Платформа 2009: мы идем ;)

Итак, определилось расписание Платформы 2009.

Я буду помогать Алексею Голдбергсу рассказывать про NAP. Посетители Московского MCP клуба уже видели мое выступление на эту тему. Могу сказать, что новое в моем выступлении будет, но, в основном, в области демонстраций. NAP как-то умудрился за несколько месяцев не измениться ;)

Мой второй заявленный доклад (про ForeFront TMG) с большой вероятностью на платформе не состоится, но тогда мы с Андреем Бешковым сделаем вебкаст, а поом я еще и на заседании Клуба выступлю.

Тем же, кто хочет посмотреть, как мы с Алексеем будем расказывать про NAP – добро ожаловать пятого декабря в 17.30 в Красный Зал. Наше выступление для посетивших его будет финальным на платформе, потому мы постараемся его сделать интересным. Надеюсь это нам удастся несмотря на то, что времени мало (1 час всего), а потом на вопросы уже будет не ответить… =)

Ждем Вас.

PBT – правда ли это кранты дамперам?

  Сегодня ходил на пилотный экзамен 70-113. Можно не бросаться искать в каталоге – там его нет (то ли пока, то ли вообще). Реально это 70-640 с измененным способом тестирования. И это именно пилотный экзамен. Не бета. На деле за этот экзамен не выдадут сертификата, его цель просто понять, как и что нужно делать в Performance Based Testing (PBT), чтобы экзамен действительно оценивал уровень специалиста его сдающего.

Что представлял из себя сам экзамен и каковы мои ощущения от него? Сейчас расскажу. Только прошу учесть, что то, что я видел даже не бета версия, потому и цифры и прочие факты могут в последствии без всяких предупреждений измениться в любую сторону.

Экзамен делится на две части: лабораторные работы и стандартный multiple-choice тест. Про multiple-choice и сказать нечего – абсолютно все стандартно. Стандартный экзамен 70-640 (наверное ;) ) и стандратные “Вопрос - ответы”. А вот лабы… Лабы это то новое, чем собираются пугать дамперов и прочую нечисть… Лабы представляют из себя не привычные многим “симуляшки”, в которых зачастую можно было что-то сделать тольоко одним способом, а виртуальные машины, с созданной предварительно инфраструктурой, сетью, доменами и прочим барахлом. А ко всему этому хозяйству Вам дается несколько заданий. И Вы должны их выполнить, задания эти.

По моим ощущениям я бы предпочел сдавать экзамен, полностью состоящий из такого PBT. Почему? Отвечаю: в этих виртуалках доступен Help And Support Center!!! Нет, Вы только подумайте, есть задание, которое Вы не знаете как делать или забыли, куда конкретно лезть. Проблема? Отнюдь – спокойно идете в помощь, ищете, что нужно и читаете. Времени на это предостаточно, если большинство заданий сделано быстро. По моим наблюдениям, если знать ответы на все задания, что предложены этими лабами, то лаба выполняется за 20-30 минут. Остальное время можно потратить на самоусовершентсвование. В частности, из 18ти заданий лаб я с ходу не смог пройти 3. Итого, на решение двух задач у меня было около получаса, а на решение одной – почти сорок минут. Что не плохо, согласитесь (хотя если бы там еще библиотека TechNet была подмаунчена… Хых… Мечты… =)))) ) В общем, я не знаю, есть ли на свете идиоты, которые имея базовые знания по сдаваемой теме завалят всю лабу. Совсем дамперы без мозгов, наверное, поймаются. Более менее внятные люди должны пройти.

По поводу глюков: хоть происходило все это действие в софте Prometric глюков отмечено решительно не было. Возможно, повезло, возможно, ситуация меняется к лучшему.

И еще немного статистики. Я точно знаю, что она не помогает готовиться, но так же точно знаю, что некоторым помогает просто эмоционально настриться на экзамен:

1) Было две лабы и 37 вопросов в стандартной части теста.

