zugriffssteuerungslisten handelt.
Was dagegen wirklich einen Unterschied macht, ist das Bestimmen, ob Ihr System einen bestimmten Dienst bieten sollte, und falls ja, für wen, und das anschließende Durchsetzen dieser Richtlinie. Es macht einen Unterschied, wenn Sie sicherstellen, dass nur die Systeme und Benutzer, die unbedingt mit Ihnen kommunizieren müssen, die Berechtigung dazu haben. Es macht einen Unterschied, wenn Sie sicherstellen, dass alle Anwendungen und Benutzer mit möglichst minimalen Berechtigungen operieren. Kurz gesagt, was einen Unterschied macht, ist eine vernünftige Einstellung zur Sicherheit und das Durchführen schwieriger Analysen, sodass Sie jedem System ermöglichen, Verantwortung für seine eigene Sicherheit zu übernehmen.
Aus diesem Grund werden im aktuellen Sicherheitsansatz jetzt solche Tools wie die Server- und Domänenisolation (microsoft.com/sdisolation), der Sicherheitskonfigurations-Assistent (SCW) in Windows Server®-Produkten und die Server-Manager-Tools für das Verwalten von Rollen in Windows Server 2008 eingesetzt. Diese Tools bieten eine Anleitung zum Verständnis der zu unterstützenden Szenarios, und sie helfen Ihnen, Ihre Systeme dementsprechend zu sperren. Zugegebenermaßen stellen diese Tools nicht das Allheilmittel dar, nach dem sich alle sehnen, doch mit ihrer Hilfe kann eine supportfähige Konfiguration hergestellt werden, die tatsächlich die Aufgaben durchführt, für die Sie die Software erworben haben.

Sicherheit einsetzen, wo sie benötigt wird
All dies bedeutet, dass Sie sich nicht auf andere Entitäten oder einfache Sicherheitsanpassungen verlassen können. Jede Ressource muss sich selbst verteidigen können, da Konzepte wie „Umkreis“ und „internes Netzwerk“ heute keine Bedeutung mehr haben.
Die große Mehrzahl organisatorischer Netzwerke enthalten bestenfalls eine teilweise feindliche Umgebung. Machen Sie sich dies bewusst, und leiten Sie die entsprechenden Schritte ein, ohne sich lediglich spontan auf Diensthärtungsanleitungen zu verlassen. Als Erstes müssen Sie über Ihre Anforderungen Bescheid wissen. Dazu gehört auch, dass Sie sich von anderen beraten lassen, die über Ihre Anforderungen ebenfalls Bescheid wissen.
Von einem Gast in einem Webcast ging kürzlich die Empfehlung aus, dass Benutzer in Kleinunternehmen die Website des „Department of Homeland Security“ besuchen, um dort eine Diensthärtungsanleitung für Internet Explorer® herunterzuladen. Weshalb sollte eine Behörde, die mit dem Schutz des Militärs und der Staatssicherheit beauftragt ist, eine vernünftige Anleitung zum Sichern eines Webbrowsers in einem Kleinunternehmen bieten können? Das ist ein sehr gutes Beispiel für die immer noch weit verbreitete unschlüssige Logik im Bereich Computersicherheit. Hier wird angenommen, dass aufgrund des Umstands, dass die Anleitung von einer Behörde veröffentlicht wurde, die Ergebnisse folglich sicher sein müssen.
Die Auswahl wird meist als eine binäre Entscheidung präsentiert: Entweder können Sie über „hohe Sicherheit“ oder über „niedrige Sicherheit“ verfügen. Eine bessere Auswahl wäre die zwischen „hoher Sicherheit“ oder „angemessener Sicherheit“. Sicherheit bedeutet nicht immer dasselbe.
Eine hohe Sicherheit eignet sich eigentlich nicht für alle. Für die meisten Organisationen ist sie sogar nicht geeignet. Sie ist nicht unbedingt das Endziel, das Sie anstreben sollten. Bei hoher Sicherheit handelt es sich um eine spezialisierte Konfiguration für Systeme, in denen es um Menschenleben geht, wenn das System gefährdet wird. Wenn dies Ihrem Risikoprofil und Bedrohungsmodell entspricht, dann verwenden Sie eine hohe Sicherheit.
Wenn das allerdings nicht Ihrem Risikoprofil und Bedrohungsmodell entspricht, dann sollten Sie ein angemesseneres Sicherheitsmodell verwenden. Vermutlich sind alle Anpassungen, die Sie konfigurieren können, standardmäßig bereits entsprechend auf die Ebene eines mittleren Risikoprofils eingestellt. Dieser Standardzustand, der heute in den meisten Microsoft-Produkten verwendet wird, bietet einen vernünftigen Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit, Nützlichkeit und Leistung. Dabei wird die Diensthärtung in der Regel für Sie vorgenommen.
Jetzt müssen Sie andere Sicherheitsschritte bedenken. Ein guter Ausgangspunkt ist das TechNet-Sicherheitscenter (microsoft.com/technet/security) – und natürlich Bücher wie das „Windows Server 2008 Security Resource Kit“.

Alles dreht sich um das Risikomanagement
Vermutlich haben Sie bereits erkannt, worauf ich hinaus will: das Risikomanagement. Die wichtigste Botschaft, die von der Heisenbergschen Unbestimmtheitsrelation ausgeht, ist die, dass Kompromisse eingegangen werden müssen. Dieser Teil der Relation ist nicht so schwer zu verstehen.
Doch die Botschaft in der Geschichte von Schrödingers Katze ist etwas, was von den meisten Menschen nicht berücksichtigt wird. Es ist nicht nur wichtig, dass Sie alle Seiten des Problems analysieren und eine Entscheidung über die Kompromisse treffen, sondern Sie müssen auch die Änderungen bedenken, die Ihre Lösungen nach sich ziehen. Bei einer vernünftigen Risikomanagementstrategie wird berücksichtigt, wie die Änderungen sich auf das System auswirken und ob die Änderungen als Teil einer Strategie zum Einsatz schadensbegrenzender Maßnahmen oder aus einem anderem Grund implementiert wurden.

