• Desktop Session Host
• Remote Desktop Virtualization Host
• Remote Desktop Connection Broker
• Remote Desktop Web Access
• Remote Desktop Gateway
• Remote Desktop Licensing
• RemoteFX

O link para download é Remote Desktop Services Component Architecture Poster

A propósito, nesta mesma página existem links para outros posters de arquitetura.

Eu amei esses posters. Super explicativos para entender quais são as funcionalidades e interface entre os diversos componentes.

[ ]s.
Ana Paula M Franco

Active Directory Migration Tool version 3.2

O Guia de Migração em Português e mais 7 línguas também já está publicado em:

Guia da Ferramenta de Migração do Active Directory (ADMT): Migrando e reestruturando domínios do Active Directory

Entre as novidades esta versão provê suporte a migração para o Windows Server 2008 R2.

[]s,
Ana Paula M Franco

Visão Geral: Virtualização é uma realidade hoje no mundo todo, os benefícios são fáceis de identificar: Menos espaço necessário no Data Center para rodar as aplicações que temos hoje, menos consumo de energia, menos hardware e mais agilidade no processo de implementar novos serviços. O que precisamos saber do lado de TI é como decidir qual nível de continuidade precisamos, visto que toda essa consolidação aumenta o risco de uma falha em um único servidor impactar vários serviços da empresa. Com isso cresce muito a importância de um planejamento cuidadoso da arquitetura e para começar é muito importante saber quais opções temos:

Hyper-V: Cluster convencional:
Alocação de uma LUN para cada maquina virtual.

FAQ: Posso ter várias máquinas rodando em uma única LUN ?
R: Pode, o problema aqui é que não será possível mover uma máquina virtual individualmente.

Hyper-V R2: Cluster convencional + Cluster CSV:
A novidade no R2 é a utilização do Shared Volumes, que possibilita que todos os nós do cluster consigam ler e gravar na mesma unidade do storage. A vantagem aqui é a facilidade de configurar e manter a máquina já que o namespace é sempre o mesmo, e também existe a diminuição do custo administrativo de manter várias LUNs.

FAQ: Algum cuidado especial para montar o CSV ?
R: A letra da unidade do sistema operacional deve ser a mesma em todos os servidores pertencentes ao cluster. Se for C:\ em um servidor, todos tem que usar C:\. Aqui é bem importante atenção para quem quer montar um ambiente de laboratório em seu computador pessoal e utiliza dual boot, pois a quantidade de devices que o Windows identifica pode alterar a letra da unidade de sistema.

Quick migration x Live Migration:
No Hyper-V convencional a única opção disponível para migrar as máquinas virtuais de um nó para outro é utilizar o quick migration, onde a memória do servidor é salva no HD e após isso a máquina é migrada para o outro nó e iniciada. Com isso há uma perda temporária de funcionalidade.
Já no Hyper-V R2, temos o Live Migration, onde não existe mais indisponibilidade.

O caviar aqui é: Se o SLA da sua empresa não permite indisponibilidade, faça o upgrade da sua infra-estrutura para o R2.
Para fazer essa atualização, siga as recomendações da Microsoft publicadas aqui: https://support.microsoft.com/kb/957256

Clusters de Máquinas Virtuais:
No Hyper-v para o uso de cluster em máquinas virtuais existem diversas opções onde destacam-se: ISCSI, Windows Storage Server e ISCSI Target de terceiros.

Virtualização de DCs e DNS:
O post é sobre cluster, mas virtualizar DCs e DNS merece tanto cuidado que resolvi colocar no meio do post um alerta importante. Com o Live Migration e a possibilidade de utilizar clusters geográficos, não é tão incomum ver clientes com projetos de virtualização de 100% do ambiente e clientes que já tiveram problemas com clusters que após uma parada programada (parada de energia programada - por exemplo) tiveram sérios problemas para fazer o ambiente voltar a funcionar, pois haviam colocado todos os DCs e DNS dentro da farm de cluster que foi desligada.
DCs e DNS disponíveis são pré-requisitos para que o cluster seja iniciado, então é muito importante que ao menos 1 servidor físico seja mantido com esses serviços.

Cluster Geográfico:
É possível manter clusters geográficos de hyper-v mas, é importante lembrar de alguns pontos importantes:
1: Projete bem o modelo e tamanho da farm, pois se a idéia aqui é disaster recovery, sua empresa pode não estar disposta a manter o mesmo número de servidores físicos inativos, então identificar e criar farms separadas que podem ser migradas para o site de disaster recovery vai ser de grande valia no futuro.

2: Combine o seu desenho com o desenho do fabricante de storage, a importância do desenho da infra de storage é muito grande em cenários de clusters geográficos.

3: Atente para o fato de que o site de disaster recovery deve ter acesso a mesma subnet das máquinas virtuais, pois em caso negativo você terá um monte de máquinas inacessíveis do outro lado.

Links de grande valia quando o assunto é cluster em Hyper-V:
Descrição do que a serem considerados quando você implantar o Windows Server 2008 failover nós de cluster em sub-redes diferentes e roteadas

Usando a migração ao vivo com Volumes Compartilhados do Cluster no Windows Server 2008 R2

Abraços,

Robson Silva
https://blogs.technet.com/robsonsilva

Conforme publicamos anteriormente, podemos receber artigos da comunidade para serem publicados no nosso blog. Aqui vai um post enviado pelo pessoal da PUC-RJ, que foi analisado e pode ser postado :

Como gerar uma lista de contatos no Outlook 2007 baseado nos perfis de usuários do Active Directory em domínios sem Exchange Server?

Uma das vantagens em utilizar um servidor de e-mail como o Exchange Server é que, além do fato de você poder configurar e administrar as contas de e-mail, é também ter a facilidade de possuir uma lista de centralizada (Lista de endereços global) de todos os contatos, que é disponibilizada a todos os usuário que possuem uma conta Exchange configurada em seus clientes de e-mail Microsoft Office Outlook 2007.

