Алексей Максимов, Автор в Блог IT-KB

GPO: The client-side extension could not remove computer policy setting…because it failed with error code '0x8007000d The data is invalid.' (Event ID 8194 Source Group Policy Registry)

10.06.2010 Автор:Алексей Максимов
9 604 Просмотров 9 комментариев
В один момент заметил, что на одном из контроллеров домена под управлением Windows Server 2008 перестал работать механизм GP Preferences. При этом в логе System периодически фиксировалась ошибка
```
Log Name:      Application 
Source:        Group Policy Registry 
Date:          08.06.2010 6:04:43 
Event ID:      8194 
Task Category: (2) 
Level:         Error 
Keywords:      Classic 
User:          SYSTEM 
Computer:      DC02.mydom.com 
Description: 
The client-side extension could not remove computer policy settings for 'Default Domain Controllers Policy {6AC1786C-016F-11D2-945F-00C04fB984F9}' because it failed with error code '0x8007000d The data is invalid.' See trace file for more details.
```
Как выяснилось, проблема связана с тем, что по какой-то причине ломается кэш преференций какой-либо групповой политики, что в дальнейшем приводит к проблеме обработки преференций и в других политиках применяемых на данном компьютере.
Читать далее...
Использование механизма Disaster Recovery в DPM 2010

27.05.2010 Автор:Алексей Максимов
9 676 Просмотров 16 комментариев
Механизм обеспечения восстановления после катастрофичных сбоев или попросту катастрофоустойчивости (Disaster Recovery) в DPM 2010 реализован путём развертывания вторичного сервера DPM, являющегося хранителем реплики защищаемых данных первичного сервера DPM. Применение катастрофоустойчивой конфигурации необходимо для того чтобы застраховаться от следующих сценариев:
- Полная потеря первичного сервера DPM со всеми репликами защищаемых данных и всех его защищаемых клиентов.
- Потеря только первичного DPM сервера со всеми репликами защищаемых данных.
В первом случае вторичный DPM сервер будет выступать в качестве источника восстановления данных всех потерянных клиентов и при необходимости самого первичного DPM сервера. Во втором случае на время восстановления первичного DPM сервера, чтобы не прерывать цикл защиты данных, необходимо будет присоединить всех агентов DPM к вторичному серверу.
Читать далее...
Установка DPM 2010 на Windows Server 2008 R2

21.05.2010 Автор:Алексей Максимов
6 805 Просмотров Комментариев нет
Системные требования для установки DPM 2010

Общие системные требования можно найти по ссылке - DPM 2010 System Requirements
Отдельно стоит обратить внимание на то, что сервер DPM 2010 не может быть развернут в следующих конфигурациях:
- компьютер с установленной ролью Application Server
- компьютер, используемый в качестве сервера управления System Center Operations Manager
- компьютер с установленным Exchange Server
- компьютер, являющийся нодой кластера Служб кластеризации
Читать далее...
PowerShell: Управление членством групп AD

28.04.2010 Автор:Алексей Максимов
3 460 Просмотров Комментариев нет

Ситуация:
Есть некоторое количество доменных групп безопасности с большим количеством пользователей в каждой их них.
Возникает необходимость копирования членства в существующих группах в другие вновь созданные группы.

Решение:
Используем Quest Management Shell (PowerShell командлеты ActiveRoles Management Shell for Active Directory от Quest Software) и командой фактически в одну строку выполняем поставленную задачу:

Get-QADGroupMember Group1 | Add-QADGroupMember Group2

где Group1 – имя группы безопасности из которой получаем пользователей, Group2 – имя группы безопасности в которую копируем полученных пользователей.
После того как копирование произведено, можно выполнить сравнение состава групп таким образом:

Compare-Object ( Get-QADGroupMember Group1 ) ( Get-QADGroupMember Group2 ) -IncludeEqual
Обновление и кастомизация пакета Adobe Reader

26.04.2010 Автор:Алексей Максимов
5 608 Просмотров Комментариев нет
Цель: Получить пакет установки Adobe Reader, интегрировать в него последние обновления, удалить из него ненужные нам компоненты и развернуть получившийся пакет установки на клиентских ПК.

