 TechNet Magazine May 2008

TechNet Magazine May 2008

Administration de Windows: Sauvegarde et restauration Active Directory dans Windows Server 2008

Windows Server 2008 et le nouvel utilitaire Sauvegarde Windows Server apportent de nombreuses modifications et améliorations des opérations de sauvegarde. Voici un guide détaillé de la sauvegarde et de la restauration Active Directory dans le nouveau système d'exploitation de serveur.

Gil Kirkpatrick Administration de Windows: Conception de structures d'UO fonctionnelles

Trop d'administrateurs sous-estiment l'importance d'une structure d'Unité d'organisation bien conçue. Découvrez pourquoi il est essentiel de disposer d'une stratégie d'UO solide et de déterminer la meilleure structure d'UO pour votre organisation.

Ken St. Cyr Administration de Windows: Extension du schéma Active Directory

Un grand nombre d'applications qui s'appuient sur Active Directory définissent leurs propres modifications du schéma. Il importe toutefois que ces modifications n'aient pas d'effet négatif sur d'autres applications. Obtenez un aperçu de l'extension d'Active Directory par le biais des objets classSchema et attributeSchema.

Vikas Malhotra System Center: Présentation de System Center Mobile Device Manager 2008

La nouvelle version de System Center Mobile Device Manager fournit un ensemble complet d'outils de gestion des périphériques Windows Mobile grâce à un composant logiciel enfichable MMC ou à Windows PowerShell. Découvrez comment cet outil vital vous permettra de gérer des périphériques mobiles, de renforcer la sécurité et mettre en place des fonctionnalités de VPN mobile.

Matt Fontaine System Center: Nouveautés de System Center Essentials SP1

Le Service Pack 1 introduit des améliorations significatives pour System Center Essentials 2007. Découvrez quelques-unes des modifications clés qui permettront d'améliorer l'expérience utilisateur et de rationaliser l'administration.

Pete Zerger Le mot du rédacteur en chef: Un accueil chaleureux à « Au cœur de SharePoint »

Joshua Hoffman Lettres: Les lecteurs ont la parole

Boîte à outils: Nouveaux produits pour les professionnels de l’informatique

Greg Steen Questions et réponses sur la file d'attente Exchange: Déploiement d'Exchange 2007 SP1

Dans cet article, nous offrons des réponses à vos questions sur Exchange Server 2007 SP1.

Nino Bilic Coup de projecteur sur les utilitaires: Planification des capacités SharePoint

Explorez l'outil de planification des capacités SharePoint et découvrez comment concevoir une topologie de déploiement de SharePoint et la réviser ensuite, après avoir exécuté des simulations de charge et d'utilisation.

Peter Skjøtt Larsen and Satish Mathew Au cœur de SharePoint: Création de votre infrastructure SharePoint

SharePoint est puissant, mais sa complexité peut rendre son déploiement assez difficile. Notre nouvelle rubrique SharePoint peut vous aider. Dans ce premier article, nous présentons l'architecture SharePoint et vous montrons comment configurer une infrastructure SharePoint de base avec WSS 3.0.

Pav Cherny Windows PowerShell: Automatisation de la gestion d'annuaire

La version 1 de Windows PowerShell offre des fonctionnalités de gestion d'Active Directory moins qu'impressionnantes. Découvrez comment vous pouvez utiliser des compléments pour obtenir des méthodes de travail avec les objets Active Directory plus puissantes depuis Windows PowerShell.

Don Jones Hé, vous le scripteur !: Des sourcils et des expressions régulières

Les scripteurs visitent le Louvre, se mettent à la critique d'art et vous montrent comment utiliser les expressions régulières dans un script pour effectuer une opération de recherche et remplacement.

The Microsoft Scripting Guys Vigilance sécurité: Principes de sécurité quantique

Découvrez comment le principe d'incertitude de Heisenberg et d'autres éléments de physique quantique peuvent apporter un éclairage sur l'évolution des stratégies de sécurité. Remarque : Aucun chat n'a été maltraité lors de la rédaction de cet article.

Jesper M. Johansson Histoires de Bureau: Adieu à l'administrateur

Pourquoi tout le monde exécute-t-il Windows en tant qu'administrateur ? Wes Miller se penche sur les risques associés à l'exécution de Windows en tant qu'administrateur et examine les avantages découlant de la transition de vos utilisateurs (y compris vous-même) vers l'exécution en tant qu'utilisateur.

Wes Miller Sur le terrain: Plusieurs souris, un seul PC

Que faites-vous lorsque les étudiants sont plus nombreux que les ordinateurs disponibles dans une salle de classe ? Microsoft Research Inde a développé une solution nommée MultiPoint, qui permet à plusieurs souris d'être utilisées simultanément sur un ordinateur.

Kentaro Toyama La vie secrète de Windows: Les icônes 16 bits sont vraiment démodées

Raymond Chen examine pourquoi Windows Vista ne prend pas en charge les icônes 16 bits et se demande si quelqu'un l'a remarqué.

Raymond Chen


 Administration de Windows: Sauvegarde et restauration Active&#160;Directory dans Windows&#160;Server&#160;2008
Administration de Windows Gil Kirkpatrick

Sauvegarde et restauration Active Directory dans Windows Server 2008
Vue d'ensemble:
  • NTBACKUP - Sauvegarde Windows Server
  • Outils et options de sauvegarde
  • Outils et options de récupération
  • Clés d'une bonne stratégie de sauvegarde Active Directory

Vous savez parfaitement qu'ADDS (Active Directory Domain Services) est un composant très important de votre infrastructure Windows. Si Active Directory tombe en panne, votre réseau est pratiquement inutile. Par conséquent, vos plans de sauvegarde et récupération Active
Directory sont essentiels à la sécurité et à la continuité de l'activité ainsi qu'à la conformité à la réglementation.
Windows Server® 2008 apporte de nombreuses fonctionnalités à Active Directory®, dont deux ont un impact très important sur vos plans de sauvegarde et récupération : le nouvel utilitaire Sauvegarde Windows Server et la possibilité de prendre et d'utiliser des instantanés VSS (Volume Shadow Copy Service) d'Active Directory. Dans cet article, je décrirai les modifications de la table liées à ces améliorations et vous montrerai comment vous pouvez exploiter ces modifications pour rationaliser vos activités de sauvegarde Active Directory.

NTBACKUP - Sauvegarde Windows Server
Paramètres de stratégie de groupe
L'outil Sauvegarde Windows Server propose plusieurs paramètres de stratégie de groupe qui vous donnent un certain contrôle sur la façon dont les sauvegardes fonctionnent sur vos serveurs. Ces stratégies de sauvegarde vous permettent de réduire les risques associés aux sauvegardes non autorisées effectuées dans le but d'accéder illégalement aux données. Parmi ces options, citons :
Autoriser uniquement la sauvegarde du système Si cette option est activée, Sauvegarde Windows Server peut uniquement sauvegarder les volumes système critiques. Il ne peut pas effectuer de sauvegarde de volume. Ne pas autoriser un périphérique de stockage connecté localement comme cible de sauvegarde Lorsqu'il est activé, ce paramètre n'autorise pas les sauvegardes sur les lecteurs connectés localement. Vous ne pouvez sauvegarder que sur un partage réseau.
Ne pas autoriser un réseau comme cible de sauvegarde Ce paramètre n'autorise pas la sauvegarde sur un partage réseau.
Ne pas autoriser un support optique comme cible de sauvegarde Lorsque ce paramètre est activé, Sauvegarde Windows Server ne peut pas sauvegarder sur un périphérique optique tel qu'un lecteur DVD enregistrable.
Ne pas autoriser les sauvegardes à exécution unique Ce paramètre empêche Sauvegarde Windows Server d'exécuter des sauvegardes non planifiées ou ad hoc. Seules les sauvegardes planifiées via le composant logiciel enfichable MMC de Sauvegarde Windows Server sont autorisées à s'exécuter.

Le NTBACKUP que vous connaissez et aimez depuis Windows NT® 3.5 n'existe plus. Il a été remplacé par Sauvegarde Windows Server. Ce nouvel outil n'est pas une version retapée de NTBACKUP mais une technologie de sauvegarde entièrement nouvelle qui vous obligera à repenser la façon dont vous sauvegardez vos systèmes.
Bien que Sauvegarde Windows® Server soit la seule solution de sauvegarde disponible pour Windows Server 2008, il ne s'agit pas d'un remplacement fonctionnalité pour fonctionnalité de NTBACKUP. La plus grande différence réside dans le fait que Sauvegarde Windows Server est une solution de sauvegarde de disque à disque ; il ne prend pas en charge la sauvegarde sur bande. Vous pouvez créer des images de sauvegarde sur des volumes de disque en connexion directe, sur des partages réseau et même sur des disques durs USB externes et des DVD enregistrables multivolumes. Mais vous ne pouvez pas sauvegarder sur bande. Pour être plus précis, vous pouvez toujours connecter un lecteur de bande à un serveur Windows Server 2008 et copier les images de sauvegarde générées par Sauvegarde Windows Server sur le lecteur de bande, mais pour ce faire, vous devrez utiliser un logiciel tiers.
Tandis que NTBACKUP est un outil de sauvegarde et restauration basé sur les fichiers, Sauvegarde Windows Server est basé sur les volumes et les blocs. Sauvegarde Windows Server gère sa source de sauvegarde comme un ensemble de volumes, chaque volume étant considéré comme une collection de blocs de disque. Cette méthode est beaucoup plus efficace que la sauvegarde des fichiers via le système de fichiers. En gérant les sauvegardes par blocs, Sauvegarde Windows Server peut également utiliser les instantanés VSS pour exécuter des sauvegardes incrémentielles au niveau des blocs et pour créer des instantanés sur le volume cible afin de simplifier l'utilisation des sauvegardes multiples (et de réduire l'espace qu'elles occupent).
Même si vous effectuez des sauvegardes complètes, Sauvegarde Windows Server vous permet d'économiser énormément d'espace sur les disques cibles. Vous pourriez, par exemple, décider d'exécuter plusieurs sauvegardes complètes sur un même volume. Dans la mesure où Sauvegarde Windows Server utilise les instantanés VSS sur les disques cibles dans lesquels il stocke les images de sauvegarde, les instantanés n'enregistreront que les blocs qui ont été modifiés. Ceci réduit considérablement l'espace utilisé par les sauvegardes complètes multiples. Vous évitez ainsi d'avoir à effectuer plusieurs opérations de restauration pour récupérer une sauvegarde incrémentielle. Bien que l'instantané stocke uniquement les deltas pour chaque sauvegarde, le service VSS fait en sorte que chaque sauvegarde semble complète.
Sachez, cependant, que vous ne bénéficiez des avantages des instantanés VSS sur la cible que si vous sauvegardez sur un disque dur local ; Sauvegarde Windows Server ne peut pas exécuter d'opération VSS sur les sauvegardes stockées sur DVD ou sur les partages réseau.
Autre avantage non négligeable, Sauvegarde Windows Server stocke ses images de sauvegarde au format VHD (Virtual Hard Disk) de Microsoft®. En fait, vous pouvez prendre une image de sauvegarde et la monter en tant que volume dans un ordinateur virtuel tournant sous Microsoft Virtual Server. Vous pouvez tout simplement monter les VHD dans un ordinateur virtuel et rechercher un fichier donné au lieu de devoir exécuter des tests de restauration de diverses bandes pour voir laquelle renferme ce fichier. (Remarque : vous ne pouvez pas prendre une image de sauvegarde et lancer un ordinateur virtuel depuis cette image. Dans la mesure où la configuration matérielle sauvegardée ne correspond pas à la configuration de l'ordinateur virtuel, vous ne pourrez pas utiliser Sauvegarde Windows Server en tant qu'outil de migration physique vers virtuel.)
L'orientation volumes et blocs de Sauvegarde Windows Server comporte un inconvénient. Étant donné que ce nouvel outil considère la source de sauvegarde comme un ensemble de volumes et de blocs, il ne vous permet pas de sauvegarder uniquement certains fichiers. Vous devez sauvegarder le volume entier. Qui plus est, vous ne pouvez pas stocker, par défaut, une image de sauvegarde sur l'un des volumes en train d'être sauvegardés (il existe toutefois des façons de contourner ce problème ; voir l'article à l'adresse support.microsoft.com/kb/944530). Cette restriction a des implications importantes pour la sauvegarde de l'état du système, comme nous le verrons plus tard dans cet article.

Installation de Sauvegarde Windows Server
Sauvegarde Windows Server est une « fonctionnalité » de Windows Server 2008 et n'est pas installé par défaut. Avant de pouvoir effectuer une sauvegarde avec Sauvegarde Windows Server, vous devez installer la fonctionnalité en utilisant soit le Gestionnaire de serveur, soit l'utilitaire de ligne de commande SERVERMANAGERCMD :
C:\> servermanagercmd -install Backup-Features
Sauvegarde Windows Server est composé de deux sous-fonctionnalités : Sauvegarde Windows Server et les outils de ligne de commande. Notez que les outils de ligne de commande sont une série d'applets de commande Windows PowerShellTM et non les outils de ligne de commande WBADMIN .EXE. Aussi, si vous choisissez d'installer les deux sous-fonctionnalités, vous devez installer la fonctionnalité Windows PowerShell.
Après avoir installé Sauvegarde Windows Server, vous trouverez le composant logiciel enfichable MMC (Microsoft Management Console) sous le nœud Stockage du Gestionnaire de serveur et sur le menu Outils d'administration. Si vous utilisez une installation Windows Server 2008 Server Core pour installer Sauvegarde Windows Server, utilisez la commande OCSETUP (il est important de noter que la commande OCSETUP est sensible à la casse) :
C:\> ocsetup WindowsServerBackup
Une description complète du processus d'installation est disponible à l'adresse go.microsoft.com/fwlink/?LinkId=113146.
Notez que Sauvegarde Windows Server ne peut pas restaurer les images créées avec NTBACKUP. Pour ce scénario peu probable, Microsoft a mis à votre disposition une version téléchargeable de NTBACKUP pour Windows Server 2008 (voir go.microsoft.com/fwlink/?LinkId=113147).

Composants de Sauvegarde Windows Server
L'architecture de l'application Sauvegarde Windows Server représente un changement important. Cette nouvelle solution de sauvegarde consiste en quatre composants :
  • Interface utilisateur MMC (WBADMIN.MCS)
  • Interface de ligne de commande
(WBADMIN EXE)
  • Service de sauvegarde (WBENGINE.EXE)
  • Jeu d'applets de commande Windows PowerShell
Le fait de diviser l'application en client et service comporte plusieurs avantages, le plus important étant une fiabilité accrue. Que vous lanciez une sauvegarde depuis le client MMC ou l'interface de ligne de commande, c'est le service WBENGINE qui effectue le gros du travail. Les programmes client ne font que signaler l'état de la sauvegarde. Ainsi, en arrêtant le client, vous n'arrêtez pas la sauvegarde. Le client s'arrête mais le service continue jusqu'au bout. Bien sûr, vous pouvez arrêter la sauvegarde si vous le souhaitez, mais vous devez le faire explicitement.
L'autre avantage de cette architecture divisée est que vous pouvez utiliser le client pour gérer les sauvegardes sur les ordinateurs à distance. Ceci est particulièrement utile lorsque vous devez sauvegarder des ordinateurs Windows Server 2008 Core.
Sauvegarde Windows Server prend en charge les restaurations sans système d'exploitation à l'aide de l'Environnement de récupération Windows (WinRE), qui est fourni avec le support d'installation de Windows Server 2008. WinRE simplifie la récupération d'un serveur ex nihilo. J'aborderai la restauration sans système d'exploitation plus loin dans cet article. Il est important de mentionner que Sauvegarde Windows Server prend en charge plusieurs paramètres de stratégie de groupe pour la gestion des sauvegardes. Ces paramètres sont présentés dans l'encadré « Paramètres de stratégie de groupe ».

Service VSS
Sauvegarde Windows Server utilise le Service VSS (Volume Shadow Copy Service) de trois façons différentes. Lorsque vous lancez une sauvegarde complète sur Windows Server 2008, la première chose que fait l'application consiste à prendre un cliché instantané de tous les volumes sources. Cela permet ainsi d'avoir une vue cohérente du système de fichiers utilisé par le logiciel de sauvegarde. (C'est ce que faisait également NTBACKUP). Sauvegarde Windows Server copie ensuite bloc par bloc les blocs du volume source sur la cible de sauvegarde, créant au passage une image VHD pour chaque volume de sauvegarde.
Sauf instruction contraire, Sauvegarde Windows Server crée également un instantané du volume source pour permettre au service VSS d'assurer le suivi de tous les blocs modifiés sur le volume. Ceci permet à Sauvegarde Windows Server de créer des sauvegardes incrémentielles au niveau des blocs qui consistent uniquement à lire les blocs modifiés du volume source. Au lieu de lire et d'écrire un fichier entier parce qu'un bit y a été modifié, Sauvegarde Windows Server peut ne lire et écrire que le bloc qui a été modifié.
Ceci permet d'effectuer des sauvegardes incrémentielles très efficaces, mais aux dépends d'E/S de disque supplémentaires pour les opérations d'écriture sur le volume source. Si vous sauvegardez un volume particulièrement actif ou important pour les performances, vous devez désactiver l'instantané VSS du volume source en sélectionnant le lien Configurer les paramètres de performances et en désactivant ensuite les sauvegardes incrémentielles de ce volume (comme illustré à la figure 1).
Figure 1 Désactivation des sauvegardes incrémentielles des volumes très actifs
Figure 1 Désactivation des sauvegardes incrémentielles des volumes très actifs
Une fois la sauvegarde terminée, Sauvegarde Windows Server prend un instantané du volume cible (à supposer que vous sauvegardiez sur un disque dur connecté localement). À la sauvegarde suivante, les fichiers VHD cibles sont écrasés. Toutefois, puisque le service VSS conserve des clichés instantanés du volume cible, il existe en fait plusieurs versions de chaque fichier VHD correspondant à chacune des sauvegardes complètes. En bref, vous obtenez plusieurs sauvegardes complètes pour le coût d'une sauvegarde complète et des blocs modifiés.

Sauvegarde sur partages réseau
La sauvegarde sur un partage réseau est toute aussi simple que la sauvegarde sur un volume local. La principale différence réside dans le fait qu'elle ne peut pas créer d'instantané VSS du volume distant. Chaque sauvegarde complète remplace par conséquent la sauvegarde précédente, si bien que seule la dernière image de sauvegarde complète de chaque serveur est conservée sur le partage réseau. En raison de cette restriction, vous ne pouvez pas utiliser le planificateur de Sauvegarde Windows Server pour planifier des sauvegardes sur un partage réseau. Vous pouvez, cependant, utiliser le planificateur de tâches Windows pour exécuter le programme de ligne de commande WBADMIN afin d'effectuer des sauvegardes complètes sur un partage réseau. Si vous choisissez de planifier des sauvegardes complètes sur un partage réseau de cette façon, modifiez le dossier cible de chaque sauvegarde afin d'éviter d'écraser les sauvegardes précédentes.

Sauvegarde sur DVD enregistrables
Sauvegarde Windows Server prend également en charge les sauvegardes sur les supports optiques tels que les DVD inscriptibles. En outre, vous pouvez créer des jeux de sauvegarde de plusieurs volumes. Sauvegarde Windows Server compresse toujours les sauvegardes sur DVD, ce qui signifie que vous pouvez effectuer uniquement des restaurations de système ou volume complet depuis un DVD. Sauvegarde Windows Server ne prend pas en charge les sauvegardes et restaurations de l'état du système ou au niveau des fichiers avec les DVD. De plus, vous ne pouvez pas planifier des sauvegardes sur DVD.

Sauvegardes et restaurations de l'état du système
Les sauvegardes de l'état du système, qui incluent seulement certains fichiers et certaines bases de données d'application (et non des volumes entiers), sont très pratiques et souvent essentielles. Toutefois, les toutes premières versions de Windows Server 2008 ne prenaient pas en charge les sauvegardes et restaurations de l'état du système. Au lieu de cela, l'outil de sauvegarde se contentait de sauvegarder les volumes système critiques (c'est-à-dire les volumes nécessaires à la récupération et au redémarrage du système d'exploitation et des applications clés). Ces volumes système critiques représentaient l'équivalent orienté volumes d'une sauvegarde de l'état du système.
Suite aux commentaires des clients, Microsoft a ajouté des fonctionnalités de sauvegarde et restauration de l'état du système à Sauvegarde Windows Server. L'application crée plusieurs fichiers VHD, un pour chaque volume qui héberge les données de l'état du système, mais ne copie que les fichiers et bases de données nécessaires sur les VHD. En outre, lorsque vous exécutez une sauvegarde de l'état du système, l'application Sauvegarde Windows Server ne crée pas d'instantané du volume cible comme elle le fait lors du processus de sauvegarde normal. Au lieu de cela, chaque sauvegarde de l'état du système crée un tout nouveau jeu de fichiers VHD, ce qui signifie que vous ne bénéficiez pas des économies d'espace que confèrent les sauvegardes de volumes basées sur les instantanés.
Vous ne pouvez effectuer une sauvegarde de l'état du système qu'avec le programme de ligne de commande WBADMIN.EXE ; le composant logiciel enfichable MMC ne propose pas cette option. Pour effectuer une sauvegarde de l'état du système, vous devez utiliser cette commande :
C:\> wbadmin start systemstatebackup
–backuptarget:e:
WBADMIN sauvegarde ensuite les fichiers système critiques et les bases de données d'application sur le volume cible, dans un dossier réservé aux sauvegardes de l'état du système. La sauvegarde de l'état du système sur un contrôleur de domaine (DC) Windows Server 2008 32 bits avec une arborescence d'informations d'annuaire (DIT) par défaut s'élève à un peu plus de 6 Go, soit 5 Go de plus que sur Windows Server 2003, en raison, notamment, du fait que Sauvegarde Windows Server capture les fichiers de système d'exploitation de base que NTBACKUP ne capturait pas.
Comme vous pouviez vous y attendre, la sauvegarde de l'état du système prend également plus de temps. Bien sûr, les chiffres cités sont basés sur une version préliminaire du système d'exploitation. Vous devrez vérifier ces données dans votre propre environnement de test, mais vous il vous faudra probablement prévoir des sauvegardes de l'état du système plus volumineuses (et plus longues) lorsque vous migrerez vos contrôleurs de domaine vers Windows Server 2008.

Sauvegarde d'un serveur avec la console MMC
Lorsque vous exécutez la console MMC de Sauvegarde Windows Server (voir figure 2), vous avez la possibilité soit de configurer un calendrier de sauvegarde, soit d'exécuter immédiatement une sauvegarde ad hoc. Dans le cas présent, je sélectionne Sauvegarde unique pour effectuer une sauvegarde immédiate.
Figure 2 Console MMC de Sauvegarde Windows Server
Figure 2 Console MMC de Sauvegarde Windows Server
Comme l'illustre la figure 3, je peux sauvegarder tous les volumes présents sur le serveur ou uniquement les volumes spécifiques que je choisis. Si je sélectionne Serveur entier, Sauvegarde Windows Server sauvegardera tous les volumes montés, mais je n'aurai pas la possibilité de sauvegarder sur un disque dur monté ; au lieu de cela, je devrai sauvegarder sur un DVD enregistrable ou un partage réseau.
Figure 3 Utilisation de la boîte de dialogue de configuration de la sauvegarde pour spécifier tous les volumes ou uniquement certains volumes
Figure 3 Utilisation de la boîte de dialogue de configuration de la sauvegarde pour spécifier tous les volumes ou uniquement certains volumes
Dans cet exemple, je veux sauvegarder sur un disque dur local, donc je sélectionne l'option Personnalisée. Une boîte de dialogue me permet alors de sélectionner les volumes à sauvegarder (voir figure 4). Par défaut, Sauvegarde Windows Server coche la case Activer la récupération du système et sélectionne le volume de démarrage, le volume du système d'exploitation et tout autre volume comprenant des fichiers système et bases de données d'application critiques. Sur un contrôleur de domaine, ceci inclut les volumes hébergeant SYSVOL, la DIT d'Active Directory et les journaux d'Active Directory. Cela équivaut à une sauvegarde de l'état du système, mais avec une sauvegarde de tous les volumes critiques, et non uniquement des fichiers critiques de ces volumes. En fait, je peux même exécuter une récupération de l'état du système à partir d'un jeu de sauvegarde de récupération du système.
Figure 4 Sélection de volumes spécifiques à sauvegarder
Figure 4 Sélection de volumes spécifiques à sauvegarder
Lorsque j'ai sélectionné le type de destination (lecteur local ou partage réseau) et spécifié la destination, Sauvegarde Windows Server m'invite à sélectionner soit une sauvegarde « copie VSS » soit une sauvegarde « complète VSS ». La terminologie prête à confusion, car ces options sauvegardent toutes deux les volumes sélectionnés dans leur intégralité. La différence réside dans la façon dont Sauvegarde Windows Server contrôle les fichiers sources après qu'ils ont été sauvegardés. Si vous sélectionnez l'option de copie, Sauvegarde Windows Server ne touchera pas aux fichiers sauvegardés. Si vous choisissez l'option complète, Sauvegarde Windows Server réinitialisera l'archive.

Sauvegarde d'un serveur à partir de la ligne de commande
Si vous souhaitez scripter le processus de sauvegarde ou si vous sauvegardez un serveur sur une installation Server Core, vous pouvez utiliser le programme de ligne de commande WBADMIN.EXE. WBADMIN offre un jeu complet d'options qui effectuent essentiellement les mêmes tâches que le composant logiciel enfichable MMC, y compris la gestion des calendriers de sauvegarde.
Supposons que je souhaite démarrer le service WBENGINE qui, à son tour, exécutera le processus de sauvegarde. Il me suffit d'entrer la commande suivante :
C:\> wbadmin start backup –include:c:,d:
–backuptarget:e:
Ou bien, pour sauvegarder tous les volumes système critiques, je peux entrer la commande suivante :
C:\> wbadmin start backup -allcritical
–backuptarget:e:
Après avoir lancé la sauvegarde, WBADMIN continue d'exécuter et d'afficher la progression de la sauvegarde. Si je mets fin à WBADMIN, la sauvegarde continue en arrière-plan. Je peux alors reconnecter WBADMIN à une sauvegarde en cours d'exécution à l'aide de la commande suivante :
C:\> wbadmin get status
Et si je souhaite mettre fin à une sauvegarde en cours d'exécution, il me suffit d'entrer la commande suivante :
C:\> wbadmin stop job

Planification de sauvegardes avec la console MMC
Le planificateur de sauvegarde intégré à Sauvegarde Windows Server est en fait conçu pour répondre à un objectif unique : simplifier la planification des sauvegardes quotidiennes de système complet sur un volume de disque local. Vous pouvez utiliser le planificateur intégré pour instaurer un système de rotation automatique des sauvegardes sur plusieurs volumes cibles. Si vous avez des disques durs aisément amovibles (ou si vous utilisez des disques durs USB), vous pouvez utiliser cette fonctionnalité pour créer un système de rotation vous permettant de supprimer le disque de sauvegarde et de le stocker hors site avant et de renvoyer le disque de sauvegarde le plus ancien au serveur pour la prochaine sauvegarde planifiée.
Le planificateur de Sauvegarde Windows Server vous permet uniquement de planifier des sauvegardes qui ont toujours lieu quotidiennement. Il n'est pas possible de planifier des sauvegardes pour lundi, mercredi et vendredi, par exemple. Par conséquent, si vous ne voulez pas exécuter vos sauvegardes planifiées quotidiennement, vous devrez utiliser le planificateur de tâches Windows.
Lorsque vous configurez une sauvegarde planifiée sur un disque local, Sauvegarde Windows Server effectue toutes les opérations liées au disque nécessaires à la sauvegarde : il le formate, organise une structure de dossiers spécifique et rend le disque cible invisible pour l'Explorateur Windows. Le disque cible doit être un volume de base ; Sauvegarde Windows Server ne peut pas sauvegarder sur des disques configurés en tant que volumes dynamiques.
La planification de sauvegardes par le biais du composant logiciel enfichable MMC est très simple. Dans cet exemple, je sélectionne d'abord le lien Planification de sauvegarde et spécifie le type de sauvegarde et les volumes à sauvegarder ; Sauvegarde Windows Server affiche ensuite la boîte de dialogue « Spécifiez l’heure de la sauvegarde » (voir figure 5).
Figure 5 Spécification des moments auxquels les sauvegardes quotidiennes doivent avoir lieu
Figure 5 Spécification des moments auxquels les sauvegardes quotidiennes doivent avoir lieu
Après avoir sélectionné les heures auxquelles je souhaite effectuer la sauvegarde, je peux sélectionner le ou les volumes sur lesquels je veux sauvegarder. En l'occurrence, je sélectionne le volume de sauvegarde E:, comme illustré à la figure 6. Sauvegarde Windows Server essaie de sélectionner un volume cible approprié pour vous, mais si le disque sur lequel vous voulez sauvegarder n'apparaît pas, vous pouvez utiliser le bouton Afficher tous les disques disponibles pour afficher tous les périphériques de disque connectés. Au bout de quelques boîtes de dialogue de confirmation, Sauvegarde Windows Server formate le ou les volumes cibles et planifie la tâche de sauvegarde à l'aide du planificateur de tâches Windows.
Figure 6 Spécification du disque de destination d'une sauvegarde planifiée
Figure 6 Spécification du disque de destination d'une sauvegarde planifiée
Chaque fois qu'une sauvegarde planifiée est terminée, Sauvegarde Windows Server prend un instantané du volume cible. Tous les sept jours, il crée une nouvelle image de base. L'activité est enregistrée dans le journal Microsoft/Sauvegarde/Opérationnel. Vous pouvez consulter ce répertoire pour voir si vos sauvegardes ont réussi ; vous pouvez également associer une tâche, telle que l'envoi d'un message électronique, aux événements qui ont abouti et à ceux qui ont échoué afin d'être toujours informé de l'état de vos sauvegardes planifiées.

Planification de sauvegardes depuis la ligne de commande
Si vous planifiez des sauvegardes sur une installation Server Core ou si vous souhaitez simplement scripter le processus, vous pouvez gérer le calendrier des sauvegardes à l'aide de la ligne de commande WBADMIN. Pour ajouter une sauvegarde planifiée, vous devez utilisez la commande WBADMIN ENABLE BACKUP, en spécifiant le cible, la source et l'heure prévue, comme suit :
C:\> wbadmin enable backup –addtarget:e:
-include:c:,d: -schedule:06:00,12:00,18:00
Cette commande sauvegardera les lecteurs C: et D: sur le lecteur E: trois fois par jour, à 6h00, midi et 18h00 (notez l'utilisation du format 24 heures). Pour sauvegarder tous les volumes système critiques (depuis lesquels vous pouvez exécuter une restauration sans système d’exploitation ou une restauration de l'état du système), remplacez le commutateur –include par le commutateur –allcritical.
Vous pouvez également utiliser WBADMIN pour désactiver toutes les sauvegardes planifiées, comme suit :
C:\> wbadmin disable backup
Cette commande supprimera toutes les tâches de sauvegarde planifiées créées par le planificateur de Sauvegarde Windows Server et libèrera tous les volumes cibles de sauvegarde pour un usage normal. Notez que vous pouvez toujours utiliser le composant logiciel enfichable MMC WBADMIN pour gérer à distance les activités de sauvegarde et restauration des serveurs Server Core.

Récupération sans système d’exploitation d'un contrôleur de domaine
L'une des améliorations les plus intéressantes concernant la sauvegarde et récupération réside dans la façon dont WinRE a été intégré au processus d'installation. Lorsque vous démarrez Windows Server 2008 depuis le support d'installation, vous pouvez choisir l'option Réparer votre ordinateur, comme illustré à la figure 7. Cette option s'oublie facilement, et c'est pour cette raison que je la mentionne.
Figure 7 L'option Réparer votre ordinateur est disponible sur l'écran d'installation
Figure 7 L'option Réparer votre ordinateur est disponible sur l'écran d'installation
Une fois l'option de réparation sélectionnée sur l'écran d'installation, Windows me permet de sélectionner une option de récupération, comme illustré à la figure 8. Dans le cas présent, je sélectionne Restauration complète de l’ordinateur Windows qui appelle l'Environnement de récupération Windows.
Figure 8 Spécification des options de récupération du système
Figure 8 Spécification des options de récupération du système
Une fois le système d'exploitation que vous voulez réparer sélectionné (un seul choix est généralement proposé), WinRE vous permet de sélectionner la sauvegarde depuis laquelle vous voulez effectuer la restauration. Par défaut, WinRE sélectionne la sauvegarde système complète la plus récente, mais vous pouvez spécifier d'autres sauvegardes stockées sur les disques locaux ou rechercher, sur le réseau, des sauvegardes stockées sur les partages de fichiers d'autres serveurs.
Dans mon exemple, je sélectionne la sauvegarde système complète la plus récente. La boîte de dialogue suivante (illustrée à la figure 9) me permet de formater et de repartitionner tous les disques avant qu'ils ne soient restaurés. Cette option est appropriée si le problème de récupération a été causé par une défaillance de disque ou si vous avez remplacé un ou plusieurs lecteurs de disques du serveur.
Figure 9 Vous pouvez facilement formater et repartitionner les disques avant qu'ils ne soient restaurés
Figure 9 Vous pouvez facilement formater et repartitionner les disques avant qu'ils ne soient restaurés
Au bout de quelques boîtes de dialogue de confirmation, WinRE lance le processus de restauration et le serveur redémarre. Il s'agit là d'un moyen relativement simple d'exécuter une récupération sans système d'exploitation sur un serveur.

Récupération de l'état du système d'un contrôleur de domaine
Si vous avez besoin de récupérer d'une défaillance liée à Active Directory, telle qu'une UO supprimée de la sauvegarde, vous devez restaurer la base de données ADDS (Active Directory Domain Services) à un état précédent, au lieu de restaurer le système entier. Bien que vous puissiez arrêter ADDS comme un service dans Windows Server 2008, vous devez cependant démarrer le serveur en mode DSRM (Restauration des services d'annuaire) pour exécuter une restauration de l'état du système sur un contrôleur de domaine.
Il n'est aujourd'hui plus aussi facile de modifier les options de démarrage pour lancer Windows Server 2008 en mode DSRM qu'auparavant. L'environnement de démarrage Windows entier a été remanié pour prendre en charge la nouvelle interface EFI (Extensible Firmware Interface) et l'ancien fichier boot.ini n'existe plus. Au lieu de cela, Windows Server 2008 utilise la BCD (base de données de configuration de démarrage) pour contrôler le processus de démarrage.
La façon la plus simple de gérer la BCD est d'utiliser le programme de ligne de commande BCDEDIT. Une discussion couvrant toutes les commandes et options BCDEDIT nécessiterait à elle seule tout un article. Je me contenterai donc de vous montrer quelques exemples utiles.
Pour redémarrer un contrôleur de domaine Windows Server 2008 DC en mode DSRM, utilisez la commande suivante :
C:\> bcdedit /set safeboot dsrepair
Ceci définira l'option de démarrage sans échec pour l'entrée du chargeur de démarrage par défaut. Dans une nouvelle installation Windows Server 2008, il n'existe qu'une seule entrée de chargeur de démarrage, WINLOAD.EXE. Pour supprimer l'option de démarrage sans échec et redémarrer en mode normal, utilisez la commande suivante :
C:\> bcdedit /deletevalue safeboot
Pour ne pas trop compliquer les choses, vous pouvez configurer deux entrées de chargeur de démarrage sur vos contrôleurs de domaine : une pour un démarrage normal et une autre pour un démarrage DSRM. Ainsi, vous pouvez modifier les options de démarrage en utilisant la boîte de dialogue Paramètres de démarrage et récupération disponible sous Paramètres système. Pour ajouter une nouvelle entrée de chargeur de démarrage, utilisez la commande suivante :
C:\> bcdedit /copy {default}
/d "Directory Service Repair Mode"
Cette action créera une nouvelle entrée de chargeur de démarrage en copiant l'entrée de chargeur de démarrage par défaut. BCDEDIT affichera quelque chose comme ceci :
The entry was successfully copied to
{c50d4710-a1f0-11dc-9580-0003ff402ae9}.
Le GUID identifie la nouvelle entrée. Utilisez ensuite cette commande pour définir l'option de démarrage sans échec pour la nouvelle entrée de chargeur de démarrage dans la BCD :
C:\> bcdedit /set {<GUID for new entry>}
safeboot dsrepair
Vous pouvez maintenant passer du mode de démarrage normal au mode de démarrage DSRM en utilisant les paramètres Démarrage et Récupération (voir figure 10).
Figure 10 Désactivation des sauvegardes incrémentielles des volumes très actifs
Figure 10 Désactivation des sauvegardes incrémentielles des volumes très actifs
Avant d'utiliser WBADMIN pour lancer une restauration de l'état du système, vous devez identifier la sauvegarde depuis laquelle vous voulez effectuer la restauration. WBADMIN peut exécuter une restauration de l'état du système depuis une sauvegarde de système complète, une sauvegarde qui contient juste les volumes système critiques ou une sauvegarde de l'état du système. Dans tous les cas, vous devrez spécifier la version de la sauvegarde que vous souhaitez utiliser. La façon la plus simple d'identifier les versions des sauvegardes disponibles est d'utiliser la commande WBADMIN suivante :
C:\> wbadmin get versions
WBADMIN affichera ensuite les versions des sauvegardes sous une forme semblable à celle des informations illustrées à la figure 11. Notez qu'à chaque sauvegarde sont associés une heure de sauvegarde, une cible de sauvegarde, un identificateur de version (heure au format universel et date de lancement de la sauvegarde) et une liste des types d'opérations de récupération que la sauvegarde peut prendre en charge.
Figure 11 Identifiez les sauvegardes disponibles pour la récupération (Close Figure 11)
wbadmin 1.0 - Backup command-line tool
(C) Copyright 2004 Microsoft Corp.
Backup time: 11/30/2007 3:47 PM
Backup target: Fixed Disk labeled E:
Version identifier: 11/30/2007-22:47
Can Recover: Application(s), System State
Backup time: 12/1/2007 10:46 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/02/2007-05:46
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/2/2007 5:58 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/03/2007-00:58
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/3/2007 11:25 AM
Backup target: Fixed Disk labeled E:
Version identifier: 12/03/2007-18:25
Can Recover: Application(s), System State
En l'occurrence, je sélectionne la sauvegarde la plus récente et lance la restauration de l'état du système avec la commande WBADMIN suivante :
C:\> wbadmin start systemstaterecovery
–version:12/03/2007-18:25
Ceci exécutera une restauration ne faisant pas autorité. Si vous souhaitez exécuter une restauration faisant autorité du SYSVOL, il vous suffit de marquer la réplique SYSVOL restaurée comme faisant autorité en ajoutant l'option authsysvol à la commande WBADMIN. Pour plus d'informations sur ce processus, consultez l'article go.microsoft.com/fwlink/?LinkId=113152.

