Ein Freund hat mich dann darauf hingewiesen, dass man das Zertifikat sehr wohl exportieren kann. Auf Basis dieser Information schreibe ich hier eine kurze Anleitung wie man das Zertifikat exportieren, zu einem linuxkompatiblen Format umwandeln und dann in Dovecot als von extern erreichbarer IMAP Server einbinden kann.

1. Export

Zum Export meldet man sich einfach auf seinem Homeserver per RDP an. Dazu Administrator als Passwort und sein WHS Passwort verwenden.  Dort im Startmenü per Run/Ausführen mmc.exe starten. Unter File/Datei über Add/Remove Snap-in die Zertifikatskonsole (Certificates) hinzufügen und mit dem lokalen Computer verbinden. Das Zertifikat ist unter Personal\Certificates zu finden. Es sollte den DynDNS Namen des Homeservers haben und von “Go Daddy Secure Certfication Authority” stammen. Sind zwei Zertifikate dieser Art vorhanden, dann sollte man das nehmen, dass beim Zertifizierungspfad keine Fehler aufzeigt.

Im Kontextmenü des Zertifikats (Rechter Mausklick) wählt man über “Alle Tasks” den Punkt Export aus. Im Wizard bestätigt man, dass man den privaten Schlüssel mit exportieren möchte und wählt als Exportformat PFX aus und gibt ein Password ein. Die Datei liegt man an einem Ort ab, auf dem man später von außerhalb des Servers zugreifen kann (z.B. in einer Freigabe unter d:\ServerFolders\…)

2. Transfer zu Linux

Als nächsten Schritt muss man die Datei zu seinem Linuxsystem übertragen. Ich habe hierfür WinSCP verwendet.

3. Umwandlung

Im Allgemeinen ist auf Linux bereits OpenSSL installiert. Diese Software wird verwendet um das Zertifikat umzuwandeln. Dabei wird aus einem Schlüsselpaar eine Datei mit dem Zertifikat und eine Zweite mit dem privaten Schlüssel:

Erzeugen des Zertifikates:

openssl pkcs12 –in whs.pfx -clcerts -nokeys -out whscert.pem

Erzeugen des privaten Schlüssels:

openssl pkcs12 -in filename.pfx -nocerts -nodes -out whskey.pem

Beide Dateien muss man jetzt an einen Ort verschieben auf den Dovecot zugreifen kann. Es bietet sich /etc/ssl/private/ für den privaten Schlüssel und /etc/ssl/certs/ für das Zertifikat an.

4. Verwenden in Dovecot

In Dovecot kann man dieses Zertifikat jetzt wie jedes (z.B. das selbstsignierte) Zertifikat verwenden. In Dovecot 2.0 würde dies in der /etc/dovecot/dovecot.conf so aussehen:

ssl_cert = ssl_key = 

On friday I had some time to test a solution which I will describe here.

On warnung at the beginning: This current solution is experimental. It will run a Miranda client in the system context and can be a large security hole for your SCOM server!

The first thing I had to to is finding a client which can be controlled by command line or by a SDK. I stumbled upon the command line plugin for Miranda IM. Miranda IM is an open source mutli-protocol instant messaging client. With it you can integrate multiple protocols with plugins.

I created a test ICQ account and a surrounding batch file for miranda:

setlocal

set log="c:\logging.log"
echo. >> %log%
echo starting %date% %time% >> %log%

rem läuft miranda schon?
tasklist | findstr /i miranda32.exe
if %errorlevel%.==0. goto laeuft
echo Starte Miranda im System Kontext >> %log%
start "" "%~dp0miranda32.exe"
echo 10 sec warten...
ping -w 1000 -n 10 128.0.0.1
goto weiter

:laeuft
echo Miranda laeuft schon  >> %log%

:weiter
echo mimcmd message %~1 "%~2" >> %log%
mimcmd message %~1 "%~2">> %log%
endlocal

First it checks if miranda is already running. The command Tasklist is only available in Windows 2008 and later. If it isn’t running it will be startet (has to be in the same directory as the batch file) and the batch waits for 10 seconds. After that it will use the mimcmd command the send the message.

The batch file takes two parameter: 1. the target of the im (can be more than one) 2. The message to send.

To use this batch file you have to create a Command Notification Channel in SCOM:

And here the interesting command line call:

I have used only one target. You can define more then one target by surounding the second parameter (everything between 5 and 49) with qoutes like this: “ICQNumber1 ICQNumber2” or if you want to specify the protocol: “ICQNumber1:ICQ MSNAlias:MSN”. For details look into the readme of the command line plugin.

For sending something to this channel you have to create a subscriber:

And after that you create a normal subscription with the channel and the subscriber.

If everything worded correctly you will see after the first alert in the process list (task manager):

a miranda process in the system context. And in you IM client:

To increase the security you should deactivate and delete all plugins that aren’t necessary. Here is my plugin list:

Outlook:

I will try to start the miranda process with lower privileges but still in the system context.

