Алексей Максимов, Автор в Блог IT-KB - Страница 64 из 68

Установка HP Systems Insight Manager (SIM)

11.11.2010 Автор:Алексей Максимов
98 856 Просмотров 92 комментария
Спектр программных продуктов семейства HP Insight весьма широк. Найти описание всех его составляющих можно на странице HP Insight Software, в частности подробное описание приводится в руководстве «HP Insight Software 6.2 Getting Started Guide». Мы рассмотрим лишь ПО HP Insight Software класса Foundation Management, доступного для бесплатного использования.

Полный набор документации по продуктам HP Insight Software класса Foundation Management можно найти на официальном сайте HP по ссылке HP Insight Software Information Library - Foundation Management Product Documentation.

Если в вашей инфраструктуре уже используются продукты для мониторинга серверных систем класса MS SCOM, то продукты HP Insight Software могут стать дополнительным средством для более детального мониторинга и управления серверными системами HP.

Обзор Foundation management software

В семейство продуктов Foundation management software входит три основных компоненты:
- HP Systems Insight Manager
  
  Это универсальная среда управления серверной инфраструктурой, которая обеспечивает сбор и анализ детальной технической информации о конфигурации и состоянии процессоров, оперативной памяти, дисков, контроллеров, сетевых и PCI-адаптеров, вентиляторов, источников питания и т. д. На основе анализа динамики изменения состояния контролируемых параметров HP Systems Insight Manager (HP SIM) может предупреждать о возможных отказах и прогнозировать появление узких мест.
  HP SIM способен идентифицировать и управлять всеми серверами HP ProLiant, Integrity, серверами HP 9000, системами HP BladeSystem, сетевыми коммутаторами ProCurve, системами хранения данных MSA, EVA и XP.
- HP System Management Homepage
  
  System Management Homepage это приложение которое может быть установлено на сервер HP и при взаимодействии с агентским ПО HP Systems Insight в удобоваримом виде предоставит полную информацию об аппаратной составляющей этого сервера и её функциональном состоянии. Может быть установлено с агентами HP из состава HP Support Pack.
- HP Version Control
  Представляет собой клиент-серверную систему для обновления драйверов и firmware на серверах. Устанавливается по умолчанию вместе с HP SIM.Состоит из:
  - Version Control Repository Manager (VCRM) - веб-приложение обеспечивающее доступ к центральному обновляемому хранилищу драйверов и firmware
  - Version Control Agent (VCA) – клиентская компонента, взаимодействующая с VCRM из состава HP Support Pack позволяющая отслеживать соответствие установленных версий драйверов и firmware на управляемых серверах.
В этой заметке мы рассмотрим установку компоненты HP Systems Insight Manager.

Подготовка сервера к установке HP Systems Insight Manager

Узнать о системных требованиях можно из документа «HP Systems Insight Manager 6.2 Installation and Configuration Guide for Microsoft Windows». Ссылку на актуальную версию документа можно найти на указанной общей странице документации. Исходя из заявленных в документе системных требований, мы используем следующую конфигурацию:
- Виртуальный сервер на хостовой системе Microsoft Hyper-V Server 2008 R2;
- ОС виртуального сервера – Microsoft Windows Server 2008 R2 Standard Edition English (соблюсти требование языковой версии обязательно);
- 4 виртуальных процессора;
- Оперативная память - 4 Gb;
- Диски – Фиксированные виртуальные диски объемом 30 Gb (на виртуальном контроллере IDE) под ОС и 40 Gb (на виртуальном синтетическом контроллере SCSI) под данные HP SIM; Один виртуальный сетевой адаптер (синтетический)
Сразу после развертывания ОС устанавливаем на неё все актуальные обновления доступные на WSUS.

В документации отмечено, что механизм User account control (UAC) должен быть отключён для успешной установки и функционирования продуктов Insight software. Через локальные политики безопасности мы можем отключить использование UAC для администраторов системы.

Откроем оснастку Local Security Policies из Панели управления (“Control Panel” > «System and Security» > «Administrative Tools» > «Local Security Policies»)

Перейдём к разделу «Security Settings» > «Local Polices» > «Security options» и отключим параметр «User Account Control: Run all administrators in Admin Approval Mode»

Чтобы эта настройка вступила в действие необходимо перезагрузить систему.

Установка HP SIM потребует наличие в системе работающей службы SNMP Service, а установка SQL Server 2008 R2 потребует предварительной установки .Net Framework 3.5.1. Выполним установку этих фич через Server Manager

В домене создадим специальную учетную запись пользователя от имени, которого будут запускаться сервисы HP SIM (В нашем примере это учетная запись DOMAINs-KOM-AD01-HPSIM-Usr) и включим эту учетную запись в локальную группу администраторов на нашем сервере.

Теперь наступило время установить Microsoft SQL Server, который будет использоваться для хранения БД HP SIM. Учитывая то, что в списке поддерживаемых БД присутствует SQL Server 2008 Express Edition, мы попробуем установить версию Microsoft SQL Server 2008 R2. В новой версии расширено ограничение на размер используемой базы данных до 10 Gb, что может быть полезным для нас в перспективе.

Запускаем инсталлятор MS SQL Server 2008 R2 и выбираем только минимально необходимый набор компонент для установки. Каталог установки исполняемых файлов оставляем по умолчанию.

Имя экземпляра SQL Server можно не менять и использовать предложенное. В качестве места расположения файлов данных SQL укажем специально созданный каталог на втором логическом диске нашего виртуального сервера.

Учетные данные для запуска служб используем по умолчанию за исключением того что службу SQL Server Browser нужно перевести в состояние автоматического запуска (это нужно для успешной работы инсталлятора HP SIM)

Во избежание проблем с сортировкой выбираем Latin1_General_CI_AS (на форуме HP встречал несколько сообщений о возникающих проблемах с софтом HP Insight в случае использования национальных порядков сортировки)

Режим аутентификации – смешанный.

Остальные настройки оставляем по умолчанию и запускаем процесс установки.

После успешного окончания процесса установки снова запрашиваем и устанавливаем все последние обновления с WSUS.
Затем открываем из меню Пуск консоль SQL Server Configuration Manager.
Проверяем параметры службы SQL Server Browser на предмет автоматического запуска. В свойствах серверных протоколов включаем протоколы Named Pipes и TCP/IP

В свойствах протокола TCP/IP необходимо отключить использование динамических портов, указав статический порт (по умолчанию 1433)

После всех внесённых изменений перезагружаем сервер и убеждаемся, что службы SQL Server стартовали без проблем и в системе работают соответствующие TCP/IP прослушиватели.

Загружаем HP SIM по ссылке http://www.hp.com/go/hpsim

Для загрузки нам потребуется зарегистрироваться на сайте HP с указанием существующего почтового ящика email (на него буду приходить уведомления о транзакциях операций загрузки ПО HP). После регистрации мы сможем скачать дистрибутив HP SIM последней версии. Текущая версия HP SIM загружается в виде архива размером 1,35 Gb.

Копируем скачанный архив с дистрибутивом HP SIM, распаковываем, переходим в каталог hpsimwin и запускаем setup.exe. Инсталлятор выполнит проверку наличия экземпляра SQL Server и должен найти установленный нами ранее экземпляр именованный как SQLEXPRESS. В качестве учетной записи для доступа к базе данных используем созданную ранее в домене сервисную учетную запись.

Далее указываем тип установки. Выбираем тип Typical для полной установки всех компонент.

В качестве учетной записи служб HP SIM укажем туже самую созданную ранее в домене сервисную учетную запись.

После этого подтверждаем выбор устанавливаемых компонент и запускаем непосредственную процедуру установки. После окончания процедуры установки мы получим уведомление о регистрации. Лучше не откладывать это в долгий ящик и зарегистрировать продукт прямо сейчас, чтобы в дальнейшем не получать назойливых всплывающих сообщений при каждом запуске HP SIM. Для регистрации перейдём на сайт HP на страницу HP Systems Insight Manager Registration (со временем URL для регистрации может измениться, актуальную его версию можно найти в свежем руководстве по установке HP SIM). Процедура регистрации также потребует учетной записи на сайте HP (HP Passport sign-in) хотя и не представляет собой ничего сложного.

После того как ключ введён и успешно принят, программа установки попросит выполнить перезагрузку компьютера.

Первый запуск HP SIM и первоначальная настройка

После перезагрузки входим в систему и запускаем (с рабочего стола или из меню Пуск) ярлык HP Systems Insight Manager. Откроется веб-браузер, и мы получим предупреждение безопасности об используемом сертификате, так как сертификат, установленный по умолчанию, является само подписанным. В дальнейшем мы заменим само подписанный сертификат на сертификат, выпущенный доверенным центром сертификации. Выполняем вход в HP SIM c учетной записью администратора от имени, которого производилась установка (при этом в поле Domain необходимо вводить NetBIOS имя домена).

При первом входе на веб-консоль HP SIM откроется мастер первоначальной настройки.

Определим используемые ОС в нашем рабочем окружении.

Настроим параметры расписания обнаружения новых управляемых систем, за которыми будет следить HP SIM. В качестве области обнаружения наверно лучше всего указать диапазоны IP подсетей, в которых у нас расположены серверные системы HP.

Укажем учетные данные используемые при опросе сети. В данном случае можно ограничиться параметрами для SNMP, так как подразумевается, что на всех опрашиваемых серверах будет работать служба SNMP взаимодействующая с установленными агентами HP Insight.

Далее мы при желании можем указать имя почтового сервера для отправки уведомлений об изменениях состояния оборудования. Несмотря на то, что присутствуют поля для авторизации, как я не пробовал, так у меня и не получилось использовать отправку почты через Exchange с использованием этих учетных данных. Пришлось разрешить анонимную отправку почты с этого хоста на Receive Connector в Exchange.

Страницу с настройками WBEM я пропустил, потому что в нашем рабочем окружении мониторинг будет использоваться через SNMP с помощью нативных агентов мониторинга не использующих WBEM провайдеров.

На последнем этапе визард запускает первый опрос сети по указанным IP диапазонам на предмет обнаружения устройств HP. Статус обнаружения можно посмотреть в меню Options > Discovery.