Porém, pode ser que sua empresa não possua o Exchange Server e utilize, por exemplo, contas de e-mail disponibilizadas pelo provedor de internet ou por uma empresa de hospedagem.

Neste caso, como gerar uma lista global para todos os usuários, sem ter que cada usuário efetue o cadastro manualmente na lista de contatos do Outlook?

Será descrito abaixo como efetuar essa configuração.

Cenário utilizado:

•             Servidor com Windows Server 2008 com a função AD DS instalada (Active Directory)

•             Estações Windows com Microsoft Office Outlook 2007

•             Todas as instalações feitas com as opções padrão.

Procedimento:

1)            No servidor, acessar o menu Iniciar, Ferramentas Administrativas, Usuários e computadores do Active Directory para ter acesso aos perfis de usuários do domínio (que podem estar na pasta Users ou em uma UO (Unidade Organizacional) criada anteriormente.

2)            Acessar as propriedades de cada usuário e na aba Geral preencher o endereço de e-mail de cada um.

3)            Na estação de cada usuário, abrir o Outlook (de preferência com a conta de e-mail já cadastrada) e acessar o menu Ferramentas, Configurações de Contas. Na aba Catálogos de Endereços, clicar em Novo.

4)            Na janela que se abre, escolher a opção Serviço de Diretório na Internet (LDAP) e avançar.

5)            Na janela seguinte, preencher o nome no servidor e marcar a opção Este servidor requer que eu faça o logon. Serão habilitadas as caixas de texto para preencher o nome de usuário e senha (do domínio, não de e-mail). Também marcar a opção Exigir Autenticação de Senha de Segurança (SPA).

6)            Clicando no botão Mais configurações, será mostrado um aviso que para as configurações terem efeito será necessário reiniciar o Outlook após o processo. Na nova janela aberta, na aba Conexão especificar o nome do catálogo de endereço (por exemplo, Lista de e-mails da empresa). Na aba Pesquisar, marcar também a opção Habilitar Procura. Clicar nos botões Aplicar e OK.

7)            Voltando à janela anterior, clicar em Avançar e depois Concluir.

8)            Feche o Outlook e abra novamente.

9)            Para conferir se a configuração foi bem-sucedida, abra o Catálogo de Endereços e veja se a lista criada é exibida e se os endereços de e-mails dos usuários são mostrados.

10)         Se a opção Habilitar Procura foi marcada, será possível realizar pesquisas baseadas em diversos atributos dos usuários, como Nome, Sobrenome,  Cargo e Departamento, desde que estes tenham sido preenchidos no perfil do usuário no Active Directory.

Obs: Poderíamos também gerar uma planilha com as informações e fazer o preenchimento dos campos (item 2) ou mesmo usar outras ferramentas disponíveis atualmente, como o FIM (Forefront Identity Manager).

Agradecimentos ao pessoal da PUC-RJ, que nos enviou o conteúdo deste post.

Abraços,

Comunidade Brasileira de AD.

https://www.flickr.com/photos/fenchurch/ / CC BY-NC-ND 2.0

Depois da bela introdução conceitual feita pela Artur sobre Cluster vamos para a parte prática.

Obviamente que, como descrito pelo Artur, as primeiras instalações de Cluster dão um friozinho na barriga, mas depois da 5ª ou 6ª instalações isso passa, posso garantir.

Abaixo uma série de dicas e melhores práticas para instalação de um ambiente de Cluster Microsoft, de forma a minimizar a insegurança da primeira ou segunda instalações.

Nota: O objetivo deste post não é detalhar a instalação de serviços como Exchange, SQL, Hyper-V, etc que se beneficiam da plataforma de cluster. Estes detalhes serão apresentados nos próximos posts desta série. Vou me ater em Cluster Service e Failover Cluster.

No Windows 2000 e Windows 2003 a funcionalidade de cluster é conhecida como Cluster Service, já no Windows 2008 e Windows 2008 R2, o serviço mudou de nome para Failover Cluster. Este serviço teve mudanças significativas a partir do Windows Server 2008 que traz novidades no serviço de Failover Cluster, e quando apropriado irei ressaltar as diferenças entre essas versões.

Para instalar e configurar o cluster você precisa apenas de 2 computadores em um domínio Active Directory ligados em rede, preferencialmente com 2 placas de rede em cada servidor.  Além disso, é necessário configurar um recurso no cluster chamado Quorum.

Quorum é o recurso que mantém os dados de configuração necessários para recuperação do cluster. Esses dados, na forma de logs de recuperação, contêm detalhes de todas as alterações que foram aplicadas ao cluster.

Não preciso de um ou mais discos compartilhados?

Não, nem todos os serviços que rodam em cluster necessitam de um storage compartilhado, mas é claro que a maioria dos serviços como Exchange (usando SCC), SQL Server e Hyper-V, que mantém 1 repositório central único, precisam obrigatoriamente de um disco compartilhado entre os servidores, geralmente em hardware dedicado como SAN, DAS ou iSCSI.

E o Quorum não precisa de 1 disco compartilhado?
Não mais!!! A partir do Windows 2003 R2 o Cluster Service trabalha com 2 tipos de Quorum que NÃO requerem disco compartilhado. Estes tipos são: Local Quorum e Node Majority Set

Para demonstrar que a instalação e configuração do serviço de cluster é mais fácil que muitos imaginam, segue abaixo o ambiente que será montado.

