Blog TechNet Brasil : Dicas

Contornando o Event ID 2886 no Windows Server 2008

lucianopalma — Tue, 13 Jan 2009 14:24:05 GMT

Quando concluímos a adição da função de Active Directory Domain Service em um Windows Server 2008, encontramos um alerta na console do Server Manager, e ao fazermos um Drill Down teremos o Event ID 2886. Este alerta é registrado toda vez que iniciamos/reiniciamos o sistema operacional.

…
Log Name: Directory Service
Source: Microsoft-Windows-ActiveDirectory_DomainService
Event ID: 2886
Task Category: LDAP Interface
Level: Warning
Description:
The security of this directory server can be significantly enhanced by configuring the server to reject SASL (Negotiate, Kerberos, NTLM, or Digest) LDAP binds that do not request signing (integrity verification) and LDAP simple binds that are performed on a cleartext (non-SSL/TLS-encrypted) connection. Even if no clients are using such binds, configuring the server to reject them will improve the security of this server.
….

Este alerta ocorre porque o ambiente é by design projetado para compatibilidade do tráfego LDAP com clientes, serviços, e aplicações que não foram modificadas para o suporte a este recurso. Para configurarmos o ambiente para que este alerta deixe de ser registrado, teremos que realizar duas modificações, usando o Group Policy Management, na política de grupo Default Domain Controllers Policy, que é a GPO padrão do domínio. Segue abaixo como as duas entradas deverão estar configuradas:

Computer Configuration
=> Policies
==> Windows Settings
===> Security Settings
====> Local Policies
=====> Security Options

Domain controller: LDAP server signing requirements = “Require signing”

Computer Configuration

=> Policies
==> Windows Settings
===> Security Settings
====> Local Policies
=====> Security Options

Network Security: LDAP client signing requirements = “Negotiate signing”

Salientando, estas mudanças obrigam (escopo de domínio) ou haverá negociação (escopo de rede) que o tráfego LDAP seja assinado. Mudando estes parâmetros poderá ocorrer incompatibilidade em alguns clientes, serviços ou aplicações. Entretanto, modificando estas configurações, ganhamos na segurança do ambiente.

Para melhor entendimento, recomendo consultar o KB823659 e, testar…

por Jonildo Santos

Configure o Hyper-V de forma mais fácil

lucianopalma — Thu, 08 Jan 2009 23:35:01 GMT

Recentemente o Senior Program Manager do Hyper-V (John Howards) liberou uma ferramenta por linha de comando que facilita o processo de configuração do Hyper-V em servidores Windows Server 2008 (full ou server core).

Você pode fazer o download da ferramenta (e baixar o código fonte) na URL abaixo:

http://blogs.technet.com/jhoward/archive/2008/11/14/configure-hyper-v-remote-management-in-seconds.aspx

por Fábio Hara

Crie relatórios de custos de Virtualização

lucianopalma — Thu, 11 Dec 2008 23:59:33 GMT

A Microsoft lançou o site WWW.HYPER-GREEN.COM, um portal que permite criar relatórios gratuitos sobre os custos de consumo de energia com a Virtualização.

Através de uma aplicação em Silverlight você pode infromar dados como quantidade de servidores ANTES de virtualizar, quantidade de servidores APÓS virtualizar e valor/custo de energia.

Alem disso, é possivel acessar mais informações sobre os produtos para virtualização de servidores e conferir como funciona o modelo de otimização de infra-estrutura da Microsoft.

por Fábio Hara

Assistência Remota ao Usuário - Parte 4

lucianopalma — Wed, 26 Nov 2008 20:33:21 GMT

Chegamos ao final da série Assistência Remota ao Usuário e neste último post vamos entender como conectar-se aos computadores clientes após a configuração da política para evitar o envio do convite.

Primeiro, você deve saber o endereço IP ou o nome do computador na rede que deseja se conectar. Em seguida, faça o seguinte:

Abra o "Help and Support" do Windows (Ajuda do Windows)
Clique em "Tools"
Clique no canto superior esquerdo na opção "Offer Remote Assistance"
(aparecerá uma imagem como da figura abaixo, solicitando o nome do computador ou o endereço IP). Após inserí-lo, clique em "Connect"

Será exibido o nome do usuário do domínio que está “logado” no computador
Clique no botão "Start Remote Assistance"
O usuário será notificado que você está se conectando à máquina dele.
Por questões de sigilo/auditoria o usuário deverá permitir o acesso. Depois que o usuário clicar em "Yes" você terá a console do computador remoto em seu computador. Se você desejar assumir o controle da máquina, basta clicar em "Take Control". O usuário deverá permitir o controle novamente.