Состояние всех обнаруженных систем можно увидеть на странице All Systems

Первоначальный опрос сети может не дать желаемых результатов, в случае если на опрашиваемых серверах не установлены программные диагностические компоненты HP (например, для серверов HP ProLiant это ПО из состава HP ProLiant Support Pack). Помимо этого, на опрашиваемых системах должна быть установлена и настроена служба SNMP, а так же созданы правила для брандмауэра. Подробнее о настройке опрашиваемых систем для взаимодействия с HP SIM можно найти в заметке Установка Hyper-V Server 2008 R2 на серверную платформу HP ProLiant DL 360 G5

Для более тонкой настройки параметров опроса сети здесь же (Options > Discovery) используя дополнительные ссылки. На этой же странице можно настроить необходимое количество задач по плановому опросу если необходимо использовать, например, разные учетные данные для разных областей опроса.

Пока идёт процедура первоначального опроса сети, можно настроить стартовую страницу HP SIM так, чтобы она сразу нас перенаправляла нас на страницу, отображающую общий статус всех найденных систем - All Systems

Так же мы сразу же можем настроить уровень регистрируемых в HP SIM оповещений в меню Options > Events > Event Filter Settings. На этой же странице можно задать ограничения IP диапазонов из которых мы будем получать SNMP Traps

Ранее я писал, что веб-консоль устанавливается с само подписанным цифровым сертификатом. Для его замены переходим в меню Options > Security > HP Systems Insight Manager Server Certificate

На указанной странице перечислены три действия, которые нам необходимо выполнить для успешной замены сертификата HP SIM:
- Создать новый запрос к нашему локальному домеренному корневому центру сертификации;
- Получить от корневого центра сертификации сертификат на основе запроса в формате Base 64 (хотя на веб-форме написано про PKCS #7 – импортировать сертификат в этом формате мне так и не удалось :)
- Импортировать полученный сертификат в HP SIM
После замены сертификата мы перестанем получать предупреждения безопасности от веб-браузера о проверке подлинности сертификата.

Обратите внимание на то что импортировать новый сертификат для сервера HP SIM пока мы предварительно не добавим сертификат нашего корневого центра сертификации в списку доверенных систем в меню Options > Security > Credentials > Trusted Systems : Закладка Trusted Certificates. Root-сертификат должен быть в кодировке Base 64.

Помимо замены сертификата, мы можем внести ещё одно изменение безопасности, которое облегчит нам работу с веб-консолью HP SIM - активируем функцию автоматического входа (Single Sign On). Воспользуемся информацией из HP Systems Insight Manager 6.2 User Guide.

Для этого должны быть соблюдены следующие условия:
- Сервер HP SIM должен работать под управлением Windows и быть членом домена;
- На сервере HP SIM служба Systems Insight Manager service должна работать от имени доменной пользовательской учетной записи;
- Веб-браузер на клиентском компьютере, с которого открывается веб-консоль HP SIM должен поддерживать передачу учетных данных, например это может быть Internet Explorer 7 или Firefox (IE версии 6 не поддерживается). При этом веб-браузер должен воспринимать URL веб-консоли, как узел доверенной зоны (Trusted Sites zone)
- В домене для учетной записи, от имени которой работает служба Systems Insight Manager, должна быть зарегистрирована запись SPN для службы HTTP. Проверить существующие SPN можно командой:
  
  setspn -L Domains-KOM-AD01-HPSIM-Usr
  
  Создать запись SPN можно командой:
  
  setspn -a HTTP/KOM-AD01-HPSIM.domain.com Domains-KOM-AD01-HPSIM-Usr
  
  (KOM-AD01-HPSIM.domain.com в нашем примере это FQDN имя сервера HP SIM)
- В конфигурационном файле HP SIM - globalsettings.props (По умолчанию этот файл находиться в каталоге C:Program FilesHPSystems Insight Managerconfig).
  Файл можно открыть в текстовом редакторе и изменить строку AutomaticSignIn=0 на строку AutomaticSignIn=1.
- Для того чтобы механизм авторизации работал в HP SIM нужно создать группы доступа с таким именем как они сделаны в домене и включить соответствующих доменных пользователей в эти группы в домене.
На этом этапе, пожалуй, ограничим описание процедуры установки HP SIM, так как минимальные действия для его функционирования сделаны. В следующей заметке мы рассмотрим настройку модуля HP Version Control.
SCOM 2007 R2 - Ручная установка Operations Manager Shell

21.10.2010 Автор:Алексей Максимов
3 205 Просмотров Комментариев нет
В некоторых ситуациях может возникнуть необходимость использования PS консоли Operations Manager Shell на системах, где не произведена установка Operations Console (UI консоль). Рассмотрим вариант быстрого ручного прикручивания командной консоли SCOM.

Первым делом, с системы, где произведена соответствующая установка Operations Manager Shell с полного дистрибутива скопируем 6 файлов из каталога установки. Например, в качестве исходной системы мы используем один из серверов управления SCOM с установленной командной консолью (в нашем примере это сервер KOM-AD01-MON01). Если на исходной системе каталог установки – “C:Program FilesSystem Center Operations Manager 2007”, то создадим такой же каталог на системе, в которую хотим прикрутить командную консоль. Это нужно для того, чтобы в дальнейшем не вносить сложных корректировок в системный реестр.

MKDIR “C:Program FilesSystem Center Operations Manager 2007”

Скопируем необходимые файлы с исходной системы в созданный каталог. Нам понадобиться всего 6 файлов:
- Из папки C:Program FilesSystem Center Operations Manager 2007:
  
  Microsoft.EnterpriseManagement.OperationsManager.ClientShell.dll Microsoft.EnterpriseManagement.OperationsManager.ClientShell.dll-help.xml Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Format.ps1xml Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Types.ps1xml
- Из папки C:Program FilesSystem Center Operations Manager 2007SDK Binaries:
  
  Microsoft.EnterpriseManagement.OperationsManager.dll
  Microsoft.EnterpriseManagement.OperationsManager.Common.dll
Быстро это сделать можно, например, при помощи скрипта PowerShell J (только замените имя исходной системы):

# Каталог куда копируем

$LocalDir = 'C:Program FilesSystem Center Operations Manager 2007'

# Каталог откуда копируем. Имените имя исходного компьютера

$RemoteDir = '\kom-ad01-mon01C$Program FilesSystem Center Operations Manager 2007'

New-Item -Path $LocalDir -ItemType Directory

Copy-Item $RemoteDir+'Microsoft.EnterpriseManagement.OperationsManager.ClientShell.dll' -Destination $LocalDir -Force

Copy-Item $RemoteDir+'Microsoft.EnterpriseManagement.OperationsManager.ClientShell.dll-help.xml' -Destination $LocalDir -Force

Copy-Item $RemoteDir+'Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Format.ps1xml' -Destination $LocalDir -Force

Copy-Item $RemoteDir+'Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Types.ps1xml' -Destination $LocalDir -Force

Copy-Item $RemoteDir+'SDK BinariesMicrosoft.EnterpriseManagement.OperationsManager.*' -Destination $LocalDir –Force

Далее экспортируем параметры Powershell Snap-in с исходной системы на целевую, например, так:

REG EXPORT HKLMSOFTWAREMicrosoftPowerShell1PowerShellSnapInsMicrosoft.EnterpriseManagement.OperationsManager.Client C:TempOpsMgrCmdShellSnapIn.reg

Выгруженный reg файл должен иметь примерно следующее содержание:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftPowerShell1PowerShellSnapInsMicrosoft.EnterpriseManagement.OperationsManager.Client]
"ApplicationBase"="C:\Program Files\System Center Operations Manager 2007\"
"AssemblyName"="Microsoft.EnterpriseManagement.OperationsManager.ClientShell, Version=6.0.4900.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35"
"ModuleName"="C:\Program Files\System Center Operations Manager 2007\Microsoft.EnterpriseManagement.OperationsManager.ClientShell.dll"
"PowerShellVersion"="1.0"
"Vendor"="Microsoft Corporation"
"Version"="6.0.4900.0"
"Description"="Microsoft Operations Manager Shell Snapin"
"Types"="C:\Program Files\System Center Operations Manager 2007\Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Types.ps1xml"
"Formats"="C:\Program Files\System Center Operations Manager 2007\Microsoft.EnterpriseManagement.OperationsManager.ClientShell.Format.ps1xml"

Загружаем полученный reg файл в реестр на целевой системе:

REG IMPORT '\kom-ad01-mon01C$TempOpsMgrCmdShellSnapIn.reg'

Осталось сделать скрипт, который будет подгружать в PowerShell консоль необходимый Snap-in:

# В переменной $rootMS необходимо указать RMS сервер

$rootMS = 'SCOM-RMS-SERVER'

$checksnappin = Get-PSSnapin | where {$_.Name -eq "Microsoft.EnterpriseManagement.OperationsManager.Client"}

if ($checksnappin -eq $null)

{

add-pssnapin "Microsoft.EnterpriseManagement.OperationsManager.Client" -ErrorVariable errSnapin ;

}

Set-Location "OperationsManagerMonitoring::" -ErrorVariable errSnapin ;

new-managementGroupConnection -ConnectionString:$rootMS -ErrorVariable errSnapin ;

set-location $rootMS -ErrorVariable errSnapin ;

Назовём этот скрипт, например, Start.ps1… В итоге мы получим всего 7 файлов которые обеспечат нам работоспособность Operations Manager Shell без процедуры установки из полного инсталлятора размером более 1 Gb.

Найдено в блоге Derek Ops Manager - Operation Manager Command Shell on any system (12 July 2007) и проверено применительно версии SCOM 2007 R2 CU#2. Работает J
Windows Live Essentials 2011 - 0x80070057

21.10.2010 Автор:Алексей Максимов
4 338 Просмотров 6 комментариев

При попытке установки нового пакета Windows Live Essentials 2011 с сайта Windows Live запускается веб-инсталлятор и если мы работаем через прокси с NTLM авторизацией, то в ходе инициализации процесса установки может возникнуть ошибка настройки инсталлятора

Судя по логам прокси сервера, инсталлятор в определенный момент по какой-то причине пытается использовать анонимный доступ вместо учетной записи, от имени которой запущен веб-инсталлятор. Если же установка с сайта производиться с прямым подключением к Интернету, то подобной проблемы нет.