2) На каждую часть выделялось по часу. Итого – три часа. Хватило с лихвой, потратил чуть больше полутора часов и то только потому, что в одном вопросе очень долго не был уверен.

3) Заданий в первой лабе было 10, во второй – 8.

И последнее. Есть возможность испытать то, о чем я рассказываю самим. Регистрация на пилотную серию открыта до 17 декабря. Для этого нужно просто зарегистрироваться на экзамен 70-113 с промо-кодом H640. Зачем Вам это нужно? Ну, во-первых, интересно. А во вторых – первые 3000 кандидатов получат по три ваучера на бесплатные экзамены ;) На сей раз нормальные. Так что торопитесь =)

P.S. исходную информацию забыл: http://blogs.technet.com/mslcommunity/archive/2008/10/25/braindumps-schmaindumps.aspx

Платформа 2009: начато голосование за доклады.

Оно все-таки началось. Все, кто пойдут на мероприятие или будут смотреть его в прямом эфире или в записи могут проголосовать за доклады, которые они желают увидеть и услышать. Я даже настоятельно рекомендую это сделать, потому что это прекрасная возможность определить то, что будет рассказано и показано на Платформе.

В числе прочих затесалось и четыре моих темы, которые я мог бы и желаю рассказать. Три из них уже видела и слышала аудитория Московского MCP Клуба (впрочем, я не буду читать слово в слово, добавлю в них кое-что – Андрей Бешков подсказал пару идей), а четвертый будет нов даже для них. Так что голосуйте, если желаете послушать эти выступления в моем исполнении. Впрочем, если даже и не пожелаете – меня можно будет найти в секции “Спроси Эксперта”. =)

Мои доклады, которые уже известны узкой аудитории:

NAP: Введение в здоровую сеть.

Windows 2008 AD DS: Что нового?

Построение систем высокой доступности для начинающих.

И новый доклад:

Введение в ForeFront Threat Management Gateway.

Новый подход к назначению разрешений на файловую систему в Win2008/Vista

Мне не так давно (ага, годика пол назад ;) ) поступил вопрос от тогда еще совсем не MVP Александра Станкевича – частого участника посиделок у Паши Нагаева, теперь уже MVP и всегда хорошего человека и специалиста. Вопрос звучал как-то так: «а почему теперь на многих папках в Windows есть пары разрешений для одного и того же объекта и одного и того же участника безопасности?». Я долгое время не мог добраться до ответа, но, в процессе подготовки к выпуску своего поста об SDDL, который скоро опубликую, наткнулся на, как мне кажется, ответ.

Если говорить сначала о самом вопросе, то вот что имеется в виду:

Как видно, здесь есть две записи для каждого пользователя/группы. Если же заглянуть внутрь, то окажется, что одна предоставляет права на саму папку, а вторая уже описывает права на подобъекты и наследование этих прав

 

 

 

  .

Собственно, это и есть ответ (IMHO) на поставленный вопрос: Двойная запись служит для разделения управления разрешениями собственно папки и ее содержимого. То есть одна запись описывает разрешения на саму папку, а вторая те разрешения, которые наследуют от нее дочерние объекты. Разница в данном конкретном случае такая:

Как видно, на саму папку не выдано право изменения подпапок, изменения разрешений и take ownership, в то время, как вторая запись, описывающая поддерево дает полный доступ. В чем плюс? Не дается лишних прав на подобъекты (или наоборот, на сами объекты), унифицируется работа с разрешениями, да и вообще удобнее, если уж приспичит поковырять там что-то. В общем, я, пожалуй, перейму и для себя – надо будет попробовать именно так выдавать пермиции.