Bingo!! Você já pode auxiliar o usuário remoto na resolução do problema. Além disso, uma console com um Chat aparecerá para você conversar com ele/ela por texto e também transferir arquivos do seu computador para o dele(a).

por Gilson Banin

Assistência Remota ao Usuário - Parte 1

lucianopalma — Wed, 12 Nov 2008 00:51:03 GMT

Deste que comecei a trabalhar com TI na área de suporte ao usuário final (hoje conhecida como Help Desk), já existiam softwares de acesso remoto para captura de tela e suporte assistido onde o usuário recebia apoio técnico de um profissional especialista, de qualquer lugar.

E acreditem, naquela época nem Windows rodava nos computadores: era o bom e velho MS-DOS. O software CARBON COPY era o mais utilizado e ao longo dos anos essa tecnologia evoluiu. Outros tradicionais softwares desta categoria foram desenvolvidos, como o Symantec PCAnywhere, e o mais conhecido de todos sem dúvida alguma: o Real VNC que é largamento utilizado nas empresas atualmente.

Com a chegada do Windows XP e do Windows Vista, um novo recurso foi embutido no sistema operacional: a Assistência Remota.
A função é a mesma, mas o detalhe aqui é que é nativa no Windows XP/Vista/2003/2008 e não exige software de terceiros.

Você pode habilitá-lo manualmente através das propriedades do computador na guia Remoto ou através de Políticas de Grupo.
No entanto, existe uma queixa comum entre os Profissionais de TI e de Suporte: o usuário tem que criar e enviar um convite (tarefa não tão convencional, pois é realizada pelo Help do Windows).

Veremos no próximo post como resolver esta situação de forma rápida e eficiente.

por Gilson Banin

Linux Integration Components (IC) para Hyper-V

lucianopalma — Sat, 20 Sep 2008 03:50:14 GMT

O Linux Integration Components para Hyper-V já está disponível para download no site do Connect (http://connect.microsoft.com). Esse é um dos resultados do acordo entre Novell e Microsoft de Interoperabilidade entre Windows Server e Novell Suse Linux.

Com este componente ja é possivel criar máquinas virtuais Novell Suse Linux em servidores Microsoft Windows Server 2008 com Hyper-V e também no Microsoft Hyper-V Server.

Sistemas Operacionais suportados

Novell Suse Linux Enterprise Server 10 SP2 x86
Novell Suse Linux Enterprise Server 10 SP2 x64

Um dos principais benefícios é a capacidade das máquinas virtuais Linux poderem utilizar adaptadores de rede (NIC) e de adaptadores de armazenamento (SCSI) sintéticos (synthetic devices) através do VMBus.

Instruções de instalação !

Baixe o IC através do site connect.microsoft.com
Copie o arquivo LinuxIC.iso para o servidor Host Hyper-V
Crie uma máquina virtual Novell Suse Linux (versões suportadas acima) através da console Hyper-V Manager utilizando um arquivo ISO ou DC/DVD (Dica : utilizando ISO é praticamente 50% mais rápido comparado a um CD/DVD!)
No setup de instalação marque as opções "C/C++ Compiler and Tools" e "Xen Virtual Machine Host Server"
Após a instalação, monte o CD/DVD/ISO e instale o pacote "kernel-xen" através do Gnome Terminal # rpm -ivh /mht/cdrom/suse/x86_64/kernel-xen-2.6.16.60-0.21.x64_64.rpm (este pacote é necessário).
Monte o arquivo LinuxIC.ISO na máquina virtual e copie o conteúdo para uma pasta temporária por exemplo
1. # mkdir /opt/linux_ic
2. # cp /mnt/cdrom/* /opt/linux_ic -R
Agora instale o adaptador hypercall dentro da vm através do seguinte comando:
1. # /opt/linux_ic/setup.pl x2v /boot/grub/menu.lst
Reinicie a máquina virtual
Após o reinício os drivers sintéticos para placa de rede e de armazenamento já podem ser instalados utilizando o seguinte comando:
1. # /opt/linux_ic/setup.pl drivers (aguarde, poderá demorar alguns minutos)
Agora você já pode adicionar dispositivos sintéticos ao invés de utilizar Legacy Devices. No caso das placas de rede (ifconfig) ao invés de "eth0,eth1..." será mostrado "seth0, seth1...", mas é claro que a mudança não é só na visualização
Para adicioná-las utilize a interface Yast e selecione Network Cards supondo que já tenha sido adicionado a placa de rede na VM na console do Hyper-V.
Pronto !!! Agora é usufluir da nova performance adquirida pela máquina virtual Novell Suse Linux no Hyper-V.

