Administrowanie systemem Windows Server 2012 R2

Transkrypt

1 Charlie Russel Egzamin Administrowanie systemem Windows Server 2012 R2 Przekład: Maria Chaniewska, Joanna Zatorska APN Promise, Warszawa 2014

2 Egzamin : Administrowanie systemem Windows Server 2012 R APN PROMISE SA Authorized Polish translation of the English edition Exam Ref : Administering Windows Server 2012 R2, ISBN: Copyright 2014 by Charlie Russel This translation is published and sold by permission of O Reilly Media, Inc., which owns or controls all rights to sell the same. APN PROMISE SA, biuro: ul. Kryniczna 2, Warszawa tel , fax mspress@promise.pl Wszystkie prawa zastrzeżone. Żadna część niniejszej książki nie może być powielana ani rozpowszechniana w jakiejkolwiek formie i w jakikolwiek sposób (elektroniczny, mechaniczny), włącznie z fotokopiowaniem, nagrywaniem na taśmy lub przy użyciu innych systemów bez pisemnej zgody wydawcy. Książka ta przedstawia poglądy i opinie autorów. Przykłady firm, produktów, osób i wydarzeń opisane w niniejszej książce są fikcyjne i nie odnoszą się do żadnych konkretnych firm, produktów, osób i wydarzeń, chyba że zostanie jednoznacznie stwierdzone, że jest inaczej. Ewentualne podobieństwo do jakiejkolwiek rzeczywistej firmy, organizacji, produktu, nazwy domeny, adresu poczty elektronicznej, logo, osoby, miejsca lub zdarzenia jest przypadkowe i niezamierzone. Nazwa Microsoft oraz znaki towarowe wymienione na stronie about/legal/en/us/intellectualproperty/trademarks/en-us.aspx są zastrzeżonymi znakami towarowymi grupy Microsoft. Wszystkie inne znaki towarowe są własnością ich odnośnych właścicieli. APN PROMISE SA dołożyła wszelkich starań, aby zapewnić najwyższą jakość tej publikacji. Jednakże nikomu nie udziela się rękojmi ani gwarancji. APN PROMISE SA nie jest w żadnym wypadku odpowiedzialna za jakiekolwiek szkody będące następstwem korzystania z informacji zawartych w niniejszej publikacji, nawet jeśli APN PROMISE została powiadomiona o możliwości wystąpienia szkód. ISBN: Przekład: Maria Chaniewska, Joanna Zatorska Redakcja: Marek Włodarz Korekta: Ewa Swędrowska Skład i łamanie: MAWart Marek Włodarz

3 Spis treści Wstęp xi 1 Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów Instalowanie roli Windows Deployment Services Konfigurowanie obrazów rozruchowych, instalacyjnych i odnajdowania oraz zarządzanie nimi Uaktualnianie obrazów poprzez instalowanie aktualizacji zabezpieczeń, poprawek i sterowników Instalowanie lub usuwanie funkcji z obrazów w trybie offline Przechwytywanie nowego szablonu obrazu Konfigurowanie grup i pakietów sterowników Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 1.2: Implementowanie zarządzania poprawkami Instalowanie i konfigurowanie roli Windows Server Update Services Konfigurowanie obiektów zasad grupy (Group Policy Objects, GPO) na potrzeby aktualizacji Konfigurowanie grup WSUS Konfigurowanie docelowej strony klienta Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 1.3: Monitorowanie serwerów Konfigurowanie zestawów Data Collector Sets Konfigurowanie alertów Planowanie monitorowania wydajności Monitorowanie wydajności w czasie rzeczywistym Monitorowanie maszyn wirtualnych Monitorowanie zdarzeń Korzystanie z subskrypcji zdarzeń Konfigurowanie monitoringu sieci Podsumowanie zagadnienia Pytania kontrolne Odpowiedzi Zagadnienie 1.1: Eksperyment myślowy Zagadnienie 1.1: Pytania kontrolne Zagadnienie 1.2: Eksperyment myślowy iii

4 iv Spis treści Zagadnienie 1.2: Pytania kontrolne Zagadnienie 1.3: Eksperyment myślowy Zagadnienie 1.3: Pytania kontrolne Konfigurowanie usług plików i wydruku Zagadnienie 2.1: Konfigurowanie rozproszonego systemu plików (Distributed File System, DFS) Instalowanie i konfigurowanie obszaru nazw systemu plików DFS (DFS-N) Konfigurowanie docelowych obiektów DFS-R Konfigurowanie harmonogramu replikacji Konfigurowanie ustawień zdalnej kompresji różnicowej (Remote Differential Compression, RDC) Konfigurowanie przemieszczania Konfigurowanie odporności na uszkodzenia Klonowanie bazy danych DFS Odzyskiwanie baz danych DFS Optymalizacja DFS-R Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 2.2: Konfigurowanie roli File Server Resource Manager (FSRM).. 74 Instalowanie roli FSRM Konfigurowanie przydziałów Konfigurowanie osłon plików Konfigurowanie raportów Konfigurowanie zadań zarządzania plikami Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 2.3: Konfigurowanie szyfrowania plików i dysków Konfigurowanie szyfrowania z wykorzystaniem funkcji BitLocker Konfigurowanie funkcji odblokowywania przez sieć Network Unlock Konfigurowanie zasad funkcji BitLocker Konfigurowanie agenta odzyskiwania EFS Zarządzanie certyfikatami EFS i BitLocker, włącznie z kopią zapasową i odzyskiwaniem Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 2.4: Konfigurowanie zaawansowanych zasad inspekcji Implementowanie inspekcji z wykorzystaniem zasad grupy i narzędzia AuditPol.exe Tworzenie zasad inspekcji w oparciu o wyrażenie Tworzenie zasad inspekcji dla urządzeń wymiennych Podsumowanie zagadnienia Pytania kontrolne

5 Spis treści v Odpowiedzi Zagadnienie 2.1: Eksperyment myślowy Zagadnienie 2.1: Pytania kontrolne Zagadnienie 2.2: Eksperyment myślowy Zagadnienie 2.2: Pytania kontrolne Zagadnienie 2.3: Eksperyment myślowy Zagadnienie 2.3: Pytania kontrolne Zagadnienie 2.4: Eksperyment myślowy Zagadnienie 2.4: Pytania kontrolne Konfigurowanie usług sieciowych i dostępu Zagadnienie 3.1: Konfigurowanie stref DNS Konfigurowanie stref podstawowych i pomocniczych Konfigurowanie stref skrótowych Konfigurowanie warunkowego przesyłania dalej Konfigurowanie magazynu strefy i usługi warunkowego przesyłania w usłudze Active Directory Konfigurowanie delegowania strefy Konfigurowanie ustawień transferu strefy Konfigurowanie ustawień powiadamiania Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 3.2: Konfigurowanie rekordów DNS Tworzenie i konfigurowanie rekordów zasobów DNS Konfigurowanie oczyszczania strefy Konfigurowanie opcji rekordu włącznie z czasem wygaśnięcia (Time To Live, TTL) oraz wagą Konfigurowanie działania okrężnego Konfigurowanie bezpiecznych aktualizacji dynamicznych Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 3.3: Konfigurowanie wirtualnej sieci prywatnej (VPN) i routingu 176 Instalowanie i konfigurowanie roli Remote Access Implementowanie translatora adresów sieciowych (NAT) Konfigurowanie ustawień VPN Konfigurowanie ustawień połączenia zdalnego dla użytkowników Konfigurowanie routingu Konfigurowanie serwera proxy aplikacji sieci Web w trybie przekazywania Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 3.4: Konfigurowanie funkcji DirectAccess Instalowanie funkcji DirectAccess Implementowanie konfiguracji klienta

6 vi Spis treści Implementowanie wymagań serwera Konfigurowanie DNS dla funkcji DirectAccess Konfigurowanie certyfikatów dla funkcji DirectAccess Podsumowanie zagadnienia Pytania kontrolne Odpowiedzi Zagadnienie 3.1: Eksperyment myślowy Zagadnienie 3.1: Pytania kontrolne Zagadnienie 3.2: Eksperyment myślowy Zagadnienie 3.2: Pytania kontrolne Zagadnienie 3.3: Eksperyment myślowy Zagadnienie 3.3: Pytania kontrolne Zagadnienie 3.4: Eksperyment myślowy Zagadnienie 3.4: Pytania kontrolne Konfigurowanie infrastruktury serwera zasad sieciowych Zagadnienie 4.1: Konfigurowanie serwera zasad sieciowych (NPS) Konfigurowanie serwera usługi RADIUS, w tym serwera proxy RADIUS Konfigurowanie infrastruktur zawierających wiele serwerów usługi RADIUS. 242 Konfigurowanie klientów usługi RADIUS Zarządzanie szablonami usługi RADIUS Konfigurowanie ewidencjonowania aktywności usługi RADIUS Konfigurowanie certyfikatów Konfigurowanie szablonów NPS Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 4.2: Konfigurowanie zasad serwera NPS Konfigurowanie zasad żądań połączeń Konfigurowanie zasad sieciowych dla klientów VPN Zarządzanie szablonami NPS Importowanie i eksportowanie konfiguracji serwera NPS Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 4.3: Konfigurowanie ochrony dostępu do sieci (NAP) Konfigurowanie modułów sprawdzania kondycji systemu (SHV) Konfigurowanie zasad dotyczących kondycji Konfigurowanie wymuszania ochrony dostępu do sieci przy użyciu technologii DHCP i VPN Konfigurowanie izolowania i korygowania niezgodnych komputerów przy użyciu technologii DHCP i VPN Konfigurowanie ustawień klientów NAP Podsumowanie zagadnienia Pytania kontrolne

7 Spis treści vii Odpowiedzi Zagadnienie 4.1: Eksperyment myślowy Zagadnienie 4.1: Pytania kontrolne Zagadnienie 4.2: Eksperyment myślowy Zagadnienie 4.2: Pytania kontrolne Zagadnienie 4.3: Eksperyment myślowy Zagadnienie 4.3: Pytania kontrolne Konfigurowanie usługi Active Directory i zarządzanie nią Zagadnienie 5.1: Konfigurowanie uwierzytelniania usług Tworzenie i konfigurowanie kont usług Tworzenie i konfigurowanie kont MSA Tworzenie i konfigurowanie kont gmsa Konfigurowanie delegowania protokołu Kerberos Konfigurowanie kont wirtualnych Zarządzanie głównymi nazwami usług (SPN) Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 5.2: Konfigurowanie kontrolerów domeny Konfigurowanie buforowania członkostwa grup uniwersalnych Przenoszenie i przejmowanie wzorca operacji Instalacja i konfiguracja kontrolera domeny tylko do odczytu Konfigurowanie klonowania kontrolera domeny Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 5.3: Konserwacja usługi Active Directory Wykonywanie kopii zapasowych usługi Active Directory i katalogu SYSVOL. 337 Zarządzanie usługą Active Directory w trybie offline Optymalizacja bazy danych Active Directory Czyszczenie metadanych Konfigurowanie migawek usługi Active Directory Odzyskiwanie na poziomie obiektu i kontenera Przywracanie usługi Active Directory Konfigurowanie i przywracanie obiektów przy użyciu Kosza usługi Active Directory Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 5.4: Konfigurowanie zasad kont Konfigurowanie zasad haseł użytkowników w domenie Konfigurowanie i stosowanie obiektów ustawień haseł (PSO) Delegowanie zarządzania ustawianiem haseł Konfigurowanie zasad haseł użytkowników lokalnych Konfigurowanie ustawień blokowania kont