В общем, мне кажется, что я ответил на вопрос (кстати, спасибо, Stanky, сам я внимания и не обратил ;) )

Детали о защите от случайного удаления в AD

В свое время, когда я делал доклад о новом в Windows Active Directory Directory Services в Windows 2008, и рассказывал об улучшениях интерфейса, была затронута тема о галочке "prevent from accidental deletion". Это новая фишка в консоли Active Direstory Users and Computers (ADUC), которая не позволяет удалить объект до тех пор, пока не снята некая галочка в свойствах этого объекта. В этот момент меня спросили, является ли эта функция всего лишь деталью интерфейса (то есть, можно ли справиться с помеченным таким образом объектом с помощью других средств, например ldp?) или при ее установке в AD происходят какие-то изменения? В тот день я ответил (предположил), что это скорее всего только функция интерфейса (позор мне! =) ), но червячок сомнения остался и грыз меня больше полугода. Наконец-то (буквально вчера) я добрался до проверки ответа на этот вопрос. Естественно, я оказался не прав, иначе не было бы этого поста. Итак, ответ.

Если мы поставили эту галочку, то удалить объект не сняв отметку можно будет только после пляски с бубном. Причем, это работает даже при нахождении в Active Directory 2003 (для этого нужно только поставить RSAT на Vista, чтобы увидеть новый элемент интерфейса в ADUC), несмотря на то, что схема не изменена. Как же это работает, в таком случае? Да очень просто (как все гениальное, ага =) ).

Когда мы помечаем галочкой упомянутый выше чекбокс, на самом деле в разрешениях на изменяемый/создаваемый объект AD выставляются разрешения Deny Delete & Deny Delete Subtree для группы Everyone. Теперь невозможно случайно удалить объект. Да что там случайно, даже для того, чтобы удалить его целенаправленно, придется попотеть:

1) если у Вас стоит RSAT, то нужно будет включить в ADUC «Advanced Features», потом открыть свойства объекта и снять галочку, после чего его можно будет удалить

2) если RSAT нет, то придется так же находить надоевший нам объект и править разрешения на вкладке Security

По умолчанию, когда создание объекта происходит в новой консоли, эта опция включена, что хорошо. Однако для старых объектов, созданных в старой консоли ADUC этого не происходит, потому или нужно быть осторожным или просто пройтись скриптом по дереву и пометить все это дело, как "защищенное от случайного удаления" ;)

Как дать пользователю право на чтение Event Log?

Очередная относительно типовая задача: нужно дать пользователю право на чтение Event Log, при этом, не дай бог, права эти нужны на котроллере домена или на другом критичном для безопасности сервере, и предоставить полномочий больше чем нужно мы не желаем ни в какую. А, если мне память не изменяет, для удаленного просмотра логов пользователь должен быть как минимум power user (поправьте меня, если я не прав). GUI по моим данным для такой задачи нет, CLI тоже, так что остается старыми дедовскими методами, то есть ручками. Что нам для этого нужно? На самом деле произвести достаточно простые процедуры:

1) определить SID пользователя, которому мы желаем предоставить права. Есть утилиты навроде user2sid, а я пользуюсь PowerShell. Например, и

Get-User "Vasya Pupkin" select name, sid

и

Get-QADUser "Vasya Pupkin" select name, sid

дадут нам табличку из имен подходящих учетных записей и их SID'ов. Наливай да пей Выделяй и вставляй.

2) Поправить реестр.

----------------------------------------------------------------------------------

Предупреждение. При неправильном использовании редактора реестра могут возникнуть серьезные неполадки, требующие переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.

----------------------------------------------------------------------------------

Собственно, нужно найти ветку

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application\

(предполагая, что мы даем права на application log) и найти там ключ CustomSD. Он выглядит приблизительно вот так:

O:BAG:SYD:(D;;0xf0007;;;AN)(D;;0xf0007;;;BG)(A;;0xf0007;;;SY)(A;;0x7;;;BA)(A;;0x7;;;SO)(A;;0x3;;;IU)(A;;0x3;;;SU)(A;;0x3;;;S-1-5-3)

К этому ключу нужно добавить (повторяю, добавить, не заменить его!!!) запись вида (A;;0x1;;;<SID>), где SID это как раз то значение, которое мы выяснили на первом шагу.

