Собрание заметок об информационных технологиях
![image5311[1]](https://blog.it-kb.ru/wp-content/uploads/2016/03/image53111.png "image5311[1]"){kind=small}
Если перед Вами стоит задача организации удобной совместной работы для сотрудников компании, то предлагаю посетить вебинар (онлайн трансляция) на тему “Использование групп Office 365 для организации совместной работы”.
Будьте в курсе актуальных новостей в мире ИТ: https://t.me/ITKBnews. Также будем рады видеть Вас участниками групп https://vk.com/blogitkb и https://www.fb.com/blog.it.kb
Для мониторинга серверов вне домена (рабочие группы или недоверенный домен) архитектура SCOM, в качестве использования основного метода, предполагает использование дополнительной роли - Gateway Server. Подход с развертыванием дополнительного сервера SCOM с ролью Gateway Server имеет смысл в том случае, если количество подключаемых к системе мониторинга объектов велико, и Gateway Server выполняет в таком случае роль доверенного посредника между агентами вне домена и доменным сервером управления. В случае же если количество серверов в рабочей группе (или же в недоверенном домене) невелико – можно использовать другой метод – взаимная аутентификация клиента вне домена (агента мониторинга) и сервера управления в домене на основе цифровых сертификатов.
Описание процедуры подключения сервера в составе рабочей группы к серверу управления SCOM в составе домена.
Основные этапы:
1. Импортирование корневого сертификата доверенного центра сертификации.
2. Создание и установка сертификата на сервер управления.
3. Создание и установка сертификата на сервер в составе рабочей группы
4. Экспорт сертификата для дальнейшего использования в SCOM
5. Включение разрешения ручной установки агентов мониторинга на сервере управления
6. Установка агента мониторинга на сервер в составе рабочей группы
7. Импорт сертификата в агент мониторинга с помощью утилиты MOMcertimport
8. Одобрение агента на сервере управления
1. Импортирование корневого сертификата доверенного центра сертификации.
В рамках доменной инфраструктуры распространение корневых сертификатов доверенных центров сертификации может быть реализовано с помощью механизмов доменных групповых политик (GPO) . Таким образом, мы предполагаем, что на доменном сервере управления SCOM уже установлен корневой сертификат доверенного центра сертификации. Это можно проверить на сервере SCOM открыв оснастку mmc.exe и добавив в неё Snap-In – Certificates для Computer account как это отображено на скриншотах.
После того как мы подключимся к консоли управления сертификатами, переходим в область Trusted Root Certification Authorities и убеждаемся в том, что там присутствует сертификат нашего локального доверенного центра сертификации, от имени которого мы в дальнейшем будем выдавать сертификаты для наших не доменных клиентов и самого SCOM сервера.
Подобным образом проверяем наличие корневого сертификата и на не доменном сервере, на который мы в дальнейшем будем устанавливать агента SCOM. Если корневой сертификат не установлен то можно, например, открыв вэб-узел службы сертификации получить корневой сертификат для его последующего импорта в хранилище корневых сертификатов компьютера. Например, в нашем случае, это будет https://kom-ad01-app23.MyDom.com/certsrv/
После того как мы сохранили предложенный корневой сертификат на локальный диск, можно импортировать его используя уже знакомую консоль управления сертификатами.
В открывшемся мастере импорта сертификатов указываем расположение полученного файла корневого сертификата
Затем выбрать хранилище сертификатов - Trusted Root Certification Authorities - Local Computer (будет отображаться, только если включена опция Show physical stores)
После успешного импорта сертификата снова проверим его наличие в указанном нами хранилище сертификатов
На этом этап установки корневого сертификата доверенного центра сертификации можно считать законченным.
2. Создание и установка сертификата на сервер управления.
Эта процедура выполняется один раз (на период действия сертификата) на сервере управления, к которому необходимо подключить агентов вне домена.
