Windows 10 Blog di Marco Moioli https://docs.microsoft.com/archive/blogs/marco_moioli/feed.xml Notizie, Risorse e Best Practice su Windows 10 Tue, 16 Apr 2019 06:10:35 GMT en-US hourly 1 La resistenza al Cambiamento - Resistance to Change https://docs.microsoft.com/archive/blogs/marco_moioli/la-resistenza-al-cambiamento-resistance-to-change Tue, 26 Jun 2018 08:00:20 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=605 [For English readers, a translation of this article can be found at the end of the page] In un precedente articolo https://blogs.technet.microsoft.com/marco_moioli/2018/06/25/moving-from-project-to-process/ ho parlato di come i software "as a Service" pongano la tematica di innovazione continua. Questo è vero per Windows 10, per Office 365, per Salesforce, per Dropbox… Qualsiasi software che viene fornito da un cloud provider si evolve e questo introduce due macro problematiche:
  1. Le aziende non sono strutturate per abbracciare cambiamenti tecnologici continui
  2. Una volta che la nuova funzionalità viene recepita a livello tecnico, è necessario che l'utente la utilizzi
Si dice sempre che la più grande forza nell'universo sia "l'amore" ma io sospetto sia nei primi posti anche "l'abitudine" infatti modificare il modo di lavorare di una persona in modo che, tramite nuovi strumenti, possa migliorare la sua produttività è un'impresa alquanto ardua. Sono necessari una serie di passi strutturati
  1. Il volere dell'IT di fornire un nuovo strumento/procedura (qual è il business need?)
  2. L'implementazione tecnologica del nuovo strumento nell'ambiente esistente
  3. La comunicazione all'utente finale dell'esistenza del nuovo strumento/procedura
  4. L'efficacia del cambiamento basata sul fatto che gli utenti utilizzino il nuovo strumento/procedura e che il cambiamento abbia raggiunto effettivamente lo scopo prefissato (più produttività oppure più sicurezza…)
Tutto questo sulla carta sembra semplice ma in realtà è molto più complesso… Vanno individuati attori, momenti, dipendenze tecnologiche e organizzative. Va pianificato quando, come e da chi verrà effettuato il change a livello tecnologico. Va pianificato inoltre quando, come e da chi verrà effettuata la comunicazione all'utente finale sotto forma di email, workshop, video, documenti, ecc... E' un argomento complesso ma come punto di partenza si può seguire una metodologia come la seguente: https://www.prosci.com/adkar/adkar-model ADKAR In a previous article https://blogs.technet.microsoft.com/marco_moioli/2018/06/25/moving-from-project-to-process/ I talked about how the software "as a Service" brings "Continuous innovation". This is true for Windows 10, Office 365, Salesforce, Dropbox... Any software coming from a cloud provider evolves and this introduces two macro issues:
  1. Companies are not ready to embrace continuous technological changes
  2. Once the new functionality is implemented at a technical level, it is necessary for the user to work with it
It's common to say that the greatest force in the universe is "love" but I suspect in the first positions you can find also " habits" in fact it's not easy to change the way users get productive introducing new tools and procedures. A series of structured steps are required:
  1. The will of IT department to provide a new tool/procedure (what is the business need that I can address with this tool/procedure?)
  2. The technological implementation of the new tool in an existing environment
  3. Communication to the end user about the existence of the new tool/procedure
  4. The effectiveness of the change based on the fact users are using the new instrument/procedure and the change goal is achieved (more productivity for example or more security…) 
This is not simple… Actors, timeline, technological and organizational dependencies must be identified. It must be planned when, how and by who the technological change will be carried out. It should also be planned the final user communications using emails, workshops, videos, documents, etc … It's a complex topic but as a starting point you can follow this method: https://www.prosci.com/adkar/adkar-model    ]]> Moving from Project to Process https://docs.microsoft.com/archive/blogs/marco_moioli/moving-from-project-to-process Mon, 25 Jun 2018 13:57:22 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=585 LINK
WaaS-Framework
Several companies are introducing Windows 10 but only few of them are embracing the new As a Service model introduced by this new operating system. This new model allows to bring continuos innovation on the productivity, security and management side. Windows 10 is strictly derived from Windows 7 and 8 so the problems related to application compatibility are not a key aspect in the migration like in the past where lot of companies struggled in the transition between XP and Windows 7. The real challenge in Windows 10 adoption is in implementing a Change Management process within your company to be able to support the continuous introduction of new features. It is necessary that the IT group will be able to continuously update the workstations by enabling new functionalities as they are made available through new versions of the operating system. On the other side, it is equally important to have a communication channel with the end users necessary to inform them of the availability of new features that can change the way they work bringing more productivity. An useful article related to these topics is the one written by my colleague John Wilcox about the change in mentality between implementation project and continuous updating process. LINK]]> Windows 10 Semi-Annual channel https://docs.microsoft.com/archive/blogs/marco_moioli/windows-10-semi-annual-channel Fri, 28 Jul 2017 18:11:56 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=576 ha annunciato un cambio di nomenclatura per quanto riguarda il Windows as a Service.  

Bye bye Current Branch e Current Branch for Business

Sento già le grida "ma come? Ora che avevo capito la differenza me le fate sparire?". Purtroppo il dualismo di Current Branch e Current Branch for Business ha generato molta confusione tra gli utenti che non hanno capito il significato. Ci sono utilizzatori che credono che Current Branch for Business sia in tutto e per tutto una nuova build e non uno stato che viene dichiarato dopo 4 mesi di vita di una build  per cui sono convinti di dover rifare tutto il ciclo di compatibilità applicativa... Quindi per semplificare è stato deciso di introdurre una nomenclatura unica ovvero Semi-Annual Channel.  

Semi-che?

In nome deriva dal fatto che da Fall Creators Update (in uscita a Settembre 2017) si introdurrà una cadenza bi-annuale di uscita delle build: una a Marzo, una a Settembre. Quindi aspettatevi la build 1709 seguita da 1803 seguita da 1809 ecc... Stessa sorte accadrà ad Office 365 click to run. Quindi Semi-Annual sta a significare che sono build che escono ogni metà anno ovvero ogni sei mesi ovvero a Marzo e Settembre. Dall'altro lato rimane stabile la dicitura Long-Term che definisce la versione di Windows 10 più stabile e dedicata a dispositivi specifici (ad esempio Bancomat).  

Ma quindi?

Ecco, due anni a parlare ai clienti che devono iniziare i test con Current Branch e poi effettuare l'aggiornamento massivo una volta che Microsoft dichiara la Current Branch for Business e ora? Ora rifarò il giro dei clienti andando a tranquillizzarli sul fatto che il cambio è solo nominale e che possono iniziare a fare i test una volta che una nuova build Semi-Annual verrà rilascita per poi effettuare il deployment massivo un 4 mesi dopo l'uscita della build (che era il tempo che intercorreva tra Current Branch e Current Branch for Business).   Consiglio di leggere l'articolo di Michael e di guardare il video. https://youtu.be/qSAsiM01GOU]]> Windows 10 - Compatibilità applicativa https://docs.microsoft.com/archive/blogs/marco_moioli/windows-10-app-compatibility Mon, 10 Jul 2017 07:00:47 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=547 Quanto è duro migrare! (a Windows 7) Molte aziende hanno ancora "le cicatrici" derivate dall'esperienza di migrazione da XP a Windows 7. Questo è dovuto al fatto che i due sistemi operativi in questione sono molto diversi tra loro e questo ha portato a dover trovare la soluzione per un gran numero di problematiche di compatibilità. Windows XP è stato un sistema operativo largamente adottato dalle aziende anche in virtù della sua compatibilità con applicazioni Windows 2000/2003. In seguito arrivò Windows Vista, che al di là delle problematiche tecniche che ha avuto, introduceva una serie di caratteristiche distintive rispetto a Windows XP. Queste stesse caratteristiche sono state alla base di Windows 7 per cui le aziende che tipicamente hanno goduto diversi anni della relativa semplicità di implementazione di XP si sono trovati a dover trovare risposte alle problematiche di incompatibilità portate da Windows 7. Windows Operating System Timeline La presenza dello User Account Control (UAC), dei driver in User Mode e di nuove versioni del browser Internet Explorer sono solo degli esempi di tecnologie che per questioni di modernità e/o di sicurezza introducevano delle incompatibilità verso applicazioni magari scritte 10-15 anni prima e che in XP non avevano nessun problema ad essere eseguite. Quindi, quando vado a parlare di adozione di Windows 10 alle aziende, a volte vedo sul viso dei miei interlocutori passare "fantasmi" del passato e magari mi viene detto "noooo, siamo appena usciti dal tunnel della migrazione a Windows 7 e voi ci venite a chiedere quando abbiamo intenzione di adottare Windows 10?" Ora, tutto questo è lecito non dico di no, ma come vedremo più avanti nel corso dell'articolo ci sono cose da sapere e considerare che faranno capire come effettuare una migrazione Windows 7 -> 10 sia ben più semplice di quello che è stata la migrazione Windows XP -> 7. Inoltre il mio suggerimento è quello di adottare questo sistema operativo fin da subito in modo da non trovarsi impreparati il 14 Gennaio 2020 quando Windows 7 andrà fuori supporto. Diversi miei clienti si sono ridotti all'ultimo nella migrazione a Windows 7 e hanno avuto costi maggiori e magari hanno fatto delle attività di fretta e furia quando facendole per tempo sarebbero state più ragionate e di valore.

