- Posted using BlogPress from my iPad
Location:ONE1
вторник, 24 июля 2012 г.
среда, 28 сентября 2011 г.
Waik и WDS
WDS
Маунтим образ к папке mount при помощи imagex или Dism.
Добавляем драйвер командой
Dism /image:\winpe\mount /add-driver:"PATH"
Path должен указывать "внутрь" фолдера с драйверами, содержащего файлы .inf и .sys.
Добавляем setup packages:
Winpe-setup.cab
Winpe-setup-client.cab
Создаем файл winpeshl.ini
Переносим с оригинального диска файл Lang.ini во избежание ошибки.
Для создания ISO-образа воспользуемся командой oscdimg---.
В случае срздания загрузочного USB диска этот этап пропускается.
Image win7 32-bit - определяет как клиентские, так и серверные системы. Возможно, серверные из-за своей новизны, а клиентские из-за 32-битовости. Хотя есть инфа, что серверные boot-images дают больше возможностей. Стоит попробовать образ Server 2008 не R2.
Проверить Anser File, создаваемый программой sysprep.
Vista boot image setup не реагирует на мышку, а 7 - таки да.
Итак, лучший boot-image - Win7 discovery!
Boot Setup 7 дал ошибку при работе с Vista install image, но, возможно проблема... OK, проблема таки в испорченном имидже, или же в том, что он не прошел sysprep.
Unattended file assigned from image properties is not work. Попробовать создать его из Vista при помощи Vista WAIK и не забыть применить его к Vista image из Vista boot image.
Стоит добавить domain user в файл wdsclientunattend.xml для успешного присоединения польз. к домену.
Во время установки можно открыть лог-файлы setupacc.txt и setuperr.txt из папки X:\Windows\Panther. Для этого нажимаем SHIFT+F10 и получаем cmd.
SHIFT+CTRL+F3 - включение режима oobe во время установки Windows. Делается при появлении запроса ввести user name и password.
Обновить WAIK до SP1.
Как создать и распространить XP image при помощи WDS.
Сначала захватываем образ XP (на виртуальной машине это заняло у меня 7 минут).
После внедрения образа в WDS и проверки его успешного распространения, делаем sysprep XP и захватываем образ снова.
Теперь он пригоден не только в качестве бэкапа определенного компьютера, его можно "сажать" на любое железо.
Команда захвата:
Imagex /capture C: c:\MyXpImages "XP_SP2_backup_virtual"
Imagex - команда, умеющая захватывать, маунтить и применять образы.
/capture - параметр, указывающий на необходимость захвата образа.
C: - имя захватываемого логического диска.
c:\MyXpImages - название файла образа, создаваемого после захвата.
"XP_SP2..." - вы удивитесь, но в одном файле могут существовать несколько образов и каждый со своим названием.
Deployment - вопросы
Как грамотно создать файл ответов для Vista/7?
Как присоединить файл ответов к имиджу?
Как можно использовать capture/discover/install images для создания загрузочного диска или ISO имиджа?
Как BOOT.WIM преобразуется в CD?
Сейчас:
Переписать образ XP
Присоединить его к WDS.
Поднять с него виртуальный компьютер (с какого имиджа будет загрузка).
Затем, при помощи виртуальной Vista с установленным WAIK 6, создать файл ответов и поднять с ним XP.
Разобраться в разных типах имиджей - capture, install и discover, провести опыты. Разобраться с gImageX.
По ощущению, discover и boot имиджи не отличаются. Boot исп для сетевой загрузки По идее discover используется для создания реального загрузочного CD в случаях, когда функция PXE не работает. Если вспомнить, WinPE не загружает setup или minisetup, а используется для ImageX.
Разобраться с SIM.
Что такое режим аудита?
Очень рекомендуется использовать BOOT.WIM от Server 2008 DVD, т.к. он дает возможность использовать полную функциональность WDS.
В дальнейшем нужно разобраться с добавлением драйверов и программ в имидж.
DISM - Deployment Image Servicing and Management tool
C:\winpe_x86>dism.exe /?
DISM.exe [dism_options] {WIM_command} []
DISM.exe {/Image: | /Online} [dism_options]
{servicing_command} []
DESCRIPTION:
DISM enumerates, installs, uninstalls, configures, and updates features
and packages in Windows images. The commands that are available depend
on the image being serviced and whether the image is offline or running.
IMAGE SPECIFICATIONS:
/Online - Targets the running operating system.
/Image - Specifies the path to the root directory of an
offline Windows image.
DISM OPTIONS:
/English - Displays command line output in English.
/Format - Specifies the report output format.
/WinDir - Specifies the path to the Windows directory.
/SysDriveDir - Specifies the path to the system-loader file named
BootMgr.
/LogPath - Specifies the logfile path.
/LogLevel - Specifies the output level shown in the log (1-4).
/NoRestart - Suppresses automatic reboots and reboot prompts.
/Quiet - Suppresses all output except for error messages.
/ScratchDir - Specifies the path to a scratch directory.
For more information about these DISM options and their arguments, specify an
option immediately before /?.
Examples:
DISM.exe /Mount-Wim /?
DISM.exe /ScratchDir /?
DISM.exe /Image:C:\test\offline /?
DISM.exe /Online /?
Создание загрузочного носителя
Copype x86 C:\WinPE_x86
Copy x:\xxx.wim C:\WinPE_x86\ISO\sources\boot.wim
(setup, capture, discovery).
Oscdimg -bc:\WinPE_x86\etfsboot.com C:\WinPE_x86\ISO C:\WinPE_x86\Image.iso
Эти команды можно ввести в batch-файл. Но при одном условии - запускать файл можно будет из "Deployment Tools Command Prompt" командой call. Например, если batch-файл называется MakeISO.bat, то команда его запуска будет выглядеть так: call MakeISO.bat.
Можно сделать экспорт разных WIM boot-образов в некоторую папку и затем массовое создание загрузочных ISO-файлов.
Создание WinPE.ISO,
создание файла ответов,
sysprep,
capture,
Изменения и добавки,
deploy (apply) image individually or with WDS включая файл ответов.
Я не нашел одной определенной статьи или учебника, которые бы кратко и понятно показали всю картину Windows Deployment, объяснили, какие шаги нужно сделать и для чего предназначена каждая утилита, а также пошагово и с иллюстрациями показали все этапы большого пути, учитывая всевозможные проблемы и подводные камни. Пришлось взяться за это самому, собрав информацию из разных источников и опробовав все на практике. Наш завет: правду, одну только правду и ничего, кроме правды.
Windows Deployment:
WDS - осуществляет реальный deployment.
WDS устанавливается на серверных системах Window Server 2008/R2.
WAIK - custom installation, image capturing and applying.
WAIK существует для операционных систем, начиная с Vista.
В случае, когда не нужно изменять оригинальный образ, можно воспользоваться готовыми .WIM образами с диска Vista или Win7 и распространять их при помощи WDS. Это довольно несложная операция.
Если же нужно создать образ определенной конфигурации с заранее установленными программами, то после инсталляции и настройки Windows нужно будет воспользоваться набором инструментов WAIK. WAIK умеет снимать образы с готовых систем и применять их к новым. Это аналогично тому, что делают программы Ghost, Acronis, Paragon. Основной инструмент, ответственный за снятие и применение образов - ImageX. Кроме того, при помощи WAIK можно создать файл ответов с различными настройками, например, с указанием Product Key. В дополнение к этому WAIK способен внедрять хот-фиксы, драйверы и программы в качестве пост-инсталляционных задач. Т.е., если нужно иметь компьютер с установленным Office, это можно сделать одним из двух способов: инсталлировать Office и затем снять образ или создать пост-инсталляционную задачу.
Не все, что было сказано в отношении образов, относится к WinXP, т.к. на оригинальном диске он существует не как образ, а в виде набора файлов. При желании сделать автоматизированный deployment XP, нужно его сначала проинсталлировать на компьютер, а затем захватить образ. Получившийся образ уже пригоден для централизованного распространения при помощи WDS.
На дисках Vista и Win7 кроме образа INSTALL.WIM существует образ BOOT.WIM, необходимый для загрузки инсталляционного окружения. Его можно использовать как для загрузки по сети, так и для создания загрузочного диска WindowsPE. В обоих случаях результат одинаков. Интересно, что на практике можно смешивать разные загрузочный и инсталляционный образы. Т.е., при помощи загрузочного образа Vista можно установить как Vista, так и Win7 или же наоборот.
WindowsPE используется тогда, когда сетевая карта компьютера не поддерживает стандарт PXE, необходимый для загрузки по сети.
Кроме того WindowsPE можно использовать для решения компьютерных проблем, в частности, когда компьютер не способен загрузиться самостоятельно.
Интересная возможность - подготовка к захвату образа при помощи виртуального компьютера. Во-первых экономится компьютер, во-вторых упрощается установка драйверов (integration services в Hyper-V), в-третьих перезагрузки проходят быстрее, в-четвертых все операции можно производить удаленно.
Единственное но, перед захватом образа с подготовленного компьютера нужно не забыть удалить Integration Services.
=Понятия=
WDS (Windows Deployment Services) - server role for deployment Windows WIM images.
WAIK (Windows Automated Installation Kit) - application for image modifying and creating answer files with Windows SIM
Windows SIM (Windows System Image Manager) - tool for creating answer file.
Answer file - file with answers for installation questions, for example - Product key.
Если возникает ошибка при попытке создания файла каталога, можно воспользоваться файлом с инсталляционного диска.
WinPE - bootable disk with ImageX and other tools.
ImageX - capture (create image), mount/unmount drives, commit and apply (restore image). It is main part of WAIK and run typically from WinPE.
Dism - Инструмент для работы с образом.
Capture image - загрузочный образ, модифицированный для загрузки утилиты захвата, вместо setup. Результат работы утилиты - install image, который можно добавить в WDS.
Discover image - загрузочный образ, использующийся для начала установки.
Sysprep - clear hardware dependinces and SID.
BDD (Business Desktop Deployment).
MDOP (Microsoft Desktop Optimisation Pack).
Если взять нетронутый образ с оригинального диска Windows Vista или 7 и вставить в WDS, то в результате мы получим обычную установку Windows с той лишь разницей, что она будет происходить по сети. Что это дает? Во-первых, не нужно вскрывать компьютер или подсоединенять к нему внешние жесткие диски и cd/dvd. Соответственно, не нужно заботиться об их наличии. Во-вторых, поскольку процесс уже налажен, легко будет в дальнейшем заменить оригинальные образы другими, предварительно сконфигурированными, с файлами ответов, драйверами, программами и т.д. Можно даже будет держать образы, не прошедшие sysprep и специфичные для определенных типов железа, возможно, с различным набором программ. Т.е., то для чего часто используют Ghost, Acronis, Paragon и т.д.
=Make WinPE=
1. Copy x86 C:\WinPE_x86
Copype amd64 C:\winpe_x64
2 . Copy "C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE.WIM C:\MyWinPE\ISO\sources\Boot.WIM
3. Copy "C:\Program Files\Windows AIK\Tools\x86\ImageX C:\MyWinPE\ISO\
4. ImageX /mountrw C:\c-drive.wim 1 C:\mounted-images\
dism /Mount-WIM /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:c:\winpe_x86\mount
5. oscdimg -n -bC:\MyWinPE\etfsboot.com C:\MyWinPE\ISO\ C:\MyWinPE.ISO
=Create answer file=
Это делается при помощи Windows SIM
=Syspreping OS=
For Vista/7
C:\Windows\System32\sysprep\sysprep.exe /oobe /generalize /unattend:sysprep.xml
(for Windows XP take sysprep from original CD, Deploy.cab file).
If after syspreping and rebooting you come with error "The system registry contains invali file paths." it's what you have to do:
1. Before syspreping export Mounted Devices key from a registry (HKLM\SYSTEM\MountedDevices) and don't close it!
2. Open a cmd prompt and run sysprep -oobe -generalize -quit
Seems that Sysprep delete this registry key. In my opinion this is a bug.
3. Then import to registry the saved Mounted Devices key.
4. Shutdown computer and Boot it with WinPE.
5. Capture disk image with ImageX (or Ghost).
=Capture image=
E:\ImageX /capture D: D:\MyImages.WIM "MyVista86image"
Будьте внимательны и дважды проверьте, какой логический диск вы захватываете и куда. Захват нужно осуществлять с логического диска, на котором находится программа ImageX.
Как вы, наверное, заметили целевым местом, на которое можно класть образ, может быть источник, то-есть тот логический диск, с которого образ снимается.
Бывает трудно понять, сколько логических дисков существует и какие у них буквы. Есть хороший совет, найденный на просторах Интернета. Если нужно узнать, какие логические диски существуют и какие у них буквы, можно открыть программу Notepad и использовать ее диалог Save as или Open вместо Windows Explorer.
=Mounting image=
ImageX /mountrw C:\c-drive.wim 1 C:\mounted-images\
dism /Mount-WIM /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:c:\winpe_x86\mount
=Make ISO=
=Apply (Deploy)=
ImageX /apply D:\MyImages.WIM 1 C:\
P.S.
Take in mind that WAIK-7 is not supporting WinXP, for working with XP you have to deal with WAIK-Vista.
