Menedzsment technológiák a Windows Vist ában

1. Menedzsment technológiák a Windows Vistában Gál Tamás gtamas@tjszki.hu MCSE, MCSA, MCT, MVP

2. Tartalom • Helyi- és Csoportházirend • Az Eseménynapló újdonságai • A Feladatütemező újdonságai • Reliability and Performance Monitor

3. Helyi- és Csoportházirend • A problémák • Működéssel kapcsolatos változások • A készlet, amiből gazdálkodhatunk • GP Top 5 • És ami később jön...

4. A jelenlegi helyzet • Nagyon sokat használjuk és sokmindenre • Ahol van AD, ott • 90%-nál nagyobbaz aktív Csoportházirend használat (nagyvállalati szegmens) • 60%-nál több(középvállalatiszegmens) • A legutolsó állapot szerint • kb. 1800 registry alapú házirend opció • plusz néhány IE opció illetve egyéb bővítmény

5. A problémák Érvényesítés Hálózati forgalom Sablonok típusa Házirend elemek • ICMP kell • VPN? • Hibernálás? • Stand by? • ADM formátum • Sysvol „bloat” • Nyelvi verziók? • Eltévedünk • Komoly tervezés! • LAN teljesítmény? • WAN teljesítmény? Hibaelhárítás Helyi házirend • Bonyolultnaplózás • Nehéz hibakeresés • Userenv.log problémás • Nem felhasználófüggő • Nem csoportfüggő • Kevés opció GPMC?

6. Az újdonságok csoportosítása Megbízható, önálló működés, kevesebb korláttal - Biztonságosabb, stabilabb Group Policy motor - Érzékenyebb a hálózati környezet változásaira - Jóval több opció az immár személyreszabható Helyi házirendben is - Fejlettebb hibakeresés (kihasználva pl. az új Eseménynaplót) Könnyebb kezelés - GPMC integráció - Megoldás a „Sysvol bloat”-ra (.ADMX sablonok) - Megoldás a sablonok nyelvi problémáira (.ADMX sablonok) A hatókörkiterjesztése - Az összes új Vista szolgáltatás, komponens „lekövetése” - Nagy adag új elem, kb. 30%-kal nő az opciók száma

7. Működéssel kapcsolatos változások • Önálló Group Policy Service • A Winlogon processztől függetlenül a Group Policy motor immár szervizként fut • Így aztán: • Gyorsabb, háttérben működő házirend érvényesítés • Kisebb terhelés (-Winlogon, -GINA, - egyéb providerek), nagyobb teljesítmény • Újraindítás nélkül bővíthető a készlet (Reload) • Hibás működés esetén a szerviz restarttal visszaáll

8. Működéssel kapcsolatos változások • Érzékeny a hálózati körülmények változásaira • Ha az adott házirend érvényesítési folyamata leállt, mihelyst újra látja a hálózatot folytatódik • Nem kell 90 vagy bármennyi percet várni • Network Location Awarenessv2.0 • GP „feliratkozás” a DC „elérhetőségi” jelzéseira • A ping (az ICMP interfészeként) nem kell többé • Fejlett sávszélesség detektálás, gyors működés

9. Group Policy Client Működéssel kapcsolatos változások • Az NLA, a mobil kliensek és a VPN • Csatlakozásnál a Group Policy kliens detektálja a DC elérhetőségét • Ha a házirend frissítés ciklusa lejárt, vagy sikertelen volt, a GP kliens háttérbeli frissítést kér a VPN-en keresztül (a User/Computer ágra egyaránt) • Ergo nincs szükség újraindításra vagy kijelentkezésre

10. Működéssel kapcsolatos változások • Helyi házirend változások • A sorrendben (LGPO<>DGPO) nincs változás • Ellenben gyárthatunk LGPO-t: • A helyi gépnek (mint eddig is) • Admin vagy nem Admin helyi csoportoknak • bármelyik helyi felhasználónak! • A sorrend az előző felsorolás szerint „erősödik” • A felhasználók VAGY az Admin VAGY a nem-Admin csoportra vonatkozó házirendet kapják

11. Az LGPO változásai demó

12. Működéssel kapcsolatos változások • Naplózás, hibakeresés • az Userenv.log féle követhetetlen naplózásnak vége • Teljesen új, eseménykövető napló • Külön GP, XML alapú, és informatív eseménynapló • Alkalmazás/komponens szintre szűkítve • Nagyon jól kereshető, szűrhető, másolható • Egy konzolról több gép eseményeire feliratkozás • Értesítési alrendszer (pl. e-mail, szkript, WMI) • Az új Feladatütemezővel