 

Windows 10 e facilità di migrazione

La difficoltà avuta dai clienti nella migrazione a Windows 7 è stata ascoltata da Microsoft che si ripropone di continuare ad innovare preservando la compatibilità applicativa sia per le applicazioni installate che per quelle web. Windows 8 e 8.1 sono sistemi operativi strettissimamente derivati da Windows 7 (per quanto graficamente sembrino differenti) e vi posso assicurare che le aziende che partendo da Windows 7 hanno introdotto 8 o 8.1 non si sono scontrate con particolari problematiche di compatibilità. E veniamo a Windows 10 il quale prosegue il filone di evoluzione dei concetti tecnologici di Windows 7 e che introduce un importante componente di compatibilità ovvero Internet Explorer 11. Quindi da una parte abbiamo un sistema operativo dove più del 90% delle applicazioni che si eseguono correttamente su Windows 7 NON ha problemi a funzionare e dall'altra un browser che come vedremo permette di mantenere una grande compatibilità con il passato.  

Internet Explorer 11 Enterprise Mode

In Windows 10 sono presenti due browser:
  • Edge - Browser moderno e veloce concepito esclusivamente per il web moderno
  • Internet Explorer 11 - Browser che permette compatibilità con il passato
  Edge è un browser che NON fornisce compatibilità con il passato proprio per essere il più veloce e snello possibile (tra l'altro è una Modern App anche se nessuno lo percepisce). Internet Explorer 11 invece è lo stesso IE11 disponibile per Windows 7 e 8.1 e presenta due modalità di compatibilità:
  • Il classico "compatibility mode" -> presente ma deprecato
  • Il nuovo Enterprise Mode -> sistema consigliato per dare compatibilità applicativa
  Sento già nella vostra testa formarsi la domanda: "Ma per l'Enterprise Mode devo avere Windows Enterprise?" La risposta è no, è disponibile anche nella versione Professional. Cosa fa l'Enterprise Mode? Permette di simulare il comportamento dei browser precedenti andando ad utilizzare chiamate deprecate o rimosse e comportamenti di renderizzazione che appartengono agli Internet Explorer del passato.   Internet Explorer 11 Enterprise Mode   Mi riprometto di fare un articolo sulla tematica, fino ad allora fidatevi del fatto che funziona moooolto bene. Se non potete aspettare qualche settimana che faccia l'articolo a tema, andatevi a leggere questo articolo  

Punti di attenzione

Per quanto riguarda la compatibilità delle applicazioni installate (msi, exe, ecc...) come detto più del 90% saranno compatibili e a due anni di distanza dall'uscita di Windows 10 posso confermarlo in prima persona. Le applicazioni che necessiteranno quasi sicuramente di un adeguamento saranno quelle che interagiscono con lo strato di rete o con gli strati più vicini al kernel del sistema operativo. Mi riferisco ai client VPN, ai software/drivers di gestione di dispositivi 4G e ad antivirus. Per tutte queste tipologie di software tipicamente è disponibile e necessaria una versione specifica per Windows 10.

 

Evoluzione tramite Windows as a Service

Un'altra domanda tipica che (giustamente) viene in mente è la seguente: "ok, io effettuo tutte le mie operazioni di check della compatibilità applicativa e di inclusione di Windows 10 all'interno del contesto aziendale poi arriva una nuova build e devo rifare tutto. Mi state dicendo che quello che prima facevo ogni 5 anni lo devo fare almeno una volta all'anno". E poi anche "Ottimo Internet Explorer 11 ma visto che Microsoft punta ad Edge come browser del futuro, chi mi garantisce che un bel giorno non lo toglierete da Windows 10 e lascerete solo Edge che non mi garantisce compatibilità con i miei siti web legacy?" Allora alla prima domanda la risposta è che Microsoft si impegna a preservare la compatibilità con il passato andando ad introdurre nuove funzionalità mantenendo la compatibilità con l'esistente. Inoltre da un punto di vista applicativo si sta puntando allo sviluppo del concetto di Modern Application per cui possiamo considerare lo stack di esecuzione delle Win32 app in uno stato di "mantenimento". A due anni di distanza dall'uscita di Windows 10, passate oramail le build 1507, 1511, 1607 e 1703 (1709 in arrivo questo autunno) credo sia oramai chiara a tutti questa linea di condotta da parte di Microsoft. Riguardo alla seconda domanda relativa a "quanto Microsoft supporterà ancora Internet Explorer 11" la risposta è che non c'è una data di scadenza perché Microsoft vuole mantenere IE11 all'interno di Windows 10 per tutto il tempo necessario alle aziende per migrare ad un browser più moderno. La strategia è quella di dotare Edge di una serie di caratteristiche moderne sia a livello funzionale che di sicurezza tali che nel corso del tempo le aziende lo adotteranno. Per capire di cosa sto parlando guardatevi questo video, ne riparleremo presto... ;-) Inoltre Internet Explorer 11 è un browser disponibile sia per Windows 7 che per 8.1 che per 10 e tutte queste piattaforme condividono lo stesso codice che NON cambia all'arrivo di una nuova build di Windows 10. Quindi non ci si deve preoccupare che l'arrivo di Fall Creators Update o di una build successiva possa portare incompatibilità per quanto riguarda IE11 in quanto la sua evoluzione (o per meglio dire mantenimento) segue un canale parallelo comune agli altri sistemi operativi Microsoft supportati. In parole povere, se mai si riscontrasse una problematica di compatibilità con IE11 su Windows 10, la si avrebbe anche con IE11 con Windows 7 ma questo non è previsto che accada in quanto Internet Explorer 11 è un browser che supporta HTML 5.0, CSS 3.0 ma che non si evolverà ulteriormente per cui gli aggiornamenti che vengono forniti sono di bug fixing e di sicurezza e non di cambio/rimozione di funzionalità esistenti.  

In conclusione

Adottare Windows 10 è molto più semplice che adottare Windows 7 da un punto di vista di compatibilità applicativa. Anche lo sforzo per inserirlo all'interno di un contesto IT esistente è facilitato dalla stretta parentela di W10 con i sistemi operativi precedenti. Molte Group policy per Windows 7 sono applicabili senza modifiche a Windows 10 e l'utilizzo di Internet Explorer Enterprise Mode permette di risolvere la maggior parte delle problematiche relative al browser. Il consiglio è di investire per andare a studiare ed implementare le procedure di change management che permetteranno di seguire il modello del Windows As A Service: bisogna adottare un modello in grado di aggiornare Windows 10 versione "X"  alla build "Y" e poi alla successiva "Z" e così via in un ciclo infinito consapevoli che l'aggiornamento di build NON è un cambio di sistema operativo ma bensì un'evoluzione dello stesso.      ]]> Windows 10 Management - System Center Configuration Manager Servicing https://docs.microsoft.com/archive/blogs/marco_moioli/windows-10-sccm-servicing Tue, 04 Jul 2017 23:11:44 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=505 Per prima cosa un po' di storia Questo prodotto non è frutto di acquisizioni ma è stato creato ed evoluto da Microsoft sin dalla sua prima versione nel 1994 (si chiamava SMS 1.0). Negli anni il prodotto si è evoluto andando ad abbracciare diverse novità (SMS 2.0 supportava Active Directory, SMS 2003 la creazione di immagini di sistema operativo, SCCM 2007 la gestione della componente antivirus client Forefront, SCCM 2012 introduce la possibilità di legare una sottoscrizione Intune per la gestione di dispositivi mobili...). SCCM timeline   Insomma SCCM è sempre stato al passo con i tempi ed è sempre stato leader nella gestione di postazioni di lavoro Windows (anche se nel corso degli anni ha acquisito la possibilità di gestire anche dispositivi mobili tramite Intune e dispositivi MacOS e Linux).

