• Как принудительно обновить групповые политики на удаленных компьютерах в домене Active Directory

    09.06.2022 Автор:Пётр Окунев
    34 515 Просмотров 7 комментариев

    How to Force Update Group Policies on Remote Computers in an Active Directory DomainДанный материал является переводом оригинальной статьи "Active Directory Pro : Robert Allen : How to Update Group Policy on Remote Computers" и рассчитан на начинающих администраторов Windows.

    В конфигурации по умолчанию доменные компьютеры обновляют групповые политики (Group Policy) при запуске операционной системы, а затем политики автоматически обновляются в фоновом режиме каждые 90 минут. Но бывают случаи, когда вы вносите изменения в существующие объекты групповой политики (Group Policy Objects/GPO) или создаете новые GPO, и вам нужно, чтобы изменения вступили в силу немедленно.

    Далее мы рассмотрим три различных способа удаленного обновления групповой политики. Первый способ лучше всего подходит для старых клиентов Windows, второй и третий способы - для систем, работающих под управлением 2012 года и более поздних версий.

    Читать далее...

  • Ошибка WinRM при установке агента System Center 2016 VMM "Error (2927) A Hardware Management error has occurred trying to contact server ... Unknown error (0x80338113)"

    08.06.2022 Автор:Алексей Максимов
    3 295 Просмотров Комментариев нет

    WinRM error when installing System Center 2016 VMM agent "Error (2927) A Hardware Management error has occurred trying to contact server ... Unknown error (0x80338113)"При развёртывании очередного агента System Center 2016 VMM на новых хостах виртуализации Hyper-V на базе Windows Server 2016 столкнулись с проблемой невозможности установки агента с консоли управления VMM. Несколько предпринятых попыток установки завершалась ошибкой 2927 следующего вида (в локализованном варианте консоли VMM):

    Ошибка (2927)
При попытке связаться с сервером SCVMM1.holding.com произошла ошибка управления оборудованием: : .

WinRM: URL: [http://scvmm01.holding.com:5985], Verb: [INVOKE], Method: [AddPeerCertificate], Resource: [http://schemas.microsoft.com/wbem/wsman/1/wmi/root/scvmm/AgentManagement]

Unknown error (0x80338113)

Рекомендуемое действие
Убедитесь, что на сервере SCVMM01.holding.com установлена и запущена служба WinRM. Дополнительные сведения можно получить с помощью команды "winrm helpmsg hresult" и в статье http://support.microsoft.com/kb/2742275.

    Из текста ошибки понятно, что на сервере VMM возникли проблемы с работой WinRM.

    Читать далее...

  • Windows Server 2016 и длительное ожидание проверки обновлений Windows Update

    06.04.2022 Автор:Алексей Максимов
    14 363 Просмотров 1 Комментарий

    Windows Server 2016 and long wait for Windows Update checksВ Windows Server 2016 можно столкнуться с ситуацией, когда встроенный клиент Windows Update очень долго выполняет проверку обновлений. Характерно то, что проблема может проявляться плавающим образом и воспроизводиться не всегда. Замечено, что чаще всего проблема проявляется в случае, если система была недавно включена или перезагружена. В этой заметке мы поговорим о том, какие могут быть причины у такого поведения и как это можно попробовать исправить.

    Читать далее...

  • Digi AnywhereUSB Manager и бесконечное ожидание Координатора установщика Windows

    12.10.2021 Автор:Алексей Максимов
    3 404 Просмотров 1 Комментарий

    Install Digi AnywhereUSB Manager on Windows Remote Desktop Session Host ServerПри установке программного пакета AnywhereUSB Manager на серверную систему Windows Server 2012 R2 с ролью узла сеансов удалённых рабочих столов (Remote Desktop Session Host) можно столкнуться с тем, что программа установки зависает в бесконечном ожидании Координатора установщика Windows (Windows Installer Coordinator).

    Читать далее...

  • Установка Remote Server Administration Tools (RSAT) в Windows 10 v1903 в Offline-режиме

    31.05.2019 Автор:Алексей Максимов
    116 140 Просмотров 9 комментариев

    Offline Install Remote Server Administration Tools RSAT in Windows 10 v1903Ранее мы уже писали об особенностях установки пакета Remote Server Administration Tools (RSAT) в Windows 10. Но время идёт и новые релизы Windows 10 вносят новые правила работы с этим пакетом. В этой заметке мы поговорим об особенностях автономной установки RSAT в актуальной версии Windows 10 1903.

    Читать далее...