Auf das Jahr umgerechnete Schadenserwartung
Eine allgemeine Art der Risikoquantifizierung und die Methode, die Sie in vielen Sicherheitszertifizierungskursen lernen, ist die auf das Jahr umgerechnete Schadenserwartungsgleichung (Annualized Loss Expectancy, ALE), die in Abbildung 2 dargestellt ist. Die Standardgleichung ist einfach. Sie bestimmen die Wahrscheinlichkeit eines Vorfalls und die Kosten, die mit jedem Vorfall verbunden sind, und multiplizieren dann diese beiden Werte. So erhalten Sie den Betrag, den Sie pro Jahr für Sicherheitsvorfälle voraussichtlich ausgeben müssen. Wenn die Kosten des Risikos hoch genug sind, implementieren Sie schadensbegrenzende Maßnahmen.
Abbildung 2 Die auf das Jahr umgerechnete Schadenserwartungsgleichung ist die Wahrscheinlichkeit eines Vorfalls, multipliziert mit den pro Vorfall anfallenden Kosten.
Abbildung 2 Die auf das Jahr umgerechnete Schadenserwartungsgleichung ist die Wahrscheinlichkeit eines Vorfalls, multipliziert mit den pro Vorfall anfallenden Kosten.
Das Problem besteht darin, dass die Standard-ALE-Gleichung den Kosten der schadensbegrenzenden Maßnahmen nicht gerecht wird. Abgesehen davon, dass schadensbegrenzende Maßnahmen an und für sich mit Kosten verbunden sind, ergeben sich daraus auch oft Nebeneffekte, die ebenfalls mit Kosten verbunden sind.
Bedenken Sie eine der meisten Standardsicherheitsanpassungen: die Kontosperrung. Viele Organisationen setzen die Kontosperrung ein, vorgeblich um Angreifer vom Erraten von Kennwörtern abzuhalten. Sie können mathematisch die Wahrscheinlichkeit berechnen, dass ein Angreifer ein beliebiges Kennwort errät. Wenn Sie erfinderisch sind, können Sie auch die durchschnittlichen Kosten berechnen, die durch die Sicherheitsverletzung entstehen, bei der ein Angreifer ein Kennwort errät. Aufgrund dieser beiden Zahlen haben viele Organisationen beschlossen, dass die ALE-Gleichung unannehmbar ist, und haben deshalb die Kontosperrung implementiert.
Diese Art von Schadensbegrenzung ist jedoch mit Kosten verbunden, die Sie vielleicht nicht unbedingt berücksichtigen. Dazu gehören die Kosten, die beim Implementieren schadensbegrenzender Maßnahmen selbst entstehen, auch wenn diese recht gering sind. Um genau zu sein, sollte die Berechnung auch die Kosten der Nebeneffekte einschließen, die sich aus den schadensbegrenzenden Maßnahmen ergeben.
Erstens entstehen dadurch Kosten, dass der Helpdesk die Konten der Benutzer wieder entsperrt. Selbst wenn ein Konto nur eine kurze Zeit lang gesperrt ist, angenommen 15 Minuten, entstehen trotzdem Kosten aufgrund der Produktivitätseinbußen in diesem Zeitraum. Dieser Faktor wird als die Ausgabe für den jeweiligen Vorfall gezählt, multipliziert mit der Wahrscheinlichkeit, dass dieser Vorfall im definierten Zeitraum stattfindet. In diesem Fall würden Sie die Kosten mit der erwarteten Anzahl von Sperrereignissen multiplizieren – eine Zahl, über die Ihre Protokolle möglicherweise bereits Auskunft geben können.
Außerdem müssen Sie den Faktor der Benutzerverärgerung in Betracht ziehen. Es wird gemunkelt, dass Benutzer einfachere Kennwörter verwenden, wenn sie mit einer Kontosperrung rechnen müssen, da sie sich bei einfacheren Kennwörtern nicht so oft verschreiben. Daher besteht immer noch die Möglichkeit, dass sich der Vorfall, der verhindert werden sollte, nach dem Implementieren der schadensbegrenzenden Maßnahmen wiederholt.
Abschließend ist anzumerken, dass es Sicherheitsrisiken geben kann, die erst durch die schadensbegrenzenden Maßnahmen eingeführt wurden und zuvor nicht im System vorhanden waren. Im Fall einer Kontosperrung kann ein Angreifer dieses Feature verwenden, um alle Konten im Netzwerk zu deaktivieren, indem er immer wieder die Kennwörter falsch errät. Es gibt eine Wahrscheinlichkeit dafür, dass dies vorkommt, samt den mit jedem Vorfall verbundenen Kosten.
Werden all diese Faktoren in Betracht gezogen, wird deutlich, dass Sie die Schadenserwartungsgleichung ändern müssen. Zunächst muss die Wahrscheinlichkeit des Vorfalls geändert werden. Die Wahrscheinlichkeit, dass dieser Vorfall eintritt, sollte jetzt geringer sein als zuvor, auch wenn sie, wie oben schon beschrieben, nicht ganz auf null fallen dürfte. Die Kosten der einzelnen Vorfälle dürften sich ebenfalls geändert haben. Dem jeweiligen Produkt müssen die Kosten der Schadensbegrenzung hinzugefügt werden. Diese Kosten setzen sich aus den Implementierungskosten plus der Summe der auf das Jahr umgerechneten Kosten der Nebeneffekte zusammen. Die einzelnen auf das Jahr umgerechneten Kosten sind auf die Wahrscheinlichkeit, dass ein Nebeneffekt stattfindet, und die Kosten des jeweiligen Nebeneffekts zurückzuführen. Als vereinfachte Darstellung ist die genauere Risikoanalysegleichung in Abbildung 3 aufgeführt.
Die verbesserte Gleichung in Abbildung 3 bietet eine viel genauere Möglichkeit für die Analyse des mit einem bestimmten Problem verbundenen Risikos. Viele Organisationen haben bereits auf diese Weise eine Risikoanalyse durchgeführt. Doch viele betrachten Risiken weiterhin auf eine allzu vereinfachte Weise, die der Anforderung, die Auswirkungen schadensbegrenzender Maßnahmen zu analysieren, nicht gerecht wird. Mithilfe der geänderten ALE-Gleichung stellen Sie diese Anforderung absolut in den Mittelpunkt.
Abbildung 3 Erwägen der zusätzlichen Kosten schadensbegrenzender Maßnahmen
Abbildung 3 Erwägen der zusätzlichen Kosten schadensbegrenzender Maßnahmen

