Markus Bäker

Ich habe mal mit Wink die Installation eines W2k8 R2 DCs aufgezeichnet. Das Vorgehen ist denkbar einfach:

1. W2k8 R2 Core installieren (von DVD booten)
2. Mittels sconfig.cmd den Rechner umbenennen
3. Eine unattend.ini erstellen. Details dazu unter http://support.microsoft.com/kb/947034 (Ergänzung Forest/Domainlevel 4 ist Windows 2008 R2)
4. In der unattend.ini muss das recovery Passwort hinterlegt werden (im Flash mittels * dargestellt, muss aber eine höhere Komplexität haben)
5. dcpromo /unattend:unattend.ini aufrufen
6. Neustarten

Und das alles in einem kurzen Film:
[video filename=/wp-content/uploads/2010/03/Core-DC-Install.swf height=800 width=600 /]
Lessons learned: Immer die Auflösung runterdrehen

Microsoft Press hat sein kostenloses eBook über Server und Desktop Virtualisierung auf Windows 2008 R2 aktualisiert. Es enthält u.a. Themen bezüglich

1. Servervirtualisierung
   • Hyper-V
   • Neuigkeiten mit Hyper-V in R2
2. Local Desktop Virtualisierung
   • Windows XP Mode
   • App-V
   • Med-V
   • Windows Virtual PC
3. Remote Desktop Virtualisierung
   • Remote Desktop Service
   • App-V for RDS
   • VDI
4. Virtualization Management
5. Cloud Computing

Ich habe mir mal das VDI Kapitel genau durchgelesen, um zu schauen, ob ich noch relevante Punkte für meinen VDI Vortrag nächste Woche finde. Es ist als Einstieg in die Materie gut geschrieben und hat darüber hinaus viele Links und einige interessante weiterführende Informationen.

Herunterzuladen ist das Buch als PDF oder XPS unter:

http://blogs.msdn.com/microsoft_press/archive/2010/02/16/free-ebook-understanding-microsoft-virtualization-r2-solutions.aspx

Mir begegnen regelmäßig Situationen, in dem im ADDS und Eventlog bestimmte Dinge nachgeschaut werden müssen. Dabei gehen viele direkt ins Eventlog und suchen nach dem Namen des gesperrten Users oder ähnliches. Gerade in größeren Umgebungen ist diese Vorgehensweise sehr ineffizient und auch nicht präzise, da andere Ereignisse die Suchergebnisse beeinträchtigen können.

Daher sollte die Devise sein: Zuerst Zeitpunkt und Ort herausfinden und dann im Eventlog nachschauen.

Solange am Objekt nichts geändert wurde, ist der letzte Änderungszeitpunkt und Ort eigenschaftsgenau kontrollierbar.

Dazu ein kleines Beispiel: Ein Anwender beschwert sich, dass sein Konto ständig gesperrt wird. Er hat vor einigen Stunden sein Kennwort geändert.

Bevor das Konto zurückgesetzt wird, werden noch schnell wichtige Eigenschaften mittels repadmin extrahiert:

repadmin /showobjmeta * "CN=User1,OU=Benutzer,,DC=temp,DC=local" > user.txt

Dabei werden die Metadaten des per DN angegebenen Objektes (CN=…) auf allen Domänenkontrollern (*) ausgelesen und in eine Textdatei gespeichert.

In der Textdatei steht jetzt pro Domänencontroller eine Liste aller Attribute des Objektes und weitere wesentliche Parameter. Für dieses Beispiel relevant ist die LockoutTime:

153243532 Standardname-des-ersten-Standorts\dc1   1100175 2010-11-23 11:11:11   37 lockoutTime

Dieser Eintrag zeigt deutlich, dass das Attribut lockoutTime (also wann das Konto gesperrt wurde) auf dem Domänencontroller dc1 um 11:11 geändert wurde.

Somit kann man direkt diese Daten nutzen und ins Securitylog vom dc1 um 11:11 schauen.

Ereignistyp:    Fehlerüberw.

Ereignisquelle: Security

Ereigniskategorie:      (9)

Ereigniskennung:        675

Datum:          23.11.2010

Zeit:           11:11:11

Benutzer:               NT-AUTORITÄT\SYSTEM

Computer:       dc1

Beschreibung:

Fehlgeschlagene Vorbestätigung:

         Benutzername:   user1

         Benutzerkennung:                TEMP\user1

         Dienstname:     krbtgt/TEMP.LOCAL

         Vorauthentifizierungstyp:       0×2

         Fehlercode:     0×18

         Clientadresse:  192.2.0.10

Die Sperrung ging als vom Client 192.2.0.10 aus. Eine Rückfrage beim User ergibt direkt, dass er das Kennwort an einem anderen Client geändert hat, aber an dem oben angegebenen Client schon länger angemeldet ist.

Aufwand: 5 Minuten. Wilde Sucherei: Minimal. Präzision: Hoch

Wenn in einer Organisation auf die Server nicht automatisch die Updates zu den Wartungsterminen installiert werden, sondern nur angeboten werden, dann ist dies auf Windows 2008 Core Systemen schwierig, da es keine Benachrichtigung in der (nicht existenten) Taskliste gibt.