Решение:
Скачиваем последнюю доступную версию дистрибутив во временный каталог, например C:TempAdobe
AdbeRdr930_ru_RU.exe

Если перед нами не стоит задача кастомизации и интеграции обновлений, то мы можем использовать немодифицированный дистрибутивный пакет с дополнительными параметрами командной строки, и в этом случае строка запуска программы установки будет следующей:

AdbeRdr930_ru_RU.exe /sAll /rs /l /msi /qb- /norestart EULA_ACCEPT=YES

Объяснение используемых ключей:
/sAll - установка в Silent Mode, т.е. в скрытом режиме
/rs - подавление перезагрузки системы после установки продукта
/l - включить ведение логирования ошибок
/msi - набор ключей передаваемых приложению MSIEXEC

ну а далее мы, собственно говоря, и указываем параметры MSIEXEC

/qb- Выбор основного интерфейса установки
/norestart - Запрет перезапуска после завершения установки
EULA_ACCEPT=YES - Принятие лицензионного соглашения

Но так как перед нами стоит задача подготовки к развертыванию самой свежей версии пакета, да ещё и с отключением некоторых встроенных функций, проведём далее указанные действия…

Скачиваем инкрементальные обновления в временный каталог C:TempAdobe

AdbeRdrUpd931_all_incr.msp
AdbeRdrUpd932_all_incr.msp

По имеющейся информации, обновления не являются кумулятивными, и поэтому нам придётся выкачивать их все и поочередно применить к оригинальному инсталляционному пакету.

Переходим в каталог и запускаем административную установку (распаковку в каталог) дистрибутива во временный каталог C:Temp AdobeInstallFiles с параметром применения к нему всех полученных обновлений

cd /d C:Temp Adobe
AdbeRdr930_ru_RU.exe -nos_o"./InstallFiles" -nos_ne

Далее создадим ещё один временный каталог C:TempAdobeUpdatedInstallFiles , в котором будем выполнять все операции по интеграции обновлений.
Теперь переходим в каталог InstallFiles и запускаем распаковку дистрибутива в каталог UpdatedInstallFiles

C:TempAdobe>cd InstallFiles
msiexec /a AcroRead.msi

После этого произойдёт копирование файлов в новый каталог UpdatedInstallFiles

Теперь последовательно выполняем команды интеграции обновлений в распакованный дистрибутив

CD /d C:TempAdobeUpdatedInstallFiles
msiexec /a C:TempAdobeUpdatedInstallFilesAcroRead.msi /p C:TempAdobeAdbeRdrUpd931_all_incr.msp

msiexec /a c:TempAdobeUpdatedInstallFilesAcroRead.msi /p c:TempAdobeAdbeRdrUpd932_all_incr.msp

Теперь в каталоге UpdatedInstallFiles мы имеем дистрибутив последней версии (9.3.2)

После того как дистрибутив обновлён, можно приступать к его кастомизации.

В процессе модификации мы сделаем следующие изменения:
- Предотвратим включение модуля Adobe Updater. Этот модуль отвечает за то чтобы периодические обновления каждого установленного экземпляр ПО из Интернета.
- Предотвратим регистрацию модуля SpeedLauncher. Этот модуль в процессе установки прописывает себя в системном реестре и загружается в память при каждом запуске системы. Его назначение - загрузка основных модулей Adobe в память для более быстрого запуска приложений. Реальный "выхлоп" от этой фичи весьма сомнителен.
- Предотвратим создание ярлыка "Adobe Reader 9" на рабочем столе общего пользовательского профиля в процессе установки.
- Включим автоматическое согласие с соглашением EULA.
- Включим предотвращение запуска исполняемых файлов из Adobe Reader.
Скачиваем пакет кастомизации Adobe Customization Wizard 9 (CustWiz90_en_US.exe) и устанавливаем его.