1) Preparação do hardware e sistema operacional

Se estiver rodando Windows 2003:

1. Utilize somente hardware (servidores, controladoras, storage) que está na HCL conforme artigo: https://support.microsoft.com/kb/309395
2. Atualize o sistema operacional Windows 2003 R2
3. Instale o último Service Pack disponível
4. Rode o Windows Update e instale todas as atualizações
5. Coloque o servidor no domínio

Se estiver rodando Windows 2008 ou Windows 2008 R2:

1. Utilize qualquer hardware que esteja certificado para Windows 2008, nada mais, a compatibilidade da solução de cluster será feita durante a verificação do cluster, se o teste passar com sucesso, seu ambiente está suportado.
2. Instale o último Service Pack disponível
3. Rode o Windows Update e instale todas as atualizações
4. Coloque o servidor no domínio

2) Preparação dos componentes de rede

Crie uma rede ou VLAN dedicada para a rede de heartbeat (ver nota abaixo), isso porque o tráfego gerado pelos servidores nesta placa de rede é broadcast. Caso esteja utilizando somente 2 servidores, fisicamente próximos, você pode utilizar um cabo Ethernet para ligá-los diretamente (antigamente precisava ser cabo cross). Por ser uma rede isolada, a rede de heartbeat não precisa de configurações de roteamento, NETBIOS, nem resolução de nomes.

Nota: A rede de heartbeat é utilizada exclusivamente para verificar a disponibilidade dos servidores do cluster, ou seja, quando um servidor é desligado, a rede de heartbeat identifica a falha deste servidor e automaticamente move os recursos que estava neste servidor para outro servidor do cluster, de forma que os usuários não percebam a falha do servidor.

No caso de Hyper-V em ambiente de cluster, algumas redes adicionais serão necessárias, mas este assunto será apresentado no próximo post.

3) Preparação das placas de rede

Um ambiente de cluster utiliza pelo menos 2 placas de rede:

• 1 placa de rede para a conexão do cluster à rede de dados (LAN), esta placa será chamada de PÚBLICA;
• 1 placa de rede para comunicação interna entre os servidores – heartbeat, esta placa será chamada de PRIVADA

Execute os procedimentos abaixo em todos os servidores do cluster.

1. Conecte as placas de redes irão participar do cluster ao switch.
2. Altere o nome de cada uma das placas de rede conforme indicado acima (Pública e Privada).
3. Para a placa de rede PRIVADA faça a seguinte configuração:
• Windows 2003 R2 (a placa de heartbeat utilizará um endereço IP fixo. Utilizar APIPA não é recomendado).
  • Na configuração de rede, desmarque as seguintes opções:
    • Client for Microsoft Networks;
    • File and Printer Sharing for Microsoft Networks;
  • Configure apenas o endereço IP e subnet mask. Não configure default gateway, DNS primário nem DNS secundário.
  • Na guai DNS, desmarque a opção “Register this connection's addresses in DNS”.
  • Na tab WINS, marque a opção “Disable NetBIOS over TCP/IP”.
• Windows 2008 ou Windows 2008 R2: (a placa de heartbeat utilizará o endereço IPv6 link local).
  • Na configuração de rede, desmarque as seguintes opções:
    • Client for Microsoft Networks;
    • QoS Packet Scheduler;
    • File and Printer Sharing for Microsoft Networks;
    • Internet Protocol Version 4 (TCP/IPv4);
    • Link-Layer Topology Discovery Mapper I/O Driver;
    • Link-Layer Topology Discovery Responder;
  • Na configuração IPv6, guia DNS, desmarque a opção Register this connection’s addresses in DNS.
• Nota: Até o Windows 2000, recomenda-se definir a velocidade de transmissão da placa de rede para 10 Mbits – HalfDuplex. Hoje em dia não é mais necessária essa configuração.
4. Para a placa de rede PÚBLICA faça a seguinte configuração:
   • Configure o endereçamento TCP/IP (IPv4 ou IPv6) conforme os demais servidores da sua rede, definindo o endereço IP, Subnet Mask, Default gateway, DNS e WINS (se utilizar).

   Nota: WINS não é mais necessário para ambiente Cluster Windows 2003 ou superior.

Nota: Para cluster com Windows 2008 ou Windows 2008 R2, mesmo que não seja recomendado, é possível utilizar endereços dinâmicos (DHCP) tanto para a placa de rede Pública como para rede Privada.

1. Configure a ordem das placas de rede através da console Network Connections, menu Advanced, opção Advanced Settings, conforme abaixo:
   

   	Pública
   	Privada
   	Remote access connections

4) Instalação do cluster

Execute os procedimentos abaixo em qualquer um dos servidores que farão parte do cluster.

Se estiver rodando Windows 2003 R2:

1. Abra a ferramenta Cluster Administrator.
2. Escolha a opção Create a Cluster no Wizard, ou com a console do Cluster Administrator aberta vá no menu File, New e escolha Cluster.
3. Adicione todos os servidores que farão parte do cluster.
4. Faça os testes necessários de validação do cluster e continue a instalação.
   • Nota: Ignore a mensagem do Wizard sobre a falta de um disco compartilhado.
5. No campo Cluster Name digite um nome único na rede para o cluster, no campo IP Address,  digite um endereço IP também único na rede e escolha a conta de serviço do domínio para o Cluster (Usuário normal sem qualquer direito adicional).
6. Na página Proposed Cluster Configuration, clique no botão Quorum, e selecione Majority Node Set.

Nota: As informações  de Nome do cluster e Endereço IP serão utilizada apenas para administração do cluster e não terão visibilidade para os clientes.

Se estiver rodando Windows 2008 ou Windows 2008 R2:

1. Abra a ferramenta Failover Cluster Management.
2. Em Actions, escolha Create a Cluster.
3. Adicione todos os servidores que farão parte do cluster.
4. Faça os testes necessários de validação do cluster e continue a instalação. (Dica: desmarque o teste de Storage).
5. No campo Cluster Name digite um nome único na rede para o cluster e no campo IP Address selecione a rede Pública e digite um endereço IP também único na rede.

Nota: As informações  de Nome do cluster e Endereço IP serão utilizada apenas para administração do cluster e não terão visibilidade para os clientes.

Nota: O Windows 2008 e Windows 2008 R2 não utilizam mais uma conta de serviço para o Cluster, qualquer permissão necessária deve ser dada para a conta de computador criado no Active Directory referente ao nome do cluster.

5) Configure os papéis de cada rede no cluster

Execute os procedimentos abaixo em qualquer um dos servidores do cluster.