Name: Managementserver.domain.com (например KOM-AD01-MON01.MyDom.com)
Type: Other
OID: 1.3.6.1.5.5.7.3.1, 1.3.6.1.5.5.7.3.2
Отмечаем атрибут - Mark key as exportable
Friendly name: Managementserver.domain.com (например KOM-AD01-MON01.MyDom.com)
· Затем выбираем пункт “Submit” и закрываем веб-браузер.
· Отправленный запрос должен быть обработан администратором центра сертификации, то есть оправленный запрос должен быть одобрен и на его основе центром сертификации будет сгенерирован сертификат.
После того как это выполнено, переходим к следующему шагу.
· С сервера управления с правами администратора и в вэб-броузере открываем URL доверенного центра сертификации (например https://kom-ad01-app23.MyDom.com/certsrv/ )
Выбираем пункт “View status of a pending certificate request”
· Если администратор центра сертификации выдал на ранее сформированный запрос сертификат, то мы увидим наименование этого сертификата, и выбрав его сможем выполнить его установку.
Необходимо учитывать тот факт, что процедура установки сертификата через веб-браузер по умолчанию поместит этот сертификат в хранилище текущего пользователя и при необходимости можно переместить этот сертификат в раздел Личное (Personal) хранилища Локальный компьютер с помощью mmc оснастки управления сертификатами. Для этого вышеописанным методом подключим в оснастку оба этих хранилища сертификатов и обычным перетаскиванием переместим полученный сертификат в хранилище Локальный компьютер.
3. Создание и установка сертификата на сервер в составе рабочей группы
Процедура создания и установки сертификата для сервера в составе рабочей группы идентична вышеописанной процедуре для сервера управления с одним только отличием – при формировании запроса в атрибутах Name и Friendly name необходимо указать NetBIOS имя сервера для серверов находящихся в составе рабочих групп и FQDN имя для серверов находящихся в составе недоверенных доменов.
4. Экспорт сертификата для дальнейшего использования в SCOM
Эта процедура проделывается один раз (на период действия сертификатов) на сервере управления и на сервере в составе рабочей группы или не доверенного домена.
“Personal Information Exchange – PKCS #12 Certificates (PFX)”
“Enable Strong protection” (если присутствует)
В дальнейшем выгруженный сертификат в формате *.pfx мы будем использовать на шаге 7.
5. Включение разрешения ручной установки агентов мониторинга на сервере управления
Прежде чем начать ручную установку агентов мониторинга на сервера в составе рабочих групп или недоверенных доменов, требуется на сервере управления SCOM включить опцию принятия на одобрение таких агентов. Путь к данной опции в консоли SCOM: «Administration -> Settings -> Security»
В свойствах «Security» сервера управления на закладке «General» необходимо включить опцию «Review new manual agent installation in pending management view»
6. Установка агента мониторинга на сервер в составе рабочей группы.
Установка агентского ПО на сервер вне доверенного домена или рабочей группы может быть выполнена как вручную, так и с использованием дополнительных сторонних средств автоматизации.
Для начала с сервера управления скопируем на клиентский сервер папку с файлами, необходимыми для установки агентского ПО. По умолчанию эта папка расположен а каталоге C:Program FilesSystem Center Operations Manager 2007AgentManagement и зависит от используемой архитектуры ОС клиентского сервера. В нашем случае это будет содержимое папки x86
Перед установкой самого агента SCOM необходимо установить пакет MSXML6.msi (в случае если этот компонент не был установлен в систему ранее). После этого запускаем программу установки самого агента SCOM 2007 R2 из пакета MOMAgent.msi
Процесс установки не представляет собой ничего сложного и требует только указания имени группы управления, сервера управления и TCP порта (по умолчанию 5273).
В процессе установки также запрашивается значение учетной записи «Agent Action Account» - рекомендуется использовать выбранную по умолчанию учетную запись «Local System».
Сразу после установки агента мы можем применить последнее обновление к нему. На момент написания этой заметки это CU#2 для SCOM 2007 R2 (в нашем случае это пакет - KB979257-x86-Agent.msp). Его установка проходит без каких либо запросов.
На этом ручную установку агента SCOM можно считать законченной.