Die Bedeutung der obigen Ausführungen
Wenn Sie nach dem Lesen dieses Artikels auch nur einen Aspekt umsetzen, dann sollte dies das Infragestellen der konventionellen Weisheit hinter Sicherheitsstrategien sein. Im Bereich der Informationssicherheit wird viel zu sehr nach einer pauschalen stereotypischen Sicht der Welt gehandelt. Viele dieser Annahmen sind jetzt veraltet.
Die Angriffe haben sich geändert. Die Angreifer sind jetzt Fachleute, denen es um Geld, eine Vormachtstellung und die Umsetzung von Ideologien geht. Sie können es sich nicht leisten, Zeit und Geld für Sicherheitsanpassungen zu verschwenden, die nicht zur Verbesserung der Sicherheit beitragen. Sie müssen daher einen viel ausgereifteren Ansatz im Bereich Risikomanagement an den Tag legen.
Zuerst ist es wichtig, dass Sie erkennen, dass alle Aktionen mit einem Kompromiss einhergehen. Sie können nicht alles mit 100-prozentiger Gewissheit wissen.
Zweitens müssen Sie verstehen, dass Sie in einem wechselseitig abhängigen System operieren. Durch Einführen von Sicherheitsänderungen ändern Sie das System selbst. Das heißt, Sie müssen das System anschließend erneut analysieren.
Vorzugsweise sollte dies vor dem tatsächlichen Implementieren der Änderungen erfolgen, da die Änderungen oft eine solch ungeheure Auswirkung auf das System haben, dass sie mehr Schaden anrichten, als Vorteile zu bringen. Setzen Sie bessere Analysetools ein, die Sie daran erinnern, die Änderungen zu analysieren.
Denken Sie abschließend daran, immer den menschlichen Faktor im Auge zu behalten. Alles, was Sie im Bereich der Informationssicherheit unternehmen, dient dem Zweck, dem Geschäft und den Benutzern innerhalb der Organisation eine möglichst sichere Arbeitsumgebung zu ermöglichen.
In einer kürzlichen Präsentation habe ich darauf hingewiesen, dass es keinen Benutzer gibt, der einen Computer kauft, um ein Antivirenprogramm auszuführen. Sicherheit ist Ihr Hauptziel, aber es ist nicht das Hauptziel des Unternehmens als Ganzes. Es gibt Organisationen, die den Faktor Sicherheit lediglich tolerieren, da dies im Augenblick in ihrem Interesse ist. Denken Sie immer daran, dass die Informationssicherheit letzten Endes dem Geschäft dienen soll, nicht umgekehrt. Wenn Sie diese Tatsache ignorieren, werden Ihre Benutzer alles tun, um ihre Arbeit zu erledigen, auch wenn sie dafür Sicherheitsbestimmungen, die sie nicht verstehen oder denen sie nicht zustimmen, umgehen müssen.

Jesper M. Johanssonist Softwarearchitekt mit dem Schwerpunkt Sicherheitssoftware und schreibt redaktionelle Beiträge für das TechNet Magazin. Er hat seine Doktorarbeit zum Thema Management Information Systems geschrieben, verfügt über mehr als 20 Jahre Erfahrung auf dem Gebiet der Sicherheit und ist Microsoft-MVP (Most Valuable Professional) im Bereich Unternehmenssicherheit. Sein aktuelles Buch ist das Windows Server 2008 Security Resource Kit.


 Die Desktopdateien: Vom Administrator zum Benutzer
Die Desktopdateien
Vom Administrator zum Benutzer
Wes Miller

Vor mehr als drei Jahren habe ich damit begonnen, auf meinem primären Windows-PC statt eines lokalen Administratorkontos ein lokales Benutzerkonto zu verwenden. Ich hatte mehr als sieben Jahre bei Microsoft gearbeitet und dort Windows immer als Administrator mit sämtlichen Berechtigungen ausgeführt. Sicherlich war das sehr praktisch, aber zugleich auch von einem Sicherheitsstandpunkt aus gesehen beängstigend.
Man kann von Glück sagen, dass nicht viel mehr Probleme auftreten, wenn jeder Benutzer jeden Tag Windows als Administrator ausführt.
Ich wünsche mir oft, dass es eine Möglichkeit gäbe, hierzu eine gute Statistik zu bekommen, aber sowohl mein Instinkt als auch die Branche sagen mir, dass zu viele Organisationen (und zu viele IT-Experten) Windows als lokale Administratoren ausführen. Als ich bei Winternals von einem Administratorkonto auf ein Benutzerkonto umgestiegen bin, wollte ich damit einerseits herausfinden, wie es einem normalen Benutzer ergeht, und andererseits auch sehen, welchen Mehrwert unser Produkt, Winternals Protection Manager, in einer durchschnittlichen Organisation liefern könnte. Da Benutzer in den meisten Organisationen früher und auch heute noch Windows als Administrator ausführen, bestand unser Ziel darin, es Administratoren zu ermöglichen, Windows als Benutzer auszuführen, aber den Übergang so schmerzlos wie möglich zu machen. Egal welche Technologie Sie verwenden, es ist nicht einfach, Ihre Organisation von einer Organisation, in der Benutzer Administratoren sind, zu einer Organisation zu machen, in der sie Benutzer sind. Es ist aber die effektivste Methode, um die Angriffsfläche in Ihrer Organisation zu verringern. Stellen Sie sich dazu eine systeminterne Firewall vor, denn darum handelt es sich in Wirklichkeit.

Wir sind wir dorthin gekommen?
Meine Herausforderung an Sie: Fühlen Sie den Schmerz
Wenn Sie noch nicht darüber nachgedacht haben, aus Ihren Administratoren Benutzer zu machen, sollten Sie das jetzt tun. Ich möchte Ihnen hierbei auch gleichzeitig nahelegen, zunächst selbst ein bisschen damit zu experimentieren, aber nicht auf einem zweiten PC, denn das wäre geschummelt! Probieren Sie es auf Ihrem normalen System, mit dem Sie jeden Tag arbeiten. Probieren Sie es sogar ohne Benutzerkontensteuerung, wenn Sie mit Windows Vista® arbeiten. Wenn Sie in Ihrer Organisation etwas ändern wollen, ist es immer besser, nicht nur über theoretisches Wissen zu verfügen, sondern auch praktische Erfahrung mitzubringen. Sie werden sehen, dass das Ausführen von Windows als Nichtadministrator gar nicht so schwierig ist und dass Sie durch die damit verbundene erhöhte Sicherheit die Angriffsfläche Ihrer Organisation erheblich verringern.

