“Z terminem Security Identifier (SID, identyfikator zabezpieczeń), zetknął się przynajmniej raz każdy administrator systemu Windows. Zazwyczaj każdy wie, że jest on reprezentacją numeryczną każdego podmiotu zabezpieczeń, który został określony bądź utworzony w ramach systemu. Wiadomo także, że jest on unikalny oraz składa się z długiego ciągu cyfr. Jednak zdarza się, że wiedza na temat znaczenia poszczególnych sekwencji tego ciągu pozostaje większą lub mniejszą niewiadomą…”

W czasopiśmie SecurityMag by Hakin9 ukazał się mój artykuł na temat Security Identifier w systemach Windows.

Czasopismo w postaci pliku pdf można pobrać ze strony http://securitymag.pl  lub z mojego SkyDrive.

Chętnych zapraszam do lektury!

Dziś 13 sierpień i do tego piątek, dlatego postanowiłam, że będzie to Dzień-Bez-Psucia-I-Mieszania-Na-Serwerach-Produkcyjnych (nie żebym była przesądna: myśląc zdroworozsądkowo pecha przynosi jedynie głupota i brak uwagi … oraz czasami samorealizujące się prawa Murphy’ego, ale to temat na inną dyskusję). Odkopując się zatem z góry nieprzeczytanych RSS’ów znalazłam kilka starych-nowych posterów traktujących o technologiach firmy  Microsoft i zapałałam chęcią podzielenia się nimi z Wami :)).

1. Active Directory Component Jigsaw – plakat był publikowany w magazynie Technet w 2006 r i mimo iż sama Usługa Katalogowa znacznie ewoluowała od czasów Windows Server 2003, to bazowe komponenty oraz definicje pozostają bez zmian. Mnie dodatkowo bardzo przypadła do gustu ‘puzzlowa’ konwencja, w jakiej plakat został zaprojektowany.

2. Windows Server 2008 R2 Poster – plakat z technologii serwerowej z czasów dzisiejszych (przy założeniu, że Server 2003 jest technologią historyczną – co nie jest takie zupełnie niezgodne z prawdą zważywszy na rozwój i tempo powstawania nowych produktów Microsoft i nie tylko. Patrząc z drugiej strony – ciągle Server 2003 jest obecny w wielu firmach, z góry zatem przepraszam administratorów którzy mogli poczuć się urażeni ‘historycznością’ mojego stwierdzenia). 🙂 Plakat prezentuje treści dotyczące usługi katalogowej Active Directory Domain Services, Hyper-V, Internet Information Services, Remote Desktop Services (łącznie z Virtual Desktop Infrastructure (VDI)), BranchCache i technologii DirectAccess.

3. Na koniec gratka dla zbieraczy plakatów: na stronie Poster Central możecie odnaleźć więcej interesujących posterów, które można wykorzystać do dekoracji ścian w swoim miejscu pracy :).

Enjoy! Ja tymczasem w ciszy i spokoju powrócę do rzeźbienia w raportach ACS dla SCOM 2007, o których zapewne opowiem co nieco w najbliższym czasie.

Ostatnio dosyć intensywnie zajmuję sie usługą klastrów w Windows Server 2008 R2 i muszę przyznać, że w porównaniu z ilością wymagań oraz ograniczeń, o jakich należało pamiętać przy tworzeniu klastra w Windows Server 2003, to tworzenie środowiska High Availabity w Windows Server 2008 jest wprost dziecinnie proste. Ot, wystarczą 2 maszyny z rodziny serwer 2008 w wersji Enterprise lub Datacenter, kawałek współdzielonego dysku (iSCSI, SAS lub FC) i można pobawić się w klastrowanie usług w fizycznym środowisku. Adeptów wiedzy tajemnej dotyczących klastrów informuję, że można wykorzystać programowe rozwiązanie emulujące dysk współdzielony, np. aplikację StarWind, co skutecznie upraszcza tworzenie klastra w domowym środowisku laboratoryjnym.

Wracając do meritum: próba zainstalowania SQL Server 2008 na platformie Windows Server 2008 R2 w klastrze objawia się u mnie następującym błędem: “There was an error setting private property ‘Require Kerberos’ to value ‘1’ for resource ‘SQL Network Name (SQLCLUSTER)’. Error: Value does not fall within expected range”.

Szybkie odpytanie Google mówi, że jest to dosyć częsty błąd przy próbie instalacji SQL Server 2008 bez SP1 w klastrze na platformie Windows Server 2008 R2. Logiczna zatem staje się konieczność przygotowania płyty (lub obrazu) z SQL ale takiej, która w swoich plikach instalacyjnych zawierać będzie pakiet serwisowy SP1. Przygotowanie takiej płyty jest opisane w KB 955392 i powielone na wielu blogach, czego przykładem może być ten wpis.