Если этого ключа не существует, то можно его создать, тогда он будет выглядеть так:

O:BAG:SYD:(A;;0x1;;;<SID>)

Вот такая вот ерундовина. А об этих страшных буквах (D;;0xf0007;;;BG) я напишу чуть позже - понимать, что они означают, может быть полезным навыком.

P.S. Работает как на Windows 2003, так и на Windows 2008.

MCP Club: очередная встреча

Мы продолжаем (а, точнее, завершаем) серию встреч напрямую посвященную Запуску2008. После этой встречи мы сделаем перерыв на летние каникулы и продолжим с новыми силами осенью. Ну а завтра нас ждет выступление Олега Ржевского - Человека, MVP и Moscow MCP Club Lead'a. В представлении он особо не нуждается: все, кто посещал наши заседания в Москве знают его и знают, что без него не было бы, в общем-то, и Московского Клуба. Именно он организует при активной помощи ребят из MSFT наши заседания.

Ну а теперь он решил выступить. Да не просто выступить, а в роли докладчика, чего с ним до сих пор не случалось, несмотря на то, что этот человек - рекордсмен по посещению Клуба =)

Его доклад будет называться "Безопасный удаленный доступ к приложениям" и состоится завтра, 24го июня. Регистрация здесь. А еще будет веб-трансляция (мы все-таки надеемся сделать это настолько традицией, чтобы даже не упоминать о ней больше). Регистрация на нее - тут. Ее можно будет посмотреть и позже, но вопросы в онлайн уже будет не задать. Так что лучше присоединяйтесь в онлайн. А еще лучше - приезжайте - в зале много интереснее, чем перед монитором ;)

Послевстречие: NAP, 10.06.2008 #2 - ответ на вопрос

У меня во время презентации остался один неотвеченый вопрос, на который я желал дать ответ. Я сказал, что проверка состояния DHCP NAP "клиента принуждения" (Enforcement Client - EC) привязана к времени аренды. Мне законно возразили, что в предшествующих презентациях на эту тему, как только мы меняли состояние здоровья, тут же на NPS сервер отправлялся наш SSoH (System State of Health) и сервер реагировал ограничением клиента в сетевом доступе. Это действительно так, но и я оказался прав. Если вдруг кому интересно, как такое может быть - читайте дальше.

Давайте разберемся, о чем я говорю. Как было сказано в презентации, реакция System Health Agent на выключение, например, встроенного сетевого экрана будет немедленной. Он сформирует новый SoH, передаст его NAP агенту, тот уведомит Enforcement Client и на этом песня полного доступа будет спета. НО! Это если смотреть со стороны клиента. А если посмотреть со стороны сервера, то требования к здоровью клиента могут меняться со временем. Например, вышли новые обновления. По идее, при этом нам нужно применить политику к клиенту и ограничить его или заставить его обновиться. Однако, в DHCP Enforcement мы не можем (это by design) сделать это со стороны сервера. Остается ждать либо пока изменится состояние клиента (пользователь выключит файрволл) или истечет срок аренды, после чего NAP агент также инициирует проверку.

Вот такой вот ответ =)

MCP Club: HeroesCommunityLaunch

Как многие, наверное, знают, MCP Клуб Москва продолжает проводить мероприятия, посвященные выходу в свет продуктов 2008. Сегодня снова буду выступать я: попытаюсь рассказать аудитории про Network Access Protection - новой технологи, встроенной в Windows Server 2008.
Моя презентация будет, разумеется, выложена сразу после выступления (ну то есть как Олег Ржевский соберется, конечно ;) ), однако, мы постараемся на этот раз все-таки записать эту презентацию вместе с демонстрацией для тех, кто не может по разным причинам посетить эту сессию Клуба. Будем надеяться, что получится.
Ну а если все пойдет совсем хорошо, то мы даже будем ее транслировать. Тогда линк я предоставлю здесь же непосредственно перед выступлением. Так что если я тут что-то еще напишу к 7 часам вечера, то добро пожаловать.