Se estiver rodando Windows 2003 R2:

1. Abra a ferramenta Cluster Administrator.
2. Expanda o nome do cluster e selecione Networks.
3. Clique com o botão direito sobre a rede Privada, escolha Properties e selecione a opção Internal cluster communications only (private network) e clique em Ok.
4. Clique com o botão direito sobre a rede Pública, escolha Properties e selecione a opção All communications (mixed network) e clique em Ok.
5. Caso apareça alguma rede adicional, clique com o botão direito sobre a rede e desmarque a opção Enable this network for cluster use e clique em Ok. A rede aparecerá com um ponto de exclamação azul.

Se estiver rodando Windows 2008 ou Windows 2008 R2:

1. Abra a ferramenta Failover Cluster Management.
2. Expanda o Nome do cluster e selecione Networks.
3. Clique com o botão direito sobre Cluster Network 1 e altere o nome da rede para Privada e confirme que a somente a opção Allow the cluster to use this network está selecionada e clique em Ok.
4. Clique com o botão direito sobre Cluster Network 2 e altere o nome da rede para Pública e confirme que as opções Allow the cluster to use this network e Allow clients to connect through this network estão selecionada e clique em Ok.
5. Caso apareça alguma rede adicional, clique com o botão direito sobre a rede e desmarque a opção Allow the cluster to use this network e clique em Ok. A rede aparecerá com um ponto de exclamação azul.

6) Crie o compartilhamento para o File Share Witness

Escolha qualquer servidor da sua rede, preferencialmente o servidor de arquivo, mas também pode ser um controlador de domínio, crie uma pasta e compartilhe utilizando os comandos abaixo. Este compartilhamento será utilizado para armazenar as informações do Quorum do cluster.

Os comandos abaixo funcionam tanto para Windows 2003 R2 como para Windows 2008 e Windows 2008 R2, o que diferencia a série de comandos abaixo é a versão do sistema operacional do cluster. A diferença dos comandos se dá porque no Windows 2008 não há mais conta de serviço para o cluster e a permissão deve ser concedida para a conta de computador criado no Active Directory referente ao nome do cluster, também conhecida como Cluster Name Object (CNO)

Nota: O utilitário cacls.exe é nativo do Windows 2008 e Windows 2008 R2, para Windows 2003 R2 é necessário instalar o Support Tools através do link: https://www.microsoft.com/downloads/details.aspx?familyid=96A35011-FD83-419D-939B-9A772EA2DF90&displaylang=en. Esta é a versão tanto para x86 como para x64.

Se o cluster que estiver sendo criado for Windows 2003 R2 utilize os seguintes comandos:

• mkdir C:\FSW_Cluster01
• net share FSW_Cluster01=C:\FSW_Cluster01 /GRANT:Fabrikam\ClusterService,FULL
• cacls C:\ FSW_Cluster01 /G BUILTIN\Administrators:F Fabrikam\ClusterService:F
• NET VIEW \\SERVER01

Onde:

Se o cluster que estiver sendo criado for Windows 2008 ou Windows 2008 R2 utilize os seguintes comandos:

• mkdir C:\FSW_Cluster01
• net share FSW_Cluster01=C:\FSW_Cluster01 /GRANT:Fabrikam\CLUSTER01$,FULL
• cacls C:\ FSW_Cluster01 /G BUILTIN\Administrators:F Fabrikam\CLUSTER01$:F
• NET VIEW \\SERVER01

Onde:

6) Configure o Cluster para usar o File Share Witness

Se estiver rodando Windows 2003 R2 utilize o seguinte comando:

Cluster res "Majority Node Set" /priv MNSFileShare=\\SERVER01\FSW_Cluster01

NOTA: Ignore a mensagem de warning sobre a necessidade de reiniciar o recurso.

Se estiver rodando Windows 2008 ou Windows 2008 R2 utilize os seguintes comandos:

Cluster.exe /cluster:CLUSTER01 res "File Share Witness" /create /group:"Cluster Group" /type:"File Share Witness" /priv SharePath=\\SERVER01\FSW_Cluster01

Cluster.exe res "File Share Witness” /online

Cluster.exe CLUSTER01 /quorum:"File Share Witness"

7) Verifique se o cluster está operacional

1. Abra a ferramenta de gerenciamento do cluster, expanda o nome do cluster e navegue até os servidores, verificando que o Status em todos servidores está Up.
2. Selecione o grupo Cluster Group e escolha Move Group, verifique se o grupo consegue ser movido com sucesso para todos os servidores do cluster.

Parabéns, seu cluster está criado e funcionando !!!!

IMPORTANTE: Para ambiente de missão crítica, faça sempre um bom planejamento, e se possível, esteja acompanhado por um consultor Microsoft.

por Marcelo Hunecke

Quem nunca sentiu um frio na barriga em instalar um cluster pela primeira vez que atire a primeira pedra. A tecnologia de cluster mudou bastante desde o primeiro cluster server da Microsoft, que tinha o codenome de "Wolfpack" é era parte do Windows NT 4.0 Server Enterprise Edition.

Curiosamente, ainda existem vários mitos, conceitos defasados ou até mesmo errados em relação a implemetação de cluster nos dia de hoje. Por esse motivo, decidimos criar uma série de posts sobre o assunto. Cada post vai ser escrito por um especialista e vai trazer conceitos, melhores práticas, ferramentas e links com maiores informações sobre o assunto.

Mas o que é um cluster do ponto de vista tecnológico? De acordo com o mercado, cluster é um grupo de computadores e de dispositivos de armazenamento que trabalham em conjunto e são acessados como um único sistema. O cluster pode prover:

• distribuição da carga de processamento
• recuperação automática de falha de um ou mais componentes do cluster

As arquiteturas de cluster mais comuns na indústria podem ser categorizadas em quatro tecnologias.