8 viii Spis treści Konfigurowanie ustawień zasad protokołu Kerberos Podsumowanie zagadnienia Pytania kontrolne Odpowiedzi Zagadnienie 5.1: Eksperyment myślowy Zagadnienie 5.1: Pytania kontrolne Zagadnienie 5.2: Eksperyment myślowy Zagadnienie 5.2: Pytania kontrolne Zagadnienie 5.3: Eksperyment myślowy Zagadnienie 5.3: Pytania kontrolne Zagadnienie 5.4: Eksperyment myślowy Zagadnienie 5.4: Pytania kontrolne Konfigurowanie zasad grupy i zarządzanie nimi Zagadnienie 6.1: Konfigurowanie przetwarzania zasad grupy Konfigurowanie kolejności przetwarzania i pierwszeństwa Konfigurowanie blokowania dziedziczenia Konfigurowanie zasad wymuszonych Konfigurowanie filtrowania zabezpieczeń i filtrowania usługi WMI Konfigurowanie przetwarzania sprzężenia zwrotnego Konfigurowanie przetwarzania na powolnym łączu i buforowania zasad grup oraz zarządzanie nimi Konfigurowanie zachowania rozszerzeń po stronie klienta (CSE) Wymuszanie aktualizacji zasad grupy Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 6.2: Konfigurowanie ustawień zasad grupy Konfigurowanie ustawień Importowanie szablonów zabezpieczeń Importowanie plików niestandardowych szablonów administracyjnych Konfigurowanie filtrów właściwości szablonów administracyjnych Podsumowanie zagadnienia Pytania kontrolne Zagadnienie 6.3: Zarządzanie obiektami zasad grupy (GPO) Wykonywanie kopii zapasowych, importowanie, kopiowanie i przywracanie obiektów GPO Tworzenie i konfigurowanie tabeli migracji Resetowanie domyślnych obiektów GPO Delegowanie zarządzania zasadami grupy Podsumowanie zagadnienia Pytania kontrolne

9 Spis treści ix Zagadnienie 6.4: Konfigurowanie preferencji zasad grupy (GPP) Konfigurowanie ustawień systemu Windows Konfigurowanie ustawień Panelu sterowania Podsumowanie zagadnienia Pytania kontrolne Odpowiedzi Zagadnienie 6.1: Eksperyment myślowy Zagadnienie 6.1: Pytania kontrolne Zagadnienie 6.2: Eksperyment myślowy Zagadnienie 6.2: Pytania kontrolne Zagadnienie 6.3: Eksperyment myślowy Zagadnienie 6.3: Pytania kontrolne Zagadnienie 6.4: Eksperyment myślowy Zagadnienie 6.4: Pytania kontrolne Indeks O autorze

10

11 Wstęp Niniejsza książka jest przeznaczona dla profesjonalistów IT, którzy chcą zdobyć certyfikat MCSA: Windows Server Certyfikat wymaga zdania trzech egzaminów: Instalowanie i konfigurowanie systemu Windows Server 2012 R Administrowanie systemem Windows Server 2012 R Konfigurowanie zaawansowanych usług systemu Windows Server 2012 R2 Egzamin , do którego przygotowuje niniejsza książka, jest środkowym egzaminem w ścieżce certyfikacyjnej Windows Server 2012 MCSA dla osób bez certyfikatu Microsoft z wcześniejszej wersji systemu Windows Server. Docelowi Czytelnicy tej książki to profesjonaliści IT, którzy chcą zademonstrować, że opanowali podstawowy zestaw umiejętności związanych z systemem Windows Server 2012 potrzebnych w wielu obszarach rozwiązań w środowisku firmowym, aby redukować koszty IT i dostarczać więcej wartości biznesowych. Od stycznia 2014 r. ten egzamin obejmuje tematy zawierające nowe funkcje i możliwości wprowadzone w systemie Windows Server 2012 R2. Trzy egzaminy , i pozwalają zdobyć certyfikat Windows Server 2012 MCSA od podstaw, bez żadnej wcześniejszej certyfikacji. Razem te trzy egzaminy obejmują 18 dziedzin szerokich umiejętności i 62 bardziej szczegółowe tematy. Ponieważ egzaminy są przeznaczone dla osób, które jeszcze nie uzyskały certyfikatu Windows Server, sprawdzają nie tylko znajomość nowych funkcji w systemie Windows Server 2012, ale także starszych funkcji, które nie zmieniły się od wersji Windows Server 2008, a nawet wcześniejszej. Egzamin sprawdza sześć dziedzin i 22 tematy, które obejmują podstawową wiedzę potrzebną do administrowania infrastrukturą Windows Server 2012 R2. W celu ułatwienia nauki z tej książki skupiliśmy się głównie na nowych funkcjach i możliwościach systemu Windows Server 2012 R2, nie pomijając tematów, które prawdopodobnie będą sprawdzane, a zostały wprowadzone we wcześniejszych wersjach systemu Windows Server. Niniejsza książka obejmuje wszystkie tematy egzaminacyjne, ale nie obejmuje wszystkich pytań egzaminacyjnych. Tylko zespół egzaminatorów firmy Microsoft ma dostęp do właściwych pytań egzaminacyjnych, a firma Microsoft regularne dodaje nowe pytania do egzaminu. Dlatego nie jest możliwe podanie w książce dokładnych xi

12 xii Wstęp pytań. Należy uważać tę książkę jako uzupełnienie odpowiedniego doświadczenia praktycznego i innych materiałów do nauki. W razie napotkania w tej książce tematu, który nie jest zupełnie jasny, warto użyć adresów podanych w książce, aby znaleźć więcej informacji a następnie poświęcić czas na własne poszukiwania i studiowanie tematu. Wartościowe informacje są dostępne w witrynach MSDN, TechNet oraz na blogach i forach. Certyfikaty firmy Microsoft Certyfikaty Microsoft pozwalają się wyróżnić, ponieważ poświadczają opanowanie szerokiego zestawu umiejętności oraz znajomość aktualnych produktów i technologii firmy Microsoft. Egzaminy i odpowiadające im certyfikaty powstały, aby sprawdzać biegłość w najważniejszych kompetencjach dotyczących projektowania i rozwijania albo wdrażania i obsługi rozwiązań wykorzystujących produkty i technologie firmy Microsoft zarówno lokalnie, jak i w chmurze. Certyfikaty przynoszą różnorodne korzyści osobom indywidualnym, pracownikom i organizacjom. WIĘCEJ INFORMACJI Wszystkie certyfikaty firmy Microsoft Informacje na temat certyfikatów firmy Microsoft, w tym ich pełna lista, znajdują się na stronie

13 Podziękowania xiii Podziękowania Żadna książka nie trafia do rąk Czytelników bez pracy bardzo wielu osób, którą tylko autorzy mogą w pełni docenić. Części z nich nigdy nie poznam, ale doceniam wysiłki wszystkich. Z tych, których znam, chcę serdecznie podziękować Anne Hamilton i Karen Szall z wydawnictwa Microsoft Press za ich długotrwałe wsparcie i przyjaźń. Na podziękowania zasługują także Gaby Kaplan i Dave Bishop z firmy Microsoft za cierpliwe przyjmowanie moich raportów o błędach w dokumentacji Windows PowerShell, bez nawet jednej sugestii, że problem mogłem sam spowodować; Jeff Riley z firmy Box Twelve Communications za jego niesłabnącą uwagę przykładaną do trzymania projektu na właściwym kursie, połączoną z radzeniem sobie z wszystkim, co stawało na naszej drodze; Rich Kershner za jego wspaniałe umiejętności projektowania wyglądu i układu, a szczególnie za uchronienie mnie przed konsekwencjami moich własnych działań; Nancy Sixsmith za jej lekką, ale bardzo kompetentną korektę; Brian Svidergol za jego dokładną redakcję techniczną; oraz Angie Martin za utworzenie znakomitego indeksu, który pomaga Czytelnikom szybko znaleźć to, czego szukają, bez względu na zagmatwanie tematu. Dwoje współpracujących ze mną Microsoft MVP, Karen McCall i Jay Freedman, zasługuje również na szczere podziękowania. Ich nieoceniona pomoc przy tworzeniu makr programu Microsoft Word uchroniła mnie przed irytacją. Naprawdę bardzo doceniam ich pomoc. Jest to przykład ducha profesjonalistów MVP, którzy na całym świecie i w każdej dziedzinie hojnie dzielą się swoim czasem i wiedzą, aby poprawić życie społeczności informatycznej. W końcu dziękuję mojemu działowi Research and Support, prowadzonemu przez Sharon Crawford, która powróciła z emerytury, aby pracować i pomagać, gdy naprawdę tego potrzebowałem. W jej zespole byli także Spuds Trey, Boots Khatt i Sir William Wallace, którzy poświęcili szczególnie dużo czasu, aby mnie wspierać. Nie napisałbym tej książki bez nich. Errata, aktualizacje i pomoc dotycząca książki Dołożyliśmy wszelkich starań, aby zapewnić dokładność tej książki i materiałów dodatkowych. Aktualizacje do tej książki w formie erraty zawierającej zgłoszone usterki i ich poprawki są dostępne na karcie Errata & Updates strony internetowej dotyczącej książki pod adresem: W razie odkrycia błędu, który jeszcze nie został zgłoszony, proszę o przesłanie nam informacji przy użyciu tej samej strony internetowej. Dodatkową pomoc można uzyskać z działu Microsoft Press Book Support pod adresem mspinput@microsoft.com.