UAC: Elevation: Как сделать жизнь проще

Еще на Платформе, кажется, да и на Запуске тоже, мне был задан неоднократно вопрос про то, как сделать работу с командной строкой более удобной и при этом не отключать UAC. Известно же, что для того, чтобы выполнить административное действие в командной строке нужно предварительно запустить эту "строку" с повышенными привилегиями. Иначе будет как всегда:

Так вот, в июньском номере журнала TechNet Magazine была статья Michael Murgolo, которая сводит воедино несколько инструментов, которые облегчат работу с повышением привилегий в Vista/Windows 2008.

Надеюсь, это кому-то поможет.

Послевстречие:

Итак, вчера прошла очередная встреча Московского MCP Клуба, на которой выступал Ваш покорный слуга. Как я выступал, пусть пишут другие, не мое это дело. Мое дело, однако, было сделано не до конца гладко. Во-первых, я приехал позже, чем собирался, потому не смог отладить всю свою систему до начала сессии. Во-вторых, я неточно сформулировал свои пожелания к технике и разным другим вещам, в результате которых мы не смогли провести ни запись нашей встречи ни, тем более, ее трансляцию. Увы мне. Но я обещаю, что мы исправимся =) В-третьих, я никогда не пробовал миграцию виртуальных машин с MS Virtual Server на Hyper-V, так что мне пришлось потеть и пыхтеть, чтобы оно все заработало. Спасибо присутствовавшим в зале - благодаря советам одного из них я смог все таки показать приготовленное (кстати, не забудьте подойти ко мне на одной из будущих встреч - я что-нибудь придумаю в смысле маленького подарка - вчера совсем был другим занят и не подумал об этом ;) ) В-четвертых... Впрочем, это было задумано, потому это не в-четвертых, а просто так. Из-за моей попытки поэкспериментировать (а именно, показать, что кластеры теперь доступны абсолютным чайникам) я готовился к действу всего несколько дней. Потому на некоторые вопросы не мог ответить или отвечал несколько путано. Исправляюсь =)

1) Ссылка на trial версию MS Storage Server, который предоставляет iSCSI Target

http://microsoft.download-ss.com/

2) проверить, есть ли требование к сети. 10М/100М/etc...

Увы, я не смог нигде найти упоминания о подобном ограничении, так что не могу ответить со 100% гарантией. Однако, из того, что в списке тестов подобного теста нет, и также я не могу найти никаких вменяемых причин, которые могли бы такое ограничение ввести, то с вероятностью 90% я могу сказать, что подобных ограничений нет. Есть только ограничение на задержку ответа. Пинг не должен превышать 0.5 секунды. Однако я постараюсь задать такой вопрос разработчикам несколько позже.

3) Какие нужны права для инсталляции

Для инсталляции кластера пользователь должен иметь следующие полномочия (это необходимый минимум):

а) Администратора на всех узлах будущего кластера

б) Право Create Computer Object в домене.

4) Накатятся ли групповые политики на имя кластера. То есть не на узел, а на общее имя.

Нет, не накатятся. Проверено экспериментально, плюс к этому, узлы кластера запрашивают политику у DC от своего имени, а не от имени кластера.