7. Импорт сертификата в агент мониторинга с помощью утилиты MOMcertimport.
Эта процедура проделывается один раз (на период действия сертификатов) на сервере управления и сервере в составе рабочей группы или недоверенного домена.
При запросе пароля введите пароль указанный в процессе экспорта сертификата
По сути утилита momcertimport.exe делает только одну вещь — прописывает серийный номер сертификата, который должен использовать SCOM, в ветку реестра HKEY_LOCAL_MACHINESOFTWAREMicrosoftMicrosoft Operations Manager3.0Machine Settings (параметр ChannelCertificateSerialNumber).
Данный ключ с правильным серийным номером сертификата должен быть прописан на каждом компьютере, который будет аутентифицироваться с помощью сертификатов.
8. Одобрение агента на сервере управления
В консоли администрирования SCOM (Operations Manager Console) перейдите на закладку «Administration» и выберете пункт «Pending Management». Выберете появившийся сервер в составе рабочей группы и выполните для него одобрение (“Approve”). После одобрения клиент будет перемещён в группу «Agent Managed»
На этом процедуру установки и привязки внедоменного агента можно считать оконченной. Состояние работы агента можно в дальнейшем можно отслеживать по созданному после установки агента журналу событий
Если между сервером управления и агентом SCOM имеются брандмауэры, то возможно потребуется дополнительная их настройка. Информацию о портах, необходимых для штатной работы агента SCOM можно найти здесь:
Дополнительная информация по теме:
Ситуация:
Есть некоторое количество доменных групп безопасности с большим количеством пользователей в каждой их них.
Возникает необходимость копирования членства в существующих группах в другие вновь созданные группы.
Решение:
Используем Quest Management Shell (PowerShell командлеты ActiveRoles Management Shell for Active Directory от Quest Software) и командой фактически в одну строку выполняем поставленную задачу:
Get-QADGroupMember Group1 | Add-QADGroupMember Group2
где Group1 – имя группы безопасности из которой получаем пользователей, Group2 – имя группы безопасности в которую копируем полученных пользователей.
После того как копирование произведено, можно выполнить сравнение состава групп таким образом:
Compare-Object ( Get-QADGroupMember Group1 ) ( Get-QADGroupMember Group2 ) -IncludeEqual
В конце марта появился пакет исправлений для DPM 2007 SP1 - System Center DPM 2007 QFE Rollup (KB979970) который изменяет версию DPM до 2.0.8864.0
Данный пакет по сути является кумулятивным и включает все ранее выпущенные роллапы на DPM 2007 SP1.
Описание: Description of the latest hotfix rollup package for System Center Data Protection Manager 2007: March 29, 2010
URL для скачивания: System Center Data Protection Manager 2007 QFE Rollup
Требования для установки
- Windows Server 2003; Windows Server 2008; Windows Server 2008 R2
- System Center Data Protection Manager 2007 Service Pack 1.
- Сritical update KB962975 (если DPM установлен на Windows Server 2008).
После установки требуется перезагрузка DPM сервера и обновление всех клиентов DPM.
Сделать обновление клиентов DPM можно как с консоли DPM так и вручную (обе процедуры описаны в вышеперечисленных ссылках)
После обновления клиентов DPM также потребуется перезагрузка.
Вообще, после выхода SP1, список внесённых исправлений в DPM 2007 достаточно внушителен, так что наверняка в любом окружении есть смысл произвести обновление.
Минимальные требования для клиентских ПК для использования универсального драйвера печати Easy Print таковы:
Далее...при подключении клиента к серверу в свойствах RDP клиента на закладке "Локальные ресурсы" должно быть включено перенаправление принтеров.
Обратите также внимание на то, что в свойствах учётной записи пользователя в домене (Закладка "Среда") должны быть включены опции "Подключение принтеров при входе" и "По умолчанию выбрать основной принтер клиента". Это грабли на которые я сам однажды наступил )))
Поведение системы печати служб терминалов Windows Server 2008 по умолчанию предполагает использование драйвера Easy Print для всех клиентских принтеров.