14 xiv Wstęp Prosimy zauważyć, że wsparcie dotyczące oprogramowania i sprzętu firmy Microsoft nie jest oferowane pod powyższymi adresami. Pomoc dotyczącą produktów firmy Microsoft można uzyskać pod adresem to Czekamy na uwagi Najwyższym priorytetem wydawnictwa Microsoft Press jest zadowolenie Czytelników, a ich opinie są dla nas niezwykle cenne. Prosimy o przekazywanie uwag w witrynie: Ankieta jest krótka, a my czytamy wszystkie przysłane do nas spostrzeżenia i pomysły. Z góry dziękujemy za wszystkie wpisy! Pozostańmy w kontakcie Niech dyskusja trwa! Jesteśmy na Twitterze:

15 ROZDZIAŁ 1 Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Instalowanie serwerów jest jednorazową akcją, jednak prace wdrożeniowe wykonujemy dość często. Instalacje serwerów należy przeprowadzać w niezawodny i możliwy do odtworzenia sposób, nie wymagający większej interwencji użytkownika. Po wdrożeniu serwera musimy dbać o instalowanie najnowszych aktualizacji krytycznych i zabezpieczeń, przy jednoczesnym ograniczeniu nakładu pracy. Musimy też mieć możliwość monitorowania serwera, aby zapewnić jego wydajne działanie bez większych awarii. W tym rozdziale zajmiemy się wdrażaniem systemu Windows Server 2012 R2 z wykorzystaniem usług Windows Deployment Services (WDS), pozwalających na automatyzację wdrażania standardowych i niestandardowych obrazów na serwerach. Dowiemy się również, jak zaimplementować usługi Windows Server Update Services (WSUS) w celu automatyzacji i dostosowania zarządzania poprawkami w sieci. Na koniec zajmiemy się monitorowaniem serwerów z wykorzystaniem narzędzia Windows Performance Monitor (Monitor wydajności systemu Windows) (perfmon) oraz narzędzia Windows Event Viewer (Podgląd zdarzeń). Największą zmianą wprowadzoną w systemie Windows Server 2012 R2 jest niemal całkowite pokrycie wszystkich zadań obsługi serwera przez polecenia powłoki Windows PowerShell. Jest to znacząca zmiana w odniesieniu do wcześniejszych wersji systemu Windows Server. W tym rozdziale dowiemy się, jak wykorzystać powłokę Windows PowerShell do wdrażania, aktualizacji i monitorowania systemu Windows Server. Zagadnienia egzaminacyjne omawiane w tym rozdziale: Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 2 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 16 Zagadnienie 1.3: Monitorowanie serwerów 29 Odpowiedzi 45 1

16 2 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi WSKAZÓWKA EGZAMINACYJNA Treść egzaminów podlega rygorystycznym zasadom, zgodnie z którymi autorzy pytań muszą zapewnić wyjaśnienie nie tylko prawidłowych odpowiedzi, ale również tych nieprawidłowych. Jeśli nie jesteś pewien, która odpowiedź w pytaniu jednokrotnego wyboru jest prawidłowa, zacznij od wykluczenia odpowiedzi, które z pewnością są nieprawidłowe. Jeśli uważasz, że jest kilka właściwych odpowiedzi, prawdopodobnie pominąłeś w treści pytania jakąś istotną wskazówkę. Powróć do treści pytania, przeczytaj je uważnie i spróbuj odszukać niezauważoną wskazówkę. Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów Automatyzacja wdrażania serwerów jest jednym z ważnych zadań, których oczekuje się od informatyków. Niniejsze zagadnienie wychodzi naprzeciw tym oczekiwaniom. Jest ono poświęcone wdrażaniu obrazów serwerów i ich utrzymaniu. W systemie Windows Server 2012 R2 kluczową rolę w utrzymaniu i wdrażaniu obrazów serwerów pełnią usługi Windows Deployment Services (WDS). Bardzo prawdopodobne jest, że główny nacisk na egzaminie zostanie położony na nowe funkcje usług WDS w systemach Windows Server 2012 i Windows Server 2012 R2. Tym bardziej, że w systemie Windows Server 2012 R2 usługi te są w pełni obsługiwane z poziomu powłoki Windows PowerShell, w której zaimplementowano 33 polecenia cmdlet służące do zarządzania usługami WDS. Niniejsze zagadnienie obejmuje następującą tematykę: Instalowanie roli Windows Deployment Services Konfigurowanie obrazów rozruchowych, instalacyjnych i odnajdowania oraz zarządzanie nimi Uaktualnianie obrazów poprzez instalowanie aktualizacji zabezpieczeń, poprawek i sterowników Instalowanie funkcji dla obrazów w trybie offline Konfigurowanie grup i pakietów sterowników

17 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 3 Instalowanie roli Windows Deployment Services Zanim skorzystamy z usług WDS, musimy zainstalować na serwerze rolę Windows Deployment Services. Może to być serwer niezależny lub połączony z domeną Active Directory Domain Services (AD DS). Aby zainstalować usługę WDS, musimy spełnić następujące wymagania: AD DS Jeśli usługa WDS jest zintegrowana z usługą Active Directory, wymagany jest serwer usług domenowych AD. Serwer wdrożeniowy może być zarówno serwerem członkowskim, jak i kontrolerem domeny. WDS nie nakłada konieczności zapewnienia minimalnej wersji domeny lub lasu AD DS, zaś niezależna usługa WDS nie wymaga AD DS. DHCP Wsparcie środowiska Preboot execution Environment (PXE) wymaga obecności w sieci aktywnego serwera DHCP. DNS Niezbędny jest uruchomiony i dostępny serwer Domain Name Service (DNS). NTFS Magazyn obrazu musi się znajdować w woluminie sformatowanym w systemie NTFS. Poświadczenia Aby zainstalować rolę Windows Deployment Services, należy być członkiem grupy Local Administrators na serwerze. Rolę Windows Deployment Services można zainstalować i zarządzać nią jedynie na serwerze, na którym zainstalowano system Windows Server z interfejsem graficznym. Wersje systemu Windows Server Core nie zapewniają wsparcia dla WDS. Instalowanie WDS z wykorzystaniem konsoli Server Manager Windows Server Manager (Menedżer serwera) to graficzny interfejs służący do instalowania i konfigurowania roli Windows Deployment Services na serwerze, zarówno niezależnej, jak i zintegrowanej z usługą Active Directory. Aby zainstalować rolę Windows Deployment Services posłużymy się kreatorem Add Roles And Features Wizard (Kreator dodawania ról i funkcji). Skorzystamy przy tym z opcji Role-based Or Feature-based (Instalacja oparta na rolach lub oparta na funkcjach). Server Manager może służyć do dodawania ról i funkcji do wirtualnych dysków twardych lub do zarządzania wieloma serwerami z poziomu jednej konsoli, jak pokazano na rysunku 1-1.

18 4 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi RYSUNEK 1-1 Strona Select Destination Server (Wybieranie serwera docelowego) kreatora Add Roles And Features Wizard Podczas instalacji roli Windows Deployment Services z wykorzystaniem konsoli Server Manager, otrzymamy komunikat o konieczności automatycznej instalacji niezbędnych narzędzi do zarządzania. WDS można wdrożyć razem z usługą roli Deployment Server (Serwer wdrażania) oraz usługą roli Transport Server (Serwer transportu), jak pokazano na rysunku 1-2, lub (rzadziej) jedynie z usługą roli Transport Server. RYSUNEK 1-2 Strona Select Role Services (Wybieranie usług ról) kreatora Add Roles And Features Wizard

19 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 5 WSKAZÓWKA EGZAMINACYJNA Zainstalowanie WDS tylko z usługą roli Transport Server skutkuje instalacją podstawowych elementów sieciowych usługi WDS, wraz z serwerem PXE. Wszystkie zadania dotyczące konfiguracji obrazów i zarządzania nimi wymagają niestandardowych skryptów oraz użycia narzędzia WDSUtil.exe. Do skonfigurowania serwera Transport Server nie możemy użyć ani powłoki Windows PowerShell, ani interfejsu graficznego. Instalowanie usługi WDS z poziomu powłoki Windows PowerShell Istotną zmianą w systemie Windows Server 2012 R2 jest udostępnienie nowego modułu WDS w powłoce Windows PowerShell. W ten sposób uzyskano praktycznie 100-procentowe pokrycie zadań z poziomu powłoki Windows PowerShell. Dotychczasowe narzędzia wiersza poleceń zostały wycofane, a wszystkie zadania można obecnie wykonać korzystając z powłoki Windows PowerShell. WSKAZÓWKA EGZAMINACYJNA Autorzy pytań egzaminacyjnych mają trudny orzech do zgryzienia podczas tworzenia zrozumiałych, jednoznacznych, a zarazem ambitnych pytań i odpowiedzi, które dogłębnie sprawdzają zrozumienie zagadnień egzaminu. Względnie łatwo jest stworzyć pytanie dotyczące wiersza poleceń zawierające elementy odwracające uwagę (niewłaściwe odpowiedzi). Pamiętając o całkowitym pokryciu zadań w systemie Windows Server 2012 R2 poleceniami Windows PowerShell, należy się spodziewać na egzaminie wielu pytań dotyczących powłoki Windows PowerShell i odpowiednio się do tego przygotować. Aby zainstalować rolę Windows Deployment Services na serwerze, skorzystamy z polecenia cmdlet Install-WindowsFeature. Polecenie Install-WindowsFeature przyjmuje jako parametr nazwę funkcji z opcją Name, nazwę (lub adres IP) docelowego serwera z opcją ComputerName lub nazwę wirtualnego dysku twardego z opcją Vhd. Możemy też przekazać poświadczenia poprzez obiekt <PSCredential> z opcją Credential. Dodatkowo możemy ustawić flagi IncludeAllSubFeature oraz IncludeManagementTools. Domyślnie, polecenie cmdlet Install-WindowsFeature instaluje jedynie określoną funkcję lub rolę; nie zostaną zainstalowane żadne podfunkcje ani narzędzia do zarządzania funkcją. Aby zainstalować rolę Windows Deployment Services wraz z narzędziami do zarządzania na serwerze trey-wds-11, należy otworzyć okno powłoki Windows PowerShell z podniesionymi uprawnieniami i wykonać następujące polecenie: Install-WindowsFeature Name WDS ComputerName "trey-wds-11" -IncludeManagementTools

20 6 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi UWAGA Korzystanie z wiersza poleceń Windows PowerShell z podniesionymi uprawnieniami Wiele zadań z zakresu zarządzania wymaga uprawnień administratora. W tym celu możemy przekazać obiekt PSCredential utworzony z wykorzystaniem polecenia cmdlet Get- Credential, lub otworzyć okno powłoki Windows PowerShell z podniesionymi uprawnieniami, korzystając z następującego polecenia (które uruchomi wyskakujące okno dialogowe, w którym należy wpisać dane dostępowe, a następnie otworzy nowe okno powłoki Windows PowerShell z podniesionymi uprawnieniami): Start-Process PowerShell.exe -Verb RunAs WSKAZÓWKA EGZAMINACYJNA Polecenia powłoki Windows PowerShell, które wymagają podniesionych uprawnień, zazwyczaj przyjmują parametr -Credential. Odpowiedzi egzaminacyjne, które pomijają ten parametr, zazwyczaj są nieprawidłowe. Jeśli odpowiedź zawiera parametr -Credential wraz z ciągiem tekstowym DOMAIN\User, będzie to również niewłaściwa odpowiedź, ponieważ parametr ten wymaga przekazania obiektu typu PSCredential. W celu wygenerowania obiektu typu PSCredential korzystamy z polecenia cmdlet Get-Credential. Konfigurowanie WDS Zanim będziemy mogli skorzystać z usługi WDS, musimy skonfigurować kilka podstawowych ustawień w konsoli Server Manager lub bezpośrednio z poziomu konsoli Wdsmgmt.msc. Konfiguracja wymaga podjęcia następujących decyzji: Serwer niezależny czy zintegrowany z AD DS Lokalizacja folderu Remote Installation Wstępne ustawienia serwera PXE Opcja integracji z usługą domenową AD DS jest dostępna tylko w środowisku domeny AD DS. Lokalizacja zdalnego folderu instalacji powinna się znajdować w woluminie sformatowanym w systemie NTFS, na którym jest wystarczająco dużo wolnego miejsca na kilka obrazów, aplikacji i pakietów sterowników. Zwykle nie jest on instalowany w woluminie systemowym, lecz w specjalnym, dedykowanym woluminie. Wstępne ustawienia PXE kontrolują, które komputery klienckie mają zezwolenie na pobieranie obrazów. Możemy zabronić tego dostępu, zezwolić na dostęp jedynie wstępnie przygotowanym komputerom lub dowolnym klientom PXE, które zażądają obrazu. Po ukończeniu wstępnej konfiguracji możemy przejść do instalacji wstępnych obrazów na serwerze, jak pokazano na rysunku 1-3.