5) Ссылки на обзор архитектуры Failover Cluster и вообще документацию

Обзор архитектуры - наиболее полезный документ для начала.

http://download.microsoft.com/download/3/B/5/3B51A025-7522-4686-AA16-8AE2E536034D/Windows%20Server%202008%20Failover%20Clustering%20Architecture%20Overview.doc

Technet Library:

http://technet2.microsoft.com/windowsserver2008/en/library/bb9ab149-6585-423b-9d24-e68fb116d8291033.mspx

Страничка про Windows Server 2008 High Availability - еще одно место, чтобы начать

http://www.microsoft.com/windowsserver2008/en/us/high-availability.aspx

Лабораторная работа: http://www.microsoft.com/heroeshappenhere/testdrive/windows-server-2008/default.mspx

Блог команды разработчиков кластеров:

http://blogs.msdn.com/clustering/

6) Вызвал некоторый интерес вопрос по миграции кластеров с Server 2003. Здесь есть ответ:

http://technet2.microsoft.com/windowsserver2008/en/library/6820ae3f-1ecc-43fd-8a76-fe8c2125cfe61033.mspx

7) Про половину узлов, выживших при падении сайта в модели node-majority

Note: It is not enough to have an even half of the cluster nodes functioning in this model. If four nodes were set up in a node-majority configuration, the cluster would continue to operate with the loss of one node but not with the loss of two nodes. For this reason the node-majority quorum configuration works best with an odd number of cluster nodes.

Мой вольный перевод: "Недостаточно иметь половину узлов кластера в рабочем состоянии функционирущих в данной модели. Если четыре узла устоновлены в конфигурации node-majority, то кластер продолжит функционирование при потере одного узал, но не при потере двух узлов. По этой причине конфигурации node-majority quorum лучше работают с нечетным количеством узлов." Автору вопроса за настойчивость, хотя и не увенчавшуюся успехом в данном случае полагается утешительный приз в виде набора Windows Server 2008, SQL 2008 & VS2008 такой же, как раздавали на Запуске, так что обращайтесь или ко мне или к Олегу Ржевскому - выдадим ;)

8) Имеет ли возможность учетная запись Local System выйти в сеть в Server 2008?

Один товарищ пытался со мной спорить по этому вопросу. Как я и обещал, я провел еще один эксперимент: создал задачу в scheduler, которая копирует файл в удаленную папочку и работает из под учетной записи System (ранее Local System). На удаленной папке заданы разрешения только для учетной записи компьютера, на котором запускалась задача. Скриншот:

Так что иной раз мне таки можно верить =) А возможно, имелась в виду учетная запись Local Service? Тогда все правильно - она таких возможностей не имеет.

Вроде все вопросы освещены, кроме одного (что такое "Other Services" - найду чуть позже), если что-то не так или где-то недостаточно - добро пожаловать с вопросами =)

Надеюсь, всем понравилось. Хороших всем выходных! =)

Launch прошел, {герои} остались.

Вчера думал, что не смогу встать с постели, настолько вымотался на запуске. Отвечать пришлось много (спасибо организаторам: на сей раз наша зона была практически в центре "караванных путей"). Не на все смог ответить, хотя отношение отвеченного к неотвеченному было высоким, как мне кажется. 5-6:1, если навскидку. Достаточно много, учитывая, что практического опыта у меня нет - только виртуалки и теория.
Одно но... Даже два... Я как минимум двум людям дал неверные ответы. По запарке. Понял это чуть позже, когда уже было поздно исправляться. И забыл, на какие вопросы соврал =(
Простите меня, ребята =)
Ну и плюс еще на два вопроса обещал дать ответы чуть позже в блоге - скоро отвечу.
Спасибо организаторам: были мелкие недочеты, о них я уже им сообщил (да, таки у меня будет репутация ворчуна =) ).
Отдельное спасибо товарищам Экспертам. Даже пытаться перечислять не буду - нас было около 40 человек только MVP, не говоря о сотрудниках MSFT.
И спасибо аудитории - без Вас просто этого праздника не случилось бы =)

Герои среди {НАС}

Слегка запоздало (интересная работа это таки проклятие =) ), но все-таки...