Dass die meisten Benutzer Windows als Administrator ausführen, geht auf die Anfänge von Windows® zurück. Bei den ersten Versionen von Windows (vor Windows NT® 3.1) hatten alle Benutzer die gleichen Rechte. Funktionstechnisch gesehen gab es keine Sicherheit. Zuhause war das kein Problem. Es bedeutete nur, dass alle Programme auf die gleiche Weise installiert wurden. Es wurde angenommen, dass der Computer dem Benutzer gehört und dass alle Programme für alle Benutzer dieses Computers installiert wurden.
Als Windows NT auf den Markt kam, hat es sich nicht sofort in Unternehmen (und schon gar nicht in Privathaushalten) durchgesetzt. Aufgrund der Win32®-Kompatibilität zwischen 32-Bit-Windows und Windows NT programmierten die meisten Softwarehersteller ihre Programme nicht extra um, nur damit sie die Sicherheitsinfrastruktur von Windows NT nutzen konnten. Erst als Windows 2000 auf den Markt kam, begannen viele unabhängige Softwarehersteller damit, sich für Windows NT zu interessieren. Mit Windows XP änderte sich das allerdings schlagartig, da mit Windows XP das Ende der 9x-Familie eingeläutet wurde.
Programme wurden aber dennoch weiter so entwickelt, als ob jeder Benutzer auf dem System für den Programmordner, für HKEY_LOCAL_MACHINE (HKLM) in der Registrierung und für HKEY_CLASSES_ROOT Schreibrechte besäße, obwohl das nicht der Fall ist. Gerade bei Spielen wird oft davon ausgegangen, dass jeder über Schreibrechte für alle Bereiche verfügt, siehe hierzu den Artikel von Matt Clapham zu diesem Thema unter technetmagazine.com/issues/2007/02/Gaming.
Das ist problematisch, weil die meisten systemübergreifenden Programme ihre Dateien und Registrierungseinstellungen in diesen Bereichen speichern und Sie einen Lese- und Schreibzugriff für diese Bereiche haben müssen, um die Programme installieren zu können. Leider bestehen einige Programme darauf, nach der Installation in diese Schlüssel zu schreiben. Meine Tochter besitzt zum Beispiel ein Spiel, das auf Flash basiert. Das Spiel versucht jedes Mal, wenn man es ausführt, einen benutzerdefinierten Spieler zu installieren. Wenn meine Tochter das Spiel als Benutzer und nicht als Administrator ausführt, schlägt der Programmstart mit einem schweren Fehler fehl. Das ist zwar extrem, und es handelt sich hierbei um eine Verbraucheranwendung, aber die Realität ist, dass viele Unternehmensanwendungen immer noch nicht gut in einer Welt mit Benutzern ohne Administratorrechte laufen. Wenn Sie meine Herausforderung annehmen (siehe Randleiste „Meine Herausforderung an Sie: Fühlen Sie den Schmerz“), werden Sie feststellen, wie wenig tolerant Windows bei der Ausführung als Benutzer ist.
Wenn Sie sich Abbildung 1 ansehen, sehen Sie, wie die Ausführung von IPConfig /release als Benutzer unter Windows XP aussieht. Wenn Sie das mit Abbildung 2 vergleichen, sehen Sie, dass der gleiche Befehl unter Windows Vista auch nicht viel besser funktioniert, aber zumindest wissen Sie, warum der Befehl fehlschlägt. Die Netzwerktools sind insgesamt allerdings verbessert worden, um es Benutzern zu ermöglichen, ihre IP-Adressen zu aktualisieren. Wenn Sie die Computerverwaltung (compmgmt.msc) als Benutzer unter diesen beiden Versionen ausführen, können Sie nur eine begrenzte Zahl von Aufgaben durchführen, was aber in der Regel in frustrierenden Sackgassen endet, wie Abbildung 3 zeigt. Windows Vista aktiviert zwar anfänglich nicht viele der Tools in der Computerverwaltung, gibt aber klarere Meldungen bei einer Zugriffsverweigerung zurück.
Abbildung 1 Ausführen von Programmen als Benutzer unter Windows XP
Abbildung 1 Ausführen von Programmen als Benutzer unter Windows XP
Abbildung 2 Ausführen von Programmen als Benutzer unter Windows Vista
Abbildung 2 Ausführen von Programmen als Benutzer unter Windows Vista
Abbildung 3 Irreführende Meldung, nachdem compmgmt.msc als Benutzer unter Windows XP ausgeführt wurde
Abbildung 3 Irreführende Meldung, nachdem compmgmt.msc als Benutzer unter Windows XP ausgeführt wurde

Warum es einen Unterschied macht
Warum sollten Sie sich also mit diesem Thema befassen? Weil wir als IT-Experten damit beginnen sollten, Anwendungen zu zwingen, sich an Benutzer mit den geringsten Rechten anzupassen, statt Anwendungen zu erlauben anzunehmen, dass dem Benutzer das System gehört.
Leider gewähren die gleichen Richtlinien, die es Administratoren ermöglichen, in Registrierungsschlüssel zu schreiben, auch Malware im Benutzerkontext vollen Zugriff auf alles, das nicht explizit über Zugriffssteuerungslisten verweigert wird. In der UNIX-Welt folgt man der Regel, das Betriebssystem nicht als „root“ (das Äquivalent des Windows-Administratorkontos) auszuführen, größtenteils deshalb, weil das Ökosystem der Software, das die Grenzen des Sicherheitsmodells verschiebt, winzig bis nicht existent ist.
Das Beste, was Sie tun können, ist aber immer noch, dem gleichen Prinzip zu folgen und Windows nur dann als Administrator auszuführen, wenn es explizit gefordert wird, oder (noch besser) nur einzelne Programme als Administrator auszuführen. Hierdurch bauen Sie die weiter oben erwähnte systeminterne Firewall auf. Wenn Malware oder Spyware dann versucht, etwas Unerlaubtes zu tun, schlägt dies fehl, weil die Malware oder Spyware nicht in die Registrierung oder in die Dateisystemordner schreiben kann, um Ihr System wirklich zu infizieren (z. B. um einen Dienst oder Treiber oder ein Programm für alle Benutzer zu installieren). Außerdem wird hierdurch ermöglicht, dass Antimalware Malware enthält, die es erkennt, ohne dabei das gesamte System zu gefährden.
Es ist aber zu beachten, dass Benutzer vor Angriffen nicht komplett geschützt sind. Obwohl diese Malwareklasse noch nicht sehr verbreitet ist, kann Malware den Kontext eines einzelnen Benutzers infizieren oder seine Daten zerstören. Die Angriffsmöglichkeiten durch Software dieser Art sind aber begrenzt. Demzufolge kann durch das gleiche Prinzip, das Malwareinstanzen unter Linux oder unter Mac OS niedrig hält (weniger potentielle Opfer sind für Malwareersteller nicht so interessant) dabei helfen, die allgemeine Sicherheit Ihrer Endbenutzer und Ihre eigene Sicherheit zu gewährleisten.