Krótkim tytułem wyjaśnienia: na systemach Windows Server 2008 i 2008 R2 przy próbie instalacji SQL Server 2008 RTM w KLASTRZE występują błędy i usługa nie działa tak jak należy. Instalacja standalone nie nastręcza problemów. Dlatego by zainstalować poprawnie SQL 2008 w klastrze trzeba spełnić 3 wymagania:

Zainstalować .NET Framework 3.5 with Service Pack 1
Zainstalować Windows Installer 4.5
Przeprowadzić instalację ze spreparowanej płytki.

Po spełnieniu powyższych warunków, klastrowanie SQla przebiega bez problemów. 🙂

Technologii wirtualizacyjnych używam zawsze z dużą przyjemnością, zarówno w środowiskach produkcyjnych, jaki i w domowym laboratorium testowym. Z tym większym zadowoleniem przywitałam SP1 w wersji (jeszcze) beta do Windows Server 2008 R2, który w kontekście Hyper-V pozwolił na dynamiczne zarządzanie pamięcią przydzielaną dla maszyn wirtualnych. Oczywiście dodać należy, że SP1 zawiera usprawnia kilka innych komponentów. Poczytać o tym oraz pobrać SP1 na swój komputer można tu: http://technet.microsoft.com/pl-pl/evalcenter/ff183870%28en-us%29.aspx
Wracając do tematu wirtualizacji: domyślnie przy konfigurowaniu interfejsów sieciowych dla maszyny wirtualnej działającej pod kontrolą Hyper-V nie ma możliwości podpięcia fizycznej karty wifi. Oczywiście w środowiskach produkcyjnych jest to oczywiste, natomiast dla zastosowań laboratoryjnych w domu taka możliwość byłaby całkiem przydatna. Po szybkim odpytaniu Google okazuje się, że problem można rozwiązać szybko i skutecznie, przy użyciu zwykłego udostępniania połączenia internetowego: http://www.elmajdal.net/win2k8/enabling_wireless_network_for_hyper_v_virtual_machine.aspx.
Jeszcze offtopując: na stronach Microsoft ukazała się ostatnio zaktualizowana i poprawiona książka dotycząca rozwiązań wirtualizacyjnych Microsoft pt.:  "Understanding Microsoft Virtualization Solutions, Second Edition". Lektura jest dostępna bezpłatnie w wersji elektronicznej. Enjoy!

Najnowszą wersją platformy serwerowej firmy Microsoft jest Windows Server 2008 R2. Gwoli sprawiedliwości dodać należy, że niedawno został wydany do niego SP1, o którym Piotrek Pawlik pięknie prawił na wss.pl w artykule: Dynamic Memory i RemoteFX, czyli co nowego w SP1 beta dla Windows Server 2008 R2?. Nawiasem mówiąc, polecam lekturę i testy na własnym systemie.

Nie dziwota więc, że naszła mnie chętka (i konieczność – bardziej konieczność, ale rozprawa o wyższości chęci nad koniecznością to temat na inny post) sprawdzenia, jak Configuration Manager 2007 R2 z Sp2 współpracuje z Windows Server 2008 R2. Na temat samej instalacji i wstępnej konfiguracji SCCMa  na platformie Windows Server 2008 pisał na swojej stronie Jacek Doktór, polski MVP z Configuration Managera.

W takim razie – do roboty. Maszyna z Windows Server 2008 R2 jest, wymagania wstępne (prawie) wszystkie spełnione, schemat AD rozszerzony, uprawnienia są, baza jest, IIS jest … instalujemy. Zdaje sie, że wszystko działa poprawnie do momentu, kiedy próbuję instalować agentów na końcówkach, które mają być zarządzane. Nic się nie dzieje. Dziwne? Trochę tak, bo wg akcja – reakcja na polecenie “Instaluj” powinno coś się stać. A tu nic … Ponieważ to świeża instalacja SCCM, to pewnie coś poszło niezupełnie poprawnie. Szybki rzut oka w Site Status i czerwona ikonka nie wróżą nic dobrego. Error typu Critical mówi, że próba instalacji SMS_MP_Control_Managera zakończyła się błędem.