Для тех кто работает за прокси и испытывает подобную проблему нашёл прямую ссылку на дистрибутив полного offline-инсталлятора: Windows Live Essentials 2011 Russian
Установка и настройка HP Product Bulletin

17.10.2010 Автор:Алексей Максимов
12 015 Просмотров 1 Комментарий
Если в вашем продуктивном окружении используется оборудование фирмы Hewlett-Packard, то возможно вы нередко сталкивались с ситуацией когда появляется необходимость поиска информации об этом оборудовании, например технических спецификаций, информации для заказа комплектующих и расходных материалов и т.п. Мой коллега Павел Капустин, за что ему большое спасибо, познакомил меня с весьма интересным инструментом, о котором я раньше ничего не слышал, хотя мне не раз приходилось искать информацию об оборудовании HP для составления разных технических планов. Речь идёт о программе HP Product Bulletin, которую можно бесплатно загрузить с сайта Hewlett-Packard.

HP Product Bulletin это полный каталог продукции компании Hewlett-Packard с возможностью загрузки и последующего offline доступа ко всем техническим спецификациям, исчерпывающей информации для заказа комплектующих и расходников и даже коллекцией цветных фотографий девайсов. Программа имеет простой и интуитивно понятный интерфейс. Очень полезной функцией является возможность обновления каталога продукции из интернета через специально установленный модуль приложения - HP Product Bulletin Gateway.

HP Product Bulletin Gateway по заданному расписанию скачивает обновления в offline каталог продукции и предоставляет возможность раздачи актуальной информации множеству установленных в локальной сети клиентских модулей - HP Product Bulletin Client. На мой взгляд это весьма полезная фича для больших организаций, т.к. здорово экономит интернет-трафик предоставляя при этом на конечные рабочие места ИТ-персонала самую актуальную информацию.

Итак, скачав с сайта HP последнюю версию HP Product Bulletin (на момент написания этой заметки - это версия 7.27), мы должны определится с тем, где разместить модуль HP Product Bulletin Gateway. Например, если у нас уже есть выделенный сервер с развернутым HP Insight Control, то такой сервер вполне подойдёт под эту задачу. В нашем случае это виртуальный сервер с OC Windows Server 2008 R2. Запускаем инсталлятор и выбираем установку соответствующего типа установки - HP Product Bulletin Gateway. В качестве каталога для установки рекомендую выбрать диск, отличный от системного (настройка по умолчанию) и имеющий достаточно большой объём свободного места, так как в дальнейшем оно понадобится для хранения каталога спецификаций и фотоархива девайсов.

На следующем шаге установки выбираем тип интересующих нас данных в каталоге продукции (если вы имеете ограничения по использованию Интернет, то вполне достаточно выбрать спецификации Worldwide )

После окончания установки нам необходимо настроить приложение. После того как я его поковырял выяснилось пару не очень приятных (но не смертельных) моментов:
- HP Product Bulletin Gateway может работать как системная служба, но только в системах Windows 2000/XP/2003. На Windows Server 2008 R2 завести эту службу можно лишь запуская приложение в режиме совместимости, но при этом сказать что служба ведёт себя адекватно – язык не поворачивается. Об этом ограничении в общем-то нас честно предупреждают в встроенной справке к программе.
- HP Product Bulletin Gateway для процедуры обновления каталога продукции может использовать прокси, но при этом хранит данные об авторизации на прокси в реестре в открытом виде, да ещё к тому же если учетные данные указаны в UI программы (и как следствие прописаны в реестре), - программа всё равно настойчиво пытается пройти через прокси анонимно (отловлено на логах TMG).
С этими «болячками» мы справимся, запуская приложение с помощью планировщика задач (Task Scheduler) из под имени специально созданной сервисной доменной учетной записи, имеющей право прохода через прокси (в нашем примере это будет учетная запись Domains-KOM-AD01-HP-PB-Usr).

Для того чтобы свести к минимуму количество полномочий в системе для учетной записи от имени которой будет запускаться HP Product Bulletin Gateway, мы должны проделать ряд подготовительных мероприятий:
- Учетная запись HP Product Bulletin Gateway должна входить в группу Users на сервере где будет выполнятся это приложение.
  
  По умолчанию в эту группу включена служебная группа типа «Все прошедшие аутентификацию», - если так, то этот шаг можно пропустить.
- Учетной записи HP Product Bulletin Gateway потребуется выдать полный доступ к ветке реестра HKLMSoftwareWow6432NodeHP Product Bulletin Gateway.
  Если приложение ниразу не запускалось, то этой ветки в реестре нет, и её можно либо создать в ручную, либо просто запустить приложение с правами администратора системы.
- Учетную запись HP Product Bulletin Gateway потребуется включить в параметр политики безопасности “Log on as a batch job”. Это политика позволяющая входить в систему учетной записи в качестве пакетного задания.
  
  Найти этот параметр можно в оснастке Local Security Policy (Панель управления (Control Panel) > Администрирование (Administrative Tools) > Local Security Policy): Local Policy > User Rights Assignment
- Учетной записи HP Product Bulletin Gateway потребуется выдать права на файловой системе. В процессе установки инсталлятор меняет права на каталог установки (в нашем случае это D:HP Product Bulletin Gateway) таким образом, что для группы Users выставляются полные права на весь каталог и все его подкаталоги. Поменяем права на каталоги следующим образом:
  1) На сам каталог с установленной программой (D:HP Product Bulletin Gateway) – полный доступ для служебной учетной записи (Domains-KOM-AD01-HP-PB-Usr);
  
  2) На каталог, предназначенный для хранения данных (D:HP Product Bulletin GatewayCatalogs) – полный доступ для служебной учетной записи (в нашем случае он наследуется с верхнего уровня) и доступ на чтение для группы Users;
  
  3) На подкаталог Clients внутри каталога хранения данных (D:HP Product Bulletin GatewayCatalogsClients) полные права доступа для группы Users (установленные инсталлятором права для группы Everyone удаляем). Доступ в эту папку необходим для того чтобы подключающие из локальной сети клиентские экземпляры HP Product Bulletin Client могли записывать статистические сведения.
Теперь для того чтобы клиентские модули HP Product Bulletin Client могли из локальной сети подключаться к обновляемому каталогу продукции - открываем в общий доступ к папке HP Product Bulletin GatewayCatalogs.
Сделать это можно например командой:

NET SHARE HP_Product_Bulletin_Catalogs="D:HP Product Bulletin GatewayCatalogs" /GRANT:Users,FULL /UNLIMITED /CACHE:None

На этом подготовительные процедуры можно считать оконченными и теперь можно произвести первый запуск приложения от имени сервисной учетной записи следующей командой:

runas /user:s-KOM-AD01-HP-PB-Usr@domain.com "D:HP Product Bulletin GatewayGateway.exe"

В открывшемся окне параметров приложения нам нужно задать наше месторасположение…

Из за сообщения программы по поводу того, что наша «деревня» не верифицирована можно особо не расстраиваться :)

Далее, на закладке Connection Settings укажем соответствующие параметры прокси сервера – имя сервера и порт (учетные данные не указываем).

Затем на закладке Update Schedule настраиваем расписание, по которому будет проходить обновление каталога продукции

Ну и при желании мы всегда можем изменить состав обновляемых компонент каталога на закладке Data Groups а также настроить оповещения в почту (например, на предмет ошибок синхронизации) на закладке Notification

Для того чтобы оповещения работали, на сервере Exchange можно создать специальную группу рассылки с выключенным требованием обязательной аутентификации. Если нажав кнопку Send Test Message мы получим тестовое письмо, значит настройки оповещения работают. Честно признаюсь, что после обнаружения лага с авторизацией на прокси, мысли о том, чтобы использовать авторизацию для почтовой рассылки даже не возникло :)

После того как все настройки сделаны, перезапускаем приложение (без перезапуска настройки не работают) и по значку в трее, запускаем процедуру первоначальной синхронизации

Процедура может занять определенное время в зависимости от пропускной способности вашего Интернет-соединения

В моём случае при всех выбранных группах обновлений (полный вариант загрузки) объём первоначально прокачанного входящего трафика составил 920 Mb

Каталог загружен и теперь нужно создать задание планировщика для постоянного запуска приложения на сервере в фоновом режиме.

На закладке General укажем учетную запись, от имени которой будет запускаться приложение.

Тригером для нашего задания будет запуск сервера, то есть приложении будет загружаться в память сразу после старта ОС.

На закладке Actions создаем действие по запуску приложения. Обратите внимание на то, что путь к рабочему каталогу для запуска приложения (Start in) должен быть указан без кавычек (в противном случае запуск задания может завершиться с ошибкой).

После сохранения задания для проверки его работоспособности перезагружаем сервер и проверяем чтобы в списке загруженных процессов присутствовало приложение HP Product Bulletin Gateway

На этом настройку HP Product Bulletin Gateway можно считать законченной.

Теперь на рабочую станцию с Windows 7 устанавливаем клиентскую часть HP Product Bulletin

В процессе установки выбираем соответствующий тип установки - HP Product Bulletin Client

В качестве источника данных указываем созданный ранее общий сетевой каталог на сервере HP Product Bulletin Gateway

По окончании установки, так же как и при первом запуске приложения, мы получим оповещения о том, что каталог данных пуст. Для его наполнения используем кнопку Update

После того первоначальное наполнение каталога будет завершено, мы получим в своё распоряжение работающее приложение - HP Product Bulletin.

Я решил потратить время на рассказ об этом продукте не в целях какой то рекламы а просто потому что мне действительно понравилась сама идея подачи информации со стороны HP. Всё таки американцы умеют правильно «подать товар лицом» :)
Windows Server 2008 R2 Task Scheduler: Error 2147943712

17.10.2010 Автор:Алексей Максимов
7 283 Просмотров Комментариев нет

Столкнулся с ситуацией, когда при создании нового задания в планировщике задач (Task Scheduler) на Windows Server 2008 R2 возникла необходимость запускать это задание в фоновом режиме от имени определенной учетной записи доменного пользователя. Попытка сохранения задания с введенными учетными данными завершалась ошибкой

Как выяснилось, ОС попросту блокировала попытку сохранения учетных данных, так как была изменена политика безопасности Network access: Do not allow storage of passwords and credentials for network authentication
По умолчанию эта политика находится в состоянии Disabled, и её включение приводит к вышеописанной проблеме.