Практика показала что не во всех случаях драйвер Easy Print работает корректно (например при некоторых сценариях съезжают поля при печати документов или вовсе не печатаются некоторые печатные формы из 1С). Для решения этой проблемы на наших терминальных серверах мы изменили настройки системы печати по умолчанию на следующий режим работы: при подключении клиента к серверу служба печати сначала пытается найти родной драйвер для каждого принтера клиента, если находит - использует его, если не находит использует для этого принтера драйвер Easy Print.
На сервер установлены последние версии драйверов основных используемых моделей принтеров. Для более корректного взаимодействия служб печати клиента и сервера рекомендуется использовать одинаковые версии драйверов на сервере и на клиенте.
Разрешение проблем в работе Easy Print на Windows Server 2008 / 2008 R2
В случае проблем с перенаправлением принтеров клиента в терминальную сессию с помощью Easy Print необходимо выполнить нижеописанный ряд проверок:
C:>sc sdshow spooler
D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)
Если вывод команды отображения настроек безопасности отличен от указанного, например отсутствуют разрешения в дескрипторе безопасности для “AU” (Authenticated User), то устанавливаем необходимые для корректной работы службы права следующей командой
C:> sc sdset spooler D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)
[SC] SetServiceObjectSecurity SUCCESS
После установки разрешений необходимо перезагрузить компьютер.
Дополнительные ссылки:
Использованный материал:
Remote Desktop Services (Terminal Services) Team Blog : Using Remote Desktop Easy Print in Windows 7 and Windows Server 2008 R2
Настраиваем антивирусное ПО
Могу предположить что на физическом хосте Hyper-V имеется антивирус... Если это действительно так, то учитывая рекомендации Microsoft Best Practices и рекомендации бывалых …рекомендую расширить ранее используемый список исключений для реал-тайм сканирования файловой системы и процессов, а именно:
Добавляем исключения по именам процессов:
VMMS.EXE
VMWP.EXE
VMSWP.EXE
Добавляем исключения по типам файлов:
VHD, XML, VSV, ISO, AVHD, VFD
Дополнительную информацию об исключениях можно найти в посте - Настройка исключений для антивирусного ПО
Выбираем тип VHD
Для повышения скорости работы дисковой подсистемы в гостевых ОС (внутри VHD) рекомендуется использовать фиксированный а не динамический объём VHD при настройке VM. В сравнительных тестах публикуемых MS, скорость работы дисковой подсистемы VM на фиксированных дисках в некоторых случаях (например при операциях записи) может увеличиваться на 10 - 15%. Данное утверждение справедливо для первой версии Hyper-V. Во второй версии Hyper-V показатели производительности динамических VHD улучшены, но по моему субъективному мнению, лучше для продуктивных систем всё таки придерживаться использования конфигураций с фиксированными VHD.
Даже не смотря на то что динамический диск всегда можно встроенными средствами Hyper-V преобразовать в фиксированный (а при желании и обратно), при создании новой VM ёмкость диска лучше планировать заранее и сразу создавать диск фиксированного размера.
В случае если VM планируется использовать под ресурсы требовательные к дисковой подсистеме, например файловый сервер, сервер БД SQL и т.п. на этапе создания VM можно аттачить к VM Passthrough диск, т.е. предоставлять виртуальной машине полностью неразмеченный физический HDD хостового сервера Hyper-V. В таком случае VM забирает под себя этот диск полностью и общается с ним непосредственно напрямую на физическом уровне из гостевой системы,
что в свою очередь позволяет достигнуть максимального использования имеющейся производительности физических дисков. Но при этом надо учитывать ряд недостатков такой организации:
- теряется возможность создания мгновенных снимков виртуальной машины (shupshots);
- теряется возможность миграции VM между хостами Hyper-V с использованием технологии Quick-Migratiin;
- последней ложкой дёгтя можно считать то, что как выяснилось - теряется возможность делать горячее резервное копирование всей виртуальной машины в средствами DPM...Выводы делайте сами.