После процедуры распаковки и обновления в каталоге UpdatedInstallFiles имеется файл AcroRead.msi, который нам необходимо открыть из Adobe Customization Wizard 9 и произвести примерно следующие настройки:

На закладке Installation Options
- Run Installation = Unattended
- If reboot... = Supress reboot

На закладке Shortcuts
- Удаляем ярлык Adobe Reader 9 из Desktop

На закладке EULA
- Включаем чекбокс Suppress display of End User License Agreement (EULA)

На закладке Online and Acrobat.com Features
Включаем запрет всех функций обновления и доступа в Интернет как показано на скриншоте.

На закладке File Attachments
Включаем предотвращение запуска исполняемых файлов.

На закладке Direct Editor

- В таблице Component удаляем все строки содержащие 'AdobeUpdater' или 'Adobe_Updater'
- В таблице Feature удаляем строки содержащие 'AUM' или 'Updater'
- В таблице FeatureComponents удаляем строки содержащие 'AUM' или 'Updater'
- В таблице File удаляем строки содержащие 'AdobeUpdater' или 'Adobe_Updater'
- В таблице ModuleComponents удаляем строки содержащие 'AdobeUpdater' или 'Adobe_Updater'
- В таблице Registry удаляем строку 'Registry838'
- В таблице Registry удаляем строки содержащие 'Adobe_Updater' в значении полей Value и Component
- В таблице MsiFileHash удаляем строки содержащие 'AdobeUpdater'
- В таблице Shortcut проверяем чтобы не было строки 'SC_READER_DT', если она есть - удаляем.
- В таблице Property проверяем значение параметра SYNCHRONIZER = YES
- В таблице Property проверяем значение параметра EULA_ACCEPT = YES
- В таблице Property устанавливаем значение параметра DISABLE_BROWSER_INTEGRATION = YES

Далее в главном меню Adobe Customization Wizard 9 выбираем пункт Transform > Generate Transform и сохраняем mst файл, задав имя, например, AcroRead_Transform.mst

Теперь мы можем проверить установку командой:

START /WAIT MSIEXEC /I AcroRead.msi ALLUSERS=TRUE TRANSFORMS=AcroRead_Transform.mst /QB

Теперь в нашем каталоге UpdatedInstallFiles мы имеем обновлённый пакет установки и файл трансформации MSI. Перекладываем содержимое этого каталога в сетевую папку, которая используется у нас для распространения ПО и теперь всё, что нам остается сделать - это добавить получившийся пакет в GPO для централизованного развертывания на клиентские ПК или использовать его как источник развертывания средствами SCCM. При создании пакета распространения в GPO/SCCM выбираем файл AcroRead.msi и не забываем указать наш пакет трансформации AcroRead_Transform.mst.

Дополнительные источники:
Deploying Adobe Reader 9 for Windows
AppDeploy Acrobat Reader 9.x
Using Group Policy to Deploy Adobe Acrobat 9.3.2
Проблема репликации групповых политик (Event ID 13568 Source NtFrs)

07.04.2010 Автор:Алексей Максимов
16 561 Просмотров 7 комментариев

Нарвался на ситуацию когда в домене Windows Server 2008 на одном из контроллеров домена перестали обновляться групповые политики после некорректного выключения ОС. При этом с логе File Replication Service периодически фиксировались события с кодом 13568

Читать далее...
System Center DPM 2007 QFE Rollup KB979970 (2.0.8864.0)

06.04.2010 Автор:Алексей Максимов
2 035 Просмотров Комментариев нет

В конце марта появился пакет исправлений для DPM 2007 SP1 - System Center DPM 2007 QFE Rollup (KB979970) который изменяет версию DPM до 2.0.8864.0
Данный пакет по сути является кумулятивным и включает все ранее выпущенные роллапы на DPM 2007 SP1.

Описание: Description of the latest hotfix rollup package for System Center Data Protection Manager 2007: March 29, 2010
URL для скачивания: System Center Data Protection Manager 2007 QFE Rollup

Требования для установки

- Windows Server 2003; Windows Server 2008; Windows Server 2008 R2
- System Center Data Protection Manager 2007 Service Pack 1.
- Сritical update KB962975 (если DPM установлен на Windows Server 2008).

После установки требуется перезагрузка DPM сервера и обновление всех клиентов DPM.
Сделать обновление клиентов DPM можно как с консоли DPM так и вручную (обе процедуры описаны в вышеперечисленных ссылках)
После обновления клиентов DPM также потребуется перезагрузка.