Um dies zu lösen stellt Microsoft unter http://msdn.microsoft.com/en-us/library/aa387102%28VS.85%29.aspx ein Beispielskript bereits, dass sofort nach neuen Updates sucht und anbietet diese zu installieren:

cscript wsusinstall.vbs
Microsoft (R) Windows Script Host, Version 5.7
Copyright (C) Microsoft Corporation 1996-2001. Alle Rechte vorbehalten.

Searching for updates...

List of applicable items on the machine:
1> Update für Windows Server 2008 x64 Edition (KB968389)
2> Sicherheitsupdate für Windows Server 2008 x64 Edition (KB967723)
3> Sicherheitsupdate für Jscript 5.7 für Windows Server 2008 x64
Edition (KB971961)

Creating collection of updates to download:
1> adding: Update für Windows Server 2008 x64 Edition (KB968389)
2> adding: Sicherheitsupdate für Windows Server 2008 x64 Edition (KB967723)
3> adding: Sicherheitsupdate für Jscript 5.7 für Windows Server 2008 x64 Edition (KB971961)

Downloading updates...

List of downloaded updates:
1> Update für Windows Server 2008 x64 Edition (KB968389)
2> Sicherheitsupdate für Windows Server 2008 x64 Edition (KB967723)
3> Sicherheitsupdate für Jscript 5.7 für Windows Server 2008 x64 Edition (KB971961)

Creating collection of downloaded updates to install:
1> adding:  Update für Windows Server 2008 x64 Edition (KB968389)
2> adding:  Sicherheitsupdate für Windows Server 2008 x64 Edition (KB967723)
3> adding:  Sicherheitsupdate für Jscript 5.7 für Windows Server 2008 x64 Edition (KB971961)

Would you like to install updates now? (Y/N)
y

Installing updates...
Installation Result: 2
Reboot Required: True

Listing of updates installed and individual installation results:
1> Update für Windows Server 2008 x64 Edition (KB968389): 2
2> Sicherheitsupdate für Windows Server 2008 x64 Edition (KB967723): 2
3> Sicherheitsupdate für Jscript 5.7 für Windows Server 2008 x64 Edition (KB971961): 2

Das Script ist auch auf “normalen” GUI Systemen interessant, da es sicherstellt, dass sofort nach neuen Updates vom WSUS Server gesucht wird.

Gerade jetzt werden viele ihr neues Windows 7 System einrichten und dabei zum x-ten Mal die übliche Standardsoftware wie Acrobat Reader, 7zip, Flash Player, VLC, … installieren. Viel Aufwand (suchen, downloaden, installieren, später irgendwann aktualisieren, …) für immer die gleichen Tätigkeiten.

Als Alternative gibt es die Webseite Allmyapps.com mit der entsprechenden Software. Darüber lassen sich einzelne Programme oder eine komplette Liste von Software einfach installieren.

Und so geht’s:

Auf der einfach zu bedienenden Webseite, die komplett auf Web 2.0 basiert, installiert man einmalig auf jedem Computer die notwendige Software. Über dieses ca. 1MB große Programm werden später die Softwarepakete heruntergeladen und installiert.

Bei mir hat sich die Software zwar problemlos installiert, aber wurde nicht automatisch ím Firefox registriert, d.h. die ausgewählte Liste auf der Webseite wurde nicht direkt installiert, sondern FF hat nachgefragt, was er mit dem unbekannten Mime Type machen soll. Nach dem Auswählen von C:\Program Files\Allmyapps\Allmyapps.exe funktionierte die Installation neuer Anwendungen problemlos.

Die Software deinstalliert alte Versionen der Software automatisch.

Vorteile:

• Einfache Bedienung
• Keine Suche nach den richtigen Links und Versionen
• Fertige Listen lassen sich direkt auf mehreren Rechnern installieren
• bereits relativ große Auswahl an Software

Nachteile:

• Problem bei der Installation des Grundprogramms (eventuell nur bei mir)
• nicht immer die aktuellste Version auf der Webseite (VLC war zwei Unterversionen veraltet, Miro eine, Java zwei Unterversionen, …)
• Bei der Installation mehrerer Softwarepakete in einer Liste mit jeweils Deinstallation kam die SW bei mir durcheinander, d.h. sie startete bereits die nächste MSI Installation bevor die erste beendet war. Dadurch brach die zweite natürlich ab (nur eine Installation zur gleichen Zeit). Korrektur war aber einfach über die Webseite möglich.
• Kein Einfluss auf den Installationsumfang, d.h. die Installation erfolgt komplett Silent ohne Rückfragen. Gerade bei Freeware wird gerne eine Browsertoolbar mit installiert. Aber bei den üblichen Verdächtigen (SUN JRE, Adobe Reader) scheint eine gute Vorauswahl gemacht worden zu sein.

Insgesamt ein interessanter Konzept, dass viel Zeit sparen kann. Ich bin gespannt, wie es auf Softwareupdate aufmerksam machen sollte, da gerade darin ein großes Potential und Mehrwert der Software stecken könnte!