13. Működéssel kapcsolatos változások • Kétszintű naplózás • Admin események (System log) • Célpontja a felhasználók, adminok • Jelentés egy problémáról (pl. az alkalmazás nem tud a printerhez kapcsolódni), majd megoldási instrukció > webhelyek, KB cikkek, stb.) • Működésbeli események (a Userenv.log helyett) • GP Operational Log • Barátságos felület, értékes, értelmezhető adatok (felhasználónév, GPO lista, dátum, feldolgozási idő, stb.)

14. Könnyebb kezelés • GPMC integráció - végre! • GPMC remek eszköz egy tartományban a Csoportházirend kezelésére • Immár része az alaprendszernek (Vista/Longhorn) • Vista: • Nincs igazán komoly változás, leszámítva az újdonságok támogatását • Windows Server “Longhorn”: • Lesz változás: Templates, Comments, Search/Filter, stb.

15. Könnyebb kezelés • Házirend sablonok • Az NT4 óta ugyanaz a sablon formátum (.ADM) • A Vista / LH GP is registry alapú, de a formátum más • ADMX sablonok • XML alapú, a GPMC-vel kompatibilis • A Vistábannincs egyetlen .ADM sablon sem • Nem igaz: RTM > pl. Error Reporting • De: „Add/Remove Templates” > .ADM fájl-ok • Nincs tervben ADM / ADMX konverziós eszköz • Nem igaz: ADMX Migration Tool

16. Könnyebb kezelés • ADMX sablonok – Sysvol „bloat” • Tárolási különbség > „Central Store” azaz egy tartományi szintű, közös tárolóhely a Sysvol-on belül • Az összes GPO erről az egy helyről, egy-egy ADMX állományból „táplálkozik”, ergo • Csökken a Sysvol terhelése és a replikációs forgalom is • Central Store kialakítása • A sablon egyszeri elkészítése és „publikálása” • Vista: másolás; LH Server: további eszközök lesznek • Ezután a Vista GPMC/GPEdit ignorálja a helyi tárolót

17. Könnyebb kezelés • ADMX sablonok – nyelvi verziók • az ADMX állományok két részre „vághatóak” • egy „semleges” részre, • és egy nyelv-specifikus részre • Azaz egy nagyméretű tartományban az angol nyelvű Vistáján készült GPO a francia Vistán francia nyelvű GPO beállításokat mutat • Éééés, ha módosítjuk a francia gépen, az eredeti helyen angolul látjuk majd viszont a változásokat

18. Könnyebb kezelésÜzemeltessük Vistával a Csoportházirendet!

19. A hatókör kiterjesztése • kb. 2490 opció (az NT4-ben 76 volt) • Néhány terület, ahol változás/bővülés lesz

20. A készletPower Management Az energiaellátási opciók központi, szabályozott használata enyhén szólva is költséghatékony Széleskörű Power Managementopciók • Az összes beállítás felhasználó ÉS gép szerinti • Az összes létező energiaellátási opció szerepel a sablonban • Külön „power plan” hozzárendelés arra az esetre, amikor a felhasználó még nem lépett be

21. A készletEltávolítható tárolók • Pendrive, MP3 lejátszó, CD/DVD író • Biztonsági rizikónak számít • Spyware-ek, vírusok, érzékeny adatok • Felhasználó/számítógép alapú házirend • Olvasás és/vagy írás szabályzása • Csoportokba sorolva (vagy mind) • Floppy, CD/DVD, Tapes, USB devices, Windows Portable Devices (WPD) • TS-en csak számítógép opciók

22. A készletUAC • Számítógép alapú opciók (9 db) • Eleválás • No prompt, Prompt for consent, Prompt for credentials • Több lehetőség az admin userek eltérő kezelésére • Alkalmazás telepítési körülmények • Fájl és registry virtualizálással kapcsolatos opció