por Gilson Banin

O que é FSMO?

lucianopalma — Thu, 18 Sep 2008 18:58:39 GMT

Quem já trabalha com Active Directory diariamente já esta acostumado a lidar com esta “palavrinha” com frequência. No Active Directory o conceito de PDC/BDC não existe mais. Todos os controladores de domínio passam a armazenar uma cópia do diretório que pode ser modificada (Exceto no RODC do Windows Server 2008).
O acrônimo FSMO significa Flexible Single Master Operation. Ao todo temos 5 mestres de operações (Operation Master), duas que afetam a floresta como um todo e outras três que afetam um domínio. Essas regras tem por objetivo controlar os conflitos que podem existir no modelo Multi-Master do Active Directory.

Floresta : são regras que afetam toda uma floresta Windows 2000/2003/2008 e podem ser hospedadas por qualquer controlador de domínio dentro da floresta

As regras da Floresta são :

1. Schema Master

2. Domain Name Master

Domínio : são regras que afetam apenas um domínio Windows 2000/2003/2008, e podem ser hospedadas por qualquer controlador de domínio dentro do domínio

As regras do Domínio são :

1. PDC Emulator

2. RID Master

3. InfraStructure Master

Dica : Para determinhar rapidamente quais são os servidores controladores de domínio que são proprietários (owner) de cada FSMO, com o Support Tools instalado (No Windows Server 2008 o comando NETDOM é nativo e não precisa do Support Tools). Basta digitar :

C:\Program Files\Support Tools\NETDOM QUERY FSMO. O resultado mostra na primeira coluna as 5 regras e na segunda coluna os DCs responsáveis por gerenciá-los.

Nos próximos posts detalharei a função de cada uma das FSMOs, e na ausência ou falha delas qual problemas podem ocorrer.

por Gilson Banin

Identifique seu Active Directory!

lucianopalma — Tue, 16 Sep 2008 16:38:21 GMT

Se você quer saber qual a versão do seu Active Directory basta você saber qual versão do Schema. A versão do Schema determina qual a versão do sistema operacional do seu Domain Controller mais atualizado. Esse valor é alterado somente quando a Floresta é preparada através do comando “Adprep /Forestprep”, largamente utilizado na preparação e atualização de um Domínio do Active Directory de uma versão inferior para uma versão mais atualizada (Por exemplo : Active Directory 2003 R2 para Active Directory 2008).

O significado das versões

Podem existir cenários onde há mais do que um Domain Controller com versões de sistema operacional diferentes respondendo pelo mesmo domínio; um executando o Windows 2000 Server e outro Windows Server 2003. Neste caso, apesar de ter um DC Windows 2000 como Domain Controller a versão do schema será 31, que corresponde à versão do Domain Controller com o sistema operacional mais atualizado, neste caso o Windows Server 2003.

A tabela abaixo ilustra os valores do Schema e o sistema operacional relacionado.

Versão do Schema	Sistema Operacional
13	Microsoft Windows 2000
30	Microsoft Windows Server 2003 e/ou Windows Server 2003 SP1
31	Microsoft Windows Server 2003 R2
44	Microsoft Windows Server 2008

Três maneiras para identificar a versão de seu AD

1 – Através do Registry

Acesse HKLM\System\CurrentControlSet\Services\NTDS\Parameters, localize o valor Schema Version, mude para Decimal e observe o valor.

2 – Através do ADSIEDIT.MSC

Instale o Support Tools (http://www.microsoft.com/downloads/details.aspx?FamilyID=96a35011-fd83-419d-939b-9a772ea2df90&DisplayLang=en) e execute o programa ADSIEDIT.MSC. Expanda CN=Schema,CN=Configuration, e clique com o botão direito. Na Aba Attribute Editor, localize atributo ObjectVersion e observe o valor na coluna Value.

3 – Através do utilitário C:\Windows\System32\schupgr.exe

Acesse a pasta “C:\Windows\System32” de qualquer Domain Controller e simplesmente execute o programa SCHUPGR.EXE. Será listado na tela o valor atual do Schema, no nosso exemplo o valor 31 na linha Current Schema Version o que significa que estamos executando um Domain Controller com o Windows Server 2003 R2.

por Gilson Banin