P.S.2
If after syspreping and rebooting you come with error "The system registry contains invali file paths." it's what you have to do:
1. Before syspreping export Mounted Devices key from a registry (HKLM\SYSTEM\MountedDevices) and don't close it!
2. Open a cmd prompt and run sysprep -oobe -generalize -quit
Seems that Sysprep make deleting
3. Then import to registry the saved Mounted Devices key.
4. Shutdown computer and Boot it with WinPE.
5. Capture disk image with ImageX (or Ghost).
сделать Sysprep:
На висте: C:\windows\system32\sysprep\sysprep.exe /oobe /generalize /shutdown (/quit)
на XP: sysprep -mini -reseal
Далее делается capturing при помощи диска WindowsPE или Capture image по сети и ImageX, который в них содержится.
GUI для imagex = gImageX
При загрузке обычно нужно нажимать F12.
Если используется загрузочный образ Server 2008, то в меню выбора OS можно будет увидеть только серверные системы. Возможно дело том, что он 64-битовый, а не в том, что он серверный. Это нужно будет проверить.
Лучшая информация об Answer File была найдена в книге Майнази о Windows Server 2008 R2.
Для эксперимента была выбрана виртуальная машина с 1-м процессором, находящаяся на сервере Hyper-V. Намеренно был взят образ реального компьютера Lenovo с целью убедиться, что различная аппаратная платформа не приводит к проблемам.
== Creating PE3 Bootable USB device. ==
I’ve used Windows PE for a long time. And I’ve grown to love it. It’s an extremely useful tool, not just for OS installation, but for diagnostics.
Since there’s a version of WinPe for x64 & x86 (& itanium) I like to keep both x64 & x86 on my USB stick. Essentially copying the each version to the root of the USB stick as needed. Meaning at any one time I have three copies of WinPE on my USB stick. Other applications I copy directly to my USB stick, so that I don’t have to remount the image every time i need another application added.
Shortly after Windows 7 was released came a new version of WinPE, WinPE 3.0 on the Windows Automated Installation Kit.
Preparing the USB stick.
You’ll need to prepare the USB stick. To do this open a command prompt using Run As Administrator and use the following commands.
diskpart
list disk
select disk 1
clean
create partition primary
select partition 1
active
format quick fs=fat32
assign
exit
exit
Make sure you select the correct disk by adjusting the third command above.
Getting WinPE 3.0 Quickly
I’ve already done this so I’ve uploaded it to save you some time. The new Windows AIK is 1.75Gb my files are 170Mb & 146Mb for x64 & x86 respectively. I’ve detailed the packages I’ve used below.
Download WinPE 3 x86 Architecture [146Mb]
Download WinPE 3 x64 Architecture [170Mb]
Files are hosted with HotFile as I don’t have enough storage to host them myself.
Both x86 & x64 versions are available.
WMI, HTA & Scripting Packages
ImageX copied to the image (System32 folder).
Once you’ve downloaded the file above, you can either copy the contents of the version of WinPE you wish to use to the root of the USB stick.
Creating a WinPE 3 Image
To create your own customised WinPE 3 image, you can follow Microsoft’s instructions here. The page details all the packages you can install and how to install them. The commands I used for each version are below.
Remember to run the Deployment tools Command Prompt As Administrator.
32-Bit WinPE 3
copype.cmd x86 c:\winpe_x86
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
copy "C:\Program Files\Windows AIK\Tools\x86\imagex.exe" C:\winpe_x86\mount\Windows\System32\imagex.exe
Dism /unmount-Wim /MountDir:C:\winpe_x86\mount /Commit
64-Bit WinPE 3
copype.cmd amd64 c:\winpe_amd64
copy c:\winpe_amd64\winpe.wim c:\winpe_amd64\ISO\sources\boot.wim
Dism /Mount-Wim /WimFile:C:\winpe_amd64\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_amd64\mount
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-wmi.cab"
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-hta.cab"
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-scripting.cab"
copy "C:\Program Files\Windows AIK\Tools\amd64\imagex.exe" C:\winpe_amd64\mount\Windows\System32\imagex.exe
Dism /unmount-Wim /MountDir:C:\winpe_amd64\mount /Commit
Once you’ve followed all the instructions you can copy the contents of c:\\ISO\ to the root of the usb stick you are using.
6 comments:
Ryan said...
While your script uses DISM to install the language neutral packages, it fails to install the language specific packages. For example, on a 32-bit platform (for users in the US), you could find language specific packages in "C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us".
6 November 2009 09:47
www.daiowen.co.uk
== WinPE 3.0 ==
http://4sysops.com/archives/build-a-bootable-windows-pe-3-0-usb-drive-with-rescue-tools-part-1/
For Windows PE 1.0, the minimalist Windows based on Windows 2003/XP, you needed an SA (Software Assurance), OEM, or ISV license. When Windows Vista was released everyone had access to Windows PE 2.0. This also applies to the Windows 7-based edition, Windows PE 3.0. Windows PE (Preinstallation Environment) was originally designed to deploy Windows. However, it is also useful in creating your own customized rescue boot media. In this article, I will describe how you can create a bootable Windows PE 3.0 (WinPE) USB stick, and, in my next post, I will show how to add your own rescue tools and how to keep your rescue stick up-to-date without much hassle. You will see that the procedure described here is much more convenient than most solutions you’ll find on the web.
1. Create a bootable USB drive
Before you get started, you have to make your flash drive bootable. I have already described this procedure in my post about the Windows 7 USB/DVD Download Tool. For your convenience here is the command sequence, which you should run on a command prompt with admin rights:
diskpart list disk select disk # clean create partition primary select partition 1 active format quick fs=fat32 assign exit
Replace ‘#’ with the drive number of your USB drive. Be careful because this procedure will erase the whole drive!
2. Copy the WinPE 3.0 files to the USB drive
WinPE 3.0 is part of the Windows Automated Installation Kit (WAIK) for Windows 7, which you can download here. Once you have installed the WAIK, you’ll find a folder of the Windows AIK on the Windows Start Menu. Launch the Deployment Tools Command Prompt and enter this command:
copype.cmd x86 c:\winpe_x86
Then, copy winpe.wim to the correct folder:
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Now, copy WinPE to your USB drive:
xcopy C:\winpe_x86\iso\*.* /e G:\
In this example, ‘G:’ is the drive letter of your flash drive.
Now you should be able to boot from your WinPE 3.0 USB drive. In my next post, I will outline the interesting part—that is, how to prepare your USB drive so that you can add new tools without starting again from scratch.
WinPE 3.0
http://4sysops.com/archives/build-a-bootable-windows-pe-3-0-usb-drive-with-rescue-tools-part-1/
For Windows PE 1.0, the minimalist Windows based on Windows 2003/XP, you needed an SA (Software Assurance), OEM, or ISV license. When Windows Vista was released everyone had access to Windows PE 2.0. This also applies to the Windows 7-based edition, Windows PE 3.0. Windows PE (Preinstallation Environment) was originally designed to deploy Windows. However, it is also useful in creating your own customized rescue boot media. In this article, I will describe how you can create a bootable Windows PE 3.0 (WinPE) USB stick, and, in my next post, I will show how to add your own rescue tools and how to keep your rescue stick up-to-date without much hassle. You will see that the procedure described here is much more convenient than most solutions you’ll find on the web.
1. Create a bootable USB drive
Before you get started, you have to make your flash drive bootable. I have already described this procedure in my post about the Windows 7 USB/DVD Download Tool. For your convenience here is the command sequence, which you should run on a command prompt with admin rights:
diskpart list disk select disk # clean create partition primary select partition 1 active format quick fs=fat32 assign exit
Replace ‘#’ with the drive number of your USB drive. Be careful because this procedure will erase the whole drive!
2. Copy the WinPE 3.0 files to the USB drive
WinPE 3.0 is part of the Windows Automated Installation Kit (WAIK) for Windows 7, which you can download here. Once you have installed the WAIK, you’ll find a folder of the Windows AIK on the Windows Start Menu. Launch the Deployment Tools Command Prompt and enter this command:
copype.cmd x86 c:\winpe_x86
Then, copy winpe.wim to the correct folder:
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Now, copy WinPE to your USB drive:
xcopy C:\winpe_x86\iso\*.* /e G:\
In this example, ‘G:’ is the drive letter of your flash drive.
Now you should be able to boot from your WinPE 3.0 USB drive. In my next post, I will outline the interesting part—that is, how to prepare your USB drive so that you can add new tools without starting again from scratch.
- Posted using BlogPress from my iPad
Маунтим образ к папке mount при помощи imagex или Dism.
Добавляем драйвер командой
Dism /image:\winpe\mount /add-driver:"PATH"
Path должен указывать "внутрь" фолдера с драйверами, содержащего файлы .inf и .sys.
Добавляем setup packages:
Winpe-setup.cab
Winpe-setup-client.cab
Создаем файл winpeshl.ini
Переносим с оригинального диска файл Lang.ini во избежание ошибки.
Для создания ISO-образа воспользуемся командой oscdimg---.
В случае срздания загрузочного USB диска этот этап пропускается.
Image win7 32-bit - определяет как клиентские, так и серверные системы. Возможно, серверные из-за своей новизны, а клиентские из-за 32-битовости. Хотя есть инфа, что серверные boot-images дают больше возможностей. Стоит попробовать образ Server 2008 не R2.
Проверить Anser File, создаваемый программой sysprep.
Vista boot image setup не реагирует на мышку, а 7 - таки да.
Итак, лучший boot-image - Win7 discovery!
Boot Setup 7 дал ошибку при работе с Vista install image, но, возможно проблема... OK, проблема таки в испорченном имидже, или же в том, что он не прошел sysprep.
Unattended file assigned from image properties is not work. Попробовать создать его из Vista при помощи Vista WAIK и не забыть применить его к Vista image из Vista boot image.
Стоит добавить domain user в файл wdsclientunattend.xml для успешного присоединения польз. к домену.
Во время установки можно открыть лог-файлы setupacc.txt и setuperr.txt из папки X:\Windows\Panther. Для этого нажимаем SHIFT+F10 и получаем cmd.
SHIFT+CTRL+F3 - включение режима oobe во время установки Windows. Делается при появлении запроса ввести user name и password.
Обновить WAIK до SP1.
Как создать и распространить XP image при помощи WDS.
Сначала захватываем образ XP (на виртуальной машине это заняло у меня 7 минут).
После внедрения образа в WDS и проверки его успешного распространения, делаем sysprep XP и захватываем образ снова.
Теперь он пригоден не только в качестве бэкапа определенного компьютера, его можно "сажать" на любое железо.
Команда захвата:
Imagex /capture C: c:\MyXpImages "XP_SP2_backup_virtual"
Imagex - команда, умеющая захватывать, маунтить и применять образы.
/capture - параметр, указывающий на необходимость захвата образа.
C: - имя захватываемого логического диска.
c:\MyXpImages - название файла образа, создаваемого после захвата.
"XP_SP2..." - вы удивитесь, но в одном файле могут существовать несколько образов и каждый со своим названием.
Deployment - вопросы
Как грамотно создать файл ответов для Vista/7?
Как присоединить файл ответов к имиджу?
Как можно использовать capture/discover/install images для создания загрузочного диска или ISO имиджа?
Как BOOT.WIM преобразуется в CD?
Сейчас:
Переписать образ XP
Присоединить его к WDS.
Поднять с него виртуальный компьютер (с какого имиджа будет загрузка).
Затем, при помощи виртуальной Vista с установленным WAIK 6, создать файл ответов и поднять с ним XP.
Разобраться в разных типах имиджей - capture, install и discover, провести опыты. Разобраться с gImageX.
По ощущению, discover и boot имиджи не отличаются. Boot исп для сетевой загрузки По идее discover используется для создания реального загрузочного CD в случаях, когда функция PXE не работает. Если вспомнить, WinPE не загружает setup или minisetup, а используется для ImageX.
Разобраться с SIM.
Что такое режим аудита?
Очень рекомендуется использовать BOOT.WIM от Server 2008 DVD, т.к. он дает возможность использовать полную функциональность WDS.
В дальнейшем нужно разобраться с добавлением драйверов и программ в имидж.
DISM - Deployment Image Servicing and Management tool
C:\winpe_x86>dism.exe /?
DISM.exe [dism_options] {WIM_command} []
DISM.exe {/Image: | /Online} [dism_options]
{servicing_command} []
DESCRIPTION:
DISM enumerates, installs, uninstalls, configures, and updates features
and packages in Windows images. The commands that are available depend
on the image being serviced and whether the image is offline or running.
IMAGE SPECIFICATIONS:
/Online - Targets the running operating system.
/Image - Specifies the path to the root directory of an
offline Windows image.
DISM OPTIONS:
/English - Displays command line output in English.
/Format - Specifies the report output format.
/WinDir - Specifies the path to the Windows directory.
/SysDriveDir - Specifies the path to the system-loader file named
BootMgr.
/LogPath - Specifies the logfile path.
/LogLevel - Specifies the output level shown in the log (1-4).
/NoRestart - Suppresses automatic reboots and reboot prompts.
/Quiet - Suppresses all output except for error messages.
/ScratchDir - Specifies the path to a scratch directory.
For more information about these DISM options and their arguments, specify an
option immediately before /?.
Examples:
DISM.exe /Mount-Wim /?
DISM.exe /ScratchDir /?
DISM.exe /Image:C:\test\offline /?
DISM.exe /Online /?