Rys 1.  Podgląd ustawień Site Status

Jeszcze szybszy rzut oka w dymek z podpowiedzią mówi,. co mogło pójść nie tak:

Rys 2. Podglad logu dotyczącego instalacji SMS_MP_Control_Manager

Wszystkie znaki na niebie i ziemi wskazują, że winne jest rozszerzenie WebDAV, które w Windows Server 2008 R2 jest natywnie dostępne do zainstalowania z poziomu Role Features w Server Manager (komponent nie był dostępny w Windows Server 2008 i aby korzystać z jego dobrodziejstw, należało pobrać go stąd).

Eksploracja logu dotyczącego Control managera (C:program Files (x86)Microsoft Configuration ManagerLogsCMsetup.log) potwierdza słuszność podejrzeń.

Rys 3. Fragment logu, wskazujący na błąd w konfiguracji

W tym momencie pierwsza uwaga: mimo iż WebDAV w IIS 7.5 (czyli wersji IIS dostępnej w W2K8R2) jest komponentem natywnym, to nadal pozostaje domyślnie wyłączony. należy go włączyć i skonfigurować. Sugeruje to wpis w logu, który mówi, że instalator nie może uzyskać dostępu do ustawień rozszerzenia WebDAV:

“Failed to get WebDAV settings on the machine (0x80070002)”

WebDAV włącza się na poziomie Site, co pokazuje poniższy rysunek, natomiast konfiguracja może zostać przeprowadzona na poziomie site lub na poziomie serwera. Należy pamiętać, że konfiguracja w IIS jest dziedziczona w dół, czyli ustawiania nałożone na poziomie serwera będą stosowały się do wszystkich sajtów, pól aplikacyjnych i katalogów do niego należących. Generalnie zasada jest taka, że na poziomie serwera narzuca się najbardziej ogólne ustawienia, takie jakie są wymagane, a na niższym poziomie (sajt, pula aplikacyjna, katalog) ustawia sie konfigurację bardziej szczegółowo.

Rys 4. Włączenie rozszerzenia WebDAV

Konfiguracja rozszerzenia WebDAV na potrzeby SCCMa przedstawiona jest na rys 5. Należy zwrócić uwagę na poprawną konfigurację 3 elementów zaznaczonych w ramkę, ponieważ w domyśle ich konfiguracja jest dokładnie odwrotna :). Konfiguracja może być przeprowadzona na poziomie serwera lub poziomie sajtu, w zależności od potrzeb. U mnie rozszerzenie zostało skonfigurowane na poziomie serwera.

Rys 5. Konfiguracja ustawień rozszerzenia WebDAV

Aby WebDAV zadziałało wg naszych oczekiwań, trzeba jeszcze odpowiednio skonfigurować Authoring Rule, co przedstawia rysunek nr 6:

Rys 6. Konfiguracja wpisu na liście Authoring Rule

Jeśli nic nie zostało pominięte, pozostaje zrestartować usługę SMS_SITE_COMPONENT_MANAGER, by SCCM przeprowadził instalację brakującego komponentu. Domyślnie próba instalacji zostanie podjęta po 60 minutach, by jednak nie czekać, można zrestartować w/w usługę, co wymusza natychmiastową próbę instalacji.

Rys 7. Restart wymaganej usługi

Ponowne spojrzenie do ConfigMgr Status Message Viewer pozwala na stwierdzenie, że tym razem brakujący komponent SCCMa został zainstalowany poprawnie, co skutkuje pojawieniem się wpisu 1015.

   Rys 8. Ponowne spojorzenie w ConfigMgr Status Message Viewer

Dla pewności spójrzmy jeszcze raz w log instalacji:

Rys 9. Log instalacji MPSetup.log

Teraz moi klienci instalują sie poprawnie :). Jupi!

2 czerwca 2010 ukazał się nowy plakat dotyczący technologii Microsoft. Tym razem dotyczy tematyki Hyper-V i przedstawia kluczowe cechy najważniejszych komponentów. Można go pobrać pod adresem: http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=5567b22a-8c47-4840-a88d-23146fd93151

Poniżej prezentuję linki do innych, równie interesujacych plakatów dotyczących technologii Windows Server 2008:

1. Windows Server 2008 Component Poster
2. Windows Server 2008 R2 Feature Component Poster

30 kwietnia roku pańskiego 2010 ukazał się zestaw poprawek dla Ops Mgr 2007 R2 znany jako Cumulative Update 2. O pożytkach i potrzebie jego instalacji nie będę przekonywać, zresztą robi to za mnie odpowiedni Release Notes, wydany przez MSFT i opisujący zawartość CU2 oraz sposób poprawnej instalacji.

Dokładniejsze ‘Step-by-Stepy’ jak przeprowadzić poprawną instalację można znaleźć na blogu Kevina Holmana. Blogowali o tym również Łukasz Rutkowski oraz Ziemek Borowski.