Manchmal ist es schwierig den passenden Treiber zu finden. Hilfreich dabei ist die PCI Device ID. Mit dieser eindeutigen ID kann man den Hersteller (VEN_XYZ) und das entsprechende Gerät (DEV_…) über eine Google Suche ermitteln.

Um diese ID zu ermitteln muss man zuerst die Kommandozeilen Option im WinPE Boot Image aktivieren (Eigenschaften des Images).

Danach kann man per F8 eine Kommandozeile auf dem System mit den fehlenden Treibern starten und per

wmic nic get PNPDeviceID

bzw.

wmic idecontroller get deviceid

die IDs ermitteln. Ein Beispiel der Ausgabe ist im folgenden Bild dargestellt:

Relevant sind hier nur die PCI\VEN… Einträge.

Diesmal war das Active Directory MP an der Reihe:

Neue Management Packs im Zeitraum zwischen 02.10.2011 und 09.10.2011

• Active Directory Server 2000 (Discovery) 6.0.7670.0
• Active Directory Server 2003 (Discovery) 6.0.7670.0
• Active Directory Server 2003 (Monitoring) 6.0.7670.0
• Active Directory Server 2008 (Discovery) 6.0.7670.0
• Active Directory Server 2008 (Monitoring) 6.0.7670.0
• Active Directory Server Client (Monitoring) 6.0.7670.0
• Active Directory Server Common Library 6.0.7670.0
• MP Guide Active Directory Server 2000

Die Änderungen beziehen sich nur auf Bugfixes. Einer Implementierung sollte somit nichts im Wege stehen.

Eine Besonderheit ist aber zu beachten: Da Windows 2000 nicht mehr supported ist, ist auch das 2000er MP nicht aktualisiert worden und nicht mehr enthalten. (Ausnahme: Der Discovery Part)

Folgende Änderungen wurden dabei gemacht:

The September 2011 release (version 6.0.6957.0) of the System Center Monitoring Pack for the Windows Server Operating System includes the following changes:

• Optimized operating system performance collection rules.
• Added two new operating system-specific reports:
  • Performance by System
  • Performance by Utilization

• Added support for the Server Manager Best Practices Analyzer (BPA). The monitoring pack now collects BPA results from monitored servers and returns the BPA state to Operations Manager.
• Added support to discover and monitor Cluster Shared Volumes (CSV).
• Modified collection rules to include the latest service packs and hotfixes.
• Changed the threshold for the “Average Disk Seconds Per Read”, “Average Disk Seconds Per Transfer”, and “Average Disk Seconds Per Write” monitors to 0.04.
• Added new monitors for “Disk $ Idle Time” and “Current Disk Queue Length”.
• Changed the monitor types for disk performance from Average Samples to Consecutive Samples to reduce noise and improve collected data.
• “Logical Disk Availability Monitor” has been renamed to “File System Error or Corruption”.

Auch das SCCM 2007 Management Pack wurde aktualisiert. Wichtige Neuerungen sind:

• Added Support for 64-bit Operations Manager 2007 R2 Agent
• Added Support for Configuration Manager 2007 Features
• Und viele weitere Monitore zur Überwachung von Teilbereichen von SCCM.

Hier die direkten Links:

Neue Management Packs im Zeitraum zwischen 17.09.2011 und 01.10.2011 :

• Microsoft System Center Configuration Manager 2007 6.0.6000.3
• Windows Server 2000 Operating System 6.0.6957.0
• Windows Server 2003 Operating System 6.0.6957.0
• Windows Server 2008 Operating System (Discovery) 6.0.6957.0
• Windows Server 2008 Operating System (Monitoring) 6.0.6957.0
• Windows Server 2008 R2 Best Practice Analyzer Monitoring 6.0.6957.0
• Windows Server Cluster Shared Volume Monitoring 6.0.6957.0
• Windows Server Operating System Library 6.0.6957.0
• MP Guide Configuration Manager 2007 SP2
• MP Guide Core OS

Vorteil am WeTab ist, dass es eine Intel Atom CPU hat und daher die normale x86 Variante installiert werden kann.

Eine Beispiel-Config kann so aus sehen: (innerhalb des umgebenen <Configuration> Bereichs)

<Display Level="none" CompletionNotice="no" SuppressModal="no" AcceptEula="yes" />
<Logging Type="Verbose" Path="%temp%" Template="VisioProject_Setup(*).txt" />
<USERNAME Value="Benutzername" />
<COMPANYNAME Value="Firma" />
<PIDKEY Value="abcdefg" />
<INSTALLLOCATION Value="%programfiles%\Microsoft Office" />

Interessant wird es beim PIDKEY. Office 2010 kann wie Windows Vista oder Win7 mithilfe eines KMS aktiviert werden. Diese Möglichkeit sollte man auch wenn irgend möglich verwenden. Microsoft installiert grundsätzlich bei Visio und Project die Premium Version. Als diese Version versucht sich das Produkt danach auch am KMS zu aktivieren. Möchte man eine andere Version verteilen, so muss man bei PIDKEY den jeweiligen KMS Standardkey hinterlegen (Achtung! Dies ist nicht der KMS Key zur Aktivierung des KMS Servers!!!). Den Key finden man auf den Microsoft Webseiten:

Für Visio:

http://technet.microsoft.com/de-de/library/ee624357.aspx

Für Project:

http://technet.microsoft.com/en-us/library/ee624355.aspx

Zum Schluss sollte man noch das aktuelle Service Pack (aktuell: 1) herunterladen und die EXE mittels 7Zip öffnen. Die Darin enthaltenen MSP Dateien landen dann im jeweiligen Updates Verzeichnis. Das hat zur Folge, dass direkt beim Setup das entsprechende Service Pack mitinstalliert wird. Wenn man sich die Mühe machen möchte, dann kann man natürlich auch die jeweiligen Hotfixe dort ablegen.