Prise d'instantanés Active Directory
L'un des changements les plus intéressants concernant la sauvegarde Active Directory est un changement qui n'a absolument rien à voir avec Sauvegarde Windows Server. Dans Windows Server 2008, vous pouvez tirer parti du fait qu'Active Directory peut fournir des instantanés VSS. Ces instantanés sont des sauvegardes ponctuelles très légères du service Active Directory en cours d'exécution. Mieux encore, vous pouvez les créer en quelques secondes ! Vous pouvez ensuite monter ces instantanés et y accéder à l'aide d'utilitaires LDAP normaux tels que l'outil LDP.
Pour prendre des instantanés ADDS (Active Directory Domain Services) ou ADLDS (Active Directory Lightweight Directory Services), vous devez utiliser la commande NTDSUTIL, comme indiqué ci-après :
ntdsutil: snapshot
snapshot: activate instance ntds
Active instance set to "ntds".
snapshot: create
Creating snapshot...
Snapshot set {42c44414-c099-4f1e-8bd8-4453ef2534a4} generated successfully.
snapshot: quit
ntdsutil: quit
Cette séquence de commandes NTDSUTIL crée un instantané VSS des volumes qui contiennent la DIT d'Active Directory, les journaux et SYSVOL. Bien qu'Active Directory soit toujours en cours de mise à jour, le service VSS utilise une stratégie de « copie à l'écriture » pour garantir que les instantanés que vous avez pris sont convenablement maintenus. Notez que les instantanés ne sont pas une copie complète de la DIT. En fait, il s'agit juste d'une collection de blocs de disques de la DIT qui ont été modifiés depuis que l'instantané a été pris. En combinant ces blocs avec la copie actuelle de la DIT, le service VSS peut présenter la DIT d'Active Directory exactement comme elle est apparue lors de la prise de l'instantané. La figure 12 montre comment supprimer les vieux instantanés ou ceux dont vous n'avez plus besoin.
Figure 12 Supprimez les instantanés inutiles (Close Figure 12)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: delete 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>

Montage d'instantanés Active Directory
Pour utiliser l'un de ces instantanés, vous devez tout d'abord demander au service VSS de le mettre à la disposition du système de fichiers. Pour ce faire, utilisez la commande ntdsutil pour afficher les instantanés disponibles et montez l'instantané qui vous intéresse (voir la figure 13).
Figure 13 Utilisation de ntdsutil pour monter un instantané (Close Figure 13)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: mount 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>
La commande "list all" affiche tous les instantanés Active Directory qui sont actuellement maintenus par le service VSS. La commande "mount 1" monte les instantanés de la DIT d'Active Directory et des volumes de journaux sélectionnés et les rend disponibles dans le système de fichiers. Ils se trouvent dans les répertoires C:\$SNAP_200712032318_VOLUMEC$\ and C:\$SNAP_200712032318_VOLUMED$\.
Si vous regardez dans ces dossiers, vous verrez le contenu entier de ces volumes tels qu'ils étaient lorsque l'instantané a été pris. Notez, cependant, que les instantanés montés sont en lecture seule, ce qui signifie que vous ne pouvez pas en modifier les fichiers.

Récupération de données à partir d'instantanés Active Directory
Le montage des instantanés des volumes qui contiennent Active Directory ressemble un peu à de la magie. Comment accéder aux données Active Directory renfermées dans ces instantanés ? Le secret réside dans la commande DSAMAIN, c'est-à-dire l'exécutable qui exécute ADLDS. Il s'agit essentiellement d'un serveur LDAP autonome qui partage presque tout son code avec ADDS. Vous pouvez utiliser DSAMAIN pour faire ressembler les instantanés montés à un serveur LDAP en lecture seule renfermant les données Active Directory telles qu'elles étaient au moment où l'instantané a été pris.
Examinez cette commande :
C:\> dsamain –dbpath
c:\$snap_200712032318_volumed$\ntds\dit
\ntds.dit -ldapport 10000
Elle monte le fichier ntds.dit situé dans le dossier c:\$snap_200712032318_volumed$\ntds\dit et le rend disponible aux opérations LDAP sur le port TCP 10000 (ou sur le port que vous spécifiez). DSAMAIN ouvre le port LDAPS (le port utilisé pour LDAP sur SSL) sur le port que vous avez spécifié plus un (dans ce cas, 10001), le port GC (le port utilisé pour les connexions de catalogue global) sur le port que vous avez spécifié plus deux (10002) et le port GCS (le catalogue global sur SSL) sur le port que vous avez spécifié plus trois (10003).
Vous pouvez utiliser n'importe quel programme LDAP (tel que LDP) pour accéder à la DIT montée sur le port spécifié. Toutefois, dans Windows Server 2008, les utilisateur et ordinateurs Active Directory (ADUC), les sites et services et les domaines et approbations ainsi qu'ADSIEDIT ont tous été modifiés, ce qui vous permet de les connecter à une DIT montée à l'aide de DSAMAIN. Si vous cliquez avec le bouton droit sur le nœud de niveau supérieur du volet de navigation de n'importe quel ADUC et sélectionnez Modifier le contrôleur de domaine, vous verrez s'afficher la boîte de dialogue illustrée à la figure 14. Si vous tapez simplement le nom ou l'adresse IP du serveur hébergeant l'instantané monté ainsi que le port (dans mon exemple, localhost:10000), ADUC se connectera à l'instantané monté, ce qui vous permet de parcourir le contenu du répertoire tel qu'il était lors de la prise de l'instantané. Impressionnant, n'est-ce pas ?
Figure 14 Connexion d'utilisateurs et ordinateurs Active Directory à un instantané monté
Figure 14 Connexion d'utilisateurs et ordinateurs Active Directory à un instantané monté
La possibilité d'accéder aux données de répertoire de cette façon simplifie considérablement un grand nombre de tâches de récupération de données. À titre d'exemple, auparavant, pour récupérer un objet supprimé d'une sauvegarde, vous deviez exécuter une restauration ne faisant pas autorité de la sauvegarde sur un contrôleur de domaine existant puis exécuter une restauration faisant autorité de l'objet supprimé. Et si la sauvegarde que vous aviez restaurée ne contenait pas les bonnes données, vous deviez tout recommencer avec une sauvegarde différente. Désormais, grâce à la réanimation des objets tombstone et des instantanés, vous pouvez rapidement trouver et récupérer les données supprimées, et vous n'êtes même pas obligé de mettre le contrôleur de domaine hors connexion.
Il existe toutefois certaines restrictions. Par exemple, chaque instantané actif augmente l'E/S de disque associée aux opérations d'écriture sur le répertoire ; il est donc conseillé de ne pas avoir plus d'un ou deux instantanés actifs à tout moment sur un contrôleur de domaine de production. En outre, plus les instantanés restent actifs, plus la taille du magasin de deltas du service VSS augmente, ce qui peut également avoir un effet sur les performances. Et, bien sûr, la récupération d'un objet supprimé n'est que la première étape du processus de récupération. Vous devrez probablement également récupérer les attributs liés de l'objet tels que les appartenances aux groupes. Mais même dans ce cas, l'instantané peut vous aider à identifier tous les groupes dont faisait partie l'objet supprimé.

Stratégie de récupération et de sauvegarde solide pour Active Directory
Windows Server 2008 propose un tout nouveau système de récupération et de sauvegarde. Certaines modifications peuvent à première vue laisser perplexe ou faire grincer des dents. Mais une fois ces modifications acceptées et la nouvelle technologie de sauvegarde intégrée à leurs opérations quotidiennes, les organisations informatiques pourront mettre en œuvre une stratégie de sauvegarde et récupération beaucoup plus efficace.
Même avec toutes les modifications apportées à la façon dont vous sauvegardez les serveurs dans Windows Server 2008, la stratégie de base liée à la sauvegarde et récupération Active Directory n'a pas vraiment tellement changé. Par conséquent, lorsque vous préparez votre stratégie, gardez les meilleures pratiques suivantes à l'esprit :
  • Planifiez des sauvegardes de système complètes périodiques afin de pouvoir récupérer un contrôleur de domaine après une défaillance matérielle. La fréquence à laquelle vous planifiez des sauvegardes complètes d'un contrôleur de domaine dépend de la fréquence à laquelle vous mettez à jour vos données, de votre tolérance à l'égard des interruptions de service et/ou des pertes de données et de l'effort nécessaire pour reconstruire entièrement le contrôleur de domaine.
  • Planifiez des sauvegardes de l'état du système fréquentes afin de sauvegarder les modifications dans Active Directory. La fréquence à laquelle vous exécutez les sauvegardes de l'état du système dépend de votre tolérance à l'égard des pertes de données Active Directory. Dans tous les cas, vous devriez sauvegarder au moins une fois par jour. Dans la mesure du possible, gardez au moins une ou deux sauvegardes de l'état du système sur un disque local et copiez les anciennes versions de l'état du système sur un DVD ou un partage réseau.
  • Veillez à effectuer des sauvegardes de l'état du système sur au moins deux contrôleurs de domaine dans chaque domaine, au cas où l'une des sauvegardes serait défaillante ou indisponible.
Veillez à sauvegarder les contrôleurs de domaine avec des répliques de partitions d'application si vous les avez définies. Et pensez à créer une partition Environnement de récupération Windows sur vos contrôleurs de domaine afin de pouvoir démarrer rapidement dans WinRE en cas de défaillance d'un lecteur système critique. 

Gil Kirkpatrick est directeur technique chez NetPro et développe des logiciels pour Active Directory depuis 1996. Avec Guido Grillenmeier, qui travaille chez HP, il anime des ateliers consacrés à la récupération après incident Active Directory, qui connaissent un grand succès. Gil est également le fondateur de Directory Experts Conference (voir www.dec2008.com).
© 2007 Microsoft Corporation and CMP Media, LLC. Tous droits réservés. Toute reproduction, totale ou partielle, est interdite sans autorisation préalable..


 Administration de Windows: Conception de structures d'UO fonctionnelles
Administration de Windows Ken St. Cyr

Conception de structures d'UO fonctionnelles
Vue d'ensemble:
  • Principes clés d'une bonne conception d'UO
  • Modèles de conception d'UO courants
  • Description de votre conception d'UO

Ne sous-estimez pas l'importance, ni la complexité, de la conception d'une bonne structure d'Unité d'organisation (UO). J'ai découvert que les services informatiques s'orientent souvent vers un extrême ou l'autre ;
soit ils insistent trop sur la structure d'UO, soit ils n'y prêtent pas suffisamment attention. Dans un cas comme dans l'autre, cela peut être source de problèmes au niveau de votre modèle Active Directory®.
Accorder trop d'importance à la structure d'UO minimise l'importance d'autres aspects de la conception d'Active Directory, tels que la planification de la topologie de site ou la détermination de la taille des contrôleurs de domaine. D'autre part, lorsque la planification d'UO est reléguée au second plan, la Stratégie de groupe et la délégation en pâtissent.
L'une des excuses que j'ai entendues à l'occasion veut que comme la structure d'UO est flexible, elle peut être modifiée ultérieurement si elle ne convient pas. Il est vrai que la structure d'UO est flexible. Cependant, les administrateurs découvrent souvent qu'il est plus difficile de modifier la structure d'UO qu'ils ne l'avaient imaginé à l'origine. Bien entendu, il est possible d'ajouter de nouvelles UO, mais les anciennes ne sont pas faciles à nettoyer.
Une structure d'UO mal planifiée a tendance à vivre sa propre vie. Si un nouvel objet est créé dans l'annuaire et que l'administrateur ne sait pas où placer l'objet dans la structure d'UO, soit il créera une nouvelle UO, soit il placera l'objet à un endroit où il ne devrait pas se trouver. Ces deux scénarios recèlent de graves dangers. Il est facile de créer une nouvelle UO, mais difficile d'assurer son suivi à long terme. La création débridée d'UO se traduit par une structure d'UO chaotique, et il est facile de laisser des éléments s'insinuer dans l'annuaire sans être consignés. D'autre part, si vous ajoutez un objet à une UO existante à laquelle il n'appartient pas vraiment, le nouvel objet pourrait être associé à des stratégies qui ne le concernent pas ou des autorisations pour l'objet pourraient être déléguées à des utilisateurs non prévus.
Lors de la conception d'une structure d'UO, vous devez garder une équation fondamentale à l'esprit : simplicité + évolutivité = durabilité. Si votre conception est trop simple, elle risque de ne pas être évolutive et devra donc être souvent modifiée. Si votre conception est trop évolutive, tout sera compartimenté, ce qui entraîne trop de complexité.
Il existe trois principes clés liés à la stratégie de groupe, la délégation et l'administration d'objet qui peuvent contribuer à orienter votre décision de conception. Ces principes peuvent être résumés en trois questions que vous devez vous poser et qui vous permettront de vous assurer que la structure d'UO que vous créez résistera au temps et aux modifications organisationnelles :
  1. Cette UO doit-elle être créée de sorte qu'un objet de stratégie de groupe (GPO) unique puisse lui être appliqué ?
  2. Un groupe particulier d'administrateurs doit-il disposer d'autorisations pour les objets de cette UO ?
  3. Cette nouvelle UO facilitera-t-elle l'administration des objets qu'elle contient ?
Si la réponse à l'une de ces questions est « oui », vous devez probablement créer l'UO. Si la réponse à ces trois questions est « non », vous devez réexaminer la disposition et déterminer si une conception différente pourrait être mieux appropriée. Mais avant de plonger plus avant et de vous montrer comment appliquer ces principes, je dois tout d'abord vous expliquer pourquoi ces principes sont importants.

Principe 1 : Stratégie de groupe
Le premier principe de la conception d'UO est de tenir compte des objets de stratégie de groupe qui seront appliqués à une UO. Un GPO vous permet de configurer des paramètres pour les utilisateurs et les ordinateurs de façon applicable. Vous pouvez définir plusieurs GPO dans Active Directory et les appliquer au domaine entier, à diverses UO ou même à des sites du domaine. Les GPO sont divisés en deux catégories : une pour les utilisateurs et une pour les ordinateurs.
Des stratégies ordinateur et des stratégies utilisateur peuvent être définies dans le même GPO. La section Configuration utilisateur du GPO définit surtout l'environnement présenté à l'utilisateur lorsqu'il est connecté. Ces types de paramètres existent également dans la section Configuration ordinateur, mais cette section contient aussi d'autres paramètres liés à la sécurité de l'ordinateur, tels que les personnes autorisées à ouvrir une session localement sur l'ordinateur ou la façon dont les données sont chiffrées.
Voici certains principes de base à garder à l'esprit lors de la définition d'UO pour la prise en charge de GPO. Premièrement, le simple fait que des stratégies utilisateur et des stratégies ordinateur puissent être définies dans le même GPO ne signifie pas qu'il est judicieux de placer les objets utilisateur et ordinateur dans la même UO. La combinaison de ces deux types dans le même GPO rend l'application de GPO plus difficile à dépanner. Ceci devient évident lorsqu'une stratégie de bouclage est activée.
Deuxièmement, beaucoup oublient qu'il est possible d'appliquer des GPO au niveau du site et conçoivent donc leurs structures d'UO de sorte qu'elles modélisent la structure de leur site pour l'application de GPO. Il s'agit d'un modèle de conception d'UO courant, qui porte le nom de modèle géographique. Je parlerai davantage de ce modèle dans un instant. Il serait négligent de ma part de ne pas reconnaître que le modèle géographique possède une place dans la conception d'UO mais, comme vous le verrez plus tard, je ne pense pas que l'application de GPO devrait être la raison principale de l'implémentation de ce modèle.
En outre, lorsque vous réfléchissez à votre structure d'UO en termes de GPO, l'objectif devrait être d'éliminer la complexité. Assurez-vous que l'UO s'ajoute au flux d'héritage de GPO. Si votre UO contient des serveurs qui nécessitent la même stratégie que d'autres serveurs, envisagez de placer ces objets ordinateur sous une UO Serveurs plus vaste et de créer plusieurs UO pour les différents types de serveurs sous l'UO Serveurs (voir la figure 1). Ceci peut simplifier l'application des stratégies dans la mesure où chaque objet ordinateur des UO de niveau inférieur obtiendra la stratégie de l'UO Serveurs ainsi que toute autre stratégie spécifique à ce type particulier de serveur.
Figure 1 Création d'UO multiples pour différents types de serveurs
Figure 1 Création d'UO multiples pour différents types de serveurs
Un autre principe fondamental consiste à s'assurer que vous ne créez ou ne liez pas inutilement plusieurs GPO. Avec un GPO, vous pouvez créer une stratégie et l'appliquer à plusieurs UO. Ceci est parfois utile, mais peut également être néfaste. Si vous devez modifier un paramètre de GPO et possédez un système trop complexe de GPO liés, vous pourriez accidentellement appliquer une modification aux mauvais objets. Plus vous créez de liens et plus il sera difficile de déterminer l'étendue d'une stratégie. De même, évitez de créer des stratégies supplémentaires avec les mêmes paramètres que d'autres stratégies. Si vous vous apercevez que vous le faites régulièrement, envisagez de modifier votre structure d'UO pour appliquer un nouveau modèle d'héritage de GPO.
Enfin, vous devriez presque toujours créer une nouvelle UO pour les objets utilisateur et ordinateur. Par défaut, les objets utilisateur et ordinateur sont placés dans des conteneurs, qui ne vous permettent pas de leur lier directement des GPO. Les GPO peuvent être appliqués aux conteneurs Utilisateurs et Ordinateurs du domaine, mais à moins que vous ne bloquiez l'héritage ailleurs, ces stratégies seront appliquées à tous les utilisateurs et ordinateurs du domaine. Dans Windows Server® 2003, vous pouvez utiliser les outils rediruser.exe et redircomp.exe pour modifier l'emplacement par défaut des objets utilisateur et ordinateur pour utiliser l'UO que vous avez créée pour eux.

Principe 2 : Délégation
Il est important de créer la structure d'UO d'une façon qui soit cohérente avec la façon dont les autorisations sont déléguées dans le domaine. Gardez à l'esprit que lorsque les autorisations sont déléguées dans Active Directory, les modifications d'autorisation sont apportées à l'objet uniquement. Par conséquent, si vous deviez donner à un utilisateur le contrôle total d'un objet ordinateur particulier, cette personne pourrait modifier les attributs de l'objet, mais ne disposerait pas de droits d'administrateur sur l'ordinateur.
Vous trouverez ci-après quelques pratiques recommandées concernant la délégation pour la conception d'une structure d'UO :
Concevez avec l'héritage d'autorisation à l'esprit Par exemple, imaginons que vous vouliez que les administrateurs de niveau 1 aient la possibilité de modifier le mot de passe de la plupart des comptes. Il existe un groupe spécial d'utilisateurs pour lesquels les administrateurs ne doivent pas avoir la possibilité de réinitialiser les mots de passe, mais les administrateurs doivent pouvoir modifier les noms complets de ces comptes.
Vous avez ici véritablement deux options. Le premier scénario consiste à créer deux UO parallèles distinctes et à séparer les utilisateurs spéciaux des utilisateurs standard. Cette approche implique cependant que si vous voulez modifier les options de délégation pour tous les utilisateurs, vous devez alors modifier ces autorisations dans deux emplacements distincts. Elle contredit également la pratique consistant à ne pas effectuer inutilement de liaisons multiples (voir la figure 2).
Figure 2 Maintenance de deux UO parallèles distinctes
Figure 2 Maintenance de deux UO parallèles distinctes
Le second scénario consiste à créer une UO imbriquée et à placer un refus d'autorisation explicite sur l'UO qui comporte des utilisateurs spéciaux. Tout spécialiste de la délégation vous dira qu'il est préférable de ne pas recourir à un refus explicite, mais en l'occurrence, vous devez choisir le moindre de deux maux (voir la figure 3). Vous pouvez dupliquer et maintenir les paramètres sur deux UO distinctes ou placer un refus explicite sur l'une des UO. À long terme, le refus explicite constitue la meilleure solution.
Figure 3 Utilisation d'un refus d'autorisation explicite
Figure 3 Utilisation d'un refus d'autorisation explicite
Attention à AdminSDHolder Cet exemple fonctionne bien, sauf si les utilisateurs spéciaux appartiennent tous à l'un des groupes d'administrateurs (Administrateurs du domaine, Administrateurs du schéma, Administrateurs de l'entreprise ou Administrateurs) car les autorisations pour les comptes de ces groupes sont gérées différemment. L'idée générale est de ne pas donner à quelqu'un des autorisations de compte d'administrateur par accident.
Si vous créez une UO distincte pour les administrateurs, vous découvrirez que les autorisations que vous leur déléguez ne cessent de disparaître. Ceci est dû à AdminSDHolder, qui est un conteneur spécial qui applique sa liste de contrôle d'accès à chaque compte administrateur suivant un intervalle spécifié. Par conséquent, toute modification de délégation que vous apportez à un compte d'administrateur sera annulée si les modifications ne sont pas également apportées au conteneur AdminSDHolder. Vous ne devez donc pas séparer les comptes d'administrateurs des autres comptes uniquement à des fins de délégation. Il est toutefois préférable de séparer les comptes d'administrateurs pour la stratégie de groupe. Ceci est surtout vrai dans Windows Server 2008, où vous pouvez avoir plusieurs stratégies de mot de passe.

Principe 3 : Administration d'objet
L'UO doit faciliter l'administration des objets. Le regroupement d'objets dans la même UO peut souvent faciliter l'exécution de modifications en bloc. Le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory vous permet de modifier certains attributs d'une sélection d'objets multiples. Par conséquent, si vous devez régulièrement modifier un attribut d'un groupe d'objets, il est plus facile de le faire s'ils sont tous dans la même UO.
Ceci est également particulièrement utile si vous effectuez les mises à jour avec un script. Les langages de script facilitent considérablement l'énumération de tous les objets d'une UO et leur traitement un à un. L'autre option consiste à rechercher et à modifier chaque objet individuellement. Le simple fait de placer les objets dans la même UO pour l'administration peut parfois vous faire gagner des heures de travail inutile chaque semaine.
La séparation des objets en UO différentes en fonction de leur type permet également d'en faciliter l'administration. La création d'une UO distincte pour les objets imprimante ou les partages publiés permet de s'assurer que ces objets ne devront pas être filtrés lorsque vous procéderez à l'administration des autres objets de l'UO. Cette pratique s'aligne également sur la pratique consistant à ne pas regrouper les comptes d'utilisateur et d'ordinateur dans la même UO.

Choix d'un modèle
Maintenant que j'ai couvert les principes de la conception d'UO, je peux examiner de plus près certains modèles de conception courants. Notez qu'il existe bien plus de modèles que ceux que j'ai décrits ici. Vous n'êtes en outre pas limité à travailler dans les contraintes d'un modèle unique. Vous pouvez prélever des morceaux de chacun et créer votre propre modèle hybride qui répond à vos besoins particuliers.
Pratiquement tous les modèles peuvent fonctionner à petite échelle, mais lorsque votre entreprise grandit, votre capacité à conserver le contrôle de votre environnement s'amenuise. Veillez donc à d'abord tester soigneusement votre modèle dans un environnement de laboratoire adéquat. Gardez à l'esprit que si les structures d'UO peuvent facilement être modifiées au début, plus elles sont en place depuis longtemps, plus elles sont difficiles à modifier.

Le modèle superficiel
Le modèle superficiel doit son nom au fait qu'il est essentiellement plat. Dans ce modèle, quelques UO de haut niveau contiennent la majorité des objets (voir la figure 4). Ce modèle est surtout mis en place dans les petites entreprise dotées d'un service informatique réduit et d'un nombre de services réduit, ou lorsque le personnel a tendance à assumer plusieurs rôles simultanément. Je recommande généralement de ne pas aller au-delà de 10 sous-UO, bien que Microsoft indique une limite de 15 sous-UO avant que les performances soient pénalisées.
Figure 4 Le modèle superficiel possède quelques UO de haut niveau contenant la majorité des objets
Figure 4 Le modèle superficiel possède quelques UO de haut niveau contenant la majorité des objets
Si le responsable des ressources humaines est également responsable de la paie, il n'y a pas de raison de créer deux UO séparées pour Ressources humaines et Paie. Dans le modèle superficiel, tous les objets utilisateur peuvent être regroupés dans une grande UO Comptes ou peuvent être conservés dans le conteneur Utilisateurs par défaut. Vos objets utilisateur doivent au strict minimum être séparés de vos objets ordinateur.
Pour ce modèle, je recommande également d'aller un peu plus loin et de séparer les postes de travail des serveurs. Vous pouvez alors appliquer des stratégies de groupe différentes sans devoir définir un GPO qui utilise une requête Windows® Management Instrumentation (WMI) pour filtrer les postes de travail ou les serveurs.
L'utilisation d'une structure d'UO large plutôt que profonde offre notamment l'avantage que les recherches dans Active Directory s'exécuteront plus rapidement. Je recommande généralement de ne pas aller au-delà de 10 sous-UO. Dans ce modèle, votre contrôle des objets n'est pas très granulaire, mais si vous gérez les objets d'une petite entreprise, vous n'aurez pas besoin d'un contrôle à granularité fine. Ainsi, ce modèle serait difficile à utiliser avec succès dans une grande entreprise, mais il fonctionne très bien dans les petites entreprises.

Modèle géographique
Dans le modèle géographique, vous créez des UO distinctes pour les différentes régions géographiques. Ce modèle est mieux adapté aux organisations qui possèdent des services informatiques décentralisés mais ne souhaitent pas subir les coûts associés à l'utilisation de plusieurs domaines (voir la figure 5).
Figure 5 Le modèle géographique sépare les UO par région géographique
Figure 5 Le modèle géographique sépare les UO par région géographique
Imaginons que vous possédez des bureaux à Atlanta, Baltimore et Seattle. Si chaque site gère ses propres utilisateurs et ses propres ordinateurs, ceci peut être idéal sur le plan de la délégation. Mais que se passe-t-il si un utilisateur de Seattle s'envole pour Baltimore pour une formation et verrouille son compte ? Le personnel informatique de Baltimore peut ne pas être en mesure d'aider cet utilisateur si les autorisations pour le compte de cet utilisateur ne lui ont pas été déléguées. S'il est 8 heures du matin à Baltimore, il est 5 heures du matin à Seattle, ce qui signifie que l'utilisateur peut devoir attendre plusieurs heures avant de pouvoir entrer en contact avec quelqu'un des bureaux de Seattle et d'obtenir de l'aide.
Certaines entreprises internationales utilisent un modèle « héliotrope », où les appels au support technique sont transférés à un site situé dans un fuseau horaire où l'heure actuelle correspond à une heure ouvrable. Ceci signifie que l'entreprise ne doit pas assurer un support technique 24 heures sur 24 pour chaque site mais est toujours en mesure de fournir de l'aide aux employés travaillant tard, par exemple pour le déverrouillage de leur compte, lorsque cela s'avère nécessaire.
Si vous avez adopté ce modèle, la création d'UO distinctes en fonction de l'emplacement géographique n'est probablement pas le meilleur choix pour vos besoins opérationnels. En effet, cela vous obligerait à déléguer des autorisations distinctes à chaque support technique régional pour chaque UO d'utilisateurs. Cependant, si chacun de vos sites possède son propre service informatique, le modèle géographique peut en fait constituer un bon modèle pour votre organisation.
Le modèle géographique est également difficile à utiliser dans un domaine unique en raison de la nature du fonctionnement du domaine. Un domaine a tendance à avoir un modèle de sécurité différent des autres domaines. Ceci est plus évident lorsque vous examinez une application à l'échelle de l'entreprise, telle que Microsoft® Exchange.
Le serveur Exchange d'Atlanta peut avoir des stratégies de message différentes, mais les mêmes GPO sont probablement appliqués à tous les serveurs Exchange de l'entreprise. Si c'est le cas, le fait de placer les serveurs Exchange dans des UO distinctes en fonction de la région vous obligera à lier inutilement les mêmes GPO à plusieurs UO. Sur le plan de la délégation, vous devez déterminer si les administrateurs Exchange ont vraiment besoin d'autorisations uniques pour les objets ordinateur en ce qui concerne les serveurs Exchange. Dans la plupart des cas, les objets ordinateur qui sont fractionnés en UO géographiques le sont pour des raisons de stratégie de groupe, en non pour des raisons de délégation.

Modèle basé sur les types
Le modèle basé sur les types classe les objets selon leur fonction (voir la figure 6). Lorsque vous avez créé votre dernier objet utilisateur, était-ce pour un compte utilisateur standard, un compte d'administrateur ou un compte de service ? Dans un modèle basé sur les types, chacun de ces objets est traité différemment.
Figure 6 Le modèle basé sur les types regroupe les objets selon leur fonction
Figure 6 Le modèle basé sur les types regroupe les objets selon leur fonction
Dans la plupart des cas, pour les stratégies, vous devez distinguer les différentes classifications d'objets utilisateur. Vos stratégies diffèreront vraisemblablement en fonction du type de compte utilisateur. Par exemple, autoriser des personnes à ouvrir une session sur un ordinateur avec un compte de service constitue généralement une mauvaise pratique. Les mots de passe des comptes de service sont habituellement partagés entre un grand nombre de personnes et si quelqu'un ouvre une session avec un compte de service, son identité demeure anonyme. Si quelque chose venait à se produire, vous auriez du mal à dépister l'utilisateur qui était connecté lorsque l'événement est survenu. Dans cet exemple, vous devrez définir sur les comptes de service une stratégie empêchant l'ouverture de session interactive. Cela correspond bien au modèle hiérarchique illustré à la figure 3.
Dans ce cas de figure, vous pourriez utiliser l'héritage de GPO à votre avantage. Par exemple, vous pourriez avoir une stratégie Tous les utilisateurs faisant référence aux stratégies en place pour tous les objets utilisateur. Vous pourriez en outre avoir une stratégie séparée et distincte pour les comptes de service, qui s'appuie sur la stratégie Tous les utilisateurs. Cette approche permet de garantir que vos comptes de service ont le même jeu de stratégies de base que tous les autres comptes, ainsi que les restrictions d'ouverture de session spécifiques.
Cette approche fonctionne également bien pour la délégation, où vous utilisez l'héritage d'autorisation à la place de l'héritage de GPO. Supposez que vous vouliez que vos administrateurs de niveau 2 aient la possibilité de réinitialiser les mots de passe pour tous les comptes sauf ceux des administrateurs de niveau 3. Avec une structure d'UO plate, vous seriez obligé de déléguer les autorisations à chaque UO contenant des comptes utilisateur. En revanche, dans un modèle basé sur les types avec une structure hiérarchique, vous pouvez donner au niveau 2 des autorisations « Réinitialiser le mot de passe » pour l'UO Comptes puis, dans l'UO de niveau 3, vous pouvez simplement déshériter les autorisations ou même définir un refus explicite de réinitialisation des mots de passe pour le niveau 2.
Ceci fonctionne également bien pour les objets ordinateur. Les serveurs et les postes de travail peuvent être séparés pour permettre l'application de stratégie différentes à chacun d'entre eux. Les serveurs peuvent être subdivisés en fonctions (voir la figure 1). Dans cette conception, vous pouvez définir sur l'UO Serveurs une stratégie de haut niveau affectant tous les serveurs et néanmoins définir des stratégies individuelles pour chaque UO de niveau inférieur.
Imaginons par exemple que vous disposez d'un compte de service Microsoft Operations Manager (MOM). Avec ce modèle multiniveau, vous pouvez créer un GPO MOM et l'appliquer à l'UO Serveurs MOM. Dans ce GPO, vous pouvez ensuite octroyer des droits au compte de service MOM pour l'ouverture de session en tant que service. Ceci s'appliquerait uniquement aux serveurs MOM de cette UO. Les serveurs MOM obtiendront toujours le GPO Serveurs de l'UO Serveurs de niveau supérieur, mais ils obtiendront également le GPO MOM spécialisé, qui est lié à l'UO MOM.

Documentation de la conception
Il peut être très gratifiant de concevoir une structure d'UO capable de résister aux nombreuses modifications que rencontre un environnement Active Directory. Mais vous devez disposer d'une méthode de suivi des caractéristiques dynamiques de l'UO. À défaut, vous pourriez rapidement perdre le contrôle de votre environnement. Lorsque des modifications doivent être effectuées et qu'une UO doit être ajoutée ou supprimée, des recommandations précises doivent être en place de façon à garantir que votre modèle continue de respecter votre modèle de conception, en adhérant aux trois principes directeurs. C'est pourquoi votre conception doit être bien documentée.
Microsoft fournit trois guides de documentation dans le kit de ressources de Windows Server. Ces guides sont suffisants si votre structure est une infrastructure solide que vous ne comptez pas beaucoup modifier. Toutefois, la plupart des entreprises ont une structure très dynamique qui évolue fréquemment. Voici donc quelques conseils importants qui vous aideront à garantir que votre structure d'UO est bien documentée et capable de prendre en charge un environnement dynamique.
Assurez-vous que toutes les informations sont pertinentes Je suis fortement convaincu qu'une documentation doit avoir un but. Trop de documents opérationnels contiennent tant d'informations superflues qu'il est difficile de trouver ce qui est important. Ne tombez pas dans le piège de la création de documentation à seul but de documentation. Avez-vous vraiment besoin d'inclure le nombre d'objets de chaque UO ou chaque Entrée de contrôle d'accès (ACE) de la Liste de contrôle d'accès de l'UO ? Pour la documentation d'UO, les informations suivantes seront habituellement suffisantes :
  • Nom de l'UO
  • Brève description
  • Qui l'a créée, ou qui contacter pour obtenir plus d'informations ou apporter des modifications
  • Date de création
Ne rendez pas les mises à jour difficiles Si vous devez laborieusement mettre à jour un document Microsoft Word complexe, vous prendrez probablement du retard dans la mise à jour de la documentation. Vous penserez que ce n'est pas grave si vous remettez à plus tard la saisie de petites modifications puisque vous savez que vous aurez bientôt une mise à jour plus conséquente à entrer d'un seul coup. Malheureusement, les gens oublient souvent ces petites modifications ou les remettent sans cesse à plus tard, si bien que la tâche n'est jamais effectuée. La mise à jour du document doit donc être très facile, afin de ne pas vous décourager. Dans la plupart des cas, une simple feuille de calcul Microsoft Excel® avec quelques colonnes suffira.
Faites vos commentaires directement sur l'objet Les objets d'UO ont un attribut de description dans lequel vous pouvez entrer des commentaires. Au lieu d'écrire des commentaires dans le document de conception, envisagez de les mettre dans l'attribut de description afin que d'autres puissent déterminer directement l'objectif de l'UO. Si devez inclure plus de détails, mettez alors une courte description dans l'attribut de description et incluez davantage de détails dans la documentation de l'UO.
Automatisez la documentation Il est possible d'écrire un script afin de décharger le contenu de la structure d'UO dans un fichier texte, une feuille de calcul Excel ou même un fichier HTML. Ce script pourrait être exécuté chaque nuit dans le cadre d'une tâche planifiée. Ceci peut être très utile si vous incluez des commentaires dans le champ de description de l'UO. Il suffit alors de vidanger l'attribut de description dans le fichier pour avoir une structure d'UO entièrement documentée et toujours à jour. Si vous créez un nouveau fichier chaque fois que le script est exécuté, au lieu de remplacer le document existant, vous pouvez garder un historique des modifications de la structure d'UO au fil du temps.
Malheureusement, la plupart des administrateurs ne se rendent pas compte de l'importance d'une bonne documentation de structure d'UO, jusqu'à ce qu'ils en aient vraiment besoin. Il est alors 3 h du matin et pratiquement impossible de déterminer quelles autres UO ont été supprimées accidentellement sans exécuter une restauration.
N'attendez pas que cela vous arrive. Je recommande fortement d'adopter une approche proactive dans ce domaine, de d'entamer une documentation d'UO dès la conception et de désigner une personne responsable de sa mise à jour. Si vous suivez la règle consistant à rendre la documentation facile à mettre à jour, la mise à jour de la documentation s'effectuera sans heurt. 