• Clusters de alta disponibilidade  (HA) – são projetados para fornecer maior tempo de disponibilidade para um ou mais serviços.
• Clusters de balanceamento de carga – Os recursos entre os servidores normalmente não são compartilhados entre eles. Esse tipo de cluster é usado para balancear a carga e também são conhecidos como servers farms.
• Cluster de Alto desempenho (HPC) – Conhecidos também como clusters Beowulf.  Os High Performance Cluster são projetados dividir o processamento entre os servidores do cluster. Nesse tipo de cluster é utilizado o conceito de computação paralela entre vários servidores, entretanto, o cluster atua como uma única entidade computacional. Os HPC são usados principalmente nas comunidades científicas, médicas e acadêmicas.
• Clusters de computação de grade (Grid) – Os Grid são semelhantes aos HPC, no entanto, os servidores não estão tão diretamente ligados e não funcionam como uma única entidade computacional. Cada servidor participante do Grid executam o trabalho independente para o resto do cluster.

Os principais benefícios em utilizar a tecnologia de cluster estão diretamente ligadas a disponibilidade e  escalabilidade.

• Disponibilidade: é a quantidade de tempo que um componente ou sistema realiza sua função especificada. Mede a porcentagem de tempo que o sistema está em seu estado operacional.
• Escalabilidade: Quando a carga global excede as capacidades dos sistemas, recursos adicionais podem ser adicionados sem a necessidade de alterar a arquitetura inicial planejada.

Um ponto importante é que o preço da alta disponibilidade nem sempre é visivel para o cliente, pois um cluster de alta disponibilidade ou de balanceamento de carga permite que sistemas continuem a operar adequadamente mesmo após falhas em alguns de seus componentes. Entretanto, deve ser observado também a redundância de hardware e componentes de rede, mecanismos de prevenção/controle de queda de energia elétrica, instalação rotineira de atualizações de segurança e antivírus, monitoramento e ambiente físico adequado para as os equipamentos servidores.

Um ambiente com alta-disponibilidade requer uma maturidade operacional da organização com documentos de SLA/OLA dos serviços, para que o nível adequado de alta disponibilidade possa ser adotado.

Em resumo, a tecnologia de cluster por sí só não garante a alta disponibilidade de um serviço, mas é parte integrante para alcança-la.

No próximo post mais detalhes sobre o MSCS – Microsoft Cluster Services

por Artur Rodrigues

Neste post vamos compartilhar uma experiência vivenciada em campo, advinda da necessidade de publicação da aplicação Office Communicator Web Access 2007 R2 (CWA) via IAG 2007. Alguma coisa mudou na aplicação CWA da versão 2007 para a 2007 R2 e sua publicação via IAG deixou de ser direta. E então, o que fazer?

Introdução

O Intelligent Application Gateway (IAG) é uma poderosa solução de acesso remoto que provê um vasto leque das tecnologias tal como VPN, VPN/SSL, port forwarding e proxy reverso para publicação de aplicações. Ele provê também controle de acesso incluindo mecanismos para autenticação de cliente, single-sign-on e uma variedade de políticas de acesso. A próxima geração desta solução é chamada Forefront Unified Access Gateway (UAG), a qual oferecerá mais tecnologias dentre as quais Windows 7 SSTP e Windows 2008 R2 Direct Access.

Com o uso do IAG, todas as aplicações Web são publicadas via mecanismos de proxy reverso. Isto permite ao IAG ver o que é transportado e tomar ações quando necessário, como por exemplo, reescrever links HTML em uma página, transformando nomes internos (como as https://finance.internal.private/logo.Gif) em nomes públicos para internet (como https://finance.mypublicname.com/logo.Gif).

No entanto, as “aplicações web” evoluíram e não são mais compostas simplesmente de páginas "HTML" estáticas. A maioria das aplicações web contém código executável que produz mudanças em conteúdo/comportamento em tempo de execução. Portanto, publicar tais aplicações web pode falhar quando se usa um proxy reverso (não importando o tipo ou marca). Proxies reversos podem reescrever links HTML numa página sem problemas, mas e se os links vêm de fomas não esperadas?

Qual é a questão técnica aqui? Bem, se na página você houver um pedaço de código, isso significa que a “renderização” desta página (feita pelo browser do cliente) será parcialmente gerada pela execução do código, o qual pode conter variáveis pré-definidas que fazem referência a nomes internos. O resultado é que, uma vez que a página é “renderizada” pelo browser (lembrando que o usuário está na Internet, fora da rede corporativa) alguns dos links permanecerão “links internos”, provocando falhas no browser quando este tenta fazer a conexão. Mas na maioria das vezes, erros randômicos serão gerados dependendo do framework usado no desenvolvimento.

E o que pode ser feito para corrigir isso? A maioria dos proxies reversos não tem mecanismos nativos para fazê-lo. A “engine” é preparada para alterar somente código HTML e a extensão de tal funcionalidade normalmente é tratada via SDK, cujo uso normalmente requer habilidades avançadas em C++. No caso do IAG, o mecanismo para realização deste trabalho já está disponível para IT Pros e é chamada de “ApplicationWrapping/SRA”. Com este recurso, pode-se mudar praticamente tudo num fluxo de dados: cabeçalho, HTML, javascript, java, etc. Esta “engine” requer um arquivo de configuração, baseado em XML, e utiliza uma linguagem de macro que é descrita no manual de administração avançada do IAG.

O Office Communicator Web Access 2007 R2 (CWA), liberado em meados de 2009, infelizmente tem problemas na publicação e apresenta o comportamento descrito acima. Por algum motivo (que vamos descrever na sequência) o CWA 2007 R2 não estava funcionando através do IAG.

O sintoma

Quando iniciamos os testes do CWA publicado através do IAG notamos um comportamento estranho: primeiro algumas figuras estavam faltando na página de login e então apresentava o erro “Error code: 1‑0‑400”, como pode-se ver abaixo:

A metodologia

A metodologia para analisar e corrigir este comportamento envolve, basicamente, capturar o tráfego HTTP e observar a transação. Ao olhar o tráfego HTTP precisamos identificar:

• Qual é o problema e onde ele ocorre,
• o motivo,
• e então, como corrigir usando as “engines” do IAG (“AppWrap/SRA”).