Я буду присутствовать на запуске новых продуктов в секции "Спроси эксперта" среди других MVP и прочих специалистов. Время не помню, к сожалению, но по опыту предыдущего мероприятия это будет известно из раздаточных материалов. Впрочем, я не собираюсь надолго покидать означенную секцию, так что пообщаемся ;)

Windows 2008 Server RTM?

Сегодня залез в свою TechNet подписку и увидел там такое (кликабельно):

Это RTM??? Судя по сообщениям общественности и отсутствию надписей RCx - да =)
Судя по тем же сообщениям все той же общественности в течении суток нужно ждать SP1 for Vista =)

UPD: спустя полчаса я увидел, что Vista SP1 так же в RTM. Только скачать пока не могу. =)

2008: Герои среди {нас}!

Как многие из Вас знают, в ближайшее время в мире будут представлены новые продукты от MS:
Windows Server 2008
SQL Server 2008
Visual Studio 2008
К этому событию будет приурочено несколько отличнейших мероприятий. Первое, о котором стоит упомянуть - официальный запуск продуктов в России. Сайт, на который я дал линк, дает Вам возможность зарегистрироваться на этом мероприятии и поучаствовать в нем 18го марта. Зачем, спросите Вы меня? Нуууу...
1) Во-первых, там будут технические презентации по указанным продуктам. Думаю, что как минимум не хуже, чем на Платформе.
2) Во-вторых, там будет снова секция "Спроси эксперта", на которой будут отвечать на вопросы не только сотрудники MS, но и прочие умные люди =)
3) В-третьих, там будут подарки! Да какие... Чтобы узнать какие - прошу на сайт, там все написано =) Ну и тут коротенько...
Продолжая тему мероприятий я могу добавить следующее: после официального запуска будет так называемый Community Launch. В нашей стране он будет представлять из себя серию заседаний MCP Клубов. Причем контент постараемся предоставить уровня 300-400 и без всякой маркетинговой шелухи. В Москве мы планируем сделать серию из 3-10 заседаний, так что следите за новостями =)

Windows Server 2008 Security Guide

Появилась возможность поучаствовать в бета тестировании указанного документа. Здесь лежит обзор, а здесь уже, собственно, можно вступить в программу. Лично я собираюсь поучаствовать: может, будет повод написать что-то умное =)

First Look Server2008

Леша Бурлаченко открыл мне глаза на существование такого замечательного мероприятия: First Look Server2008

Собственно, для тех, кто хотел бы поближе познакомиться с WIndows Server 2008 это отличное мероприятие. Лучше просто не придумаешь. Проходит в нескольких городах, так что ищите, что поближе к Вам =)

Ссылка на регистрацию:

http://www.microsoft.com/rus/ws-firstlook/default.aspx

Нам снова есть куда стремиться =)

Или к вопросу о сертификациях. Вчера посмотрел очередной вебкаст по поводу грядущих сертификаций на Windows Server 2008. Что нового?

Плохая новость: нет больше никаких MCSA/MCSE. Хорошая новость: вместо них фактически есть Server Administrator и Enterprise Administrator. И есть масса сертификаций рангом пониже. То есть, если кто-то видел эту картинку

то теперь можно сказать следующее: есть три сертификации как MCTS:

• Windows Server 2008 Active Directory, Configuring
• Windows Server 2008 Network Infrastructure, Configuring
• Windows Server 2008 Application Platform, Configuring

и две сертификации MCITP:

• Windows Server 2008 Administrator
• Windows Server 2008 Enterprise Administrator

Хорошие новости: MCSA, сдавший переходный экзамен 70-648 получает сразу два MCTS: AD & Network Infrustructure. MCSE, сдавший 70-649, получает все три MCTS.

Плохие новости: при этом до получения MCITP нужно сдать еще несколько экзаменов (1-2) и MCITP нужно подтверждать каждые три года.