Создание загрузочного носителя
Copype x86 C:\WinPE_x86
Copy x:\xxx.wim C:\WinPE_x86\ISO\sources\boot.wim
(setup, capture, discovery).
Oscdimg -bc:\WinPE_x86\etfsboot.com C:\WinPE_x86\ISO C:\WinPE_x86\Image.iso
Эти команды можно ввести в batch-файл. Но при одном условии - запускать файл можно будет из "Deployment Tools Command Prompt" командой call. Например, если batch-файл называется MakeISO.bat, то команда его запуска будет выглядеть так: call MakeISO.bat.
Можно сделать экспорт разных WIM boot-образов в некоторую папку и затем массовое создание загрузочных ISO-файлов.
Создание WinPE.ISO,
создание файла ответов,
sysprep,
capture,
Изменения и добавки,
deploy (apply) image individually or with WDS включая файл ответов.
Я не нашел одной определенной статьи или учебника, которые бы кратко и понятно показали всю картину Windows Deployment, объяснили, какие шаги нужно сделать и для чего предназначена каждая утилита, а также пошагово и с иллюстрациями показали все этапы большого пути, учитывая всевозможные проблемы и подводные камни. Пришлось взяться за это самому, собрав информацию из разных источников и опробовав все на практике. Наш завет: правду, одну только правду и ничего, кроме правды.
Windows Deployment:
WDS - осуществляет реальный deployment.
WDS устанавливается на серверных системах Window Server 2008/R2.
WAIK - custom installation, image capturing and applying.
WAIK существует для операционных систем, начиная с Vista.
В случае, когда не нужно изменять оригинальный образ, можно воспользоваться готовыми .WIM образами с диска Vista или Win7 и распространять их при помощи WDS. Это довольно несложная операция.
Если же нужно создать образ определенной конфигурации с заранее установленными программами, то после инсталляции и настройки Windows нужно будет воспользоваться набором инструментов WAIK. WAIK умеет снимать образы с готовых систем и применять их к новым. Это аналогично тому, что делают программы Ghost, Acronis, Paragon. Основной инструмент, ответственный за снятие и применение образов - ImageX. Кроме того, при помощи WAIK можно создать файл ответов с различными настройками, например, с указанием Product Key. В дополнение к этому WAIK способен внедрять хот-фиксы, драйверы и программы в качестве пост-инсталляционных задач. Т.е., если нужно иметь компьютер с установленным Office, это можно сделать одним из двух способов: инсталлировать Office и затем снять образ или создать пост-инсталляционную задачу.
Не все, что было сказано в отношении образов, относится к WinXP, т.к. на оригинальном диске он существует не как образ, а в виде набора файлов. При желании сделать автоматизированный deployment XP, нужно его сначала проинсталлировать на компьютер, а затем захватить образ. Получившийся образ уже пригоден для централизованного распространения при помощи WDS.
На дисках Vista и Win7 кроме образа INSTALL.WIM существует образ BOOT.WIM, необходимый для загрузки инсталляционного окружения. Его можно использовать как для загрузки по сети, так и для создания загрузочного диска WindowsPE. В обоих случаях результат одинаков. Интересно, что на практике можно смешивать разные загрузочный и инсталляционный образы. Т.е., при помощи загрузочного образа Vista можно установить как Vista, так и Win7 или же наоборот.
WindowsPE используется тогда, когда сетевая карта компьютера не поддерживает стандарт PXE, необходимый для загрузки по сети.
Кроме того WindowsPE можно использовать для решения компьютерных проблем, в частности, когда компьютер не способен загрузиться самостоятельно.
Интересная возможность - подготовка к захвату образа при помощи виртуального компьютера. Во-первых экономится компьютер, во-вторых упрощается установка драйверов (integration services в Hyper-V), в-третьих перезагрузки проходят быстрее, в-четвертых все операции можно производить удаленно.
Единственное но, перед захватом образа с подготовленного компьютера нужно не забыть удалить Integration Services.
=Понятия=
WDS (Windows Deployment Services) - server role for deployment Windows WIM images.
WAIK (Windows Automated Installation Kit) - application for image modifying and creating answer files with Windows SIM
Windows SIM (Windows System Image Manager) - tool for creating answer file.
Answer file - file with answers for installation questions, for example - Product key.
Если возникает ошибка при попытке создания файла каталога, можно воспользоваться файлом с инсталляционного диска.
WinPE - bootable disk with ImageX and other tools.
ImageX - capture (create image), mount/unmount drives, commit and apply (restore image). It is main part of WAIK and run typically from WinPE.
Dism - Инструмент для работы с образом.
Capture image - загрузочный образ, модифицированный для загрузки утилиты захвата, вместо setup. Результат работы утилиты - install image, который можно добавить в WDS.
Discover image - загрузочный образ, использующийся для начала установки.
Sysprep - clear hardware dependinces and SID.
BDD (Business Desktop Deployment).
MDOP (Microsoft Desktop Optimisation Pack).
Если взять нетронутый образ с оригинального диска Windows Vista или 7 и вставить в WDS, то в результате мы получим обычную установку Windows с той лишь разницей, что она будет происходить по сети. Что это дает? Во-первых, не нужно вскрывать компьютер или подсоединенять к нему внешние жесткие диски и cd/dvd. Соответственно, не нужно заботиться об их наличии. Во-вторых, поскольку процесс уже налажен, легко будет в дальнейшем заменить оригинальные образы другими, предварительно сконфигурированными, с файлами ответов, драйверами, программами и т.д. Можно даже будет держать образы, не прошедшие sysprep и специфичные для определенных типов железа, возможно, с различным набором программ. Т.е., то для чего часто используют Ghost, Acronis, Paragon и т.д.
=Make WinPE=
1. Copy x86 C:\WinPE_x86
Copype amd64 C:\winpe_x64
2 . Copy "C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE.WIM C:\MyWinPE\ISO\sources\Boot.WIM
3. Copy "C:\Program Files\Windows AIK\Tools\x86\ImageX C:\MyWinPE\ISO\
4. ImageX /mountrw C:\c-drive.wim 1 C:\mounted-images\
dism /Mount-WIM /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:c:\winpe_x86\mount
5. oscdimg -n -bC:\MyWinPE\etfsboot.com C:\MyWinPE\ISO\ C:\MyWinPE.ISO
=Create answer file=
Это делается при помощи Windows SIM
=Syspreping OS=
For Vista/7
C:\Windows\System32\sysprep\sysprep.exe /oobe /generalize /unattend:sysprep.xml
(for Windows XP take sysprep from original CD, Deploy.cab file).
If after syspreping and rebooting you come with error "The system registry contains invali file paths." it's what you have to do:
1. Before syspreping export Mounted Devices key from a registry (HKLM\SYSTEM\MountedDevices) and don't close it!
2. Open a cmd prompt and run sysprep -oobe -generalize -quit
Seems that Sysprep delete this registry key. In my opinion this is a bug.
3. Then import to registry the saved Mounted Devices key.
4. Shutdown computer and Boot it with WinPE.
5. Capture disk image with ImageX (or Ghost).
=Capture image=
E:\ImageX /capture D: D:\MyImages.WIM "MyVista86image"
Будьте внимательны и дважды проверьте, какой логический диск вы захватываете и куда. Захват нужно осуществлять с логического диска, на котором находится программа ImageX.
Как вы, наверное, заметили целевым местом, на которое можно класть образ, может быть источник, то-есть тот логический диск, с которого образ снимается.
Бывает трудно понять, сколько логических дисков существует и какие у них буквы. Есть хороший совет, найденный на просторах Интернета. Если нужно узнать, какие логические диски существуют и какие у них буквы, можно открыть программу Notepad и использовать ее диалог Save as или Open вместо Windows Explorer.
=Mounting image=
ImageX /mountrw C:\c-drive.wim 1 C:\mounted-images\
dism /Mount-WIM /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:c:\winpe_x86\mount
=Make ISO=
=Apply (Deploy)=
ImageX /apply D:\MyImages.WIM 1 C:\
P.S.
Take in mind that WAIK-7 is not supporting WinXP, for working with XP you have to deal with WAIK-Vista.
P.S.2
If after syspreping and rebooting you come with error "The system registry contains invali file paths." it's what you have to do:
1. Before syspreping export Mounted Devices key from a registry (HKLM\SYSTEM\MountedDevices) and don't close it!
2. Open a cmd prompt and run sysprep -oobe -generalize -quit
Seems that Sysprep make deleting
3. Then import to registry the saved Mounted Devices key.
4. Shutdown computer and Boot it with WinPE.
5. Capture disk image with ImageX (or Ghost).
сделать Sysprep:
На висте: C:\windows\system32\sysprep\sysprep.exe /oobe /generalize /shutdown (/quit)
на XP: sysprep -mini -reseal
Далее делается capturing при помощи диска WindowsPE или Capture image по сети и ImageX, который в них содержится.
GUI для imagex = gImageX
При загрузке обычно нужно нажимать F12.
Если используется загрузочный образ Server 2008, то в меню выбора OS можно будет увидеть только серверные системы. Возможно дело том, что он 64-битовый, а не в том, что он серверный. Это нужно будет проверить.
Лучшая информация об Answer File была найдена в книге Майнази о Windows Server 2008 R2.
Для эксперимента была выбрана виртуальная машина с 1-м процессором, находящаяся на сервере Hyper-V. Намеренно был взят образ реального компьютера Lenovo с целью убедиться, что различная аппаратная платформа не приводит к проблемам.
== Creating PE3 Bootable USB device. ==
I’ve used Windows PE for a long time. And I’ve grown to love it. It’s an extremely useful tool, not just for OS installation, but for diagnostics.
Since there’s a version of WinPe for x64 & x86 (& itanium) I like to keep both x64 & x86 on my USB stick. Essentially copying the each version to the root of the USB stick as needed. Meaning at any one time I have three copies of WinPE on my USB stick. Other applications I copy directly to my USB stick, so that I don’t have to remount the image every time i need another application added.
Shortly after Windows 7 was released came a new version of WinPE, WinPE 3.0 on the Windows Automated Installation Kit.
Preparing the USB stick.
You’ll need to prepare the USB stick. To do this open a command prompt using Run As Administrator and use the following commands.
diskpart
list disk
select disk 1
clean
create partition primary
select partition 1
active
format quick fs=fat32
assign
exit
exit
Make sure you select the correct disk by adjusting the third command above.
Getting WinPE 3.0 Quickly
I’ve already done this so I’ve uploaded it to save you some time. The new Windows AIK is 1.75Gb my files are 170Mb & 146Mb for x64 & x86 respectively. I’ve detailed the packages I’ve used below.
Download WinPE 3 x86 Architecture [146Mb]
Download WinPE 3 x64 Architecture [170Mb]
Files are hosted with HotFile as I don’t have enough storage to host them myself.
Both x86 & x64 versions are available.
WMI, HTA & Scripting Packages
ImageX copied to the image (System32 folder).
Once you’ve downloaded the file above, you can either copy the contents of the version of WinPE you wish to use to the root of the USB stick.
Creating a WinPE 3 Image
To create your own customised WinPE 3 image, you can follow Microsoft’s instructions here. The page details all the packages you can install and how to install them. The commands I used for each version are below.
Remember to run the Deployment tools Command Prompt As Administrator.
32-Bit WinPE 3
copype.cmd x86 c:\winpe_x86
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
Dism /image:C:\winpe_x86\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
copy "C:\Program Files\Windows AIK\Tools\x86\imagex.exe" C:\winpe_x86\mount\Windows\System32\imagex.exe
Dism /unmount-Wim /MountDir:C:\winpe_x86\mount /Commit
64-Bit WinPE 3
copype.cmd amd64 c:\winpe_amd64
copy c:\winpe_amd64\winpe.wim c:\winpe_amd64\ISO\sources\boot.wim
Dism /Mount-Wim /WimFile:C:\winpe_amd64\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_amd64\mount
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-wmi.cab"
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-hta.cab"
Dism /image:C:\winpe_amd64\mount /Add-Package /PackagePath:"C:\Program Files\Windows AIK\Tools\PETools\amd64\WinPE_FPs\winpe-scripting.cab"
copy "C:\Program Files\Windows AIK\Tools\amd64\imagex.exe" C:\winpe_amd64\mount\Windows\System32\imagex.exe
Dism /unmount-Wim /MountDir:C:\winpe_amd64\mount /Commit
Once you’ve followed all the instructions you can copy the contents of c:\
6 comments:
Ryan said...
While your script uses DISM to install the language neutral packages, it fails to install the language specific packages. For example, on a 32-bit platform (for users in the US), you could find language specific packages in "C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us".
6 November 2009 09:47
www.daiowen.co.uk
== WinPE 3.0 ==
http://4sysops.com/archives/build-a-bootable-windows-pe-3-0-usb-drive-with-rescue-tools-part-1/
For Windows PE 1.0, the minimalist Windows based on Windows 2003/XP, you needed an SA (Software Assurance), OEM, or ISV license. When Windows Vista was released everyone had access to Windows PE 2.0. This also applies to the Windows 7-based edition, Windows PE 3.0. Windows PE (Preinstallation Environment) was originally designed to deploy Windows. However, it is also useful in creating your own customized rescue boot media. In this article, I will describe how you can create a bootable Windows PE 3.0 (WinPE) USB stick, and, in my next post, I will show how to add your own rescue tools and how to keep your rescue stick up-to-date without much hassle. You will see that the procedure described here is much more convenient than most solutions you’ll find on the web.