Ken St. Cyr est consultant pour Microsoft et compte 10 ans d'expérience dans le secteur informatique. Il conçoit et implémente des solutions d'annuaire basées sur Active Directory depuis sa création.


 Administration de Windows: Extension du sch&#233;ma Active&#160;Directory
Administration de Windows Vikas Malhotra

Extension du schéma Active Directory
Vue d'ensemble:
  • Comprendre le schéma Active Directory par défaut
  • Ajout d'objets classSchema ou attributeSchema
  • Obtention et utilisation d'identificateurs d'objets
  • Extension du schéma à l'aide de fichiers .ldif
Télécharger le code de cet article: Schema2008_05.exe (151KB)

Depuis l'introduction d'Active Directory lors de la publication de Windows 2000, Microsoft a fourni à ses clients la définition de schéma de base pour l'implémentation d'Active Directory.
La présence d'Active Directory® a également marqué un tournant dans la façon dont de nombreuses applications étaient écrites et implémentées sur Windows®. Auparavant, les applications telles que Microsoft® Echange 5.5 étaient créées de sorte à contenir leur propre structure d'annuaire. Avec l'introduction d'Active Directory, un grand nombre d'applications (Microsoft et autres) ont commencé à tirer parti de la structure sous-jacente qu'il proposait au lieu de créer entièrement leur propre schéma.
Ces applications ont commencé avec l'architecture de base fournie par Active Directory qu'elles ont ensuite étendue en fonction des besoins. Microsoft Exchange 2000, par exemple, utilisait Active Directory pour l'implémentation de la messagerie, définissant ainsi l'avenir de l'architecture de messagerie Microsoft.
Aujourd'hui, de nombreuses applications écrites pour fonctionner dans un environnement Active Directory s'appuient sur son schéma sous-jacent pour fonctionner, et beaucoup définissent également leurs propres modifications du schéma en fonction des besoins. Cela nécessite bien entendu un schéma capable d'extension, comme nous le verrons dans cet article. Par ailleurs, dans la mesure où un grand nombre d'applications dépendent des définitions de base d'Active Directory, la stabilité constante du schéma de base revêt une importance critique. Comme de nombreuses applications doivent fonctionner côte à côte dans le même Active Directory, les modifications effectuées sur une application ne doivent pas avoir d'impact sur les autres.

Qu'est-ce qu'un schéma ?
Pour beaucoup de gens, le schéma Active Directory est une boîte noire, et l'idée de modifier le schéma tout seul peut être effrayante. Vous n'aurez certes pas à étendre votre schéma Active Directory tous les jours, mais vous risquez de devoir le faire pour certaines applications ou en réponse à certains besoins de l'entreprise. Il est donc très important de savoir ce qu'est un schéma et ce qu'il contient, puisque pour un grand nombre d'organisation, Active Directory est un actif vital dont la défaillance en raison d'une mise à jour inexacte peut avoir des conséquences considérables.
La stratégie d'un grand nombre d'organisations consiste à utiliser le service ADLDS (Active Directory Lightweight Directory Service) de Windows Server® 2008 (ou ADAM [Active Directory Application Mode] dans Windows Server 2003) comme alternative pour tester ou implémenter directement les définitions de schéma personnalisées au lieu d'étendre le schéma Active Directory.
Un schéma est la structure sous-jacente qui fournit le format d'un service d'annuaire. Le schéma Active Directory définit les classes et attributs d'objet qui sont utilisés dans ADDS (Active Directory Domain Services). Le schéma de base fournit des définitions pour plusieurs classes (telles qu'utilisateur, ordinateur et organizationalUnit) et attributs (par exemple, telephoneNumber et objectSID) bien connus. Les objets présents dans la définition du schéma de base sont connus en tant qu'objets de Catégorie 1 et les objets qui sont ajoutés sont des objets de Catégorie 2.
Un schéma Active Directory se trouve dans le conteneur défini au chemin cn=Schema, cn=Configuration,dc=X, X étant l'espace de noms de la forêt Active Directory. Notez qu'une forêt Active Directory contient juste un seul schéma ; la modification de la définition du schéma dans une forêt a un impact sur tous les domaines de cette forêt. La figure 1 illustre le nombre de classes et d'attributs qui sont ajoutés au schéma Active Directory dans différentes versions de Windows Server.
Figure 1 Nombre de classes et d'attributs (Close Figure 1)

Version | Nombre d'attributs ajoutés | Nombre de classes ajoutées | Fichiers d'extension du schéma
Windows Server 2003 | 208 | 49 | Sch14.ldf to sch30.ldf
Windows Server 2003 R2 | 81 | 29 | Sch31.ldf
Windows Server 2008 | 136 | 10 | Sch32.ldf à sch44.ldf
La mise à jour du schéma pour différentes versions de Windows Server se fait à l'aide d'un utilitaire appelé Adprep. Avec les mises à jour pour Windows Server 2003 R2, la version du schéma passe à 31, et passe à 44 avec Windows Server 2008.
Vous pouvez consulter ces changements en vérifiant la valeur de l'attribut objectVersion de cn=Schema,cn=Configuration,dc=X dans votre Active Directory en utilisant un outil tel qu'ADSIEdit. Notez que certaines applications telles qu'Exchange Server, System Management Server (SMS) ou d'autres applications qui dépendent d'Active Directory peuvent modifier le schéma en fonction de leurs besoins.

Éléments constitutifs
Active Directory consiste en deux types d'objets : ClassSchema (abrégé en classe) et attributeSchema (abrégé en attribut). L'extension du schéma Active Directory est généralement envisagée lorsqu'une organisation veut stocker des données dans des attributs qui ne sont pas disponibles dans le schéma existant. Vous créez un attribut dans un schéma Active Directory en spécifiant tout d'abord un objet attributeSchema dans le conteneur de schéma et en définissant ensuite les propriétés nécessaires du nouvel objet.
Vous trouverez une liste des propriétés des objets attributeSchema ainsi que des informations à leur sujet à l'adresse go.microsoft.com/fwlink/?LinkId=110445. Comme vous le voyez, un grand nombre de propriétés peuvent être définies pour les objets attributeSchema ; plusieurs de ces propriétés sont requises.
En dehors des attributs habituels, il existe également dans un schéma des attributs spéciaux, appelés attributs liés, qui sont implémentés par paires en fournissant un lien avant et un lien arrière. À titre d'exemple, considérons l'appartenance à un groupe dans Active Directory. L'attribut Member de n'importe quel groupe (par exemple un groupe appelé ContosoEmployees possédant un membre appelé John Doe) est le lien avant, et l'attribut memberOf correspondant de l'objet membre est le lien arrière (si bien que, par exemple, lorsque l'attribut memberOf de John Doe est interrogé, le nom unique du groupe ContosoEmployees est calculé).
Le lien avant se comporte généralement comme tous les autres attributs. Les valeurs peuvent être uniques ou multiples (comme avec l'attribut Member, qui peut contenir plusieurs objets comme membres d'un groupe) et sont stockées avec l'objet parent dans l'annuaire.
Les liens arrière, en revanche, sont maintenus par le système pour assurer l'intégrité référentielle. Lorsque vous demandez la valeur d'un attribut de lien arrière, les résultats sont calculés à partir de toutes les valeurs de lien avant correspondantes. Les liens arrière possèdent toujours plusieurs valeurs.
Chaque classe d'objet d'ADDS est définie par un objet classSchema dans le conteneur de schéma. Vous trouverez une liste des attributs essentiels à la bonne définition de l'objet classSchema à l'adresse go.microsoft.com/fwlink/?LinkId=110445.
Il existe trois types de classe pouvant être spécifiés : les classes structurelles, abstraites et auxiliaires. Ces classes sont définies par la valeur de l'attribut objectClassCategory. (Une quatrième catégorie, appelée 88, inclut les classes définies avant les normes X.500 de 1993. Ce type de classe est spécifié par une valeur 0 dans l'attribut objectClassCategory. Ce type de classe ne devrait plus être défini).

Obtention et utilisation d'identificateurs
L'identité de chaque objet classSchema et attributeSchema de l'annuaire est définie à l'aide d'un identificateur d'objet (OID) obligatoire qui est défini par rapport à governsID pour les objets classSchema, et à attributeID pour les objets attributeSchema. Il s'agit de valeurs numériques uniques fournies par certaines autorités émettrices pour identifier les objets. La numérotation est régie par la définition du protocole LDAP (RFC 2251). Certains OID du schéma Active Directory sont émis par l'Organisation internationale de normalisation (ISO) et d'autres sont émis par Microsoft. Un OID doit être unique pour un objet au sein de l'annuaire.
L'OID est une chaîne de chiffres, par exemple 1.2.840.113556.1.y.z, comme illustré à la figure 2. Ainsi, l'OID d'un objet classSchema utilisateur, par exemple, est 1.2.840.113556.1.5.9.
Figure 2 Identificateur pour l'objet utilisateur (Close Figure 2)

Valeur | Signification | Description
1 | ISO | Identifie l'autorité racine.
2 | ANSI | Désignation de groupe attribuée par ISO.
840 | USA | Code de pays/région attribué par l'organisation.
113556 | Microsoft | Désignation d'organisation attribuée par le pays ou la région.
1 | Active Directory | Attribué par l'organisation (Microsoft en l'occurrence).
Y | Type d'objet | Numéro définissant le type d'objet (catégorie) tel que classSchema ou attributeSchema. Par exemple, 5 définit la classe objet.
Z | Objet | Numéro identifiant un objet particulier dans la catégorie. Par exemple, la classe utilisateur possède le numéro 9.
Lorsqu'une organisation envisage d'étendre le schéma, elle s'assure que l'OID est unique en obtenant son propre numéro racine OID, qui est ensuite utilisé pour fournir des références uniques aux nouveaux attributs et classes d'objet créés par l'organisation. La racine OID peut être obtenue directement auprès d'une NRA (National Registration Authority) reconnue par l'Organisation internationale de normalisation ; aux États-Unis, il s'agit de l'ANSI (American National Standards Institute).
Vous pouvez obtenir une documentation sur la procédure et les frais d'obtention d'un OID racine sur ansi.org. Pour les autres régions, contactez l'organisation membre d'ISO correspondante ; ISO propose une liste à l'adresse iso.org/iso/about/iso_members.htm.
Les organisations pouvaient auparavant obtenir un OID de Microsoft en envoyant un message électronique à schemreg@microsoft.com. Toutefois, elles n'obtiennent désormais plus qu'une réponse automatique les invitant à télécharger et exécuter le VBScript de la page go.microsoft.com/fwlink/?LinkId=110453.
Pour les OID émis par Microsoft, le numéro est attribué sous l'espace de numéros OID de Microsoft : 1.2.840.113556.1.8000.x, x étant un numéro unique attribué à l'organisation. L'organisation peut ensuite diviser ces OID pour spécifier les objets. Ainsi une organisation pourrait utiliser 1.2.840.113556.1.8000.x.1.y pour les nouveaux objets classSchema et 1.2.840.113556.1.8000.x.2.z pour les objets attributeSchema (x représentant le numéro unique de l'organisation et y et z, respectivement, les numéros attribués aux objets classSchema et attributeSchema spécifiques). Il est également recommandé d'utiliser un préfixe spécifique à l'organisation dans les noms de ces objets pour les distinguer.

Définition des attributs liés
Il est important que la valeur attributeSyntax d'un lien avant soit 2.5.5.1, 2.5.5.7 ou 2.5.5.14. Ces valeurs correspondent aux syntaxes qui contiennent un nom unique, telles que la syntaxe Object (DS-DN).
La valeur attributeSyntax d'un lien arrière doit être 2.5.5.1, qui correspond à la syntaxe Object (DS-DN). Par convention, des attributs de lien arrière sont ajoutés à la valeur mayContain de la classe abstraite supérieure. Ceci permet à l'attribut de lien arrière d'être lu depuis des objets de n'importe quelle classe puisque les attributs de lien arrière ne sont pas, réellement stockés avec l'objet ; au lieu de cela, ils sont calculés en fonction des valeurs de lien avant.
Windows Server 2003 a introduit une fonctionnalité que les organisations peuvent utiliser pour relier deux objets dans un schéma : la génération automatique de linkID. Avec cette fonctionnalité, le système génère automatiquement un linkID pour un nouvel attribut lié lorsque l'attribut linkID de l'attribut est défini sur 1.2.840.113556.1.2.50. Un lien arrière correspondant est créé en définissant linkID sur l'attribut attributeId ou ldapDisplayName du lien avant. Le cache du schéma doit être rechargé après la création du lien avant et avant la création du lien arrière. À défaut, les attributs attributeId ou ldapDisplayName du lien avant ne seront pas trouvés lorsque le lien arrière sera créé. Le cache du schéma est rechargé à la demande, quelques minutes après une modification du schéma ou au redémarrage du contrôleur de domaine.
Si votre Active Directory est au niveau Windows 2000, vous devrez demander des linkID à Microsoft en envoyant un message électronique à schemreg@microsoft.com. Dans la réponse automatique, vous verrez cette ligne : « E-mails sent to schemreg@microsoft.com will be processed only if they are related to linkID registrations for legacy environments. » (Les messages électroniques envoyés à schemreg@microsoft.com ne seront traités que s'ils sont liés aux enregistrements de linkID pour les environnements hérités.) Vous devez alors inclure les informations suivantes dans le message électronique : nom de l'entreprise, nom de contact, adresse de messagerie, numéro de téléphone, préfixe enregistré (le cas échéant), OID enregistré (le cas échéant).

Prêt à étendre le schéma
Supposons que vous ayez décidé d'étendre votre schéma Active Directory. Cette analyse peut avoir nécessité de ne pas tenir compte de l'usage d'un annuaire alternatif implémenté à l'aide d'ADLDS (ou ADAM dans Windows Server 2003) après qu'il eut été établi qu'il ne répondrait pas aux besoins. Vous avez ensuite identifié les nouveaux objets attributeSchema que vous souhaitez ajouter au schéma et, ce faisant, vous avez défini toutes les valeurs requises (cn, ldapDisplayName, et ainsi de suite) qui spécifient ces nouveaux objets. En définissant les valeurs d'attribut de l'objet, vous avez également obtenu l'OID auprès de Microsoft ou d'une autre source. Vous avez essentiellement documenté les éléments ci-dessus en tant qu'exigences métier et spécifications techniques. En outre, vous avez également implémenté un environnement de laboratoire qui imite votre Active Directory et est prêt pour les tests.
Un grand nombre d'organisations créent des comités dont la mission est d'approuver ou de refuser ce type de modifications, et de définir le processus à suivre pour leur implémentation. Ces organes de régulation sont d'une importance cruciale dans la mesure où Active Directory est utilisé comme source d'informations faisant autorité dans de nombreuses organisations, et où il est donc essentiel de le maintenir en état de fonctionnement après que les modifications ont été effectuées.
Une fois que l'organisation donne le feu vert, vous devez mettre en place des plans de test et d'implémentation du projet. Vous pouvez étendre le schéma en ajoutant les nouveaux objets à l'aide du composant logiciel enfichable du schéma d'Active Directory dans la console Microsoft Management Console (MMC) ou en utilisant des méthodes par programmation ou semi programmation pour étendre le schéma (par exemple en utilisant LDIFDE pour importer des fichiers au format .ldif, CSVDE pour importer des fichiers au format .csv ou avec des scripts ADSI).
Quelle que soit la méthode que vous utilisez, cette fonction doit être exécutée sur un serveur qui est connecté au rôle (ou joue le rôle de) FSMO (flexible single master operations) du contrôleur de schéma dans la forêt Active Directory. En outre, le compte que vous utilisez pour la mise à jour du schéma nécessite des privilèges administratifs suffisants pour effectuer la mise à jour. Faites-en donc un membre du groupe Administrateurs du schéma. Enfin, vous devez activer les mises à jour du schéma pour la forêt (qui sont désactivées par défaut).
À moins que la modification ne soit très simple, elle doit être effectuée en mode automatisé afin d'encourager la normalisation entre les phases d'implémentation de test et de production, et de réduire les erreurs que vous risquez de provoquer si vous exécutez ces étapes manuellement. Supposons que vous décidez d'implémenter votre modification à l'aide de LDIFDE. Pour appliquer les mises à jour lors de l'extension du schéma, vous ajoutez normalement les nouveaux attributs et les nouvelles classes, puis ajoutez les nouveaux attributs aux classes et vous déclenchez enfin une recharge du cache. Examinons quelques scénarios.

Ajout d'attributs
Supposons, à titre d'exemple, qu'une organisation appelée Contoso souhaite ajouter à son Active Directory un attribut qui identifie la pointure de chaque employé. La forêt Active Directory comporte deux domaines : contoso.com et employees.contoso.com. La condition requise est que tous les objets créés à l'aide de la définition de classe utilisateur contiennent également ce nouvel attribut.
Il est important de ne pas oublier que la modification du schéma aura un effet sur les deux domaines puisqu'ils se trouvent dans la même forêt. Supposons que vous avez reçu l'OID 1.2.840.113556.8000.9999 de Microsoft et que vous l'avez divisé en 1.2.840.113556.8000.9999.1 pour les objets classSchema et 1.2.840.113556.8000.9999.2 pour les objets attributeSchema pour Contoso. Vous allez maintenant définir toutes les valeurs d'attribut pour ce nouvel objet, comme illustré à la figure 3.
Figure 3 Définition de l'attribut contosoEmpShoe (Close Figure 3)

Attribut | Valeur | Remarques
Cn | contosoEmpShoe |
lDAPDisplayName | contosoEmpShoe |
adminDisplayName | contosoEmpShoe |
attributeSyntax | 2.5.5.12 | Spécifie une chaîne unicode.
oMSyntax | 64 | Indique une chaîne unicode.
objectClass | top, attributeSchema |
attributeID | 1.2.840.113556.8000.9999.2.1 | Tel que défini par l'organisation.
isSingleValued | TRUE | Seule une valeur de pointure peut être enregistrée.
searchFlags | 1 | Votre analyse montre que vous voulez indexer cet attribut. Remarque : vous exécuterez l'analyse de test sous contraintes dans l'environnement de laboratoire.
isMemberOfPartialAttributeSet | TRUE | Vous souhaitez que cet attribut soit disponible dans le catalogue global.
Par ailleurs, bien que l'attribut contosoEmpShoe doive être disponible pour tous les objets créés en tant qu'objets de classe utilisateur, il n'est pas recommandé de modifier la définition par défaut de la classe utilisateur. Au lieu de cela, vous devez définir une classe auxiliaire appelée contosoUser dont la valeur mayContain est spécifiée par contosoEmpShoe, comme illustré à la figure 4. Vous ajoutez ensuite les attributs définis pour la classe auxiliaire contosoUser à la classe utilisateur.
Figure 4 Définition de la classe contosoUser (Close Figure 4)

Attribut | Valeur
Cn | contosoUser
lDAPDisplayName | contosoUser
adminDisplayName | contosoUser
governsID | 1.2.840.113556.8000.9999.1.1 (comme défini par l'organisation)
mayContain | contosoEmpShoe
possSuperiors | organizationalUnit, conteneur
objectClassCategory | 3 (définit une classe auxiliaire)
Maintenant que vous avez effectué l'analyse et défini les valeurs, il est temps de créer le fichier .ldif qui ressemblera au code de la figure 5. Vous pouvez copier le contenu de la figure 5 dans le Bloc-notes et enregistrer le fichier sous contosoUser.ldif (vous pouvez également obtenir une copie dans le téléchargement de code sur technetmagazine.com).
Figure 5 Fichier .ldif pour étendre votre schéma (Close Figure 5)
#Attribute definition for contosoEmpShoe

dn: CN=contosoEmpShoe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: contosoEmpShoe
attributeID: 1.2.840.113556.1.8000.9999.2.1
attributeSyntax: 2.5.5.12
isSingleValued: TRUE
adminDisplayName: contosoEmpShoe
adminDescription: contosoEmpShoe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: contosoEmpShoe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

# Classes

dn: CN=contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: classSchema
cn: contosoUser
governsID: 1.2.840.113556.1.8000.9999.1.1
mayContain: contosoEmpShoe
rDNAttID: cn
adminDisplayName: contosoUser
adminDescription: contosoUser
objectClassCategory: 3
lDAPDisplayName: contosoUser
name: contosoUser
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

dn: CN=User,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: auxiliaryClass
auxiliaryClass: contosoUser
-

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
Après avoir généré le fichier .ldif, vous devrez tester intégralement l'implémentation dans un environnement de laboratoire, vérifier la réplication de bout en bout de votre domaine et de votre forêt, et activer la mise à jour du schéma dans la forêt. À ce stade, vous devez ouvrir une session avec un compte doté des privilèges Administrateur du schéma. En outre, vous voudrez probablement désactiver la réplication sortante sur le contrôleur de schéma (dans lequel sera faite la modification) puis exécuter la commande suivante pour importer le fichier .ldif :
ldifde –i –f <Path>\contosoUser.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
Une fois la modification effectuée, activez la réplication sortante sur le contrôleur de schéma et vérifiez que la réplication a eu lieu pour tous les contrôleurs de domaine.
Respirez un grand coup, vous avez terminé !^ Vous avez défini dans le schéma un nouvel attribut qui sera associé aux objets créés à l'aide de la classe utilisateur (c'est-à-dire les comptes utilisateur).
Pour vérifier ce changement, ouvrez Utilisateurs et ordinateurs Active Directory, connectez-vous au domaine employees.contoso.com, accédez à l'unité d'organisation (UO) Utilisateurs et créez un nouveau compte utilisateur appelé ContosoTestUser. À présent, ouvrez la console adsiedit.msc et connectez-vous à la partition de domaine dc=employees,dc=contoso,dc=com, développez l'UO Utilisateurs, cliquez avec le bouton droit sur ContosoTestUser et ouvrez la page Propriétés. Allez à l'attribut contosoEmpShoe. Vous pouvez modifier cet attribut et y entrer une valeur. Vous pouvez également utiliser l'utilitaire Ldp.exe pour vérifier et modifier les attributs.
Examinons maintenant un exemple qui définit et relie deux attributs, et imaginons un scénario où Contoso accorde une grande importance à la pointure des employés et souhaite effectuer une sorte de suivi des performances annuelles des employés qui mesurent les pointures au sein de l'entreprise. Ce scénario semble cocasse, certes, mais supposons que Contoso souhaite non seulement connaître le nom des personnes chargées de mesurer la pointure des employés, mais également le nom des employés dont la pointure a été mesurée et leur nombre, le tout en interrogeant un attribut. (Vous pensez probablement que ces données devraient être stockées dans des tables de base de données, mais l'idée ici est simplement d'expliquer le fonctionnement des liens avant et arrière).
Bien sûr, vous effectuerez d'abord le même type d'analyse que celui que j'ai décrit dans l'exemple précédent. Continuons toutefois, et créons les fichiers ldif linkids1.ldif et linkids2.ldif, comme illustré à la figure 6. Exécutons ensuite cette commande pour importer les fichiers .ldif :
Figure 6 Fichiers .ldif de liens avant et arrière (Close Figure 6)

#linkids1.ldif
#Attribute definition for Forward Link Attribute

dn: CN=ContosoShoeSizeTaker,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizeTaker
attributeID: 1.2.840.113556.1.8000.9999.2.2
LinkID: 1.2.840.113556.1.2.50
attributeSyntax: 2.5.5.1
isSingleValued: TRUE
adminDisplayName: ContosoShoeSizeTaker
adminDescription: ContosoShoeSizeTaker
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizeTaker
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Reload schema

#linkids2.ldif

#Attribute definition for Backward Link Attribute

dn: CN=ContosoShoeSizesTakenByMe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizesTakenByMe
attributeID: 1.2.840.113556.1.8000.9999.2.3
LinkID: 1.2.840.113556.8000.9999.2.2
attributeSyntax: 2.5.5.1
isSingleValued: FALSE
adminDisplayName: ContosoShoeSizesTakenByMe
adminDescription: ContosoShoeSizesTakenByMe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizesTakenByMe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add ContosoShoeSizeTaker and ContosoShoeSizesTakenByMe Attribute as MayContain in
#contosoUser class

dn: CN= contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizeTaker
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add Backward Link Attribute as MayContain in Top

dn: CN=Top,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1

ldifde –i –f <Path>\linkedids<>.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
À présent, lorsqu'un objet utilisateur sera créé, il aura également ContosoShoeSizeTaker et ContosoShoeSizesTakenByMe comme attributs. Lors de la création de l'objet utilisateur pour, disons, John, l'attribut ContosoShoeSizeTaker est renseigné avec le nom unique de la personne qui a mesuré la pointure, à savoir Frank. Si vous allez dans les propriétés de l'objet utilisateur Frank et interrogez l'attribut ContosoShoeSizesTakenByMe, le résultat contiendra le nom unique John et le nom de tous les employés que Frank aura mesurés. Pour compléter notre scénario, la direction pourrait récompenser Frank en fonction du nombre de noms uniques existant dans l'attribut ContosoShoeSizesTakenByMe de son compte utilisateur.

Contrôles et vérifications du système
Une mise à jour critique telle que la modification du schéma ne peut pas être effectuée sans une vérification sérieuse des exigences architecturales. Ces contrôles de cohérence et vérifications de sécurité sont utilisés par Active Directory pour s'assurer que les modifications ne causent pas d'incohérence ou d'autres problèmes lorsqu'un ajout ou une modification sont apportés au schéma Active Directory.
Premièrement, la valeur governsID pour chaque classe doit être unique dans le schéma. Lorsque vous définissez un objet schemaClass, tous les attributs qui sont définis dans les listes systemMayContain, mayContain, systemMustContain et mustContain doivent déjà exister. Parallèlement, toutes les classes définies dans les listes subClassOf, systemAuxiliaryClass, auxiliaryClass, systemPossSuperiors et possSuperiors doivent également déjà exister.
En outre, l'objectClassCategory de toutes les classes des listes systemAuxiliaryClass et auxiliaryClass doit appartenir soit à la classe 88 soit à la classe auxiliaire. De même, l'objectClassCategory de toutes les classes des listes systemPossSuperiors et possSuperiors doit être spécifié soit en tant que classe 88 soit en tant que classe structurelle.
Lors de la définition de diverses classes, les classes abstraites peuvent hériter uniquement des autres classes abstraites, les classes auxiliaires ne peuvent pas hériter des classes structurelles et les classes structurelles ne peuvent pas hériter des classes auxiliaires. De plus, l'attribut spécifié dans l'attribut rDNAttID doit avoir une chaîne unicode comme syntaxe et avoir une valeur unique.
Il ne s'agit là que de quelques unes des règles qui régissent les objets classSchema. Mais qu'en est-il des objets attributeSchema ? Comme dans le cas de la valeur governsID pour les classes, la valeur attributeID doit être unique. De même, la valeur mAPIID, si elle existe, doit être unique. En outre, si rangeLower et rangeUpper sont présents, rangeLower doit être plus petit que rangeUpper. Les valeurs attributeSyntax et oMSyntax doivent correspondre. Si l'attribut est syntaxé objet (oMSyntax = 127), il doit avoir la bonne oMObjectClass. Le linkID, s'il existe, doit être unique. De plus, un lien arrière doit avoir un lien avant qui lui correspond.

Et si vous vous faites une gaffe ?
Une fois le schéma étendu avec les nouveaux objets (classes et attributs), ces derniers ne peuvent pas être supprimés. Cependant, une classe ou un attribut peut être désactivé en définissant l'attribut isDefunct sur TRUE sur l'objet de schéma. Vous ne pouvez pas désactiver les objets de schéma qui font partie du schéma par défaut fourni avec Active Directory (objets de Catégorie 1). Vous pouvez uniquement désactiver les objets qui ont été ajoutés au schéma par défaut, c'est-à-dire que seuls les objets de Catégorie 2 peuvent être désactivés et seulement une fois qu'Active Directory a vérifié que la classe n'est pas utilisée dans la liste subClassOf, auxiliaryClass ou possSuperiors d'une classe non défunte existante.
À chaque tentative visant à rendre un attribut défunt, Active Directory vérifie que l'attribut n'est pas utilisé dans le mustContain ou mayContain d'une classe non défunte existante. Vous pouvez réactiver les objets désactivés en définissant l'attribut isDefunct sur FALSE. Si votre Active Directory est au niveau Windows Server 2003, vous pouvez réutiliser les valeurs ldapDisplayName, schemaIdGuid, OID et mapiID de l'objet désactivé.

Conclusion
L'ajout ou la modification de définitions de classe ou d'attribut dans le schéma implique l'ajout ou la modification de l'objet classSchema ou attributeSchema correspondant. Ce processus est identique l'ajout ou la modification d'un objet dans Active Directory, à ceci près que des vérifications supplémentaires sont effectuées pour garantir que ces modifications ne causeront pas d'incohérence ou de problème dans le schéma à l'avenir.
Bien que la modification du schéma Active Directory ne soit pas compliquée, il est important de comprendre la formation du schéma et la façon dont il implémente ces modifications. La modification du schéma Active Directory de production nécessite une planification et une exécution soignées. Vous devez impérativement définir les exigences métier et spécifications techniques des nouveaux objets et effectuer de nombreux tests en laboratoire. Puisque les modifications peuvent avoir des effets profonds, il est recommandé de n'étendre le schéma Active Directory que lorsque cette opération est absolument nécessaire.

Vikas Malhotra travaille pour Microsoft Consulting Services à New York. Au cours des 12 dernières années, il a collaboré avec de nombreuses grandes et moyennes entreprises informatiques afin d'optimiser l'architecture de leur infrastructure, notamment au niveau des répertoires, de la messagerie, de la sécurité et des réseaux de données. Il possède une licence en électronique et télécommunications et une maîtrise en gestion des télécommunications. Vous pouvez le contacter à l'adresse vikasmal@microsoft.com.


 System Center: Pr&#233;sentation de System&#160;Center Mobile&#160;Device&#160;Manager&#160;2008
System Center Matt Fontaine

Présentation de System Center Mobile Device Manager 2008
Vue d'ensemble:
  • Système type de gestion des périphériques mobiles
  • Extension d'Active Directory à Windows Mobile
  • Inscription, configuration et inventaire des périphériques Windows Mobile

Le lancement de Microsoft System Center Mobile Device Manager 2008 est un développement passionnant pour les gestionnaires de périphériques exécutant Windows Mobile sur les réseaux d'entreprise. En réunissant des fonctionnalités de gestion de périphériques, de gestion de la sécurité et de VPN mobile
dans un produit unique, cette nouvelle offre permet de réduire le fardeau administratif et d'améliorer le retour sur investissement des périphériques mobiles.
Mobile Device Manager permet aux professionnels de l'informatique d'exploiter les infrastructures Active Directory® et de Stratégie de groupe en place pour appliquer les paramètres de périphérique. Les fonctionnalités de gestion de périphériques par voie hertzienne permettent de procéder facilement à des mises à jour et des installations d'applications sur les périphériques, tandis que la fonctionnalité d'attribution automatique de privilèges par voie hertzienne rend le déploiement à la fois plus facile et plus évolutif. Le VPN mobile permet aux utilisateurs d'accéder aux données et aux applications derrière le pare-feu tout en offrant une connexion permanente, permettant aux administrateurs de contrôler les périphériques déployés. Le regroupement de ces fonctionnalités dans un produit extensible, personnalisable et évolutif, fait de Mobile Device Manager un outil indispensable pour tous les professionnels de l'informatique.

Besoins de gestion
Le télétravail devrait maintenir sa croissance rapide au cours des années à venir. Les périphériques mobiles ont toujours été plus difficiles à gérer que les équipements de réseau du fait même de leur mobilité. Ils se connectent au réseau de différentes façons, et certains périphériques ne sont pas aussi sécurisés que d'autres. Ils peuvent fonctionner en dehors du pare-feu, utiliser des systèmes d'exploitation différents des périphériques client, sans oublier qu'ils sont petits et faciles à égarer.
Les fonctionnalités étendues des périphériques mobiles modernes apportent de nombreux avantages aux entreprises et aux utilisateurs, mais la prise en charge de ces périphériques en est d'autant plus complexe. Ceci risque d'exposer les données et les réseaux d'entreprise à des risques de sécurité supplémentaires, surtout lorsque les périphériques sont utilisés pour accéder à des applications métier clés et aux données clients. Ces périphériques peuvent provoquer des problèmes graves et urgents de sécurité lorsqu'ils sont perdus, volés ou ne sont pas utilisés correctement.
Dans la mesure où l'écart d'offre de fonctionnalités s'amenuise entre les périphériques mobiles et les clients réseau traditionnels, il devient nécessaire de gérer les périphériques mobiles comme s'il s'agissait d'ordinateurs portables ou de bureau. C'est à cette fin que Mobile Device Manager a été conçu. Dans la mesure où la plate-forme Windows Mobile® devient de plus en plus populaire chez les utilisateurs professionnels, Mobile Device Manager sera amené à devenir un élément clé des systèmes de gestion reposant sur Windows®.
Mobile Device Manager offre une gestion et un contrôle total des périphériques Windows Mobile comme si ces derniers étaient des PC ou des portables en réseau. Trois fonctions clés sont offertes :
Gestion de périphériques Fonctionnalité centralisée et évolutive de configuration, de supervision et de gestion des périphériques Windows Mobile, pouvant desservir plusieurs dizaines de milliers d'utilisateurs par serveur.
Gestion de la sécurité Meilleurs mécanismes de protection des données sensibles et de suivi des périphériques.
VPN mobile Meilleur accès aux données et aux applications derrière le pare-feu grâce la fonctionnalité d'accès permanent.
Mobile Device Manager reprend la philosophie générale de System Center, qui consiste à offrir aux professionnels de l'informatique les meilleurs outils possibles de gestion du parc informatique de l'entreprise, au même niveau que les outils conçus pour les ordinateurs de bureau et les portables. Ce logiciel offre également une interface utilisateur qui paraîtra familière aux utilisateurs de System Center.
Ceci signifie également que la conception de Mobile Device Manager permet de l'intégrer parfaitement à une infrastructure Windows existante. Pour citer quelques exemples, Active Directory et la stratégie de groupe sont exploités, ainsi que les outils d'analyse et de génération de rapport de Microsoft, tels que SQL Server®. Enfin, l'exploitation des composants logiciels enfichables de Microsoft® Management Console et des cmdlets Windows PowerShellTM rend cet outil extensible.

Système Mobile Device Manager
Le système Mobile Device Manager est particulièrement évolutif et permet de prendre en charge des dizaines de milliers de périphériques sur une instance unique, ainsi que plusieurs options de configuration. De façon générale, le côté serveur de Mobile Device Manager comporte quatre grands composants système : un serveur de passerelle, un serveur de gestion de périphériques, un serveur d'inscription et des bases de données SQL Server (voir figure 1).
Figure 1 Système Mobile Device Manager type
Figure 1 Système Mobile Device Manager type
Le serveur de passerelle est généralement installé sur le réseau de périmètre. Il sert de terminal à la connexion réseau d'un périphérique, authentifie les connexions de périphérique entrantes, fournit des adresses IP stables pour les périphériques et exécute d'autres fonctions apparentées à la connectivité réseau ou de périphériques.
Le serveur de gestion de périphériques constitue le centre d'administration et de gestion des périphériques, ce qui inclut la mise en œuvre de stratégies de groupe, de distribution de logiciels par voie hertzienne et les fonctionnalités d'effacement de périphériques. Il est compatible avec les contrôleurs de domaine existants. Les serveurs de gestion de périphériques servent de clients de réseau de substitution pour les périphériques Windows Mobile, ce qui permet à ces périphériques de communiquer avec d'autres systèmes.
Le serveur d'inscription crée des objets de service de domaine Active Directory qui représentent des périphériques mobiles dans le contrôleur de domaine, ce qui permet à ces périphériques d'être gérés comme tout autre membre de domaine. Ce serveur prend également en charge les demandes de certificats et l'extraction pour les périphériques mobiles. Il exploite Active Directory pour authentifier les périphériques avant d'accepter ou d'émettre des certificats d'inscription. Les bases de données SQL Server fournissent un référentiel pour toutes les informations apparentées à la configuration de périphériques, de tâches, de paramètres d'état, et ainsi de suite.
Une fois l'infrastructure en place, Mobile Device Manager dispose de trois types d'interactions avec les périphériques mobiles : inscription de périphériques, établissement de connexions VPN mobile et gestion de périphériques. L'inscription de périphériques est le processus permettant à un périphérique de rejoindre le domaine Active Directory. Mobile Device Manager utilise un « secret partagé », un mot de passe à utilisation unique, pour activer les périphériques à inscrire au moyen de connexions non sécurisées. Une fois inscrit, un périphérique peut établir une connexion VPN mobile avec le serveur de passerelle qui fait transiter le trafic réseau vers le périphérique. Grâce à la connexion VPN mobile, l'administrateur ou le système peut procéder à la gestion de périphériques, en transmettant le logiciel et ses paramètres vers le périphérique.