 

SCCM e Windows 10

NON voglio fare una disquisizione sulle caratteristiche di SCCM e sul suo posizionamento verso i (pochi oramai) competitor... Mi piacerebbe anche ma non ne ho il tempo, basti pensare che l'ultimo libro che ho letto su SCCM 2012 era composto da più di 1200 pagine tanto per far capire la vastità dell'argomento. Vorrei invece spiegare bene come si sta evolvendo SCCM con l'avvento di Windows 10 e del perché questa evoluzione lo renda la scelta migliore per la gestione dell'ultimo sistema operativo di casa Microsoft.  

Due SCCM?

All'introduzione di Windows 10 nel luglio del 2015 la versione più evoluta di SCCM sul mercato risultava essere la 2012 R2. Questa versione venne dichiarata compatibile con Windows 10 RTM (1507) a patto che venisse installata la Service Pack 1 di SCCM 2012 R2 rilasciata per lo scopo. Da lì in poi le strade dell'evoluzione di SCCM si sono sdoppiate... Da una parte abbiamo SCCM Current Branch e dall'altra SCCM 2016! Perché è stato fatto ciò? La risposta è che anche i Windows 10 sono diventati due ovvero Windows 10 Current Branch e Windows 10 Long Term (nel caso non abbiate chiara la differenza andatevi a leggere questo mio articolo). Quindi da una parte ho un SCCM che si evolve a pari passo con la piattaforma Windows 10 Current Branch (e di fatti si chiama SCCM Current Branch mentre dall'altra parte ho SCCM 2016 che rappresenta un tool stabile che può gestire tutte le piattaforme a evoluzione lenta come ad esempio Windows 10 Long Term Servicing Branch) SCCM 2016 and Current Branch   Quindi vi possono essere due casistiche
  1. Utilizzo Windows 7, 8.1, diverse versioni di Windows Server, MacOS, Linux ma Windows 10 SOLO ED ESCLUSIVAMENTE IN VERSIONE LTSB.
  2. Utilizzo Winodws 7, 8.1, diverse versioni di Windows Server, MacOS, Linux e Windows 10 in versione Current Branch, Current Branch for Business e magari anche LTSB
Nel primo caso, essendo che gestisco solo sistemi operativi che si evolvono lentamente, potrò utilizzare SCCM 2016 un prodotto che si distingue per poter gestire al meglio le versioni Long Term di Windows 10 che vengono evolute solo ogni 3-4 anni. Utilizzando SCCM 2016 quindi si avrà un prodotto supportato per il classico ciclo 5 + 5 anni che si evolverà man mano che verranno presentate nuove build Long Term. Se sono invece nel secondo caso (come credo la stra grande maggioranza delle aziende) avrò la possibilità di utilizzare SCCM Current Branch cioè una versione di SCCM che riceve aggiornamenti di funzionalità due volte l'anno in corrispondenza della pubblicazione dei Feature Updates (build) di Windows 10 e Office 365. SCCM Current Branch è un prodotto con un'evoluzione molto veloce per cui devo essere preparato a micro evolverlo continuamente. Ogni micro versione viene pensata per poter gestire al meglio le novità introdotte dal meccanismo del Windows as a Service andando ad aggiungere tool di gestione di nuove funzionalità man mano che queste vengono presentate in Windows 10 e Office 365. Se hai letto questo articolo, saprai che è stato recentemente annunciato un allineamento tra l'uscita delle evoluzioni di Windows 10, O365 e SCCM. Quindi da ora in poi, ogni marzo e ogni settembre verranno presentate delle evolutive di questi tre prodotti (l'immagine sotto riportata è solo a titolo esemplificativo, le evoluzioni ipotizzate sono previste dalla regola generale ma non sono state ancora annunciate). SCCM, Windows 10, O365  

Esempio di evoluzione SCCM Current Branch

Mettiamo che la prossima build di Windows 10 (Fall Creators Update o 1709) introduca una nuova caratteristica "X" gestibile da SCCM. Fino a quando non avrò evoluto la mia infrastruttura SCCM potrei non essere in grado di sfruttare questa nuova caratteristica. L'evoluzione di SCCM NON comporta di dover mettere mano all'architettura: il processo verrà gestito dalla console di SCCM che avvertirà l'amministratore della presenza dell'evoluzione. L'amministratore deciderà se e quando adottarla procedendo prima con il download dei bit di aggiornamento da internet e all'applicazione dell'evoluzione. Il processo di aggiornamento di versione SCCM non comporterà altro che un fermo del servizio dovuto al fatto che l'evoluzione tipicamente deve riavviare i servizi una volta aggiornati. SCCM Update and Servicing Anche per quanto riguarda gli agenti possono essere aggiornati automaticamente mentre le console di gestione di SCCM si aggiornano al momento del primo avvio: una volta evoluta l'infrastruttura SCCM, alla prima volta che avvierà la console SCCM (che magari è installata sul mio PC), questa avvertirà che esiste un aggiornamento ed automaticamente scaricherà dal server SCCM ed applicherà i bit della nuova versione. SCCM Current Branch Console Update Anche gli agenti a bordo dei device gestiti, se necesario, potranno beneficiare di un automatismo di aggiornamento. SCCM Current Branch Agent Update Ogni singola versione di SCCM è supportata per 1 anno il che vuol dire che l'attuale 1702 nata nel febbraio 2017 sarà supportata fino a febbraio 2018. Al termine del periodo di supporto l'infrastruttura continua a funzionare, il problema è solo dato dal fatto che aprendo una Service Request con Microsoft si verrà invitati ad aggiornare SCCM ad una versione supportata prima di andare avanti nell'analisi della problematica.
     

    In conclusione

    Ci sarebbero molte altre cose da dire su System Center Configuration Manager e Windows 10 ma non voglio appesantire troppo l'articolo il cui scopo è quello di spiegare il modello di evoluzione legata a quella di Windows 10 e Office 365 e il fatto che Microsoft abbia reso l'evoluzione facile da implementare. Ci sono tantissime ragioni per utilizzare SCCM per la gestione Windows 10 e sicuramente ne parlerò nei prossimi articoli. Comunque sia, si tratta di uno strumento top di gestione dei sistemi operativi Microsoft (anche server non dimentichiamolo) e non solo ed ha in più il grande valore dato dalla sua capacità di evolversi continuamente per andare ad aggiornare le proprie caratteristiche mantenendosi al passo con il sistema operativo e gli strumenti di produttività aziendale.  ]]>         Windows 10 Drive Entcryption - Bitlocker e gestione MBAM https://docs.microsoft.com/archive/blogs/marco_moioli/bitlocker-mbam Fri, 16 Jun 2017 08:00:20 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=405 Problema: e se mi rubano il device? Se ho dati sensibili a bordo del mio device (e tendenzialmente ce li ho) e questo mi viene sottratto, la password di Active Directory può essere la più complessa del mondo ma i dati vengono comunque esposti e sono facilmente accessibili collegando il disco del device come secondo disco di un altro device. La cifratura del disco risolve questo problema in quanto rende inaccessibili i dati da proteggere sia che questi siano a bordo di un laptop, desktop, server o di un dispositivo USB. L'utilizzo sempre più frequente di dispositivi mobili deve essere accompagnato dalla protezione dei dati al loro interno. Vediamo quali opzioni ci sono in Windows 10.  

    Bitlocker la soluzione di cifratura nativa di Windows

    Microsoft ha inserito la cifratura Bitlocker all'interno dei suoi sistemi operativi a partire da Windows VISTA e la sua controparte server Windows Server 2008 è una funzione nativa che va semplicemente attivata e non comporta costi aggiuntivi (se non quelli per una console di gestione centralizzata come vedremo più avanti). Bitlocker svolge il ruolo di "guardiano dei dati" perché in un mondo sempre più mobile, la possibilità di perdere/subire il furto di un device è sempre più sentita e quindi proteggere i dati all'interno del device dovrebbe essere una priorità di qualunque IT.  