Gehören Poweruser der Vergangenheit an?
Als wir den Protection Manager entwickelten, lautete einer der Kommentare unserer Kunden: „Wir führen Windows XP mit allen unseren Benutzern als Poweruser und nicht als Administrator aus, darum treten bei uns keine Sicherheitsprobleme auf.“ Die Realität ist aber, dass Poweruser nur ein paar Schritte von Administratoren entfernt sind. Es gibt mehrere potenzielle Sicherheitslücken, die es (mit ein bisschen Arbeit) einem Poweruser unter Windows XP ermöglichen würden, ein Administrator zu werden. Die Powerusergruppe gibt es unter Windows Vista und Windows Server® 2008 nicht mehr. Nur Systeme, die von einer früheren Version von Windows aktualisiert wurden, haben eine Powerusergruppe. Generell sollten Sie immer vermeiden, die Powerusergruppe zu verwenden, selbst wenn Sie mit Windows XP arbeiten.

Weniger Berechtigungen
Wenn Sie meinen Artikel des Monats März zu Windows-Thin Clients (technetmagazine.com/issues/2008/03/DesktopFiles) gelesen haben, werden Sie sich daran erinnern, dass ich mich darin gegen ein Ausdünnen von Windows XP zum Sparen von Platz ausgesprochen habe. Im gleichen Sinne müssen beim Übergang von Administrator- zu Benutzerkonten einige Punkte berücksichtigt werden. Zum einen die Praxis, ACLs in der Registrierung und im Dateisystem anzupassen, damit Benutzer in Ordner schreiben können, in die sie normalerweise nicht schreiben dürfen, und somit problematische Anwendungen ausführen können.
Natürlich ist es am besten, eine aktualisierte Version eines Programms zu besorgen, die diese Änderung nicht erfordert, aber das ist nicht immer möglich. Wenn Sie Berechtigungen ändern (d. h. mehr Zugriffsrechte gewähren) müssen, sollten Sie sehr vorsichtig vorgehen. Denken Sie daran, dass die Firewall zwischen einem Benutzer und einem Administrator größtenteils durch die Berechtigungen für die Registrierung und das Dateisystem definiert wird. Wenn Sie mehr Zugriffsrechte gewähren, verringern Sie Ihren Schutz und vergrößern potenziell die Angriffsfläche für Malware. Seien Sie deshalb vorsichtig.

Was ist mit der Benutzerkontensteuerung?
Keine Diskussion über den Übergang von Administratoren zu Benutzern ist vollständig, wenn nicht auf die Benutzerkontensteuerung in Windows Vista eingegangen wird. Die Benutzerkontensteuerung lässt Sie, wie die ähnliche Funktion unter Mac OS X, Programme als Administrator ausführen, ohne Sie dabei zu stark zu gefährden.
Wie funktioniert das? Sehen Sie sich in Abbildung 4 an, welche Informationen Process Explorer zu cmd.exe anzeigt. Die cmd.exe-Instanz auf der rechten Seite wurde ohne eine Erhöhung der Zugriffsrechte mit mir als Administrator gestartet. Selbst wenn der Benutzer auf der rechten Seite identisch mit dem Benutzer auf der linken Seite ist (auf der cmd.exe mit erhöhten Benutzerrechten gestartet wurde), enthält die Anwendung selbst nicht die notwendigen Berechtigungen und Token (und den Benutzer, der die Instanz ausführt), um Aufgaben durchzuführen, die Administratorrechte erfordern. Die Benutzerkontensteuerung verringert die Angriffsfläche innerhalb des interaktiven Kontexts eines Benutzers. Das einzige Problem besteht darin, dass jemand Windows mitteilen muss, dass diese Aufgabe Administratorrechte erfordert und dass der Benutzer damit einverstanden ist, die Zugriffsrechte zu erhöhen, um diese Aufgabe abzuschließen.
Abbildung 4 Zwei Instanzen von cmd.exe mit unterschiedlichen Berechtigungen
Abbildung 4 Zwei Instanzen von cmd.exe mit unterschiedlichen Berechtigungen
Die kleinen Schildsymbole in Windows Vista zeigen Ihnen, für welche Aufgaben erhöhte Zugriffsrechte erforderlich sind (siehe Abbildung 5). Für diese Aufgaben müssen jedes Mal, wenn Sie sie ausführen, die Zugriffsrechte erhöht werden, und das ist eine der Schwachstellen, die die Presse bei Windows Vista hervorgehoben hat. Die Alternative, bei der die Anmeldeinformationen automatisch dazu genutzt werden, die Zugriffsrechte zu erhöhen, stellt eine potenzielle Sicherheitsbedrohung dar, die genutzt werden könnte, um leichter in das System einzudringen.
Abbildung 5 Schildsymbole in Windows Vista zeigen an, wenn erhöhte Zugriffsrechte erforderlich sind
Abbildung 5 Schildsymbole in Windows Vista zeigen an, wenn erhöhte Zugriffsrechte erforderlich sind
Wenn die Benutzerkontensteuerung aktiviert ist und Ihre Benutzer Windows als normale Benutzer ausführen, werden sie zur Eingabe administrativer Anmeldeinformationen aufgefordert, wenn eine Anwendung Administratorrechte erfordert. In diesem Fall ist wie beim Verwenden von „runas“ oder „psexec“ zu beachten, dass die Anwendung buchstäblich im Kontext des Benutzers ausgeführt wird, in dem sie gestartet wurde, und nicht wie bei der Benutzerkontensteuerung als Administrator. In diesem Fall werden die Aufgaben zwar in Ihrem Kontext, aber mit erhöhten Berechtigungen ausgeführt.