Extension d'Active Directory à Windows Mobile
Les approches mixtes ou ponctuelles de la sécurité informatique peuvent se révéler plus risquées qu'une approche totalement intégrée. Mobile Device Manager est conçu pour réduire ce type de risque en offrant la possibilité de gérer des périphériques mobiles tels que les PC Windows en exploitant l'infrastructure de services d'Active Directory. Le résultat permet de bénéficier d'une gestion homogène de l'accès et des identités, d'un ciblage de stratégies plus cohérent et d'une configuration unique de sécurité.
Tout comme pour les PC ou les serveurs, les objets de stratégie de groupe apparentés aux périphériques Windows Mobile peuvent être attribués aux unités d'organisation, aux groupes de sécurité et aux filtres WMI (Windows Management Instrumentation). Les administrateurs peuvent également empêcher des périphériques spécifiques d'obtenir des paramètres de stratégie de groupe.
Il existe plus de 130 paramètres et stratégies pour les périphériques Windows Mobile, ce qui permet un contrôle précis des différentes fonctions. Prenons quelques exemples :
  • Les paramètres de mot de passe incluent l'exigence de mot de passe ; le type et la longueur minimale ; l'expiration du mot de passe et l'effacement local de périphériques après un certain nombre de tentatives infructueuses (ce qui inclut la notification du nombre de tentatives restantes).
  • Les paramètres de verrouillage de plate-forme permettent aux administrateurs d'activer ou désactiver les fonctionnalités des périphériques tels qu'un appareil photo, un réseau local sans fil, l'infrarouge, Bluetooth et le stockage amovible. Les protocoles de messagerie POP (Post Office Protocol), IMAP (Internet Message Access Protocol), SMS (Short Message Service) et MMS (Multimedia Messaging Service) peuvent tous être désactivés, ainsi que Windows Update pour Windows Mobile.
  • Mobile Device Manager offre un contrôle précis des applications. Il peut empêcher des périphériques d'exécuter des applications non signées avec des signatures non approuvées ou autoriser des applications non signées spécifiques, à la discrétion de l'administrateur.
  • Pour faciliter la protection des données, l'administrateur peut appliquer le chiffrement de fichiers créés sur des cartes de stockage amovibles (en liant la clé de chiffrement au périphérique). Le chiffrement de périphérique est également disponible pour la protection de données sensibles sur le périphérique. Outre les fichiers qui sont protégés par défaut, l'administrateur peut spécifier des fichiers supplémentaires à chiffrer.
  • Les paramètres de VPN mobile déterminent le niveau de contrôle des utilisateurs sur les connexions VPN de leurs périphériques et peuvent être également utilisés pour définir les niveaux de chiffrement de données.
  • Les paramètres ActiveSync® définissent le format de message, les filtres chronologiques des messages, les tailles maximales, les paramètres de synchronisation, entre autres.
  • Les paramètres S/MIME peuvent nécessiter la signature de messages, le chiffrement de messages ou l'usage d'algorithmes spécifiques.
Ces paramètres, entre autres, prennent en charge différents scénarios. Ils permettent aux professionnels de décider du type d'application à exécuter sur les différents périphériques. Les fonctionnalités matérielles peuvent être activées ou désactivée par voie hertzienne. Par exemple, il est possible de désactiver les appareils photo pour prévenir la violation accidentelle ou intentionnelle d'informations sensibles. Le chiffrement de données peut s'appliquer aux périphériques, aux cartes de stockage amovibles, afin de protéger les données propriétaires figurant sur des périphériques ou des cartes contre tout accès non autorisé.
Les autres outils de gestion de la sécurité font également partie de Mobile Device Manager. Des milliers d'applications sont disponibles pour les périphériques Windows Mobile, ce qui crée pour les administrateurs un besoin évident de contrôle de ce qui peut ou ne peut pas être installé. Mobile Device Manager permet de créer et appliquer des listes d'inclusion et d'exclusion dans ce but. Il offre également des fonctionnalités puissantes de suppression à distance. En raison de la connexion VPN permanente aux périphériques, ces derniers peuvent être supprimés de façon immédiate, sans avoir à attendre leur connexion au réseau et leur synchronisation. Lorsqu'un périphérique est supprimé à distance, il est supprimé du contrôleur de domaine et son certificat est révoqué. Si un périphérique est récupéré par la suite, il peut être défini de façon à rejoindre le domaine lors d'une nouvelle inscription avec un mot de passe à utilisation unique.

Contrôle des périphériques mobiles
Mobile Device Manager est conçu pour rendre la gestion des périphériques Windows Mobile du réseau aussi facile que possible en offrant une fonctionnalité complète de gestion de périphériques sous forme de solution unique, ce qui inclut la fonction de communication par voie hertzienne, les logiciels correspondants et la distribution de mises à jour, sans oublier une gestion complète et centralisée de l'inventaire.
L'inscription automatique par voie hertzienne est une fonctionnalité appelée à devenir très populaire auprès des professionnels de l'informatique et des utilisateurs à l'emploi du temps surchargé. Un utilisateur entre une adresse de messagerie sur un périphérique Windows Mobile 6.1, qui tente de localiser Mobile Device Management Server en fonction de l'adresse donnée. Si le serveur est introuvable, l'utilisateur doit entrer l'adresse de Management Server manuellement. Une fois le serveur trouvé et si l'utilisateur peut s'inscrire, ce dernier doit entrer un code d'authentification à utilisation unique prégénéré par l'administrateur.
L'adresse de messagerie et le code d'authentification sont utilisés pour authentifier l'utilisateur et inscrire son périphérique dans Management Server. Ensuite, les paramètres définis par l'administrateur et les stratégies sont envoyés au périphérique. L'approche d'autoinscription est conçue pour favoriser l'évolutivité du déploiement de périphérique Windows Mobile et pour réduire le temps et l'argent nécessaires pour assurer le bon fonctionnement de ces périphériques.
Les fonctionnalités de distribution des logiciels par voie hertzienne de Mobile Device Manager reposent sur WSUS (Windows Software Update Services) 3.0, la boîte à outils de mise à jour logicielle utilisée par de nombreux professionnels dans le monde. Comme indiqué à la figure 2, WSUS 3.0 offre les fonctionnalités de ciblage et de création de packages d'application indispensables pour les tâches complexes. Les logiciels peuvent être livrés de façon automatique aux périphériques distants en fonction de règles et de stratégies définies par l'administrateur. Comme pour les mises à jour client et serveur, les mises à jour de périphériques mobiles et les correctifs peuvent être automatisés à l'aide de WSUS 3.0. De façon tout aussi importante, les mises à jour automatiques peuvent être désactivées pour la planification et le test du déploiement.
Figure 2 Assistant de distribution de logiciels
Figure 2 Assistant de distribution de logiciels
L'un des plus grands défis de gestion des équipements mobiles déployés à grande échelle est de faire le suivi de toutes les opérations. Mobile Device Manager centralise les informations d'inventaire et fournit des rapports adaptés au contexte et personnalisables reposant sur SQL Server 2005, toujours en reprenant un logiciel que la plupart des utilisateurs connaissent, voire maîtrisent. Les administrateurs peuvent recueillir plusieurs centaines d'informations d'inventaire, ce qui inclut, entre autres, le système d'exploitation et sa version, le modèle de périphérique, les applications installées et les stratégies de sécurité. L'inventaire est extensible, ce qui permet à l'administrateur d'ajouter des paramètres d'éléments et des paramètres de registre.
Pour encore plus de flexibilité, vous pouvez contrôler Mobile Device Manager à l'aide des composants logiciels enfichables de Microsoft Management Console si vous préférez une interface utilisateur graphique (voir figure 3) ou avec la console Windows PowerShell si vous préférez la ligne de commande. Quoi qu'il en soit, le système est extensible et personnalisable. Ceci est essentiel pour les utilisateurs d'entreprise qui souhaitent adapter le logiciel à leur organisation.
Figure 3 Mobile Device Manager Console
Figure 3 Mobile Device Manager Console

VPN mobile
L'échange de messages électroniques et de messages texte sur des périphériques mobiles n'a plus de secrets pour les professionnels de l'informatique. Aujourd'hui, l'un des développements les plus importants de la technologie mobile est la possibilité d'accéder à des données et des applications métier qui résident derrière le pare-feu. Avec des demandes d'accès toujours en hausse, de nouveaux risques en matière de sécurité se présentent, ce qui implique une gestion prudente de cette nouvelle fonctionnalité pour prévenir toute vulnérabilité. Mobile Device Manager offre des fonctionnalités de pointe en termes de VPN mobile, ce qui permet aux utilisateurs d'accéder aux données d'intranet allant de systèmes de gestion de la relation client (CRM) de Microsoft DynamicsTM au SAP, en passant par Siebel. Le modèle est généré en fonction de stratégies d'accès à distance existantes pour les PC de bureau et portables (voir figure 4).
Figure 4 Paramètres de VPN mobile
Figure 4 Paramètres de VPN mobile
Le VPN mobile connecte le périphérique au serveur de passerelle à l'aide d'une fonctionnalité de sécurité à double enveloppe, où les données sont transmises dans un formulaire chiffré par SSL au moyen d'un tunnel IPsec chiffré. Lorsque le périphérique est authentifié, l'utilisateur a accès aux ressources selon la stratégie propre à la ressource et ses informations d'identification.
La technologie de VPN mobile utilisée par Mobile Device Manager permet d'établir une connexion permanente, qui offre non seulement aux utilisateurs un meilleur accès, mais encore permet au service informatique de mettre constamment à jour les périphériques en fonction des stratégies et des paramètres et de désactiver immédiatement un périphérique en cas de perte ou de vol. Même si une session est interrompue, une reconnexion rapide permet de s'assurer que la session du périphérique continue, sans nécessiter de nouvelle authentification. Mobile Device Manager assure une transition en douceur entre les réseaux Wi-Fi et cellulaires, tout en préservant la connectivité.
La technologie de sécurité appliquée par le VPN mobile de Mobile Device Manager repose sur des normes reconnues, ce qui inclut OMA DM (Open Mobile Alliance for Device Management), IKE (Internet Key Exchange (IKE) version 2 et SCOMO (OMA Software Component Management Object). Ceci permet de s'assurer que le système est plus extensible et facile à personnaliser de façon à s'adapter aux différentes situations auxquelles les services informatiques doivent faire face dans des environnements complexes.

Une solution complète
Mobile Device Manager offre une série complète d'outils de gestion des périphériques Windows Mobile, accessible au moyen d'une interface unique. Il utilise Active Directory et la stratégie de groupe pour mettre en place des outils de sécurité qui permettent de protéger les données, les périphériques et le réseau. La gestion de périphérique est facilitée par l'inscription OTA, la configuration et la mise à jour, ainsi que par des outils d'inventaire puissants. Le VPN mobile est conçu pour apporter les fonctionnalités demandées par les entreprises et les utilisateurs sans pour autant en compromettre la sécurité.
Tout ceci fait partie intégrante du principe qui consiste à faciliter la tâche des professionnels de l'informatique en leur donnant les meilleurs outils de gestion des périphériques mobiles sur le réseau. Mobile Device Manager apporte aux professionnels toute la puissance liée à la mise en place d'expériences utilisateur de qualité, à la réduction des frais d'administration et offre un meilleur retour sur investissement. Tout ceci forme une combinaison véritablement gagnante.
Remerciements à Brian Hoskins, Derek Snyder, Prithvi Raj, Lax Madapaty et Katharine Holdsworth pour leur contribution à cet article.

Matt Fontaine est un auteur indépendant d'articles technologiques et travaille en tant que consultant chez BuzzBee Company. Il travaille dans de nombreux secteurs tels que l'informatique hautes performances, les logiciels d'entreprise, l'analyse des risques, l'immobilier, l'ingénierie, le BTP et les produits de grande consommation. Matt est fier d'avoir fait ses études à Evergreen State College.


 System Center: Nouveaut&#233;s de System Center Essentials&#160;SP1
System Center Pete Zerger

Nouveautés de System Center Essentials SP1
Vue d'ensemble:
  • Installation facilité grâce au package d'installation intégré
  • Substitutions améliorées pour le réglage des packs d'administration
  • Prise en charge des groupes de travail
  • Nouveau calcul de l'état d'intégrité

Avec la publication de System Center Essentials 2007 en juillet dernier, Microsoft a honoré son engagement auprès des entreprises de taille moyenne, en comblant l'écart entre les outils d'entreprise, chers et complexes, et les logiciels publics
afin de mettre en place une solution de gestion unifiée pour les services informatiques. Essentials 2007 a été conçu pour relever les défis auxquels les entreprises de taille moyenne sont confrontés, durant lesquels les informaticiens exécutent souvent des tâches très diverses.
Essentials est facile à installer et configurer, ce qui permet au service informatique de suivre et gérer de façon dynamique les clients et les serveurs, de même que d'assurer le suivi du parc matériel et de logiciels. Ce logiciel a été conçu pour simplifier les tâches traditionnellement complexes, telles que le suivi des applications et des services informatiques, le déploiement de logiciels client et serveur, ainsi que la résolution des problèmes au niveau des postes de travail.
Depuis la version initiale, Microsoft a recueilli les commentaires des clients qui utilisent déjà Essentials pour gérer leur infrastructure informatique. Ces informations ont été incorporées dans le premier Service Pack du produit. Loin de se contenter de fournir des correctifs de bogues, le SP1 introduit des améliorations significatives qui rendent le produit mieux adapté aux attentes des clients dans différents scénarios de déploiement. De plus, les gains de performances améliorent de façon considérable l'expérience des utilisateurs et rationalisent l'administration.
Dans cet article, je vais passer en revue les principales avancées offertes par Essentials 2007 SP1. Je vais également vous montrer comment ce logiciel permet de faciliter encore plus la gestion de votre environnement.

Installation simplifiée
Le package d'installation intégré du SP1 installe les correctifs logiciels les plus récents, ce qui permet de procéder à l'installation en quelques clics. Essentials peut désormais être configuré pour exploiter à distance une instance SQL Server® 2005 64 bits, tandis qu'Essentials Server réside sur une instance 32 bits de Windows ® 2003. Ceci offre aux administrateurs une plus grande souplesse d'exploitation des infrastructures serveur existantes dans leur environnement et dans une topologie de déploiement distribuée d'Essentials. De plus, la plate-forme Windows Server 2008 est prise en charge par Essentials 2007 SP1, que ce soit sous ses versions serveur, console ou agent. La prise en charge complète de Windows Server 2008 est prévue peu après la mise en production du nouveau système d'exploitation.

Meilleures performances de la console
Si vous avez utilisé la version RTM d'Essentials 2007, vous apprécierez l'interface radicalement plus réactive d'Essentials Console SP1. Les performances ont été améliorées pour les affichages Alerte, Événement, Performances, État et État de la tâche. Par exemple, dans l'affichage Alerte, les modifications apportées aux résultats d'extraction des données (récupération) débouche sur une sélection des données d'alerte qui est trois fois plus rapide. Les actions et les rapports sont désormais extraits en arrière-plan, ce qui améliore d'autant plus les performances de l'interface utilisateur. De même, les tâches et les rapports contextuels (affichés dans le volet Actions, à droite de la console d'opérations) sont chargés en tâche de fond, ce qui permet à l'affichage de réagir plus rapidement à vos sélections.
Les informations relatives aux alertes qui s'affichent dans le volet Détails de l'alerte peuvent désormais être affichées ou masquées selon la préférence de l'utilisateur, en cliquant sur les liens Show Knowledge (Afficher les détails) ou Hide Knowledge (Masquer les détails) (voir figure 1). Cette préférence est alors mémorisée lors de l'affichage des alertes ultérieures. Les administrateurs peuvent désormais procéder à des opérations de copier/coller des détails des alertes à l'aide de raccourcis clavier standard (tels que Ctrl+C et Ctrl+V).
Figure 1 Volet des détails d'alerte et liens Afficher/Masquer les détails
Figure 1 Volet des détails d'alerte et liens Afficher/Masquer les détails

Amélioration des substitutions
Les substitutions permettent de régler les packs de gestion, de désactiver les règles et les moniteurs lorsque ces derniers ne sont pas nécessaires et de régler différentes valeurs seuil. Plusieurs améliorations significatives se rapportent aux substitutions qui non seulement facilitent l'adaptation des règles et des moniteurs à votre environnement, mais offrent également une meilleure visibilité pour les substitutions présentes dans votre environnement Essentials. Ainsi, le nombre de règles personnalisées à créer est réduit et vous passerez moins de temps à tenter d'identifier les remplacements de votre environnement.
Par exemple, après avoir créé un remplacement pour un objet du pack d'administration, vous pouvez consulter le récapitulatif des substitutions correspondant au type d'objet dans la zone de résumé des substitutions. Essentials 2007 SP1 permet de s'assurer que la description de la cible de substitution est complète. Si vous créez une substitution pour l'espace disque disponible du lecteur C:\ de Serveur1, par exemple, le résumé affichera « serveur1/c: ». Un exemple permettra de clarifier l'importance de cette modification.
Dans la figure 2, vous pouvez constater que dans le récapitulatif des substitutions pour l'espace disponible du disque logique Windows Server 2003 dans Essentials 2007 RTM, il est impossible de dire quel ordinateur héberge l'instance de lecteur C:\ ciblée par la substitution. Dans la même section d'Essentials SP1, vous pouvez voir que la colonne Nom affiche maintenant non seulement l'instance de lecteur cible, mais également l'ordinateur qui héberge ce lecteur (voir figure 3).
Figure 2 Résumé des substitutions dans Essentials 2007 RTM
Figure 2 Résumé des substitutions dans Essentials 2007 RTM
Figure 3 Même résumé des substitutions dans Essentials 2007 SP1
Figure 3 Même résumé des substitutions dans Essentials 2007 SP1
La gravité de l'alerte peut avoir un impact important sur le volume de trafic d'alertes recueilli par les administrateurs. Jusqu'à présent, si une règle d'Essentials dans un pack d'administration scellé a été configurée pour produire une alerte critique, alors qu'elle ne l'était pas sur certains serveurs, les administrateurs ne pouvaient pas modifier ce paramètre, car la gravité de l'alerte et sa priorité n'étaient pas exposées au cours des remplacements de règle. La seule solution de contournement était un travail laborieux de création de remplacements afin de désactiver la règle sur certains ordinateurs, tout en recréant la ou les règles dans un pack d'administration non scellé dans lequel les paramètres d'alerte peuvent être manipulés. Il est évident que cette procédure est loin d'être idéale du point de vue de l'administration.
Ce problème est traité de façon efficace dans le SP1. La gravité de l'alerte et la priorité sont exposées en tant que paramètres de remplacement dans l'ensemble des règles de pack d'administration scellées, comme indiqué à la figure 4. Les administrateurs peuvent ainsi rapidement et facilement réduire ou augmenter la gravité et la priorité des alertes produites par les règles dans Essentials 2007 en créant des remplacements.
Figure 4 Gravité des alertes et substitution des règles de priorité
Figure 4 Gravité des alertes et substitution des règles de priorité
Vous avez sans doute remarqué la case Enforced (Appliqué) de la figure 4, qui n'est pas présente dans l'interface de console de la version RTM d'Essentials. Lorsque plusieurs substitutions sont activées pour un objet, la substitution sélectionnée qui est accompagnée de l'indicateur Enforced se voit accorder la priorité la plus élevée. Ceci peut être pratique lorsque la même substitution est définie pour deux groupes d'objets et si certains objets appartiennent aux deux groupes. En activant le paramètre Enforced de la substitution à rendre prioritaire, vous pouvez déterminer avec certitude le paramètre de remplacement qui s'applique.
Afin de faciliter la création de nouveaux packs d'administration, Essentials 2007 SP1 permet de copier les affichages des packs d'administration existants vers un pack d'administration non scellé. L'opération de copie est prise en charge pour tous les types d'affichage (tels que Événement, Alerte, Performances, Tableau de bord et Diagramme) et peut se faire dans l'espace Analyse. Par exemple, si vous avez créé un pack d'administration pour les substitutions Active Directory® et souhaitez utiliser l'un des affichages du pack d'administration Active Directory dans le pack d'administration des substitutions correspondantes, il suffit de sélectionner l'affichage souhaité, puis de le copier/coller dans le dossier de pack d'administration personnalisé voulu, dans le volet de navigation de l'espace Analyse.

Nouveau rapport de substitutions
Il est également utile de mentionner le nouveau rapport de substitutions dans la bibliothèque de rapports génériques de Microsoft®, située dans le volet des rapports de la console Essentials. Ce rapport permet de décrire les substitutions du point de vue du pack d'administration dans lequel ils sont stockés ou selon le pack d'administration auquel ils s'appliquent (voir figure 5). Les utilisateurs peuvent définir des paramètres de rapport pour exclure les packs d'administration scellés des rapports. Cette option de filtrage est importante, car les packs d'administration scellés de Microsoft, entre autres, contiennent de nombreuses substitutions qui ne sont pas pertinentes dans le cadre de vos rapports sur les modifications apportées dans votre propre environnement.
Figure 5 Paramètres du rapport de substitutions
Figure 5 Paramètres du rapport de substitutions
Si vous appliquez la méthode recommandée de Microsoft consistant à créer un pack d'administration personnalisé distinct pour chaque pack d'administration scellé (un pour le pack d'administration Active Directory, l'autre pour le pack d'administration Exchange, etc), vous avez la possibilité de réduire de façon plus efficace l'étendue du rapport pour afficher les substitutions qui s'appliquent à un pack d'administration spécifique.
Après avoir sélectionné les packs d'administration non scellés appropriés, vous pouvez créer le rapport, dont le contenu est illustré à la figure 6. Vous pouvez constater que le rapport affiche clairement la règle ou le moniteur auquel la substitution s'applique (colonne de l'élément Affected (Affectés)), de même que les date et heure d'installation et de suppression associées au moniteur. Ceci vient illustrer le fait que le rapport sur les substitutions sert non seulement de liste de substitutions actives, mais également comme un rapport sur l'historique de modification des configurations de substitutions.
Figure 6 Détails du rapport de substitutions
Figure 6 Détails du rapport de substitutions
Enfin, en bas de l'affichage détaillé de toute règle ou moniteur concerné, vous trouverez un lien hypertexte appelé Rule configuration view (Affichage Configuration de la règle). Ce lien lance un affichage distinct de règle ou de moniteur dans le périmètre de l'affichage déjà ciblé dans le type d'objet affecté. Par exemple, si vous cliquez sur le lien Rule configuration view de la substitution illustrée à la figure 6 (substitution de règle ciblant le rôle d'ordinateur Active Directory Domain Controller Server 2003), vous pouvez constater que l'affichage de règle qui en résulte affiche uniquement les règles qui ciblent ce type d'objet.

Prise en charge des ordinateurs de groupe de travail
L'un des points mis en avant dans les commentaires des clients portait sur la nécessité de gérer les serveurs et les postes de travail dans les configurations de groupe de travail. De nombreux environnements disposent d'au moins un serveur résidant dans un réseau de périmètre ou une succursale qui n'est pas reliée au domaine. Dans la mesure où Essentials nécessite une authentification mutuelle entre Essentials Server et les ordinateurs gérés par des agents, les ordinateurs de groupe de travail qui se trouvent en dehors de la limite de confiance du serveur Essentials tombent également en dehors du périmètre de déploiement d'agents Essentials. Dans de nombreux environnements, ceci peut signifier que des composants clés de l'infrastructure restent non supervisés et en dehors du processus de gestion des correctifs Essentials. Comment gérer de façon sécurisée ces ordinateurs ?
Le SP1 introduit l'authentification sur la base de certificats lorsque l'authentification Active Directory ou Kerberos n'est pas disponible. Pour cela, Essentials Server et l'ordinateur géré par l'agent doivent disposer d'un certificat numérique X.509. Le certificat numérique peut être émis par une autorité de certification Windows® autonome ou d'entreprise. Si vous ne disposez pas d'une autorité de certification Windows dans votre environnement, vous pouvez installer cette fonctionnalité à l'aide de la fonctionnalité Ajout/Suppression de programmes sur un contrôleur de domaines ou sur un serveur membre dans votre environnement, ce y compris Essentials Server. Pour plus d'informations sur les services de certification et l'infrastructure de clé publique (PKI) dans Windows Server 2003, voir microsoft.com/windowsserver2003/technologies/pki.
Pour configurer l'authentification basée sur certificat dans Essentials, vous devez au préalable demander et envoyer un certificat à Essentials Server et à l'ordinateur faisant l'objet de la gestion. La requête peut se faire par l'intermédiaire d'un site Web sur le serveur faisant office d'autorité de certification.
Lorsque le certificat est émis et installé, il doit être « enregistré » de façon à être utilisé avec Essentials au moyen de l'utilitaire de ligne de commande MOMCertImport. Pour terminer la configuration du certificat, exportez simplement le certificat vers un fichier (au format.pfx) et exécutez MOMCertImport sur l'ordinateur local avec la syntaxe suivante :
MOMCertUtil.exe <cert path \ name>
Une fois toutes ces étapes exécutées sur Essentials Server et l'ordinateur ciblé pour la gestion, ces systèmes peuvent s'authentifier mutuellement et échanger des données de façon sécurisées sur un canal chiffré. Pour terminer le processus de déploiement d'agents, procédez à une installation manuelle de l'agent Essentials sur l'ordinateur cible.

Analyse du réseau et des périphériques
Essentials 2007 offre une fonctionnalité d'analyse des périphériques réseau capable de découvrir les attributs communs de nombreux périphériques réseau activés pour SNMP. SNMP version 2c (SNMPv2c) est la version la plus répandue, cependant tous les périphériques réseau ne sont pas égaux. En gardant ceci à l'esprit, SP1 offre la prise en charge de la version SNMP 1 (SNMPv1) afin de permettre l'analyse d'un ensemble de périphériques réseau anciens, tels que certains onduleurs, routeurs et serveurs d'impression qui ne sont pas compatibles avec SNMPv2c. Comme indiqué à la figure 7, les administrateurs peuvent indiquer à Essentials la version SNMP à utiliser dans un champ déroulant supplémentaire de l'Assistant Gestion des ordinateurs et des périphériques.
Figure 7 Interface améliorée pour la découverte de périphériques réseau
Figure 7 Interface améliorée pour la découverte de périphériques réseau

Gestion améliorée de la mise à jour
Des améliorations significatives de la gestion de la mise à jour sont également disponibles dans la version SP1. Les règles d'approbation automatique de WSUS 3.0 (Windows Server Update Services) permettent de spécifier différentes classifications des produits et des mises à jour, par exemple l'approbation automatique des mises à jour de définition pour Microsoft Word.
La prise en charge des règles multiples d'approbation automatique a été également ajoutée dans Essentials, ce qui place cette fonctionnalité au même niveau que celle de la plate-forme WSUS 3.0 (voir figure 8). Ceci permet aux administrateurs de créer des approbations automatiques pour plusieurs catégories de mises à jour, ce qui inclut les mises à jour critiques de Windows Vista® et les Service Packs d'Office 2007. Les règles d'approbation automatique sont ensuite appliquées à toutes les mises à jour actuellement présentes sur le serveur WSUS. Par conséquent, en cliquant sur la tâche Run Rule(s) Now (Exécuter la ou les règles) dans la boîte de dialogue d'approbations automatique, les administrateurs peuvent appliquer immédiatement des modifications aux mises à jour existantes qui sont présentes dans la console Essentials.
Figure 8 Approbations automatiques dans le cadre de la gestion des mises à jour
Figure 8 Approbations automatiques dans le cadre de la gestion des mises à jour
Grâce à la prise en charge des configurations des ordinateurs en groupe de travail pour le déploiement d'agents, les administrateurs peuvent maintenant contrôler la gestion des mises à jour de leur environnement à partir de la console Essentials.

Calcul de l'état d'intégrité de l'objet
Auparavant, lors de l'affichage de l'état des moniteurs dans l'Explorateur d'intégrité, les administrateurs devaient attendre l'actualisation périodique de l'état du moniteur pour déterminer si les restaurations ou autres actions correctives avaient réussi. L'une des nouveautés de la version SP1 de l'Explorateur d'intégrité est la tâche Recalculate Health (Vérification de l'intégrité), qui exécute à la demande un nouveau calcul de l'intégrité du moniteur (voir figure 9). Ceci permet d'accélérer de façon considérable le processus de dépannage en éliminant les temps d'attente entre les actions correctives, tout en attendant de voir si l'état du moniteur redevient intègre.
Figure 9 Tâche de vérification de l'intégrité dans l'Explorateur d'intégrité
Figure 9 Tâche de vérification de l'intégrité dans l'Explorateur d'intégrité
De même, la tâche Reset Health (Réinitialisation de l'intégrité), présente depuis la version RTM, a bénéficié également d'améliorations importantes pour s'assurer que chaque moniteur réponde bien aux requêtes de réinitialisation de son état sur intègre (vert). Ceci s'applique également aux requêtes exécutées directement sur Essentials Server, qui ne répond par toujours aux requêtes de réinitialisation de la version RTM.

Diagnostics avec script
Le diagnostic constitue un type spécial de tâche introduite dans Essentials 2007, permettant une exécution automatique ou à la demande des tâches de collecte de données lorsqu'une alerte est déclenchée. Un diagnostic automatique est un diagnostic qui est configuré de façon à s'exécuter lorsqu'un moniteur passe à un état d'erreur. Les résultats du diagnostic s'affichent dans le volet des détails de l'onglet Événements de changement d'état de l'Explorateur d'intégrité. Un diagnostic à la demande s'affiche sous forme de lien hypertexte dans la même zone et peut être exécuté en un simple clic. Les résultats s'affichent dans une fenêtre contextuelle sur l'ordinateur local.
Comme illustré à la figure 10, le SP1 étend la fonctionnalité de diagnostic en autorisant l'utilisation de scripts dans les tâches de diagnostic (par opposition aux réponses de ligne de commande propres à RTM). Ceci permet de mettre en place le cadre nécessaire à l'exécution de réponses de collecte de données automatisées plus élaborées et variées lorsque des conditions d'erreur surviennent. VBScript et JScript® sont pris en charge lors de l'utilisation de ces tâches de diagnostic.
Figure 10 Volet des détails d'alerte et liens Afficher/Masquer les détails
Figure 10 Volet des détails d'alerte et liens Afficher/Masquer les détails

Exportation vers Visio
L'une des autres nouvelles fonctionnalités du SP1 est la prise en charge de l'exportation de diagrammes au format Microsoft Visio® 2007, avec un bouton visible sur la barre d'outils lorsque l'utilisateur sélectionne un diagramme. Ceci permet de bénéficier d'une fonctionnalité de documentation particulièrement pratique, car les packs d'administration d'Active Directory et Exchange Server 2003 offrent des diagrammes de topologie standard, ce qui épargne aux administrateurs de perdre un temps précieux à écrire la documentation. De plus, les préférences de mise en forme du diagramme peuvent être enregistrées. Ces préférences seront reprises par la console Essentials lors de la sélection de diagramme suivante.

Conseils pour une meilleure sauvegarde et restauration
Dès l'installation d'Essentials 2007 SP1, l'Assistant d'installation démarre automatiquement et invite l'utilisateur à sauvegarder les clés de chiffrement d'Essentials Management Server (voir figure 11). Ces clés sont utilisées par Essentials Server pour le stockage sécurisé Run As Credentials (informations d'identification pour l'exécution en tant que) dans la base de données d'opérations. Ces clés sont également requises lorsqu’Essentials Server doit être restauré à partir d'une sauvegarde. En l'absence de cette paire de clés, Essentials doit être réinstallé et intégralement reconfiguré.
Figure 11 Sauvegarde de la clé de chiffrement Essentials
Figure 11 Sauvegarde de la clé de chiffrement Essentials

Qualité améliorée du pack d'administration
En supplément des nombreuses améliorations de Essentials SP1, l'équipe produits d'Essentials a amélioré de façon considérable la qualité des packs d'administration de la plate-forme Essentials, grâce à des procédures de test plus variées et rigoureuses, ainsi qu'à une meilleure interaction avec les différentes équipes produit et les experts des différentes applications. Ceci a eu pour résultat la publication de davantage de packs d'administration qui exploitent les nouvelles fonctionnalités de la plate-forme de d'analyse de Microsoft, ce qui inclut les seuils réglables de façon automatique, l'analyse orientée services à l'aide de modèles d'application distribués, ainsi qu'un moteur de rapports puissant.
Microsoft publiera davantage de packs d'administration natifs pour exploiter les nouvelles fonctionnalités d'Essentials en 2008. Les packs d'administration pour Essentials 2007 peuvent être téléchargés à partir du catalogue de packs d'administration de System Center sur go.microsoft.com/fwlink/?LinkId=112399.

Essayez vous-même !
Le SP1 apporte des améliorations de performances qui font de System Center Essentials 2007 un excellent investissement pour gérer l'infrastructure informatique des entreprises de taille moyenne. Si vous disposez déjà d'Essentials 2007 dans votre environnement, téléchargez une copie de SP1 et découvrez les améliorations de fonctionnalités et de performances par vous même. Si vous n'avez pas encore déployé Essentials 2007 et souhaitez essayer Essentials 2007 SP1, vous pouvez télécharger le package d'installation contenant le SP1. Les deux packages, ainsi que des informations supplémentaires sur le produit, figurent sur la page d'accueil d'Essentials 2007, sur microsoft.com/systemcenter/essentials. 

Pete Zerger est un partenaire conseil chez AKOS Technology Services et possède neuf ans d'expérience dans le secteur informatique. Il travaille essentiellement à la conception et au déploiement de solutions de gestion d'exploitation, de services d'annuaire et de messagerie. Pete possède une certification MCSE pour la messagerie, une certification MCTS pour SQL Server 2005 et est Microsoft MVP pour Microsoft Operations Manager. Il a fondé le site systemcenterforum.org, un site de communauté très fréquenté qui couvre Essentials 2007 et la suite System Center.