Выбираем виртуальный контроллер для VHD
Продолжая тему дискового вопроса важно сделать правильный выбор виртуального контроллера жёстких дисков в создаваемой VM.
Есть 2 типа IDE и SCSI.
IDE - полностью эмулируемый контроллер и работает с VM через вызовы процесса vmwp.exe, в то время как SCSI контроллер использует для своей работы VMBUS (Virtual Machine BUS) и предоставляет VM более тесную интеграцию с аппаратной частью хоста, т.к. VMBUS работает быстрее и меньше потребляет процессорных мощностей Hyper-V сервера. Вот дополнительная информация к размышлению на эту тему:
Hyper-V: How to get the most from your virtualized disk performance
Hyper-V: SCSI vs IDE - Do you really need an IDE and SCSI drive for best performance?
Hyper-V IDE or SCSI? What’s Performing Better, Faster?
Hyper-V Controllers: IDE or SCSI?
Ограничение вносимое текущей версией Hyper-V заключается в том, что для загрузочного системного диска нельзя использовать SCSI контроллер, - только IDE. Поэтому исходя из представленных реалий предлагается для загрузочного системного диска VM использовать виртуальный HDD созданный на контроллере IDE, а для рабочих данных - HDD на контроллере SCSI.
Настраиваем виртуальные сети
Практически любой сервер на сегодняшний день имеет два и более сетевых контроллеров. Соответственно, по возможности, настоятельно рекомендуется отделять трафик управления хостовой ОС от трафика виртуальных сетей Hyper-V. Для этого мы настраиваем на сервере первый сетевой интерфейс со статическим IP адресом по которому будет доступен сам Hyper-V сервер, назовем в системе этот интерфейс например NIC1. Соответственно второй интерфейс назовем - NIC2 и при развертывании роли Hyper-V именно этот сетевой интерфейс укажем для использования создаваемого виртуального свитча Hyper-V.
После установки роли Hyper-V в хостовой системе появится дополнительный сетевой интерфейс (его имя будет соответствовать имени виртуальной сети в Hyper-V) и этот интерфейс можно отключить. Также необходимо убедится в том что на интерфейсе NIC2 отключены все протоколы, кроме Microsoft Virtual Network Switch Protocol.
Hyper-V и его Time Synchronization Provider
Если вы натолкнулись на проблему рассинхронизации времени на виртуальных машинах работающих под управлением Hyper-V то самое время задуматься о том как устроена служба синхронизации времени физического хоста Hyper-V с его виртуальными машинами.
Давайте себе представим следующую ситуацию:
Есть физический хост с Hyper-V и он является членом домена.
Внутри этого хоста поднят виртуальный сервер который несёт в этом домене роль Контроллера домена (DC).
По дефолтной схеме синхронизации времени в домене физический хост Hyper-V должен будет синхронизировать время с эти виртуальным DC внутри него.
В составе служб интеграции Hyper-V которые прикручиваются к виртуальной машине есть такой компонент, отвечающий за синхронизацию времени между физическим хостом Hyper-V и его виртуальными машинами и он включен “по умолчанию”.
Собственно говоря, проблема может наблюдаться в случаях когда виртуальный DC проводит синхронизацию с внешними источниками а затем Hyper-V насильно заменяет это время на то значение которое в момент синхронизации гипервизор имеет на физическом хосте... по факту в таких случаях рассинхронизация времени на DC может получить хронический характер и привести к сбоям в работе служб AD.
В данном случае решением проблемы рассинхронизации времени может быть остановка службы синхронизации времени Hyper-V установленной на виртуальном DC в составе служб интеграции.
Именно поэтому в процессе развёртывания виртуальных машин и компонент интеграции Hyper-V важно уделить этому нюансу должное внимание.