21 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 7 RYSUNEK 1-3 Strona Operation Complete (Operacja ukończona) kreatora Windows Deployment Services Configuration Wizard (Kreator konfiguracji Usług wdrażania systemu Windows) Konfigurowanie obrazów rozruchowych, instalacyjnych i odnajdowania oraz zarządzanie nimi WDS korzysta z czterech typów obrazów: obrazów rozruchowych, instalacyjnych, przechwytywania oraz odnajdowania. Minimum niezbędne do uruchomienia serwera WDS oraz do wdrożenia obrazu na komputerze klienta to obraz rozruchowy i instalacyjny. Obrazy rozruchowe Obrazy rozruchowe to obrazy środowiska preinstalacyjnego systemu Windows. Znajdują się one w folderze \Sources na nośniku instalacyjnym systemu Windows w postaci pliku \Sources\Boot.wim. Plik Boot.wim zawiera zarówno klienta środowiska preinstalacyjnego systemu Windows, jak i klienta WDS. Obrazy instalacyjne Obrazy instalacyjne są właściwymi obrazami systemu operacyjnego, które są wdrażane na komputerze klienta. Możemy skorzystać z domyślnego obrazu dostępnego na nośniku w folderze \Sources (\Sources\Install.wim) lub możemy utworzyć własny, korzystając z obrazu przechwytywania lub z innego narzędzia.

22 8 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Obrazy przechwytywania Obrazy przechwytywania są wykorzystywane do tworzenia własnych obrazów instalacyjnych na podstawie istniejącego komputera-szablonu. W tym celu musimy przygotować komputer będący szablonem, korzystając z narzędzia Sysprep, a następnie uruchomić system z wykorzystaniem obrazu przechwytywania. Aby zapisać obraz przechwytywania na lokalnym woluminie, musimy zapewnić wystarczającą ilość wolnego miejsca na dysku. Obrazy odnajdowania Obrazy odnajdowania są wykorzystywane przez komputery klientów WDS, które nie wspierają rozruchu środowiska PXE. W tej sytuacji używamy pliku Boot.wim, znajdującego się na nośniku instalacyjnym systemu Windows. Potrzebne nam będą również narzędzia z zestawu Windows Assessment and Deployment Kit (Windows ADK) dla systemu Windows 8.1, dostępnego na stronie details.aspx?id= Zarządzanie obrazami w magazynie obrazów WDS Obrazy znajdujące się w magazynie obrazów WDS można kopiować, wyłączać, włączać, importować, eksportować, usuwać, a także ustawiać ich właściwości. W tym celu możemy korzystać z interfejsu graficznego lub z modułu WDS powłoki Windows PowerShell. WSKAZÓWKA EGZAMINACYJNA Polecenia cmdlet Import-WDS* są doskonałym materiałem na pytania egzaminacyjne. Nieprzygotowany kandydat prawdopodobnie wybierze opcję Copy lub Set zamiast opcji Import. Aby dodać obrazy do magazynu obrazów WDS, możemy skorzystać z kreatora Add Image Wizard (Kreator dodawania obrazów) w konsoli Windows Deployment Services (Usługi wdrażania systemu Windows) lub z polecenia cmdlet Import-WDS* w powłoce Windows PowerShell. WDS organizuje obrazy instalacyjne w grupę obrazów, co pozwala na współdzielenie zasobów plików oraz zabezpieczeń. Musimy utworzyć co najmniej jedną grupę obrazów. Aby dodać obraz instalacyjny do magazynu obrazów WDS, należy wykonać następujące polecenie: Import-WdsInstallImage -Path "<lokalizacja WIM lub VHD>" -ImageGroup "<nazwa grupy>"

23 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 9 Polecenie służące do dodania obrazu rozruchowego WDS różni się tylko brakiem parametru -ImageGroup: Import-WdsBootImage -Path "< lokalizacja WIM lub VHD >" Obydwa polecenia cmdlet przyjmują mnóstwo dodatkowych parametrów, co pozwala ustawić różne właściwości obrazów. Aby uzyskać pełną informację na temat dowolnego polecenia cmdlet powłoki Windows PowerShell, należy skorzystać z polecenia cmdlet Get-Help z parametrem -Full. WSKAZÓWKA EGZAMINACYJNA Aby skopiować obraz z jednej grupy obrazów do innej, należy skorzystać z poleceń cmdlet Export-WdsInstallImage oraz Import-WdsInstallImage. Polecenie cmdlet Copy- WdsInstallImage pozwala na skopiowanie obrazu jedynie w obrębie tej samej grupy obrazów. Uaktualnianie obrazów poprzez instalowanie aktualizacji zabezpieczeń, poprawek i sterowników Do utworzenia uaktualnionego obrazu instalacyjnego, zawierającego bieżące poprawki i aktualizacje, można wykorzystać obraz przechwytywania. Możemy także skorzystać z poleceń platformy Deployment Image Servicing and Management (DISM) oraz z modułu Dism powłoki Windows PowerShell do zainstalowania obrazu w trybie offline i do bezpośredniego zaktualizowania. Obraz w trybie offline (.wim) lub wirtualny dysk twardy (.vhd lub.vhdx) można zmodyfikować bezpośrednio z wykorzystaniem poleceń cmdlet modułu Dism. Aby zmodyfikować obraz lub wirtualny dysk twardy i umieścić na nim aktualizacje, wykonaj następujące kroki: 1. Udostępnij obraz do odczytu i zapisu usuwając wszystkie atrybuty tylko do odczytu. W tym celu wykonaj polecenie attrib -r. 2. Zainstaluj obraz w pustym punkcie instalacji, korzystając z polecenia cmdlet Mount-WindowsImage. 3. Wyodrębnij zawartość aktualizacji (plik.msu) korzystając z narzędzia WinRAR lub innego. 4. Umieść plik.cab na zainstalowanym obrazie korzystając z polecenia cmdlet Add-WindowsPackage. 5. Potwierdź zmiany i odinstaluj obraz instalacyjny korzystając z poleceń cmdlet Save-WindowsImage i Dismount-WindowsImage.

24 10 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Instalowanie lub usuwanie funkcji z obrazów w trybie offline Funkcje systemu Windows można dodawać lub usuwać z istniejącego obrazu lub z wirtualnego dysku twardego, korzystając odpowiednio z polecenia cmdlet Enable- WindowsOptionalFeature i Disable-WindowsOptionalFeature. Uruchomiony już obraz można zmodyfikować, korzystając z parametru online. Można też zmodyfikować obraz w trybie offline lub wirtualny dysk twardy, instalując go i modyfikując zainstalowany obraz. Aby zmodyfikować obraz w trybie offline lub wirtualny dysk twardy, wykonaj poniższe kroki: 1. Udostępnij obraz do odczytu i zapisu, usuwając wszystkie atrybuty tylko do odczytu. W tym celu wykonaj polecenie attrib -r. 2. Zainstaluj obraz w pustym punkcie instalacji, korzystając z polecenia cmdlet Mount-WindowsImage. 3. Zmodyfikuj obraz, korzystając odpowiednio z polecenia cmdlet Enable- WindowsOptionalFeature lub Disable-WindowsOptionalFeature. 4. Potwierdź zmiany i odinstaluj obraz instalacyjny, korzystając z poleceń cmdlet Save-WindowsImage i Dismount-WindowsImage. Przechwytywanie nowego szablonu obrazu W przypadku większości zmian najprościej jest zmodyfikować istniejący obraz, aktualizując obraz istniejący lub wirtualny dysk twardy. Jednak gdy potrzebne są poważniejsze zmiany lub gdy zmiana dotyczy sprzętu lub podstawowego oprogramowania, zwykle łatwiej jest utworzyć na komputerze nowy szablon, a następnie zapisać jego obraz. W tym celu wykonaj następujące kroki: 1. Utwórz obraz przechwytywania w konsoli Windows Deployment Services, klikając obraz rozruchowy prawym przyciskiem, a następnie wybierając polecenie Create Capture Image (Utwórz obraz przechwytywania), aby uruchomić kreator Create Capture Image Wizard (Kreator tworzenia obrazu przechwytywania), widoczny na rysunku 1-4.

25 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 11 RYSUNEK 1-4 Kreator Create Capture Image Wizard 2. Dodaj obraz przechwytywania do magazynu obrazów WDS. 3. Zainstaluj system Windows na komputerze służącym jako źródło szablonu dla obrazu. Komputer ten powinien być możliwie podobny sprzętowo do komputerów, na których zamierzamy zainstalować obraz przechwytywania. 4. Zainstaluj role i funkcje, które będą wchodzić w skład szablonu. UWAGA Role wspierane przez narzędzie Sysprep w systemie Windows Server Nie wszystkie role, które są dostępne w systemie Windows Server, można zawrzeć w obrazie szablonu. Nie są wspierane, na przykład, żadne role Active Directory. Pełna lista ról wspieranych przez Sysprep dostępna jest na stronie com/en-us/library/hh aspx. 5. Zainstaluj wszystkie dodatkowe programy, które mają się znaleźć w szablonie. 6. Zainstaluj wszystkie aktualizacje i poprawki, które chcesz dołączyć do szablonu. Dodaj wszystkie sterowniki wymagane przez szablon. 7. Wyłącz lub usuń wszystkie paczki, które nie powinny zostać wdrożone na komputerach docelowych. 8. Uruchom narzędzie Sysprep na komputerze będącym źródłem szablonu, wykonując następujące polecenie z poziomu folderu %windir%\system32\sysprep: Sysprep /oobe /generalize /reboot 9. Uruchom ponownie komputer i przeprowadź rozruch z sieci.