23. A készletWF és IPSec Kombinált megoldás Windows Firewall + IPSec - Engedélyezhető alkalmazások, portok, szervizek - Kapcsolat engedélyezés csak megerősített körülmények között (pl. IPSec) - Kapcsolat engedélyezés csak bizonyos csoportoknak/usereknek (pl. címtárból) Intelligens tűzfal IPSec izolációs és egyéb szkenáriók - Hálózati erőforrások elérésének korlátozása pl. tartomány vagy állapot alapján - Hitelesítés megtagadás - Egy konzol segítségével mindent - Korrekt varázslókkal, előregyártott szkenáriókkal Egyszerű kezelés

24. A készletBiztonsággal kapcsolatos további opciók I. • Windows Defender (volt Anti-Spyware) • Engedélyezés / tiltás (keresés és a védelem) tulajdonságoknál • A szignatúra letöltés konfigurálása • WSUS / WU „kapcsoló” • Vezetékes / Vezeték nélküli konfiguráció • Különböző házirend beállítások a hálózattípus alapján – pl. átjárás, hitelesítés

25. Version 7.0 A készletBiztonsággal kapcsolatos további opciók II. • Network Access Protection • PKI konfiguráció • Sokkal több opció • Internet Explorer biztonsági beállítások újabb halmaza • Eszköztelepítés ellenőrzése (15 db opció!) • Engedélyezés/tiltás különböző esetekben • Engedélyezés speciális, eszköz ID alapján

26. A készletDesktop Management I. • Printer Management • Nyomtató telepítés gépeknek / felhasználóknak • Nyomtató telepítésének delegációja • A megbízható / nem megbízható driver telepítése • Nyomtatók hozzárendelése telephely alapján • Internet Explorer • Az IEM opciók konvertálásaregistry alapúvá • IEAK komplett integrálása

27. A készletDesktop Management II. • Hibakeresés és diagnosztika • Rengeteg opció • A Diagnostic Policy Service figyel • Tablet PC kezelés • Windows Shell • Classic Shell, Logon, Start Menü, Control Panel • Screen Saver: timeout érték, csak „built-in” opció

28. A készletHálózati elemek • BITS • „ Peer-caching” azaz peer-to-peer állomány transzfer a gépek között tartomány nélkül is • QoS • Központilag kezelhető sávszélesség szabályzás a hálózati alkalmazások számára • Terminal Services • Alaposan átalakult a támogatás • RDP 6.0 újdonságainak „követése” (User szakasz)

29. A készletHálózati elemek – Wireless opciók • Egyszerűsített használat • A kevert (XP / Vista különböző) WLAN biztonsági beállítások támogatása > séma frissítés > migráció • A vezetékes és a vezetéknélküli hálózatok szeparálása • Részletes beállítások • Allow / Deny • WPA2, WPA, WEP, EAP-TLS, PEAP-MSCHAPv2 • Automatikus / manuális kapcsolódás

30. A csak tartományban elérhető házirend újdonságok (mozi) demó

31. GP Top 5Szubjektív válogatás #1: Turn of Local Group Policy processing #2: Assign a default domain for logon #3: Enabling Windows Update Power Management to automatically wake up the system to install scheduled updates #4: Display information about previous logons during user logon #5: Delete user profiles older than a specifiednumber of days on system restart

32. Ami később jön...A következő funkciók az LH Server megjelenése körül válnak elérhetővé – de működnek majd nélküle is • Megjegyzések • GPO-ként és opciónként • Az admin infói egyszerű szövegként • Sablonok • GPO „Starting Point” = Előredefiniált beállítások és értékek • „Template management” – Sablonok kezelése • All Options

33. Ami később jön... • Szűrés/Keresés • Az opciók címére, a magyarázó szövegre • Platform és alkalmazás megjelölésr • Az opció kategóriájára („True policy setting”) • A beállítás értékére (Enabled/Disabled) • A „feliratozottakra” • A keresés eredményeképp egy szűrt GPEdit nézetet kapunk • Csak a keresett szöveget tartalmazó opciók

34. Ami későbbjön...

35. Tartalom • Helyi- és Csoportházirend • Az Eseménynapló újdonságai • A Feladatütemező újdonságai • Reliability and Performance Monitor

36. Átláthatóság,kezelés Az Eseménynapló újdonságaiWindows Eventing 6.0 Működés, teljesítmény Adatgyűjtés, adatküldés Integráció

37. Az Eseménynapló újdonságaiÁtláthatóság, kezelés • A legnépszerűbb IT Pro hibakereső eszköz • Minden Vista komponenst kontrollálhatunk - egyetlen helyről • GUI – drasztikus változások Egyes statisztikák szerint kb. 36 órát töltünk el a hibakereséssel és ellenőrzéssel havonta