O papel do IAG, neste caso, será mudar o que está provocando o problema, ao passo que o nosso papel (IT Pros) será dizer ao IAG o que mudar.

Um recurso imprescindível na busca pelo problema é um analisador HTTP, como o “HttpWatch”, ao invés de analisadores de rede como “Wireshark” ou “Netmon”.

O problema

Vamos então reproduzir o problema e capturar o tráfego. Neste exemplo nós usamos o “HttpWatch” para capturar o tráfego HTTP. Observando o quadro abaixo com a captura, já podemos identificar o problema:

Nesta captura de tela pode-se ver que as primeiras cinco requisições HTTP (no retângulo amarelo com número “1”) funcionaram bem. Podemos verificar isso na coluna “Result” correspondente às requisições GET, as quais geraram HTTP status “200”, que significa sucesso.

A partir de certo momento (requisição 6) podemos ver que as requisições retornam erro (neste caso, uma mensagem referindo-se a problema de resolução de nome). Ao olhar as requisições HTTP que falham (no retângulo vermelho com número “2”), vemos que a URL requisitada pelo Internet Explorer (IE) não é mais a URL internet que se usava para chegar ao IAG, mas sim a URL da aplicação interna. E agora que sabemos qual é o problema, vamos tentar encontrar a causa...

Identificando a causa

O primeiro erro ocorre quanto o IE tenta fazer o download de um arquivo chamado “detailbar_up_hover.gif”.

Então, tentamos identificar a fonte do problema, localizando o elemento que anteriormente instruiu o IE a fazer o download deste arquivo, o que poderia ser tanto uma tag HTML (mas isso sabemos que o proxy reverso pode tratar e reescrever sem problemas) ou um pedaço de código baixado anteriormente.

O que fazemos é uma busca (usando a ferramenta “find” do HttpWatch) pela palavra “detailbar_up_hover.gif“, a partir da requisição que falhou, no sentido do início (upward). E com isso encontramos a requisição e a resposta contendo tal palavra. O que obtemos é:

Request:

GET /whalecom754aec20c6043b78fe481a84322ae50e153495e7/whalecom1/cwa/client/Resource.aspx?param=1-2-13825|2-2-5|4-2-17409 HTTP/1.1

Se olharmos então para a resposta de tal requisição, que é basicamente “dê-me o conteúdo de resource.aspx file” (detalhe no quadro abaixo), podemos encontrar alguns códigos javascript contendo variáveis que guardam links com nomes internos. E isso é um problema!

E por que o proxy reverso não pode mudá-las? Simplesmente porque são programados para analisar somente código HTML, buscando por tags “HREF”.

Segue abaixo um recorte da página “resource.aspx”, com o código gerador do problema, destacando a referência a links internos:

<EXTRACT> var L_Menu_UpArrow = "https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/detailbar_up_hover.gif";var L_Menu_DownArrow = "https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/detailbar_down_hover.gif";var L_Presence_FreeImg = "https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/presence_icons/online.png";var L_Presence_IdleFreeImg = "https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/presence_icons/idle.png";var L_Presence_BusyImg = "https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/presence_icons/busy.png";var L_Presence_IdleBusyImg = https://ocs-cwa.fabrikam.com/cwa/Client/3.5.6907.0000/Loc/Image/presence_icons/idlebusy.png <END EXTRACT>

Agora que sabemos a causa do problema: o CWA 2007 R2 está usando javascript que gera HTTP GET para a aplicação e o IAG não pode reescrever estes links por padrão, temos que dizer ao IAG como fazer a correta substituição destes links.

Como corrigir

Estamos entrando na etapa final da solução. Como dissemos anteriormente, o IAG contém uma “engine” capaz de modificar basicamente tudo. Só precisamos dizer a ele o que fazer, utilizando sua linguagem.

No caso do CWA 2007 R2 temos que fazer um “search and replace” do código HTML quando a requisição for “GET Resource.aspx”.

Para fazer isso, criamos um arquivo de configuração para o portal do IAG no TRUNK que publica o CWA 2007 R2 e aqui vão os passos para configurar o IAG:

1. Vá ao diretório C:\Whale-Com\e-Gap\von\conf\WebSites\<Portal>\Conf
2. Crie um diretório “CustomUpdate”. O arquivo de configuração será colocado aqui.
3. Crie um arquivo chamado “WhlFiltAppWrap_HTTPS.xml”.
4. Copie o texto abaixo no arquivo criado:

<APP_WRAP ver="3.0" id="RemoteAccess_HTTPS.xml">

<MANIPULATION>

<DATA_CHANGE>

   <URL case_sensitive="false">.*/Resource\.aspx.*</URL>

   <SAR>

      <!-- SEARCH https://yourApplication.internal.name -->

      <SEARCH encoding="base64">BASE64 ENCONDING for the internal name</SEARCH>

      <!-- REPLACE WITH https://yourportal.external.name -->

      <REPLACE encoding="base64" using_variables="false">BASE64 ENCONDING for the external name </REPLACE>

   </SAR>

</DATA_CHANGE>

</MANIPULATION>

</APP_WRAP>

IMPORTANTE: Aqui vão algumas substituições que precisam ser feitas :

• Coloque a URL do nome interno de sua aplicação no “Search”
• Coloque a URL com o nome internet (publicada pelo IAG) no “replace”. Esta URL tem que conter o FQDN incluindo o “HOST ADDRESS TRANSLATION (HAT)” da aplicação CWA 2007 R2 no IAG (ex: whalecom754ae…).
• Com os valores substituídos, é necessário codificá-los “BASE64” (pode-se fazer isso online usando a ferramenta https://webnet77.com/cgi-bin/helpers/base-64.pl)

Após as substituições apropriadas, seu código deverá parecer com o exemplo abaixo:

Uma dica: após salvar o arquivo, clique duas vezes no respectivo arquivo XML. Com isso o IE irá “renderizar” e validar se o arquivo está correto (do ponto de vista exclusivo de sintaxe XML), pois se houver algum  erro o IAG não carregará o arquivo e não o avisará disso. Simplesmente não funcionará

Uma vez que o arquivo estiver pronto e no lugar, é necessário ativar a configuração do IAG. Não se esqueça de marcar a opção “Apply changes made to external configuration settings” ou o IAG não tratará a customização.