26 12 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi 10. Zaznacz utworzony obraz rozruchowy i wykonaj kolejne kroki w kreatorze Windows Deployment Services Image Capture Wizard (Kreator przechwytywania obrazu Usług wdrażania systemu Windows), aby zapisać obraz. UWAGA Zapisywanie obrazów lokalnie Należy się upewnić, że na komputerze będącym źródłem szablonu znajduje się wystarczająca ilość wolnego miejsca do zapisania lokalnej kopii przechwytywanego obrazu. Możemy również automatycznie umieścić obraz na naszym serwerze WDS, jednak zawsze musimy najpierw zapisać kopię na dysku lokalnym. Może to być udział Server Message Block (SMB) dostępny na komputerze sieciowym, o ile do udziału tego przydzielono literę dysku. Konfigurowanie grup i pakietów sterowników WDS umożliwia nam dodawanie do obrazów wdrożeniowych sterowników dopasowanych do sprzętu, a także na zezwalanie obrazom na wydawanie żądań o określony zestaw obrazów z dostępnego magazynu sterowników. Istnieje możliwość utworzenia grup sterowników, które pozwalają na przechowywanie i organizowanie kolekcji sterowników. Wstępna konfiguracja WDS tworzy domyślną grupę sterowników o nazwie DriverGroup1. Aby dodać, usunąć, zmienić nazwę lub powielić grupy sterowników, a także zmodyfikować ich właściwości, możemy skorzystać z konsoli Windows Deployment Services. Do zarządzania sterownikami oraz pakietami sterowników możemy wykorzystać nie tylko konsolę Windows Deployment Services, ale również polecenia cmdlet Windows PowerShell *-WdsDriverPackage. Dostępne są następujące polecenia cmdlet: Add-WdsDriverPackage Dodaje pakiet sterownika z magazynu sterowników WDS do grupy sterowników lub umieszcza je bezpośrednio w obrazie rozruchowym. Disable-WdsDriverPackage Blokuje dostępność pakietu sterowników z magazynu sterowników WDS dla klientów bez konieczności usuwania go z magazynu sterowników. Enable-WdsDriverPackage Udostępnia klientom pakiet sterowników z magazynu sterowników WDS. Pakiety są domyślnie udostępniane po dodaniu do magazynu sterowników WDS. Get-WdsDriverPackage Pobiera właściwości wszystkich pakietów sterowników z magazynu sterowników WDS lub właściwości konkretnego pakietu, o ile podamy jego nazwę lub ID (GUID). Import-WdsDriverPackage Importuje pakiet sterownika do magazynu sterownika WDS i opcjonalnie dodaje go do grupy sterowników.

27 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów 13 Remove-WdsDriverPackage Usuwa pakiet sterownika z grupy sterowników WDS lub usuwa go ze wszystkich grup sterowników i z magazynu sterowników. Polecenia cmdlet modułu WDS powłoki Windows PowerShell nie pozwalają na utworzenie ani na bezpośrednie zarządzanie właściwościami grup sterowników. Można zmieniać zawartość grup sterowników, ale utworzenie nowych grup sterowników jest niemożliwe. Sterowniki możemy umieścić na istniejącym obrazie lub na wirtualnym dysku twardym, korzystając z polecenia cmdlet Add-WdsDriverPackage. Po dodaniu pakietu sterowników do istniejącego obrazu, WDS nie może usunąć pakietu sterownika. Konieczne będzie ponowne utworzenie obrazu, tym razem bez zainstalowanego sterownika. Eksperyment myślowy Aktualizacja sprzętu W tym eksperymencie myślowym zastosujesz wiedzę pozyskaną na temat tego zagadnienia. Odpowiedzi do poniższych pytań można znaleźć w dziale Odpowiedzi na końcu tego rozdziału. Jesteś administratorem sieci w firmie TreyResearch.net. Specyfikacja sprzętu serwera, którym się zajmujesz, nie jest już dostępna, zaś firma wybrała nowego dostawcę i kupiła od niego nowy sprzęt. Wykorzystywane obecnie niestandardowe obrazy WDS, dopasowane do starego sprzętu, zawierają całe potrzebne oprogramowanie, jednak ich uruchomienie na nowym sprzęcie się nie powiodło. Po dyskusji z zarządem okazało się, że w najbliższej oraz niezbyt odległej przyszłości nowe serwery zostaną przeznaczone do użytku przez pracowników działu finansowego, księgowego oraz działu kadr. Korzystają oni ze zubożonych komputerów klienckich do połączenia się z serwerami hostów sesji usług pulpitu zdalnego, które mają być zastąpione. Ponadto, wraz z nowym sprzętem ma zostać wdrożona nowa wersja aplikacji biznesowych wykorzystywanych przez te działy. Podsumowanie zagadnienia Rolę Windows Deployment Services można zainstalować jedynie na pełnej wersji (GUI) systemu Windows Server. Wersja Windows Server Core nie zapewnia wsparcia dla tej roli. Przed zainstalowaniem i skonfigurowaniem roli Windows Deployment Services należy się upewnić, że nasza infrastruktura sieciowa jest gotowa i dostępna. WDS

28 14 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi wymaga obecności DNS i DHCP. Jeśli usługa WDS jest zintegrowana z usługą Active Directory, wymagany jest również serwer AD DS. Podczas instalacji roli Windows Deployment Services z wykorzystaniem polecenia cmdlet Install-WindowsFeature należy przekazać parametr -IncludeManagementTools. Po zainstalowaniu roli Windows Deployment Services niezbędna jest wstępna konfiguracja roli. Obejmuje ona ustawienie lokalizacji magazynu obrazów WDS. Magazyn obrazów musi się znajdować na woluminie NTFS i jest zwykle instalowany na woluminie innym niż systemowy. Serwer WDS korzysta z czterech różnych typów obrazów. Są to obrazy rozruchowe, instalacyjne, przechwytywania oraz odnajdowania. Obrazy przechwytywania są wykorzystywane do przechwycenia niestandardowych obrazów instalacyjnych z komputera będącego szablonem. Obrazy odnajdowania służą do wdrażania z wykorzystaniem fizycznego nośnika zamiast rozruchu środowiska PXE. Aby zaktualizować obrazy, należy skorzystać z modułu Dism powłoki Windows PowerShell. W tym celu należy zainstalować obraz w trybie offline w lokalnym systemie plików, w trybie odczytu i zapisu. Następnie należy użyć poleceń cmdlet Add- WindowsPackage lub Enable-WindowsOptionalFeature, aby zaktualizować obraz. Zanim skorzystamy z uaktualnionego obrazu, musimy zatwierdzić zmiany i odinstalować obraz. Aby utworzyć grupy sterowników WDS lub zmienić właściwości istniejących grup sterowników, musimy skorzystać z konsoli Windows Deployment Service,. Do zarządzania sterownikami i pakietami sterowników w istniejących grupach sterowników WDS możemy wykorzystać polecenia cmdlet WDS. Pytania kontrolne Aby sprawdzić swoją wiedzę dotyczącą informacji zawartych w tym zagadnieniu, odpowiedz na poniższe pytania. Odpowiedzi na nie, wraz z wyjaśnieniem, dlaczego dana odpowiedź jest poprawna lub niepoprawna, można znaleźć w dziale Odpowiedzi na końcu tego rozdziału. 1. Które z poniższych wymagań musi być spełnione, aby można było zainstalować rolę Windows Deployment Services w systemie Windows Server 2012 R2? (Zaznacz wszystkie prawidłowe odpowiedzi). A. Aktywny serwer DHCP B. Działający i dostępny serwer DNS C. Lokalny wolumin z systemem plików Resilient File System (ReFS) D. Serwer AD DS

29 Zagadnienie 1.1: Wdrażanie i utrzymanie obrazów serwerów Które rodzaje obrazów są wymagane do utworzenia niestandardowego obrazu na podstawie komputera będącego szablonem? (Zaznacz wszystkie prawidłowe odpowiedzi). A. Obrazy rozruchowe B. Obrazy instalacyjne C. Obrazy przechwytywania D. Obrazy odnajdowania 3. Które polecenie cmdlet powłoki Windows PowerShell służy do aktualizowania nowym sterownikiem pliku rozruchu w trybie offline? A. Import-WdsBootImage B. Import-WdsDriverPackage C. Set-WdsBootImage D. Add-WdsDriverPackage

30 16 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Zagadnienie 1.2: Implementowanie zarządzania poprawkami Centralizacja zarządzania poprawkami to ważna funkcja serwera, której zarazem nie można całkowicie przeprowadzić z poziomu powłoki Windows PowerShell. W celu pełnego zarządzania aktualizacjami naszej sieci potrzebujemy całego zestawu narzędzi. Główną technologią wdrażania aktualizacji są usługi Windows Server Update Services (WSUS). Niniejsze zagadnienie obejmuje następującą tematykę: Instalowanie i konfigurowanie roli Windows Server Update Services Konfigurowanie obiektów zasad grupy (Group Policy Objects, GPO) na potrzeby aktualizacji Konfigurowanie grup WSUS Konfigurowanie synchronizacji WSUS Konfigurowanie docelowej strony klienta Zarządzanie poprawkami w mieszanych środowiskach Instalowanie i konfigurowanie roli Windows Server Update Services Rolę Windows Server Update Services oraz wspierające ją usługi można zainstalować i skonfigurować korzystając z konsoli Server Manager, wiersza poleceń lub kombinacji obydwu. Jeśli wybierzemy wiersz poleceń, powinniśmy przeprowadzić konfigurację z wykorzystaniem powłoki Windows PowerShell oraz narzędzia Wsusutil.exe. Rola Windows Server Update Services jest wspierana przez wersję systemu Windows Server Core. Instalowanie i konfigurowanie z wykorzystaniem interfejsu graficznego Windows Server Manager to graficzny interfejs służący do instalowania i konfigurowania roli Windows Server Update Services na serwerze. Do zainstalowania roli Windows Server Update Services skorzystamy z kreatora Add Roles And Features Wizard i opcji Role-based Or Feature-based. Server Manager może zostać wykorzystany do umieszczenia ról i funkcji na wirtualnych dyskach twardych lub do zarządzania wieloma serwerami z poziomu pojedynczej konsoli. Po zainstalowaniu roli Windows Server Update Services z wykorzystaniem konsoli Server Manager, na ekranie pojawi się okno dialogowe z propozycją automatycznego zainstalowania niezbędnych narzędzi do zarządzania oraz innych niezbędnych funkcji i ról (patrz rysunek 1-5).

31 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 17 RYSUNEK 1-5 Strona Add Features That Are Required For Windows Server Update Services (Czy dodać funkcje wymagane przez funkcję Windows Server Update Services) Domyślnie, po zainstalowaniu WSUS, jako repozytorium będzie wykorzystywana baza Windows Internal Database (WID). Zamiast tego możemy skorzystać z repozytorium w postaci serwera SQL Server. W tym celu należy na stronie Select Role Services kreatora Add Roles And Features Wizard zaznaczyć opcję Database zamiast opcji WID Database. Na tym samym serwerze nie można jednak zainstalować obydwu. Jeśli zamierzamy w jednym miejscu zainstalować pojedynczy serwer WSUS, ustawienia domyślne są zazwyczaj dobrym wyborem. Jeśli jednak potrzebna jest nam współdzielona baza dla kilku serwerów WSUS, potrzebujemy dostępu do bazy poprzez zapytania SQL lub mamy już gotową infrastrukturę SQL Server, powinniśmy wybrać bazę SQL Server. Zawartość WSUS można przechowywać w usłudze Windows Update, zmniejszając zużycie zasobów dysku. Można ją również przechowywać na lokalnie dostępnym woluminie lub udziale, co pozwala zmniejszyć zużycie sieci rozległej (WAN) i przyspieszyć dostęp. Domyślnie wykorzystywane jest lokalnie dostępne miejsce. Lokalizacja ta musi być woluminem sformatowanym w systemie NTFS i musi mieć co najmniej 6 GB wolnej przestrzeni dyskowej (a w większości sieci o wiele więcej). Po zakończeniu instalacji roli Windows Server Update Services, w konsoli Server Manager pojawi się węzeł WSUS. Po kliknięciu żółtego paska z napisem Configuration Required For Windows Server Update Services (Wymagana jest konfiguracja dla Windows Server Update Services) w panelu Servers (Serwery) (patrz rysunek 1-6) konfiguracja zostanie ukończona z uwzględnieniem opcji ustawionych w kreatorze Add Roles And Features Wizard.