    Come funziona?

    A seconda del sistema operativo e delle configurazioni, viene utilizzato un algoritmo di cifratura per cifrare ciascun volume del sistema operativo. Se ho C: e D: verranno cifrati entrambi e a ciascun volume verranno assegnata una chiave di recovery. L'utente non si accorge di niente perché i dati vengono cifrati man mano che vengono scritti sul disco. Il degrado di performance nelle prime versioni (Windows Vista, Windows 2008) si aggirava intorno al 5% ma onestamente non ho mai notato cali di performance visibili e l'avvento di dischi a stato solido che integrano caratteristiche che favoriscono la cifratura ha reso questa soluzione completamente trasparente. Quindi i dati sul dispositivo sono protetti, ma risultano completamente accessibili a chi può accedere a Windows.  Se il device viene rubato, o sono in grado di accedere a Windows (e quindi conosco utente e password) oppure non avrò possibilità di leggere i dati in quanto cifrati. Il dato di sicurezza che permette lo sblocco del volume cifrato e il conseguente caricamento di Windows, risiede nel Chip TPM, un chip di sicurezza saldato sulla scheda madre del device che ha appunto il compito di disaccoppiare l'informazione da proteggere dal sistema operativo stesso che potrebbe essere più esposto. Sono anni che i device vengono forniti con chip TPM e la sua presenza si può dedurre dal BIOS o dall'inventario dei driver del dispositivo. TPM Chip  

    Requisiti

    A livello di requisiti software, è necessario avere almeno due partizioni nel proprio disco rigido:
    • Una formattata in NTFS sarà la partizione con a bordo sistema operativo, dati utente e applicazioni (e sarà cifrata da Bitlocker)
    • Un'altra formattata FAT32 sarà quella che effettuerà il boot del device e lo sblocco della partizione cifrata. Questa partizione sarà abbastanza piccola, si consiglia intorno ai 300 MB.
      L'operazione di creazione della partizione aggiuntiva è fatta automaticamente da Windows all'atto dell'installazione. Nel caso si fosse scelto di non creare la seconda partizione, sarà sempre possibile crearla in un secondo momento tramite comandi come 
    cmd.exe /C start c:\windows\system32\bdehdcfg -target c: shrink -size 300 -quiet 
    Da notare la presenza di Bitlocker all'interno di tutte le versioni di Windows 10 compresa la Professional! Con Windows 7 era necessaria la versione Enterprise L'altro requisito non proprio stringente ma caldamente consigliato, è la presenza del chip TPM 1.2 o superiore. Questo chip saldato sulla scheda madre è in grado di mantenere in modo sicuro "il segreto" in grado di farmi accedere al disco cifrato. In caso non avessi a disposizione il chip TPM è possibile utilizzare un dispositivo usb come chiave di avvio: prima di accendere il device inserirò la chiavetta USB contenente la chiave di accesso e poi accenderò il device. La crittografia viene effettuata tramite algoritmo AES in diverse modalità: leggete questo articolo per capirle meglio.  

    Bitlocker To Go

    E' possibile utilizzare Bitlocker anche per proteggere dispositivi USB come chiavette e dischi. In questo caso verrà chiesto all'utente all'atto della cifratura di creare una password. Questa password verrà richiesta tutte le volte che inserirò il dispositivo usb a meno che io non effettui il check su di una casella che permette di ricordarsi la password. In questo modo avrò le mie chiavette USB cifrate che utilizzerò senza nessun problema su tutti i miei dispositivi Windows e se qualcuno me le ruba non potrà accedervi perché non conoscerà la password (o la chiave di ripristino di cui parleremo a breve)

    Bitlocker o Bitlocker + PIN?

    E' possibile inoltre attivare un'ulteriore barriera di protezione data da un PIN che viene richiesto prima ancora che Windows venga avviato.     All'accensione del dispositivo, viene presentata una schermata blu di richiesta del PIN, se lo fornisco correttamente il sistema carica correttamente Windows e mi presenta la schermata di control- alt-canc dove dovrò inserire anche le credenziali utente, se invece il PIN non lo conosco, tempo qualche tentativo e mi ritrovo il dispositivo bloccato e l'unico modo per sbloccarlo sarà avere la chiave di ripristino (recovery key) che viene generata al momento della cifratura.   Bitlocker REcovery Key   La chiave di ripristino viene chiesta dal sistema anche in caso ci sia qualche altro comportamento considerato anomalo (es. cambio componenti hardware) e viene quindi richiesto come prova del fatto che tutto è corretto. Quindi al dilà dell'abilitazione o meno del PIN di avvio, è importantissimo salvare la chiave di ripristino in un posto sicuro.  

    Salvataggio delle chiavi di ripristino

    Ci sono diversi modi per salvare la chiave di ripristino, alcuni molto consumer altri più aziendali. Li elenco qui di seguito.  

    Salvataggio in One Drive

    Questo credo possa essere il metodo principe in ambiente consumer ovvero il salvataggio della chiave in una porzione ad hoc di One Drive. Questa operazione viene fatta automaticamente a patto che venga appunto utilizzato il servizio di One Drive.   Bitlocker Recovery Key OneDrive Non mi soffermo molto su questa metodologia in quanto non è da considerarsi prettamente aziendale.  

    Salvataggio manuale

    Dal pannello di controllo nella sezione bitlocker è possibile salvare la chiave di ripristino stampandola o copiandola in un dispositivo esterno come una chiavetta USB.   Save Bitlocker Recovery Key Anche questa non è una modalità proprio "Enterprise" quindi direi che possiamo proseguire...    

    Salvataggio in Active Directory o Azure Active Directory

    Ecco qui si inizia a ragionare in termini aziendali ovvero se il computer è parte di un dominio Active Directory o Azure Active Directory, è possibile istruire bitlocker a copiare le chiavi di ripristino all'interno degli oggetti computer account del dominio. Quindi andando a vedere le proprietà di un computer nella console di Active Directory sarà possibile vedere le chiavi bitlocker di ripristino. Questo articolo spiega come effettuare la configurazione (si basa fondamentalmente sull'utilizzo di Group policy per istruire la macchina a salvare la chiave nel directory) Questo articolo invece presenta un tool che facilita la visualizzazione delle chiavi Il vantaggio qui è che senza dover pagare, installare e manutenere nuovi prodotti, ottengo il servizio di mantenimento e accesso centralizzato della chiave di ripristino. Non ci sono neanche problemi di alta affidabilità e/o business continuity perché Active Directory replica già nativamente le informazioni tra i suoi domain controller. Lo svantaggio però è dato dal fatto che il servizio fornito è abbastanza basilare, mancano report di compliance e soprattutto per accedere alla chiave di ripristino bisogna avere dei forti poteri sul dominio e questo mal si sposa con le esigenze di minimizzazione dei permessi messe in campo dalle grandi aziende. Quindi come soluzione di base può andare bene ma se si ha una struttura complessa, meglio pensare ad altro (lo vediamo subito qui di seguito).  