1. Create a bootable USB drive
Before you get started, you have to make your flash drive bootable. I have already described this procedure in my post about the Windows 7 USB/DVD Download Tool. For your convenience here is the command sequence, which you should run on a command prompt with admin rights:
diskpart list disk select disk # clean create partition primary select partition 1 active format quick fs=fat32 assign exit
Replace ‘#’ with the drive number of your USB drive. Be careful because this procedure will erase the whole drive!
2. Copy the WinPE 3.0 files to the USB drive
WinPE 3.0 is part of the Windows Automated Installation Kit (WAIK) for Windows 7, which you can download here. Once you have installed the WAIK, you’ll find a folder of the Windows AIK on the Windows Start Menu. Launch the Deployment Tools Command Prompt and enter this command:
copype.cmd x86 c:\winpe_x86
Then, copy winpe.wim to the correct folder:
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Now, copy WinPE to your USB drive:
xcopy C:\winpe_x86\iso\*.* /e G:\
In this example, ‘G:’ is the drive letter of your flash drive.
Now you should be able to boot from your WinPE 3.0 USB drive. In my next post, I will outline the interesting part—that is, how to prepare your USB drive so that you can add new tools without starting again from scratch.
WinPE 3.0
http://4sysops.com/archives/build-a-bootable-windows-pe-3-0-usb-drive-with-rescue-tools-part-1/
For Windows PE 1.0, the minimalist Windows based on Windows 2003/XP, you needed an SA (Software Assurance), OEM, or ISV license. When Windows Vista was released everyone had access to Windows PE 2.0. This also applies to the Windows 7-based edition, Windows PE 3.0. Windows PE (Preinstallation Environment) was originally designed to deploy Windows. However, it is also useful in creating your own customized rescue boot media. In this article, I will describe how you can create a bootable Windows PE 3.0 (WinPE) USB stick, and, in my next post, I will show how to add your own rescue tools and how to keep your rescue stick up-to-date without much hassle. You will see that the procedure described here is much more convenient than most solutions you’ll find on the web.
1. Create a bootable USB drive
Before you get started, you have to make your flash drive bootable. I have already described this procedure in my post about the Windows 7 USB/DVD Download Tool. For your convenience here is the command sequence, which you should run on a command prompt with admin rights:
diskpart list disk select disk # clean create partition primary select partition 1 active format quick fs=fat32 assign exit
Replace ‘#’ with the drive number of your USB drive. Be careful because this procedure will erase the whole drive!
2. Copy the WinPE 3.0 files to the USB drive
WinPE 3.0 is part of the Windows Automated Installation Kit (WAIK) for Windows 7, which you can download here. Once you have installed the WAIK, you’ll find a folder of the Windows AIK on the Windows Start Menu. Launch the Deployment Tools Command Prompt and enter this command:
copype.cmd x86 c:\winpe_x86
Then, copy winpe.wim to the correct folder:
copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim
Now, copy WinPE to your USB drive:
xcopy C:\winpe_x86\iso\*.* /e G:\
In this example, ‘G:’ is the drive letter of your flash drive.
Now you should be able to boot from your WinPE 3.0 USB drive. In my next post, I will outline the interesting part—that is, how to prepare your USB drive so that you can add new tools without starting again from scratch.
- Posted using BlogPress from my iPad
четверг, 1 сентября 2011 г.
IPAD News
Всем привет после дооолгого перерыва!
Главная новость дня - мне на круглый День Рождения подарили iPAD2!
Это произошло 2 месяца назад и увлечение этой штуковиной еще не прошло и даже не уменьшилось. На самом деле - для меня это рекорд по времени.
Те, кто еще не обзавелись, могут спросить - что же в этом недокомпьютере и айфоне-переростке такого, что вызывает всеобщее восхищение?
Могу ответить на вопрос четко и определенно: "Не знаю!"
И это правда. Я пытаюсь это понять в течение последних 2-х месяцев и почти не нахожу ответа.
Была такая юмореска в YouTube. Мужик из села приходит в Московский магазин и требует продать ему Ноутбук (там его называют Нубук). Купив изделие, он ломает его на две части и произносит сакраментальную фразу: "Телевизор я себе возьму, клавиатуру другу отдам". Вероятно, фирма Apple подсмотрела эту юмореску и взяла идею на вооружению.
На самом деле, ведь нормальному человеку не так часто нужна клавиатура для письма. Большей частью она используется для навигации по компьютеру или в Интернете.
Для этих вещей TouchScreen подходит как нельзя лучше. Пальцем туда, пальцем сюда и все OK! А клавиатура ведь только мешает, особенно в постели. И потом, как вы, лежа на боку будете читать книгу?
Вообще, размер в 9,7 инчей (дюймов) оптимален для чтения, хотя держать аппарат в одной руке долго не получится.
В принципе, удобно в аппарате размером в книгу, а толщиной намного меньше, иметь большую библиотеку, а также видеотеку, а также "картинную галерею", справочник на любую тему, переводчик с любого языка на любой, фото и видео-камеру, прогноз погоды, интернет-гулялку, почтовую программу, музыкальный проигрыватель, редактор и секвенсер, кулинарный "рецептор", утреннюю газету, видео связь (Skype) и еще вагон и маленькую тележку разных вещей.
Вообще-то, всего этого, конечно, можно достичь и на компьютере. Какая проблема, например, зайти в свой почтовый ящик при помощи Internet Explorer. Но подумайте, не удобнее ли использовать для этого программу, специализированную для данной задачи? Эта особенность пришла из мира смартфонов, где ее пришлось внедрить, видимо, из-за маленького размера экрана, а также из-за ориентации на людей не компьютерной ориен..., извините, подготовки. И теперь, соединив удобство смартфона и размер нетбука мы получаем некоего кентавра, который получился на удивление удачным и приятным во всех отношениях. Добавьте сюда фирменный touch, да не просто, а мульти-touch, да не просто, а touch-sensitive... Для тех, кто не в теме, объясняю. На этой штуке можно играть, да не просто, а звуками отличных инструментов, всеми десятью пальцами. Это уже достойно внимания и всяческого уважения. Но тут открывается совсем неожиданная возможность - виртуальные клавиши, оказывается, реагируют на силу (а точнее, скорость) нажатия. И это дает возможность играть на инструменте по-настоящему! Кто в теме, тот поймет.
А как вам возможность видеть на клавиатуре только тот язык, который нужен в данный момент. Такие решения нужно внедрять на больших компьютерах. Ограниченность возможностей порождает оригинальные решения, которые в дальнейшем применимы и в обычных условиях.
- Posted using BlogPress from my iPad
Главная новость дня - мне на круглый День Рождения подарили iPAD2!
Это произошло 2 месяца назад и увлечение этой штуковиной еще не прошло и даже не уменьшилось. На самом деле - для меня это рекорд по времени.
Те, кто еще не обзавелись, могут спросить - что же в этом недокомпьютере и айфоне-переростке такого, что вызывает всеобщее восхищение?
Могу ответить на вопрос четко и определенно: "Не знаю!"
И это правда. Я пытаюсь это понять в течение последних 2-х месяцев и почти не нахожу ответа.
Была такая юмореска в YouTube. Мужик из села приходит в Московский магазин и требует продать ему Ноутбук (там его называют Нубук). Купив изделие, он ломает его на две части и произносит сакраментальную фразу: "Телевизор я себе возьму, клавиатуру другу отдам". Вероятно, фирма Apple подсмотрела эту юмореску и взяла идею на вооружению.
На самом деле, ведь нормальному человеку не так часто нужна клавиатура для письма. Большей частью она используется для навигации по компьютеру или в Интернете.
Для этих вещей TouchScreen подходит как нельзя лучше. Пальцем туда, пальцем сюда и все OK! А клавиатура ведь только мешает, особенно в постели. И потом, как вы, лежа на боку будете читать книгу?
Вообще, размер в 9,7 инчей (дюймов) оптимален для чтения, хотя держать аппарат в одной руке долго не получится.
В принципе, удобно в аппарате размером в книгу, а толщиной намного меньше, иметь большую библиотеку, а также видеотеку, а также "картинную галерею", справочник на любую тему, переводчик с любого языка на любой, фото и видео-камеру, прогноз погоды, интернет-гулялку, почтовую программу, музыкальный проигрыватель, редактор и секвенсер, кулинарный "рецептор", утреннюю газету, видео связь (Skype) и еще вагон и маленькую тележку разных вещей.
Вообще-то, всего этого, конечно, можно достичь и на компьютере. Какая проблема, например, зайти в свой почтовый ящик при помощи Internet Explorer. Но подумайте, не удобнее ли использовать для этого программу, специализированную для данной задачи? Эта особенность пришла из мира смартфонов, где ее пришлось внедрить, видимо, из-за маленького размера экрана, а также из-за ориентации на людей не компьютерной ориен..., извините, подготовки. И теперь, соединив удобство смартфона и размер нетбука мы получаем некоего кентавра, который получился на удивление удачным и приятным во всех отношениях. Добавьте сюда фирменный touch, да не просто, а мульти-touch, да не просто, а touch-sensitive... Для тех, кто не в теме, объясняю. На этой штуке можно играть, да не просто, а звуками отличных инструментов, всеми десятью пальцами. Это уже достойно внимания и всяческого уважения. Но тут открывается совсем неожиданная возможность - виртуальные клавиши, оказывается, реагируют на силу (а точнее, скорость) нажатия. И это дает возможность играть на инструменте по-настоящему! Кто в теме, тот поймет.
А как вам возможность видеть на клавиатуре только тот язык, который нужен в данный момент. Такие решения нужно внедрять на больших компьютерах. Ограниченность возможностей порождает оригинальные решения, которые в дальнейшем применимы и в обычных условиях.
- Posted using BlogPress from my iPad
Location:קלאוזנר,Tel Aviv,Israel
пятница, 5 ноября 2010 г.
Установка BackupExec2010 + HP TapeLibrary + Windows Server 2008 R2
На прошлой неделе у нас была установлена связка BackupExec2010 + HP TapeLibrary + Windows Server 2008 R2.
По секрету - в течение года у нас не было нормального бекапа ! По слухам - это наиболее частая причина увольнения работников ИТ, в случае, если внезапно требуется восстановление, а не из чего !Итак, сначала была поставлена на место физически HP TapeLibrary - робот, вмещающий 30 кассет и несущий HP Tape типа LTO4 - и произведена его первоначальная настройка, включающая установку IP адреса, наклейку наклеек на кассеты, установку кассет в Tape и т.д.
Следующим этапом была инсталляция Windows Server 2008 R2 на Блейд-сервер BL460, который находится в коробочке под названием HP c7000 Enclojure (в такую коробочкувмещается до 16 серверов HP).Здесь сначала возникла проблема - скачанная с сайта HP последняя версия диска SmartCD 8.50 (который применяется для первоначальной загрузки сервера HP и дает,в частности, все нужные драйверы) оказалась с багами, т.е. дефективной и ушло немало времени, чтобы это понять и скачать предыдущую версию SmartCD 8.40 .
Следующая сложность была связана с тем, что c7000 не имеет DVD-драйва. Напомню, что после отработки SmartCD, нужно вставить DVD с требуемой версией Windows. Обычно это не проблема, т.к. c7000 дает возможность установки с DVD-имиджа формата ISO, расположенного в сети, или с внешнего DVD, подключаемого по USB. Но здесь оба варианта давали сбои: USB-DVD хорош, когда не надо сменять диски в драйве, потому что отдавать их он не хочет, а выключение внешнего DVD (с тем, чтобы он мог дать возможность вставить другой диск) приводит к его отключению от сервера, который теряет устройство безвозвратно.
Установка с имиджа такой проблемы не имеет, но из-за длительного отсутствия движений мышкой или клавиатурой происходило отключение программы удаленного контроля (HP Onboard Administrator). Предупреждая возможный вопрос - никакие RDP в этом случае, конечно, не помогают, т.к. для них нужно, в начале, хотя бы установить Windows.
После установки Windows специалист из сторонней фирмы помог соединить кабелем SCSI специальный модуль с TapeLiblary, установил на Windows драйвер TapeLiblary и программу управления.
После этого настал период настройки Backup Jobs, т.е., что именно бэкапить, каким образом (инкрементально, дифференциально, Full), что делать с кассетами, когда они заполняются ит.д.
После этого оставалось ждать результата на следующий день.
Из 6 Jobs все были в состоянии failed, кроме единственного - DC2008 ! И все со своими проблемами ! На Exchange Server 2003 бэкап не сработал, т.к. Public Folders были в состоянии Unmounted. На нескольких серверах наблюдались ошибки с VSS (Volume Shadow Copy). На Серверах SQL существовали проблемы с Transaction Logs, которые грозили заполнить все свободное место (на одном из серверов оставалось 40 Мб свободного места). Пришлось заняться SQL Maintenance (новое для меня дело), т.е. сделать backup логов средствами SQL, а также изменить Full Recovery model на Simple Recovery model.
С Volume Shadow Copy пришлось повозиться, что бы понять в чем именно проблема и как ее решать.