Conclusão

O IAG provê todas as características de um proxy reverso e, adicionalmente, uma “engine” chamada AppWrap que pode substituir tudo em um tráfego HTTP. Isso permite que aplicações com problemas na publicação possam funcionar como esperado.

O CWA 2007 R2 é um exemplo prático e bom pois foi simples de corrigir. Algumas outras aplicações podem ser mais complexas, embora a metodologia de correção permaneça a mesma.

Por Lucimara Desiderá (MS Consultant, São Paulo) & Frédéric ESNOUF (MS Pre-sales IDA, Paris).

O que gostaríamos de anunciar é que caso vocês tenham alguma sugestão/assunto/post que gostariam de publicar ou ver publicado agora sera possivel !!

Para compartilhar com a comunidade através do nosso blog, enviem-nos o conteúdo por email (clicando no botão de email desta pagina) sera feita uma análise do conteúdo, se for aprovado, o seu post poderá ser publicado com seu nome/endereço de email.  

Abraços,

Comunidade Brasileira de AD

Este artigo irá demonstrar como instalar o RODC (Read Only Domain Controller) em um servidor com o Windows Server 2008 R2: Server Core.

Acredito que nesta altura do campeonato a maioria dos leitores já saibam o que é o RODC, mas só para explicar em poucas palavras para os que ainda não conhecem essa feature do Windows Server 2008, o RODC é um Domain Controller, como os demais, que autentica os usuários e computadores na rede onde ele se encontra, e é ideal para se instalado em escritórios remotos, onde não há uma infraestrutura adequada de segurança para a guarda do servidor.

Antes de instalar o primeiro RODC, precisamos validar alguns pré-requisitos de infraestrutura.

• Nivel de funcionalidade do domínio deve ser Windows Server 2003 ou superior.
• O domínio e a floresta devem ser preparados para o Windows Server 2008, rodando os comandos: 
      adprep /foresprep
      (https://technet.microsoft.com/en-us/library/cc753437(WS.10).aspx)
      adprep /domainprep /gpprep
      (https://technet.microsoft.com/en-us/library/cc754670(WS.10).aspx)
• Adicionalmente deve-se rodar o comando adprep /rodcprep para preparar o domínio Windows Server 2003 para receber o RODC.
      (https://technet.microsoft.com/en-us/library/cc771055(WS.10).aspx)
• Deve haver pelo menos um Domain Controller normal (Não-RODC) rodando o Windows Server 2008 no domínio.
• Aplicar o hotfix (KB944043) nos clientes (Windows XP, Windows Vista RTM) e servidores Windows Server 2003  https://support.microsoft.com/kb/944043/en-us

Validados os pré-requisitos, mãos à obra:

Aqui vale uma observação, existem várias formas para implantar o RODC no domínio, aqui vamos apresentar a opção onde o próprio administrador instalará o RODC; .

Vamos para as atividades necessárias para subir o RODC, usando as credenciais de um administrador do domínio.

1. Instalar o Windows Server 2008 R2, no modo Server Core:
   
2. Configurar os opções básicas do servidor:
   O Windows Server 2008 R2 conta agora com uma ferramenta de configuração chamada SCONFIG que ajuda bastante na hora de realizar as configurações básicas, como Nome da Máquina, IP, DNS, etc…
   Em um outro post, dou várias dicas de configuração do Server Core, se precisar dá uma espiada lá (https://blogs.technet.com/brzad/archive/2009/07/15/instalando-o-hyper-v-no-windows-server-2008-server-core.aspx)
3. Promover o servidor a RODC/Instalar o DNS
   Para promover o servidor a RODC deve-se primeiro preparar um arquivo de respostas para ser usado com o comando DCPromo, uma vez que o Server Core não tem interface gráfica, não há como usar o assistente de promoção do DCPromo.
   
   Abaixo, segue um exemplo de um arquivo de respostas para promover um RODC e também instalar o DNS, copie e cole no notepad e lembre-se de substituir os valores destacados em vermelho:

   [DCInstall]
   ReplicaOrNewDomain=ReadOnlyReplica
   ReplicaDomainDNSName=<NOME.DO.DOMINIO>
   SiteName=Default-First-Site-Name
   InstallDNS=Yes
   ConfirmGc=Yes
   UserDomain=<NOME.DO.DOMINIO>
   UserName=*
   Password=*
   DatabasePath="C:\Windows\NTDS"
   LogPath="C:\Windows\NTDS"
   SYSVOLPath="C:\Windows\SYSVOL"
   PasswordReplicationDenied="Domain Admins"
   PasswordReplicationDenied="Enterprise Admins"
   PasswordReplicationAllowed=None
   DelegatedAdmin="Domain Admins"
   CriticalReplicationOnly=Yes
   SafeModeAdminPassword= <SENHA DO ADMIN LOCAL(MODO DSRM)>  RebootOnCompletion=No   

   Salve o arquivo como RODCInstall.txt

   Execute o comando: dcpromo /unattend:RODCInstall.txt

   Será solicitado o Login e senha de um usuário com privilégios de administrador do domínio.

   Após promovido o RODC, efetue um restart do servidor.

   Isto conclui a instalação do RODC usando a conta do administrador.

Vejamos agora como instalar o RODC com a conta de um usuário comum

1. Instalar o Windows Server 2008 R2, no modo Server Core
   (Idem anterior)
   
2. Configurar as opções básicas do servidor
   (Idem anterior)
   Importante: Para este modo de instalação do RODC o servidor deve permanecer em Workgroup.
   