Вообще, после выхода SP1, список внесённых исправлений в DPM 2007 достаточно внушителен, так что наверняка в любом окружении есть смысл произвести обновление.
SCCM & Double UUID

01.04.2010 Автор:Алексей Максимов
6 860 Просмотров 3 комментария

Работа с SCCM продолжает приносить нам сюрпризы. В ходе того как мы начали использовать функционал OS Deployment вскрылись новые подробности.

При очередном развертывании целевой компьютер (HP DX7400) упорно отказывался начинать процесс установки ОС.

Для изучения проблемы пришлось в загружаемом образе WinPE включить возможность отладки, после чего мы получили доступ к логам WinPE клиента и обнаружили что на этапе когда загруженный WinPE клиент обращается на SCCM сервер для получения задания развертывания ОС – происходит коллизия. А именно, SCCM сервер почему то определяет этого клиента как уже существующий в БД SCCM компьютер (совершенно другой но такой же модели - HP DX7400)…Далее путём долгих мытарств выяснилось что эти два компьютера имеют одинаковый аппаратный UUID, который прошит в DMI области BIOS материнской платы на заводе производителе.
Выяснилось что если SCCM находит в своей базе данных совпадающий UUID то он как принимает два разных компьютера за один и тот же…что и является причиной отказа в развертывании… По доступной в интернете информации - дублирующимися UUID отличаются некоторые производители оборудования, дочерние предприятия DELL и HP. Сначала мы попробовали решить эту проблему «софтверно», то есть я открывал кейс в тех.поддержке MS…но как и следовало ожидать их ответ был неутешительным- «Обращайтесь к разработчику оборудования». Пока изучал проблему узнал интересную вещь - в свое время компания Microsoft для получения производителями статуса «Сертифицировано для Microsoft Windows» одним из условий выдвигала наличие у производителя поддержки RFC определяющего наличие и уникальность аппаратного UUID…но как оказалось наши «славянские братья» (если не путаю страна-производитель этих рабочих станций HP была Румыния) забили на все эти глупости )))
Потом была долгая переписка с тех.поддержкой HP…и пока она длилась было найдено обходное решение по сносу с таких компьютеров всех данных BIOS из области DMI. Но при этом из BIOS, как следствие, вытирался не только UUID но и S/N и P/N девайса, что уже само по себе не очень красиво получалось…хотя при желании эти данные можно было вернуть назад с помощью ещё одной немецкой хакерской тулзы … но все эти операции выглядели очень муторно и неудобно...
Совсем недавно наша переписка с инженером HP из !!!Индии!!! закончилась. Мы получили и успешно провели испытания утилиты SMBCFG от Phoenix Technologies. Данная тулза позволяет в режиме MS-DOS выполнить команду по регенерации аппаратного UUID не теряя при этом прочих данных их DMI области BIOS.

Делается это одной командой:

SMBCFG.EXE /UUID

Столкнувшиеся с подобной проблемой могу стянуть утилиту отсюда

PS: Обращаю ваше внимание на то что корректность работы утилиты проверена только на рабочих станциях HP DX7400 (Bios AWARD-Phoenix)
Exchange Server 2007 How-to: Перемещение файлов групп хранения и баз данных в кластере CCR

28.03.2010 Автор:Алексей Максимов
6 183 Просмотров Комментариев нет

Иногда может потребоваться выполнить перемещение расположения файлов групп хранения (Storage Group) и/или файлов баз данных (Database) на сервере Exchange Server 2007 с ролью Mailbox Server. Если сервер не является нодой CCR кластера, то сделать это можно стандартным способом через UI консоли Exchange Management Console

Сделать это можно как через контекстное меню, так и через меню Actions. В общем то на некластеризованном сервере эта задача не представляет из себя ничего сложного. Однако если вы попытаетесь выполнить данное действие на одной из нод CCR кластера, вы получите информативное сообщение о том, что данная операция в стандартном режиме невозможна.