 Le mot du r&#233;dacteur en chef: Un accueil chaleureux &#224; &#171;&#160;Au cœur de SharePoint&#160;&#187;
Le mot du rédacteur en chef
Un accueil chaleureux à « Au cœur de SharePoint »

Comme vous vous en souvenez peut-être, dans Le mot du rédacteur en chef du mois dernier, après un adieu au Petit câbleur, j'ai mentionné qu'une nouvelle rubrique débuterait dans ce numéro de TechNet Magazine. Je vous demande donc d'accueillir chaleureusement « Au cœur de SharePoint », une rubrique mensuelle couvrant tout ce que les informaticiens doivent savoir en termes d'architecture, de déploiement, de sécurisation, de maintenance et de prise en charge de l'infrastructure SharePoint. Comme promis, Pav Cherny donne le coup d'envoi avec une présentation générale des éléments clés d'une infrastructure SharePoint flexible. Nous continuerons le mois prochain avec l'administration de site SharePoint. Et notre offre est toujours valide : s'il existe des rubriques SharePoint spécifiques que vous aimeriez voir abordées, envoyez-nous un petit mot à tnmag@microsoft.com.
Toujours dans le numéro de ce mois, Gil Kirkpatrick revient avec une présentation complète approfondie des processus de sauvegarde et restauration Active Directory dans Windows Server 2008. Dans de nombreux (si ce n'est la majorité) réseaux orientés Windows, Active Directory est la source faisant autorité pour les informations d'identification et d'accès (ce qui, je pense que nous sommes d'accord, est assez important). Il s'agit également d'un élément d'infrastructure clé de tout déploiement d'Exchange, de SharePoint et du Gestionnaire de Configuration, et autres. Pourtant, lorsque j'ai assisté à l'une des sessions de Gil à la conférence Directory Experts de Chicago le mois dernier, et que celui-ci a demandé combien de personnes dans la salle possédaient un plan de récupération après incident complet pour Active Directory, il était facile de compter le nombre de mains levées, à savoir une seule. Il est donc clair que tout le monde devrait lire l'article de Gil.
Si, par un hasard incroyable, Active Directory n'est pas votre point fort, pas de soucis, vous trouverez tout ce dont vous avez besoin ici. Matt Fontaine nous présente System Center Mobile Device Manager (une nouvelle technologie indispensable si vous gérez des périphériques Windows Mobile dans votre organisation), Pete Zerger nous guide au travers des nouveautés de System Center Essentials SP1 et Jesper Johansson applique le principe d'incertitude de Heisenberg à la sécurité informatique. Les scripteurs sont comme toujours parmi nous, les Questions et réponses sur la file d'attente Exchange sont de retour, et bien plus encore.
Pour terminer, nous travaillons sur un projet pour le nouveau site Web de TechNet Magazine (toujours à l'adresse technetmagazine.com). Certains de nos rédacteurs préférés développent des screencasts Comment..., c'est-à-dire des vidéos qui accompagneront nos articles en ligne afin de vous guider étape par étape tout au long du contenu. Nous souhaiterions connaître les sujets et les technologies que vous souhaitez voir figurer dans ces screencasts. Encore une fois, envoyez-nous un message électronique à tnmag@microsoft.com. Vous allez bientôt comprendre. —Joshua Hoffman


 Lettres: Les lecteurs ont la parole
Lettres
Les lecteurs ont la parole

Clusters Windows
En quoi les serveurs Windows® Compute Cluster se distinguent-ils d'un cluster Windows classique ?
—de blogs.technet.com/tnmag

C'est une question très fréquente ! On me pose souvent des questions sur les clusters de disponibilité (clusters de basculement) lorsque je parle de Windows Compute Cluster Server (CCS). Les clusters Compute Cluster sont différents des « clusters de disponibilité », qui fournissent des services de basculement entre systèmes.
Les clusters Compute Cluster utilisent une file d'attente ou un planificateur de tâches pour affecter les tâches aux différents systèmes du cluster. Le planificateur (exécuté sur le nœud de tête du groupe) reçoit les requêtes de planification des tâches et attribue le travail aux autres nœuds Compute Cluster du groupe. Pour simplifier, CCS vous permet de diviser le travail entre les ordinateurs, tandis que les clusters de disponibilité ont pour objectif de fournir un service ininterrompu.
—John Kelbley, Responsable de produit technique senior

Interface utilisateur graphique de Robocopy
Merci pour votre article sur l'interface utilisateur graphique de Robocopy (novembre 2006, technetmagazine.com/issues/2006/11/UtilitySpotlight). Il rend Robocopy facile à utiliser et les groupes d'onglets ont facilité ma compréhension des nombreuses options de ligne de commande.
—Biff M.

Merci beaucoup pour vos commentaires ! Nous sommes contents d'apprendre que vous trouvez cet outil utile. Comme toujours, s'il existe d'autres outils que vous aimeriez voir abordés dans TechNet Magazine, n'hésitez pas à nous le faire savoir ! Envoyez un petit mot à tntools@microsoft.com.

Pilotes de périphérique
Comment faire pour afficher la liste complète de tous les fichiers spécifiques associés à des pilotes de périphérique particuliers ?
—T.P.

Si vous essayez d'établir la liste de tous les fichiers prenant en charge une installation de pilote spécifique, il n'existe malheureusement aucune solution parfaite. Votre meilleure option consiste à examiner le fichier INF inclus avec le pilote en question, en particulier la section habituellement marquée *.copyfiles, car elle a trait à l'identificateur Plug-n-Play (PnPID) pour ce pilote. Cette section répertorie les fichiers copiés pendant l'installation du pilote.
Le problème se complique, cependant, par certains pilotes qui appellent des « CoInstallers » dans le cadre du pilote, car l'un de ceux-ci peut à son tour extraire ou installer d'autres fichiers. L'analyse de la section CopyFiles vous permettra d'obtenir la plupart du temps la majorité des fichiers, vous devez simplement examiner le fichier INF avec attention et comprendre sa signification.
—Wes Miller, chroniqueur, Histoires de Bureau

Authentification Windows
J'ai essayé de trouver des articles ou des livres blancs contenant des informations sur l'authentification Windows. Je souhaiterais en particulier en apprendre plus sur l'accès sans fil avec le Service d'authentification Internet (IAS) dans un domaine Active Directory® Windows 2000. Pouvez-vous m'indiquer des articles contenant ces informations ?
—Brett M.

La meilleure source d'informations que vous pouvez trouver sur ce sujet est probablement le TechCenter IAS sur TechNet, que vous trouverez à l'adresse technet.microsoft.com/network/bb643123. Il comprend des liens vers de nombreux articles et livres blancs sur l'authentification avec IAS.
Le groupe de discussion consacré à la sécurité de Windows 2000 Server est également un forum en ligne approprié où vous pouvez poser ces questions microsoft.com/technet/community/newsgroups/dgbrowser/en-us/default.mspx?dg=microsoft.public.win2000.security.

Un lecteur reconnaissant
J'ai lu votre article intéressant « Guide d'investigation informatique de base » dans le numéro de décembre 2007 (que vous trouverez à l'adresse technetmagazine.com/issues/2007/12/Forensics). Je souhaite tout d'abord vous féliciter pour la publication de ces informations importantes. J'aimerais ensuite féliciter le coauteur Tom Cloward, responsable de programme chez Microsoft, pour l'utilisation de son excellente expérience dans le domaine de la sécurité. Je souhaite également féliciter le coauteur Frank Simorjay, responsable de programme technique et expert en la matière chez Microsoft. Vous travaillez dans le domaine de la sécurité et avez consenti à partager votre vaste connaissance du sujet pour résoudre des problèmes causés par les attaques de sécurité d'Internet. Cela mérite d'être souligné. Merci infiniment.
—M. S.

Merci pour votre message, M. S. Nous pensons également qu'il s'agit d'un sujet très important, et nous espérons que vous serez content de savoir que nous avons déjà prévu d'aborder ce sujet plus en profondeur dans les prochains numéros de TechNet Magazine. Merci encore !


 Bo&#238;te &#224; outils: Nouveaux produits pour les professionnels de l’informatique
Boîte à outils
Nouveaux produits pour les professionnels de l’informatique
Greg Steen

Analyser l'espace disque
FolderSizes
foldersizes.com
Comment savoir ce qui accapare tout l'espace sur l'ordinateur de votre client ? Vous pouvez mettre en place un moniteur d'espace disque pour savoir quand l'ordinateur approche sa capacité maximale, mais déterminer comment nettoyer le disque pour regagner une belle quantité d'espace libre peut parfois s'avérer tâche ardue. FolderSizes de Key Metric Software est un utilitaire qui vous permet d'identifier ce qui occupe de l'espace disque.
Lorsque vous lancez cette application pour la première fois, elle vous offre une présentation rapide de son interface utilisateur pour vous aider à démarrer (bien que l'application soit très simple à utiliser). Pour analyser un lecteur ou un dossier, double-cliquez simplement dessus dans le volet hiérarchique de l'explorateur de dossiers. Une fois que FolderSizes a analysé la cible, le programme fournit un graphique de l'utilisation du disque et une vue des dossiers vous indiquant la quantité d'espace occupé par chaque dossier parent. En un seul clic, vous pouvez en outre faire basculer l'affichage de vos dossiers entre un graphique à secteurs et un graphique en barres pour déterminer où l'espace est utilisé. Personnellement, je trouve le graphique en barres plus utile lorsqu'il s'agit de gérer de nombreux répertoires apparentés.
Un double-clic sur une barre, un secteur ou un dossier permet de descendre jusqu'au sous-dossier. Cette navigation permet d'isoler rapidement et facilement les points potentiellement problématiques, tels qu'un répertoire « masqué » de fichiers mp3 que l'utilisateur a nommé Présentations de ventes. Si l'utilisateur est une véritable fourmi qui conserve tout et n'importe quoi sur son ordinateur, vous pouvez effectuer un tri en fonction de la date de dernière modification pour voir les fichiers auxquels personne n'a accédé depuis très longtemps. Ceci permet de convaincre facilement l'utilisateur que les fichiers peuvent probablement être archivés sur un CD ou supprimés à jamais sans provoquer de problèmes.
Parmi les autres fonctionnalités pratiques de FolderSizes, j'aime particulièrement la possibilité de personnaliser le nombre de niveaux que vous voulez afficher sur le graphique. Vous pourriez par exemple afficher un graphique de chaque dossier du lecteur, tous triés du plus volumineux au plus petit, pour isoler les points posant problème. Une fois que vous trouvez un emplacement problématique, vous pouvez cliquer dessus avec le bouton droit pour accéder aux actions d'affichage de l'invite de commande à partir du point courant et d'exploration du dossier. Ceci vous permet d'exécuter d'autres utilitaires et vérifications dont vous pourriez avoir besoin.
FolderSizes inclut également un générateur de rapports intégré qui vous propose un autre jeu de vues du contenu du système de fichiers cible. Vous pouvez, par exemple, rechercher les fichiers les plus volumineux d'un type spécifique ou les plus vieux fichiers présents sur le système. Vous pouvez rechercher les fichiers temporaires ou les doublons. Vous pouvez rechercher tous les fichiers en lecture seule ou encore tous les fichiers possédant un propriétaire spécifique sur votre serveur de fichiers. Et la liste ne s'arrête pas là. Une fois que vous avez créé votre rapport, vous pouvez filtrer la vue, l'imprimer ou même l'exporter au format XML, HTML ou CSV.
Outre tout ceci, FolderSizes offre un excellent moyen de rationaliser vos sauvegardes, en vous permettant de prendre uniquement les fichiers que vous devez vraiment archiver. Vous pourriez également utiliser l'interface de ligne de commande de l'application pour écrire des scripts et automatiser les vérifications de vos systèmes clients ou serveurs. Donc, si vous recherchez une façon rapide d'isoler ce qui accapare l'espace disque sur vos ordinateurs serveurs ou clients, n'hésitez pas à essayer FolderSizes.
Prix : À partir de 50 USD (licence utilisateur unique).
FolderSizes offre une visualisation des dossiers système sous forme de graphiques
FolderSizes offre une visualisation des dossiers système sous forme de graphiques

Gestion des comptes utilisateur
Inactive Users Tracker
netwrix.com/inactive_users_tracker_freeware.html
Plus votre organisation s'agrandit, plus il est facile de perdre de vue les comptes utilisateur inactifs. Sur le plan de la sécurité, il est toujours conseillé d'avoir une procédure en place pour vous assurer que vous pouvez facilement dépister ces comptes utilisateur inactifs et les désactiver ou les supprimer, afin d'éliminer une faille de sécurité potentielle. Inactive Users Tracker, un graticiel de la société NetWrix, offre un moyen simple de le faire.
L'outil analyse périodiquement vos domaines Active Directory® à la recherche d'utilisateurs inactifs et envoie par message électronique la liste des comptes inactifs à l'adresse de messagerie administrative de votre choix. Vous pouvez spécifier le domaine que vous souhaitez administrer, ainsi que le compte possédant l'autorisation d'analyser Active Directory à la recherche de comptes inactifs. En outre, vous pouvez définir le nombre de jours pendant lesquels un compte doit être inactif pour être « marqué » comme inactif et inclus dans la notification par courrier électronique. Vous pouvez bien sûr planifier le moment de l'exécution du processus.
Cela mis à part, il vous suffit de configurer votre serveur SMTP pour qu'il relaie le message électronique de notification à l'adresse administrative et de spécifier si vous voulez que l'utilitaire filtre les comptes utilisateur inactifs à l'aide d'un filtre de nom. Les comptes des consultants peuvent par exemple commencer par « c_ ».
Il existe également une version commerciale disponible (les devis sont adaptés au client achetant le produit). Cette version vous permet de personnaliser les messages électroniques envoyés aux utilisateurs, prend en charge la désactivation des comptes utilisateur inactifs et inclut le support technique.
Prix : gratuit
Inactive Users Tracker vous communique les utilisateurs inactifs
Inactive Users Tracker vous communique les utilisateurs inactifs

Améliorez la communication par messagerie électronique
Exclaimer Mail Utilities 2007
exclaimer.com/MailUtilities2007.aspx
D'une part, dans le monde actuel toujours plus procédurier et régulé, il est très important que votre entreprise protège ses communications électroniques. D'autre part, des communications et une identification cohérentes aident votre entreprise à établir une meilleure relation entre ses membres et avec ceux avec lesquels elle communique. Exclaimer Mail Utilities 2007, conçu pour fonctionner avec les déploiements d'Exchange Server 2007, peut vous aider sur ces deux fronts.
L'application possède trois fonctionnalités de base, qui aident à unifier et à protéger les commutations de messagerie électronique de votre entreprise : les dédits de responsabilité, la personnalisation et la signature. En outre, vous avez la possibilité d'ajouter des modules qui peuvent aider à combattre le spam et les virus.
Pour les dédits de responsabilité, Exclaimer Mail Utilities vous aide à réduire votre exposition aux litiges et augmente votre conformité aux réglementations, tels que la loi HIPAA (Health Insurance Portability and Accountability Act) et la Circular 230, en ajoutant un message personnalisé (affiché après ou avant le texte du message électronique) à chaque message sortant de votre organisation. En ce qui concerne la personnalisation, vous pouvez facilement ajouter une image et une balise de marque à chaque message que vous envoyez pour vous assurer que les communications avec votre clientèle possèdent un aspect cohérent. Quant aux signatures, vous pouvez vous assurer qu'une signature automatique est appliquée à chaque message, qu'il soit envoyé depuis un périphérique Smart Device, Microsoft® Outlook® Web Access ou un client Outlook standard. La signature est créée dynamiquement à partir de données que vous stockez probablement déjà dans votre arborescence Active Directory. Vous pouvez également configurer l'outil pour personnaliser les signatures en fonction de plusieurs facteurs, notamment si le message électronique est envoyé à une personne en interne ou en externe, l'identité de l'expéditeur et l'objet du message.
Le tarif d'Exclaimer Mail Utilities 2007 est fonction du nombre d'utilisateurs et commence à 245 USD pour 25 utilisateurs, avec des remises à mesure que le nombre d'utilisateurs augmente. De plus, le module anti-spam, le module antivirus et le support technique s'ajoutent également au tarif de base. Le support est obligatoire pendant la première année, à partir de 55 USD pour 25 utilisateurs. Pour des raisons de performances, un ordinateur exécutant Windows Server® 2003 64 bits ou Windows Server 2008 est nécessaire pour exécuter Mail Utilities. Si cela vous intéresse, mais que vous utilisez toujours Exchange Server 2003, une autre version est disponible.
Prix : À partir de 245 USD pour 25 utilisateurs.

Critique
How to Cheat at Securing SQL Server 2005
syngress.com
En tant que professionnels de l'informatique, nous savons tous que la sécurité devrait constituer l'une des préoccupations principales lors de l'implémentation de nos infrastructures. Pensez seulement à la façon dont les environnements sont interconnectés et à la quantité d'informations sensibles conservées sur vos systèmes. Ceci est particulièrement vrai pour vos instances de SQL Server®, car elles ont tendance à être des sources centralisées d'informations sensibles. En outre, les réglementations maintenant en place pour assurer la protection de la vie privée des individus, telles que les lois Sarbanes-Oxley et HIPAA, pourraient vous causer bien des tracas juridiques comme financiers si quelque chose se produisait et que ces données étaient compromises.
Lors de la conception de la sécurité de vos instances de SQL Server 2005, vous voudrez peut-être jeter un œil à How to Cheat at Securing SQL Server 2005. Le titre est un peu trompeur car le livre ne fournit pas de « tricheries » mais offre plutôt une référence détaillée pour un verrouillage approprié de vos déploiements SQL Server 2005. La stratégie suit le principe fondamental de « moindre accès », selon lequel vous autorisez uniquement ce dont vous avez besoin pour répondre à vos besoins commerciaux et désactivez le reste.
Après l'introduction, le livre commence par l'exploration de la réduction de la surface d'exposition de votre instance de SQL Server 2005 à l'aide de l'outil de configuration de la surface d'exposition. Vous obtenez des informations utiles, telles que les services par défaut avec leur option de démarrage par défaut (manuel, automatique ou désactivé) lorsque vous installez SQL Server 2005. Dans le chapitre suivant, vous découvrez les rôles de SQL Server et comment ceux-ci peuvent simplifier considérablement les tâches d'administration. Le livre vous montre par exemple comment lier un rôle à un groupe Windows®. Ainsi, si vous ajoutez un nouvel utilisateur au groupe, celui-ci se voit automatiquement accorder l'accès aux ressources disponibles pour ce rôle.
Le chapitre sur l'authentification et l'accès granulaire aborde les ouvertures de session Windows et SQL Server et les avantages et inconvénients de chacune. Il explore également les meilleures pratiques de Microsoft concernant l'authentification. Le livre passe ensuite à l'autorisation, couvrant les options qui vous sont offertes pour ajuster ce que vos utilisateurs pourront faire avec cette instance (ou, en termes de bases de données, les autorisations des entités relatives aux objets sécurisables). Vous découvrirez des choses telles que la connexion administrateur dédiée (DAC), qui fournit une connexion locale, réservée à l'administrateur et qui vous permet de déterminer l'instance responsable lorsqu'une requête ou un processus utilise toutes les ressources, provoquant une absence de réponse du serveur. Il s'agit d'une fonctionnalité pratique qui faisait défaut avant SQL Server 2005.
Dans SQL Server 2005, les schémas et les utilisateurs sont séparés dans des entités distinctes. L'ouvrage comporte également un chapitre sur la définition, la mise à jour et la suppression de schémas via T-SQL et SQL Server Management Studio. Dans cette section, vous trouverez également certains conseils astucieux, comme apprendre à ne pas utiliser la procédure stockée sp_adduser pour créer de nouveaux utilisateurs dans SQL Server 2005 à moins que vous ne vouliez créer un nouveau schéma. Utilisez plutôt l'instruction CREATE USER T-SQL pour créer l'utilisateur et seulement l'utilisateur.
Les mots de passe représentent, bien entendu, une autre partie importante de la sécurisation de votre installation, et le chapitre suivant aborde longuement les stratégies de mot de passe pour vous aider à obtenir un niveau uniforme de sécurité sur tous les comptes. L'auteur explore différents scénarios d'implémentation pour vous guider dans votre choix de la meilleure stratégie et du meilleur type de stratégie pour votre environnement. Vous passerez ensuite aux déclencheurs DDL (Data Definition Language) et à la façon dont ils peuvent contribuer à assurer la protection contre les modifications structurales accidentelles et à fournir des analyses rétrospectives des modifications des ouvertures de session sur les serveurs.
Dans le chapitre suivant, vous découvrirez les nombreuses façons dont SQL Server 2005 peut chiffrer vos données et vos schémas pour protéger les informations sensibles. Pour terminer, le livre offre une présentation de SQL Reporting Services, SQL Analysis Services et SQL Server Integration Services (SSIS), y compris des méthodes recommandées pour la sécurité. Les deux annexes sont également très utiles et fournissent un aperçu détaillé de la manière de sécuriser et d'implémenter la stratégie de groupe et Active Directory en liaison avec SQL Server 2005.
J'ai trouvé deux éléments utilisés tout au long du livre particulièrement utiles. Premièrement, chaque chapitre comporte une section de raccourci rapide vers les solutions, qui vous donne un récapitulatif point par point des fonctionnalités, des faits et des meilleures pratiques pour les éléments couverts dans le chapitre. La seconde est une section « Questions fréquentes » qui fournit des réponses rapides aux questions sur l'administration de votre instance de SQL Server 2005. Si vous recherchez une façon rapide de vous former à l'administration de SQL Server 2005 du point de vue de la sécurité, il peut être intéressant d'ajouter How to Cheat at Securing SQL Server 2005 à votre bibliothèque de référence.
Prix : 19,98 USD pour la version électronique, 49,95 USD pour la version papier

Capture d'écran puissante
ScreenHunter 5 Pro
wisdom-soft.com/products/screenhunter_pro.htm
Les captures d'écran constituent un excellent moyen de documenter les instructions détaillées pour l'utilisateur, illustrer les messages d'erreur qui se produisent dans les applications ou créer rapidement une présentation de fonctionnalités. Bien entendu, Windows possède sa propre fonctionnalité de capture d'écran intégrée (ImprÉcr pour capture d'écran complet, Alt-ImprÉcr pour la fenêtre active uniquement). Cependant, les fonctionnalités intégrées au système d'exploitation sont limitées. Si vous souhaitez obtenir un contrôle plus granulaire de ce qui est capturé et du moment de la capture, ou si vous voulez effectuer une capture d'écran de la lecture d'un film, vous devrez évaluer les nombreux utilitaires de capture d'écran de sociétés tierces disponibles pouvant vous aider à le faire. ScreenHunter Pro de Wisdom Software est l'un de ces logiciels. Cet utilitaire bon marché possède plusieurs fonctionnalités utiles qui vous permettent d'adapter vos captures d'écran pour répondre à vos besoins particuliers.
L'interface utilisateur est simple. Vous choisissez simplement l'emplacement dont votre capture d'écran doit provenir et l'emplacement dans lequel elle doit être placée, avec des onglets justement nommés From et To. En termes d'éléments pouvant être capturés, l'application vous permet de capturer une zone rectangulaire ajustable ou fixe, un objet ou une fenêtre spécifiques, la fenêtre active, une portion spécifique de la fenêtre active, l'écran entier, une source DirectX® ou d'économiseur d'écran, la lecture d'un film, ou une forme plus complexe (une zone à main levée, elliptique ou polygonale que vous définissez). Vous pouvez également capturer plusieurs objets fenêtre ou boîtes de dialogue simultanément (ce qui est idéal pour capturer uniquement l'application active avec ses boîtes de dialogue ou d'autres interfaces à base de fenêtres). Vous pouvez ensuite décharger la capture d'écran dans le presse-papiers, une visionneuse ou un éditeur spécifiques, une imprimante ou un fichier. Vous pouvez même choisir de l'envoyer à une adresse de messagerie.
Les images capturées peuvent être enregistrées en tant que fichiers BMP, PNG, JPEG ou TIFF de diverses qualités d'image. De plus, vous pouvez faire en sorte que l'application effectue une mise à l'échelle automatique à une taille spécifique, ajoute une bordure ou ajoute un filigrane à la capture, réduisant ainsi la quantité de travail de post-production nécessaire pour l'image. Vous pouvez même configurer l'application pour qu'elle capture automatiquement l'écran à un intervalle spécifié, afin d'enregistrer les activités de l'ordinateur.
La prise en charge de la fonction de défilement est également une fonctionnalité pratique de ScreenHunter Pro permettant de capturer, par exemple, une longue page Web dont la partie affichable s'étend au-delà de la zone affichable de votre écran. Comme de nombreux professionnels de l'informatique, je possède plusieurs écrans et j'apprécie par conséquent la prise en charge de la capture multimoniteur, qui permet de capturer toutes les informations sur vos écrans en une seule capture.
Cet utilitaire inclut même un éditeur d'images intégré, qui vous permet de personnaliser vos images dans le contexte même de l'application. Si vous n'avez pas besoin de certaines fonctionnalités plus avancées, l'envoi automatique de messages électroniques, la capture planifiée, les filigranes et les captures multimoniteurs, la version ScreenHunter Plus, légèrement moins onéreuse, peut s'avérer intéressante. Une version beaucoup plus simple est également disponible gratuitement.
Prix : 29,95 USD pour ScreenHunter Pro
ScreenHunter Pro vous permet de spécifier ce qui doit être capturé et le moment de la capture
ScreenHunter Pro vous permet de spécifier ce qui doit être capturé et le moment de la capture


 Questions et r&#233;ponses sur la file d'attente Exchange: D&#233;ploiement d'Exchange&#160;2007&#160;SP1
Questions et réponses sur la file d'attente Exchange
Déploiement d'Exchange 2007 SP1
Nino Bilic

Q : Je me demande si Exchange Server 2007 SP1 est uniquement disponible en version 64 bits ? S'il est également disponible en version 32 bits, cette version est-elle prise en charge dans un environnement de production ?
R : À cet égard, il n'existe pas de différence entre les versions d'origine (RTM) et SP1 d'Exchange 2007. La version SP1 est disponible en version 32 comme 64 bits. Cependant, il est important de garder présent à l'esprit que, comme avec la version RTM, seule la version 64 bits est prise en charge pour les rôles de serveur installés dans un environnement de production. Vous pouvez cependant utiliser la version 32 bits SP1 afin d'exécuter divers commutateurs d'installation /prepare et de gérer vos serveurs 64 bits, tout comme avec la version RTM.

Q : Dois-je d'abord terminer l'installation complète de la version Exchange 2007 RTM et appliquer ensuite SP1 pour accéder au serveur SP1 ?
R : Il s'agit là d'une caractéristique d'Exchange 2007 SP1 tout à fait différente par rapport aux Services Packs pour les versions précédentes d'Exchange. Lorsque vous obtenez les éléments SP1, vous obtenez essentiellement les éléments de la version RTM avec SP1 inclus dedans, ce qui signifie que vous ne devez pas utiliser le DVD de la version RTM pour les nouvelles installations d'Exchange 2007 SP1.
Par conséquent, pour installer les nouveaux serveurs Exchange 2007 SP1, vous avez uniquement besoin des éléments SP1. Même si vous joignez par exemple le premier serveur Exchange 2007 à une organisation Exchange Server 2003, vous pourrez démarrer directement avec SP1.
Q : J'ai un serveur exécutant Exchange 2007 RTM sur Windows Server® 2003 et j'installe maintenant Exchange 2007 SP1 sur l'ordinateur. Comme Microsoft déclare qu'Exchange 2007 SP1 est pris en charge sur Windows Server 2008, je prévois d'effectuer ultérieurement une mise à niveau sur place vers Windows Server 2008. Que pensez-vous de ce plan ?
R : Il s'agit malheureusement d'une mauvaise idée. La mise à niveau sur place de Windows Server 2003 vers Windows Server 2008 avec Exchange 2007 RTM ou SP1 installé n'est pas prise en charge. Il existe de nombreuses raisons techniques à cela et vous devez comprendre que votre installation d'Exchange ne fonctionnera plus si une telle mise à niveau sur place est effectuée.
Pour plus d'informations, lisez l'article « Mission Impossible: In-Place Upgrading Microsoft® Exchange Server 2007 from Windows Server 2003 to Windows Server 2008 » à l'adresse msexchangeteam.com/archive/2007/10/04/447188.aspx.

Q : Je n'ai jamais entré l'ID de produit de quelques-uns de mes serveurs de laboratoire. Pour cette raison, lorsque je lance la console de gestion Exchange, une boîte de dialogue contextuelle d'avertissement s'affiche et indique qu'il me reste 0 jour. Pourrai-je effectuer la mise à niveau vers Exchange 2007 SP1 sans entrer des clés de produit pour ces serveurs ?
R : Oui. L'installation d'Exchange 2007 SP1 (voir la capture d'écran) ne peut pas vérifier la durée de la période d'essai d'un serveur déjà installé. Il n'y a pas de blocage de mise à niveau en place pour ce scénario.

Q : J'ai déjà installé Exchange 2007 SP1 sur mon serveur de boîtes aux lettres. J'aimerais maintenant ajouter le rôle serveur d'accès au client à ce serveur. Dois-je utiliser Exchange 2007 RTM ou les nouveaux éléments Exchange 2007 SP1 ?
R : Vous devez utiliser Exchange 2007 SP1 pour installer des rôles de serveur supplémentaires une fois qu'Exchange 2007 SP1 a été appliqué. Comme indiqué précédemment, Exchange 2007 SP1 est un produit complet qui contient tous les fichiers requis pour exécuter Exchange 2007 et vous n'aurez pas besoin d'Exchange 2007 RTM une fois que SP1 aura été installé avec succès.
Bien entendu, si vous avez plusieurs rôles de serveur sur le serveur dont vous effectuez la mise à niveau vers Exchange 2007 SP1, l'application de SP1 effectuera automatiquement la mise à niveau de tous les rôles installés. Vous ne pouvez pas appliquer SP1 à certains rôles uniquement sur un même serveur physique.

Q : Mon organisation Exchange comporte plusieurs serveurs Exchange 2007 et les rôles de serveur sont répartis sur plusieurs d'entre eux. Quels rôles de serveur devrais-je mettre à niveau en premier ?
R : Avant de faire quoi que ce soit, vous devez télécharger et lire les notes de publication d'Exchange 2007 SP1 (go.microsoft.com/fwlink/?LinkId=112364), car elles contiennent des informations importantes sur l'application de SP1 à une installation existante.
Pour répondre directement à votre question, cependant, voici un extrait des notes de publication de SP1 qui répond précisément à cette question :

« Il est recommandé de procéder à la mise à niveau des serveurs exécutant le rôle serveur de boîtes aux lettres après la mise à niveau des serveurs exécutant les rôles serveur d'accès au client, de messagerie unifiée, de transport Hub ou de transport Edge. Procéder à la mise à niveau des serveurs dans cet ordre permet d'éviter des interruptions de service potentielles. (La mise à niveau des rôles dans cet ordre permet de s'assurer que les serveurs qui fournissent les fonctionnalités des boîtes aux lettres peuvent communiquer avec le serveur de boîte aux lettres sans interruption, plutôt que de rencontrer des problèmes en essayant de communiquer avec un serveur principal aux fonctionnalités plus étendues.) Il est recommandé de mettre à niveau les serveurs d'accès au client résidant dans des sites Internet avant de mettre à niveau les serveurs d'accès au client résidant dans des sites sans connectivité Internet.
Si vous exécutez le rôle serveur de transport Edge dans votre organisation Exchange et avez créé un abonnement Edge, tous les serveurs de transport impliqués dans le processus EdgeSync doivent exécuter la même version d'Exchange 2007. Vous devez mettre à niveau les serveurs de transport Edge abonnés et les serveurs de transport Hub dans le site Active Directory® auquel les serveurs de transport Edge sont abonnés au cours des 15 jours suivant la première mise à niveau vers Exchange 2007 SP1 d'un serveur de transport impliqué dans le processus d'abonnement Edge. »

Q : Forefront SecurityTM for Exchange Server est installé sur mon serveur Exchange 2007 RTM. Dois-je faire quelque chose de particulier avant de procéder à la mise à niveau vers Exchange 2007 SP1 ?
R : La version RTM de Forefront Security for Exchange Server est incompatible avec Exchange 2007 SP1. Vous devez supprimer Forefront Security for Exchange Server ou le mettre à niveau vers une version ultérieure avant de pouvoir effectuer la mise à niveau. Les notes de publication de SP1 peuvent vous fournir plus de détails.
À propos, l'installation d'Exchange 2007 SP1 comporte une nouvelle vérification de condition préalable qui vous avertira de ceci si vous êtes dans cette situation et que vous tentez d'effectuer la mise à niveau.

Q : J'ai Exchange 2007 RTM avec le correctif cumulatif post-RTM installé. Dois-je désinstaller le correctif cumulatif avant d'appliquer Exchange 2007 SP1 ?
R : Vous n'avez pas à supprimer manuellement les correctifs cumulatifs avant d'installer Exchange 2007 SP1. L'installation d'Exchange 2007 SP1 prendra en charge la suppression de toute mise à jour qui pourrait devoir être supprimée avant que SP1 soit appliqué à l'ordinateur. 

Nino Bilic est responsable de programme de prise en charge pour Exchange Server. Il est en train de devenir follement riche en explorant la galaxie et en combattant les méchants dans Mass Effect.


 Coup de projecteur sur les utilitaires: Planification des capacit&#233;s SharePoint
Coup de projecteur sur les utilitaires
Planification des capacités SharePoint
Peter Skjøtt Larsen and Satish Mathew

La planification d'une installation de WSS (Microsoft® Windows® SharePoint® Services) et MOSS (Microsoft Office SharePoint Server) de grande envergure peut être une opération complexe. De nombreux facteurs entrent en jeu lorsqu'il s'agit de déterminer la topologie, le matériel et la bande passante les plus appropriés. En outre, il existe une multitude d'options de configuration à prendre en compte, en fonction de la façon dont sera utilisé le système. Les administrateurs et les responsables de la planification ne disposent souvent que de quelques règles de base pour les aider à dimensionner un système.
Fort heureusement, Microsoft a publié la deuxième génération de SCCP (Microsoft System Center Capacity Planner) 2007, un outil polyvalent qui combine un modèle de diverses applications à un simulateur capable d'évaluer le comportement de ces applications dans un déploiement particulier. Cette version introduit le nouvel outil de planification des capacités SharePoint qui ajoute deux autres modèles pour WSS 3.0 et MOSS 2007 à ce moteur.
L'outil de planification des capacités SharePoint et SCCP 2007 sont disponibles gratuitement au centre de téléchargement Microsoft à l'adresse microsoft.com/systemcenter/sccp/default.mspx.
L'outil de planification des capacités SharePoint évalue les besoins de votre organisation en compilant vos réponses aux questions concernant les conditions d'utilisation et de fonctionnement prévues. Pour créer une conception préliminaire, un Assistant vous invite à fournir des informations sur votre structure et les besoins SharePoint que vous prévoyez, notamment le nombre et le type d'utilisateurs (authentifiés ou anonymes), les paramètres réseau, la configuration matérielle, les modèles d'utilisation (publication ou collaboration, par exemple), les besoins en matière de stockage et les besoins en matière d'indexation et d'interrogation.
Résultats d'une simulation dans l'outil de planification des capacités SharePoint
Résultats d'une simulation dans l'outil de planification des capacités SharePoint
L'outil crée ensuite une topologie de base recommandée en utilisant des noms propres à votre installation. Vous exécutez des simulations de charge et d'utilisation sur la topologie suggérée pour voir comment l'installation proposée fonctionnerait dans diverses conditions.
Vous pouvez modifier la topologie initiale avec un éditeur de modèle, après quoi vous pouvez exécuter des scénarios hypothétiques simulant l'impact de la croissance de l'utilisation, de l'expansion des succursales de l'entreprise, de l'ajout de matériel supplémentaire et de l'accroissement de la bande passante. Comme l'illustre la capture d'écran, la simulation génère des rapports sur les charges de serveur estimées et l'expérience des utilisateurs qui vous permettent de commencer à optimiser la configuration en fonction de paramètres tels que le coût, les performances et le matériel disponible. Vous pouvez exporter un rapport détaillé ou résumé vers une feuille de calcul Excel® et le diagramme de la topologie vers un fichier Visio®.
L'outil de planification des capacités SharePoint facilite les nouveaux déploiements en vous permettant de tester toute une variété de conditions pour arriver à une configuration de démarrage raisonnable. Dans la mesure où il vous permet également de modéliser une topologie existante et d'exécuter divers scénarios de simulation, cet outil est très utile pour évaluer les modifications qui peuvent être apportées aux déploiements existants.

Peter Skjøtt Larsen est responsable de produit senior au sein de l'équipe Microsoft Solution Accelerator. Il est à Microsoft depuis quatre ans et travaille sur la migration UNIX ainsi que sur les communications et la collaboration.
Satish Mathew est responsable de programme au sein de l'équipe Microsoft Solution Accelerator. Il est à Microsoft depuis presque cinq ans, et a d'abord travaillé avec l'équipe Windows PowerShell avant d'intégrer son équipe actuelle.


 Au cœur de SharePoint: Cr&#233;ation de votre infrastructure SharePoint
Au cœur de SharePoint
Création de votre infrastructure SharePoint
Pav Cherny
Télécharger le code de cet article: SharePoint2008_05.exe (412KB)

Tout comme la messagerie électronique a transformé la communication d'entreprise, la collaboration Web modifie la façon dont les gens collaborent et partagent des informations. À titre d'exemple, regardez ce qu'offre la technologie SharePoint. Avec Microsoft Windows SharePoint Service (WSS) 3.0 et Microsoft Office SharePoint Server
(MOSS) 2007, vous pouvez créer des sites d'équipe, des portails, des solutions de gestion de contenu Web, des bibliothèques de documents et des centres de recherche, sans oublier l'intégration du système Microsoft® Office 2007, les formulaires basés sur XML, les flux de travail, la prise en charge de la mobilité, et ainsi de suite.
Cependant, il n'est pas toujours facile de démarrer avec SharePoint®. La terminologie peut prêter à confusion. L'architecture système peut être complexe et SharePoint nécessite que vous gériez des composants multiples, notamment IIS, Microsoft .NET Framework, SQL Server® et éventuellement d'autres technologies, telles que Business Intelligence, InfoPath® Forms Services, Rights Management Services (RMS), Exchange Server et ForefrontTM Security.
Vous pouvez vous perdre rapidement avec les intégrations et les personnalisations étant donné les nombreuses approches que vous pouvez prendre pour créer des solutions SharePoint, que ce soit par l'intermédiaire de l'interface utilisateur intégrée ou par programmation. De plus, lorsqu'une application SharePoint ne fonctionne pas, le dépannage peut être compliqué. Souvent, il faut penser comme un développeur d'applications pour comprendre les composants impliqués et la façon dont ils interagissent. Avec tous ces défis, par où commencer lorsque l'on souhaite créer une infrastructure SharePoint robuste, évolutive et facile à gérer ?
Dans cet article, je vous montrerai comment démarrer en commençant par créer une fondation avec une discussion sur une architecture de haut niveau, puis en plongeant dans le déploiement de WSS, avec notamment des personnalisations de base. À l'aide de la fonctionnalité Gestion de sites libre-service de WSS 3.0, vous verrez comment déléguer des permissions pour la création et la gestion de sites SharePoint à des utilisateurs individuels tout en conservant un contrôle administratif centralisé sur l'infrastructure SharePoint.
En commençant par observer l'architecture SharePoint, il devient plus facile de comprendre les étapes de déploiement et de configuration nécessaires pour implémenter une infrastructure flexible et évolutive. Jetons donc un œil aux dépendances, puis passons au déploiement de WSS 3.0. Pour obtenir des instructions de déploiement détaillées, reportez-vous aux documents d'accompagnement. Vous trouverez ces documents dans la section de téléchargements du site Web TechNet Magazine à l'adresse technetmagazine.com.