3. Prepopular o RODC no Active Directory
   3.1 Criar o Site da localidade no Active Directory Sites and Services
   
   Abra o Active Directory Sites and Services, e crie um novo site
   
   
   Defina o nome do site, e associe-o com um Site Link
   
   
   Clique em Ok
    
     
   Neste cenário recomenda-se criar um objeto de subnet e associá-lo ao Site recém criado.
   
   3.2 Pre-popular o RODC no Active Directory Users and Computers
   
   No Active Directory Users and computers, clique com o botão direito em “Domain Controllers” e depois clique em “Pre-create Read-only Domain Controller Account…”
   
   Na tela “Welcome…” clique em Next.
   
   
   Na tela “Operation System Compatibility” clique em Next.
   
   
   Na tela “Network Credentials” clique em Next se você já estiver logado com uma conta que seja administrador do domínio, caso contrário selecione “Alternate credentials” e defina o usuário e senha para executar o wizard.
   
   
   Na tela “Specify the Computer Name” defina o nome de computador que será usado no servidor RODC
   
   
   Escolha o site que você criou no passo 3.1, e clique em Next
   
   
   Selecione os itens opcionais que desejar (Recomenda-se deixar "Dns Server” e “Global Catalog” selecionado) e clique em Next
   
   
   Na tela “Delegation of RODC Installation and Administration” defina o grupo de usuários que será usado para instalar e promover o servidor RODC e clique em Next.
    
   
   Na tela “Summary” reveja as configurações e clique em Next.
   
   
   Para concluir clique em Finish.
    
   
4. Promover o servidor a RODC / Instalar o DNS
   
   Para promover o servidor a RODC deve-se primeiro preparar um arquivo de respostas para ser usado com o comando DCPromo, uma vez que o Server Core não tem interface gráfica, não há como usar o assistente de promoção do DCPromo.
   
   Abaixo, segue um exemplo de um arquivo de respostas para promover um RODC pré-criado no Active Directory e também instalar o DNS, copie e cole no notepad e lembre-se de substituir os valores destacados em vermelho:

   [DCInstall]
   ReplicaOrNewDomain=ReadOnlyReplica
   ReplicaDomainDNSName=<NOME.DO.DOMINIO>
   SiteName=Default-First-Site-Name
   InstallDNS=Yes
   ConfirmGc=Yes
   UserDomain=<NOME.DO.DOMINIO>
   UserName=<NOMDE.DO.DOMINIO>\USUARIO_DELEGADO
   Password=*
   DatabasePath="C:\Windows\NTDS"
   LogPath="C:\Windows\NTDS"
   SYSVOLPath="C:\Windows\SYSVOL"
   CriticalReplicationOnly=Yes
   SafeModeAdminPassword= <SENHA DO ADMIN LOCAL(MODO DSRM)>  RebootOnCompletion=No   

   Salve o arquivo como RODC_Install.txt

   Execute o comando: dcpromo /UseExistingAccount:Attach /unattend:RODC_Install.txt
   
   
   Na tela “Windows Security” preencha a senha do usuário que foi delegado para a instalação do RODC e que faça parte do grupo definido na hora de pré-popular o RODC no Active Directory.
    
   
   Se tudo estiver certo a promoção do RODC deve começar conforme tela abaixo:
    

   Após promovido o RODC, efetue um restart do servidor.

   Isto conclui a instalação do RODC usando a conta de um usuário normal, que foi delegado para instalar e promover o RODC.

1. Pós Instalação (Opcional)
   
   Configuração do PRP(Password Replication Policy)
   Conforme dito no início deste artigo, por padrão o RODC não armazena em cache as senhas dos usuários, com isto, na eventual falha de comunicação entre o RODC e o DC “full” os usuários das localidades onde um RODC for instalado poderão ter problema para efetuar logon.
   
   Para que este comportamento não ocorra, deve-se habilitar o cache das senhas dos usuários da localidade para o respectivo servidor RODC.
   
   A maneira mais segura de fazer isto é criar um grupo de segurança para cada localidade, e habilitar o armazenamento de senha no respectivo servidor RODC apontando este grupo.
   
   Para fazer isto siga os seguintes passos:
   
   A) Crie um grupo de segurança no domínio que identifique bem a localidade, e a finalidade do grupo. (Ex: G_Pwdcache_Remoto poderia ser usado para indicar um grupo global (G), para fazer o cache da senha(Pwdcache) de usuários Remotos, que poderia ser substituido pelo nome da localidade.
   
   B) Abra o Active Directory Users and Computers, expanda a OU Domain Controllers, clique com o botão direito do mouse em cima do servidor RODC e selecione a opção Properties.
   
   
   C) Vá até a guia “Password Replication Policy” 
   
   clique no botão “Add”
   
   
   Selecione a opção “Allow…”, e clique em OK
   
   
   adicione o grupo “G_Pwdcache_Remoto” e clique em OK
   
   
   Atividade opcional:
   De volta à guia “Password Replication Policy”  é possível pre-popular as senhas dos usuários e computadores da localidade na base do RODC, para isso, clique em “Advanced”
   
   Na janela que se abre clique no botão “Prepopulate Passwords”
   
   
   Selecione os usuários/computadores que deseja pre-popular e clique em OK
   
   
   Na tela de confirmação, clique em “Yes”
   
   
   Para validar quais são os usuários/grupos que estão configurados no PRP, abra o prompt de comando e digite o seguinte comando:
   repadmin /prp view <hostname> allow
   substituindo o <hosntame> pelo FQDN do servidor RODC.

Isto conclui a instalação e configuração inicial de um RODC.

Um abraço e até a próxima!

Douglas O. Santos / José Renato Roda

A última versão do e-book Introducing Windows Server 2008 R2 está disponível para Download.

No livro é apresentada uma visão geral dos seguintes tópicos:

• instalação e configuração
• Hyper-V
• Remote desktop services e VDI
• AD
• File services
• IIS 7.5
• DirectAccess e NAP

[]s.
Ana Paula