    Utilizzo di console di gestione - MBAM

    Microsoft Bitlocker Administration and Monitoring è un prodotto completo per la gestione della crittografia Bitlocker. Viene fornito all'interno della suite Microsoft Desktop Optimization Pack (MDOP) e risulta compresa nella licenza E3 e E5 di Windows 10. Questo prodotto è molto semplice da implementare e gestire, si basa su tre componenti:
    1. Un database SQL che mantiene in maniera cifrata le chiavi di ripristino e le configurazioni MBAM e i dati di configurazione/reportistica
    2. Un front end IIS che permette l'accesso ad amministratori e utenti per l'accesso delle chiavi
    3. Un agente da installare sui PC Windows 10 e che comunica con il front end per il recupero e applicazione delle configurazioni relative alla crittografia
    In un disegno di alta affidabilità si può pensare a mettere il database in cluster e il servizio IIS ridondato e bilanciato da dei load balancer. Ecco un esempio:   MBAM high avalability   Il vantaggio di avere un prodotto del genere è dato dal fatto che è uno strumento verticale che fornisce una console specifica per la gestione Bitlocker profilabile a livello di accessi così da consentire solo a specifiche persone (utenti di help desk) i diritti per accedere alle chiavi di ripristino evitando che essi abbiano altri diritti all'infuori di questo specifico task (cosa che invece avviene nella soluzione basata sul mantenimento delle chiavi in Active Directory). Fornisce reportistica integrabile con System Center Configuration Manager ed inoltre è disponibile un sito web di self service recovery ovvero la possibilità per un utente smart di recuperare in autonomia la chiave di recovery collegandosi dal computer di un collega al sito web di self service recovery (ovviamente dovrà autenticarsi con le sue credenziali di dominio). Su ciascun dispositivo gestito da MBAM dovrò installare un agente che si preoccuperà di effettuare l'enforcing delle policy, recuperare i dati di reportistica ed effettuare operazioni avanzate. Una di queste, che secondo me ha molta importanza, è quella che se utilizzo MBAM per recuperare la chiave di recovery (e quindi la espongo all'utente dell'help desk che poi magari me la manda via SMS), l'agente si prende il compito di istruire il dispositivo a crearne un'altra che sostituisca quella oramai "pubblica" in modo che il segreto alla base della cifratura rimanga preservato.   Riassumendo uno strumento come MBAM è in grado di:
    • Proteggere le chiavi di recovery (mantenendole in un database SQL cifrato)
    • Fornire accesso alle persone dell'help desk profilandone i permessi
    • Fornire uno strumento di self service recovery per utenti avanzati
    • Reportistica integrabile
    • Agente da installare sui dispositivi in grado di effettuare operazioni avanzate
       

    Soluzioni di gestione di terze parti

    MBAM non è il solo strumento in grado di gestire Bitlocker ma ci sono diverse aziende che propongono soluzioni per raggiungere lo stesso scopo. Non ho mai utilizzato queste soluzioni di terze parti e non potrei comunque consigliarle per non far torto a nessuno però è possibile trovarle andando a cercare sul web alla voce "Bitlocker Management". Io ho trovato soluzioni di McAfee, Bit Truster, Trend Micro... Questo a riprova del fatto che Bitlocker è uno standard di fatto, addirittura diverse aziende che prima proponevano un sistema di cifratura disco proprietaria, l'hanno lasciato perdere in favore della creazione di soli strumenti di gestione Bitlocker.   In conclusione, la tecnologia c'è, le metodologie di gestione anche, va solo capito quale sia l'approccio di implementazione migliore per le proprie esigenze.    ]]>         Windows 10 Risorse per la formazione https://docs.microsoft.com/archive/blogs/marco_moioli/formazione Wed, 07 Jun 2017 08:00:58 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=315 Siti web La risorsa di riferimento è sempre TechNet dove ci sono centinaia di informazioni gratuite e ufficiali. Come punto di partenza, suggerisco questa Landing Page Un altro sito di interesse è Windows IT Center    

    Blog

    Oltre a quello che state leggendo (che NON è un blog ufficiale Microsoft ma è il blog personale di un dipendente Microsoft) esistono diversi blog ufficiali sulla tematica. Sicuramente consiglio di leggere: In tema di sicurezza Microsoft (e quindi anche Windows 10) segnalo:   Nel web ci sono centinaia di altri blog di interesse ma come base di partenza mi atterrei a consigliare quelli ufficiali.    

    eBook

    Sul sito della Microsoft Virtual Accademy sono presenti diversi ebook gratuiti a tema Windows 10. Un esempio è questo So che sono disponibili diversi libri cartacei a pagamento che sono sicuramente interessanti ma non saprei consigliarli perché non li ho mai letti ^_^    

    Video

    Su YouTube è presente il canale ufficiale riguardante Windows. Anche su Channel 9 trovate diversi video a tema e vi segnalo i video in Italiano di Windows 10 Corner Su Microsoft Virtual Accademy sono presenti diversi video corsi a tema Windows 10. Un esempio è questo.    

    Certificazione

    La certificazione MCSA: Windows 10 prevede che si superino con successo 2 esami di certificazione. E' possibile proseguire nel percorso andando a raggiungere la certificazione MCSE: Mobility    

    PodCast

    Se come il sottoscritto, siete assidui fruitori di PodCast, potete sottoscrivere quello ufficiale del Windows Insider Program    

    Virtual Labs

    Per chi volesse testare le nuove feature di Windows 10, è possibile farlo tramite i Virtual Labs ovvero degli ambienti gratuiti che si creano e distruggono a comando permettendo all'utente di saggiare le feature tramite un percorso guidato passo passo.    

    Risorse non Microsoft

    Segnalo degli articoli di importanti società di terze parti riguardanti Windows 10:   Spero di non aver dimenticato niente... Nel caso scrivetemelo nei commenti!    ]]>         Windows 10 Long Term Servicing Branch (LTSB) https://docs.microsoft.com/archive/blogs/marco_moioli/windows-10-ltsb Wed, 31 May 2017 08:00:37 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=296 post. Essendo però Windows un sistema operativo alla base di diverse soluzioni Mission Critical, altamente certificate e molto verticali (ad esempio i Bancomat o ATM che dir si voglia) si è resa necessaria l'implementazione di una differente versione di Windows da affiancare alle classiche Home, Professional, Enterprise. Così è nata la Long Term Servicing Branch (LTSB) una versione di Windows 10 specifica per questa tipologia di soluzioni che spaziano dai pc che controllano lo spazio aereo di un aeroporto ai già citati ATM fino a soluzioni di catena di montaggio basate su macchine a controllo numerico. Queste soluzioni "Mission Critical" devono basarsi su di un sistema stabile che spesso passa da vari gradi di certificazione e non possono permettersi di avere un sistema operativo che si evolve con la velocità imposta dalla versione "standard" di Windows 10 ovvero la Current Branch/Current Branch for Business.   Windows 10 Branch versions

     

    Periodo di supporto di Windows 10

    I sistemi operativi Microsoft, storicamente hanno sempre avuto una supportabilità di 5 anni di supporto standard + 5 anni di supporto esteso. Invece, una singola build di Windows 10 Current Branch/Current Branch for Business viene supportata per un periodo di 18 mesi al termine dei quali non riceve più aggiornamenti ne supporto da parte di Microsoft. Ciascuna build NON rappresenta un nuovo sistema operativo ma comunque vengono apportate delle modifiche (più che altro aggiunte di funzionalità) e bisogna essere strutturati opportunamente per poterle accogliere nel proprio ambiente (anche fosse banalmente una nuova Group policy). In un sistema di soluzioni statiche o comunque molto certificate il cambiamento della parte di sistema operativo ogni 6 mesi con supportabilità di 18 mesi può essere difficile soprattutto se si è abituati al fatto che questi non si evolva per 10 anni. Ecco quindi che Microsoft ha creato questa versione speciale di Windows 10 denominata Long Term Servicing Branch che per 10 anni riceverà aggiornamenti (di sicurezza e bug fixing) e supporto.   Long term servicing branch timeline   Quindi come si vede da questa immagine, l'attuale build Current Branch (al momento della scrittura di questo articolo) è la 1703 denominata Creators Update. Questa build raggiungerà lo stato di Current Branch for Business a Luglio 2017 e andrà fuori di supporto ad Ottobre 2018. Al termine del supporto NON riceverà più aggiornamenti. E' previsto che vengano rese disponibili nuove build Current Branch a Settembre 2017 (1709), Marzo 2018 (1803), Settembre 2018 (1809), Marzo 2019 (1903) e così via con una cadenza di due build all'anno nei mesi di Marzo e Settembre e ciascuna build con supportabilità di 18 mesi. Invece la Long Term Servicing Branch più aggiornata è oggi la LTSB 2016 che sarà supportata fino al luglio 2026 e verrà affiancata da una prossima build LTSB presumibilmente nel 2019, un'altra nel 2022/2023 ecc... Qui la cadenza non è così regolare in quanto è stato dichiarato che verrà pubblicata una nuova build Long Term ogni circa 3-4 anni. Gli articoli ufficiali di riferimento sono principalmente questo e questo.  

    In dettaglio, che cos'è Windows 10 LTSB?