Найти этот параметр можно в оснастке Local Security Policy (Панель управления (Control Panel) > Администрирование (Administrative Tools) > Local Security Policy). Параметр может изменяться как на уровне локальной политики компьютера, так и задаваться доменными GPO.
SCVMM 2008 R2: Интеграция с SCOM 2007 R2

10.10.2010 Автор:Алексей Максимов
5 761 Просмотров 8 комментариев
Для того чтобы произвести интеграцию SCVMM 2008 R2 c SCOM 2007 R2 воспользуемся руководством «Virtual Machine Manager 2008 R2 Guide to Operations Manager Integration» в Июльской редакции 2010 г.
Процесс состоит из следующей последовательности действий:

1. Проверка наличия регистрации SPN в домене для службы OpsMgr SDK Service
2. Установка UI консоли SCOM на сервер VMM
3. Импорт пакетов управления (Management Pack) VMM в SCOM
4. Включение учетной записи служб VMM в роль SCOM - Operations Manager Administrators
5. Включение учетной записи служб VMM в группу локальных администраторов сервера RMS SCOM
6. Установка консоли VMM Administrator Console на сервер RMS SCOM
7. Изменение политики исполнения скриптов PowerShell на сервере RMS SCOM для обеспечения работы скриптов PRO
8. Настройка прочих серверов управления SCOM (если требуется)
9. Включение учетной записи действия (Action Account) SCOM в роль Администраторов VMM
10. Включение интеграции VMM в SCOM в консоли VMM Administrator Console
11. Изменение политики исполнения скриптов PowerShell на сервере VMM для обеспечения работы скриптов PRO
12. Установка агентов SCOM на сервер VMM, все хосты виртуализации и все виртуальные машины.
13. Проверка доступности объектов мониторинга VMM в консоли SCOM
14. Включение интеграции отчетов VMM в сервер отчетов SCOM в консоли VMM Administrator Console
15. Включение и настройка механизмов PRO (если требуется)

1. Проверка наличия регистрации SPN в домене для службы OpsMgr SDK Service

Перед началом интеграции VMM в SCOM мы должны убедиться в том, что служба OpsMgr SDK Service (System Center Data Access service) запущенная на нашем корневом сервере управления SCOM (Operations Manager root management server), имеет регистрацию Service Principle Names (SPNs) в домене. Проверить это можно командой:

SetSPN.exe –L <domain><SDKServiceAccount>

Вывод утилиты должен показать, что для доменной учетной записи, от имени которой работает служба OpsMgr SDK Service на корневом сервере управления SCOM, есть зарегистрированные SPN – MSOMSdkSvc

C:>setspn -L Domains-scom-sdk-service

Registered ServicePrincipalNames for CN=s-SCOM-SDK-Service,OU=SCOM,OU=Services,DC=Domain,DC=com:

MSOMSdkSvc/SCOM-RMS.domain.com
MSOMSdkSvc/SCOM-RMS

2. Установка UI консоли SCOM на сервер VMM

На VMM сервере запускаем программу установки SCOM 2007 R2 и выбираем пункт Install Operations Manager 2007 R2

На этапе выбора устанавливаемых компонент оставляем только User Interfaces и Command Shell

После того как установка завершиться, мы должны произвести установку кумулятивного обновления для SCOM для того чтобы версия используемых компонент SCOM на VMM сервере была такой же как на самом корневом сервере управления SCOM.

При запуске программы установки CU мы должны выбрать пункт Run Server Update, так как ранее установленная консоль SCOM входит в состав серверных компонент.

По завершению успешной установки CU для SCOM мы можем проверить то, что версии используемых исполняемых модулей SCOM на сервер VMM совпадают с теми, что используются на сервере RMS SCOM

3.Импорт пакетов управления (Management Pack) VMM в SCOM

Перед импортом пакетов управления мы должны убедиться в том, что на нашем SCOM уже имеются MP, необходимые для работы MP для VMM 2008 R2, в следующем составе:

Microsoft SQL Server Management Pack:
- Microsoft.SQLServer.Library версии 6.0.5000.0 или новее (Обязательно)
- Microsoft.SQLServer.2005.Monitoring (Рекомендуется)
- Microsoft.SQLServer.2005.Discovery (Рекомендуется)
- Microsoft.SQLServer.2008.Monitoring (Рекомендуется)
- Microsoft.SQLServer.2008.Discovery (Рекомендуется)
- Microsoft.Windows.InternetInformationServices.CommonLibrary версии 6.0.5000.0 или новей
- Microsoft.Windows.InternetInformationServices.2003 версии 6.0.5000.0 или новей
- Microsoft.Windows.InternetInformationServices.2008 версии 6.0.6539.0 или новей
- Microsoft.Windows.InternetInformationServices.7 (Рекомендуется)
Если требования к перечисленным MP соблюдены, - можно приступать к импорту VMM 2008 R2 Management Pack.
Файлы этого пакета управления можно найти на дистрибутивном носителе VMM в подкаталоге amd64VirtualizationMP

После импорта пакета управления на консоли SCOM появятся соответствующие «вьюшки», но они будут пусты до тех пор, пока процедура интеграции не будет завершена до конца.

4.Включение учетной записи служб VMM в роль SCOM - Operations Manager Administrators

В консоли SCOM на закладке Administration переходим в раздел Security – User Roles, открываем роль Operations Manager Administrators и определяем имя доменной группы в которую нам необходимо всклочить доменную учетную запись пользователя от имени которой работает служба VMM (мы подразумеваем что VMM установлен у нас именно в такой конфигурации)

В нашем случае в роль Operations Manager Administrators включена доменная группа DomainSCOM-Administrators, в которую мы на следующем шаге и включим учетную запись службы VMM.

5.Включение учетной записи служб VMM в группу локальных администраторов сервера RMS SCOM

Добавляем VMM service account в локальную группу безопасности Администраторы (BUILTINAdministrators) на корневом сервере управления SCOM

В нашем случае в группу локальных администраторов RMS включена та же доменная группа DomainSCOM-Administrators, в которую в свою очередь мы и добавляем учетную запись службы VMM.

После этого, для того чтобы на RMS изменения безопасности вступили в силу, - перезапускаем службу Operations Manager SDK service (System Center Data Access service) на сервере RMS SCOM

6.Установка консоли VMM Administrator Console на сервер RMS SCOM

На корневом сервере управления SCOM запускаем программу установки VMM 2008 R2 и выбираем пункт VMM Administrator Console

В процессе установки выбираем порт, который используется на сервере VMM для удаленного подключения (по умолчанию - 8100)

После завершения процесса установки консоли VMM сразу устанавливаем все необходимые обновления для VMM (все они доступны через WSUS) с учетом того, что версии исполняемых компонент VMM на сервере RMS должны соответствовать версиям на сервере VMM.

7.Изменение политики исполнения скриптов PowerShell на сервере RMS SCOM для обеспечения работы скриптов PRO

Для проверки обеспечения возможности работы механизма PRO на корневом сервере управления SCOM открываем консоль PS VMM (меню Start > All Programs > Microsoft System Center > Virtual Machine Manager 2008 R2 > Windows PowerShell – Virtual Machine Manager) и выполняем команду Get-ExecutionPolicy

Возвращаемое значение должно быть RemoteSigned (режим, при котором разрешено локальное исполнение скриптов не имеющих цифровой подписи и удаленное исполнение скриптов с цифровой подписью). В случае необходимости можно изменить это значение с помощью команды Set-ExecutionPolicy

8.Настройка прочих серверов управления SCOM (если требуется)

Если в нашем продуктивном окружении помимо RMS сервера есть ещё и дополнительные сервера управления SCOM, то вышеописанные процедуры нужно выполнить на всех серверах управления SCOM, а именно:
- Включить учетную запись службы VMM в группу локальных администраторов;
- Установить консоль VMM;
- Включить режим исполнения RemoteSigned для PowerShell
9.Включение учетной записи действия (Action Account) SCOM в роль Администраторов VMM

В консоли VMM Administrator Console на закладке Administration в разделе User Roles открываем роль Administrator и добавляем учетную запись действия (Action Account) SCOM а так же учетную запись от имени которой работает агент SCOM на сервере VMM (если агент работает от имени Local System в группу нужно добавить учетную запись компьютера VMM).

Также нужно учитывать то, что если у нас несколько серверов управления SCOM и при этом на каждом из них используется отдельная учетная запись действия, то нам необходимо включить в роль Администраторов VMM все эти учетные записи.

10.Включение интеграции VMM в SCOM в консоли VMM Administrator Console

Все подготовительные стадии выполнены и теперь можно произвести непосредственно процедуру интеграции. Для этого в консоли VMM Administrator Console на закладке Administration выбираем System Center и открываем свойства параметра Operations Manager Server и указываем имя корневого сервера управления SCOM.

Значение Operations Manager server можно так же задать через Virtual Machine Manager command shell, используя следующий командлет:

Set-VMMServer –OpsMgrServer <OpsMgrServerName>

11.Изменение политики исполнения скриптов PowerShell на сервере VMM для обеспечения работы скриптов PRO

Для проверки обеспечения возможности работы механизма PRO на сервере VMM открываем консоль PS VMM (меню Start > All Programs > Microsoft System Center > Virtual Machine Manager 2008 R2 > Windows PowerShell – Virtual Machine Manager) и выполняем команду Get-ExecutionPolicy

Возвращаемое значение должно быть RemoteSigned (режим, при котором разрешено локальное исполнение скриптов не имеющих цифровой подписи и удаленное исполнение скриптов с цифровой подписью). В случае необходимости можно изменить это значение с помощью команды Set-ExecutionPolicy

12.Установка агентов SCOM на сервер VMM, все хосты виртуализации и все виртуальные машины

На этом этапе мы должны обеспечить наличие агента SCOM на всех объектах, которые подпадают под инфраструктуру VMM, а именно:
- На сервере VMM
- На всех серверах несущих роль VMM Library Server
- На всех серверах виртуализации с ролью Hyper-V
- На всех виртуальных машинах
13.Проверка доступности объектов мониторинга VMM в консоли SCOM

Для проверки успешности результата интеграции обратимся к консоли SCOM – на закладке Monitoring должна появиться новая diagram view отображающая схему инфраструктуры VMM.