Как оказалось, BackupExec2010 использует для бэкапа компонент Windows под названиемVSS/Volume Shadow Copy (что само по себе является сегодня стандартной практикой), причем может делать это разными способами. А может пользоваться своими собственными средствами, если, например, нужен бекап Windows2000 (который еще не имеет VSS). В этом всем замешаны установленные на целевых серверах агенты BackupExec2010, которые умеют (при помощи того же VSS) делать копии открытых файлов. Для этого используется опция 2010 AOFO (Advanced Open File Option). Кроме того существуют специальные агенты для Exchange Server и SQL Server (что также не ново).
Но при всем этом прежде всего сам VSS должен исправно работать.
Тут может помочь команда Vssadmin List Providers, которая показывает компоненты VSS, осуществляющие главную работу по снятию snapshots, а также Vssadmin List Writers, показывающая компоненты, осуществляющие запись snapshots в свободное пространство на диске.
Проблема была с Providers, которые или не существовали вообще или же присутствовали, но не те, что нужно.
При этом проблема была сразу на нескольких серверах.
Сразу скажу, что больше всего помогла следующая рекомендация, которая помимо регистрации DLLs еще и старует нужные сервисы:
Create a batch file with the following content:
cd /d %windir%\system32
Net stop vss
Net stop swprv
regsvr32 ole32.dll
regsvr32 oleaut32.dll
regsvr32 vss_ps.dll
vssvc /register
regsvr32 /i swprv.dll
regsvr32 /i eventcls.dll
regsvr32 es.dll
regsvr32 stdprov.dll
regsvr32 vssui.dll
regsvr32 msxml.dll
regsvr32 msxml3.dll
regsvr32 msxml4.dll
Net start vss
Net start swprv
Кроме того, пришлось удалять ненужные параметры VSS в registry.
На одном из серверов SQL провайдеры как будто были в порядке, но реально не работали. Пришлось, как обычно это делается в Windows, их удалить и затем восстановить. Пришлось также поколдовать с COM+ путем его удаления из registry и последующего восстановления (как, уже не помню).
Скоро предстоит заняться настройкой NetApp Storage а затем Exchange Server 2010.
Следите за блогом.
По секрету - в течение года у нас не было нормального бекапа ! По слухам - это наиболее частая причина увольнения работников ИТ, в случае, если внезапно требуется восстановление, а не из чего !Итак, сначала была поставлена на место физически HP TapeLibrary - робот, вмещающий 30 кассет и несущий HP Tape типа LTO4 - и произведена его первоначальная настройка, включающая установку IP адреса, наклейку наклеек на кассеты, установку кассет в Tape и т.д.
Следующим этапом была инсталляция Windows Server 2008 R2 на Блейд-сервер BL460, который находится в коробочке под названием HP c7000 Enclojure (в такую коробочкувмещается до 16 серверов HP).Здесь сначала возникла проблема - скачанная с сайта HP последняя версия диска SmartCD 8.50 (который применяется для первоначальной загрузки сервера HP и дает,в частности, все нужные драйверы) оказалась с багами, т.е. дефективной и ушло немало времени, чтобы это понять и скачать предыдущую версию SmartCD 8.40 .
Следующая сложность была связана с тем, что c7000 не имеет DVD-драйва. Напомню, что после отработки SmartCD, нужно вставить DVD с требуемой версией Windows. Обычно это не проблема, т.к. c7000 дает возможность установки с DVD-имиджа формата ISO, расположенного в сети, или с внешнего DVD, подключаемого по USB. Но здесь оба варианта давали сбои: USB-DVD хорош, когда не надо сменять диски в драйве, потому что отдавать их он не хочет, а выключение внешнего DVD (с тем, чтобы он мог дать возможность вставить другой диск) приводит к его отключению от сервера, который теряет устройство безвозвратно.
Установка с имиджа такой проблемы не имеет, но из-за длительного отсутствия движений мышкой или клавиатурой происходило отключение программы удаленного контроля (HP Onboard Administrator). Предупреждая возможный вопрос - никакие RDP в этом случае, конечно, не помогают, т.к. для них нужно, в начале, хотя бы установить Windows.
После установки Windows специалист из сторонней фирмы помог соединить кабелем SCSI специальный модуль с TapeLiblary, установил на Windows драйвер TapeLiblary и программу управления.
После этого настал период настройки Backup Jobs, т.е., что именно бэкапить, каким образом (инкрементально, дифференциально, Full), что делать с кассетами, когда они заполняются ит.д.
После этого оставалось ждать результата на следующий день.
Из 6 Jobs все были в состоянии failed, кроме единственного - DC2008 ! И все со своими проблемами ! На Exchange Server 2003 бэкап не сработал, т.к. Public Folders были в состоянии Unmounted. На нескольких серверах наблюдались ошибки с VSS (Volume Shadow Copy). На Серверах SQL существовали проблемы с Transaction Logs, которые грозили заполнить все свободное место (на одном из серверов оставалось 40 Мб свободного места). Пришлось заняться SQL Maintenance (новое для меня дело), т.е. сделать backup логов средствами SQL, а также изменить Full Recovery model на Simple Recovery model.
С Volume Shadow Copy пришлось повозиться, что бы понять в чем именно проблема и как ее решать.
Как оказалось, BackupExec2010 использует для бэкапа компонент Windows под названиемVSS/Volume Shadow Copy (что само по себе является сегодня стандартной практикой), причем может делать это разными способами. А может пользоваться своими собственными средствами, если, например, нужен бекап Windows2000 (который еще не имеет VSS). В этом всем замешаны установленные на целевых серверах агенты BackupExec2010, которые умеют (при помощи того же VSS) делать копии открытых файлов. Для этого используется опция 2010 AOFO (Advanced Open File Option). Кроме того существуют специальные агенты для Exchange Server и SQL Server (что также не ново).
Но при всем этом прежде всего сам VSS должен исправно работать.
Тут может помочь команда Vssadmin List Providers, которая показывает компоненты VSS, осуществляющие главную работу по снятию snapshots, а также Vssadmin List Writers, показывающая компоненты, осуществляющие запись snapshots в свободное пространство на диске.
Проблема была с Providers, которые или не существовали вообще или же присутствовали, но не те, что нужно.
При этом проблема была сразу на нескольких серверах.
Сразу скажу, что больше всего помогла следующая рекомендация, которая помимо регистрации DLLs еще и старует нужные сервисы:
Create a batch file with the following content:
cd /d %windir%\system32
Net stop vss
Net stop swprv
regsvr32 ole32.dll
regsvr32 oleaut32.dll
regsvr32 vss_ps.dll
vssvc /register
regsvr32 /i swprv.dll
regsvr32 /i eventcls.dll
regsvr32 es.dll
regsvr32 stdprov.dll
regsvr32 vssui.dll
regsvr32 msxml.dll
regsvr32 msxml3.dll
regsvr32 msxml4.dll
Net start vss
Net start swprv
Кроме того, пришлось удалять ненужные параметры VSS в registry.
На одном из серверов SQL провайдеры как будто были в порядке, но реально не работали. Пришлось, как обычно это делается в Windows, их удалить и затем восстановить. Пришлось также поколдовать с COM+ путем его удаления из registry и последующего восстановления (как, уже не помню).
Скоро предстоит заняться настройкой NetApp Storage а затем Exchange Server 2010.
Следите за блогом.
среда, 29 сентября 2010 г.
Из переписки…
В чем разница между OU - Security и Distribution ?
Во-первых, Security или Distribution бывают только группы, а не OU (Organizational Units)!
Во-вторых, Security Group - это то, что нам обычно нужно. Таким группам можно давать права и разрешения на объекты.
Distribution Group - это немного особый случай, они обычно нужны для почты (Exchange Server). С помощью Distribution Groups можно создавать списки рассылки - для спама, так сказать
Рассказывают, как сделать добавление юзеров и прочие операции через командную строку. Неужто так делают до сих пор??? Ведь графический интерфейс проще и удобнее!
Нет, нет - это, ле-Азазель, не устаревшие методы из эпохи DOS.
Наоборот - только передовые админы (типа Кота-Бегемота) владеют ими.
Представьте себе, что есть люди, которым проще и удобнее написать одну строчку, чем продираться через дебри окошек и кликов мышкой. Когда появился Windows, люди разделились на два клана - мышисты и клавишисты. Каждый считал, что его способ быстрее и оптимальнее. Я, лично, за их разумное совмещение, потому что так можно добиться наибольшей скорости.
Но дело даже не в этом. Если вам нужно создать 2,000 пользователей в домене одним махом - это не то же самое, что создать двоих. В таком случае появляется мысль, что нужно каким-то образом автоматизировать процесс.
Вообще, есть люди, готовые просидеть 2 часа, чтобы автоматизировать процесс, который занял бы у них пол-часа вручную. Зато, как приятно видеть, что автомат срабатывает за 1 минуту! Но в этом сумасшествии м.б. смысл, когда одно действие нужно делать много раз. Кроме того - это этгар (на иврите) или challenge (на русском не подберу соответствия, м.б. вызов), а принимать вызов – свойство хорошего сисадмина.
Вообще, команды хороши, когда их используют в скриптах, например, batch-файлах. Скрипты как раз и предназначены для автоматизации повторяющихся рутинных задач.
И вообще, зря что ли Мелкософт придумал PowerShell (Vista / 7 / Server 2008). Это они подражают Linux, где всегда была сильная командная строка (в отличие от DOS / Windows). И скрипты теперь можно сильные делать. А еще раньше существовали такие команды, как netsh, которая чудеса творила (и творит).
А графика - это для дома, для старых бабушек !
N.B.
Но, на самом деле, сам я создаю пользователей таки в GUI 
Может, потому, что по 2,000 не приходится ?
Схема Администратор - что это за зверь такой и в чем его задача состоит ?
Схема Администратор - по определению - администрирует схему 
Вразумительно ?
Но на самом деле вопрос нужно ставить по-другому - что такое схема.
Если очень кратко - схема это Конституция для леса Active Directory (и доменов этого леса, соответственно). В схеме определено, какого рода объекты могут существовать в данном лесу (пользователи, компьютеры и т.д.) и какими свойствами они обладают (имя логина, телефон, размер обуви, цвет глаз и т.д.). Можно сказать, что схема содержит шаблоны объектов - такие шаблоны называют классами. Свойства объектов называются атрибутами и они также определяются схемой.
Когда мы создаем нового пользователя, он создается по некоторому шаблону. Иными словами, в момент создания нового объекта в Active Directory нам приходится выбирать из существующего набора классов объектов и мы, в данном случае, выбираем класс пользователей.
Теперь об атрибутах. На самом деле, классы без атрибутов не имеют смысла. Это как бы объекты, лишенные свойств, все равно, что человек без головы, рук, ног и туловища. Собственно говоря, атрибуты и определяют объект. Если атрибутом является толщина панциря, можно предположить, что мы имеем дело с объектом "Динозавр" (хотя, кто сказал, что цвет глаз у него отсутствует, ну а обуви он может и не носить).
Схему можно расширять. Вручную это делают нечасто, но есть программы, которые умеют это делать.
Exchange Server (почтовый сервер), например, может увеличить схему, т.е. количество объектов в ней, раза в два.
А Схема Администратор просто имеет право вносить изменения в эту самую схему, что очевидно. Теперь, надеюсь, понятно ?![clip_image001[1]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg1OM7dx3BDNaZ_zrQRVEB1eRv4qBvy_LtH5cnTOoYlTO2JBgwcKJcVx72rYxseeWdxODkpXIfjwKh4kU8iiTKE-s8kD4QFh_ojH56KC33v5QtiwDEYUSVGKHFZifvFTS-ARip7ps_qSTY/s1600-h/clip_image001%5B1%5D%5B2%5D.gif "clip_image001[1]"){kind=small}
Переводя с русского на русский. Схема это некий шаблон домена?
То есть, если в этой схеме написано, что существует почтовый сервер плюс могут быть группы менеджеров и бухгалтеров с наборов атрибутов - то это и есть шаблон ?
М-да. Ну, скажем так: схема - это не шаблон домена вообще, а шаблон тех объектов, из которых домен и лес состоят.
Объектами могут быть - группы, пользователи, компьютеры, принтеры, расшаренные папки и даже программы - много чего.
В схеме объекты не являются конкретными конечными объектами, "готовыми к употреблению".
Это всего-лишь заготовки, на основе которых строятся реальные вещи.
Если представить себе, что есть Б-г и у него есть шаблон человека, то каждый родившийся ребенок будет создан по его образу и подобию и иметь атрибуты (т.е. свойства), такие как 2 глаза, 2 ноги, 2 руки и кое-что в единственном числе (я имею ввиду сердце, конечно). Конкретный атрибут, может отличаться своим значением (на англ. values), например длиной ног или цветом глаз, но факт тот, что у всех (почти) есть 2 руки и 2 ноги.
Шаблонов в схеме должно быть столько, сколько типов объектов нам необходимо для работы.
Если нам нужны только ежики (в любом количестве), то нужно создать только один шаблон, который будет храниться в схеме. Свойством ежиков м.б. колючки, значит мы создадим в схеме один атрибут под названием "колючки". Этот атрибут мы присоединим к объекту "ежик" на уровне схемы. Тогда, все вновь создаваемые ежики будут автоматически иметь "колючки" в качестве свойства.
С другой стороны, мы можем создать в схеме еще один объект "кактус" и присоединить к нему атрибут "колючки", который уже существует.