Для выполнения нашей задачи мы должны выполнить следующую последовательность действий:

1) Остановить репликацию группы хранения. Сделать это можно в Exchange Management Console через меню Actions – Suspend Storage Group Copy или же в Exchange Management Shell командой:

Suspend-StorageGroupCopy –Identity "CCRClusterStorageGroup" -SuspendComment "Moving files to new location" -Verbose

2) Размонтировать нашу базу данных. Сделать это можно в Exchange Management Console через меню Actions – Dismount Database или же в Exchange Management Shell командой:

Dismount-Database -Identity "CCRClusterStorageGroupDatabase" –Verbose

3) На обеих нодах CCR кластера в ручную копируем файлы в новое расположение (разумеется на обеих нодах путь к файлам должен быть идентичным).

4) Обновляем информацию о расположении файлов в Exchange Management Shell командой:
для файлов базы данных:

move-DatabasePath -Identity “CCRClusterStorageGroupDatabase” –ConfigurationOnly -EdbFilePath “R:NEW_DB_FOLDERDatabase.edb”

для файлов группы хранения:

move-StorageGroupPath -Identity “CCRClusterStorageGroup” -ConfigurationOnly -LogFolderPath “R:NEW_SG_FOLDER” -SystemFolderPath “R:NEW_SG_FOLDER”

После этого обратно монтируем базу данных и запускаем репликацию группы хранения (сделать это можно уже через UI). И если ничего нигде не напутали, то база данных успешно запустится, а репликация будет возобновлена. Проверить состояние репликации можно будет командой

Get-StorageGroupCopyStatus

Также обратите внимание на то, что если резервное копирование данных Exchange выполняется с помощью Data Protection Manager, то после перемещения файлов баз данных или групп хранения потребуется удалить старые сведения из Protection Group DPM и создать источник резервного копирования заново.

Дополнительная информация:

Exchange Server TechCenter - How to Move a Database in a CCR Environment
Exchange Server TechCenter - How to Move a Storage Group and Its Database in a CCR Environment
Microsoft Terminal Services - Практика использования Easy Print

02.03.2010 Автор:Алексей Максимов
38 634 Просмотров 23 комментария
Минимальные требования для клиентских ПК для использования универсального драйвера печати Easy Print таковы:
- Microsoft Windows XP SP3, Microsoft Windows Vista SP1, Microsoft Windows 7
- Средство подключения к удаленному рабочему столу (RDP Client) версии не ниже 6.1 (6.0.6001)
  Этот компонент распространяется в составе SP3 для Windows XP и SP1 для Windows Vista
- Microsoft .NET Framework 3.0 с пакетом обновления 1 (SP1) (можно использовать Microsoft .NET Framework 3.5)
  Распространяется через WSUS, хотя может быть установлен и вручную.
Далее...при подключении клиента к серверу в свойствах RDP клиента на закладке "Локальные ресурсы" должно быть включено перенаправление принтеров.

Обратите также внимание на то, что в свойствах учётной записи пользователя в домене (Закладка "Среда") должны быть включены опции "Подключение принтеров при входе" и "По умолчанию выбрать основной принтер клиента". Это грабли на которые я сам однажды наступил )))

Поведение системы печати служб терминалов Windows Server 2008 по умолчанию предполагает использование драйвера Easy Print для всех клиентских принтеров.

Практика показала что не во всех случаях драйвер Easy Print работает корректно (например при некоторых сценариях съезжают поля при печати документов или вовсе не печатаются некоторые печатные формы из 1С). Для решения этой проблемы на наших терминальных серверах мы изменили настройки системы печати по умолчанию на следующий режим работы: при подключении клиента к серверу служба печати сначала пытается найти родной драйвер для каждого принтера клиента, если находит - использует его, если не находит использует для этого принтера драйвер Easy Print.

На сервер установлены последние версии драйверов основных используемых моделей принтеров. Для более корректного взаимодействия служб печати клиента и сервера рекомендуется использовать одинаковые версии драйверов на сервере и на клиенте.