Также следует убедиться в том, что на вьюшках типа State View (например Agent State) присутствует информация об объектах мониторинга и нет объектов находящихся в состоянии “Not monitored” (такие объекты будут свидетельствовать либо об отсутствии на них агента SCOM, либо о проблемах коммуникаций между агентом SCOM и сервером управления SCOM)

14.Включение интеграции отчетов VMM в сервер отчетов SCOM в консоли VMM Administrator Console

Чтобы включить возможность отображения отчетов из VMM 2008 R2 Management Pack для SCOM нужно в консоли VMM указать URL сервера службы отчетов SCOM (в консоли VMM Administrator Console на закладке Administration выбираем System Center и открываем свойства параметра Operations Manager Reporting URL и указываем адрес сервера службы отчетов SCOM)

В случае успешной интеграции в консоли VMM Administrator Console появится дополнительная закладка Reporting которая откроет доступ к отчетам загруженным в SCOM при помощи VMM 2008 R2 Management Pack

15.Включение и настройка механизмов PRO (если требуется)

После интеграции SCOM в VMM нам станут доступными настройка и использование механизма Performance and Resource Optimization (PRO) с помощью которого мы сможем автоматизировать процессы распределения нагрузки между серверами виртуализации.

Настройка конфигурации PRO станет доступной в свойствах групп хостов VMM (host group) а также на уровне кластерных хостов

Также для виртуальных машин появится возможность исключения из работы PRO во избежание возможных проблем при автоматической миграции между хостами

Дополнительные источники информации:
- System Center TechCenter - How to Integrate Operations Manager with VMM 2008 R2
- System Center TechCenter - System Center Virtual Machine Manager 2008 R2 Management Pack Guide
- System Center TechCenter - Configuring Security for Operations Manager Integration and PRO in VMM
- System Center TechCenter - Troubleshooting Operations Manager, PRO, and Reporting Issues in VMM
Exchange Server 2007 How-to: Настройка анонимной ретрансляции почты

08.10.2010 Автор:Алексей Максимов
6 517 Просмотров 1 Комментарий
Иногда для некоторых «не очень продвинутых» приложений типа всякого рода АРМ и т.п. требуется возможность анонимной отправки почты наружу с использованием протокола SMTP.

По умолчанию такого рода ретрансляция почты в Exchange 2007 не работает. Можно включить анонимную ретрансляцию почты в Exchange 2007 для определенного хоста следующим образом:
- Создать Receive Connector с типом использования Custom;
- Добавить группы разрешений «Анонимные» для созданного Receive Connector;
- Назначить разрешения на ретрансляцию участнику безопасности «Анонимный вход» для созданного Receive Connector
Открываем консоль Exchange Management Console:

Переходим в Server Configuration > Hub Transport > Выбираем сервер HT > Receive Connectors
Выбираем пункт меню Actions – New Receive Connector

В открывшемся мастере создания нового коннектора указываем его имя и выбираем тип Custom

Далее указываем FQDN имя нашего HT-Сервера для которого мы создаем этот коннектор и номер порта. По умолчанию используется 25 порт, но мы при желании можем задать другой номер порта, при этом не стоит забывать, что если мы используем для SMTP подключений NLB кластер, то в нём должна быть включена поддержка соответствующего порта.

Далее мы указываем IP адрес хоста (или нескольких хостов) для которого мы хотим разрешить анонимную ретрансляцию почты. Значение по умолчанию 0.0.0.0-255.255.255.255 нужно удалить.

Далее, когда уже коннектор создан, открываем его свойства и если у нас нет необходимости (или нет возможности) в использовании TLS – на закладке Authentication отключаем его.

На закладке Permission Groups включаем опцию для анонимных пользователей.

Затем открываем Exchange Management Shell и выполняем командлет на нашем HT-сервере:

Get-ReceiveConnector "ARM Anonymous Mail Relay" | Add-ADPermission -User "NT AUTHORITYANONYMOUS LOGON" -ExtendedRights "Ms-Exch-SMTP-Accept-Any-Recipient"

Опять же, если мы используем NLB кластер и хотим чтобы созданный коннектор работал на всех нодах кластера - нам необходимо проделать данную процедуру на каждом HT-сервере, который является членом NLB кластера.

Источник
Exchange Server TechCenter - How to Allow Anonymous Relay on a Receive Connector
SCOM 2007 R2 - Мониторинг серверов вне домена

03.10.2010 Автор:Алексей Максимов
9 169 Просмотров 10 комментариев
Для мониторинга серверов вне домена (рабочие группы или недоверенный домен) архитектура SCOM, в качестве использования основного метода, предполагает использование дополнительной роли - Gateway Server. Подход с развертыванием дополнительного сервера SCOM с ролью Gateway Server имеет смысл в том случае, если количество подключаемых к системе мониторинга объектов велико, и Gateway Server выполняет в таком случае роль доверенного посредника между агентами вне домена и доменным сервером управления. В случае же если количество серверов в рабочей группе (или же в недоверенном домене) невелико – можно использовать другой метод – взаимная аутентификация клиента вне домена (агента мониторинга) и сервера управления в домене на основе цифровых сертификатов.

Описание процедуры подключения сервера в составе рабочей группы к серверу управления SCOM в составе домена.

Основные этапы:

1. Импортирование корневого сертификата доверенного центра сертификации.
2. Создание и установка сертификата на сервер управления.
3. Создание и установка сертификата на сервер в составе рабочей группы
4. Экспорт сертификата для дальнейшего использования в SCOM
5. Включение разрешения ручной установки агентов мониторинга на сервере управления
6. Установка агента мониторинга на сервер в составе рабочей группы
7. Импорт сертификата в агент мониторинга с помощью утилиты MOMcertimport
8. Одобрение агента на сервере управления

1. Импортирование корневого сертификата доверенного центра сертификации.

В рамках доменной инфраструктуры распространение корневых сертификатов доверенных центров сертификации может быть реализовано с помощью механизмов доменных групповых политик (GPO) . Таким образом, мы предполагаем, что на доменном сервере управления SCOM уже установлен корневой сертификат доверенного центра сертификации. Это можно проверить на сервере SCOM открыв оснастку mmc.exe и добавив в неё Snap-In – Certificates для Computer account как это отображено на скриншотах.

После того как мы подключимся к консоли управления сертификатами, переходим в область Trusted Root Certification Authorities и убеждаемся в том, что там присутствует сертификат нашего локального доверенного центра сертификации, от имени которого мы в дальнейшем будем выдавать сертификаты для наших не доменных клиентов и самого SCOM сервера.

Подобным образом проверяем наличие корневого сертификата и на не доменном сервере, на который мы в дальнейшем будем устанавливать агента SCOM. Если корневой сертификат не установлен то можно, например, открыв вэб-узел службы сертификации получить корневой сертификат для его последующего импорта в хранилище корневых сертификатов компьютера. Например, в нашем случае, это будет https://kom-ad01-app23.MyDom.com/certsrv/

После того как мы сохранили предложенный корневой сертификат на локальный диск, можно импортировать его используя уже знакомую консоль управления сертификатами.

В открывшемся мастере импорта сертификатов указываем расположение полученного файла корневого сертификата

Затем выбрать хранилище сертификатов - Trusted Root Certification Authorities - Local Computer (будет отображаться, только если включена опция Show physical stores)

После успешного импорта сертификата снова проверим его наличие в указанном нами хранилище сертификатов

На этом этап установки корневого сертификата доверенного центра сертификации можно считать законченным.

2. Создание и установка сертификата на сервер управления.

Эта процедура выполняется один раз (на период действия сертификата) на сервере управления, к которому необходимо подключить агентов вне домена.
- Логинимся на сервер управления с правами администратора и в вэб-браузере открываем URL доверенного центра сертификации (например https://kom-ad01-app23.MyDom.com/certsrv/ )
- Выбираем пункт “Request a certificate”
- Выбираем пункт “advanced certificate request”
- Выбираем пункт “Create and submit a request to this CA”
- Для формирования запроса заполняем необходимые реквизиты:
Name: Managementserver.domain.com (например KOM-AD01-MON01.MyDom.com)
Type: Other
OID: 1.3.6.1.5.5.7.3.1, 1.3.6.1.5.5.7.3.2
Отмечаем атрибут - Mark key as exportable
Friendly name: Managementserver.domain.com (например KOM-AD01-MON01.MyDom.com)

· Затем выбираем пункт “Submit” и закрываем веб-браузер.

· Отправленный запрос должен быть обработан администратором центра сертификации, то есть оправленный запрос должен быть одобрен и на его основе центром сертификации будет сгенерирован сертификат.

После того как это выполнено, переходим к следующему шагу.

· С сервера управления с правами администратора и в вэб-броузере открываем URL доверенного центра сертификации (например https://kom-ad01-app23.MyDom.com/certsrv/ )
Выбираем пункт “View status of a pending certificate request”

· Если администратор центра сертификации выдал на ранее сформированный запрос сертификат, то мы увидим наименование этого сертификата, и выбрав его сможем выполнить его установку.

Необходимо учитывать тот факт, что процедура установки сертификата через веб-браузер по умолчанию поместит этот сертификат в хранилище текущего пользователя и при необходимости можно переместить этот сертификат в раздел Личное (Personal) хранилища Локальный компьютер с помощью mmc оснастки управления сертификатами. Для этого вышеописанным методом подключим в оснастку оба этих хранилища сертификатов и обычным перетаскиванием переместим полученный сертификат в хранилище Локальный компьютер.