32 18 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi RYSUNEK 1-6 Strona WSUS w konsoli Server Manager Instalowanie i konfigurowanie z wykorzystaniem wiersza poleceń WSUS można zainstalować z wykorzystaniem powłoki Windows PowerShell. Podstawowe polecenie wygląda następująco: Install-WindowsFeature -Name UpdateServices -IncludeManagementTools Polecenie to zainstaluje WSUS w domyślnej konfiguracji, z wykorzystaniem bazy danych WID. Aby zainstalować rolę WSUS skonfigurowaną do korzystania z bazy danych SQL Server, należy skorzystać z następującego polecenia: Install-WindowsFeature -Name UpdateServices,UpdateServices-DB -IncludeManagementTools WSKAZÓWKA EGZAMINACYJNA Mogłoby się wydawać, że polecenie służące do instalacji roli Windows Server Update Services powinno zawierać parametr IncludeAllSubFeatures, jednak jego wykonanie się nie powiedzie. Na potrzeby WSUS nie można jednocześnie zainstalować zarówno bazy danych WID, jak i SQL Server. To bardzo łatwy do przeoczenia konflikt, który może nas kosztować niewłaściwą odpowiedź na egzaminie. Powłoka Windows PowerShell nie pozwala na wykonanie pewnych zadań konfiguracji i zarządzania WSUS; do wykonania niektórych zadań konfiguracyjnych z poziomu wiersza poleceń musimy też skorzystać z narzędzia Wsusutil.exe.

33 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 19 Konfiguracja poinstalacyjna Instalowanie roli Windows Server Update Services oraz wspierających ją usług i funkcji to tylko pierwszy krok na drodze do skonfigurowania działającego serwera WSUS. Konieczne będzie wykonanie także pewnych zadań poinstalacyjnych, które możemy wykonać z poziomu konsoli Server Manager, jak i z wykorzystaniem wiersza poleceń. Aby skonfigurować WSUS do korzystania z bazy WID oraz do przechowywania zawartości w folderze D:\WSUS, należy wykonać następujące polecenia w wierszu poleceń z podniesionymi uprawnieniami: cd "C:\Program Files\Update Services\Tools".\wsusutil postinstall content_dir=d:\wsus Aby skonfigurować WSUS do pracy z instancją SQL Server zainstalowaną na lokalnym serwerze z uaktualnionymi plikami przechowywanymi w folderze D:\WSUS, powinniśmy wykonać następujące polecenia: cd "C:\Program Files\Update Services\Tools".\wsusutil postinstall SQL_INSTANCE_NAME=localhost content_dir=d:\wsus WSKAZÓWKA EGZAMINACYJNA Potencjalny scenariusz pytania egzaminacyjnego może wyglądać następująco: Instalujesz rolę Windows Server Update Services wraz z bazą SQL. Jednak po udanym wykonaniu polecenia zauważyłeś, że baza danych nie została utworzona. Co należy zrobić w dalszej kolejności? Odpowiedź brzmi: Należy uruchomić narzędzie wsusutil.exe i wskazać serwer SQL oraz jego instancję. Aby skonfigurować lokalizację, z której WSUS synchronizuje aktualizacje, należy użyć polecenia cmdlet Set-WsusServerSynchronization. Aby skonfigurować lokalny serwer WSUS do synchronizacji z usługą Microsoft Update, należy wykonać polecenie: Set-WsusServerSynchronization -SyncFromMU Możemy też skonfigurować usługę WSUS do synchronizacji z nadrzędnym serwerem WSUS. Możemy określić nazwę serwera, numer portu, zdecydować, czy korzystać z SSL, oraz czy serwer WSUS jest repliką. Aby skonfigurować lokalny serwer WSUS do synchronizacji z serwerem nadrzędnym o nazwie SRV2 poprzez port 8530, należy wykonać polecenie: Set-WsusServerSynchronization -UssServerName SRV2 -PortNumber 8530 Do zarządzania zdalnymi serwerami WSUS możemy wykorzystać polecenia cmdlet WSUS. Skorzystajmy z polecenia cmdlet Get-WsusServer do wygenerowania obiektu IupdateServer, a następnie przekażmy ten obiekt do polecenia Set-WsusServer- Synchronization, wykonując następujące polecenie: Get-WsusServer -Name SRV2 -PortNumber 8530 Set-WsusServerSynchronization -SyncFromMU

34 20 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Powłoka Windows PowerShell może posłużyć do akceptowania lub odrzucania aktualizacji oraz do zarządzania synchronizacją klasyfikacji i produktów. Aby zaakceptować pojedynczą aktualizację, należy wykonać następujące polecenie: Get-WsusUpdate -UpdateID <GUID> ` Approve-WsusUpdate -Action Install -TargetGroupName "All Computers" Poniższe polecenia pozwalają pobrać wszystkie niezbędne aktualizacje zabezpieczeń, które się nie powiodły lub nie zostały zaakceptowane, a następnie zlecić ich instalację w grupie Servers : Get-WsusUpdate -Classification Security -Status FailedorNeeded ` Approve-WsusUpdate -Action Install -TargetGroupName "Servers" DODATKOWE INFORMACJE Referencje wiersza poleceń Więcej informacji na temat poleceń cmdlet WSUS w systemie Windows Server 2012 R2 można znaleźć na stronie Aby uzyskać pomoc dotyczącą korzystania z narzędzia Wsusutil.exe, należy wpisać Wsusutil.exe /?. Konfigurowanie obiektów zasad grupy (Group Policy Objects, GPO) na potrzeby aktualizacji Aby wdrożyć standardy organizacyjne dotyczące stosowania aktualizacji Windows Updates, możemy skonfigurować obiekty GPO, korzystając z okna dialogowego Group Policy Management Editor (Edytor zarządzania zasadami grupy), widocznego na rysunku 1-7. RYSUNEK 1-7 Okno dialogowe Group Policy Management Editor

35 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 21 Ustawienia GPO usługi WSUS pozwalają wymusić korzystanie z podanej lokalizacji do pobierania aktualizacji przez komputery klienckie podłączone do domeny, określić, które aktualizacje będą instalowane automatycznie, zdecydować, czy aktualizacje wymagające ponownego uruchomienia będą automatycznie wywoływać ponowne uruchomienie, itd. Dostępne ustawienia WSUS przedstawione są w tabeli 1-1. TABELA 1-1 Ustawienia GPO usługi WSUS Ustawienie Do not display Install Updates and Shut Down option in Shut Down Windows dialog box (Nie wyświetlaj opcji Zainstaluj aktualizacje i zamknij system w oknie dialogowym Zamykanie systemu Windows) Do not adjust default option to Install Updates and Shut Down in Shut Down Windows dialog box (Nie ustawiaj opcji domyślnej na Zainstaluj aktualizacje i zamknij system w oknie dialogowym Zamykanie systemu Windows) Enabling Windows Update Power Management to automatically wake up the system to install scheduled updates (Włączanie Opcji zasilania, aby funkcja Windows Update automatycznie wznawiała system w celu zainstalowania zaplanowanych aktualizacji) Always automatically restart at the scheduled time (Zawsze automatycznie ponownie uruchamiaj w zaplanowanym czasie) Configure Automatic Updates (Konfigurowanie aktualizacji automatycznych) Specify intranet Microsoft update service location (Określ lokalizację intranetowej usługi aktualizującej firmy Microsoft) Automatic Updates detection frequency (Częstotliwość wykrywania aktualizacji automatycznych) Do not connect to any Windows Update Internet locations (Nie nawiązuj połączenia z żadną lokalizacją internetową usługi Windows Update) Allow nonadministrators to receive update notifications (Zezwalaj, aby użytkownicy inni niż administratorzy otrzymywali powiadomienia aktualizacji) Dotyczy wersji Windows 7, Windows Server 2008 R2, Windows Vista, Windows XP Service Pack 2 (SP2) Windows 7, Windows Server 2008 R2, Windows Vista, Windows XP SP2 Windows Server 2008, Windows 7, Windows Vista Co najmniej Windows Server 2012, Windows 8 lub Windows RT Windows XP SP1 lub co najmniej Windows 2000 SP3 Co najmniej Windows XP SP1 lub Windows 2000 SP3. Z wyłączeniem Windows RT Co najmniej Windows XP SP1 lub Windows 2000 SP3, z wyłączeniem Windows RT Co najmniej Windows Server 2012 R2, Windows 8.1 lub Windows RT 8.1 Windows XP SP1 lub co najmniej Windows 2000 SP3

36 22 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi TABELA 1-1 Ustawienia GPO usługi WSUS Ustawienie Turn on Software Notifications (Włącz powiadomienia o oprogramowaniu) Allow Automatic Updates immediate installation (Zezwalaj na natychmiastową instalację aktualizacji automatycznych) Turn on recommended updates via Automatic Updates (Włącz zalecane aktualizacje za pomocą aktualizacji automatycznych) No auto-restart with logged-on users for scheduled automatic updates installations (Bez automatycznego uruchamiania ponownego dla zaplanowanych instalacji aktualizacji automatycznych przy zalogowanych użytkownikach) Re-prompt for restart with scheduled installations (Ponów monit o ponowne uruchomienie komputera z zaplanowanymi instalacjami) Delay Restart for scheduled installations (Opóźniaj ponowne uruchomienie komputera dla zaplanowanych instalacji) Reschedule Automatic Updates scheduled installations (Zaplanuj ponownie zaplanowane instalacje aktualizacji automatycznych) Enable client-side targeting (Włącz konfigurowanie docelowej strony klienta) Allow signed updates from an intranet Microsoft service location (Zezwalaj na podpisane aktualizacje z intranetowej lokalizacji usługi aktualizacji firmy Microsoft) Dotyczy wersji Windows Server 2008, Windows 7, Windows Vista Co najmniej Windows XP SP1 lub Windows 2000 SP3, z wyłączeniem Windows RT Co najmniej Windows Vista Windows XP SP1 lub co najmniej Windows 2000 SP3 Windows 7, Windows Server 2008 R2, Windows Vista, Windows Server 2003, Windows XP SP2, Windows XP SP1, Windows 2000 SP4, Windows 2000 SP3 Windows 7, Windows Server 2008 R2, Windows Vista, Windows Server 2003, Windows XP SP2, Windows XP SP1, Windows 2000 SP4, Windows 2000 SP3 Windows 7, Windows Server 2008 R2, Windows Vista, Windows Server 2003, Windows XP SP2, Windows XP SP1, Windows 2000 SP4, Windows 2000 SP3 Co najmniej Windows XP Professional SP 1 lub Windows 2000 SP 3, wyłączając Windows RT Co najmniej system operacyjny Windows Server 2003 lub Windows XP Professional z dodatkiem SP1, wyłączając Windows RT