    Windows 10 LTSB è una versione di Windows 10 privata di alcune caratteristiche tra cui:
    • Tutte le app cosiddette "first party" come ad esempio posta, calendario, news, meteo, camera non sono presenti e non sono supportate da LTSB
    • Non c'è lo store anche se è possibile aggiungere app in quanto il framework per eseguirle è presente
    • Non può essere aggiornata da Windows Update ma solo da strumenti quali WSUS, SCCM o di terze parti
    • Non è presente Cortana
    • Non è presente il browser Edge (è presente Internet Explorer 11)
    • E' sconsigliato l'utilizzo di Office 365 click 2 run (suggerito l'utilizzo di Office 2016)
    • E' sconsigliato l'utilizzo su hardware Surface
    • Il supporto è di 10 anni dalla data di rilascio di una build LTSB
    • Ogni 3-4 anni verrà rilasciata una nuova build LTSB che riporterà le caratteristiche della versione Enterprise corrente
      Per il resto è una versione Enterprise comprensiva di tutte le caratteristiche di sicurezza avanzate quali Device Guard, Windows Information Protection, Windows Defender ATP...  

    WOW allora è questa la versione che voglio per tutti i miei PC!

    Ecco questa è più o meno la reazione di molti clienti quando spiego che cos'è LTSB poiché molte aziende non sono interessate alle App, o a Edge o a Cortana e quindi vedono in LTSB una versione già "epurata" delle caratteristiche non volute. C'è però da mettere tutta una serie di puntini sulle "i" quindi meglio frenare l'entusiasmo e finire di leggere.. ^_^  

    Cose da sapere riguardo a LTSB

    Licensing: per molti ma non per tutti

    Per prima cosa parliamo di licensing, per avere accesso a LTSB è necessario avere una licenza E3 o E5 di Windows 10 e questo ha anche senso in quanto si tratta di una versione Enterprise. L'unico altro modo per poter avere una versione Long Term è tramite l'acquisto di device aventi a bordo la versione Windows 10 IoT Enterprise. Questa versione altro non è che Windows 10 Long Term Servicing Branch rimarchiato per il licensing OEM. Un esempio di utilizzo di Windows 10 IoT Enterprise è dato da questi thin client.

    Aggiornamento di caratteristiche lento

    Lato feature come sopra riportato, viene rilasciata una versione di LTSB ogni 3-4 anni circa tanto che ogni build è denominata con un anno (es. LTSB 2016) invece che con anno/mese come accade per la Current Branch (es. 1703). La LTSB 2016 è uscita a Luglio 2016 insieme alla Current Branch Anniversary Update (1607) e le due build si equivalgono nel senso che LTSB 2016 ha le stesse caratteristiche dell'Anniversary Update 1607 al netto di quelle sopra riportate (mancano le app first party, store, cortana...). A Marzo 2017 è stata pubblicata Creators Update (1703) e una delle nuove feature di questa build è stata riportata in LTSB 2016 che è rimasta "ferma" a quelle di Anniversary Update ricevendo solo security update e bug fixing. Stessa cosa succederà con Fall Creators Update e anche con le successive... La prossima build LTSB sarà rilasciata forse nel 2019 (non è ancora stata annunciato) e quindi una ipotetica LTSB 2019 avrà le medesime caratteristiche di una ipotetica Current Branch 1903 o 1909 e così facendo si "rimetterà al pari" delle feature per poi rimanere ferma altri 3-4 anni. C'è quindi da chiedersi se si vuole implementare una strategia che privi gli utenti degli ultimi aggiornamenti in termini di utilizzo e soprattutto di caratteristiche di sicurezza. Il dire "ma fino ad adesso è sempre stato così" non è una giustificazione perché sia in ambito mobile che pc il mondo è cambiato e richiede aggiornamenti più frequenti per dare agli utenti gli strumenti giusti per lavorare e soprattutto proteggerli dalle moderne minacce informatiche.  

    Niente App? E la webcam?

    Sembra banale, ma chi volesse utilizzare LTSB per i device dei task workers e/o mobile workers dovrà dotarsi di un sistema di terze parti per l'interfacciamento con le Web Cam in quanto l'app "Camera" non è presente. Quindi in un mondo moderno fatto di video call è difficile pensare di dare un Windows 10 privo di questa caratteristica e il sopperire con tool di terze parti non è così comodo.  

    Nuovi silicon, nuova build

    Teniamo inoltre conto che Windows 10 supporta nuove CPU attraverso nuove build e quindi se da una parte l'utilizzo di Current Branch/Current Branch for Business si sposa con la frequenza di rilascio di nuove CPU Intel o AMD, lo stesso non può avvenire con la "lumaca" Long Term. Quindi stiamo dicendo che ad oggi la LTSB più aggiornata è la 2016 che però NON sarà compatibile con la prossima wave di CPU Intel e AMD che verranno presentate presumibilmente nel 2018/2019 (addirittura le prossime Intel Coffee Lake potrebbero essere disponibili per fine 2017). La prossima LTSB 2019 (ipotetica, come dicevo non è stata ancora annunciata) sarà compatibile con tutti questi nuovi processori ma questo vuol dire che se oggi scelgo LTSB 2016 per tutti i miei device, devo essere sicuro di avere abbastanza scorte hardware con CPU supportata per soddisfare il fabbisogno che ci sarà da adesso fino all'uscita della prossima LTSB che come dicevamo sarà ogni 3 o 4 anni. Questo mal si sposa con strategie di molte aziende che comprano device a ciclo continuo e che non hanno a magazzino un gran numero di PC. Soluzioni verticali quali gli ATM sono proposti da vendor che hanno la capacità di avere scorte di magazzino molto ampie per soddisfare i fabbisogni di un numero comunque limitato di PC (in una banca magari sono presenti anche 5000 ATM ma questo è niente rispetto ai pc di sede e filiale che possono essere ache 50000 o più).

     

    Compatibilità applicativa

    Veniamo ora alla mia più grande preoccupazione riguardante l'utilizzo di LTSB in scenari per cui non è stata pensata: la compatibilità con le applicazioni. E' vero che LTSB 2016 altro non è che Anniversary Update 1607 e che quindi è mooooolto probabile che un'applicazione compatibile con 1607 lo sia anche con LTSB 2016 ma consideriamo i seguenti fatti:
    1. Non tutti gli utenti aziendali hanno la licenza E3 o E5 e che quindi possono adottare LTSB
    2. Molti dei miei clienti in possesso dei diritti per l'adozione di LTSB, preferiscono la Current Branch e relegano la LTSB al suo giusto ruolo di versione speciale per workload puntuali
    3. Aziende come NCR (mondo ATM) o Siemens (mondo Automation) sono sicuro che supporteranno le loro soluzioni su LTSB ma questo accadrà anche per SAP e Oracle? Contando l'adozione moooolto ristretta della LTSB quello che sta succedendo è che NESSUNO dei maggiori player di applicazioni per task workers/mobile workers ha dichiarato compatibilità delle sue applicazioni per LTSB (neanche il contrario ovvero l'incompatibilità... Diciamo che LTSB viene proprio ignorata!)
    4. Supponiamo che io mi auto-certifichi che la SAP Gui versione "x", compatibile con 1607 sia compatibile anche con LTSB 2016 in quanto le due build sono una la derivazione dell'altra. In questo caso mi espongo a due problemi: il primo che se per qualsiasi ragione di business devo cambiare versione di Gui con una più aggiornata compatibile con (ad esempio) 1709 non avrò nessun appiglio tecnologico per dire che funziona anche su LTSB 2016. Inoltre SAP potrebbe non fornire supporto.
    Quindi aspettatevi lo stesso supporto e attenzione relegati a qualsiasi prodotto di nicchia ovvero che le aziende che puntano agli utenti Current Branch (la stra grande maggioranza) porranno attenzione solo a loro mentre le aziende con soluzioni verticali per LTSB saranno pronte per poter supportare questa versione particolare di sistema operativo per tutto il suo ciclo di vita.