Тогда все вновь создаваемые "кактусы" будут автоматически иметь "колючки" в качестве свойства.
Из этого примера видно, что атрибут "колючки" существует в схеме независимо от класса (шаблона) объекта, для которого он первоначально создавался. Поэтому атрибуты можно использовать повторно и присоединять их к другим классам.
Итак, еще раз. Шаблоны объектов мы называем классами, а свойства объектов мы называем атрибутами. Более того, что бы запутать вас еще больше, скажу, что классы и атрибуты объектов сами по себе являются объектами и их так и называют – объекты классов и объекты атрибутов. Только, в отличие от обычных объектов, они являются шаблонами, на основе которых создаются обычные “рабочие” или конечные объекты.
Да, кстати, в схеме нет конкретных названий групп - менеджеры, бухгалтера и т.д. Там есть определения абстрактных групп разных типов - глобальных, локальных и т.д.
А когда в "Active Directory Users and Computers" мы создаем группу, она создается по шаблону (классу) из схемы. Например, мы можем создать глобальную группу и как-нибудь ее назвать - "Крутые специалисты по Активной Директории" или там "Хор девочек-пенсионерок".
Таких названий в схеме, конечно, нет и не будет, т.к. в схеме есть шаблоны абстрактных групп определенных типов, например, локальных или глобальных.
понедельник, 20 сентября 2010 г.
Вопросы по Active Directory + Ответы
http://itband.ru/2010/09/ad-answers/#more-8180
Сен 2010
Нашел в себе силы написать ответы на вопросы. Старался как можно полнее и яснее ответить на эти вопросы. Но, сами понимаете, это достаточно трудно. Да и если все детально описывать, то получится очередной resource kit. Пытался больше сосредоточиться на вопросах связанных с логикой работы AD, на другие вопросы предоставил ссылки в конце статьи. Большинство решений по вопросам проверены на практике или на стендах, на другие отвечал с использованием теории или логики. Будем верить, что теория не врет. По неясным вопросам готов пояснить дополнительно в комментариях («Истина рождается в споре»).Вопросы:
1. Какие изменения в методах репликации произошли в GC Windows Server 2003 по сравнению с GC Windows Server 2000 при изменении (добавлении, удалении) признака PAS (partial attribute set) в схеме?
При изменении признака PAS в схеме у атрибута, GC под управлением Windows 2000 Server производил полную репликацию всех объектов, всех атрибутов (PAS) контекстов именования доменов, что способствовало увеличению репликации. В Windows Server 2003 производится репликация (а при удалении признака PAS локальное удаление) только измененного атрибута.
2. Сколько полных реплик NC (naming context), без учета NC-приложений, находится на GC в трех доменном лесе? Частичных реплик?
Полных три: схема, конфигурация, домен. Частичных реплик две.
3. Возможен ли поиск по всему лесу при соединении с GC по порту 389? Почему?
Нет, не возможен. При соединении с GC по порту 389, GC работает в контексте обычного DC и не позволяет использовать глобальный поиск, хотя может возвращать LDAP-пересылки.
4. Требуется ли доступность GC для разрешения членства в универсальных группах в однодоменном лесу? В много доменном лесу для пользователя из домена с функциональным уровнем Windows Server 2000 Native/2003? Имеет ли значение уровень домена/леса при таких операциях? Какой?
В однодоменном лесу не требуется. Все членство в группах находится в контексте именования домена. Уровень домена не влияет.
В много доменном требуется. Пользователь из домена с режимом 2000 Native или выше может состоять в универсальных группах других доменов, эти группы, в свою очередь, могут использоваться для авторизации (доступа к ресурсам) в родном домене. Соответственно требуется доступность GC. Функциональный уровень домена пользователя имеет значение. Если уровень домена 2000 Mixed, то пользователь не может состоять в универсальных группах как родного, так и другого домена (при добавлении в универсальную группу в неродном домене производится проверка уровня функциональности домена добавляемого объекта), поэтому наличие GC не нужно.
5. Сценарий доступности GC из 4, но для операций логона по UPN в однодоменном лесу? В многодоменном лесу? Имеет ли значение уровень леса/домена при таких операциях? Какой?
Контроллер домена при обработке UPN-входов использует локальную базу для разрешения UPN-логинов. Если в собственной БД UPN-логина нет, то производится обращение к GC. Поэтому в однодоменном лесу GC не требуется, в многодоменном в определенных случаях требуется, в других нет. Уровень домена/леса не имеет значение.
6. Для чего членство универсальных групп реплицируется на глобальный каталог?
Смотрите ответ на 4.
7. Членство в каких группах (доменно-локальных, глобальных, универсальных) реплицируется на GC? Членство каких групп может быть на GC?
На GC с других контекстов именования реплицируется членство в универсальных группах. На GC может быть членство во всех группах родного домена, плюс членство в универсальных группах других доменов.
8. Как происходит разрешение UPN при логоне, если пользователь из одного леса, входит на рабочую станцию другого леса, при этом существуют доверительные отношения между доменами леса (для упрощения — двухсторонние, глобальные (domain-wide))? Как происходит вход по UPN между лесами при наличии forest-trust? А если в обоих лесах есть домены с одинаковыми именами?
8.1. Поскольку TDO внешнего доверительного отношения не содержит список UPN-суффиксов леса доверяющего домена, то вход по UPN ограничен UPN-именами вида имяпользователя@доверяющий_домен.
8.2. TDO для forest— trust содержит дополнительную информацию, такую как, список UPN-суффиксов, список SPN-суффиксов и т.д. Поэтому между лесами возможен вход по UPN.
8.3. При наличии одинаковых UPN-суффиксов в двух лесах, суффиксы (одинаковые) разрешаются локально, обращение к другому лесу не происходит.
9. Рассмотрим такую топологию: один лес, два сайта (A и B), два домена (A и B); в сайте A есть 3 контроллера домена из домена A, в сайте B есть три контроллера домена из домена B и один из домена A. Если указать один контроллер домена из сайта A в качестве предпочтительного сервера-плацдарма (Bridgehead Server, BH) и впоследствии он будет выведен из строя (недоступен), будет ли выбран другой контроллер домена из этого же сайта в качестве BH? Предположим, что в сайте A не указаны предпочтительные BH, а в сайте B в качестве предпочтительных BH указаны контроллеры домена из домена B, будет ли контроллер домена из домена A сайта B выбран в качестве сервера-плацдарма для репликации NC домена A?
9.1. В данном случае, если в сайте А выбран в качестве BH GC, то при его недоступности другой BH выбран не будет. Если BH не GC и есть другой GC в сайте А, то 9.2.
9.2. Да. В сайте должен быть как минимум один BH на раздел, поэтому KCC выберет контроллер домена A в сайте B в качестве BH для репликации контекста именования домена А.
10. При обращении к GC по 3268 возможны ли операции модификации объектов? возвращение атрибутов не входящих в PAS?
Модификация объектов невозможна. Возвращение атрибутов не из PAS, а соответственно и поиск, невозможен. Даже для объектов родного домена. Объясняется это тем, что при использовании DC по порту 3268 (3269), DC переключается в режим работы GC.
12. В каких случаях используется UDP для LDAP?
Используется механизмом DCLocator из Netlogon. Получается некий LDAP-пинг по UDP. Используется первый ответивший контроллер домена. Далее стандартный механизм поиска ближайшего контроллера.
13. Для репликации каких контекстов именования можно использовать SMTP в качестве транспорта?
Любых, кроме родного доменного контекста. Я думаю это связано с безопасностью транспортировки данных контекста домена – пароли и другие секреты.
14. Какие контексты именования не поддерживают авторизованное восстановление?
Авторизованное восстановление это изменение метаданных репликации атрибутов или значений (LVR). Применение команды авторизованного восстановление (ntds … auth restore) поддерживается для любых типов контекстов именования. Но не для всех объектов/атрибутов происходит изменение этих метаданных, например для схемы они вообще не изменяются, для других выборочно. Поэтому не все можно восстановить с помощью авторизованного восстановления. Дополнительная информация об авторизованном восстановлении обсуждается в 60 вопросе.
15. Рассмотрим ситуацию: Вы добавили группу MyAccountAdmin в группу Account Operators (Уровень леса Windows Server 2003), после этого вы делегировали полномочия другому администратору на добавление членов в группу MyAccountAdmin. Все работает, человек с делегированными правами добавляет пользователей в группу MyAccountAdmin. Спустя некоторое время вам сообщают о невозможности добавления членов в группу MyAccountadmin. Что случилось?
Скорее всего, на PDC запустился процесс SDProp. Запускается по умолчанию каждый час. Есть ряд групп, которые защищаются с использованием AdminSdHolder – Domain Admins, Enterprise Admins, Account Operators и т.д. При запуске данного процесса происходит проверка ACL всех участников безопасности (пользователей, групп, компьютеров), которые состоят в этих защищенных группах (явно или неявно) с ACL AdminSDHolder. Если ACL расходятся, то они затираются ACL AdminSDHolder (даже если ACL наследуется от родителя).
16. Какие типы групп кэшируются в процессе Universal Group Membership Caching (UGMC)?
Глобальные и универсальные.
17. Для чего необходима FSMO-роль Infrastructure? желательно развернуть ответ со ссылкой на внутреннюю структуру NTDS.dit.
FSMO-роль Infrastructure используется для обновления информации фантомных объектов. В таблицах NTDS.dit используется специальный идентификатор (DNT, 32бита) для идентификации объектов. Ссылки на объекты также реализуются с помощью DNT. Все объекты хранятся в одной таблице. Чтобы один объект мог ссылаться на другой, необходимо его присутствие в БД. Поэтому если пользователь из одного домена добавляется в группу другого домена, то необходимо создать некий фантомный объект пользователя в БД, присвоить ему DNT, а после этого ссылаться на него. Информацию об этих фантомных объектах (например, SID, имя) нужно обновлять. Infrastructure Master использует GC (поскольку на нем есть все объекты леса) для обновления информации о фантомных объектах, эти изменения затем реплицируются на другие контроллеры в домене. Если Infrastructure Master также является GC, то создавать фантомы ему не нужно, обновлять информацию о них также не нужно, поскольку все эти данные находятся локально в БД. Поэтому изменившая информация объектов других доменов при размещении Infrastructure Master на GC не будет распространена на другие контроллеры в домене. Если остальные контроллеры домена также являются GC, то ни каких проблем не возникает.
18. Что такое объекты Foreign Security Principal?
Эти объекты (Foreign Security Principal) создаются при добавлении участников безопасности из внешних доменов в группы и фактически являются их фантомами. В отличие от фантомов (в случае Infrastructure Master), их можно увидеть в CN=ForeignSecurityPrincipals контекста именования домена.
Также к этому классу относятся специальные участники безопасности (располагаются также в cn=WellKnown Security Principals). Можно сказать что это системные группы с динамическим содержанием, в их числе Authenticated Users, EveryOne и т.д.
19. Какой ролью обновляются объекты Foreign Security Principal и соответствующие ссылки на эти объекты?
Создаются при добавлении участника безопасности из внешнего домена в группу. Далее никак не обновляются.
20. Во время изменения схемы проверяются ли объекты других контекстов именования на валидность новой схемы?
Нет. Схема имеет такие особенности и правила изменения, что существующие данные в других контекстах будут согласованы и не требуют проверки.
21. Рассмотрим такую ситуацию: есть определенный в схеме атрибут, attrX, строковый, максимальная длина 25, атрибут ассоциирован с некоторым классом — classX. Предположим что существуют объекты класса classX, атрибут attrx которых заполнен до 25 символов. Что произойдет со значениями атрибута attrX существующих объектов classX, если мы изменим максимальную длину атрибута attrX до 10?
Ни чего с существующими значениями атрибутов не произойдет, они будут доступны на чтение, запись, очистку, но к последующим операциям изменения будут применяться новые ограничения схемы — максимальная длина атрибута = 10
22. Опишите процесс входа пользователя по UPN (однодоменный лес, много доменный лес):
В однодоменном лесу происходит разрешение UPN-входа с использованием локальной базы DC. В много доменном происходит разрешение UPN-входа с использованием локальной базы DC, с которым компьютер установил защищенный канал. В случае неудачи, идет обращение этим DC к GC для поиска UPN-логина, затем пользователь перенаправляется на «родной» DC. Вход между лесами описан в вопросе 8.
23. Где хранится кэш универсальных групп полученный в процессе Universal Group Membership Caching (UGMC)?
Кэш групп хранится в атрибуте msDS-Cached-Membership, данный атрибут не реплицируется. На процесс кэширования могут влиять следующие атрибуты — msDS-Cached-Membership-Time-Stamp, msDS-Site-Affinity и некоторые значения реестра. В основном эти значения используются для определения устаревания КЭШа.
24. Как сохранить кэш универсальных групп полученный в процессе Universal Group Membership Caching при перезапуске контроллера домена?
Поскольку он хранится в атрибуте, то ни какие перезагрузки ему не страшны.
25. Опишите процесс Universal Group Membership Caching при первом входе пользователя в сайт? Обновление кэша? Последующий вход?