3. Создание и установка сертификата на сервер в составе рабочей группы

Процедура создания и установки сертификата для сервера в составе рабочей группы идентична вышеописанной процедуре для сервера управления с одним только отличием – при формировании запроса в атрибутах Name и Friendly name необходимо указать NetBIOS имя сервера для серверов находящихся в составе рабочих групп и FQDN имя для серверов находящихся в составе недоверенных доменов.

4. Экспорт сертификата для дальнейшего использования в SCOM

Эта процедура проделывается один раз (на период действия сертификатов) на сервере управления и на сервере в составе рабочей группы или не доверенного домена.
- Логинимся на сервер с правами администратора
- Запускаем приложение MMC.EXE
- По описанной ранее процедуре добавляем в открытую консоль оснастку Сертификаты (Certificates) с помощью команды меню консоли «Add/remove Snap-in». В процессе добавления оснастки выбираем «Computer account» и «local computer»
- Переходим в раздел “Certificates (Local Computer)personalCertificates”
- Устанавливаем курсор на ранее созданном сертификате и в контекстном меню выбираем пункт Экспорта сертификата (“All tasks > Export”)
- В открывшемся Помощнике экспорта сертификатов выбираем следующие параметры экспорта : “Yes , Export the private key”
“Personal Information Exchange – PKCS #12 Certificates (PFX)”
“Enable Strong protection” (если присутствует)
- Набираем произвольный пароль для экспорта
- Сохраняем экспортированный сертификат на диск (Например С:ServerName.pfx)
- Закрываем консоль MMC
В дальнейшем выгруженный сертификат в формате *.pfx мы будем использовать на шаге 7.

5. Включение разрешения ручной установки агентов мониторинга на сервере управления

Прежде чем начать ручную установку агентов мониторинга на сервера в составе рабочих групп или недоверенных доменов, требуется на сервере управления SCOM включить опцию принятия на одобрение таких агентов. Путь к данной опции в консоли SCOM: «Administration -> Settings -> Security»

В свойствах «Security» сервера управления на закладке «General» необходимо включить опцию «Review new manual agent installation in pending management view»

6. Установка агента мониторинга на сервер в составе рабочей группы.

Установка агентского ПО на сервер вне доверенного домена или рабочей группы может быть выполнена как вручную, так и с использованием дополнительных сторонних средств автоматизации.
Для начала с сервера управления скопируем на клиентский сервер папку с файлами, необходимыми для установки агентского ПО. По умолчанию эта папка расположен а каталоге C:Program FilesSystem Center Operations Manager 2007AgentManagement и зависит от используемой архитектуры ОС клиентского сервера. В нашем случае это будет содержимое папки x86

Перед установкой самого агента SCOM необходимо установить пакет MSXML6.msi (в случае если этот компонент не был установлен в систему ранее). После этого запускаем программу установки самого агента SCOM 2007 R2 из пакета MOMAgent.msi

Процесс установки не представляет собой ничего сложного и требует только указания имени группы управления, сервера управления и TCP порта (по умолчанию 5273).

В процессе установки также запрашивается значение учетной записи «Agent Action Account» - рекомендуется использовать выбранную по умолчанию учетную запись «Local System».

Сразу после установки агента мы можем применить последнее обновление к нему. На момент написания этой заметки это CU#2 для SCOM 2007 R2 (в нашем случае это пакет - KB979257-x86-Agent.msp). Его установка проходит без каких либо запросов.

На этом ручную установку агента SCOM можно считать законченной.

7. Импорт сертификата в агент мониторинга с помощью утилиты MOMcertimport.

Эта процедура проделывается один раз (на период действия сертификатов) на сервере управления и сервере в составе рабочей группы или недоверенного домена.
- Скопируйте файл MOMcertimport.exe из каталога SupportToolsi386 или SupportToolsAMD64 в составе дистрибутива SCOM 2007 R2 на целевой сервер. Запустите командную строку cmd.exe и поменяйте текущий каталог на тот в который скопировали MOMcertimport.exe
- Выполните команду импорта экспортированного ранее сертификата:
  MOMcertimport.exe «С:Server.pfx»
При запросе пароля введите пароль указанный в процессе экспорта сертификата

По сути утилита momcertimport.exe делает только одну вещь — прописывает серийный номер сертификата, который должен использовать SCOM, в ветку реестра HKEY_LOCAL_MACHINESOFTWAREMicrosoftMicrosoft Operations Manager3.0Machine Settings (параметр ChannelCertificateSerialNumber).

Данный ключ с правильным серийным номером сертификата должен быть прописан на каждом компьютере, который будет аутентифицироваться с помощью сертификатов.
- Перезапустите службу «System Center Management»
8. Одобрение агента на сервере управления

В консоли администрирования SCOM (Operations Manager Console) перейдите на закладку «Administration» и выберете пункт «Pending Management». Выберете появившийся сервер в составе рабочей группы и выполните для него одобрение (“Approve”). После одобрения клиент будет перемещён в группу «Agent Managed»

На этом процедуру установки и привязки внедоменного агента можно считать оконченной. Состояние работы агента можно в дальнейшем можно отслеживать по созданному после установки агента журналу событий

Если между сервером управления и агентом SCOM имеются брандмауэры, то возможно потребуется дополнительная их настройка. Информацию о портах, необходимых для штатной работы агента SCOM можно найти здесь:
- TechNet Library - Operations Manager 2007 R2 Supported Configurations
- TechNet Library - Using a Firewall with Operations Manager 2007
Дополнительная информация по теме:
- KB947691 - When you try to install a System Center Operations Manager 2007 agent on a workgroup computer without using a gateway server, Operations Manager 2007 cannot see the workgroup computer
- TechNet Blogs - System Center Operations Manager - Obtaining Certificates for Ops Mgr via Command Line or Script
Долгая обработка GPP на этапе "Applying Group Policy Drive Maps policy" на клиентах RODC Windows Server 2008 R2

19.08.2010 Автор:Алексей Максимов
13 976 Просмотров 5 комментариев

На этапе внедрения RODC на базе Windows Server 2008 R2 была замечена проблема, связанная с увеличением времени входа в систему на клиентских ПК. Проблема была выявлена на всех площадках, где для авторизации в домене и применения групповых политик клиенты использовали RODC. После ввода учетных данных процесс входа в систему на несколько минут «замерзал» на этапе «Applying Group Policy Drive Maps policy». Разумеется, подозрение сразу пало на обработку Group Policy Preferences (GPP) в части обработки подключения сетевых дисков, так как в одной из групповых политик, применяемых в части User Configuration у нас было некоторое количество таких подключаемых дисков через механизмы GPP с использованием для каждого подключения нацеливания (Item-level targeting).

Для подключения разных дисков использовались три вида нацеливания: по членству пользователя в доменной группе, по NetBios имени компьютера и по вхождению пользователя в определенный OU в домене.
Для того, чтобы выяснить то, обработка какого именно подключения являлась корнем проблемы, пришлось прибегнуть к включению трейсов для обработки параметров GPP. Для этого в групповой политике, применяемой к испытуемому клиентскому компьютеру, в разделе Computer Configuration потребовалось активировать и настроить параметр Policies > Administrative Templates > System > Group Policy >Logging and tracing > Drive Maps Policy Processing.

По умолчанию ведение трейсов выключено и параметры для определения размещения лог файлов ссылаются на каталог %COMMONAPPDATA%\GroupPolicy\Preference\Trace.

Как ни странно, мы не обнаружили на своих испытуемых системах Windows 7/Windows Server 2008 R2 переменной окружения %COMMONAPPDATA% и поэтому изменили путь для хранения логов с использованием существующей переменной окружения - %programDATA%. В данном случае нас интересовал параметр User trace и его значение получилось в нашем случае таким: %programDATA%\GroupPolicy\Preference\Trace\User.log

Уровень логирования пришлось использовать максимальный, чтобы получить весь доступный объем информации о происходящем в процессе обработки GPP. И на всякий случай было увеличено значение максимального размера лог-файла.

После того, как новая политика, включающая логирование применения GPP, была применена на клиенте с помощью команды gpupdate, был выполнен logoff/logon, чтобы спровоцировать обработку GPP в части подключения сетевых дисков пользователю. Теперь на испытуемом клиентском компьютере в указанном каталоге (C:\ProgramData\GroupPolicy\Preference\Trace) был обнаружен файл трассировки User.log.

После изучения лога стало понятно, что обработка GPP всех сетевых дисков проходила «на одном дыхании» и заметный провал во времени обработки (более 1 минуты) происходил именно на одном определенном диске - “H:”

Оказалось что это единственный сетевой диск, в котором для нацеливания использовался признак вхождения пользователя в определенный OU в домене. Было принято решение для пробы изменить нацеливание для данного сетевого диска по признаку членства пользователя в доменной группе… Каково же было наше удивление, когда время входа в систему сократилось в разы :). Приведу лог обработки после внесённых изменений, чтобы не быть голословным.

Причем повторюсь, что проблема наблюдалась только на клиентах, которые сидели в сайте с RODC, а на клиентах, имеющих в сайте полноценные DC такой «бяки» замечено не было.
Исходя из этой истории, напрашивается вывод о том, что к применению Item-Level targeting нужно подходить с аккуратностью и предварительной обкаткой разных вариантов, тем более GPP предоставляет нам хороший выбор таких вариантов.

Читать далее...
Установка Hyper-V Server 2008 R2 на серверную платформу HP ProLiant DL 360 G5

23.06.2010 Автор:Алексей Максимов
19 002 Просмотров 15 комментариев

Подготовка аппаратной платформы

Перед началом установки Hyper-V Server мы должны провести подготовку аппаратной платформы. В силу того что Hyper-V Server 2008 R2 это относительно новая ОС, для обеспечения корректной работы аппаратных компонент нам потребуется использовать последние версии драйверов с сайта производителя оборудования. Это требование с точки зрения корректной работы последних версий драйверов влечет за собой необходимость обновления всех прошивок Firmware нашего сервера. Поэтому берём за хорошую практику всегда приводить версии Firmware в актуальное состояние перед установкой ОС и последующей установкой драйверов.