37 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 23 WSKAZÓWKA EGZAMINACYJNA Autorzy pytań egzaminacyjnych uwielbiają pisać pytania dotyczące obiektów GPO, ponieważ w tym przypadku można z łatwością odwrócić uwagę egzaminowanego (w postaci niewłaściwych odpowiedzi). Należy się skupić na wzajemnych relacjach obiektów GPO oraz konkretnych wersjach systemu Windows, na których można stosować obiekty GPO. Konfigurowanie grup WSUS Po ukończeniu wstępnej konfiguracji WSUS możemy utworzyć grupy WSUS, aby uzyskać możliwość kontrolowania, które zasady aktualizacji zostaną zastosowane na określonym komputerze. W tym celu należy utworzyć grupy w konsoli Windows Server Update Services, zaznaczając opcję All Computers w panelu z lewej strony, a następnie klikając opcję Add Computer Group (Dodaj grupę komputerów) w sekcji Actions (Akcje) (patrz rysunek 1-8). RYSUNEK 1-8 Okno dialogowe Add Computer Group Komputery można dodać do istniejącej grupy korzystając z konsoli Update Services lub z polecenia cmdlet Add-WsusComputer. Konfigurowanie docelowej strony klienta Typowy serwer WSUS korzysta z konfigurowania docelowej strony serwera za pomocą komputerów przydzielonych do grup WSUS na serwerze. Nowe komputery

38 24 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi są automatycznie przydzielane do grupy Unassigned Computers i pozostają w niej do chwili przydzielenia do grupy. Proces ten sprawdza się w przypadku średniej wielkości organizacji, jednak nie można go dobrze wyskalować w większych organizacjach. WSUS można skonfigurować tak, aby przydzielanie komputerów do grup WSUS odbywało się z wykorzystaniem zasad Group Policy. W tym celu należy włączyć konfigurowanie docelowej strony klienta. Konfi gurowanie docelowej strony klienta można włączyć, wybierając opcję Computers (Komputery) w sekcji Options (Opcje) konsoli Windows Server Update Services i zaznaczając opcję Use Group Policy Or Registry Settings On Computers (Użyj zasad grupy lub ustawień rejestru na komputerach), jak na rysunku 1-9. RYSUNEK 1-9 Okno dialogowe Computers w konsoli Update Services Jeśli już wcześniej przydzieliliśmy komputery do grup WSUS, wybór ten spowoduje usunięcie poprzednich ustawień. Gdy GPO skonfiguruje komputery klienta przydzielając je do grupy, grupy komputerów WSUS zostaną ponownie wypełnione na podstawie ustawień GPO. Możemy to także ustawić ręcznie, dodając wpisy w rejestrze dla dowolnych komputerów niepodłączonych do domeny, których aktualizacjami chcemy zarządzać. W tym celu należy ustawić wartości dla następujących kluczy rejestru w podkluczu HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\ CurrentVersionWindowsUpdate: ElevateNonAdmins Wartość 1 oznacza, że osoby niebędące administratorami mogą zatwierdzić lub odrzucić aktualizacje. Wartość 0 oznacza, że jedynie administratorzy mogą zatwierdzić lub odrzucić aktualizacje. TargetGroup Nazwa grupy komputera WSUS, której należy użyć, gdy włączone jest konfigurowanie docelowej strony klienta.

39 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 25 TargetGroupEnabled Wartość 1 oznacza, że włączone jest konfigurowanie docelowej strony klienta; wartość 0 oznacza, że jest wyłączone. WUServer URL serwera WSUS używanego przez usługę Automatic Updates. WUStatusServer URL serwera WSUS, do którego należy przesyłać raporty. Zarówno WUServer, jak i WUStatusServer muszą mieć tę samą wartość. Aby skonfigurować zasadę Group Policy do działania z konfigurowaniem docelowej strony klienta, należy zmodyfikować obiekty GPO dla naszej domeny. W tym celu możemy utworzyć ogólny obiekt GPO, podłączony na poziomie domeny, który włączy usługę Automatic Updates; następnie ustawi lokalizację serwera WSUS i dodatkowe obiekty GPO, które przydzielą komputery do określonych grup WSUS na podstawie ich jednostki organizacyjnej (OU) lub innych kryteriów. Aby włączyć usługę Automatic Updates i ustawić lokalizację serwera WSUS, należy zmodyfikować dwa ustawienia zasad: Configure Automatic Updates (Konfigurowanie aktualizacji automatycznych) Specify Intranet Microsoft Update Service Location (Określ lokalizację intranetowej usługi aktualizującej firmy Microsoft) Ustawienie Configure Automatic Updates może posłużyć do powiadamiania, pobrania i powiadamiania, automatycznego pobrania i zainstalowania lub do zezwolenia lokalnemu administratorowi na kontrolę ustawień. Ustawienie Specify Intranet Microsoft Update Service Location wymaga podania nazwy serwera oraz portu, w celu wykrywania aktualizacji, oraz serwera statystyk aktualizacji (patrz rysunek 1-10). RYSUNEK 1-10 Okno dialogowe do edycji zasad grupy Specify Intranet Microsoft Update Service Location

40 26 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi Aby podać określone grupy WSUS, które są w użyciu, należy zmodyfikować ustawienie Enable Client-Side Targeting (Włącz konfigurowanie docelowej strony klienta). Po rozpropagowaniu obiektów GPO oraz po połączeniu się klientów w celu sprawdzenia aktualizacji, grupy w konsoli Windows Server Update Services zostaną ponownie wypełnione i będą wyświetlać komputery przydzielone do grup WSUS przez Group Policy. Eksperyment myślowy Ustawianie nowych usług wdrażania i aktualizacji W tym eksperymencie myślowym zastosujesz wiedzę pozyskaną na temat tego zagadnienia. Odpowiedzi do poniższych pytań można znaleźć w dziale Odpowiedzi na końcu tego rozdziału. Jesteś administratorem sieci w firmie TreyResearch.net. Trey Research zajęła nowy budynek i zatrudnia nowych pracowników. Zostałeś poproszony o przygotowanie nowego wdrożenia i usług aktualizacji dla nowego budynku, który będzie przydzielony do oddzielnej poddomeny i podsieci. Aktualizacje będą zsynchronizowane z istniejącym serwerem WSUS firmy. Zasady firmy określają minimalną liczbę fizycznych serwerów oraz minimalne zużycie zasobów na aktualizacje zabezpieczeń i poprawek na serwerach w sieci, zapobiegając instalacji niepotrzebnych ról i funkcji. Mając na uwadze te wymagania, odpowiedz na następujące pytania: 1. Czy można zainstalować serwery poprawek i wdrażania na tym samym serwerze fizycznym, minimalizując jednocześnie nakłady na zabezpieczenia? 2. Jaka jest wymagana minimalna liczba serwerów fizycznych? 3. Jakie zwirtualizowane serwery można zgrupować, spełniając jednocześnie te wymagania? Podsumowanie zagadnienia Rolę Windows Server Update Services można zainstalować zarówno w pełnej wersji systemu Windows Server, jak i w wersji Windows Server Core. WSUS wspiera zarówno bazę danych WID, jak i SQL Server, jednak podczas instalacji musimy wybrać jedną z nich. Podczas instalowania roli Windows Deployment Services nie można skorzystać z parametru -InstallAllSubFeatures polecenia cmdlet Install-WindowsFeature, ponieważ nie można zainstalować jednocześnie obydwu rodzajów baz danych.

41 Zagadnienie 1.2: Implementowanie zarządzania poprawkami 27 Zadania poinstalacyjne, wykonywane zwykle przez kreator Server Manager Add Roles And Features Wizard, można wykonać z poziomu wiersza poleceń, korzystając z narzędzia wsusutil.exe i powłoki Windows PowerShell. Zarządzanie zdalnymi serwerami WSUS z poziomu powłoki Windows PowerShell polega na użyciu polecenia cmdlet Get-WsusServer do wygenerowania obiektu IUpdateServer. Możemy skorzystać z konsoli Group Policy Management (gpmc.msc) oraz edytora Group Policy Management Editor (gpedit.msc) do utworzenia i edycji obiektów GPO, które kontrolują sposób wykorzystania WSUS w naszej organizacji. Możemy skorzystać z grup WSUS do zgrupowania komputerów klienckich, na których należy zastosować te same aktualizacje. Grupy WSUS można utworzyć jedynie w konsoli Windows Server Update Services (wsus.msc). Domyślna konfiguracja instalacji WSUS kontroluje po stronie serwera, które komputery znajdują się w określonej grupie WSUS. To domyślne ustawienie wymaga jawnego przydzielenia każdego komputera do określonej grupy WSUS. Możemy zmodyfikować rolę WSUS, aby korzystała z konfigurowania docelowej strony klienta. W tym przypadku komputery klienckie będą się same przydzielać do grup WSUS na podstawie ustawień obiektu GPO lub indywidualnych wpisów w rejestrze. Pytania kontrolne Aby sprawdzić swoją wiedzę dotyczącą informacji zawartych w tym zagadnieniu, odpowiedz na poniższe pytania. Odpowiedzi na nie, wraz z wyjaśnieniem, dlaczego dana odpowiedź jest poprawna lub niepoprawna, można znaleźć w dziale Odpowiedzi na końcu tego rozdziału. 1. Które polecenie powłoki Windows PowerShell zainstaluje rolę Windows Server Update Services i wspierane funkcje, tak aby rola korzystała z bazy danych WID? A. Install-WindowsFeature -Name UpdateServices -IncludeAllSubFeatures B. Install-WindowsFeature -Name UpdateServices -IncludeAllSubFeatures -IncludeManagementTools C. Install-WindowsFeature -Name UpdateServices -IncludeManagementTools D. Install-WindowsFeature -Name UpdateServices,UpdateServices-DB -IncludeManagementTools 2. Które obiekty GPO są wymagane do przydzielania komputerów do grup WSUS? (Zaznacz wszystkie prawidłowe odpowiedzi). A. Configure Automatic Updates (Konfigurowanie aktualizacji automatycznych) B. Specify intranet Microsoft update service location (Określ lokalizację intranetowej usługi aktualizującej firmy Microsoft)