В одном блоге как раз нашёл такую вот занятную историю из жизни - Hyper-V и синхронизация времени
По умолчанию Центр сертификации служб Active Directory Certificate Services (AD CS) при создании новых сертификатов ограничивает срок действия этих сертификатов одним годом. Чтобы увеличить срок действия вновь выдаваемых CA сертификатов необходимо изменить настройки службы сертификации в системном реестре:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CertSvc\Configuration\<CAName>
Значение параметра ValidityPeriod (по умолчанию Years) определяет единицы измерения времени, а значение параметра ValidityPeriodUnits (по умолчанию 1) определяет количество единиц времени для вновь выдаваемых сертификатов. Если изменить значение параметра ValidityPeriodUnits например на 10, то соответственно все вновь выдаваемые сертификаты будут действовать 10 лет.
После внесения изменений в реестр следует перезапустить службу сертификации командами:
net stop certsvc
net start certsvc
Данное справедливо для версий служб сертификации ОС Windows Server 2000 - 2022
Включение функции оптимизации (Colocation) при записи на ленту
По умолчанию DPM при работе с ленточными накопителями использует один носитель для каждой отдельной Protection Group, что не всегда оправдано, особенно если групп много и они имеют небольшой размер. В таких случаях на сервере DPM можно включить механизм Colocation с помощью команды Powershell:
Set-DPMGlobalProperty -DPMServerName DPMSERVER.Domain.com -OptimizeTapeUsage $True
Источник: System Center Data Protection Manager TechCenter - Setting Up Data Colocation
Шторм сообщений Free tape threshold reached (3305)
При использовании DPM 2007 в связке ленточными библиотеками может возникнуть ситуация когда в процессе выполнения задания резервного копирования движок DPM определяет то, что количество носителей, доступных для записи (имеющих статус Free) стало 20% и меньше. В такой ситуации DPM начинает с жуткой силой штормить алертами (на моей практике это было более 5000 сообщений за ночь). Корень этой проблемы кроется в том, что на ленточной библиотеке носители (кассеты с плёнкой) со статусом Expired автоматически не помечаются как Free...что рано или поздно приводит к исчерпанию доступных для записи накопителей. Поэтому задачу перевода накопителей из статуса Expired в статус Free мы автоматизируем средствами PowerShell.
Создадим на нашем DPM сервере имеющем подключение к проблемной ленточной библиотеке каталог C:Tools. В каталоге разместим три текстовых файла:
DPM_MarkExpiredTapesAsFree.ps1 - PowerShell скрипт выполняющий поставленную перед нами задачу
DPM_MarkExpiredTapesAsFree.cmd - Командный файл для запуска скрипта средствами Windows Task Scheduler
DPM_MarkExpiredTapesAsFree.log - Файл для записи вывода результата работы скрипта
Ссылка на скрипт: DPM_MarkExpiredTapesAsFree.zip
Командный файл DPM_MarkExpiredTapesAsFree.cmd представляет собой обычный текстовый файл с вызовом нашего скрипта:
powershell -command "& 'C:ToolsDPM_MarkExpiredTapesAsFree.ps1' DPM-SERVER" > C:ToolsDPM_MarkExpiredTapesAsFree.log
В качестве параметра DPM-SERVER используется имя DPM сервера, а также указывается вывод результата работы в текстовый лог.
После того как мы создадим задание в планировщике задач Windows Task Scheduler с исполнением командного файла DPM_MarkExpiredTapesAsFree.cmd к примеру раз в сутки - мы избавимся от вышеописанной проблемы.
Источник: Matthijs Blog: Script to resolve: Free tape threshold reached
Установка агента DPM 2007 SP1 на сервер с включенной службой Windows Firewall
Последовательность действий:
1) На клиенте подключаем диск с сервера DPM и ставим с него клиента вручную:
net use X: \DPMSERVERC$
cd /d X:DPM2007_BinDPMAgentsRA2.0.8793.0amd641033
DPMAgentInstaller_KB959605_AMD64.exe DPMSERVER.Domain.com
При запуске инсталлятора, как видите, в качестве параметра передаем имя DPM сервера. После установки клиента перегружаем клиентский сервер.