Ausführen von Windows Vista als Benutzer?
Persönlich ziehe ich es vor, Windows Vista als Benutzer und nicht als Administrator mit Benutzerkontensteuerung auszuführen, weil ich der Meinung bin, dass das in einem durchschnittlichen Unternehmen immer noch das Beste ist. Ihre Benutzer haben ja weiterhin volle Kontrolle über ihre Systeme, und Sie haben potenzielle Sicherheitslücken verringert.
Wenn Sie außerdem vorhaben, Ihre Benutzer mit Gruppenrichtlinien, Virenscannern, Antimalware oder anderer Software zu verwalten und eine zentrale Kontrolle darüber haben wollen, ob diese Aufgaben tatsächlich durchgesetzt oder abgeschlossen werden, ist die Gewährleistung, dass Ihre Endbenutzer keine Administratoren sind, ein entscheidender Schritt. Wenn Ihre Benutzer Administratoren sind, können sie Dienste anhalten, Treiber hinzufügen oder entfernen und andere Aufgaben durchführen. Selbstverständlich kann ein geschickter Endbenutzer, der Windows PE als Benutzer ausführt, einige Sicherheitshürden überwinden. BitLocker® kann das erschweren, aber auch hier sollten Sie nicht vergessen, dass Endbenutzer mit einem direkten Zugang zu ihrem PC tun können, was immer sie wollen, wenn sie genügend Zeit und Wissen haben und entsprechend motiviert sind.
Das Ausführen von Windows Vista als Benutzer unterscheidet sich nicht allzu sehr vom Ausführen von Windows XP als Benutzer. Ich verwende die gleichen Tools – PSExec, RunAs (und jetzt die Benutzerkontensteuerung) –, um bei Bedarf Aufgaben als Administrator durchzuführen. Das Gute dabei ist, dass ziemlich viele Aufgaben in Windows XP, für die früher Administratorrechte erforderlich waren, heute keine Administratorrechte mehr erfordern. Zum Beispiel kann ein Windows Vista-Benutzer einen lokalen Drucker installieren. (Netzwerkdrucker konnten von Benutzern in Windows XP installiert werden, aber für die Installation eines lokalen Druckers waren Administratorrechte erforderlich.) Solange der Benutzer in Windows Vista direkt am Computer sitzt und sich der Druckertreiber im Treiberverzeichnis befindet, kann ein Benutzer einen Drucker installieren und darauf Druckaufträge verwalten. (Weitere Informationen finden Sie unter go.microsoft.com/fwlink/?LinkId=111534.) Beachten Sie, dass diese Funktionalität in Windows Server 2008 deaktiviert ist.
Oftmals machen sich Personen über die Uhrfunktion (bzw. die Nichtexistenz dieser Funktion) beim Ausführen von Windows XP als Benutzer lustig. Versuchen Sie einmal, als Benutzer auf die Uhr doppelzuklicken (etwas, das Benutzer oft tun, um zu sehen, welches Datum heute ist, egal ob die Funktion hierfür gedacht war oder nicht). Sie erhalten in diesem Fall den in Abbildung 6 gezeigten Fehler. Nicht gerade sehr freundlich. Unter Windows XP können Sie die Richtlinie ändern, damit Benutzer dies tun können, aber unter Windows Vista wurde dies geändert. Alles in allem ist das Ausführen von Windows Vista als Benutzer (ob Sie nun die Benutzerkontensteuerung verwenden oder Windows als formaler Benutzer oder als ein anderer Benutzer mit erhöhten Zugriffsrechten ausführen) also angenehmer als unter Windows XP.
Abbildung 6 Unter Windows XP konnten Nichtadministratoren die Uhrzeit nicht ändern
Abbildung 6 Unter Windows XP konnten Nichtadministratoren die Uhrzeit nicht ändern

Denken Sie an die Beschränkungen
Denken Sie daran, dass der Umstieg auf die Ausführung von Windows als Nichtadministrator kein Allheilmittel ist. Endbenutzer sitzen immer noch direkt vor ihren eigenen PCs und können die Sicherheitsmaßnahmen ihrer eigenen Systeme umgehen, insbesondere wenn die Richtlinie oder die Benutzerberechtigungen sie stören oder daran hindern, ihre Arbeit zu erledigen.
Wenn Ihre Benutzer Windows als Administratoren ausführen, lassen sich Gruppenrichtlinien schnell umgehen. Mit etwas mehr Aufwand können Benutzer zu Windows PE booten und Berechtigungen ändern, die sie normalerweise nicht ändern können, aber wenn Sie BitLocker oder eine andere Laufwerk-/Volumeverschlüsselung verwenden, können Sie das unmöglich machen oder zumindest erschweren.
Das Wichtigste, das Sie tun können, wenn Ihre Organisation noch nicht damit begonnen hat, Endbenutzer Windows als Benutzer ausführen zu lassen, besteht darin, sich mit den Gründen vertraut zu machen, warum Sie und die Organisation Zeit, Geld und Arbeit investieren sollten, um sich von dem Prinzip wegzubewegen, dass Benutzer Windows als Administratoren ausführen.
Natürlich ist es nicht leicht, sich von Legacyanwendungen zu trennen, aber wenn Sie ein Programm haben, das einfach nicht als Benutzer ausgeführt werden kann, ist es keine gute Idee, an diesem Programm festzuhalten, da es die Sicherheit Ihrer Organisation gefährdet. Sie sollten in Erwägung ziehen, das Programm zu virtualisieren, also buchstäblich auf einen virtuellen Computer zu verschieben, wo der Benutzer ein Administrator ist. Hierdurch kann das Programm wie erforderlich verwendet werden, ermöglicht es Ihnen aber dennoch, das restliche System sicherer zu machen, indem sich Benutzer als Benutzer und nicht als Administratoren anmelden.
Beachten Sie, dass ich in diesem ganzen Artikel nicht einmal den Ausdruck „Benutzerrechte einschränken“ oder ähnliche Ausdrücke verwendet habe. Wenn sich Benutzer als Benutzer und nicht als Administratoren anmelden, fällt in diesem Zusammenhang oftmals dieser oder ein ähnlicher Ausdruck. Vielleicht liegt das an meinem Psychologiehintergrund oder an meinem momentanen Marketingumfeld, aber ich bin der Meinung, dass es wichtig ist, keine Wörter zu verwenden, die Ihren Endbenutzern den Eindruck vermitteln, dass ihnen Zugriffsrechte weggenommen wurden (selbst wenn das semantisch gesehen der Fall ist).
Konzentrieren Sie sich stattdessen auf die Sicherheitsvorteile für die Organisation, und halten Sie Alternativen für Randfälle bereit, in denen Benutzer bestimmte Programme oder Aufgaben nicht als Benutzer ausführen können. Ob Sie nun manuelle Methoden wie das Skript „Run.vbs“ (das Sie unter technetmagazine.com/issues/2007/03/DesktopFiles finden) verwenden oder eine kommerzielle Lösung nutzen, um den Umstieg vorzunehmen (der Ihnen erlaubt, Details vor Ihren Endbenutzern zu verbergen und dafür zu sorgen, dass alles „einfach funktioniert“): Es ist wichtig, so schnell wie möglich vom Administratorkonzept auf das Benutzerkonzept umzusteigen. Aaron Margosis schreibt regelmäßig Artikel für das TechNet Magazin und ist Experte, wenn es darum geht, Windows als Nichtadministrator auszuführen. Wenn Sie seinen Blog noch nicht gelesen haben, sollten Sie das unbedingt tun (siehe blogs.msdn.com/aaron_margosis). 