  • Ошибка проверки подлинности при подключении к удалённому рабочему столу Windows RDS …"Причиной ошибки может быть исправление шифрования CredSSP"

    16.05.2018 Автор:Алексей Максимов
    13 329 Просмотров 3 комментария

    imageИнформация об уязвимости в провайдере безопасности CredSSP ОС Windows была опубликована 13.03.2018 в документе CVE-2018-0886 | CredSSP Remote Code Execution Vulnerability. В этом документе можно найти ссылки на обновления безопасности, которые были выпущены для закрытия этой уязвимости. Выпущенные обновления относятся к механизмам CredSSP, как в клиентских, так и в серверных ОС Windows. При этом неправильная последовательность развёртывания обновлений, касающихся CredSSP, может привести к неожиданным последствиям.

    Читать далее...

  • Обход некоторых видов ограничений запуска приложения через механизмы Software Restriction Policies (в режиме Unrestricted) в групповых политиках Active Directory

    30.03.2018 Автор:Алексей Максимов
    14 615 Просмотров 13 комментариев

    Некоторые администраторы применяют в своей инфраструктуре Active Directory (AD) функционал Software Restriction Policies (SRP), имеющийся в составе Group Policy, для того, чтобы явным образом ограничивать запуск и исполнение каких-либо приложений. То есть используется сценарий ограничительных мер по типу "разрешено всё, кроме того, что явно запрещено". Например, в рамках мероприятий по противодействию новомодным комплексным шифровальщикам, у некоторых администраторов может возникнуть желание явно запретить запуск некоторых исполняемых файлов, используемых вредительским ПО, не запрещая при этом запуск всех прочих приложений и не используя механизмы проверки цифровых подписей.

    В данной заметке мы поговорим о том, почему мероприятия подобного рода могут оказаться малоэффективны, наглядно продемонстрировав пример того, как любой непривилегированный пользователь может без особых сложностей обойти некоторые механизмы защиты. В качестве наглядного примера мы рассмотрим ситуацию с запретом исполнения небезызвестной утилиты PsExec из пакета PsTools Sute.

    Читать далее...

  • Получаем право SeDebugPrivilege для успешной установки Microsoft SQL Server 2012 при ограниченной доменной политике "Debug programs"

    11.08.2017 Автор:Алексей Максимов
    29 209 Просмотров 2 комментария

    SeDebugPrivilegeВ свете недавних событий с повышением вирусной активности многие организации стали уделять больше внимания вопросам всестороннего усиления мер безопасности в собственных ИТ-инфраструктурах. При этом некоторые из применяемых мер могут создать дополнительные сложности в работе самих ИТ-специалистов.

    Читать далее...

  • Автоматическое обновление хранилища сертификатов доверенных корневых центров сертификации на компьютерах Windows не имеющих прямого доступа в Интернет.

    05.08.2016 Автор:Алексей Максимов
    59 811 Просмотров 6 комментариев

    imageРанее уже приходилось сталкиваться с проблемой невозможности корректного развёртывания ПО из-за того, что на целевых компьютерах с OC Windows не обновляется хранилище сертификатов доверенных корневых центров сертификации (далее для краткости будем называет это хранилище TrustedRootCA). На тот момент вопрос был снят с помощью развёртывания пакета rootsupd.exe, доступного в статье KB931125, которая относилась к ОС Windows XP. Теперь же эта ОС полностью снята с поддержки Microsoft, и возможно, поэтому данная KB-статья более недоступна на сайте Microsoft. Ко всему этому можно добавить то, что уже даже на тот момент времени решение с развёртыванием уже устаревшего в ту пору пакета сертификатов было не самым оптимальным, так как тогда в ходу были системы с ОС Windows Vista и Windows 7, в которых уже присутствовал новый механизм автоматического обновления хранилища сертификатов TrustedRootCA. Вот одна из старых статей о Windows Vista, описывающих некоторые аспекты работы такого механизма - Certificate Support and Resulting Internet Communication in Windows Vista. Недавно я снова столкнулся с исходной проблемой необходимости обновления хранилища сертификатов TrustedRootCA на некоторой массе клиентских компьютеров и серверов на базе Windows. Все эти компьютеры не имеют прямого доступа в Интернет и поэтому механизм автоматического обновления сертификатов не выполняет свою задачу так, как хотелось бы. Вариант с открытием всем компьютерам прямого доступа в Интернет, пускай даже на определённые адреса, изначально рассматривался как крайний, а поиски более приемлемого решения привел меня к статье Configure Trusted Roots and Disallowed Certificates (RU), которая сразу дала ответы на все мои вопросы. Ну и, в общем то, по мотивам этой статьи, в данной заметке я кратко изложу на конкретном примере то, каким образом можно централизованно перенастроить на компьютерах Windows Vista и выше этот самый механизм авто-обновления хранилища сертификатов TrustedRootCA, чтобы он использовал в качестве источника обновлений файловый ресурс или веб-сайт в локальной корпоративной сети.

    Читать далее...

Следующая страница