     

    In conclusione

    Bisogna fare attenzione nella scelta della versione LTSB perché come abbiamo visto è stata studiata per ambiti molto puntuali. E' quindi giusto utilizzarla ma solo per quei contesti per la quale è stata studiata. E' comunque possibile convertire una LTSB (tramite in place upgrade) in Current Branch. Questo può dar modo alle aziende di partire con LTSB ed adeguare i propri processi interni di change management per poter gestire il Windows as a Service. Personalmente lo sconsiglio ma tecnicamente funziona. La questione di compatibilità applicativa risulta centrale in quanto c'è da tenere bene a mente che una build CB come può essere la 1607 scadrà di supporto a marzo 2018. Se io oggi certifico tutte le mie applicazioni per LTSB 2016 basandomi sul fatto che "tanto è una 1607 epurata di caratteristiche non volute" allora mi esporrò entro breve (marzo 2018 appunto) al fatto che il kernel di cui è composta LTSB 2016 sarà fuori supporto nella versione Current Branch e quindi le aziende tipo Adobe quando rilasceranno applicazioni NON testeranno più su 1607 in quanto oramai fuori supporto e NON considereranno LTSB 2016 in quanto con poca penetrazione di mercato e perché creata per ambiti di utilizzo puntuali e specifici. Se proprio alcune caratteristiche "moderne" della Current Branch non sono ben volute, piuttosto che adottare LTSB, è meglio "ritagliare" una build Current Branch andando a privarla delle app non di interesse, eventualmente inibire lo Store, Cortana ecc... Ottenendo un risultato molto simile a LTSB potendo però giovare degli aggiornamenti continui del Windows as a Service. Meglio quindi rivolgere i propri sforzi nell'abbracciare il modello di WaaS che pone diverse sfide ma che porta degli indubbi vantaggi e che è già stato scelto da diverse aziende in tutto il mondo.  ]]>         Windows 10 as a Service – Gestione degli aggiornamenti Features Update https://docs.microsoft.com/archive/blogs/marco_moioli/waas-parte-5 Fri, 26 May 2017 08:00:08 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=255
  • Parte 1 – Introduzione a Windows come servizio
  • Parte 2 – Ciclo di vita di una build e supportabilità
  • Parte 3 – Gestione degli aggiornamenti Quality Updates
  • Parte 4 – Overview sugli aggiornamenti Features Update
    •   E' uscita una nuova build, come faccio ad adottarla? Come detto negli articoli precedenti, Microsoft crea due Feature Updates (le build) due volte l'anno, a Marzo e Settembre, rilasciandole tramite i suoi canali nel mese successivo alla fine dello sviluppo (quindi in Aprile e Ottobre). I canali da cui è possibile ricevere queste build sono Windows Update e il sito Volume License (per chi ha acquisito la licenza E3 o E5 di Windows). Riguardo agli strumenti di aggiornamento, è possibile utilizzare:
    • Windows Update/Windows Update for Business
    • Windows Server Update Services (WSUS)
    • System Center Configuration Manager (SCCM)
    • Tool di terze parti similari a SCCM
      Windows Update/Windows Update for Business I features update vengono rilasciati come pacchetti di aggiornamento da Windows Update. Ho quindi la possibilità di lasciare che il device contatti Windows Update, si accorga dell'aggiornamento, lo scarichi e lo applichi. Per evitare un riavvio indesiderato, meglio impostare correttamente "l'orario attività" presente nel nuovo pannello di controllo nella sezione "Aggiornamento e sicurezza". Orario attività Windows 10 E' inoltre possibile configurare se si vuole ricevere subito una build (ramo Current Branch) o attendere 4 mesi dal rilascio (ramo Current Branch for Business). Ci sono altre opzioni interessanti compresa quella della sospensione temporanea (fino a 7 giorni) degli aggiornamenti. Si trova tutto nella sezione "Aggiornamenti Avanzati" Aggiornamenti opzioni avanzate E' inoltre possibile risparmiare traffico di rete utilizzando la feature Delivery Optimization che permette la condivisione degli aggiornamenti tra macchine vicine. Ne ho parlato in questo articolo a proposito dei Quality Updates. Sempre nello stesso articolo ho parlato di Windows Update for Business che altro non è che una serie di policy (Group policy o MDM policy) che comandano il device a prendersi un aggiornamento (Quality o Feature) dopo x-giorni dalla pubblicazione. Sarà quindi possibile impostare un gruppo di macchine pilota che installerà l'aggiornamento da Windows Update il giorno stesso della sua disponibilità, un altro gruppo che lo installerà qualche giorno dopo e così via andando per scaglioni. Se utilizzo un Mobile Device Manager tool tipo Intune per gestire il mio Windows 10, gli aggiornamenti comprese i Features Updates verranno presi da Windows Update for Business e ci penserà la policy MDM a gestire le opzioni disponibili.   Windows Server Update Services Se si utilizza WSUS, la build verrà comunque trattata come se fosse una patch. WSUS supporta sia Branch Cache (feature di Windows 10 Enterprise) che Delivery Optimization per ottimizzare la banda utilizzata.   System Center Configuration Manager SCCM ha una sua sezione specifica chiamata "Windows 10 Servicing" che permette di:
    • Avere delle dashboard in grado di fornire informazioni su quanti e quali sistemi utilizzano una certa build
    • Creare dei Servicing Plan
    System Center Configuration Manager Windows 10 Servicing I Servicing Plan permettono di automatizzare l'installazione della build andando a definire dei gruppi di adozione (i ring) e le tempistiche di innesco dell'installazione. SCCM permette l'utilizzo sia di Branch Cache che di Peer Cache per l'ottimizzazione del traffico di rete.   Tool di gestione di terze parti Qui entriamo in un terreno che non è il mio nel senso che conosco abbastanza bene tutta una serie di tool di gestione quali LanDesk, IBM TEM, Symantec Altiris... Ma per quanto riguarda Windows 10, al momento della scrittura di questo articolo, non sono a conoscenza di processi per l'aggiornamento delle build simili a quello descritto qui sopra per SCCM. Comunque sia, anche che non ci fossero, è sempre possibile innescare l'aggiornamento di una build tramite uno script nel senso che il "motore" di aggiornamento viene scatenato dal classico Setup.exe presente nella ISO di Windows 10 condito da tutta una serie di switch che permettono l'installazione silente. Per sapere quali sono questi switch, basta da riga di comando eseguire setup.exe /? Windows 10 Setup.exe options   Cifratura del disco Come punto di attenzione vorrei sollevare la tematica della cifratura del disco... Windows 10 sia Professional che Enterprise permettono di utilizzare la feature Bitlocker compresa nel sistema operativo (in Windows 7 era disponibile solo nella versione Enterprise) ma ci sono disponibili sul mercato altre soluzioni di terze parti. Il punto d'attenzione è dato dal fatto che la procedura di aggiornamento del sistema operativo passa dal seguente processo:
    • I file vengono inseriti nella cache locale del device da aggiornare
    • I file vengono scompattati, si cambia il boot order e si effettua un riavvio
    • Viene avviato in automatico Windows PE (versione minimale di Windows che lavora esclusivamente in RAM)
    • Windows PE che lavora in RAM vede "dall'alto" il disco ed è in grado di aggiornare il sistema operativo
    Se la cifratura è Bitlocker, allora il sistema la conosce e quindi prima di effettuare il riavvio questa viene messa in pausa e quindi il processo di aggiornamento non ha problemi ad effettuarsi. Se però la cifratura è di terze parti, sarà compito di chi aggiorna premunirsi di mettere in pausa/disabilitare la cifratura prima di innescare l'aggiornamento pena la non riuscita dello stesso. Con questo non voglio sconsigliare i tool di terze parti per la cifratura, ma voglio semplicemente darvi la consapevolezza che in loro presenza è necessario una serie di azioni pre e post per far si che l'aggiornamento di build abbia successo.   Antivirus di terze parti Punto di attenzione simile a quello su Bitlocker... Essendo che gli antivirus lavorano a stretto contatto con il sistema operativo è sempre necessario assicurarsi di avere la versione corretta dell'antivirus prima di effettuare l'aggiornamento di Windows 10. Il pericolo è che l'aggiornamento di build non si completi correttamente perché l'antivirus lo riconosce come azione malevola oppure che l'antivirus non funzioni correttamente una volta completato il Feature Update. In ogni caso sempre meglio guardare la pagina web del proprio vendor Antivirus o contattarlo per sapere se ci sono problematiche note (non succede spesso ma se succede si potrebbe perdere tempo). Utilizzando Windows Defender come antivirus non si hanno tipicamente problemi essendo parte del sistema operativo che si aggiorna.   Aggiornamento per Delta E' in fase di sviluppo (al momento della scrittura di questo articolo) la possibilità di aggiornare le build andando a mettere nella cache del device solo i file che sono stati cambiati/aggiunti tra una build e l'altra. In questo modo si sitima un risparmio di grandezza dell'update di almeno il 35%. Il rilascio di questa funzionalità è previsto con Fall Creators Update ovvero la prossima build prevista per Settembre 2017.   Conclusioni Il Windows as a Service introduce dei concetti decisamente nuovi per le aziende andando a semplificare la gestione delle postazioni di lavoro e aggiungendo in modo continuo funzionalità in grado di seguire i bisogni degli utenti in termini di utilizzo e protezione del loro device. Vengono rilasciate due build all'anno che non rappresentano un nuovo sistema operativo ma una strettissima derivazione del precedente dove la compatibilità applicativa con il passato vuole essere preservata. L'installazione sia di Quality che Features update può essere facilitata dai meccanismi differenziali e di condivisione dei contenuti.]]>         Windows 10 as a Service – Overview sugli aggiornamenti Features Update https://docs.microsoft.com/archive/blogs/marco_moioli/waas-parte-4 Fri, 19 May 2017 08:00:48 GMT https://blogs.technet.microsoft.com/marco_moioli/?p=215