Wes Miller ist momentan Senior Technical Product Manager bei CoreTrace (www.CoreTrace.com) in Austin, Texas. Zuvor war er bei Winternals Software und als Programmmanager bei Microsoft tätig. Sie können Wes Miller unter technet@getwired.com erreichen.


 Berichte aus der Praxis: Mehrere M&#228;use, ein PC
Berichte aus der Praxis
Mehrere Mäuse, ein PC
Kentaro Toyama

Das moderne Indien ist ein Land der Gegensätze. Einerseits ist es eine IT-Supermacht mit gut ausgebildeten Arbeitskräften, die Technologien für den weltweiten Bedarf entwickeln. Andererseits leben 70 Prozent der Bevölkerung immer noch von weniger als 2 $ pro Tag. Diese Gegensätze treffen im sporadisch stattfindenden Computerunterricht an staatlichen Schulen in ärmeren Gegenden aufeinander, in denen sich höchstens eine Handvoll von PCs finden. Diese Computer wurden meist gespendet, da die Schulen selbst keine Mittel für eine solche Anschaffung haben.
In einer solchen Umgebung gibt es fast immer mehr Schüler als Computer. Es ist ein alltägliches Szenario, dass Gruppen bis zu zehn Kindern sich um einen PC drängen und dass dabei oft der Stärkste das Sagen hat. Selbstverständlich steht das „Persönliche“ am Personal Computer dafür, dass PCs für die Nutzung durch Einzelpersonen entworfen wurden. Microsoft Research India hat sich die Frage gestellt, wie einer größeren Anzahl von Kindern der Zugriff auf einen Computer ermöglicht werden kann.
Die Lösung war erstaunlich einfach: Mit MultiPointTM können nämlich mehrere USB-Mäuse an einen Computer angeschlossen werden, sodass jede Maus einem farblich unterschiedlichen Cursor auf dem Bildschirm entspricht (research.microsoft.com/users/udaip/multipoint.htm). Dadurch wird praktisch wie bei einer Spielekonsole eine Mehrbenutzerumgebung geschaffen, sodass Lernsoftware, die für das Mehrmausmodell geschrieben wurde, vielen Kindern gleichzeitig ermöglicht, mit einem PC zu interagieren.
Junge Schüler fanden sofort Gefallen am neuen Modell, auch wenn die Erwachsenen Bedenken hatten, dass dies zu einem totalen Chaos am Bildschirm führen würde. In rigorosen Studien mit Schülern der 7. Klasse, in der MultiPoint-PC-Konfigurationen für fünf Personen mit Einzelcomputerkonfigurationen für einen Schüler verglichen wurden, stellten die Forscher mehrere Fakten fest. Erstens haben sich die Kinder viel länger mit dem PC und miteinander beschäftigt, wenn ihnen der Zugriff auf eine Maus ermöglicht wurde, was vermutlich im zusätzlichen Spaßfaktor begründet ist. Zweitens ist es wichtig, Softwareanwendungen zu entwerfen, die die Zusammenarbeit und nicht offenen Wettbewerb fördern. Andernfalls würde das Verhalten einiger Kinder, insbesondere der Jungen, sich rückläufig zu einem erzieherisch nicht sehr ergiebigen Wettbewerb im schnellen Zucken mit der Maus entwickeln. Abschließend wurde Folgendes festgestellt: Wenn Zusammenarbeit in die Software integriert wurde, lernten die Schüler in einer MultiPoint-Anwendung genauso viel wie an einem PC mit Einzelbenutzung, zumindest was einfache Vokabellernübungen angeht. Weitere Informationen zur Forschung sind über den oben angegebenen MultiPoint-Link verfügbar.
Beim Großeinkauf kosten Mäuse jeweils nur einige Dollar. Durch die Bereitstellung von MultiPoint-Lernanwendungen in Schulen können die Computernutzungskosten pro Kind somit deutlich reduziert werden. Zum Beispiel kommt ein 500 $-PC, der von fünf Schülern mit 5 $-Mäusen gemeinsam verwendet wird, auf 105 $ pro Kind. Diese Reduzierung der Pro-Kopf-Kosten wird bei der Finanzierung von Bildung und Ausbildung äußerst willkommen geheißen.
Bei Microsoft haben die Gruppen „Unlimited Potential“ (microsoft.com/unlimitedpotential) und „Education“ (microsoft.com/education) den Wert von MultiPoint für Schulen mit knappen Ressourcen erkannt. Um eine schnelle und weit verbreitete Akzeptanz zu erleichtern, wurde ein Softwareentwicklungskit herausgegeben, das Entwicklern von Lerninhalten ermöglicht, dieses Mehrmausmodell in ihren C#-Anwendungen problemlos zu integrieren. Das SDK kann kostenlos heruntergeladen und verwendet werden. Alle Windows®-basierten Computer können MultiPoint-Anwendungen ausführen (microsoft.com/downloads).
Als eines der Programme der Gruppe „Unlimited Potential“ besteht das Ziel des MultiPoint-SDK darin, den Wert von Computern auf so viele Schüler wie möglich zu erweitern, und dazu benötigen wir Ihre Hilfe. Falls Sie eine Schulanwendung mit MultiPoint in Angriff nehmen möchten, würden wir gern von Ihnen hören. Links zu den besten eingereichten Projekten werden auf MultiPoint-Websites veröffentlicht.
Was künftige Pläne angeht, arbeiten Microsoft Research India und das Terminaldienste-Produktteam an einer weiteren Möglichkeit, einen PC freizugeben: einem geteilten Bildschirm, an dem zwei Personen mit zwei Tastaturen und zwei Mäusen gemeinsam einen PC und einen Monitor verwenden. Der Monitor ist dabei in der Mitte zweigeteilt, sodass auf jeder Seite eine separate Sitzung des Betriebssystems ausgeführt werden kann. 