25.1. Пользователь впервые аутентифицируется на контроллере домена в сайте с включенной опцией UGMC, контроллер домена извлекает все SID пользователя, включая sidHistrory, SIDы глобальных групп и, используя эту информацию, запрашивает данные о членстве в универсальных группах с GC. Далее членство в глобальных и универсальных группах сохраняются в атрибуте msDS-Cached-Membership, в атрибут msDS-Cached-Membership-Time-Stamp записывается время обновления КЭШа, в атрибут msDS— Site— Affinity записывается сайт входа пользователя и время (на запись этого атрибута могут влиять параметры реестра SamNoGcLogonEnforceNTLMCheck и SamNoGcLogonEnforceKerberosIpCheck). Затем извлекаются доменнолокальные группы. Далее процесс входа штатный.
25.2. Заполнение (а также обновление) КЭШа контроллерами домена в сайте основывается на атрибуте msDS-Site-Affinity. Если этот атрибут отсутствует, то два других атрибута очищаются (по 64 учетных записей за цикл). Также этот атрибут проверяется на устаревание, в случае чего очищается. Иначе происходит запрос глобальных и универсальных групп с GC и обновление атрибутов msDS-Cached-Membership и msDS-Cached-Membership-Time-Stamp. Процесс, по умолчанию, происходит для 500 учетных записей. Оставшиеся — не обновляются.
25.3. Пользователь аутентифицируется на контроллере домена в сайте, для которого включена опция UGMC. Контроллер домена проверяет наличие значений атрибутов msDS— Cached— Membership и msDs— Chaced— Membership— Time— Stamp. Если значение кэша не просрочено (текущая_дата — msDS— Cached— Membership— Time— Stamp < значения реестра Cached Membership Staleness (minutes)), то используются универсальные и глобальные группы из атрибута msDS— Cached— Membership, если просрочен, то инициируется запрос к GC, как при первоначальном входе. Атрибут msDS-Site-Affinity является реплицируемым, поэтому обновлять его можно нечасто (сходимость данных в AD). На частоту обновления этого атрибута влияет значение реестра Cached Membership Site Stickiness (minutes). Далее процесс входа штатный.
26. Как происходит выбор глобального каталога при Universal Group Membership Caching.
Используется GC в соответствии со стоимостью связей сайтов, если не выбран конкретный сайт.
27. Какой учетной записи разрешается входить в домен при недоступности глобального каталога (upn-вход, универсальные группы)?
Учетной записи администратора.
28. Как происходит обмен кэшем Universal Group Membership Caching между контроллерами домена?
Сам обмен КЭШем не происходит, атрибут msDS-Cached-Membership является не реплицируемым. Кэш на каждом контроллере домена (Win2k3+) в сайте с данной опцией обновляется самостоятельно, с определенным интервалом, по умолчанию 8 часов. Заполнение КЭШа основывается на атрибуте msDS-Site-Affinity пользователя, этот атрибут реплицируется, он указывает на то, в каком сайте аутентифицировался пользователь и время аутентификации.
29. Максимальное (по умолчанию) число учетных записей для которых производится обновление кэша универсальных групп?
500. Значение реестра Cached Membership Refresh Limit, ветка реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\
30. Может ли быть включена опция кэширования универсальных групп, если в сайте есть Windows 2000 Server контроллеры домена? Если включить опцию при этих условиях, каковы возможные последствия?
Данная опция может быть включена, опция ни как не влияет на контроллеры домена windows 2000 Server (они ничего не знают про UGMC). В сайтах с Windows 2000 Server могут наблюдаться расхождения членства в группах. Windows 2000 использует данные о членстве пользователя в группах в соответствии со своей локальной базой, а также возможно информацию о универсальных группах с GC. Windows Server 2003 использует информацию о членстве в универсальных и глобальных группах из КЭШа и обновляет его с определенной периодичностью. Поэтому пользователь аутентифицирующийся с помощью двух разных контроллеров домена может получить различное членство в группах.
31. Используется ли расписание репликации связи сайтов (site link) в процессе обновления кэша универсальных групп?
Да, процесс обновления КЭШа использует расписание связи сайтов для обновления членства в глобальных и универсальных группах с выбранного GC.
32. Для построения маркера (возврат списка групп) используются данные о членстве в группах из кэша или непосредственно из "родного" контекста именования контроллера домена?
Для построения маркера (для заполнения PAC-поля билета TGT в случае аутентификации Kerberos) используются данные из КЭШа (UGMC). Поэтому если вы, добавите пользователя в глобальную или универсальную группу из того же домена, то эти данные запишутся в БД на DC, далее они должны будут реплицироваться на GC, а потом с этого GC будет произведено обновления КЭШа (в соответствии с периодичностью обновления и расписанием репликации). Только после этого эти данные попадут в маркер пользователя (во время входа или обновления билета- TGT).
33. Какая служба предоставляет матрицу стоимости сайтов? Какими компонентами используется?
Матрица стоимости сайтов предоставляется службой Intersite Messaging (IM). При уровне леса меньше Windows 2003, KCC на ISTG использует данную службу для построения топологии репликации. При более поздних уровнях леса, KCC на ISTG не использует IM. Также такие компоненты как, NetLogon, DFS, UGMC, используют матрицу стоимости сайтов генерируемую IM. При конфигурировании мостов связей сайтов, а также при отключении Bridge all site links необходимо учитывать особенности использования матрицы стоимости сайтов этими службами.
34. Что будет если указать сайт для обновления кэша универсальных групп, в котором нет глобального каталога или на момент процесса обновления кэша глобальный каталог недоступен?
Будет использоваться GC из ближайшего сайта, в соответствии с матрицей стоимости сайтов.
35. Как очистить кэш UGMC?
Для очистки КЭШа отдельной учетной записи необходимо очистить атрибуты msDS— Cached— Membership и msDS-Cached-Membership-Time-Stamp этой учетной записи. Для очистки КЭШа для всех учетных записей контроллера домена, необходимо установить значение реестра Cached Membership Site Stickiness (minutes) = 0 и запустить процесс обновления кэша.
36. Как запустить процесс обновления кэша UGMC?
Установите значение updateCachedMemberships в 1 объекта rootDSE контроллера домена или перезагрузите контроллер домена.
37. Рассмотрим такую ситуацию: есть сайт, для него включен механизм UGMC, в сайте два контроллера из разных доменов (DC1 и DC2), пользователь впервые входит в домен (DC1). Когда и как будет заполнен UGMC на DC2 для этого пользователя?
Поскольку в качестве КЭШа используется атрибут объекта пользователя (или компьютера) и этот атрибут не реплицируется, то на DC2 кэш не распространится и не заполнится. Все необходимые универсальные группы будут получены из КЭШа DC1, все остальные группы второго домена будут получены из локальной базы (в случае запроса служб из домена DC2).
38. Почему не рекомендуется назначать права на объекты Active Directory с использованием доменно-локальных групп?
На глобальный каталог реплицируются все объекты с соответствующими дескрипторами безопасности. Если пользователь будет искать объекты на глобальном каталоге неродного домена и на эти объекты будут назначены разрешения с использованием доменно-локальных групп, то пользователю будет отказано в доступе (если нет разрешений с использованием других групп или непосредственного назначения прав пользователя). Это происходит потому, что членство в доменно-локальных группах не реплицируется на глобальный каталог и доменно-локальные группы исключаются из TGT— referal.
39. Назовите условия объявления GC к готовности выполнять свои функции (isGlobalCatalogReady=true), при различных версиях ОС? Допускается ли объявление GC без репликации частичных реплик всех доменов леса (кроме своего)? Допускается ли неполная (не все объекты) репликация частичных реплик на DC до объявления DC в качестве GC (isGlobalCatalogReady=true)?
Условия объявления GC готовым к работе (rootDse.isGlobalCatalogReady=true, регистрация SRV-записей GC) различны, настраиваемы и отличаются в различных версиях AD. В Windows Server 2003 и Windows 2000 Server SP3 необходимо чтобы все частичные реплики леса были полностью реплицированы на GC. В Windows 2000 Server SP1 и SP2, чтобы все частичные реплики сайта были полностью реплицированы. Условия варьируются от «не требуется репликации реплик» до «полностью все реплики в лесу». Настраивается значением реестра Global Catalog Partition Occupancy Level Values = от 0 до 6. Если необходимо реплицировать реплики, то все объекты реплики должны быть реплицированы, прежде чем GC будет готов к работе. Это поведение изменяется значением реестра Global Catalog Delay Advertisement (sec).
40. Может ли выступать GC в качестве источника репликации для другого GC? Может ли выступать GC в качестве источника репликации для DC (не GC)?
GC может выступать в качестве источника репликации частичных реплик, а также для репликации полных реплик разделов конфигурации, схемы, «родного» домена, разделов приложений.
41. Что такое up-to-dateness vector? Для чего предназначен?
Up— to— Dateness vector – это ассоциативный массив используемый при фильтрации реплицируемых атрибутов. Состав элемента – InvocationID (Database GUID), наивысший реплицированный оригинальный USN (Origination USN), время последней удачной репликации (появился во второй версии вектора – win2k3). InvocationID является ключом этого ассоциативного массива.
42. Что такое high-watermark ? Для чего предназначен?
High— watermark или direct up— to— dateness vector – значение наивысшего локального USN реплицируемого с конкретного DC. Используется для фильтрации объектов, которые необходимо реплицировать
43. В чем отличие up-to-dateness от high-watermark?
Два данных значения используется совместно, но один используется для фильтрации необходимых для репликации объектов (high— watermark), а другой для фильтрации необходимых для репликации атрибутов (up— to— dateness vector). То есть при необходимости репликации, dc-назначение передает high— watermark dc-источнику, dc-источник использует значение из high— waterark для фильтрации всех объектов, которые уже были реплицированы на dc-назначение с этого DC (usnChanged>high— watermark). После этого используется up— to— dateness vector для фильтрации атрибутов отфильтрированных объектов, которые необходимо реплицировать (некоторые атрибуты могли ранее реплицироваться через другие контроллеры-посредники).
44. Что такое invocationID? Как используется при восстановлении из резервной копии?
InvocationID – это уникальный идентификатор БД NTDS.DIT, он изменяется при восстановлении БД (также при добавлении и удалении разделов приложений в БД ntds.dit). Используется в up— to— dateness vector при репликации. После восстановления изменяется, старое значение добавляется в up— to— dateness vector. Далее этот вектор используется для запроса изменений с контроллеров домена, то есть в принципе процесс ничем не отличается от обычной репликации.
45. Почему существует практическое ограничение (примерно) на 5000 членов в группе в лесу с функциональным уровнем windows 2000? Осталось ли ограничение на добавление одновременно более 5000 членов в группу в лесу с функциональным уровнем Windows 2003?
Практическое ограничение основано на ограничении LDAP-транзакции. Контекст LDAP-транзакции – объект. Практическое максимальное число значений, изменяемых в одной транзакции равно 5000. В windows 2000 Server (уровень леса) не используется LVR репликация, поэтому существует ограничение на 5000 значений в атрибуте member. При LVR метаданные репликации хранятся для каждого отдельного значения многозначного связанного атрибута. В случае с Windows 2000 Server, метаданные репликации хранятся для целого многозначного связанного атрибута, поэтому при изменении одного значения атрибута member необходимо реплицировать весь атрибут, поскольку реплицируется весь атрибут, возникает практическое ограничение размера LDAP-транзакции.
В Windows Server 2003 (уровень леса) ограничение на размер транзакции остается, но используется LVR-репликация. Поэтому одновременное добавление более 5000 членов может вызвать проблемы, но в группе может быть больше 5000 членов и проблем с репликацией не возникает. Стоит заметить, что при репликации, измененные значения могут записываться в разных транзакциях, из-за использования LVR.
46. Какие проблемы могут быть при авторизованном восстановлении объектов с обратными ссылками после перехода на лес с функциональным уровнем Windows Server 2003? Какие есть способы решения данных проблем?
Рассмотрим пример с восстановлением пользователя, который входил в некоторые группы. Поскольку при уровне леса Windows 2000 не используется LVR, то метаданные репликации хранятся для цельного атрибута member. Если мы перешли на лес Windows 2003, то метаданные автоматически не изменятся. При изменении значения в этом атрибуте, для него (конкретного значения) создаются отдельные метаданные репликации. Если LVR для значения есть (прямая ссылка), то ntdsutil (windows Server 2003) при авторизованном восстановлении пользователя использует эти метаданные и производит авторизованное восстановление прямой ссылки (обратная ссылка вычисляется). Если метаданных для прямой ссылки нет, то она не восстанавливается и членство пользователя в группе (ах) не восстанавливается. Членство пользователя в группах других доменов также не восстанавливается. Для решения этих проблем используются средства ntdsutil из Win2k3 Sp1, а также ряд других способов.
47. Рассмотрим такую ситуацию: Имеется три сайта (SiteA, SiteB, SiteC), два домена (DomainA, DomainB), два контроллера домена для DomainA (DC1, DC2) и один контроллер домена для DomainB (DC3). DC1 и DC3 – глобальные каталоги. Связь сайтов LINK-A-B связывает сайты SiteA и SiteB, связь сайтов LINK-B-C связывает сайты SiteB и SiteC. Контроллеры домена DC1, DC2 и DC3 располагаются в сайтах SiteA, SiteC, и SiteB соответственно. Все остальные настройки по умолчанию. При недоступности связи между контроллерами домена DC1 и DC2 (сайтами SiteA и SiteC) будут ли созданы соединения (между этими контроллерами) для репликации DomainA? При недоступности связи между контроллерами домена DC1 и DC2 (сайтами SiteA и SiteC) будет ли реплицироваться контекст DomainA (попадут ли изменения сделанные на DC1 на DC2)?