Pliki do pobrania:

Operations Manager 2007 R2 Management Pack
Cumulative Update 2 for System Center Operations Manager 2007 R2 (KB 979257)
System Center Operations Manager 2007 R2 Cross Platform Update

Ja chciałabym zwrócić uwagę na pewien aspekt, który przy instalacji aktualizacji jest możliwy, aczkolwiek mało prawdopodobny. Otóż czasami zdarza się, że przy próbie zainstalowania update na serwerze Ops Mgr dostajemy następujący błąd:

Pełne uprawnienia, konto administratora na aktualizowanym serwerze oraz instalacja poprawki uruchomionej z konsoli cmd w kontekście podniesionych poświadczeń mówią, że nie powinno być problemów z zainstalowaniem paczki. Tym bardziej, że na testowym serwerze wdrożenie aktualizacji przebiegło bez zakłóceń. Uruchomienie paczki z wykorzystaniem polecenia msiexec.exe /p "kb979527-x64.msp" /L*v "%temp%CU2_Log.txt" pozwoliło na logowanie procesu instalacji do pliku CU2_Log.txt. Jedna z linijek wskazała następujący błąd:

2010-07-27T09:10:26.8096354+01:00 Warn: SetRootHealthService: The sql client throws exception Login failed for user ‘jsubik’

Szybka próba logowania do bazy danych Ops Mgr’a potwierdza informację uzyskaną z pliku logu:

Nadanie uprawnień do bazy danych rozwiązuje problem i pozwala na poprawną aktualizację serwera RMS.

Warto pamiętać, by przed wykonaniem instalacji upewnić się, że posiadamy komplet niezbędnych uprawnień administracyjnych, zwłaszcza jeśli aktualizowane środowisko jest rozproszone, a w dodatku było projektowane i konfigurowane przez innego specjalistę.

Na portalu wss.pl ukazał się mój artykuł dotyczący Security Templates w Windows Server 2003. W artykule zostało wyjaśnione, co to są szablony bezpieczeństwa, ich podstawowe rodzaje oraz kilka narzędzi pozwalających na pracę z szablonami zabezpieczeń w Windows Server 2003. Życzę przyjemnej lektury.

Windows Server 2008 R2 przynosi wiele nowości. Jedną z nich jest nowa forma dostępu zdalnego via VPN. Nazywa się ona VPN Reconnect (aka IKEv2)
Co to takiego i z czym to się je:
VPN Reconnect: A New Tunnel for Mobility
About Remote Access with VPN Reconnect
VPN Reconnect in Windows 7 RC – redux
Na Technecie zaś jest Step by Step Guide mówiący o tym jak takowe połączenie się zestawia.
Wszystko fajnie, tylko dlaczego na finiszu zamiast fanfar, głośnego tadaaaaaaam, trąb jerychońskich i tupotu małych stóp Windows 7 częstuje błędem:

Odpowiedź jest trywialna: w Step by Stepie autor zapomniał napisać, że trzeba zaimportować certyfikat root CA do magazynu lokalnego komputera klienckiego. O, właśnie tu:

Bez certyfikatu Root CA klient nie umie uwierzytelnić serwera VPN. Ponowna próba przynosi oczekiwane rezultaty:

Swoją drogą, fajny protokół i warto się zainteresować. Polecam 🙂

Zdarza się nierzadko, że przy odinstalowaniu oprogramowania lub próbie dostępu do pliku pojawia się błąd:

Pół biedy, jeśli problem da się rozwiązać za pomocą przydzielenia odpowiednich uprawnień. Drugie pół, jeśli wiemy, jaki aktualnie program korzysta z dostępu do odpowiedniego pliku. Cała bieda (: ma miejsce, gdy problemu nie da się rozwiązać za pomocą podniesienia uprawnień lub nie znamy nazwy procesu korzystającego z danego pliku.
Z pomocą przychodzi podręczna aplikacja o nazwie Handle. (Link i opis: http://technet.microsoft.com/en-us/sysinternals/bb896655.aspx)
Handle to narzędzie wiersza poleceń, które wyświetla informacje o handlerach do wszelkich procesów w systemie. Wersja okienkowa (znacznie bardziej rozbudowana) to Process Explorer.
Przykład działania:

Możliwe jest również podanie tylko fragmentu nazwy blokowanego pliku. W odpowiedzi aplikacja zwraca nazwę, ID procesu oraz pełną ścieżkę dostępu do blokowanego pliku.
Mając te informacje można wymusić zakończenie procesu, np. korzystając z polecenia taskkill:

14:03 | Dodaj komentarz | Łącze stałe | Umieść to w blogu