38. Az Eseménynapló újdonságaiÁtláthatóság, kezelés • MMC 3.0 bővítmény • Preview panel, Log Summary, filterek • Parancssori eszköz (wevtutil.exe) • Rövid/hosszú parancsok, listázás: XML / plain text • Távoli elérés • 2 fő elágazás a struktúrában • Windows Logs (System, App, Sec, Setup, Fw), • Applications and Services (5 fő elem) • A „Microsoft” alatt kb. 50 további „komponensnapló”

39. Az Eseménynapló újdonságaiÁtláthatóság, kezelés • Custom Views • Testreszabható, automatikusan frissülő nézet • „Bárhonnan” könnyen legyártható, export / import • Akár többféle naplótípusból is (Cross-log querys) • Analytic and Debug Logs • Alapértelmezés szerint nem látszik • Egyesével kell engedélyezni • Számos elem a „Windows” részben + 4 kategória • Csak célzott esetben használjuk

40. Az Eseménynapló újdonságaiMűködés, teljesítmény • Több korlát megszűnt • A naplók öszegzett méretére vonatkozó • A DC által publikálható mennyiségre vonatkozó • De a lemezhellyel kapcsolatos beállítás maradt • Házirend alapú beállítások • A négy fő naplóhoz (Setup napló!) • Az eseményekben szereplő link átirányításához • Nincs alkalmazás kompatibilitási gond

41. Az Eseménynapló újdonságaiMűködés, teljesítmény • Saját API • Az események kiemeléséhez / nyomkövetéshez • Nincs közvetlen registry hozzáférés • Teljesítmény • Az ETW (Event Tracing for Windows) alapos nagygenerálon esett át • Aszinkron naplózás > nincs alkalmazás blokkolás • A részletes naplózás engedélyezése/tiltása

42. Az Eseménynapló újdonságaiMűködés, teljesítmény • Struktúrált (XML) esemény leírások • Szabványos, „kívülről” is elérhető • Minden eseménynél > • Naplók archiválása • Exportálható események (a leírással egyetemben) • Automatikus mentés

43. Az Eseménynapló újdonságaiAdatgyűjtés, adatküldés • Központi napló monitorozás a gépek között = Event Subscriptions + Event forwarding: • Az összegyűjtő gépen (pl. egy Vistán) az Eseménynaplón keresztül feliratkozunk • A cél: más gépek naplói • Szűrés: idő, napló, forrás, konkrét esemény, Event ID értékhatár, kulcsszó, stb. • Ha kapcsolat OK, az események bekerülnek a gyűjtő gép Eseménynaplójába (Forwarded Events)

44. Az Eseménynapló újdonságaiAdatgyűjtés, adatküldés • Optimalizálás • Jogosultság, sávszélesság / késleltetés • Kapcsolat tesztelése, adott gép letiltása • Saját „Custom View” átvételi lehetőség • A feliratkozás állandó, újraindítás után például újra felépül a kapcsolat • Célcsoport: Vista, LH Server és az R2! • de az utóbbin GUI-s megoldás nincs

45. Az Eseménynapló újdonságaiAdatgyűjtés, adatküldés • Szükséges feltételek: • WS-Management az összes gépen • WS-Eventing protokoll az események „szállításához” • Mindkettő biztonságos és tűzfalbarát (over HTTP/ HTTPS)

46. A GP napló az Eseménynaplóban • Custom View • Subscriptions demó

47. Tartalom • Helyi- és Csoportházirend • Az Eseménynapló újdonságai • A Feladatütemező újdonságai • Reliability and Performance Monitor

48. A Feladatütemező újdonságai • Teljesítmény és rugalmaság • Kifinomult időzítési opciók • Új triggerek, feltételes futtatás, esemény-láncolás • Szkriptekkel teljesen lefedhető • Láthatóság • „Task dashboard”:aktív / soron következő taszkok • Megbízható viselkedés • Meghiúsult futás esetén a taszk újra próbálkozik • Idle, Idle várakozás, kapcsolatfüggés, AC power

49. A Feladatütemező újdonságai • Task Scheduler Summary > • Task Scheduler Library • Eseménynaplóhoz kötődő • Előredefinált taszkok • Komponensenként csoportosítva • Általában letiltott

50. Integráció az Eseménynaplóval (Basic Task) demó