Разрешение проблем в работе Easy Print на Windows Server 2008 / 2008 R2

В случае проблем с перенаправлением принтеров клиента в терминальную сессию с помощью Easy Print необходимо выполнить нижеописанный ряд проверок:
- Проверяем есть ли на клиентском компьютере требуемая для работы Easy Print версия .NET framework.
- Проверяем на клиенте то, что в свойствах запускаемого RDC клиента (mstsc.exe) включена опция перенаправления принтеров клиента на закладке "Локальные ресурсы". Если вместо клиента мы запускаем настроенный RDP ярлык то открываем его в текстовом редакторе и убеждаемся в том что присутствует опция перенаправления принтеров клиента в виде строки: redirectprinters:i:1
- Проверяем свойства доменной учетной записи пользователя. Как было отмечено ранее, в свойствах учётной записи пользователя в домене (Закладка "Среда") должны быть включены опции "Подключение принтеров при входе" и "По умолчанию выбрать основной принтер клиента".
- Проверяем как сконфигурированы групповые политики влияющие на Easy Print на терминальном сервере. Соответствующий раздел GPO можно найти по пути: Computer Configuration -> Administrative templates -Windows Components -> Remote Desktop Services > Remote Desktop Session Host -> Printer Redirection.
  Опция "Use Remote Desktop Easy Print printer driver first" должна быть включена для работы редиректа принтеров с приоритетным использованием драйвера Easy Print или выключена в том случае если вы хотите использовать специально установленные драйвера принтеров на сервере.
- Проверяем конфигурацию терминального сервера (оснастка "Remote Desktop Configuration Tool" или tsconfig.msc) на предмет того, что опция редиректа “Windows Printer” не отмечена как отключенная.
- Проверяем что и на клиенте и на сервера запущена служба очереди печати (spooler service). Если служба запущена то проверяем корректность установленных прав на данную службу. Ниже приведен пример того как должны выглядеть правильные настройки безопасности службы очереди печати:
  C:>sc sdshow spooler
  D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)
  
  Если вывод команды отображения настроек безопасности отличен от указанного, например отсутствуют разрешения в дескрипторе безопасности для “AU” (Authenticated User), то устанавливаем необходимые для корректной работы службы права следующей командой
  
  C:> sc sdset spooler D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)
  [SC] SetServiceObjectSecurity SUCCESS
  
  После установки разрешений необходимо перезагрузить компьютер.
- Если подключение клиента производится через RD Gateway проверяем что на сервере RD Gateway выключена опция запрета перенаправления клиентских принтеров.
- Если у клиента большое количество принтеров и они перенаправляются в ограниченном количестве, то стоит обратить внимание на значение ключа реестра MaxPrintersPerSession (REG_DWORD) в ветке HKLMSoftwarePoliciesMicrosoftWindows NTTerminal Services. По умолчанию это значение равно 20 (т.е. не больше 20 принтеров на одну сессию).
Дополнительные ссылки:
- Некорректная печать документов содержащих страницы со смешанной ориентацией.
  Article ID: 954744 - Last Review: November 11, 2008 - Revision: 1.0
  FIX: Some pages are printed in the incorrect orientation when you use Terminal Services Easy Print to print a document that contains both portrait-oriented pages and landscape-oriented pages
  http://support.microsoft.com/kb/954744
- Некорректная печать документов в формате PDF.
  Article ID: 970603 - Last Review: June 22, 2009 - Revision: 1.0
  The content of a printout is different when you print a PDF document by using Terminal Services Easy Print in a Terminal Services (TS) session in Windows Vista or Windows Server 2008
  http://support.microsoft.com/kb/970603
- Некорректная печать полей страниц документов.
  Article ID: 959442 - Last Review: December 23, 2008 - Revision: 1.0
  The edges of a document are truncated when you try to print the document by using Terminal Services Easy Print from a client computer that is running Windows XP SP3, Windows Vista SP1, or Windows Server 2008
  http://support.microsoft.com/kb/959442
- Не работает печать на перенаправленных принтерах если роль терминального сервера установлена на контроллере домена.
  Article ID: 968605 - Last Review: March 4, 2009 - Revision: 1.0
  Terminal Server Easy Print not printing
  http://support.microsoft.com/kb/968605/EN-US
Использованный материал:
Remote Desktop Services (Terminal Services) Team Blog : Using Remote Desktop Easy Print in Windows 7 and Windows Server 2008 R2