47.1. Соединения для репликации контекста DomainA будут созданы, поскольку bridge all site links включен по умолчанию. DC3 в промежуточном сайте хоть и содержит раздел DomainA, но выступать в качестве источника репликации не может. Поэтому будет создано соединение для репликации DomainA между DC1 и DC2.
47.2. При недоступности связи между контроллерами DC1 и DC2 репликация DomainA не возможна, хотя на DC3 изменения будут реплицироваться.
48. Опишите принцип объявления атрибута как прямой ссылки (forward-link) и обратной ссылки (backward link)? Как это выглядит в БД ntds.dit?
Атрибут LinkID у атрибута в схеме указывает на то, что атрибут является связанным. При этом четное число указывает на прямую ссылку (forward— link), а следующее число указывает на обратную ссылку. Например, для атрибута member LinkID=2, а для атрибута memberOf LinkID=3. Значение этого атрибута должно быть уникальным в лесу.
Выглядит в БД примерно так (на примере членства пользователя в группе):
Соответственно можно получить по первому и второму столбцу всех членов группы (прямые ссылки), по второму и последнему все группы, к которым относится пользователь (обратные ссылки). Прямая ссылка может быть однозначной или многозначной, обратная всегда многозначная.
49. Как в LDAP-запросе вернуть значения многозначного атрибута частично (порциями)?
Есть ограничение на число возвращаемых значений из многозначного атрибута. Для Win2k – 1000, для Win2k3 – 1500. Для того чтобы вернуть значения по частям, необходимо использовать специальный спецификатор – Range. Формат использования: атрибут;Range=начальное_значение— конечное_значение. Например в ldp, необходимо в Attributes вписать “member;Range=1500—3000”. Использование в ADSI и System.DirectoryService аналогичное. LDAP-сервер должен поддерживать специальный контрол — .2.840.113556.1.4.802.
50. Что такое конфиденциальный атрибут?
Это тип атрибута, появившийся в Windows Server 2003 SP1, для чтения которого необходимы не только права READ_PROPERTY, но и CONTROL_ACCESS. По умолчанию, только группе Administrators делегированы права Contol_access на все объекты. Этот способ также используется совместно с FAS, для обеспечения безопасности конфиденциальной информации в среде с RODC. Настраивается на уровне атрибута в схеме, для этого необходимо изменить атрибут searchFlags.
51. Назовите категории классов, которые можно создать в схеме. Опишите особенности и назначение каждой категории.
В AD существует четыре вида классов: структурные, абстрактные, добавочные (auxiliary) и классы-88 (устаревшие, относятся к старой спецификации – до 1993 года; в AD не используются). У каждого типа классов есть особенности наследования. Объекты в AD могут быть созданы только на основе структурных классов. Структурный класс может наследоваться от абстрактного класса, но не наоборот. В остальном наследование классов ограничено только своей категорией. Абстрактные классы описывают общность, на их основе нельзя создать экземпляры. Добавочные классы можно добавлять к структурным классам, при определенных условиях удалять из этих классов. Добавочные классы используются для расширения классов.
52. изменение коннектов репликации. Изменение при помощи adsiedit.msc.
Здесь подразумевался вопрос про владельцев соединений репликации, их изменение, а также изменение через ldap/adsi-утилиты.
53. Кратко опишите способы отката расширения схемы в лесу.
1) Необходимо выбрать один подходящий DC в каждом домене. Критерии «хороший» бэкап, DNS- сервер, не-GC, RID, Schema Master и Domain Naming Master.
2) Изолировать выбранные DC, остальные отключить физически от сети или выключить.
3) Начиная с корневого домена, восстановить DC из резервной копии, SYSVOL восстановить авторизовано. Убедиться в целостности данных. Отключить требование проведения первоначальной репликации для продолжения выполнения своих функций как DC и как FSMO-мастера.
4) Если это GC, то нужно удалить GC.
5) Увеличить RID-пул на большое количество (рекомендуется 100000)
6) Очистить метаданные других контроллеров, сбросить пароль на учетке контроллера домена (дважды), сбросить пароль на krbtgt (дважды), сбросить пароль TDO-объектов для доменов (trusting) леса.
7) провести операции с 3-6 для других доменов, начиная с родительских.
Установить дополнительные DC через dcpromo. Сделать ребилд RODC.
Это если вкратце. Вообще процесс достаточно сложный и тут необходимо его хорошо изучить и постоянно тестировать в изолированной среде. В конце статьи есть ссылка на документ, описывающий данные процедуры.
Поясню лишь некоторые особенности восстановления:
Почему необходимо восстанавливать только один DC? Можно восстанавливать и несколько DC, но тогда возрастает вероятность появление поврежденных данных в лесу.
Почему не рекомендуется восстанавливать GC? Потому что GC содержит данные из других разделов и при восстановлении могут появиться lingering-объекты. Если все таки, восстанавливается GC, то необходимо удалить признак GC, а потом заново включить (тут возникнут проблемы с репликацией объектов из других контекстов и объявления isGlobalCatalog — решается определенными значениями в реестре) или удалить lingering-объекты посредство repadmin.
Почему нужно очищать метаданные других контроллеров, сбрасывать пароли на учетной записи компьютера, сбрасывать пароль на krbtgt, TDO? Все это делается для того чтобы гарантировать, что поврежденные контроллеры домена не смогут реплицироваться с восстановленным DC и опять повредить данные в лесу. Если есть гарантия, что контроллеры в лесу выключены, то данные действия проводить не нужно. Очистка метаданных осуществляется еще и для оптимизации процессов генерации топологии KCC.
Почему нужно делать ребилд RODC? В них также могут находиться устаревшие данные (lingering-объекты) – нет гарантий, что резервная копия содержит самые последние данные (этого очень трудно добиться).
Почему нужно увеличивать следующий RID-пул? Даже если контроллер домена был RID, после восстановления необходимо увеличить следующий RID-пул, поскольку со времени резервной копии могли быть созданы участники безопасности и назначены соответствующие права этим учетным записям.
54. Почему не рекомендуется размещать FSMO-роль Infrastructure на GC? При каких условиях можно/нельзя?
См. ответ на 17.
55. Может ли использоваться протокол Kerberos между не доменной машиной и доменной?
Да. Может использоваться между не доменной машиной из не- Windows Kerberos-сферы и доменной машиной. Также Kerberos может использоваться между лесами без доверительных отношений. Между не доменной машиной и доменной используется NTLM.
56. Можно ли удалить объекты из контекста именования схемы? Как предотвратить немедленное удаление экземпляров отключенных классов? Как предотвратить немедленную очистку атрибутов у экземпляров классов, у которых есть отключенные атрибуты? Доступны ли экземпляры отключенных классов для чтения, изменения, удаления? Доступны ли для чтения, изменения, удаления отключенные атрибуты у экземпляров классов (операции проводятся с экземплярами классов, у которых есть отключенные атрибуты)?
Удалить объекты из контекста именования схемы нельзя (на уровне DSA). Удаление экземпляров отключенных классов не происходит, они остаются в БД. Очистки значений отключенных атрибутов также не происходит. Экземпляры отключенных классов доступны на чтение, соответственно поиск, а также удаление. Значения отключенных атрибутов доступны на чтение, очистку, по ним можно искать.
57. Может ли FSMO-роль Schema и Domain Naming располагаться на DC не из корневого домена?
Да. По причине глобальности двух разделов Schema и Configuration (контейнер Partition).
58. Можно ли создать объекты класса или атрибута в схеме с одинаковыми идентификаторами (AttributeID, governsID, ldapDisplayName и т.д.)? Могут ли быть эти классы активными?
В Windows Server 2003 появилась возможность создавать классы/атрибуты с одинаковыми идентифицирующими атрибутами (AttributeID, governsID, ldapDisplayName и т.д.). Единственное условие, чтобы DN этих классов или атрибутов были различными. Атрибуты или классы с одинаковыми идентифицирующими атрибутами не могут быть активными одновременно. В Windows Server 2000 нельзя было создать два класса или атрибута с одинаковыми идентифицирующими атрибутами.
59. —
60. Можно ли откатить назад операцию повышения функционального уровня леса/домена?
Да, в Windows Server 2008 R2 появилась функция отката функционального режима леса/домена с 2008 R2 на 2008. Для функционального уровня леса дополнительным условием является отключенная корзина AD.
Также можно произвести восстановление леса, процедура описана в ответе на вопрос 53.
Можно также предположить, что достаточно будет авторизованное восстановления раздела конфигурации и домена. Если авторизовано восстановить конфигурацию (CN=Partitions,CN=Configuration) и раздел домена, то из этого ничего не выйдет, данные о функциональном уровне будут реплицированы обратно. Это происходит по причине того, что ntdsutil увеличивает версии атрибутов выборочно, и для msDs— BehaviorVersion этого не происходит. Это правильно для функционального уровня леса и домена. Но что же случится, если восстановить (авторизовано или неавторизованно, не имеет значения) контекст домена (msDS— BehaviorVersion есть у объекта домена) и в лесу есть контроллеры доменов из других доменов, а из этого домена это единственный контроллер домена? С глобальных каталогов этот атрибут не может реплицироваться. Данный атрибут, на самом деле, вычисляется на основе атрибута msDS— BehaviorVersion контейнера cn=partitions (то есть на основе уровня леса). И получается следующее: Был уровень леса и домена 2003, сделали резервную копию, подняли уровень домена до 2008R2, уровень леса до 2008. После восстановления из резервной копии уровень леса будет 2008, уровень домена откатится до 2008. Хотя я предполагал, что уровень домена восстановится на прежний уровень (то есть на 2008R2) за счет использования атрибута msDS— BehaviorVersion объектов cross— ref (у них также не происходит изменение метаданных при авторизованном восстановлении).
61. В какой версии Windows появились функциональные уровни леса?
Windows Server 2003. В Windows 2000 Server нет соответствующих атрибутов для идентификации функциональных уровней (DC, домена, леса). Хотя есть признак mixed у домена.
62. Поддерживает ли режим функционирования Windows 2003 Interim контроллеры домена Windows 2000 Server? Контроллеры домена Windows Server 2008? Контроллеры домена Windows Server 2008 R2?
Нет, только Windows Server 2003. Данный режим используется для обновления с Win NT 4.0. Windows 2008/2008 R2 не поддерживают контроллеры домена Win NT 4.0.
63. Какие проверки делаются при повышении функционального режима леса? Домена? (с учетом различных версий контроллеров домена и различных уровней функционирования домена).
Уровни леса и домена, в том виде как они представлены по сей день, появились, начиная с Windows Server 2003. В Windows 2000 Server был лишь переключатель режима домена от смешанного (mixed) к основному (native). Помимо функционального уровня леса и домена, существует функциональный уровень контроллера домена, его нельзя повысить или понизить. Атрибут msDSBehaviorVersion указывает на функциональный уровень; он есть у объектов доменов, cross— reference, NTDS Settings, CN=Partitions. При повышении уровня леса или домена, происходит проверка этого атрибута у объектов NTDS Settings контроллеров домена в контексте конфигурации. msDSBehaviorVersion леса или домена не должен быть больше соответствующего атрибута контроллеров домена.
У WinNT 4.0 контроллеров домена нет объектов в конфигурации, в этой ситуации происходят дополнительные проверки. При повышении уровня леса до win2k3, происходит проверка доменов на признак работы в основном режиме (ntMixedDomain=0), это гарантирует отсутствие WinNT 4.0 контроллеров (хотя они конечно могут быть:)). Проверки на отсутствие WinNT4.0 контроллеров домена при повышении уровня домена до Win2k3 или при переключении в основной режим 2k, возлагаются системного администратора.
При переключении в режим 2003 Interim проверяется отсутствие контроллеров с windows 2000 Server, проверка на основной режим домена не производится.
Полезные ссылки и литература:
Распределенные системы. Ресурсы Windows 2000.
Windows Server2008 Resource Kit. Active Directory.
Ограничения Active Directory: http://technet.microsoft.com/en-us/library/cc756101 (v=WS.10).aspx
Цикл технических статей по AD: http://technet.microsoft.com/en-us/library/cc780036 (v=WS.10).aspx
AdminSDHolder, SDPROP: http://technet.microsoft.com/en-us/magazine/2009.09.sdadminholder.aspx
Структура Up-To-Dateness: http://msdn.microsoft.com/en-us/library/cc228451 (v=PROT.13).aspx
Использование Range-спецификатора: http://msdn.microsoft.com/en-us/library/ms676302 (v=VS.85).aspx
Windows Security Collection: http://technet.microsoft.com/en-us/library/cc784886 (v=WS.10).aspx
Planning for Active Directory Forest Recovery: http://technet.microsoft.com/en-us/library/planning-active-directory-forest-recovery (WS.10).aspx
Восстановление объектов AD: http://technet.microsoft.com/ru-ru/magazine/2007.09.tombstones.aspx и http://technet.microsoft.com/en-us/magazine/2007.04.adrecovery.aspx
Gennady Efimov
среда, 15 сентября 2010 г.
Depositfiles Uploader
Вчера (14 сентябя) я подписался на Depositfiles, поскольку Rapidshare не только
Подписаться на:
Сообщения (Atom)