2) После того как клиент поднялся из перезагрузки на DPM сервере открываем DPM Management Shell и выполняем команду присоединения клиента:
PS E:DPM2007_BinDPMbin> Attach-ProductionServer.ps1 DPMSERVER.Domain.com DPMCLIENT.Domain.com AdminUserName
Password:: **********
Domain:: Domain.com
Attached ProductionServer successfully
На клиенте проверяем чтобы в процессе установки инсталлятором в правила Windows Firewall было вписано правило dpmra, которое разрешает любую сетевую активность клиентскому приложению. Если правило по какой-то причине не создано, можем добавить его руками примерно так:
> Netsh firewall add allowedprogram "C:Program FilesMicrosoft Data Protection ManagerDPMbinDPMRA.exe" DPMRA
3) Заходим на консоль DPM сервера и проверяем то что клиент доступен.
Первоисточник: http://technet.microsoft.com/en-us/library/bb870937.aspx
Перенацеливание агента DPM на другой сервер без переустановки агентского ПО
Операция перенацеливания состоит из трёх действий:
1. На сервере DPM с которого нужно отключить агента - исключаем нашего клиента из всех Protection Group.
2. На клиенте из каталога установки клиентского ПО (%ProgramFiles%Microsoft Data Protection ManagerDPMbin) выполняем команду:
SetDpmServer.exe -dpmServerName NEWDPMSERVER.Domain.com
Configuring dpm server settings and firewall settings for dpm server =[NEWDPMSERVER.Domain.com]
Configuring dpm server settings and firewall settings for dpm server =[Domain.comNEWDPMSERVER]
Configuration completed successfully!!!
3. На сервере NEWDPMSERVER открываем DPM Management Shell (Powershell) и выполняем команду:
PS E:DPM2007_BinDPMbin> Attach-ProductionServer.ps1 NEWDPMSERVER.Domain.com DPMCLIENT.Domain.com AdminUserName
Password:: ********************
Domain:: Domain.com
Attached ProductionServer successfully
Перед развертыванием сервера DPM 2007 SP1 на ОС Windows Server 2008 необходимо выполнить определенные шаги:
1) Установить в ОС фичу Single Instance Store (SIS).
Запускаем командную строку с правами администратора сервера и выполняем команду:
start /wait ocsetup.exe SIS-Limited /quiet /norestart
После того как команда отработала необходимо выполнить перезагрузку сервера.
2) Включить фичу Windows PowerShell 1.0
Это можно сделать через оснастку "Диспетчер сервера" или командой:
ServerManagerCmd -i PowerShell
3) Включить роль сервера "Вэб-сервер" с обязательным наличием следующих компонент:
Web Server
Common HTTP Features
- Static Content
- Default Document
- Directory Browsing
- HTTP Errors
- HTTP Redirection
Application Development
- ASP.NET
- .NET Extensibility
- ISAPI Extensions
- ISAPI Filters
- Server Side Includes
Health and Diagnostics
- HTTP Logging
- Request Monitor
Security
- Windows Authentication
- Request Filtering
Performance
- Static Content Compression
Management Tools
IIS Management Console
IIS Management Scripts and Tools
IIS 6 Management Compatibility
- IIS 6 Metabase Compatibility
- IIS 6 WMI Compatibility
В случае недоустановки какой-то из указанных компонент IIS в процессе установки сервера DPM могут возникнуть ошибки приводящие к неудачному завершению установки.
В том случае если процесс установки сервера DPM 2007 SP1 затягивается на очень долгое время на этапе установки SQL Server 2005, возможное решение описано в посте:
Разрешение проблем возникающих при установке и настройке Microsoft SQL Server 2005 на Windows Server 2008
Там же описана проблема когда после установки SP3 на SQL Server может потеряться доступность вэбузла SQL 2005 Reporting Service и как следствие в консоли сервера DPM перестает работать закладка Reporting
Дополнительная информация:
System Center Data Protection Manager TechCenter: DPM Server Software Prerequisites
Внедрение Microsoft System Center Operations (SCOM) 2016/2019
RSS - Записи