Architecture SharePoint
Il est conseillé d'envisager la technologie SharePoint du point de vue d'un architecte système. Vous n'avez pas à savoir les moindres détails, mais si vous connaissez les dépendances globales qui résultent de l'architecture SharePoint, vous arriverez à des solutions plus vite parce que vous pourrez prévoir ce que vous aurez besoin de configurer et pour quelles raisons.
SharePoint est une technologie qui fournit des services à des applications et des sites Web. C'est une solution de site Web basée sur IIS, s'intégrant à IIS par ASP.NET et utilisant un serveur principal de bases de données SQL Server pour enregistrer des données de configuration et du contenu. En bref, SharePoint combine essentiellement trois architectures différentes (IIS, .NET et SQL Server), comme illustré à la figure 1.
Figure 1 Architecture WSS 3.0 basée sur IIS 6.0 et ASP.NET 3.0
Figure 1 Architecture WSS 3.0 basée sur IIS 6.0 et ASP.NET 3.0
Ne vous laissez pas intimider par le diagramme. L'architecture peut paraître insurmontable au premier abord, si l'on considère le nombre de composants. Mais tous ces composants s'intègrent dans une structure logique qui, lorsqu'elle est examinée de façon systématique, permet de mieux voir les dépendances des composants.
Comme mentionné, SharePoint compte sur IIS et ASP.NET pour gérer les requêtes et les réponses HTTP. Les composants IIS standard, tels que le pilote en mode noyau HTTP (http.sys) et le Processus de travail (w3wp.exe), exécutent la mise en file d'attente et le routage initiaux des requêtes jusqu'à ce qu'elles arrivent au filtre ISAPI ASP.NET (aspnet_isapi.dll). Lorsque vous installez .NET Framework, la routine d'installation inscrit aspnet_isapi.dll dans la métabase IIS (C:\Windows\System32\Inetsrv\metabase.xml), comme ceci :
InProcessIsapiApps="C:\WINDOWS\system32\inetsrv\httpext.dll
C:\WINDOWS\system32\inetsrv\httpodbc.dll
C:\WINDOWS\system32\inetsrv\ssinc.dll
C:\WINDOWS\system32\msw3prt.dll
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_isapi.dll"
Une fois qu'IIS charge le filtre ISAPI ASP.NET, toutes les requêtes entrantes pour un site Web peuvent être transférées à ASP.NET. C'est important car SharePoint doit recevoir au final ces requêtes par ASP.NET. Pour accomplir ceci, SharePoint étend la configuration du site Web sélectionné en ajoutant un mappage d'applications génériques qui achemine toutes les requêtes entrantes, quelle que soit l'extension du fichier, vers le filtre ISAPI ASP.NET.
Vous pouvez voir ceci dans le Gestionnaire IIS une fois que vous avez installé WSS 3 à l'aide de l'option d'installation de base. La routine d'installation de WSS désactive le site Web IIS par défaut sur le serveur et crée un nouveau site Web par défaut sur le port 80 pour lequel le mappage d'applications génériques ASP.NET est défini, comme illustré à la figure 2.
Figure 2 Mappage d'applications génériques pour filtre ISAPI ASP.NET
Figure 2 Mappage d'applications génériques pour filtre ISAPI ASP.NET
Pour qu'ASP.NET transfère des requêtes vers SharePoint, SharePoint doit également étendre la chaîne de requête HTTP par l'intermédiaire d'un objet HttpApplication personnalisé, implémenté au moyen d'une classe appelée SPHttpApplication dans l'assembly Microsoft.SharePoint. SharePoint définit cet objet d'application personnalisée dans le fichier d'application ASP.NET (global.asax), que vous pouvez trouver dans le système de fichiers du dossier racine des sites Web étendus SharePoint. Le code suivant répertorie le contenu d'un tel fichier global.asax :
<%@ Assembly Name="Microsoft.SharePoint"%>
<%@ Application Language="C#" Inherits="Microsoft.SharePoint.ApplicationRuntime.SPHttpApplication" %>
ASP.NET analyse de façon dynamique et compile ce fichier pour instancier l'objet d'application SharePoint.
Pour chaque requête reçue, ASP.NET déclenche une série d'événements que l'application Web peut traiter, tels que BeginRequest, AuthenticateRequest, ProcessRequest et EndRequest. Les détails de traitement d'événements n'entrent pas dans le déploiement et la gestion de SharePoint, pourtant il est important de savoir que, en plus de SPHttpApplication spécifiée dans global.asax, SharePoint implémente des gestionnaires HTTP personnalisés et des modules définis dans le fichier web.config pour le site. Ainsi, SharePoint utilise un module HTTP basé sur la classe SPRequestModule, enregistré comme le premier module HTTP avant les modules ASP.NET standard. SPRequestModule initialise l'environnement d'exécution SharePoint, en enregistrant par exemple un composant SPVirtualPathProvider avec ASP.NET. SPRequestModule est destiné à une utilisation SharePoint interne, mais les développeurs de solutions SharePoint peuvent modifier le fichier web.config pour inscrire d'autres composants, tels que les gestionnaires et les modules HTTP. Avec à la fois des modules HTTP personnalisés et standard, SharePoint utilise ASP.NET, tout en conservant un contrôle serré sur toutes les requêtes adressées aux applications SharePoint.
Notez que lorsque vous créez une application Web à l'aide du site d'administration centrale SharePoint 3.0, WSS ajoute le mappage d'applications génériques ASP.NET au site Web IIS sélectionné et crée les fichiers global.asax et web.config dans le dossier racine du site Web. Chaque application Web utilise son propre groupe de fichiers global.asax et web.config de niveau supérieur.
Pour traiter des requêtes et renvoyer des informations significatives aux navigateurs, WSS 3.0 et MOSS 2007 comptent sur l'analyseur de pages ASP.NET standard, qui compile les pages ASP.NET demandées ou les traite dans aucun mode de compilation. Mais les pages ASP.NET que SharePoint transfère à l'analyseur ASP.NET ne se trouvent pas nécessairement où elles semblent être. Par exemple, vous ne pourrez pas trouver un fichier default.aspx dans le dossier racine d'un site Web étendu SharePoint, tel que le site d'administration centrale de SharePoint 3.0. Toutefois, vous ouvrez default.aspx lorsque vous affichez la page d'accueil de ce site Web. C'est le composant SPVirtualPathProvider qui virtualise l'environnement en chargeant le contenu de la page depuis le système de fichiers local ou une base de données de contenus SQL Server et en le transférant sous la forme d'un fichier virtuel à l'analyseur de page ASP.NET. Pour le site d'administration centrale, SharePoint charge le fichier default.aspx depuis le dossier C:\Program Files\lCommon Files\Microsoft Shared\Web Server Extensions\12\TEMPLATE\SiteTemplates\CentralAdmin.
La page d'accueil, comme la plupart des autres pages du site SharePoint, est reliée à une Page maître ASP.NET (default.master) qui implémente une disposition commune pour les menus et les commandes de navigation. Default.master se trouve dans le dossier C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\12\Template\Global et inclut des espaces réservés nommés pour d'autres pages de contenus qui peuvent également se trouver dans le système de fichiers local ou dans une base de données de contenus SQL Server. Le point à retenir est le fait que lorsque vous ouvrez un site SharePoint dans un navigateur Web, vous affichez en fait des informations d'une collection de pages de contenus qui ne se trouvent pas forcément sur le serveur Web local et qui sont arrangées selon une disposition définie dans une page maître.
En règle générale, les pages sans altération (ou pages non personnalisées dans la terminologie SharePoint) existent sous la forme de modèles de pages sur le système de fichiers local de chaque serveur SharePoint et les pages personnalisées sont écrites dans la base de données de contenus de sorte que tous les serveurs de SharePoint dans une batterie de serveurs Web ont accès à la même série de pages (voir figure 3). On suppose que les pages non personnalisées sont identiques sur tous les serveurs et sites de la batterie de serveurs Web. Cependant, si vous personnalisez une page de contenu ou une page maître dans un site SharePoint, peut-être en utilisant Office SharePoint Designer 2007, SharePoint enregistre automatiquement la page personnalisée dans la base de données de contenus.
Figure 3 Pages ASP.NET personnalisées et non personnalisées dans une application SharePoint
Figure 3 Pages ASP.NET personnalisées et non personnalisées dans une application SharePoint
En plus des pages personnalisées et d'autres contenus de sites Web, SharePoint enregistre également des données de configuration dans une base de données SQL Server. SharePoint garde les données de configuration dans un endroit distinct du contenu parce que les données de configuration sont globales de nature tandis que le contenu est spécifique à chaque ensemble d'applications et de sites Web individuel. En conséquence, un groupe de serveurs Web peut avoir une seule base de données de configuration mais plusieurs bases de données de contenus.
Tous les serveurs WSS du groupe de serveurs Web utilisent la même base de données de configuration pour partager les métadonnées, les paramètres de configuration et les informations sur chaque site Web IIS ayant été étendu via SharePoint dans le groupe de serveurs Web. Les applications Web individuelles, de leur côté, peuvent être associées à une ou plusieurs bases de données de contenus (bien que chaque base de données de contenu ne puisse être associée qu'à une seule application Web).
La relation entre les sites Web IIS, les applications Web, les collections de sites, les sites et les bases de données de contenus peut être déroutante. Dans la terminologie SharePoint, le terme application Web se rapporte à un site Web IIS étendu SharePoint. Une application Web peut inclure plusieurs collections de sites et chaque collection de sites peut inclure un site de niveau supérieur et des sites de niveau inférieur qui partagent les mêmes paramètres de configuration.
Entre autres choses, la création de plusieurs collections de sites vous permet de déléguer l'administration de la collection de sites à des utilisateurs et groupes différents. Une seule collection de sites ne peut pas couvrir plusieurs bases de données de contenus, mais une application Web peut utiliser plusieurs bases de données de contenus pour plusieurs collections de sites afin d'augmenter l'évolutivité et de mitiger l'impact de performance d'un gros site qui génère une quantité significative d'activité de base de données sur d'autres sites SharePoint. Cependant, il est déconseillé de placer chaque site SharePoint dans sa propre collection de sites parce que cette forme de déploiement restreint les fonctionnalités intersites.
WSS 3.0 ne prend pas en charge les recherches de contenus sur plusieurs ensembles de sites. De telles recherches nécessitent MOSS 2007 ou Microsoft Search Server 2008. Vous pouvez par exemple créer une application Web et un site de niveau supérieur pour http://contoso et un administrateur de collection de sites peut ensuite créer des sites de niveau inférieur en utilisant l'interface utilisateur SharePoint, avec par exemple http://contoso/info et http://contoso/events. Tous ces sites existent dans la même base de données de contenus parce qu'ils appartiennent au même ensemble de sites.
En tant qu'administrateur de batterie, vous pouvez également utiliser un chemin géré, tel que /sites, puis définir d'autres collections de sites, telles que http://contoso/sites/IT et http://contoso/sites/HR, dans l'administration centrale de SharePoint 3.0. Ces trois collections de sites (http://contoso, http://contoso/sites/IT et http://contoso/sites/HR) peuvent avoir des administrateurs de collection de sites, paramètres de configuration et bases de données de contenus différents, mais on y accède par le même site Web IIS (http://contoso) et ils utilisent la même identité de pool d'applications de l'application Web.
Bien entendu, il y a beaucoup d'autres détails, mais cette relation entre IIS, ASP.NET et SQL Server est particulièrement importante pour se familiariser avec SharePoint. Si vous souhaitez en savoir plus sur l'architecture SharePoint, je vous recommande l'article MSDN Magazine® de Ted Pattison intitulé « Découvrez les importantes améliorations de SharePoint Services 3.0 destinées aux développeurs » disponible à l'adresse http://www.microsoft.com/france/msdn/aspnet/Ameliorations-SharePoint-Services-30.mspx.

Éléments d'infrastructure SharePoint
Passons maintenant à une infrastructure SharePoint flexible. Comme vous l'avez certainement remarqué, nous avons besoin de Windows Server®, IIS, .NET Framework 3.0 (à la fois pour ASP.NET et Windows® Workflow Foundation), WSS 3.0 ou MOSS 2007 et SQL Server. Bien que vous ayez raison d'attendre avec impatience IIS 7.0 sur Windows Server 2008, nous utiliserons IIS 6.0 sur Windows Server 2003 dans cet exemple car à l'heure où j'écris cet article, c'est la version la plus couramment déployée. Nous garderons WSS 3.0 parce que nous n'avons pas besoin de fonctionnalités spécifiques à MOSS 2007 pour un premier pilote SharePoint.
Pour une approche minimaliste, vous pouvez installer WSS 3.0 avec tous les composants requis sur un seul ordinateur (comme décrit dans le document pdf disponible parmi les documents d'accompagnement de cet article). Ceci conviendra pour un serveur de laboratoire ou un petit environnement de groupe de travail. Cependant, si vous avez l'intention de vous concentrer sur la flexibilité de votre infrastructure SharePoint, ne démarrez pas avec un déploiement autonome dans votre environnement de production. Dans un but de disponibilité aussi bien que d'évolutivité, mieux vaut commencer avec une infrastructure sur plusieurs niveaux et ajouter de nouveaux serveurs si nécessaire.
La figure 4 montre l'infrastructure SharePoint que je recommande si vous cherchez une configuration système simple et flexible. Elle inclut une batterie de serveurs Web de deux serveurs SharePoint et un ordinateur séparé exécutant SQL Server. Cette configuration élimine une surcharge de traitement de bases de données sur les serveurs Web, augmente la disponibilité, l'évolutivité et facilite la maintenance système. Notez que vous avez besoin d'Active Directory® parce qu'il s'agit d'une exigence logicielle de WSS 3.0 dans un déploiement de batterie de serveurs Web. Pour obtenir des instructions de déploiement détaillées, consultez le fichier pdf sur l'infrastructure SharePoint de base parmi les documents d'accompagnement.
Figure 4 Infrastructure SharePoint de base pouvant prendre en charge une augmentation future
Figure 4 Infrastructure SharePoint de base pouvant prendre en charge une augmentation future
Le compte de domaine que vous utilisez pour déployer SharePoint dans cette organisation requiert les permissions d'un administrateur local sur les serveurs Web. Il est également nécessaire d'ajouter ce compte aux rôles SQL Server dbcreator et securityadmin ainsi qu'au rôle de base de données db_owner pour la base de données principale dans SQL Server 2005, comme illustré dans le fichier pdf sur l'infrastructure SharePoint de base. Vous pouvez ensuite utiliser l'Assistant Configuration des produits et technologies SharePoint pendant l'installation de WSS 3.0 pour créer la base de données de configuration nécessaire pour la batterie de serveurs Web et une base de données de contenus pour le site de l'administration centrale de SharePoint 3.0. Autrement, un administrateur SQL Server doit configurer ces bases de données pour vous et ajouter les comptes de système WSS au rôle db_owner.
Il est important de se souvenir que le compte utilisateur que vous utilisez pour installer SharePoint n'est pas le compte que SharePoint utilise pour accéder à la base de données de configuration ou à la base de données de contenus pour le site d'administration centrale. SharePoint utilise le compte de système configuré comme l'identité du pool d'applications pour le site d'administration centrale de SharePoint 3.0.
L'Assistant Configuration des produits et technologies SharePoint vous invitera à saisir les informations de compte. Il est recommandé d'utiliser un compte d'utilisateur de domaine dévoué pour ceci, tel que CONTOSO\WssConfigAdmin. En général, j'utilise des comptes utilisateur dédiés individuels pour les applications Web supplémentaires que je crée ultérieurement. L'utilisation d'un pool d'applications distinct pour chaque application Web aide à garantir l'isolation des processus et l'utilisation d'un compte utilisateur différent pour chaque pool d'applications aide à garantir l'isolation de la sécurité. Notez cependant qu'il s'agit là simplement d'une approche possible et que la facilité de gestion et l'impact potentiel sur les performances doivent être évalués en fonction de votre propre environnement et de vos propres exigences métier.
Le compte de service de recherche est un autre compte système important qu'un administrateur de domaine doit créer pour vous. Vous pouvez utiliser le compte Administration centrale, mais pour des raisons de sécurité il vaut mieux utiliser un compte de recherche dédié, tel que CONTOSO\WssSearch, qui n'a pas d'autorisations administratives et ne peut pas modifier de contenu. L'autorisation d'écriture dans les bases de données de contenus n'est pas nécessaire parce que le service de recherche analyse uniquement les contenus à des fins d'indexation et il conserve les données de recherche dans une base de données distincte.
Lorsque vous créez une application Web dans une batterie de serveurs, vous pouvez associer cette base de données de contenus à un serveur de recherche, ce qui ajoute de façon implicite le compte du service de recherche correspondant à la stratégie de lecture complète de l'application Web. Les serveurs de recherche sont des serveurs SharePoint exécutant le service de recherche de Windows SharePoint Services. Si vous avez suivi les instructions détaillées du fichier pdf sur l'infrastructure SharePoint de base, vous avez configuré les deux serveurs Web comme des serveurs de recherche pour pouvoir distribuer la charge d'analyse et d'indexation de plusieurs bases de données de contenus. Cependant, il est également possible de configurer un serveur de recherche dédié dans une batterie de serveurs Web, exclue de l'équilibrage de la charge réseau et des connexions client afin que les connexions client ne soient pas affectées par les activités d'analyse.

Gestion de sites en libre-service
Avec une infrastructure SharePoint de base en place, nous pouvons déléguer l'administration de collections de sites et de sites à des départements et des utilisateurs individuels sans décentraliser le contrôle administratif d'Active Directory, de la batterie de serveurs Web ou des bases de données SQL Server. En tant qu'administrateur de batterie, vous collaborez avec des administrateurs Active Directory et SQL Server pour configurer des comptes de pool d'applications et des bases de données de contenus pour vos applications Web. À l'intérieur de ces applications Web, vous créez ensuite des collections de sites et désignez des administrateurs de collections de sites qui auront le droit de créer des sites de niveau inférieur. De cette façon, les administrateurs de collections au sein de départements individuels peuvent gérer leurs ressources SharePoint avec une participation minimale du service informatique, comme illustré à la figure 5.
Figure 5 Administration de site décentralisée dans une infrastructure SharePoint centralisée
Figure 5 Administration de site décentralisée dans une infrastructure SharePoint centralisée
Il est également possible de donner aux utilisateurs la possibilité de créer des collections de sites sous des chemins gérés (tel que le chemin /sites ou les autres chemins gérés avec les inclusions de caractères génériques que vous créez dans l'administration centrale de SharePoint 3.0). Si vous activez la fonctionnalité Gestion de sites libre-service dans une application Web, les utilisateurs peuvent créer leurs propres collections de sites et gérer les groupes de sites et les autorisations au sein de l'interface utilisateur SharePoint. Contrairement aux sites de niveau inférieur, les collections de sites n'héritent pas des autorisations d'un site parent.
La gestion de sites libre-service n'est pas adaptée à tous les environnements SharePoint et elle est désactivée par défaut. Si vous l'activez, vous risquez de vous retrouver avec un grand nombre de collections de sites rarement utilisées dans vos bases de données de contenu. Cependant, cette fonctionnalité démontre très clairement la flexibilité de l'administration SharePoint et je vous recommande de la tester dans votre déploiement pilote. (Par ailleurs, il y existe des options dans SharePoint pour notifier les utilisateurs et/ou les administrateurs des sites inactifs pour qu'ils puissent les supprimer si nécessaire). Vous devez activer explicitement la Gestion de sites libre-service pour une application Web, comme décrit dans le fichier pdf sur l'activation de la gestion de sites libre-service dans les documents d'accompagnement.

Personnalisation de SharePoint
Ressources SharePoint
  • TechCenter Windows SharePoint Services
  • Centre de développement Windows SharePoint Services
  • Blog de l'équipe Produits et technologies Microsoft SharePoint
  • Composants d'architecture logiques
  • Conception de batteries de serveurs et topologies

À ce stade, il est tout naturel de vouloir inclure le logo, le nom et les couleurs de l'entreprise dans l'interface utilisateur SharePoint. Soyez conscient, cependant, que vous êtes sur le point faire passer votre projet SharePoint au niveau de développeur ASP.NET. Il vous faut au minimum un système de développement, tel qu'un serveur WSS 3.0 autonome avec Microsoft Office SharePoint Designer 2007 (voir le fichier pdf sur l'installation de SharePoint Designer dans le matériel d'accompagnement) pour pouvoir créer et tester vos personnalisations sans affecter l'environnement de production. Nous vous recommandons également de visiter les Centres de développement Windows SharePoint Services à l'adresse msdn2.microsoft.com/sharepoint pour en savoir plus sur toutes les options de personnalisation dans SharePoint.
Bien que le développement de SharePoint n'entre pas dans le cadre de cet article, permettez-moi de mentionner quelques aspects que vous devez prendre en compte. SharePoint enregistre des pages personnalisées dans la base de données de contenus de la collection de sites correspondante. En d'autres termes, toutes les personnalisations que vous appliquez aux pages de sites, pages d'application, pages maîtres, feuilles de style, et ainsi de suite, dans un site SharePoint, s'appliquent uniquement à la collection de sites ou au niveau du site. C'est parfait pour les administrateurs de collections de sites individuelles qui souhaitent ajuster l'apparence de leurs sites à l'aide de SharePoint Designer 2007, mais ce n'est pas terrible pour l'administrateur de batterie qui souhaite appliquer l'identité d'entreprise sur l'ensemble des applications Web, des collections de sites et des sites d'une batterie de serveurs Web.
Vous pouvez créer des thèmes de sites personnalisés ou des définitions de sites personnalisées en fonction d'une copie d'un thème SharePoint standard ou d'une définition de site. Vous pouvez également créer des pages maîtres personnalisées et les ajouter dans la Galerie de pages maîtres. Cependant, aucune de ces options n'applique la personnalisation globale si la Gestion de sites libre-service est activée parce qu'un utilisateur autorisé à créer des collections de sites ou des sites peut toujours sélectionner un modèle de site standard qui n'affiche pas l'identité de l'entreprise.
Pour la personnalisation globale, il est nécessaire que vous remplaciez les composants SharePoint par défaut par vos composants personnalisés. Les développeurs font de gros efforts pour accomplir ceci sans modifier les fichiers originaux. Une approche consiste à modifier la configuration des répertoires virtuels dans le Gestionnaire IIS et à les orienter vers de nouveaux dossiers contenant des fichiers personnalisés. Une autre méthode consiste à implémenter un module HTTP ou un filtre ISAPI personnalisé qui réécrit les URL pour rediriger les requêtes de pages par défaut spécifiques vers des versions personnalisées.

Conclusion
Je me suis concentré sur les éléments essentiels de l'établissement d'une infrastructure SharePoint avec WSS 3.0. Je n'ai pas abordé d'autres fonctionnalités, telles que les flux de travail, les enquêtes, l'intégration de messagerie et l'antivirus, ni les fonctionnalités spécifiques à MOSS 2007 telles que les portails, les répertoires de sites et les catalogues de données métier. Les personnalisations pour l'administration de site et la promotion professionnelle ont touché uniquement aux possibilités au sein de SharePoint. Vous pouvez exécuter d'autres personnalisations avec WSS 3.0 en programmant des applications personnalisées dans Visual Studio®.
L'infrastructure est assez robuste pour prendre en charge une évolutivité future si vous ajoutez plus de serveurs Web ou de serveurs de bases de données. Et avec le déploiement pilote de quelques personnalisations, les utilisateurs peuvent créer des sites individuels et se familiariser généralement avec SharePoint. De cette façon, vous établissez les composants de base fondamentaux adoptés par l'utilisateur, ainsi que le matériel et le logiciel, qui sont assez flexibles pour permettre des modifications et servent de base pour un déploiement de production complet.

Pav Cherny est un expert informatique et auteur spécialisé dans les technologies Microsoft pour la collaboration et la communication unifiée. Ses publications incluent des livres blancs, des manuels de produits et des livres avec un intérêt particulier pour les opérations informatiques et l'administration système. Pav est le président de Biblioso Corporation.


 Windows&#160;PowerShell: Automatisation de la gestion d'annuaire
Windows PowerShell
Automatisation de la gestion d'annuaire
Don Jones

L'un des choses les plus regrettables concernant la première version de Windows PowerShell touche au moment de sa publication. L'équipe Windows PowerShell faisait l'objet d'une pression importante pour la livraison du produit (un petit produit nommé Exchange Server 2007 allait sortir et dépendait de Windows PowerShell) et l'équipe
Active Directory avait beaucoup à faire à l'époque (un autre petit produit nommé Windows Server® 2008 était également en développement). Windows PowerShell a donc été livré avec des fonctions de gestion d'Active Directory® moins qu'excellentes.
Pour être honnête, Windows PowerShell® ne manque pas complètement de fonctionnalités Active Directory. En fait, l'équipe Windows PowerShell a consenti des efforts héroïques de dernière minute pour inclure une prise en charge correcte de l'interface ADSI (Active Directory Services Interface), une technologie adaptée à l'écriture de scripts bien connue des utilisateurs de VBScript.

La méthode ADSI
Le mode de fonctionnement d'ADSI est similaire à celui de Windows® Management Instrumentation (WMI). Vous émettez une requête, qui est écrite à l'aide d'une syntaxe spéciale. La requête est transmise à un ordinateur distant (tel qu'un contrôleur de domaine) puis exécutée. Le résultat de la requête est un objet ou une collection d'objets Active Directory (tel qu'un utilisateur ou un groupe) et vous obtenez une référence à cet objet avec laquelle vous pouvez ensuite travailler. Vous pouvez modifier les propriétés de l'objet ou exécuter des méthodes pour enregistrer vos modifications, créer de nouveaux objets, supprimer des objets, etc. Par exemple, pour créer un utilisateur, vous envoyez une requête à l'unité d'organisation (UO) ou au conteneur dans lesquels vous voulez que l'utilisateur soit hébergé. L'objet que vous recevez possède une méthode Create qui peut être utilisée pour créer l'utilisateur.
À un niveau très rudimentaire, l'utilisation d'ADSI dans Windows PowerShell paraît simple et directe. Par exemple, la commande suivante récupérera un utilisateur et affichera son attribut Company :
$user = [ADSI]"LDAP://cn=Ringo,ou=Singers,dc=company,dc=pri"
$user.Get("Company")
Vous pouvez rediriger l'utilisateur vers Get-Member pour voir ses propriétés et ses méthodes. Malheureusement, Windows PowerShell 1.0 n'est pas très doué pour l'implémentation de ces objets d'annuaire. Comme l'illustre la figure 1, l'interpréteur de commandes n'énumère pas les attributs d'annuaire de l'objet et n'affiche pas non plus les méthodes de l'objet, telles que la méthode Get que j'ai utilisée.
Figure 1 Redirection de l'utilisateur vers Get-Member pour voir ses propriétés
Figure 1 Redirection de l'utilisateur vers Get-Member pour voir ses propriétés
Cette prise en charge s'est quelque peu améliorée dans la version CTP (Community Technology Preview) de Windows PowerShell 2.0, mais seulement de façon limitée. Le problème principal réside dans le fait que l'infrastructure Microsoft® .NET Framework sous-jacente n'aide pas les administrateurs à voir ce qu'ils veulent, probablement parce qu'elle a au départ été conçue pour les développeurs. L'autre problème est que l'équipe Windows PowerShell ne peut pas tout faire et qu'une bonne prise en charge d'Active Directory doit venir des personnes qui connaissent le mieux les annuaires. En d'autres termes, l'équipe Active Directory. Je suis sûr que cela arrivera avec le temps ; après tout Windows PowerShell est encore assez récent. Mais que faire entre-temps ?
Vous vous rappelez peut-être que j'ai abordé l'utilisation des technologies ADSI incluses dans Windows PowerShell dans cette rubrique en juin 2007 (technetmagazine.com/issues/2007/06/PowerShell). Je vous suggère de revenir en arrière et de lire cet article si vous recherchez plus de détails sur cette technique « native ». Ce mois-ci, je souhaite vous montrer quelques autres approches.

Un écosystème riche
L'architecte Windows PowerShell Jeffrey Snover fait souvent référence à l'écosystème riche qui entoure Windows PowerShell. Cela signifie simplement que l'équipe a réussi à s'assurer que tout le monde et non uniquement les programmeurs de Microsoft, peut étendre les fonctionnalités de Windows PowerShell. Plusieurs entreprises le font déjà en créant des applets de commande Windows PowerShell natives qui vous permettent d'administrer leurs produits à partir de la ligne de commande. VMWare, IBM, Citrix et Foundry ne sont que quelques-unes de ces grandes entreprises.
L'un de mes exemples préférés de cet écosystème riche provient de Quest Software. Cette société propose un jeu d'applets de commande gratuites, non commerciales, conçues pour l'administration d'Active Directory. Vous pouvez les télécharger depuis quest.com/powershell. Elle propose également PowerGUI (powergui.org), une interface utilisateur graphique non commerciale, s'appuyant sur Windows PowerShell pour les gens qui ne souhaitent pas encore se lancer dans un environnement avec ligne de commande uniquement. PowerGUI peut faciliter l'apprentissage de l'utilisation des applets de commande Active Directory. Et croyez-moi, vous voudrez les utiliser. Ces applets de commande vous offrent une facilité et une puissance de gestion d'Active Directory tout simplement incomparable. (Si vous voulez en lire davantage sur PowerGUI, il était inclus dans la rubrique Boîte à outils de janvier 2008, que vous trouverez à l'adresse technetmagazine.com/issues/2008/01/Toolbox.)

La méthode Windows PowerShell
Tout ce qui a trait aux applets de commande correspond véritablement à la méthode Windows PowerShell. Vous n'aurez pas à vous soucier de scripts d'aspect traditionnel ou d'objets de programmation spéciaux. Voici ma commande uniligne favorite de cet univers. Il s'agit d'une ligne de commande unique qui importe un fichier CSV et utilise les informations qu'il contient pour créer des dizaines, voire des centaines, de nouveaux utilisateurs Active Directory :
Import-CSV 'C:\provision1.csv' |
ForEach-Object {New-QADUser -organizationalUnit 'company.pri/Singers' -name ($_.'First Name' + '.' + $_.'Last Name')
-samAccountName $_.'Logon name' -city $_.city -title $_.'Job title' -department $_.department}
Il s'agit certes d'une commande longue, mais extrêmement puissante. Elle commence par Import-CSV, une applet de commande native de l'interpréteur de commandes qui lit simplement un fichier CSV et renvoie des objets. Chaque ligne du fichier CSV est un objet unique et les colonnes du fichier CSV deviennent des propriétés de l'objet. Dans mon fichier Provision1.csv, les noms de colonne sont des choses telles que « Logon Name » (Nom de connexion) et « Firstname » (Prénom). Ceci est intéressant car les noms de colonne ne sont pas directement mappés à des attributs d'utilisateur Active Directory. J'ai trouvé qu'il était courant pour les fichiers tels que celui-ci d'utiliser des noms de colonne familiers au lieu de noms spécifiques à Active Directory. Après tout, vous pourriez recevoir ce fichier d'un membre du service du personnel de votre entreprise, et il est peu probable qu'il sache que le nom correspond en fait à l'attribut sn dans Active Directory.
Une fois toutes les données du fichier CSV importées et converties en objets, ces objets sont redirigés vers l'applet de commande ForEach-Object, qui exécute un bloc de code (entre accolades dans ma ligne de commande) pour chaque objet. C'est-à-dire que ce script s'exécutera une fois pour chaque ligne du fichier CSV. Dans le script, la variable spéciale $_ est une référence à l'objet actuel, autrement dit la ligne actuelle du fichier CSV.
Vous pouvez voir que pour chaque objet, j'exécute l'applet de commande New-QADUser. Il s'agit de l'une des dizaines d'applets de commande du complément de Quest. Il est important de noter le nom QADUser. Le Q, comme vous pouvez le deviner, correspond à Quest. Cette convention de dénomination est conçue pour éviter un conflit avec l'applet de commande New-ADUser que l'équipe Active Directory de Microsoft créera probablement un jour. Ainsi, si les deux applets de commande sont chargées dans l'interpréteur de commandes en même temps, l'interpréteur de commandes, comme vous, pourra facilement distinguer l'une de l'autre.
Le reste de la commande est composé de paramètres pour l'applet de commande New-QADUser. Cela commence par la spécification d'organizationalUnit, qui est l'emplacement dans lequel vous voulez que tous les nouveaux utilisateurs soient créés. Vient ensuite l'attribut name, que j'ai défini comme étant le contenu de la colonne First Name (Prénom), un point, puis le contenu de la colonne Last Name (Nom).
Un dernier fait intéressant ici : le paramètre city (ville) modifiera en fait l'attribut l (Locality-Name, nom de la localité) dans Active Directory. L'applet de commande accepte également un paramètre nommé l, qui fait la même chose. Pour la plupart, les paramètres qui font référence à des attributs Active Directory peuvent utiliser le nom d'attribut ou le libellé de texte de l'outil Utilisateurs & ordinateurs Active Directory.

L'autre méthode Windows PowerShell
Active Directory est un magasin hiérarchique et l'un des points forts de Windows PowerShell est sa capacité à exposer tout magasin hiérarchique en tant que lecteur de disque, vous permettant ainsi d'utiliser un jeu familier de commandes telles que Dir, Del, Ren, Copy, etc. pour gérer une variété de magasins. Malheureusement, Windows PowerShell 1.0 n'a pas été livré avec un fournisseur PSDrive pour Active Directory, ce qui signifie que l'interpréteur de commandes ne dispose d'aucun moyen d'exposer Active Directory en tant que lecteur.
Heureusement, l'écosystème riche vient à nouveau à notre secours sous la forme de PowerShell Community Extensions. Il s'agit d'un complément Open Source gratuit disponible sur codeplex.com/powershellcx. Une fois installé, PowerShell Community Extensions vous permet de diriger simplement l'interpréteur de commandes vers votre nom de domaine pour commencer à gérer l'annuaire comme s'il s'agissait d'un lecteur :
CD COMPANY:
CD SINGERS
DIR
Ces commandes basculeront vers le domaine COMPANY, l'UO Singers et afficheront ensuite une liste d'objets, comme illustré à la figure 2. À partir de là, je peux utiliser des commandes telles que Del pour supprimer un utilisateur, Md pour créer une nouvelle UO, etc. Le fournisseur PSDrive de Community Extensions présente quelques spécificités. Celles-ci ont essentiellement trait à des fonctionnalités dont vous pourriez penser qu'elles ont déjà été implémentées, mais qui ne sont pas disponibles parce que les éléments ne correspondent pas à la façon dont Active Directory fonctionne. Vous devez en outre être extrêmement prudent : le basculement vers la racine de votre domaine suivi de l'exécution de del * -recurse supprimera en fait tout objet du domaine, dans la mesure où vous disposez des autorisations nécessaires. Par défaut, il ne vous sera même pas demandé de confirmation. Oui, la ligne de commande est puissante et cette puissance s'accompagne de risques pour ceux qui ne sont pas compétents et prudents.
Figure 2 Utilisation de PowerShell Community Extensions pour diriger l'interpréteur de commandes et gérer l'annuaire
Figure 2 Utilisation de PowerShell Community Extensions pour diriger l'interpréteur de commandes et gérer l'annuaire

Commencez à utiliser Power Shell dès aujourd'hui
Les élèves de mes cours me demandent toujours ce qu'ils peuvent faire avec Windows PowerShell dès maintenant. Après tout, tous les produits Microsoft n'ont pas été reconçus pour utiliser Windows PowerShell et, sans préparation, vous pourriez penser que Windows PowerShell attend toujours que les choses deviennent véritablement intéressantes.
En fait, les choses sont déjà intéressantes. Bien que Microsoft n'ait pas encore équipé Active Directory pour la gestion à partir de la ligne de commande, d'autres s'y sont attaqués et ont tout à fait réussi. Vous pouvez utiliser Windows PowerShell pour exécuter de nombreuses tâches administratives, y compris l'automatisation de certaines tâches parmi les plus longues et ardues, comme la création de lots de nouveaux utilisateurs. Il suffit de découvrir les choses que fait la communauté pour rendre Windows PowerShell plus utile dès maintenant. (Vous pouvez explorer PowerShellCommunity.org, un site coparrainé par Microsoft que j'aide à administrer) Une fois les outils appropriés chargés dans Windows PowerShell, vous pouvez commencer à écrire des scripts pour certaines des tâches administratives les plus laborieuses dont vous ne souhaitez pas vous soucier, et commencer à devenir un administrateur plus efficace et productif.