  • Parte 1 – Introduzione a Windows come servizio
  • Parte 2 – Ciclo di vita di una build e supportabilità
  • Parte 3 – Gestione degli aggiornamenti Quality Updates
  • Parte 4 – Overview sugli aggiornamenti Features Update
  • Parte 5 – Gestione degli aggiornamenti Features Update
    •   L'ultimo Windows? Si è parlato molto del fatto che "Windows 10 è l'ultimo Windows", del concetto di "Windows as a Service" e del "Contiuous improvment". Storicamente Microsoft ha sempre proposto un sistema operativo che conteneva un insieme di caratteristiche, lo manuteneva, aggiungeva piccole nuove caratteristiche tramite le Service Pack e poi proponeva un nuovo sistema operativo completamente reingenierizzato e fortemente differente dal precedente. Windows Operating System Timeline Sicuramente le aziende hanno dovuto lavorare molto per introdurre Windows 7 in luogo di XP in quanto questi due sistemi operativi presentavano diverse differenze che hanno portato a doversi scontrare con problemi di compatibilità applicativa. Per citare qualche esempio, l'introduzione dello User Account Control (UAC) e dei driver in modalità utente (User Mode Drivers) hanno introdotto differenze sostanziali con il passato e questo ha generato la necessità di trovare strategie di adozione differenti tra cui la pubblicazione remotizzata, l'aggiornamento dell'applicazione, la virtualizzazione… Però questo "salto" effettuato da Windows 7 ha posto le basi per un Windows più moderno e sicuro (in realtà tutta una serie di concetti sono stati introdotti da Windows Vista che però per la sua vita travagliata non ha avuto grande diffusione aziendale) . Windows 8 e 8.1 al dilà dell'interfaccia grafica differente con il passato, sono in realtà una stretta derivazione di Windows 7. Da consulente ho avuto la possibilità di aiutare una grande azienda ad introdurre Windows 8 nel suo ambiente e vi posso assicurare che non ci sono stati particolari criticità di compatibilità applicativa o di integrazione.   Windows as a Service Windows 10 cambia paradigma e propone un sistema operativo Windows che al dilà delle patch di sicurezza mensili, si aggiorna di funzionalità in maniera più veloce rispetto al passato. Due volte l'anno (marzo e settembre) vengono create delle build di sistema operativo (Features Update) che rappresentano una micro evoluzione del sistema operativo ed hanno lo scopo di introdurre nuove funzionalità. Il concetto di aggiunta di funzionalità si declina in due macro casistiche:
    • Aggiornamento di funzionalità esistente - Es. con la build 1511 è stato introdotto l'algoritmo Bitlocker AES 256 ma i precedenti sono stati mantenuti.
    • Introduzione di nuove funzionalità - Es. con la build 1607 è stato introdotto Windows Information Protection e Windows Defender ATP.
      Il principale vantaggio di questo approccio è rappresentato dal poter rispondere velocemente alle richieste di funzionalità utente o di sicurezza evolvendo gradualmente il sistema operativo senza stravolgerlo. Le build di sistema operativo vengono denominate con varie sigle:
    • Nome commerciale: Ad esempio la più recente build al momento della scrittura di questo articolo è la "Creators Update"
    • Versione di sistema operativo: rappresentato dall'accoppiata anno + mese di fine sviluppo della build. Nel caso di Creators Update completata nel marzo 2017, la versione di sistema operativo è 1703
    • Numero di build: numero dato ad ogni build anche a quelle beta che giornalmente vengono compilate dal team di prodotto. Nel caso di Creators Update il build number è 15063
    • Nome provvisorio: E' il nome di build futura a cui non e stato dato ancora un nome commerciale. Ad esempio fino a qualche settimana fa la prossima build prevista per Settembre 2017 aveva il nome provvisorio di Redstone 3 e recentemente è stato annunciato che è stato scelto il nome commerciale "Fall Creators Update"
      Fino ad oggi l'uscita di build non è stata regolare. La prima build 1507 è uscita a Luglio 2015 seguita dalla 1511 di Novembre 2015, dalla 1607 di Luglio 2016 e dalla 1703 di Marzo 2017. Windows 10 release information Windows 10 timeline E' stato però recentemente annunciato che la cadenza di uscita delle build di Windows 10 sarà due volte l'anno (Marzo e Settembre) e coinciderà con gli aggiornamenti di Office 365 e System Center Configuration Manager.   Altissima compatibilità con le applicazioni esistenti Tornando a Windows 10, anche questo sistema operativo porta con se le stesse caratteristiche dei precedenti tanto che viene dichiarata un grado di compatibilità con il passato intorno al 96% delle applicazioni. Dalla mia esperienza, le applicazioni che potrebbero avere problemi di compatibilità sono quelle che interagiscono con lo stack di rete (ad esempio i VPN client o i software per dispositivi USB 4G) oppure i software che interagiscono a basso livello con il sistema operativo (ad esempio gli antivirus). Microsoft ritiene che lo strato applicativo classico (Windows 32) sia giunto ad un alto grado di maturazione ed è quindi suo volere preservarne la compatibilità andando nel contempo a lavorare per migliorare sempre più il concetto di Modern app. Non aspettatevi quindi che con il susseguirsi delle build ci siano differenze sostanziali per quanto riguarda le applicazioni Windows 32.   Browser: il meglio dei due mondi Anche lato browser, Windows 10 è stato dotato di Internet Explorer 11 che è lo stesso browser presente in Windows 7 e 8.1. Microsoft produce patch di sicurezza e di bug fixing per IE11 ma nessuna nuova funzionalità prediligendo lo sviluppo del nuovo browser Edge. Non ci sono piani di dismissione per Internet Explorer 11 ma il volere è quello di mantenerlo per tutto il tempo necessario alle aziende per migrare verso un browser più moderno. Internet Explorer 11 può utilizzare l'Enterprise Mode per fornire compatibilità con il passato simulando il comportamento di browser precedenti (ne parleremo in un prossimo articolo). Si può quindi utilizzare solo Internet Explorer 11 che è in grado di garantire compatibilità con il passato e accesso ai nuovi standard come HTML 5 e CSS 3.0 oppure utilizzare Edge come browser principale (più sicuro, più veloce) il quale è in grado (sempre tramite l'Enterprise Mode) di richiamare IE11 lasciandogli il compito di provvedere alla compatibilità.   Riassumendo
    • Windows 10 è strettamente derivato da Windows 7
    • Le applicazioni Win32 compatibili con Windows 7 hanno una grandissima possibilità di essere compatibili anche con Windows 10
    • Internet Explorer 11 è presente e fornisce compatibilità con i browser precedenti (tramite Enterprise Mode) e rappresenta un browser stabile che segue un percorso di maintenance comune a tutti gli altri sistemi operativi che lo utilizzano
    • Microsoft non ha interesse (se non per questioni di sicurezza) a mettere mano al "vecchio" sistema Windows 32 o al browser Edge e questo è garanzia di compatibilità con il passato. Man mano che le nuove build vengono proposte, vengono sempre più sviluppati i concetti di Modern App e il browser Edge che rappresentano il nuovo e più moderno concetto di Windows (insieme ad altre tecnologie quali gestione MDM, Provisioning package, Join Azure Active Directory)
    • La build di Windows 10 non rappresenta un nuovo sistema operativo ma una strettissima derivazione del precedente. L'obiettivo è sempre quello di aggiungere funzionalità preservando la compatibilità applicativa
      Nel prossimo articolo completeremo l'argomento delle build/features update andando a parlare degli strumenti per poter governare il WaaS.]]>