При первоначальной загрузке сервера в BIOS первым делом выставляем порядок загрузки (Standard Boot Order) таким образом чтобы загрузка начиналась с CD.
Так как у нашего сервера два сетевых адаптера, сразу определимся в том, что первый из них (NIC1) мы будем использовать для доступа к хостовой ОС Hyper-V Server а второй (NIC2) будем использовать для доступа к виртуальным машинам. И так как информация о сетевых адаптерах нам потребуется на этапе первоначального конфигурирования ОС, сразу выписываем на листочек MAC адрес сетевого адаптера NIC2.

Далее переходим к включению необходимых для Hyper-V аппаратных возможностей процессора.
В Advanced Option > Processor Options > Включаем опции No-Execute Memory Protection и Intel(R) Virtualization Technology.

Скачиваем с сайта тех.поддержки Hewlett-Packard свежий пакет обслуживания серверов HP ProLiant включающий в себя все последние версии Firmware для аппаратных компонент нашего сервера. На момент написания данной заметки этот пакет имеет название HP ProLiant Software Maintenance Pack и версию 8.70 [21.01.2010]

Записываем полученный пакет в виде ISO образа на CD диск, и выполнив с него загрузку сервера, запускаем процедуру обновления Firmware. Встроенная в пакет утилита HP Smart Update Manager автоматически выполнит опрос аппаратных компонент сервера и любезно предложит нам обновить необходимые компоненты. После обновления можно приступать непосредственно к этапу установки ОС.

Установка Hyper-V Server 2008 R2

Процесс установки Hyper-V Server 2008 R2 достаточно прост и интуитивно понятен. Сначала определяемся с языковыми параметрами. На первоначальном этапе эти параметры можно оставить по умолчанию.

Задаём дисковую конфигурацию и выбираем диск, на который будем производить установку ОС. В процессе установки инсталлятор автоматически создаст на этом диске два раздела. Первый раздел – служебный размером в 100 Mb будет предназначен для хранения загрузочных файлов ОС. Второй раздел – сам системный том с исполняемыми файлами ОС и предустановленной ролью Hyper-V Server размером всего оставшегося места на указанном диске.

Оставшиеся два диска в нашем случае мы будем использовать для хранения виртуальных жестких дисков VHD наших будущих виртуальных машин. Для обеспечения отказоустойчивости в нашем случае все три диска представляют собой массивы уровня RAID-1.

Первоначальная настройка ОС

После завершения процесса установки, задаем пароль локального администратора и попадаем в ОС.
Первое что мы видим – это два консольных окна. Первое окно – окно командного интерпретатора cmd.exe запущенное в режиме повышенных привилегий, второе окно – командный файл базовой настройки сервера sconfig.cmd

Пройдём пошагово по всем этапам первоначальной настройки.
Для начала зададим имя нашего Hyper-V хоста. Для этого выберем пункт 2 (Computer Name) и введём имя сервера, после чего нам будет предложено перезагрузить сервер. Перезагрузим сервер.

После перезагрузки сервера включим удаленное управление нашим сервером. Для этого выберем пункт 4 (Configure Remote Management) и последовательно выберем пункты:

1) Allow MMC remote management (разрешим удаленный административный доступ через консоли MMC, автоматически включив при этом необходимые правила Windows Firewall)
2) Enable Windows Powershell (производится авто-установка фичи Windows Powershell и разрешается удаленное исполнение скриптов PS в режиме remotesigned). После выполнения этого действия потребуется перезагрузка сервера.
После перезагрузки снова вернёмся в Configure Remote Management и выполним следующий пункт…
3) Allow Server Manager Remote Management (включим удаленное управление сервером с помощью таких полезностей как PowerShell и WinRM)

Далее вернёмся в главное меню и включим возможность доступа к нашему серверу по RDP. В пункте 7 (Remote Desktop) выберем соответствующий параметр Enabled и выберем тип допустимых подключений (Allow clients running any version of Remote Desktop) так как этот параметр позволит нам получать доступ к серверу по RDP с старых RDP клиентов, не поддерживающих NLA.

Далее вернёмся в главное меню и перейдём к настройкам сети в пункт 8 (Network Settings). Здесь мы обнаружим 2 сетевых адаптера, имеющихся на борту сервера. Нам необходимо выбрать адаптер NIC1, как мы обговорили ранее , и настроить на нём статический IP адрес, который будет использоваться для доступа к хостовой ОС Hyper-V Server 2008 R2 и управления виртуальными машинами.

В нашем примере оба наших адаптера получили IP адрес с DHCP. Для того чтобы понять какой именно адаптер по индексу нам нужно настраивать, в окне командной строки выполним команду

ipconfig /all

Из вывода утилиты ipconfig по MAC адресу сетевого адаптера (его мы выписали из BIOS на первоначальном этапе) можно понять какой адрес он использует в данный момент как выделено на рисунке снизу.

Соответственно в нашем случае получается, что NIC1 у нас находится на интерфейсе с текущим адресом 10.160.136.53, то есть в sconfig.cmd он будет отображаться как #2. Его то мы и должны выбрать и настроить.

Задаем статический IP адрес, маску сети, шлюз по умолчанию в пункте 1 (Set Network Adapter IP Address) а затем значения IP адресов серверов DNS в пункте 2 (Set DNS Servers). На этом основную настройку с помощью sconfig.cmd можно считать законченной (позже мы к ней вернёмся).

Региональные настройки ОС.

Для задания региональных настроек ОС из командной строки вызовем апплет панели управления командой

intl.cpl

и в открывшемся окне на закладке Formats выберем Russia

На закладке Location выберем Russia и применим изменения (Apply)

На закладке Administrative скопируем выставленные нами региональные настройки в настройки профиля «по умолчанию» используемого для новых пользователей

И что важно, выберем язык (system locale) для использования в программах, не поддерживающих Unicode. После чего нам потребуется перезагрузить сервер.

После перезагрузки, мы сразу увидим результат наших новых региональных настроек – sconfig.cmd обрусеет :)

Теперь мы можем ввести наш сервер в домен. Для этого используем пункт 1 главного меню sconfig.cmd где укажем имя домена и учетные данные в домене с правом ввода компьютера в домен. После ввода в домен выполним перезагрузку сервера.

После перезагрузки сразу выполним установку всех последних системных обновлений с WSUS. Для этого воспользуемся пунктом 6 главного меню sconfig.cmd – Загрузка и установка обновлений.

Среди обновлений сразу выполняем установку пакета Forefront Client Security , который будет выполнять функции антивирусной защиты на нашем Core сервере.

После установки всех обновлений и перезагрузки сервера переходим к этапу установки драйверов для аппаратных компонент нашего сервера.

Установка и настройка SNMP Service

В случае, если в нашем окружении для мониторинга аппаратных компонент сервера используется программный комплекс HP Systems Insight Manager (SIM), перед установкой драйверов и программного обеспечения HP нам необходимо будет произвести ряд дополнительных действий:

- Установить и настроить службу SNMP;
- Настроить брандмауэр для взаимодействия компонент мониторинга HP Systems Insight

Службу SNMP в режиме Core устанавливаем следующей командой:

start /w ocsetup SNMP-SC

После установки службы её необходимо настроить, так как по умолчанию служба SNMP не отвечает на поступающие запросы сторонним хостам. Чтобы разрешить опрос клиентских компонент HP Systems Insight со стороны сервера HP Systems Insight Manager необходимо внести изменения в свойства службы SNMP. В силу того что сервер Core не имеет визуальных инструментов для управления службами, сделать это можно двумя альтернативными способами:

1) удаленно подключиться к нашему серверу оснасткой управления службами (services.msc) с другого компьютера под управлением Windows 7/Windows Server 2008 R2, имеющего уже установленную службу SNMP.

2) С другого компьютера с ОС Windows 7/Windows Server 2008 R2, имеющего уже установленную и настроенную нужным образом службу SNMP экспортировать куст реестра HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParameters
и затем импортировать его на Core сервере c Hyper-V Server 2008 R2.

Содержимое reg файла может быть примерно таким:

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParameters]
’NameResolutionRetries’=dword:00000010
’EnableAuthenticationTraps’=dword:00000001
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParametersPermittedManagers]
’1’=’localhost’
’2’=’HP-SIM-SERVER’
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParametersRFC1156Agent]
’sysServices’=dword:0000004c
’sysLocation’=’Syktyvkar, Gagarin str. 158, room 25’
’sysContact’=’Vasya Pupkin’
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParametersTrapConfiguration]
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParametersTrapConfigurationpublic]
’1’=’HP-SIM-SERVER’
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesSNMPParametersValidCommunities]
’public’=dword:00000004

Как наверное уже стало понятно из примера, нам необходимо как минимум настроить разрешение опроса по протоколу SNMP с строкой сообщества ‘public’ с правами ‘READ ONLY’ а также включить возможность отсылки трапов на наш сервер HP Systems Insight Manager. После настройки службу SNMP необходимо перезапустить для вступления изменений в силу.

Теперь нужно настроить брандмауэр для взаимодействия компонент мониторинга HP Systems Insight с сервером HP Systems Insight Manager. Для этого как минимум мы должны открыть в системе порты используемые для доступа к HP компонентам System Management Homepage, которые мы будем устанавливать в дальнейшем вместе с драйверами. Сделать это можно командами:

netsh advfirewall firewall add rule name=’HP System Management Homepage (Secure Port)’ protocol=TCP dir=in localport=2381 action=allow

netsh advfirewall firewall add rule name=’HP System Management Homepage (Insecure Port)’ protocol=TCP dir=in localport=2301 action=allow

Дополнительно про настройку брандмауэра в режиме командной строки можно почитать в статье KB947709 How to use the "netsh advfirewall firewall" context instead of the "netsh firewall" context to control Windows Firewall behavior in Windows Server 2008 and in Windows Vista

Установка драйверов

Для установки всех необходимых драйверов на наш сервер HP ProLiant DL 360 G5 скачиваем с сайта тех.поддержки Hewlett-Packard свежий пакет поддержки серверов HP ProLiant включающий в себя все последние версии драйверов для аппаратных компонент нашего сервера. На момент написания данной заметки этот пакет имеет название HP ProLiant Support Pack for Microsoft Windows Server 2008 x64 R2 и версию 8.30 [14.09.2009]

Полученный пакет драйверов распаковываем во временный каталог на сервере и запускаем из командной строки файл setup.exe. В силу того что инсталлятор пакета поддержки изначально позиционируется HP как мульти-платформенный, он без проблем заведётся и отработает на нашем сервере, работающем в режиме Core.