Don Jones est coauteur de Windows PowerShell: TFM, 2nd Edition, auteur de VBScript, WMI, and ADSI Unleashed, et directeur de PowerShellCommunity.org.


 H&#233;, vous le scripteur&#160;!: Des sourcils et des expressions r&#233;guli&#232;res
Hé, vous le scripteur !
Des sourcils et des expressions régulières
Les scripteurs Microsoft
Télécharger le code de cet article: HeyScriptingGuy2008_05.exe (150KB)

En novembre 2007 , nous autres scripteurs avons eu l'occasion de passer une journée à Paris lors notre voyage à destination de la conférence Tech•Ed IT organisée à Barcelone. Nous avons profité de notre escale d'une journée pour visiter le Louvre, le musée d'art de renommée mondiale.
Comment avons-nous trouvé le Louvre ? C'est simple : nous avons marché jusqu'à Notre-Dame et avons ensuite pris à gauche.
Oh, vous vous demandez en fait si nous avons apprécié le Louvre ? En grande partie, oui. Le seul problème que nous avons eu, c'est que le Louvre, comme beaucoup de musées, fonctionne sur le principe du « on regarde mais on ne touche pas ». Tout le monde sait que la Joconde serait beaucoup plus belle si elle avait des sourcils, mais, pour une raison quelconque, les gens qui s'occupent du Louvre deviennent vraiment très vexés si vous essayez de corriger le moindre de leurs tableaux.
Remarque : en fait, nous avons tous deux aimé la Joconde. C'était une surprise agréable, d'ailleurs. Après tout le battage médiatique et l'anticipation, nous avions peur qu'il ne s'agisse que d'un tableau comme les autres. Mais ce n'était pas le cas ; c'est vraiment un superbe tableau (même si elle aurait bien besoin de sourcils). Ce qui est intéressant, cependant, c'est que nous avons tous deux été déçus par tout le battage autour de la Vénus de Milo. Nous ne l'avons ni l'un ni l'autre trouvée spectaculaire et le scripteur qui écrit cette colonne était assez perplexe quant à l'idée de la Vénus de Milo. Une statue de femme qui n'a pas de bras ? Comment est-elle censée laver le plancher ou faire la vaisselle ! ?
Note à l'attention de nos lectrices (en supposant qu'il en reste) : ceci était évidemment une faute de frappe. Ce que nous voulions dire était : Une statue de femme qui n'a pas de bras ? Et pourtant elle est capable de faire le double du travail de n'importe quel homme, et de le faire correctement.
Les scripteurs vous prient de les excuser de tout malentendu que leur déclaration initiale aurait pu créer.
Quoi qu'il en soit, dès le moment où nous avons posé les yeux sur les grands trésors du Louvre, nous avons tous deux été envahis par une pensée identique : où sont les toilettes ? En les cherchant, le scripteur qui écrit cette rubrique a eu une autre pensée : les scripteurs sont des hypocrites. Après tout, nous sommes vexés que le Louvre ne nous laisse pas nous occuper de la Joconde. Et pourtant, nous sommes coupables d'un péché semblable. Dans le numéro de janvier 2008 de TechNet Magazine, nous avons écrit un article sur l'utilisation des expressions régulières dans un script. C'est un exemple typique de « on regarde mais on ne touche pas » : nous vous avons montré comment utiliser des expressions régulières pour identifier des problèmes dans un fichier texte, mais nous ne vous avons pas montré comment résoudre ces problèmes. Zut alors ! (En français dans le texte, NDT)
Remarque : si les scripteurs ont visité le Louvre en novembre 2007, comment le scripteur qui écrit cet article a-t-il pu avoir une pensée soudaine concernant un article qui n'est pas paru dans TechNet Magazine avant janvier 2008 ? Une véritable énigme, n'est-ce pas ? Cela doit sûrement être dû aux différences de fuseau horaire entre Redmond et Paris.
Heureusement, cependant, et contrairement aux gens qui gèrent le Louvre, les scripteurs reconnaissent volontiers qu'ils ont commis une erreur. Nous avons eu tort de vous montrer uniquement comment faire des recherches à l'aide d'expressions régulières. Nous aurions dû vous montrer également comment faire des remplacements avec des expressions régulières. En fait, nous aurions dû vous montrer un script tel que celui de la figure 1.
Figure 1 Rechercher et remplacer (Close Figure 1)
      Set objRegEx = _
    CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.IgnoreCase = True
objRegEx.Pattern = "Mona Lisa"

strSearchString = _
    "The Mona Lisa is in the Louvre."
strNewString = _
    objRegEx.Replace(strSearchString, _
                     "La Gioconda")

Wscript.Echo strNewString
Pour être honnête, il s'agit en fait d'une utilisation assez banale des expressions régulières : tout ce que nous faisons ici, c'est remplacer toutes les instances de la valeur de chaîne Mona Lisa par La Gioconda (mot italien signifiant « Où ai-je bien pu mettre ces sourcils ? »). Il est vrai que nous aurions pu effectuer ce remplacement beaucoup plus facilement en utilisant uniquement la fonction Replace de VBScript. Mais, n'ayez crainte : nous utiliserons ce petit script tout simple pour expliquer comment effectuer des opérations de recherche et remplacement avec les expressions régulières, et une fois que cela sera fait, nous vous montrerons certaines des choses plus sophistiquées que vous pouvez faire avec ces expressions.
Comme vous pouvez le voir, ce script n'est pas bien compliqué. Nous commençons par créer une instance de l'objet VBScript.RegExp. Inutile de dire qu'il s'agit de l'objet qui nous permet d'utiliser des expressions régulières dans un script VBScript. Après avoir créé l'objet, nous affectons des valeurs à trois des propriétés de l'objet :
Global En définissant cette propriété sur True, nous indiquons au script de rechercher (et remplacer) toutes les instances de Mona Lisa qu'il trouve dans le texte cible. Si la propriété Global était False (la valeur par défaut), le script rechercherait et remplacerait uniquement la première instance de Mona Lisa.
IgnoreCase La définition d'IgnoreCase sur True indique au script que nous voulons exécuter une recherche non sensible à la casse. En d'autres termes, nous voulons traiter mona lisa et Mona Lisa comme identiques. Par défaut, VBScript effectue une recherche sensible à la casse, ce qui signifie que, grâce aux lettres majuscules et minuscules, mona lisa et Mona Lisa sont considérés comme des valeurs complètement différentes.
Pattern La propriété Pattern contient la valeur que nous recherchons. Dans ce cas, nous recherchons seulement une valeur de chaîne simple : Mona Lisa.
Ensuite, nous affectons le texte que nous voulons rechercher à une variable nommée strSearchString :
strSearchString = "The Mona Lisa is in the Louvre."
Nous appelons alors la méthode d'expression régulière Replace, en transmettant deux paramètres à cette méthode : le texte cible que nous voulons rechercher (la variable strSearchString) et le texte de remplacement (La Gioconda). C'est ce que nous faisons ici :
strNewString = objRegEx.Replace(strSearchString, "La Gioconda")
Et c'est tout. Le texte modifié est stocké dans la variable strNewString. Si nous affichons maintenant la valeur de strNewString, nous devrions obtenir ceci :
The La Gioconda is in the Louvre.
La grammaire est quelque peu discutable, mais vous saisissez l'idée générale.
Comme nous l'avons fait remarquer plus tôt, tout ceci est bien beau, mais nous aurions sans aucun doute pu accomplir la même chose en utilisant les lignes de code suivantes (en fait, nous pourrions même tout faire en une seule ligne si nous le souhaitions) :
strSearchString = "The Mona Lisa is in the Louvre."
strNewString = Replace(strSearchString, "Mona Lisa", "La Gioconda")
Wscript.Echo strNewString
En d'autres termes, voyons si nous pouvons faire quelque chose d'intéressant avec les expressions régulières, que nous ne pouvons pas faire avec la fonction Replace de VBScript.
Personne n'a d'idée ? Bon, en voici une. Nous autres scripteurs finissons souvent par devoir copier du texte d'un type de document vers un autre. Cela fonctionne parfois assez bien, mais parfois non. Lorsque cela ne fonctionne pas, nous nous retrouvons souvent avec des problèmes bizarres d'espacement des mots, des problèmes qui se traduisent par un texte ressemblant au texte ci-dessous :
Myer Ken, Vice President, Sales and Services
Aïe, regardez tous ces espaces superflus ! Dans un cas comme celui-ci, la fonction Replace offre une utilisation limitée. Pourquoi ? Eh bien, nous avons en apparence un nombre aléatoire d'espaces superflus : il peut y avoir 7 espaces entre les mots, ou 2, ou encore 6. Cela complique la résolution du problème à l'aide de Replace. Par exemple, si nous essayons de chercher 2 espaces consécutifs (en les remplaçant par un espace unique), nous obtenons ceci :
Myer Ken, Vice President, Sales and  Services
C'est mieux, mais pas beaucoup plus. Il existe une façon de faire, mais elle nécessite que nous recherchions un nombre arbitraire d'espaces (disons 39), que nous effectuions le remplacement, puis soustrayions 1 du nombre de départ, recherchions 38 espaces, effectuions le remplacement, etc., etc. Autre solution, nous pourrions utiliser ce script d'expressions régulières beaucoup plus simple (et beaucoup plus fiable) :
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = " {2,}"

strSearchString = _
"Myer Ken, Vice President, Sales and Services"
strNewString = objRegEx.Replace(strSearchString," ")

Wscript.Echo strNewString
L'élément clé de ce script (et l'élément clé de la plupart des scripts d'expressions régulières) est Pattern :
objRegEx.Pattern = " {2,}"
Nous recherchons ici 2 (ou plus) espaces consécutifs. Comment savons-nous que ce modèle (pattern) recherche 2 (ou plus) espaces ? Entre les guillemets doubles se trouve un espace unique suivi de cette construction : {2,}. Dans une syntaxe d'expressions régulières, cela correspond à la recherche de 2 instances consécutives du caractère précédent (en l'occurrence, un espace). Et s'il y avait 3, 4 ou 937 espaces consécutifs ? Pas de problème, ceux-ci seraient également pris en compte. (Si, pour une raison quelconque, nous voulions prendre en compte au moins 2 espaces mais pas plus de 8, nous utiliserions alors la syntaxe {2,8}, le 8 représentant le nombre maximal de correspondances).
En d'autres termes, chaque fois que nous trouverons 2 espaces ou plus, l'un après l'autre, nous nous emparerons de ces espaces consécutifs et les remplacerons par un espace unique. Quel sera l'effet sur notre valeur de chaîne initiale, celle qui comportait tous ces espaces ? Ceci :
Myer Ken, Vice President, Sales and Services
Vous voyez ? Les scripteurs peuvent vraiment améliorer les choses. Si seulement les gens du Louvre nous laissaient nous occuper de la Joconde.
Voici un scénario intéressant, et loin d'être rare. Supposez que votre entreprise possède un annuaire téléphonique et que tous les numéros de téléphone aient ce format :
555-123-4567
Maintenant, votre patron a décidé que tous les numéros de téléphone devaient avoir ce format :
(555) 123-4567
Comment pourriez-vous bien faire pour reformater tous ces numéros de téléphone ? Peut-être nous permettrez-vous l'audace de vous suggérer d'utiliser un script semblable à celui-ci :
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString, "($1) $2-$3")

Wscript.Echo strNewString
Nous cherchons ici 3 chiffres (\d{3}) suivis d'un tiret, suivi de 3 chiffres supplémentaires et d'un tiret, suivis de 4 chiffres. En d'autres termes, nous recherchons ceci, où chaque X représente un nombre de 0 à 9 :
XXX-XXX-XXXX
Remarque : comment savions-nous que \d{3} indiquerait au script de rechercher trois nombres consécutifs ? Si je me souviens bien, nous l'avons lu quelque part. En fait, il s'agissait probablement du dernier chapitre (du reste choquant) du Da Vinci Code, ou de la référence du langage VBScript sur MSDN® en ligne (voir go.microsoft.com/fwlink/?LinkID=111387).
Il est vraiment pratique de pouvoir maintenant rechercher un numéro de téléphone arbitraire en utilisant des expressions régulières. Cependant, nous sommes toujours confrontés à un problème majeur ici. Après tout, nous ne pouvons pas remplacer ce numéro de téléphone arbitraire par un numéro de téléphone tout aussi arbitraire. Nous devons plutôt utiliser le même numéro de téléphone, simplement formaté un peu différemment. Comment donc faire cela ?
Hé bien, en utilisant le texte de remplacement suivant :
"($1) $2-$3"
$1, $2 et $3 sont des exemples d'expressions régulières de « référence arrière ». Une référence arrière est simplement une portion du texte trouvé qui peut être enregistrée et réutilisée par la suite. Dans ce script particulier, nous recherchons trois sous-correspondances :
  • une série de 3 chiffres ;
  • une série de 3 chiffres supplémentaires ;
  • une série de 4 chiffres.
Chacune de ces sous-correspondances est automatiquement affectée à une référence arrière : La première sous-correspondance est $1, la seconde est $2, et ainsi de suite, jusqu'à $9. En d'autres termes, dans ce script, les trois parties de notre numéro de téléphone sont automatiquement affectées aux références arrière illustrées à la figure 2.
Figure 2 Références arrière de numéro de téléphone (Close Figure 2)

Partie de numéro de téléphone | Référence arrière
555 | $1
123 | $2
4567 | $3
Dans notre chaîne de remplacement, nous utilisons ces références arrière pour nous assurer que le numéro de téléphone correct est réutilisé. Notre texte de remplacement a simplement cette signification : Prendre la première référence arrière ($1) et la placer entre parenthèses. Laisser un espace, insérer ensuite la deuxième référence arrière ($2) suivie d'un tiret. Pour terminer, ajouter la troisième référence arrière ($3).
Qu'est-ce que tout cela va nous donner ? Cela va nous donner un numéro de téléphone semblable à ceci :
(555) 123-4567
Pas mal, pas mal du tout.
Voici une variation du script de numéro de téléphone. Supposons que votre organisation a installé un tout nouveau système téléphonique et que, dans le cadre du changement, tous vos numéros de téléphone doivent maintenant avoir le même préfixe. Alors que les numéros commençaient par 666, 777 ou 888, tous les numéros commenceront maintenant par 333. Pouvons-nous reformater les numéros de téléphone et modifier le préfixe de numéro de téléphone, tout ceci en même temps ? Bien sûr que nous le pouvons.
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString,"($1) 333-$3")

Wscript.Echo strNewString
Vous voyez ce que nous venons de faire ici ? Nous avons simplement supprimé l'ancien préfixe (la référence arrière $2) dans notre texte de remplacement. À sa place, nous avons placé la valeur de préfixe maintenant standard et fixe, 333. Quel sera le numéro de téléphone 555-123-4567 après l'exécution de ce script modifié ? Il devrait très certainement ressembler à ceci :
(555) 333-4567
Voici une autre utilisation courante des références arrière. Supposons que nous avons une valeur de chaîne ressemblant à ceci :
Myer, Ken
Existe-t-il un moyen quelconque de renvoyer cette valeur et d'afficher le nom comme ceci :
Ken Myer
Nous aurions l'air stupides s'il n'en existait pas, n'est-ce pas ? Voici un script qui fait précisément cela :
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\S+), (\S+)"

strSearchString = "Myer, Ken"
strNewString = objRegEx.Replace _

strSearchString,"$2 $1")

Wscript.Echo strNewString
Dans ce script particulier, nous recherchons un mot (« (\S+) ») suivi d'une virgule, suivie d'un espace, suivi d'un autre mot. (En l'occurrence, nous utilisons « \S+ » pour représenter un mot) La construction \S+ signifie tout ensemble consécutif de caractères différents d'un espace. En d'autres termes, nous pourrions avoir une lettre, un chiffre, un symbole. En fait, nous pourrions avoir à peu près n'importe quoi sauf un espace, une tabulation ou un retour chariot-retour à la ligne. Comme vous pouvez le voir, nous nous attendons ici à trouver deux sous-correspondances : une représentant le nom ($1) et une représentant le prénom ($2). Grâce à ceci, nous pouvons afficher le nom d'utilisateur sous la forme Prénom Nom en utilisant cette syntaxe :
"$2 $1"
Où est la virgule ? Nous n'avions évidemment pas besoin d'elle et l'avons donc simplement rejetée.
Remarque : c'est drôle ; pour une raison ou une autre, nous avons également commencé à penser à l'éditeur de scripts. Hum.
Examinons une dernière chose avant de terminer pour aujourd'hui. (OK, avant de terminer pour ce mois-ci) Ceci n'est pas 100 % infaillible. Après tout, nous ne souhaitons pas qu'un article introductif tel que celui-ci soit trop compliqué. (Or, les expressions régulières ont la possibilité de devenir extrêmement compliquées) Néanmoins, voici un script qui, dans la plupart des cas, supprimera les zéros du début d'une valeur telle que 0000.34500044 :
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\b0{1,}\."

strSearchString = _
"The final value was 0000.34500044."
strNewString = objRegEx.Replace _
strSearchString,".")

script.Echo strNewString
Comme d'habitude, la seule raison qui fait que cela fonctionne est le modèle : « \b0{1,}\ ». Nous commençons par rechercher une limite de mot (\b). Celle-ci permet de s'assurer que nous ne supprimons pas les zéros d'une valeur telle que 100.546. Nous recherchons ensuite un ou plusieurs zéros (« 0{1,} ») suivis d'un séparateur décimal (\.). Si le modèle est trouvé, nous remplaçons ces zéros (et le séparateur décimal) par un séparateur décimal simple (« . »). Si tout fonctionne conformément à notre plan, nous devrions obtenir la chaîne suivante :
The final value was .34500044.
Nous n'avons pas le temps d'en dire plus ce mois-ci. Avant de nous quitter, il est intéressant de noter que, avant même que sa peinture ait séché, la Joconde a été l'objet d'une controverse considérable. Qui est la femme mystérieuse ? Pourquoi sourit-elle comme cela ? Pourquoi n'a-t-elle pas de sourcils ? Plusieurs historiens d'art ont suggéré que la Joconde n'est même pas une femme, que le tableau est plutôt un autoportrait de Léonard De Vinci. (Si c'est vrai, il aurait vraiment dû chercher un autre tailleur) D'un autre côté, l'Unarius Educational Foundation est allée plus loin en déclarant que le tableau représentait en fait l'âme sœur de De Vinci dans un monde « de l'au-delà » et que cette âme sœur a guidé la main de De Vinci. Par une coïncidence remarquable, c'est exactement de cette façon que la rubrique Hé, vous le scripteur ! de ce mois-ci a été écrite.
Ce qui signifie que toutes les plaintes doivent être adressées à l'âme-sœur-du-scripteur-qui-écrit-cette-rubrique@l'autre-microsoft.com. Merci.

Les scripts embrouillés du Dr. Scripto
Le défi mensuel qui teste non seulement vos compétences de résolution des énigmes, mais également vos compétences d'écriture de scripts.

Mai 2008 : Script-doku
Ce mois-ci, nous allons jouer au Sudoku, mais avec une légère variante. Au lieu des chiffres 1 à 9 dans la grille, nous avons les lettres et des symboles qui forment ensemble le nom d'une applet de commande Windows PowerShell™. Dans la solution finale, l'une des lignes représentera le nom de l'applet de commande.
Remarque : si vous ne savez pas déjà jouer au Sudoku, il existe probablement plusieurs milliers de sites Web sur Internet qui vous donneront des instructions et nous n'allons donc pas les répéter ici, désolé.

Les scripts embrouillés du Dr. Scripto
Réponse : Script-doku, mai 2008

Les scripteurs Microsoft travaillent pour (enfin, sont employés par) Microsoft. Lorsqu’ils ne sont pas en train de jouer au base-ball, d’entraîner une équipe ou de regarder un match (ou de se livrer à de multiples autres activités), ils dirigent le Script Center TechNet. Vous pouvez le vérifier vous-même sur www.scriptingguys.com.


 Vigilance s&#233;curit&#233;: Principes de s&#233;curit&#233; quantique
Vigilance sécurité
Principes de sécurité quantique
Jesper M. Johansson

Il peut être amusant de lancer quelque chose d'impromptu, mais utile, dans une conversation. Cela fait déjà quelques temps que j'utilise le principe d'incertitude de Heisenberg pour expliquer les concepts de sécurité. (Les personnes qui connaissent déjà ma métaphore sur la licorne savent que j'aime recourir aux théories fondamentales d'autres disciplines pour effectuer une démonstration). Aussi étrange que cela puisse paraître,
il existe des corollaires entre les informations de sécurité et certains concepts fondamentaux des autres branches de la science.
Le principe d'incertitude de Heisenberg, qui nous vient de la physique quantique, pose l'équation présentée à la figure 1. Le principe lui-même énonce que la position d'une particule (P) et la vitesse de cette dernière (x) sont liées de telle façon que si vous augmentez la précision de la mesure de la position, vous réduisez la précision de la mesure de la vitesse. La limite relative à la précision des deux facteurs est un petit multiple fixe de la constante de Planck. Pour reformuler ce principe de façon plus intelligible, ce principe dit que vous ne pouvez pas observer avec une précision complète certains faits relatifs à une particule en même temps.
Figure 1 Principe d'incertitude de Heisenberg
Figure 1 Principe d'incertitude de Heisenberg
Ceci se rapporte directement à la prédiction de marges d'incertitude, ce qui vous permet de prédire l'incertitude concernant l'état de deux faits relatifs à une particule. Vous ne pouvez pas (encore) prédire les marges, cependant le fait de ne pas pouvoir prédire avec certitude comment deux variables affecteront la sécurité d'un réseau informatique est important.
Vous devez également établir des compromis. Vous n'êtes pas limité par la constante de Planck en termes de sécurité informatique, mais cela ne veut pas dire que vous n'êtes soumis à aucune limite. Le principal compromis se fait entre la sécurité et le caractère utilisable ou l'utilité. Si vous mettez de côté la disponibilité pendant quelques temps (et très franchement, je crois que le personnel de sécurité ne doit s'occuper de la disponibilité qu'en cas d'attaques de déni de service) la façon la plus simple de sécuriser quelque chose est de l'arrêter. Dans ces conditions, tout piratage devient impossible... au détriment de l'utilité.
De même, en faisant abstraction du coût, vous éviterez davantage de fuites de données confidentielles en implémentant un logiciel de prévention de perte de données haut de gamme qu'en envoyant un message électronique aux employés une fois par an pour leur rappeler que les applications de messagerie instantanée ne doivent pas être utilisées au bureau. Ceci dit, votre organisation est-elle prête à payer le prix ? Et c'est ici que vous allez voir que la physique quantique est plus pertinente en termes de sécurité que vous ne l'aviez pensé.

Le chat de Schrödinger
La parabole du chat de Schrödinger démontre un concept de physique quantique apparenté, mais différent. On dit qu'Erwin Schrödinger, un physicien éminent du vingtième siècle, a eu une longue série de controverses avec Albert Einstein (un autre physicien éminent du vingtième siècle dont vous avez sans doute entendu parler) concernant le concept de superposition. Schrödinger pensait que les théories de mécanique quantique qui admettaient l'existence d'éléments avec deux états superposés étaient tout à fait absurdes.
Pour étayer son argument, Schrödinger a proposé une expérience virtuelle, dans laquelle un chat est enfermé dans une boîte hermétique contenant un poison. Ce poison est libéré dès qu'une particule subatomique radioactive (imaginaire) se désintègre.
La particule subatomique, étant sujette aux lois de la mécanique quantique, existe dans un état superposé. L'état du chat, lui aussi très atomique, deviendrait dépendant de l'état de la particule subatomique et serait donc à la fois mort et vivant. Seule l'observation de l'état du chat permettrait de définir son état de façon certaine.
Schrödinger, bien sûr, a choisi cet exemple pour illustrer à quel point les lois de mécanique quantique pouvaient être absurdes lorsqu'elles étaient appliquées à des systèmes atomiques. Néanmoins, il est généralement admis que son exemple est à la source de ce que le commun des mortels appelle l'« effet d'observation ». L'effet d'observation, bien qu'il ne s'applique pas aux systèmes subatomiques traités par la mécanique quantique, est intéressant pour nous, professionnels de la sécurité. De façon simple, ceci signifie que le fait d'observer quelque chose entraîne une modification.
Effet d'observation
Afin de mieux l'expliquer, prenons l'exemple d'une tasse de thé. Pour connaître sa température il suffit de placer un thermomètre dans la tasse. Supposons que le thé fasse 80 degrés Celsius lorsque vous mettez le thermomètre et que ce dernier ait lui-même une température de 22 degrés (température ambiante). Dès que vous placez ce thermomètre dans le thé, il absorbe sa chaleur et le thé dissipe une partie de sa température pour réchauffer le thermomètre. Enfin, le thermomètre et le thé atteignent la même température. Cependant, cette température ne sera plus de 80 degrés, et encore moins 22 degrés, mais quelque chose entre les deux. Ainsi, en mesurant la température du thé, vous l'avez modifiée.
L'effet d'observation est également pertinent pour la sécurité des informations. Dès que vous agissez pour tenter de limiter un problème de sécurité, vous modifiez de façon potentielle votre posture de sécurité, dans la mesure où vous modifiez le système. J'appelle ceci, faute de mieux, l'effet de fluidité de la position de sécurité.
Un des exemples les plus simples réside dans les dépendances de compte de service. Dans le chapitre 8 de Protect Your Windows Network (protectyourwindowsnetwork.com), j'aborde l'installation d'un service de détection des intrusions (IDS) sur vos systèmes, de façon à détecter les attaques. Cependant, le service IDS se connecte à un système central et nécessite des privilèges d'accès très élevés aux systèmes contrôlés. Dans la plupart des cas, ceci signifie que le service s'exécute au sein d'un compte de service avec des privilèges élevés.
Si l'un de ces systèmes est compromis, l'attaquant peut obtenir l'accès aux informations d'authentification du compte de service et accéder à tous les autres systèmes, tout en désactivant le service IDS. Ceci est un exemple parfait de l'effet de fluidité de la position de sécurité. En installant quelque chose pour sécuriser votre environnement, vous créez un nouveau problème de sécurité potentiel.
Les autres exemples d'effet de fluidité de la position de sécurité abondent. La description de Steve Riley, indiquant pourquoi la norme 802.1x présentait certains problèmes sur les réseaux filaires (microsoft.com/technet/community/columns/secmgmt/sm0805.mspx) est un autre excellent exemple. Naturellement, l'exploitation de pare-feu basés sur l'hôte est particulièrement souhaitable dans de nombreux environnements. Cependant, s'ils sont utilisés avec la norme 802.1x, leur combinaison rend une attaque possible alors que ce n'était pas le cas auparavant. Encore une fois, une technologie de sécurité modifie la position de sécurité de l'environnement et rend possible une attaque là où elle était impensable auparavant.
Ceci ne veut en aucun cas dire que ces mesures sont inutiles et doivent être évitées. Par contre, vous devez réfléchir aux implications des modifications en termes de sécurité à l'échelle de l'entreprise. Lorsque vous procédez à l'évaluation des risques, vous devez tenir compte de l'effet de vos actions et des mesures préventives. Lors de la circonscription d'un problème, vous ne pouvez pas vous cantonner aux contre-mesures. De façon très concrète, la sécurité est un processus. Vous devez appliquer la stratégie de défense en profondeur, tout en considérant la façon dont vos mesures défensives affectent votre position de sécurité et comment vous allez faire face aux nouvelles menaces qui émergent suite à l'application de votre stratégie.

Stratégie de renforcement en pleine maturité
J'ai travaillé sur les directives de renforcement pendant plus de 10 ans. Lorsque je reviens sur mes premiers guides, je m'aperçois qu'il ne s'agit que de listes de paramètres que, mes collègues et moi-même, pensions essentielles. La stratégie d'alors concernant la sécurité était naïve. En gros, si quelque chose était conçu pour apporter de la sécurité, ce quelque chose devait être activé. Le fait que ces fonctionnalités devaient être le plus souvent désactivées ne semblait préoccuper personne.
Enfin, j'ai découvert que pour un renforcement efficace, il fallait davantage de réflexion sur le processus de renforcement et prendre en compte les menaces qui pèsent sur le système. Cette révélation a débouché sur la liste de scénarios qui figurent dans le guide de renforcement de Windows 2000, Security Hardening Guide (go.microsoft.com/fwlink/?LinkID=22380). La progression naturelle consiste à répartir les conseils en fonction de différents niveaux de menace, ce qui est abordé dans le Windows Server 2003 Security Guide (go.microsoft.com/fwlink/?linkid=14846).
Pendant tout ce temps, je ne pouvais m'empêcher de penser qu'il était toujours possible de s'infiltrer dans un système, même si tous les conseils sont mis en œuvre. Ceci était dû au fait que des correctifs pouvaient avoir été ignorés, qu'une pratique opérationnelle laissait un accès béant ou que des logiciels non sécurisés d'éditeurs étaient installés.
En fait, les procédures de renforcement de ces deux guides n'ont pas amélioré la position de sécurité globale de façon significative. Tout ceci est dû à quelques éléments clés. En fait, le système le plus sécurisé que j'ai jamais créé (msdn2.microsoft.com/library/aa302370) n'appliquait que quatre ou cinq réglages de ces guides de sécurité, et aucun d'entre eux n'est parvenu à arrêter les attaques auxquelles ils étaient soumis. Malheureusement, les utilisateurs demandent un grand bouton bleu « Sécurisez-moi » qui renforce les systèmes de façon automatique, mais la sécurité est plus compliquée que cela.

Comment approcher les risques
Pour être protégé (par opposition à l'état fini de la sécurisation), vous devez approcher les risques de façon raisonnable. Vous devez comprendre les risques auxquels vous êtes exposé, déterminer ceux que vous devez limiter, puis comprendre comment procéder. Tout ceci ne se fait pas en sélectionnant des options.
En général, ces options de sécurité sont conçues pour des scénarios spécifiques et ne créent pas nécessairement la meilleure configuration pour votre scénario. Au contraire, ils créent un bon point de départ et sont disponibles principalement parce que le marché exige ces mesures rapides de renforcement. La plupart sont déjà activées par défaut sur les logiciels modernes. Celles qui ne le sont pas risquent d'avoir des effets secondaires significatifs.
De plus, le fait d'activer de nombreuses options risque de produire un système impossible à prendre en charge et instable qui ne peut pas exécuter les tâches à exécuter, tout simplement pour contrôler des risques qui n'ont pas encore été énumérées. L'effet de fluidité de la position de sécurité et la physique quantique nous imposent de procéder à une nouvelle analyse après la procédure de sécurisation, mais trop d'organisations ignorent ceci. En fait, elles n'analysent pas les menaces en premier lieu. Si vous commencez par analyser les menaces, vous vous rendrez compte que pour faire la différence il ne suffit pas de procéder à des restrictions anonymes sur les listes de noms de compte et les modifications globales des listes de contrôle d'accès.
Par contre, pour faire vraiment la différence, il faut déterminer si votre système doit fournir un service particulier et, dans l'affirmative, à qui, puis appliquer cette stratégie. Ce qui fait la différence, c'est de s'assurer que seuls les systèmes et les utilisateurs qui ont absolument besoin de communiquer avec vous y sont autorisés. Ce qui fait la différence, c'est de s'assurer que toutes les applications et tous les utilisateurs ont le moins de privilèges possibles. En bref, ce que fait la différence c'est d'adopter une approche raisonnable par rapport à la sécurité et de procéder à une analyse difficile, de façon à permettre à chaque système de prendre la responsabilité de sa propre sécurité.
C'est pourquoi l'approche actuelle concernant la sécurité consiste à exploiter des outils tels que l'isolation de serveurs et de domaines (microsoft.com/sdisolation), l'Assistant de configuration de la sécurité (SCW) des produits Windows Server® et les outils du Gestionnaire de serveurs pour gérer les rôles dans Windows Server 2008. Ces outils mettent à votre portée le processus de compréhension des scénarios à prendre en charge et vous aident à verrouiller vos systèmes en fonction de leur contexte opérationnel. Il est évident que ces outils ne sont pas une panacée, mais ils offrent une configuration durable qui exécute les tâches pour lesquelles vous avez acheté le logiciel.

Application de la sécurité en fonction des besoins
Ceci signifie que vous ne pouvez pas vous reposer sur d'autres entités ou de simples réglages pour assurer la sécurité de vos systèmes. Chaque actif doit être capable de se défendre lui-même, car des concepts tels que « périmètre » et « réseau interne » ne veulent plus rien dire.
La vaste majorité des réseaux organisationnels sont, au mieux, semi-hostiles. Vous devez comprendre ceci et prendre les mesures qui s'imposent, sans vous reposer sur des mesures ponctuelles de renforcement. Pour commencer, identifiez clairement vos besoins. Demandez l'avis d'autres personnes susceptibles de comprendre vos besoins.
Un invité sur un webcast a recommandé récemment aux responsables des petites entreprises de se rendre sur le site du ministère de l'intérieur des États-unis afin de télécharger un guide de renforcement pour Internet Explorer®. Pourquoi voulez-vous qu'une agence gouvernementale chargée de protéger l'armée et les institutions de protection de la sécurité nationale fournisse un avis raisonnable sur la façon de sécuriser un navigateur Web dans une petite entreprise ? Ceci est un exemple type de dérives toujours ancrées dans le domaine de la sécurité informatique. L'idée derrière ce concept est que si ces conseils sont fournis par un organisme gouvernemental prestigieux, ils doivent déboucher sur une sécurité à toute épreuve.
Ce choix se présente d'ordinaire sous forme de décision binaire : vous pouvez avoir une « sécurité maximale » ou une « sécurité minimale ». Une meilleure formulation serait entre une « sécurité maximale » ou une « sécurité adaptée ». Il n'existe pas encore de « prêt à sécuriser ».
En fait, la sécurité maximale ne s'adresse pas à tous et d'ailleurs est à déconseiller à la plupart ! Elle ne doit pas constituer un objectif ultime que vous vous efforcerez d'atteindre. Il s'agit en fait d'une configuration spécialisée pour les systèmes où des personnes risquent de mourir en cas de violation du système. Si cela correspond à votre profil de risque et de menace, recourez à la sécurité la plus élevée.
Par contre, si ceci n'y correspond pas, utilisez quelque chose de plus adapté. Il est plus que probable, que les réglages que vous pouvez configurer sont déjà définis correctement au niveau d'un profil de risque modéré par défaut. Cet état par défaut, utilisé dans la plupart des produits Microsoft actuels, offre un compromis raisonnable entre la sécurité et le caractère utilisable, l'utilité et les performances. Pour ce qui est du renforcement, ce dernier est généralement effectué à votre place.
Vous devez à présent prendre en compte d'autres étapes de sécurité. Le meilleur point de départ est le centre de sécurité TechNet (microsoft.com/technet/security) ainsi, bien sûr, que des livres tels que Windows Server 2008 Security Resource Kit.

Tout est une affaire de gestion des risques
Vous avez probablement déjà compris où je veux en venir : la gestion des risques. Le message clé du principe d'incertitude de Heisenberg est que vous devez établir des compromis. Cette partie du principe n'est pas difficile à comprendre.
Le message du chat de Schrödinger, cependant, tend à être ignoré par la plupart des personnes. Il est non seulement important d'analyser tous les aspects du problème et d'établir des compromis, mais encore vous devez prendre en compte les modifications introduites par vos solutions. Une bonne stratégie de gestion des risques analyse la façon dont ces modifications influent sur le système et détermine si ces modifications ont été implémentées dans le cadre d'une stratégie d'atténuation des risques ou pour toute autre raison.