42 28 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi C. Turn on recommended updates via Automatic Updates (Włącz zalecane aktualizacje za pomocą aktualizacji automatycznych) D. Enable client-side targeting (Włącz konfigurowanie docelowej strony klienta) 3. Które polecenia poinstalacyjne są niezbędne do skonfigurowania roli WSUS, tak aby łączyła się z bazą danych SQL Server? (Zaznacz wszystkie prawidłowe odpowiedzi) A. wsusutil postinstall content_dir=d:\wsus B. wsusutil postinstall SQL_INSTANCE_NAME=localhost content_dir=d:\wsus C. Set-WsusServerSynchronization -SyncFromMU D. Invoke-WsusServerCleanup

43 Zagadnienie 1.3: Monitorowanie serwerów 29 Zagadnienie 1.3: Monitorowanie serwerów Ważnym aspektem zarządzania i utrzymania serwerów jest monitorowanie awarii, alertów i zdarzeń; a także wydajności i wąskich gardeł. Niniejsze zagadnienie obejmuje następującą tematykę: Konfigurowanie zestawów Data Collector Sets (DCS) Konfigurowanie alertów Planowanie monitorowania wydajności Monitorowanie wydajności w czasie rzeczywistym Monitorowanie maszyn wirtualnych (VM) Monitorowanie zdarzeń Konfigurowanie subskrypcji zdarzeń Konfigurowanie monitoringu sieci Konfigurowanie zestawów Data Collector Sets Zestaw Data Collector Set (DCS) jest podstawą tworzenia monitoringu i procedur raportowania wydajności, które będą dopasowane do naszego środowiska i do naszych potrzeb. DCS organizuje wiele punktów danych z konsoli Windows Performance Monitor (Monitor wydajności systemu Windows) w pojedynczą kolekcję. DCS można utworzyć korzystając z aktywnego widoku Windows Performance Monitor, na podstawie szablonu, dodając ręcznie niestandardową kombinację dzienników danych, lub konfigurując alerty licznika wydajności w celu monitorowania liczników wydajności. Tworzenie DCS z wykorzystaniem konsoli Performance Monitor Aby utworzyć DCS korzystając z widoku Windows Performance Monitor, należy najpierw utworzyć widok poprzez dodanie liczników do widoku Performance Monitor, który chcemy włączyć do DCS. Kliknij prawym przyciskiem Performance Monitor; następnie wybierz opcję New (Nowy), Data Collection Set (Zestaw modułów zbierających dane) (patrz rysunek 1-11). Nowe zestawy DCS są wyświetlane w sekcji User Defined (Zdefiniowany przez użytkownika) konsoli Performance Monitor. Właściwości DCS można modyfikować, dodając harmonogram, zmieniając szczegóły magazynowania, konfigurując warunki uruchamiania i ponownego uruchamiania. Można także dodawać zadania, które będą uruchamiane po zakończeniu działania DCS.

44 30 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi RYSUNEK 1-11 Tworzenie DCS z poziomu istniejącego widoku Performance Monitor Tworzenie DCS z wykorzystaniem szablonu DCS można utworzyć korzystając z szablonu. Dostępne są cztery domyślne szablony. Mamy też możliwość przeglądania dysku i otwierania dodatkowych szablonów, o ile takowe posiadamy. Domyślne szablony są następujące: Basic (Podstawowy) Tworzy pusty zestaw DCS, do którego można zacząć dodawać liczniki. System Diagnostics (Diagnostyka systemu) Tworzy raport dotyczący zasobów sprzętowych, czasów odpowiedzi i procesów. Raport zawiera dane konfiguracyjne i wskazówki dotyczące zwiększenia wydajności. System Performance (Wydajność systemu) Generuje raport dotyczący zasobów sprzętowych, czasu odpowiedzi i procesów. WDAC Diagnostics Dostarcza szczegółowych informacji na temat debugowania składnika dostępu do danych systemu Windows (Windows Data Access Components, DAC). Po utworzeniu DCS możemy nadal modyfikować jego właściwości, w opisany wcześniej sposób. Dowolny zestaw DSC zdefiniowany przez użytkownika można zapisać w postaci szablonu, który można w przyszłości wykorzystać jako podstawę do tworzenia DCS.

45 Zagadnienie 1.3: Monitorowanie serwerów 31 Ręczne tworzenie DCS Zamiast zaczynać od szablonu, możemy utworzyć DCS ręcznie. Gdy tworzymy DCS ręcznie, mamy do wyboru dwa typy danych: Dzienniki danych, które zawierają kombinację następujących informacji: Liczniki wydajności, które obejmują dowolny zestaw liczników wydajności Dane śledzenia zdarzeń, obejmujące dowolny zestaw zdarzeń systemowych lub aplikacji Informacje o konfiguracji systemu, zawierające wartość i zmiany w określonych kluczach rejestru Alerty licznika wydajności, które pozwalają na skonfigurowanie akcji, które należy podjąć, na podstawie wartości granicznych licznika wydajności Konfigurowanie alertów Alerty licznika wydajności pozwalają na wyzwalanie akcji i zdarzeń na podstawie wartości licznika wydajności. W tym celu wyznaczamy licznik lub liczniki, które chcemy dodać do DCS. Możemy określić zarówno dolną, jak i górną granicę, podając również jej wartość. Możemy też zmienić miejsce przechowywania danych przez DCS, określić akcję, którą należy wykonać po osiągnięciu wartości granicznej, oraz konta, na których działa DCS. W celu skonfigurowania alertów, utwórz ręcznie nowy zestaw DCS, wykonując kroki opisane w dziale Ręczne tworzenie DCS, a następnie wykonaj kroki opisane poniżej: 1. Wybierz opcję Performance Counter Alert (Alert licznika wydajności) na stronie What Type Of Data Do You Want To Include (Jakiego typu dane chcesz uwzględnić) w kreatorze Create new Data Collector Set (Utwórz nowy zestaw modułów zbierających dane). 2. Kliknij Next, a następnie kliknij Add, aby dodać jeden lub kilka liczników wydajności. W oknie dialogowym dodawania licznika wydajności, pokazanym na rysunku 1-12, wybierz jeden lub kilka liczników, które chcesz dodać, a następnie kliknij przycisk Add, aby przenieść je do pola Added Counters (Dodane liczniki). Po ukończeniu dodawania liczników kliknij OK. 3. Na stronie Which Performance Counters Would You Like To Monitor (Które liczniki wydajności chcesz monitorować) wybierz licznik, który dodałeś w oknie Alert When, a następnie wybierz Above (Powyżej) lub Below (Poniżej) z listy rozwijanej. 4. Wpisz limit dla licznika. 5. Powtórz krok 4. i 5. dla każdego dodanego licznika.

46 32 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi 6. Kliknij Next, a następnie podaj konto, na którym będzie działał zestaw DCS, a następnie wybierz opcję Open Properties For This Data Collector Set (Otwórz właściwości dla tego zestawu modułów zbierających dane). 7. Kliknij Finish, aby otworzyć właściwości DCS. 8. W oknie Properties (Właściwości) dla zestawu DCS ustaw harmonogram w sposób opisany w dziale Planowanie monitorowania wydajności", a następnie ustaw wszystkie dodatkowe niezbędne właściwości. RYSUNEK 1-12 Dodawanie liczników Planowanie monitorowania wydajności Począwszy od systemu w wersji Windows Server 2012, możemy sprecyzować, kiedy DCS będzie uruchamiany, co pozwala zaplanować regularny monitoring wydajności. Aby ustawić harmonogram działania DCS w postaci zaplanowanego zadania, musimy skonfigurować DCS. DCS można skonfigurować jako zaplanowane zadanie w trakcie tworzenia lub już po utworzeniu. W tym celu należy kliknąć DCS prawym przyciskiem i wybrać opcję Properties, aby otworzyć okno dialogowe Properties dla DCS. Kliknij zakładkę Schedule (Harmonogram), a następnie kliknij Add, aby dodać harmonogram dla DSC, jak pokazano na rysunku 1-13.

47 Zagadnienie 1.3: Monitorowanie serwerów 33 RYSUNEK 1-13 Okno dialogowe Folder Action (Akcja folderu) okna DCS Properties w konsoli Performance Monitor UWAGA Zarządzanie niezbędnymi uprawnieniami Aby zezwolić na działanie zaplanowanego DCS, musimy skonfigurować jego działanie jako użytkownik o uprawnieniach Log On As A Batch User. Uprawnienia te są przydzielone do członków grup Performance Log Users i Administrators. Można je również przydzielić do konkretnego konta z wykorzystaniem obiektu GPO. Monitorowanie wydajności w czasie rzeczywistym Istnieje możliwość monitorowania wydajności w czasie rzeczywistym poprzez użycie widoku Resource Monitor (Monitor zasobów) konsoli Windows Performance Monitor. Widok Resource Monitor można uruchomić korzystając ze skrótu w narzędziach administracyjnych i klikając łącze na stronie Overview Of Performance Monitor (Omówienie Monitora wydajności) w konsoli Windows Performance Monitor. Możemy również użyć polecenia perfmon /res z poziomu wiersza poleceń. Widok Resource Monitor wyświetla szczegółowe informacje dotyczące monitorowania w czasie rzeczywistym, użycia CPU, pamięci, dysku logicznego i fizycznego oraz obciążenia sieci. Widok ten pozwala zakończyć problematyczny proces lub całe drzewo problematycznego procesu. Możemy też wstrzymać proces (i wznowić wcześniej wstrzymane procesy). Gdy proces sprawia problemy, można zanalizować łańcuch

48 34 Rozdział 1: Wdrażanie i utrzymanie serwerów oraz zarządzanie nimi oczekiwania procesu, aby sprawdzić, czy rzeczywiście jest to problem i na co proces oczekuje, jak na rysunku RYSUNEK 1-14 Okno dialogowe Analyze Wait Chain (Analiza łańcucha oczekiwania) Monitorowanie maszyn wirtualnych Wszystkie hosty Hyper-V zawierają pule zasobów maszyn wirtualnych (VM), które dopasowują się do zasobów, jakie host udostępnia gościnnym maszynom wirtualnym. Pule te zawierają procesor, Ethernet, pamięć i wirtualny dysk twardy (VHD). Monitorując te pule zasobów możemy również monitorować zagregowane zużycie tych zasobów przez gościnne maszyny wirtualne. Można również utworzyć nowe pule zasobów, które będą dokonywać pomiarów podzestawów zasobów, takich jak wirtualne dyski twarde na konkretnym woluminie. Aby uzyskać listę puli zasobów, należy użyć polecenia cmdlet Get-VMResourcePool. Domyślny wynik dla hosta Hyper-V, który nie został jeszcze skonfigurowany, wygląda następująco: Name ResourcePoolType ParentName ResourceMeteringEnabled Primordial FibreChannelConnection False Primordial FibreChannelPort False Primordial VFD False Primordial ISO False Primordial VHD False Primordial Memory False Primordial Ethernet False Primordial Processor False Predefiniowane pule zasobów mają nazwę Primordial, co oznacza, że reprezentują zasoby całej maszyny hosta. Aby włączyć zasób, należy skorzystać z polecenia cmdlet