Обратите внимание на то, что если мы собираемся полноценно использовать функционал HP Systems Insight Manager, мы должны устанавливать весь набор предлагаемых программных компонент, даже не смотря на то что некоторые утилиты не смогут запускаться и работать интерактивно в режиме Server Core, так как зависят от наличия в системе браузера Internet Explorer, которого в режиме Core, как нам известно, нет.

Основными используемыми нами интерактивно на сервере утилитами могут быть:

- HP ProLiant Array Configuration Utility (CLI) for Windows - утилита командной строки для конфигурирования дисковых массивов на контроллерах семейства HP Smart Array;

- HP Network Config Utility - для конфигурирования параметров сетевых интерфейсов (например если нам потребуется организация аппаратных VLAN).

Утилита HP Network Config Utility представляет собой приложение с графическим интерфейсом, которое может быть вызвано командой

‘C:Program FilesHPNCUhpteam.cpl’

(в вашем окружении этот путь может быть другим)

В нашем сценарии нам не приходится прибегать к работе с данной утилитой.

Утилита HP ProLiant Array Configuration Utility (CLI) for Windows представляет собой приложение командной строки , которое может быть вызвано командой

‘C:Program Files (x86)CompaqHpacucliBinhpacucli.exe’

(в вашем окружении этот путь может быть другим).

Утилита сама по себе достаточно информативная и простая, имеет встроенный help по возможным комбинациям команд. Для того чтобы получить подробные сведения о конфигурации всех контроллеров HP SA в системе выполним команду

controller all show config detail

Вывод этой команды достаточно большой, поэтому прокомментирую только основные данные о текущей конфигурации:

Smart Array P400i in Slot 0 (Embedded)
Bus Interface: PCI
Slot: 0
....Array: A
Interface Type: SAS
...Logical Drive: 1
Size: 68.3 GB
Fault Tolerance: RAID 1
...... Mirror Group 0:
physicaldrive 1I:1:1 (port 1I:box 1:bay 1, SAS, 72 GB, OK)
Mirror Group 1:
physicaldrive 1I:1:2 (port 1I:box 1:bay 2, SAS, 72 GB, OK)

Из вывода утилиты мы например можем понять, что у нас:
- Используется контроллер HP Smart Array P400i (слот 0), он имеет два канала;
- Корзина имеет 6 дисков. первые 4 диска расположены на канале "1I", остальные 2 диска расположены на канале "2I";
- Создан массив RAID 1 на дисках 1 и 2 канала "1I"

Если стоит задача создать из неиспользуемых 4 дисков массив RAID5, это можно сделать командой:

controller slot=0 create type=ld drives=1I:1:3,1I:1:4,2I:1:5,2I:1:6 raid=5

После успешной отработки команды можно снова запросить сведения о конфигурации, и убедиться в том, что наш массив создан и находится в стадии инициализации:

controller all show config detail

Если стоит задача удаления дискового массива, используем команду типа:

controller slot=0 array C delete

Включение ICMP

В силу того что мы используем сервер с включенным Windows Firewall нам также нужно создать правило разрешающее ICMP трафик, чтобы мы могли пользоваться утилитой сетевой диагностики ping. Сделать это можно с помощью утилиты командной строки Netsh.

Для систем Windows Server Core 2008 / Hyper-V Server 2008 это будет выглядеть так:

netsh firewall set icmpsetting 8

Для систем Windows Server Core 2008 R2 / Hyper-V Server 2008 R2 (как раз наш случай) это будет выглядеть так:

netsh advfirewall firewall add rule name=’ICMP Allow incoming V4 echo request’ protocol=icmpv4:8,any dir=in action=allow

Включение удаленного доступа к Device Manager

После установки драйверов мы должны убедиться в том, что для ОС больше не осталось неопознанных устройств. При попытке удаленного доступа к диспетчеру устройств (Device Manager) нашего сервера мы можем получить отказ в доступе:

Для того чтобы включить доступ к Device Manager нашего сервера мы должны сконфигурировать разрешающий параметр Групповой политики (GPO). Изменения могут быть внесены как на уровне доменной политики, так и на уровне локальной групповой политики сервера (как в нашем примере).

Для этого с компьютера под управлением ОС не ниже Windows Vista или Windows Server 2008, откроем оснастку Local Group Policy Editor , подключимся к нашему Hyper-V серверу и внесём изменения в раздел GPO:

Computer configurationAdminstrative TemplatesSystemDevice Installation

параметр Allow remote access to the PnP interface установим в значение Enable

Для вступления данного параметра в силу потребуется перезагрузка сервера.
Обратите внимание на то, что при удалённом доступе через консоль Device Manager в любом случае мы будем иметь доступ только в режиме чтения, то есть, таким образом, например, не получится переустановить драйвер какого либо устройства на удаленной системе.

Для выполнения административных задач с драйверами устройств, предполагается использование локальных утилит при доступе на сервер через удаленный рабочий стол по RDP. Если по какой-то причине драйвер не имеет собственного инсталлятора или же инсталлятор не работает в среде Server Core, для управления драйверами устройств можно воспользоваться набором скриптов PowerShell - Core Configurator 2.0.
Для этого скачиваем архив Core Configurator 2.0, распаковываем в папку с именем не содержащим пробелов (например C:Tools) и запускаем стартовый скрипт Start_CoreConfig.wsf

Набор скриптов Core Configurator 2.0 помимо управления драйверами может быть полезен нам также и при многих других операция в ОС, работающей в режиме Server Core.

Удалённое управление томами NTFS

Для удалённого управления дисковыми томами на нашем Core сервере можно воспользоваться оснасткой Управление компьютером (compmgmt.msc). Это будет возможно только в случае, если на этапе первоначального конфигурирования сервера мы включили возможности удаленного управления сервером.

Создание виртуальной сети Hyper-V

Теперь для того, чтобы мы могли создавать на нашем Hyper-V сервере виртуальные машины, использующие доступ к внешней локальной сети, мы должны создать виртуальную сеть. Для этого можно использовать оснастку Hyper-V Manager (%ProgramFiles%Hyper-Vvirtmgmt.msc) входящую в состав Средств удаленного администрирования сервера.

Как мы определились ранее, для виртуальных сетей Hyper-V мы будем использовать отдельный сетевой адаптер нашего сервера, чтобы отделить трафик VM от трафика хостовой ОС.

После создания виртуальной сети можно будет создавать виртуальные машины с привязкой к этой виртуальной сети.
Вообще, справедливости ради, стоит отметить тот момент, что если в нашем окружении имеется мощное средство управления серверами Hyper-V - System Center Virtual Machine Manager, то управление виртуальными сетями и глобальными сетевыми параметрами Hyper-V хостов лучше всего выполнять именно из консоли SCVMM. Это позволит нам избежать возникновения ситуации дублирования MAC адресов в пулах разных Hyper-V серверов.

Установка агента DPM 2007

Для установки агента DPM 2007 SP1 на наш Hyper-V сервер с включенной службой Windows Firewall на консоли нашего Core сервера подключаем системный том с DPM сервера и запускаем установку клиента последней версии. В качестве параметра программе установки передаем имя нашего DPM сервера.

net use X: \DPMSERVERC$
cd /d ‘X:Program FilesMicrosoft DPMDPMAgentsRA2.0.8844.0amd641033’
DPMAgentInstaller_KB970867_AMD64.exe DPMSERVER.Mydom.com

После того как команда отработала, перезагружаем Core сервер (DPM клиент). После того как клиент поднялся из ребута на DPM сервере открываем DPM Management Shell и выполняем команду аттача клиента:

PS C:Program FilesMicrosoft DPMDPMbin> .Attach-ProductionServer.ps1
DPMServer:: KOM-AD01-BCP02.Mydom.com
PSName:: KOM-TPSY-VM02.Mydom.com
UserName:: Admin
Password:: *************
Domain:: Mydom.com

На нашем клиентском сервере проверяем, чтобы в процессе, установки инсталлятором агента DPM в правила Windows Firewall было вписано правило dpmra, которое разрешает любую сетевую активность клиентскому приложению DPM.
Если правило по какой-то причине не создано, можем добавить его руками примерно так:

Netsh firewall add allowedprogram ‘C:Program FilesMicrosoft Data Protection ManagerDPMbinDPMRA.exe’ DPMRA

Затем заходим на консоль DPM сервера и проверяем то, что наш Hyper-V сервер доступен как клиент DPM.

Установка агентов SCOM 2007 и SCVMM 2008 R2

В случае если на первоначальном этапе настройки ОС мы включили протоколы удаленного управления нашим сервером, в процессе удаленной установки агента SCOM 2007 с консоли SCOM не должно вызвать никаких затруднений.

Тоже самое можно сказать и про удаленную установку агента SCVMM 2008 R2 с консоли VMM

После всех вышеописанных действий наш сервер с ОС Hyper-V Server 2008 R2 станет полноценным управляемым членом нашей IT инфраструктуры.

На десерт…

После того как все основные этапы конфигурирования нашего сервера выполнены, можно позволить себе немножко пострадать фигнёй ;)

Давайте, к примеру, заменим пустую картинку экрана приветствия нашей ОС на какую-нибудь весёленькую бодрящую картинку. По умолчанию Windows 2008 хранит картинки пользователей в каталоге C:ProgramDataMicrosoftUser Account Pictures в виде файлов с именем DOMAIN+user.dat (например, Mydom+Admin.dat).
Можно стянуть такой файл с любой полной ОС Vista/Win7/2008/2008R2 с GUI, создать подкаталог User Account Pictures в указанном каталоге, так как он в Core по умолчанию отсутствует, и закинуть туда этот файл.
Теперь на экране приветствия нашей ОС мы будем видеть нашу жизнерадостную картинку ))).

Дополнительные ссылки:

Microsoft® Hyper-V™ Server 2008 R2

Microsoft Hyper-V Server 2008 Configuration Guide

Hyper-V Getting Started Guide

Server Core Installation Option Getting Started Guide