Pertes annuelles prévisibles
La façon la plus commune de quantifier le risque, et la méthode enseignée dans la plupart des cours de certification sur la sécurité, est l'équation de pertes annuelles prévisibles (ALE), présentée à la figure 2. L'équation standard est simple. Vous déterminez la probabilité d'un incident et le coût de chaque occurrence, puis multipliez les deux valeurs. Vous obtenez ainsi le montant annuel à payer pour les incidents de sécurité. Si le coût du risque atteint une certaine valeur, vous mettez en œuvre des mesures d'atténuation.
Figure 2 L'équation de pertes annuelles prévisibles correspond à la probabilité d'une perte, multipliée par le coût de la perte par incident.
Figure 2 L'équation de pertes annuelles prévisibles correspond à la probabilité d'une perte, multipliée par le coût de la perte par incident.
Le problème est que l'équation de pertes annuelles prévisibles ne prend pas en compte le coût de l'atténuation. Non seulement l'atténuation a un coût inhérent, mais de nombreuses mesures d'atténuation ont des effets secondaires, ce qui entraîne également un coût.
Prenons par exemple l'un des réglages de sécurité les plus courants : le verrouillage de compte. De nombreuses organisations déploient le verrouillage de compte, en apparence pour empêcher les attaquants de deviner leurs mots de passe. Vous pouvez calculer de façon mathématique la probabilité de déchiffrage d'un mot de passe par un attaquant. Si vous êtes créatif, vous pouvez également calculer le coût moyen de toute violation résultant du déchiffrage du mot de passe. Sur la base de ces deux valeurs, de nombreuses organisations ont déterminé que les pertes annuelles prévisibles sont trop élevées et ont par conséquent mis en œuvre le verrouillage de compte.
Cependant, ce type d'atténuation a un coût qui risque d'être ignoré. Il y a le coût de mise en œuvre de la mesure d'atténuation en elle-même, bien que ce dernier soit relativement minimal. Pour être précis, le calcul doit inclure également les coûts des effets secondaires qui résultent de la mesure d'atténuation.
En premier, il existe un coût associé au déverrouillage des comptes utilisateur par le service de support technique. Si un compte reste verrouillé pendant une courte période, 15 minutes par exemple, il faut prendre en compte la productivité perdue pendant cette période. Ce facteur dépend du coût de chaque incident, multiplié par la probabilité d'incidence au cours de la période donnée. Dans ce cas, vous devez multiplier le coût par le nombre prévu d'événements de verrouillage, un nombre que vos historiques sont probablement en mesure de vous fournir.
Vous devez également prendre en considération le facteur d'aggravation par l'utilisateur. Des preuves non scientifiques indiquent que les utilisateurs tendent à employer des mots de passe moins compliqués s'ils sont sujets à des verrouillages de compte, dans la mesure où ces mots de passe sont plus faciles à saisir. Par conséquent, la probabilité de l'incident que nous souhaitons éviter n'est pas tout à fait égale à zéro après avoir mis en œuvre l'atténuation.
Enfin, des vulnérabilités peuvent avoir été introduites dans le système par la mesure d'atténuation. Dans le cas du verrouillage de compte, un attaquant peut utiliser cette fonctionnalité pour désactiver l'ensemble des comptes du réseau simplement en devinant leurs mots de passe de façon inexacte et répétée. Il existe une probabilité de rencontre cette situation, ainsi qu'un coût associé à chaque incident.
En prenant tous ces facteurs en compte, il est clair que vous devez revoir votre équation de pertes prévisibles. Tout d'abord, vous devez modifier la probabilité de l'incident. La probabilité de réalisation de cet incident doit être maintenant inférieure à la situation précédente, même si elle reste légèrement supérieure à zéro. Le coût de chaque incident peut également avoir changé. À ce produit vous devez ajouter le coût de la mesure d'atténuation elle-même. Ce coût est composé du coût de mise en œuvre, plus la somme du coût annuel de tous les effets secondaires. Chacun de ces coûts annualisés est le produit de la probabilité de réalisation de l'effet secondaire et le coût de chaque incident lié à cet effet secondaire. En simplifiant un peu la présentation de l'équation, vous disposez désormais d'une équation d'analyse de risque plus précise, comme illustré à la figure 3.
L'équation améliorée de la figure 3 permet d'analyser de façon beaucoup plus précise le risque associé à un problème particulier. De nombreuses entreprises ont déjà analysé leurs risques de cette façon. Cependant, un trop grand nombre conserve toujours une vue simpliste du risque qui ne met pas suffisamment en avant la nécessité d'analyser l'impact des mesures d'atténuation. En utilisant l'équation modifiée de prévision des pertes annuelles, vous rendez cette analyse incontournable.
Figure 3 Prise en compte des coûts supplémentaires des mesures d'atténuation
Figure 3 Prise en compte des coûts supplémentaires des mesures d'atténuation

Synthèse
Si vous ne faites qu'une chose après avoir lu cet article, ce doit être de remettre en cause les lieux communs qui sous-tendent les stratégies de sécurité. Dans le domaine de la sécurité des informations, nous souffrons le plus souvent d'une vue stéréotypée et plate du monde. Et la plupart de nos suppositions sont maintenant obsolètes.
Les attaques ont changé. Les attaquants sont désormais des professionnels, agissent pour l'argent, la suprématie nationale et par idéologie. Vous ne pouvez pas vous permettre de perdre du temps et de l'argent sur des réglages de sécurité qui ne n'apportent rien. Par conséquent, vous devez adopter une approche beaucoup plus évoluée de la gestion des risques.
Tout d'abord, il est important d'admettre qu'il faut établir des compromis à tous les niveaux. Vous ne pouvez pas tout savoir avec certitude.
Deuxièmement, vous devez comprendre que vous fonctionnez dans un système interdépendant. En introduisant des modifications de sécurité dans ce système, vous modifiez le système lui-même, ce qui signifie que vous devez l'analyser à nouveau sous cet angle.
De préférence, ceci doit se faire avant l'implémentation des modifications, car trop souvent elles ont un tel impact sur le système qu'elles font plus de mal que de bien. En utilisant mieux les outils d'analyse qui vous rappellent justement d'analyser ces modifications, il est peu probable que vous les oubliiez.
Enfin, ne sous-estimez jamais le facteur humain. Toutes vos interventions dans le domaine de la sécurité d'information doivent avoir pour objectif de permettre à l'organisation et ses utilisateurs de travailler de façon aussi sûre que possible.
Au cours d'une présentation récente, j'ai fait remarquer que je n'avais pas encore rencontré un seul utilisateur aujourd'hui qui ait acheté son ordinateur spécialement pour exécuter un logiciel antivirus. La sécurité est votre objectif principal, mais ce n'est pas l'objectif principal de l'entreprise. Les organisations qui se contentent de tolérer la sécurité parce que c'est dans leur intérêt, le font actuellement. N'oubliez pas que le groupe de sécurité des informations est là pour servir l'entreprise et non pas l'inverse. Si vous négligez ceci, les utilisateurs feront tout leur possible pour faire leur travail, même si cela implique le contournement de mesures de sécurité qu'ils ne comprennent pas ou n'acceptent pas.

Jesper M. Johansson est architecte de logiciels, chargé des problèmes de sécurité logicielle et contribue à l’élaboration de TechNet Magazine. Titulaire d'un doctorat en gestion des systèmes d'information, il a plus de 20 ans d'expérience dans le domaine de la sécurité et est MVP Microsoft dans la sécurité d'entreprise. Son dernier ouvrage s'intitule Windows Server 2008 Security Resource Kit.


 Histoires de Bureau: Adieu &#224; l'administrateur
Histoires de Bureau
Adieu à l'administrateur
Wes Miller

Il y a plus de trois ans, j'ai commencé à transférer mon compte utilisateur sur mon système Windows principal du compte administrateur local au compte utilisateur local. Je travaillais alors chez Microsoft depuis plus de sept ans et je m'étais toujours connecté à Windows en tant qu'administrateur avec des privilèges complets. C'était certes commode, mais ce manque de sécurité effrayant
souligne la remarquable chance que j'ai eue (que tant parmi nous continuent de narguer) à me connecter en tant qu'administrateur tous les jours sans avoir causé davantage de dégâts aux systèmes.
Je me surprends souvent à souhaiter qu'il existe des statistiques précises à cet égard, mais mon instinct et le secteur dans son ensemble me disent que bien trop d'organisations, et de professionnels de l'informatique, exécutent leurs systèmes en tant qu'administrateurs locaux. À Winternals, lorsque j'ai commencé à exécuter mon système en tant qu'utilisateur, c'était avec l'intention de découvrir à quel point c'était difficile (en tant que « prosommateur »), et d'essayer de comprendre comment notre produit, Winternals Protection Manager, pourrait aider une organisation moyenne. Étant donné que la plupart des organisations autorisaient et autorisent toujours leurs employés à exécuter leurs systèmes en tant qu'administrateurs, notre objectif était de permettre aux administrateurs de se connecter en tant qu'utilisateurs, et de faciliter au maximum cette transition. Quelle que soit la technologie que vous utilisez, il n'est pas facile de transformer une organisation où les utilisateurs exécutent leurs systèmes en tant qu'administrateurs en une organisation où ils restent de simples utilisateurs, mais il s'agit du moyen le plus efficace de réduire la surface d'attaque au sein de votre organisation. Vous pourriez voir cela comme une sorte de pare-feu intra-système, car c'est exactement ce dont il s'agit !

Comment en sommes-nous arrivés là ?
Le défi que je vous lance : éprouvez la douleur
Si vous n'avez pas encore pensé à transformer vos administrateurs en utilisateurs, vous devriez sérieusement envisager de le faire. Je vous encourage d'ailleurs à commencer par essayer vous-même. Non, pas sur un ordinateur secondaire, ce serait tricher ! Essayez sur votre système principal, celui que vous utilisez tous les jours. Je vous encouragerais même à essayer sans utiliser le contrôle de compte d’utilisateur (UAC) si vous exécutez Windows Vista®. Lorsque vous voulez prêcher une idée impliquant un changement au sein de votre organisation, il est souvent judicieux de montrer l'exemple et d'être le premier à la pratiquer. Vous vous rendrez compte, je pense, qu'il n'est pas vraiment difficile d'exécuter son système en tant que non administrateur, surtout en sachant que vous renforcez ainsi la sécurité du réseau informatique de votre organisation.

Le fait que la plupart des utilisateurs exécutent leurs systèmes en tant qu'administrateurs est enraciné dans l'histoire même de Windows®. Avec les premières versions de Windows, c'est-à-dire avant Windows NT® 3.1, chaque utilisateur interactif possédait autant de droits que son voisin. D'un point de vue fonctionnel, la sécurité était inexistante. À la maison, cela n'était pas très important ; cela signifiait simplement que tous les logiciels s'installaient la même façon. On partait du principe que l'utilisateur était le propriétaire de l'ordinateur et que tous les logiciels étaient installés pour tous les utilisateurs de cet ordinateur.
Lorsque Windows NT est apparu, il n'a pas immédiatement pris d'assaut le marché des entreprises (et encore moins le segment grand public). Et du fait de la compatibilité Win32® entre Windows 32 bits et Windows NT, la plupart des fournisseurs d'applications n'ont pas reconstruit leurs applications uniquement pour accommoder l'infrastructure de sécurité de Windows NT. En fait, ce n'est vraiment qu'avec Windows 2000 que de nombreux fournisseurs de logiciels indépendants orientés grand public ont commencé à se soucier de Windows NT. Et c'est Windows XP, bien sûr, qui a enfoncé le clou en mettant fin à la famille 9x de Windows.
Malgré cela, ont continué de déferler sur le marché des applications qui partaient du principe que chaque utilisateur du système dispose des droits d'écriture dans Program Files (ce n'est pas le cas des utilisateurs), dans la clé HKEY_LOCAL_MACHINE (HKLM) du Registre (ce n'est pas le cas des utilisateurs) et dans la clé HKEY_CLASSES_ROOT (ce n'est pas le cas des utilisateurs). Les jeux sont souvent parmi les pires logiciels à ignorer les restrictions d'accès ; voir l'article de Matt Clapham à ce sujet sur à l'adresse technetmagazine.com/issues/2007/02/Gaming.
Le problème réside dans le fait que la plupart des applications inter-système stockent leurs fichiers et paramètres de Registre dans ces emplacements, et que vous devez pouvoir lire et écrire dans ces emplacements pour pouvoir les installer. Malheureusement, certaines applications s'évertuent à écrire dans ces clés après leur installation. Par exemple, ma fille possède un jeu basé sur Flash. Il tente d'installer un lecteur personnalisé à chaque exécution, ce qui signifie que lorsque ma fille est connectée en tant qu'utilisateur, et non administrateur, l'application ne démarre pas et lance une erreur irrécupérable. Cet exemple est certes quelque peu extrême et concerne une application grand public, mais la réalité est que de nombreuses applications qui ne sont pas destinées au grand public ne fonctionnent toujours pas correctement dans le monde des utilisateurs non administrateurs. En fait, si vous relevez mon défi (voir l'encadré, « Le défi que je vous lance : éprouvez la douleur »), vous découvrirez que Windows lui-même ne tolère pas d'être exécuté en mode utilisateur.
Si vous jetez un coup d'œil à la figure 1, vous verrez à quoi ressemble l'exécution de IPConfig/release en tant qu'utilisateur sur Windows XP. Si vous comparez cela à la figure 2, vous verrez que cette même commande sous Windows Vista n'est pas vraiment meilleure, mais vous savez au moins pourquoi elle échoue. Notez que les outils réseau dans leur ensemble ont été améliorés pour permettre aux utilisateurs d'actualiser leurs adresses IP. De même, l'exécution de Gestion de l’ordinateur (compmgmt.msc) en tant qu'utilisateur sous l'une ou l'autre version vous permet d'effectuer un nombre limité de tâches, mais qui aboutissent généralement à des impasses, comme illustré à la figure 3. Si Windows Vista n'active pas par défaut un grand nombre des outils présents dans Gestion de l'ordinateur, il affiche en revanche les messages d'accès refusé plus clairement.
Figure 1 Exécution en tant qu'utilisateur sous Windows XP
Figure 1 Exécution en tant qu'utilisateur sous Windows XP
Figure 2 Exécution en tant qu'utilisateur sous Windows Vista
Figure 2 Exécution en tant qu'utilisateur sous Windows Vista
Figure 3 Message trompeur après l'exécution de compmgmt.msc en tant qu'utilisateur sous Windows XP
Figure 3 Message trompeur après l'exécution de compmgmt.msc en tant qu'utilisateur sous Windows XP

Pourquoi c'est important
Mais alors, pourquoi devriez-vous vous y intéresser ? Parce que nous, en tant que professionnels de l'informatique, devrions commencer à obliger les applications à s'aligner sur les utilisateurs de moindre privilège, au lieu de les laisser supposer que l'utilisateur interactif est le propriétaire du système.
Malheureusement, les stratégies qui permettent aux administrateurs d'écrire dans les clés de Registre accordent également à n'importe quel logiciel malveillant exécuté dans leur contexte utilisateur un accès complet à tout ce qui ne lui a pas été explicitement refusé via les listes de contrôle d'accès (ACL). Dans le monde d'UNIX, les gens suivent la règle qui consiste à ne pas exécuter le système en tant que root (l'équivalent fonctionnel du compte administrateur de Windows), principalement parce que l'écosystème de logiciels qui repousse les limites du modèle de sécurité est minuscule voire inexistant.
La meilleure chose à faire est de suivre la même règle et de ne vous connecter en tant qu'administrateur que lorsque c'est absolument nécessaire ou, encore mieux, d'exécuter uniquement des applications individuelles en tant qu'administrateur. Ce faisant, vous activez le pare-feu intra-système que j'ai mentionné précédemment. Si des logiciels malveillants ou espions tentent alors d'infecter votre système en essayant d'effectuer une action non autorisée (installation d'un service ou d'un pilote ou installation pour tous les utilisateurs, par exemple), ils échouent car ils ne peuvent pas écrire dans le Registre ou le système de fichiers. Vous permettez en outre aux logiciels anti-programme malveillant de contenir les logiciels malveillants qu'ils reconnaissent sans mettre en danger le système entier.
Notez, toutefois que les utilisateurs ne sont pas à l'abri des attaques. Bien qu'ils ne soient pas encore très répandus, certains logiciels malveillants sont capables d'infecter le contexte d'un utilisateur individuel ou de détruire ses données. Les risques d'attaque posés par de tels logiciels sont, toutefois, limités. Par conséquent, les facteurs qui contribuent à limiter les instances de logiciels malveillants sur Linux ou Macintosh (le nombre de victimes potentielles très bas décourage les auteurs de logiciels malveillants) peuvent aujourd'hui aider à assurer la sécurité générale de vos utilisateurs finaux, et de vous-même.

Qu'en est-il des utilisateurs avec pouvoir ?
Lorsque nous développions Protection Manager, les clients émettaient souvent le commentaire suivant : « Nous exécutons Windows XP avec tous nos utilisateurs connectés en tant qu'utilisateurs avec pouvoir et non en tant qu'administrateurs. Nous sommes donc en sécurité ». Malheureusement, les utilisateurs avec pouvoir ne sont pas loin d'être des administrateurs. Il existe plusieurs failles potentielles qui pourraient, avec un peu de travail, permettre à un utilisateur avec pouvoir Windows XP de devenir un administrateur. En fait, le groupe Utilisateurs avec pouvoir a été éliminé sur Windows Vista et Windows Server® 2008 ; seul un système mis à niveau depuis une précédente version de Windows comportera un groupe Utilisateurs avec pouvoir. En résumé, vous devriez toujours éviter d'utiliser le groupe Utilisateurs avec pouvoir, même si vous utilisez Windows XP.

Autorisations avec pertes
Si vous lisez mon article du mois de mars sur les clients légers Windows (technetmagazine.com/issues/2008/03/DesktopFiles), vous verrez que j'y avais déconseillé l'allègement de Windows XP afin de gagner de l'espace. Dans la même veine, il existe une pratique courante permettant aux administrateurs de devenir des utilisateurs et que vous devriez envisager, bien qu'avec précaution. Il s'agit de la pratique consistant à ajuster les ACL sur le Registre et le système de fichiers afin que les utilisateurs puissent écrire dans des emplacements qui leur sont normalement interdits et activer ainsi des applications problématiques.
Évidemment, la meilleure solution est d'utiliser une version mise à jour d'une application qui ne nécessite pas une telle modification, mais cela n'est pas toujours possible. Si vous devez modifier des autorisations (c'est-à-dire les annuler), procédez avec précaution. Souvenez-vous que le pare-feu entre un utilisateur et un administrateur est principalement défini par les autorisations d'accès au Registre et au système de fichiers. En étendant ces autorisations à tous le monde, vous affaiblissez votre protection et élargissez potentiellement la surface d'attaque exposée aux logiciels malveillants. Soyez donc très prudent.

Qu'en est-il du contrôle de compte utilisateur (UAC) ?
Aucune discussion concernant la transition entre le statut d'administrateur et celui d'utilisateur n'est complète si elle n'inclut pas le Contrôle de compte utilisateur (UAC) de Windows Vista. L'UAC, tout comme la fonctionnalité similaire sur le système d'exploitation Mac OS X, vous permet d'exécuter le système « en tant qu'administrateur » sans vous exposer à beaucoup de risques.
Comment cela fonctionne-t-il ? Jetons un coup d'œil, à la figure 4, à ce que Process Explorer indique au sujet de cmd.exe. L'instance du cmd.exe de droite a été lancée sans élévation, et je suis connecté en tant qu'administrateur. Par conséquent, bien que l'utilisateur de droite soit identique à celui de gauche (où le cmd.exe a été lancé avec élévation), l'application elle-même ne contient pas les privilèges et jetons requis pour lui permettre (à elle et à l'utilisateur exécutant cette instance) d'effectuer des tâches qui nécessitent des droits administratifs. Le rôle de l'UAC est de réduire la surface d'attaque dans le contexte interactif d'un utilisateur. Le seul problème est que quelque chose doit dire à Windows que cette tâche nécessite des privilèges d'administrateur et que l'utilisateur peut autoriser l'élévation requise pour compléter cette tâche.
Figure 4 Deux instances de cmd.exe avec des privilèges différents
Figure 4 Deux instances de cmd.exe avec des privilèges différents
Les petites icônes en forme de bouclier dans Windows Vista vous indiquent les tâches qui nécessitent une élévation (voir la figure 5). Ces tâches nécessitent une élévation à chaque fois que vous les exécutez, et ceci est l'une des faiblesses de Windows Vista que la presse a choisi de mettre en évidence. L'alternative, qui consiste conserver en mémoire les informations d'identification, pose une menace de sécurité potentielle qui pourrait être utilisée pour exploiter plus facilement le système.
Figure 5 Les icônes en forme de bouclier de Windows Vista indiquent le besoin d'élévation
Figure 5 Les icônes en forme de bouclier de Windows Vista indiquent le besoin d'élévation
Si le contrôle de compte d'utilisateur est activé et que vos utilisateurs s'exécutent simplement en tant qu'utilisateurs, ils seront invités à fournir une série d'informations d'identification administratives lorsqu'une application nécessite des privilèges d'administrateur. Notez, dans ce cas comme lorsque vous utilisez runas ou psexec, que l'application s'exécute littéralement dans le contexte de l'utilisateur dans lequel vous l'avez lancée, contrairement au mode administrateur sous UAC. Dans ce cas, les tâches s'exécutent dans votre contexte, mais avec des privilèges élevés.

Vous exécutez Windows Vista en tant qu'utilisateur ?
Ma préférence personnelle est d'exécuter Windows Vista en tant qu'utilisateur et non pas administrateur avec UAC, parce que je crois que, dans une entreprise moyenne, cette méthode est toujours la meilleure. Vos utilisateurs disposent ainsi d'un contrôle total sur leurs systèmes et vous réduisez aussi les possibilités d'attaque par des logiciels malveillants.
En outre, si vous envisagez de gérer vos utilisateurs avec la Stratégie de groupe, les logiciels anti-virus, les logiciels anti-programme malveillant ou autres et que vous voulez contrôler vous-mêmes si ces tâches sont appliquées ou complétées, il est très important de veiller à ce que vos utilisateurs finaux ne se connectent pas en tant qu'administrateurs. Si vos utilisateurs sont des administrateurs, ils peuvent arrêter des services, ajouter ou supprimer des pilotes, etc. Bien sûr, un utilisateur final astucieux qui exécute son système en tant qu'utilisateur peut utiliser Windows PE pour contourner certains obstacles de sécurité. BitLocker® peut augmenter la difficulté d'une telle opération, mais là aussi, n'oubliez pas que les utilisateurs finaux disposant d'un accès physique peuvent faire ce qu'ils veulent à leur machine pour peu qu'ils aient le temps, les connaissances et l'enthousiasme nécessaires.
L'exécution de Windows Vista en tant qu'utilisateur n'est pas très différente de l'exécution de Windows XP dans le même mode. J'utilise les mêmes outils, PSExec, RunAs et, à présent, UAC pour exécuter des tâches en tant qu'administrateur lorsque cela s'avère nécessaire. La bonne nouvelle est que bon nombre de tâches qui nécessitaient des privilèges d'administrateur dans Windows XP ne les exigent plus. Par exemple, un utilisateur Windows Vista peut installer une imprimante locale. (Les imprimantes réseau pouvaient être installées par les utilisateurs dans Windows XP, mais l'installation d'une imprimante locale nécessitait des privilèges d'administrateur). Dans Windows Vista, tant que l'utilisateur contrôle physiquement la machine et que le pilote d'imprimante est dans le magasin de pilotes, l'utilisateur peut installer et utiliser une imprimante (voir go.microsoft.com/fwlink/?LinkId=111534 pour plus d'informations). Notez que cette fonctionnalité est désactivée dans Windows Server 2008.
Bien sûr, les utilisateurs se moquent souvent de la présence (ou de l'absence) de la fonctionnalité Horloge lorsqu'ils exécutent Windows XP en tant qu'utilisateurs. Si vous essayez de double-cliquer sur l'horloge en tant qu'utilisateur (chose que l'on a souvent tendance à faire pour voir la date, que cette fonctionnalité ait été conçue à cet effet ou pas), vous obtenez l'erreur illustrée à la figure 6. Pas très convivial. Dans Windows XP, vous pouvez modifier la stratégie afin que les utilisateurs puissent effectuer cette opération, mais dans Windows Vista, elle a déjà été modifiée à cet effet. Ainsi, l'exécution du système en tant qu'utilisateur, que vous utilisiez le contrôle de compte d'utilisateur ou que vous vous connectiez en tant qu'utilisateur formel puis passiez à un autre utilisateur, est généralement plus acceptable sur Windows Vista que sur Windows XP.
Figure 6 Dans Windows XP, les utilisateurs qui n'exécutent pas le système en tant qu'administrateurs ne peuvent pas modifier l'heure
Figure 6 Dans Windows XP, les utilisateurs qui n'exécutent pas le système en tant qu'administrateurs ne peuvent pas modifier l'heure

Il y a des limites !
N'oubliez pas que le fait de faire de vos utilisateurs des non-administrateurs n'est pas une panacée. Les utilisateurs finaux assidus se trouvent toujours physiquement sur leur propre PC, et ils peuvent exploiter leurs propres systèmes comme ils l'entendent, surtout si la stratégie ou les privilèges Utilisateur les gênent ou les empêchent de faire leur travail.
Si vos utilisateurs sont connectés en tant qu'administrateurs, ils peuvent aisément contourner la Stratégie de groupe qui a été mise en place. Bien sûr, avec un peu plus de travail, les utilisateurs peuvent démarrer sur Windows PE et modifier des autorisations auxquelles ils n'ont pas normalement accès. En utilisant BitLocker ou un autre chiffrement de lecteur/volume, vous pouvez, toutefois, rendre cette opération impossible ou du moins plus difficile.
La chose la plus importante que vous puissiez faire si votre organisation n'a pas encore commencé cette transition vers le mode Utilisateur est de vous familiariser avec les raisons pour lesquelles votre organisation et vous devriez consacrer du temps, de l'argent et des efforts pour convaincre les utilisateurs de ne plus exécuter leurs systèmes en tant qu'administrateurs.
Bien sûr, il n'est pas aisé d'oublier les applications héritées, mais si vous avez une application qui ne peut pas être exécutée en mode Utilisateur, vous ne devriez pas la garder au risque de compromettre la sécurité de votre organisation. Vous devriez penser à virtualiser cette application, c'est-à-dire la transférer littéralement sur une machine virtuelle que l'utilisateur exécute en tant qu'administrateur. Vous pouvez ainsi exécuter l'application comme elle doit l'être tout en sécurisant le reste du système en transformant les administrateurs en utilisateurs.
Notez que dans cet article, je n'ai pas utilisé une seule fois le mot « verrouillage » ou tout autre mot qui en dérive. Nombreux sont ceux qui utilisent un tel mot pour décrire le passage du mode Administrateur au mode Utilisateur. C'est probablement dû à ma formation de psychologue de formation ou à mon engagement actuel dans le marketing, mais je pense qu'il est important de ne pas utiliser des mots qui peuvent pousser vos utilisateurs finaux à penser que leurs privilèges leur ont été ravis (bien que ce soit le cas au niveau sémantique).
Au lieu de cela, concentrez-vous sur les avantages en matière de sécurité que cette opération apporte à l'organisation et mettez en place un bon plan pour les cas limites où un utilisateur spécifique ne peut absolument pas exécuter son système en tant qu'utilisateur ou où une tâche particulière nécessite des privilèges administratifs. Que vous utilisiez un outil manuel tel que mon script Run.vbs (que vous trouverez à la page technetmagazine.com/issues/2007/03/DesktopFiles) ou une solution commerciale pour vous aider à faire la transition (ainsi qu'à cacher les détails à vos utilisateurs finaux et à bien faire les choses), il est important de commencer à emprunter la voie non administrateur le plus tôt possible. Aaron Margosis, qui collabore fréquemment à TechNet Magazine, est un partisan indéfectible du mode non administrateur. Si vous n'êtes pas familier avec son blog, consultez-le vite! Il représente la meilleure source d'informations sur ce sujet (voir blogs.msdn.com/aaron_margosis). 

Wes Miller est actuellement responsable de produit technique senior pour CoreTrace (www.CoreTrace.com) à Austin au Texas. Il a auparavant travaillé chez Winternals Software et comme responsable de programme pour Microsoft. Vous pouvez contacter Wes à l’adresse suivante : technet@getwired.com.


 Sur le terrain: Plusieurs souris, un seul PC
Sur le terrain
Plusieurs souris, un seul PC
Kentaro Toyama

L'Inde d'aujourd'hui est un pays de contrastes. D'une part, il s'agit d'une superpuissance informatique dont les esprits instruits développent des technologies pour les besoins informatiques du monde entier. D'autre part, 70 % des habitants du pays vivent toujours avec moins 2 dollars par jour. Ces extrêmes se rencontrent occasionnellement dans les salles informatiques des écoles publiques pauvres où l'on trouve au plus une poignée d'ordinateurs. Ces ordinateurs proviennent habituellement des dons, car les écoles n'ont pas de budget pour ceux-ci.
Dans ces environnements, le nombre d'élèves dépasse presque toujours le nombre d'ordinateurs. Il est courant de trouver des groupes de jusqu'à 10 enfants regroupés autour d'un ordinateur, et la terreur de la classe en prend généralement possession. Bien sûr, le terme « personnel » dans ordinateur personnel signifie que les PC ont été conçus pour être utilisés par une seule personne. À Microsoft Research Inde, nous nous sommes demandé comment permettre à un plus grand nombre d'enfants d'accéder à un ordinateur.
La solution était étonnamment simple : MultiPointTM permet de connecter plusieurs souris USB à un ordinateur, afin que chaque souris corresponde à un curseur de couleur différente à l'écran (research.microsoft.com/users/udaip/multipoint.htm). D'un point de vue pratique, cela crée un environnement multi-personnel, à l'image d'une console de jeu, afin que les logiciels éducatifs écrits pour le paradigme de souris multiples permettent à plusieurs enfants d'interagir simultanément avec un ordinateur.
Les jeunes élèves ont tout de suite adopté ce paradigme, en dépit du risque de chaos total à l'écran qui inquiétait les adultes. Au cours d'études rigoureuses menées auprès d'élèves de cinquième qui comparaient les configurations PC MultiPoint à cinq personnes aux configurations à PC unique et élève unique, les chercheurs ont fait plusieurs découvertes. Premièrement, les enfants interagissaient avec l'ordinateur et entre eux pendant des périodes plus longues lorsqu'ils avaient tous accès à une souris, probablement en raison du facteur d'amusement supplémentaire. Deuxièmement, il est important de concevoir des applications logicielles qui encouragent la collaboration au lieu de la concurrence pure, sinon certains enfants (en particulier les garçons) en viendront à un concours de rapidité à faible valeur éducative. Pour terminer, lorsque la collaboration était intégrée, les élèves apprenaient autant avec une application MultiPoint qu'avec un ordinateur individuel, tout du moins pour les tâches de rétention de vocabulaire simples. Des informations supplémentaires sur ces recherches sont disponibles sur le lien vers MultiPoint fourni précédemment.
Achetées en gros, les souris coûtent seulement quelques dollars chacune, ce qui signifie qu'en fournissant des applications éducatives MultiPoint aux écoles, le coût informatique par enfant peut être réduit de manière significative. Par exemple, un ordinateur de 500 dollars partagé par cinq élèves avec des souris à 5 dollars revient à 105 dollars par enfant, et tout ce qui permet de réduire le coût par élève est apprécié des responsables des budgets éducatifs.
Les groupes Unlimited Potential (microsoft.com/unlimitedpotential) et Education (microsoft.com/education) de Microsoft ont reconnu la valeur de MultiPoint pour les écoles aux ressources réduites. Pour faciliter une adoption rapide et répandue, ils ont publié un kit de développement logiciel permettant aux développeurs de contenu éducatif d'appliquer facilement ce paradigme de souris multiples dans leurs applications C#. Le SDK peut être téléchargé et utilisé gratuitement, et tout ordinateur équipé de Windows® peut exécuter les applications MultiPoint (microsoft.com/downloads).
En tant que programme sous la bannière Unlimited Potential, l'objectif du SDK MultiPoint est d'étendre la valeur de l'ordinateur à autant d'élèves que possible et pour cela, nous avons besoin de votre aide. Si vous développez une application éducative avec MultiPoint, n'hésitez pas à nous le faire savoir. Nous publierons les liens vers les meilleures participations sur les sites Web MultiPoint.
Quant à ce qui est à venir, Microsoft Research Inde et l'équipe Terminal Services envisagent une autre façon de partager un PC : Split Screen, où deux personnes, deux claviers et deux souris partagent un ordinateur et un moniteur. Ce dernier est fractionné au centre afin qu'une session distincte du système d'exploitation puisse s'exécuter de chaque côté. 

Kentaro Toyama est Directeur général adjoint de Microsoft Research Inde (research.microsoft.com/india) et chef de recherche du groupe Technology for Emerging Markets (research.microsoft.com/research/tem), qui développe des technologies pour les communautés économiquement pauvres du monde entier.


 La vie secr&#232;te de Windows: Les ic&#244;nes 16&#160;bits sont vraiment d&#233;mod&#233;es
La vie secrète de Windows
Les icônes 16 bits sont vraiment démodées
Raymond Chen

Comme je l'ai observé dans la chronique La vie secrète de Windows de février 2008, certaines fonctionnalités disparaissent bel et bien de Windows®. Cela se produit généralement lentement et imperceptiblement, tandis qu'une équipe produit fête silencieusement cet événement chaque fois qu'il survient. La capacité du code 32 bits à accéder à des icônes enregistrées dans des modules 16 bits, principalement des fichiers exécutables et des DLL 16 bits, est une autre fonctionnalité ayant disparu dans Windows Vista®.
Avant de vous révolter, n'oubliez pas que le code 16 bits peut toujours accéder aux icônes enregistrées dans les modules 16 bits ; cela se produit dans la couche d'émulation 16 bits. Ce qui a disparu, c'est la possibilité d'accéder à ces icônes à partir de code 32 bits, ou plus spécifiquement la capacité des fonctions d'extraction d'icône 32 bits telles que la fonction ExtractIcon de charger ces icônes depuis votre DLL 16 bits.
Le code 32 bits qui extrait les icônes des modules 16 bits ne peut malheureusement pas s'offrir le luxe d'utiliser des fonctions du noyau telles que FindResource pour trouver l'icône dans un fichier. Le code doit au lieu de cela implémenter son propre mini-chargeur qui analyse l'en-tête du module 16 bits, recherche la table des ressources et l'analyse ensuite à la recherche des ressources d'icône désirées. C'est seulement après avoir fait tout cela que le code 32 bits peut enfin convertir les pixels en icône.
Comme vous pouvez l'imaginer, le code qui fait cela est très ancien et fragile. Il comporte de nombreux risques d'erreur lors de l'analyse de fichiers binaires pouvant être corrompus, par erreur ou par malveillance. L'équipe chargée des performances demandera des modifications de la façon dont le fichier est ouvert afin d'améliorer les performances sur les réseaux, puisque différents modes d'ouverture et de partage ont des conséquences différentes pour la mise en cache en réseau. L'équipe responsable de la fiabilité peut demander à son tour que le code d'analyse soit réécrit pour éviter l'utilisation de fichiers mappés en mémoire. En fin de compte, le coût de maintenance de ce genre de code commence à dépasser la valeur qu'il offre. Parce que, vraiment, qui écrit encore des programmes 16 bits de nos jours ?
Toutefois, vos programmes 16 bits s'exécuteront toujours tant que la couche d'émulation 16 bits sera présente. (Il est vrai que Windows Vista 64 bits ne compte pas de couche d'émulation 16 bits, mais ceci n'est pas une régression par rapport à Windows XP, car Windows XP 64 bits ne possédait pas non plus de couche d'émulation 16 bits. Les choses ne se sont pas améliorées, mais elles ne se sont pas non plus dégradées.)
Tout ce que vous perdez dans Windows Vista, c'est la possibilité de lancer ExtractIcon depuis votre programme 32 bits et d'obtenir une icône à partir d'une DLL 16 bits. Si vous avez un raccourci vers un programme 16 bits sur votre menu Démarrer, l'icône de ce raccourci s'affichera maintenant comme une icône de programme générique puisque l'Explorateur Windows ne peut plus extraire l'icône du programme 16 bits depuis son fichier exécutable principal. Ce n'est pas une grande perte. Mais si cela vous ennuie vraiment, vous pouvez modifier les propriétés du raccourci et lui donner une icône d'un module 32 bits.
Le seul endroit où j'ai vu que cette perte de fonctionnalité poser problème, c'est dans les bibliothèques d'icônes qui sont produites par un outil d'édition d'icônes particulier. Pour une raison quelconque, ce programme enregistre par défaut ses icônes en tant que ressources dans des DLL 16 bits, ce qui signifie que vous ne pouvez plus accéder à ces icônes à partir de code 32 bits. Il suffit bien sûr pour corriger cela de réenregistrer ces bibliothèques d'icônes en tant que ressources dans des DLL 32 bits.
Je suis sûr qu'en fin de compte, si ce n'est pas déjà le cas, quelqu'un écrira un petit programme pour extraire toutes les icônes d'une DLL 16 bits et recréer ensuite une DLL 32 bits de ressources uniquement avec ces icônes, afin que les gens qui disposent d'anciennes icônes dans des DLL 16 bits puissent continuer à les utiliser comme raccourcis sur leur menu Démarrer. Mais je dois dire que si vous écrivez ce programme, vous ne trouverez probablement personne qui en ait besoin. Nombre de demandes d'un tel programme reçues par l'équipe interface utilisateur de Windows : zéro.

Raymond Chen, The Old New Thing, et son livre du même titre traitent de l’historique de Windows et de la programmation Win32. Il n'essaie jamais de monter dans la rame de métro lorsque les portes sont sur le point de se fermer.