Kentaro Toyama ist stellvertretender Direktor von „Microsoft Research India“ (research.microsoft.com/india) und Forschungsleiter der Gruppe „Technologie für Wachstumsmärkte“ (research.microsoft.com/research/tem), die Technologien für wirtschaftlich schwache Communities weltweit entwickelt.


 Windows Confidential: 16-Bit-Symbole sind wirklich pass&#233;
Windows Confidential
16-Bit-Symbole sind wirklich passé
Raymond Chen

Wie bereits in der Rubrik Windows Confidential vom Februar 2008 festgestellt wurde, verschwinden bestimmte Features von Zeit zu Zeit aus Windows®. Das geschieht normalerweise langsam und größtenteils unauffällig, und ein Produktteam feiert das Ereignis jedes Mal in aller Stille. Ein Feature, das aus Windows Vista® verschwunden ist, ist die Möglichkeit, durch 32-Bit-Code auf Symbole zuzugreifen, die in 16-Bit-Modulen gespeichert sind – meist handelt es sich um .EXE- oder .DLL-Dateien mit 16-Bit.
Bevor Sie sich grundlos aufregen, sollten Sie bedenken, dass 16-Bit-Code problemlos auf Symbole zugreifen kann, die in 16-Bit-Modulen gespeichert wurden. All das geschieht in der 16-Bit-Emulationsschicht. Verschwunden ist die Fähigkeit, auf diese Symbole von 32-Bit-Code aus zuzugreifen, oder genauer gesagt, die Fähigkeit, dass die Funktionen für 32-Bit-Symbolextrahierung, beispielsweise die ExtractIcon-Funktion, diese Symbole aus der 16-Bit-DLL laden kann.
Der 32-Bit-Code, der Symbole von 16-Bit-Modulen extrahiert, ist nicht in der Lage, Kernelfunktionen wie FindResource zum Auffinden des Symbols in der Datei zu verwenden. Stattdessen muss der Code sein eigenes Miniladeprogramm implementieren, das den 16-Bit-Modulheader analysiert, in der Ressourcentabelle sucht und anschließend die Ressourcentabelle auf der Suche nach der gewünschten Symbolressource analysiert. Erst nachdem all das erledigt wurde, können die Pixel vom 32-Bit-Code in ein Symbol umgewandelt werden.
Wie Sie sich vorstellen können, ist der Code für diesen Vorgang ziemlich alt und relativ anfällig. Wenn (durch Zufall oder mit böswilliger Absicht) beschädigte Binärdateien analysiert werden, entstehen zahlreiche Fehlerquellen. Das für die Leistung zuständige Team wird dann möglicherweise Änderungsvorschläge für das Öffnen der Datei einreichen, um die Leistung über Netzwerke zu verbessern, da sich unterschiedliche Öffnungs- und Freigabemodi unterschiedlich auf die Netzwerkzwischenspeicherung auswirken. Das für Zuverlässigkeitsbelange zuständige Team wird vielleicht Änderungsvorschläge zum Schreiben des Analysecodes einreichen, um eine Verwendung von Dateien, denen Speicher zugewiesen wird, zu vermeiden. So übersteigt letzten Endes der Aufwand für die Verwaltung dieser Art von Code den dadurch gebotenen Nutzen. Wer schreibt heutzutage schon noch 16-Bit-Programme?
Ihre 16-Bit-Programme werden natürlich noch ausgeführt, solange der 16-Bit-Emulator vorhanden ist. (Es ist richtig, dass 64-Bit-Windows Vista nicht über eine 16-Bit-Emulationsschicht verfügt, doch das ist kein Rückschritt gegenüber Windows XP – 64-Bit-Windows XP hatte ebenfalls keine 16-Bit-Emulationsschicht. Also keine Verbesserung, aber auch keine Verschlechterung.)
Mit Windows Vista verlieren Sie lediglich die Möglichkeit, ExtractIcon von Ihrem 32-Bit-Programm auszuführen und ein Symbol von einer 16-Bit-DLL-Datei zu erhalten. Wenn Sie über eine Verknüpfung zu einem 16-Bit-Programm in Ihrem Startmenü verfügen, wird das Symbol für diese Verknüpfung jetzt als generisches Programmsymbol angezeigt, da Windows-Explorer das Symbol des 16-Bit-Programms nicht mehr aus der Haupt-EXE-Datei extrahieren kann. Kein großer Verlust. Wenn Sie das jedoch wirklich stört, können Sie die Eigenschaften der Verknüpfung bearbeiten und ihr ein Symbol von einem 32-Bit-Modul zuweisen.
Die einzige Stelle, an der dieses verlorene Feature nach meiner Erfahrung zu einem Problem wird, ist in Symbolbibliotheken, die von einem bestimmten Symbolbearbeitungstool erzeugt werden. Aus irgendeinem Grund speichert dieses Programm seine Symbole als Ressourcen in 16-Bit-DLL-Dateien, was bedeutet, dass Sie auf diese Symbole von 32-Bit-Code aus nicht mehr zugreifen können. Die einfache Problemumgehung besteht selbstverständlich darin, diese Symbolbibliotheken als Ressourcen in 32-Bit-DLL-Dateien zu speichern.
Ich bin mir sicher, dass letztendlich ein kleines Programm geschrieben wird – wenn das nicht bereits geschehen ist – um alle Symbole aus einer 16-Bit-DLL-Datei zu extrahieren und dann eine 32-Bit-DLL-Ressourcendatei mit diesen Symbolen zu erstellen. So können dann alte 16-Bit-DLL-Dateien auch weiterhin in Verknüpfungen auf dem Startmenü verwendet werden. Doch ehrlich gesagt, wenn Sie dieses Programm schreiben, finden Sie wahrscheinlich keine Abnehmer mehr dafür. Beim Windows-Team für die Entwicklung von Benutzeroberflächen ist nämlich genau diese Anzahl von Anfragen nach einem solchen Programm eingegangen: null.

Raymond Chen befasst sich auf seiner Website „The Old New Thing“ und in seinem gleichnamigen Buch mit der Geschichte von Windows und mit der Win32-Programmierung. Er achtet darauf, sich von zufallenden Türen fernzuhalten.