Итак, мне, например, как MCSE, для получения MCITP: Enterprise Admin нужно сдать: 70-649+70-620/70-624+70-647

Для получения Server Admin хватит двух: 70-649+70-646.

Для MCSA так же есть свои пути. Естественно, в случае Enterprise Admin этот путь чуть более долгий, чем для MCSE.

И последняя плохая новость: нет больше специализации Security. Придется, видимо, догонять по MCTS =)

Хорошие новости о политиках безопасности и паролях в W2k8

Пожалуй, пора начинать писать те крохи интересного, которые мне становятся известными о Longhorn (ничего, если я буду продолжать его называть так?). Крохи потому, что никак не дойдут руки потрогать, что он из себя представляет.

Первое, чего очень не хватало в прежних версиях Windows Server: есть ли кто-нибудь, кто не проклинал отсутствие возможности в одном домене указать несколько разных политик паролей для разных членов домена? Я думаю, что таких людей мало. В итоге, приходилось либо задавать в домене более слабые политики, чем хотелось бы, либо заставлять несчастных пользователей, которым это, в принципе, не особенно было нужно, запоминать длинные и сложные пароли, либо вводить второй домен для подразделений с другими требованиями безопасности, либо пользоваться другими средствами (smartcards , например). Не очень хорошо и не очень удобно, не так ли? Так вот, в Windows Server 2008 проблема вроде решена. Правда, не совсем так, как я ожидал.

Сначала, пожалуй, о решении, а потом о моих ожиданиях. =) Собственно, для осуществления данной фичи в Active Directory были введены новые объекты:

• Password Settings
  
• Password Settings Container
  

Password Settings Containers содержат в себе Password Settings Objects, которые содержат различные параметры (срок жизни пароля, требовать или нет сложный пароль и т.д.). Для существования таких возможностей domain functional level должен быть Windows Server 2008 (кто-то сомневался? ;) ). А теперь о неожиданностях. Новые политики паролей применяются к… нет, не Organizational Units. Они применяются к пользователям и глобальным группам безопасности. У политик есть приоритет, чем выше приоритет (а на самом деле, чем ниже значение атрибута msDS-PasswordSettingsPrecedence), тем выше приоритет политики. То есть если пользователь входит в несколько групп с назначенными политиками и/или ему самому назначена политика, то применяться будет та, у которой выше приоритет (ниже указанный атрибут).

Каковы минусы такой фичи? Из-за того, что применяются политики не к OU, а к группам/пользователям, политики не накладываются друг на друга, а, вместо этого, применяется лишь одна. Из этого следует, что в каждой политике должны быть определены все параметры (их 9). Каковы плюсы? Собственно, мы наконец-то получаем некую гибкость политик паролей в пределах одного домена – чего еще желать? =)

Новых книг, хороших и разных.

Начинают писать уже книги про LongHorn… Простите, Windows Server 2008. Собственно, первую из них уже можно заказать на Amazon.com. Правда, сама книга пока недоступна – это предзаказ, но тем не менее. Содержание будущей книги:

1. Introduction

2. Usage Scenarios

3. Windows Server Virtualization

4. Managing Windows Server 2008

5. Managing Server Roles

6. Windows Server Core

7. Active Directory Enhancements

8. Terminal Services Enhancements

9. Clustering Enhancements

10. Implementing Network Access Protection

11. Internet Information Services 7.0

12. Other Features and Enhancements

13. Deploying Windows Server 2008

14. Additional Resources

В общем, мне осталось только найти человека, который живет в Штатах и часто мотается в Россию, чтобы заказать, потому что при стоимости книги в $20 жаба душит платить за доставку почти еще половину той же суммы. =)

Ссылки по теме и источники:

http://blogs.technet.com/windowsserver/archive/2007/05/24/Windows-Server-2008-hits-the-bookshelf.aspx

http://blogs.technet.com/canitpro/archive/2007/05/15/guest-blogger-it-s-official-windows-server-2008.aspx