Eine liste mit Downloadlinks zu allen Office 2010 SP1 Installationspaketen finden man hier:

http://support.microsoft.com/kb/2510690/de

Mir ist keine SCCM interne Möglichkeit bekannt dies umzusetzen. Auch eine versuchsweise erstellte Tasksequenz, die nur die Treiberauswahl beinhaltet bricht auf einem Zielsystem ab, da es nicht im richtigen Kontext (WinPE) ausgeführt wird.

Daher habe ich durch die Ergänzung des Treiberpaketes durch drei Dateien diese Möglichkeit geschaffen. Dazu verwende ich dpinst.exe. Das ist ein Tool von Microsoft, um Treiberpakete (DP) zu verwalten und zu installieren. Treiberpakete sind im Grunde nichts weiteres als ein Verzeichnis, in dem in Unterordner verschiedene Treiber und deren INF Dateien liegen – also exakt das, was ein Driver Package bei SCCM auch ist .

Das Programm findet man im Windows Driver Kit (http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=11800). Dazu lädt man sich das ISO File herunter und öffnet es mit 7Zip (oder mountet es in einem virtuellen CD Laufwerk).

Im Unterordner WDK ist die Datei je nachdem ob man x64 oder x86 Betriebsysteme hat im File dfx_x64fre_cab001.cab bzw. dfx_x86fre_cab001.cab zu finden und kann erneut direkt in 7Zip geöffnet werden. Daraus einfach die _dpinst.exe_00005 extrahieren und in dpinst.exe umbenennen.

Die dpinst.exe legt man dann in das Root-Verzeichnis des Treiberpakets und ergänzt diese um zwei weitere Dateien:

dpinst.xml:

    *

und zum Starten der Installation:

Rundpinst.cmd:

"%~dp0dpinst.exe" /SA /Q /SH /SE /C /SW

dabei werden die passenden und neueren PNP Treiber ermittelt und ohne nachfrage installiert. Ein automatischer Neustart erfolgt nicht.

<pre>
NET STOP WUAUSERV
NET STOP BITS

rem sicherstellen das vbs funktioniert:
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 1 /f

rem gegen Fehler 1026?
rd /s /q "%systemroot%\SoftwareDistribution"
regsvr32 /s cdm.dll
regsvr32 /s bitsprx2.dll
regsvr32 /s bitsprx3.dll
regsvr32 /s iuengine.dll
regsvr32 /s qmgr.dll
regsvr32 /s qmgrprxy.dll
regsvr32 /s msxml.dll
regsvr32 /s msxml2.dll
regsvr32 /s msxml3.dll
regsvr32 /s urlmon.dll
regsvr32 /s wuapi.dll
regsvr32 /s wuaueng.dll
regsvr32 /s wuaueng1.dll
regsvr32 /s wuauserv.dll
regsvr32 /s wucltui.dll
regsvr32 /s wups.dll
regsvr32 /s wuweb.dll

sc sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)

NET START BITS
NET START WUAUSERV
regsvr32 /s softpub.dll
regsvr32 /s initpki.dll
regsvr32 /s mssip32.dll
regsvr32 /s wintrust.dll
regsvr32 /s dssenh.dll
regsvr32 /s rsaenh.dll
regsvr32 /s gpkcsp.dll
regsvr32 /s sccbase.dll
regsvr32 /s slbcsp.dll
regsvr32 /s cryptdlg.dll
regsvr32 /s jscript.dll

Es stoppt zuerst die Dienste, stellt sicher, dass VBS Script funktionieren, registriert notwendige XML, Windows Update und Bits Bibliotheken, korrigiert die Sicherheitseinstellungen des Windows Update Dienstes, löscht den lokalen Cache und registriert am Ende nochmal die PKI Bibliotheken.

Das Ganze kann man dann natürlich auch remote anstoßen:

@echo off
set PC=%1
if .%PC%==. set /p PC=Enter Computer Name to start repair:
call %~dp0findip.bat %PC%
if %ip%.==. goto fehler
echo Start Windows Update Agent Installation %PC%
call updatewua.cmd %pc%
echo Versuche Reparatur des Windows Update Agents
psexec \\%PC% /c /f %~dp0repair.cmd
goto ende
:fehler
echo Abbruch, da Rechner %PC% auf ping nicht antwortet.
:ende
set ip=

Neue Management Packs im Zeitraum zwischen 09.08.2011 und 24.08.2011

• Windows Azure 6.1.7724.0