Od kilku miesięcy na kilkunastu serwerach co jakiś czas wyskakuje mi taki błąd przy uruchamianiu losowych wirtualnych maszyn vmware.

“You have started VMware Server with an out-of-date copy of the application.”

VMware Server jest najnowszy, są wprowadzone nowe klucze.

Na necie ludzie piszą, że trzeba odinstalować całkowicie vmwara, usunąć klucze, zrobić jeboot, zainstalować na nowo, jeboot, uruchomić VMki.

Czyli mamy downtime kilku serwerów na co najmniej 30 minut zanim wszystko wstanie ponownie :(

U mnie akurat działa sztuczka z usunięciem problematycznej VMki z inventory i dodaniem jej na nowo.

Po tym zabiegu uruchamia się bez błędów.

Warto tego spróbować, może uda się zaoszczędzić trochę czasu.

W SCCM 2007 R2 brakuje raportu który by wyświetlił listę komputerów z nazwą producenta, typem modelu komputera, numerem seryjnym i nazwą usera.

Poniżej raport który robi:

1) tworzymy nowy raport

2) jako Report SQL Statement wklejamy:

SELECT
Distinct
SYS.Netbios_Name0,
SYS.User_Name0,
MOD.Manufacturer0,
MOD.Model0,
BIO.SerialNumber0
FROM v_R_System SYS
JOIN v_GS_COMPUTER_SYSTEM MOD on SYS.ResourceID = MOD.ResourceID
JOIN v_GS_PC_BIOS BIO on SYS.ResourceID = BIO.ResourceID
JOIN v_FullCollectionMembership FCM ON SYS.ResourceID = FCM.ResourceID
WHERE
FCM.CollectionID=@ID
ORDER BY SYS.Netbios_Name0


3) Tworzymy nowego Promta o nazwie ID, zaznaczamy Provide SQL Statement

4) Do Prompt SQL Statement wklejamy:

BEGIN
IF (@__filterwildcard = '')
SELECT DISTINCT CollectionID, Name FROM v_Collection ORDER BY Name
ELSE
SELECT DISTINCT CollectionID, Name FROM v_Collection
WHERE CollectionID like @__filterwildcard
ORDER BY Name
END

Proste i przydatne :-)

Sprzęt Dell’a posiada tzw Service Tag, naklejka np pod laptopem, z indywidualnym numerem.

Jest on potrzebny w przypadku dzwonienia do pomocy technicznej lub po prostu do identyfikacji sprzętu.

Okazuje się, że można go też wydobyć zdalnie software’owo bez ruszania tyłka z miejsca.

Windows: wmic bios get serialnumber

Linux: dmidecode -s system-serial-number

Może się komuś przyda…

Kolega podesłał mi bardzo ciekawy skrypcik pozwalający montować dyski VHD z poziomu menu kontekstowego.

Dla mnie rewelka, pozwala zaoszczędzić sporo czasu w kryzysowych momentach.

Strona autora skryptu: http://www.ravichaganti.com/blog/?p=241

XP Mode w idei bardzo mi się podoba, niemniej jak na porządnego marudę przystało – uważam, że zapomniano o zaawansowanych userach.. czy raczej o bardziej zaawansowanych zadaniach. sqpię się na wadach, przy okazji podając kilka podstawowych rozwiązań.

XP Mode daje możliwość przeźroczystego uruchamiania aplikacji – tak przeźroczystego, że zapomniano napisać jakikolwiek interfejs czy choćby stworzyć doqment opisujący jak sobie radzić z problemami. oto podstawowe pytania [i odpowiedzi], których nigdzie nie znalazłem:

• Q: czy jak zamykam aplikację, automatycznie wyłącza się maszyna wirtualna?
  A: nie. maszyna wirtualna cały czas działa w tle – przez 5 minut. ponieważ aplikacja może być uruchomiona powtórnie – jest to rodzaj ‘quick startu’ zapewniającego szybkie uruchomienie w przypadq przypadkowego zamknięcia aplikacji.
• Q: jak sprawdzić, że maszyna działa? przecież ikonki zdalnych aplikacji znikają z traya [zasobnika systemowego].
  A: owszem – jeśli w systemie działa jakaś aplikacja, którą widać w trayu [np. program AV] – jego ikonka zniknie. najprostszym sposobem jest otworzyć widok katalogu $env:USERPROFILE\”Virtual Machines” [lub inny – jaki skonfigurowała(e)ś] gdzie opisany jest status maszyny: 
  innym sposobem jest otwarcie Process Explorera [Task Managera] i sprawdzenie działających procesów. póki działa maszyna wirtualna na liście będą “vmsal.exe” – potomny proces ”explorer.exe” który uruchamia/zarządza aplikacją zdalną oraz “VPC.exe” – potomny jednego z svchost:
• Q: jaki sposób wejść do BIOSu skoro nie widać jak się uruchamia system?
  A: tak samo, jakby było widać (; działają klawisze:
  • shift-ESC – pokazanie okna systemu podczas startu
  • F8 lub del – wejście do BIOSu
• Q: jaki jest status maszyny [running/shut down/sleep]?
  A: niestety nie ma interfejsu, który by to pokazał. podczas wyłączania maszyny wykonywana jest operacja hibernacji. jeśli maszyna działa – będzie widać procesy w systemie.
• Q: nie mogę uruchomić aplikacji, pokazuje się jakiś błąd – co robić? jak zresetować status maszyny?
  A:  podczas ładowania aplikacji nie da się pokazać ‘czemu jest błąd’. opisane wcześniej klawisze nie działają podczas wykonywania startu aplikacji:
  jedynym sposobem jest usunięcie pliku pamięci  - hibernacji – co jest równoznaczne z ‘hard restart’ – fizycznym wyłączeniem maszyny. pliki mają rozszerzenie “vsv” i są standardowo w katalogu $env:userprofile\”Virtual Machines”

macie więcej pytań – chętnie uzupełnię.

eN.

ISA i TMG to takie fajne serwerki, które łatwiej jest postawić od początku niż przywrócić z kopii zapasowej. A jeszcze prościej zrobić jeden obraz z systemu, a następnie odtworzyć z obrazu, i wgrać najnowszy konfig. Ale jak więc zabezpieczać konfig ISA/TMG? Dość prosto i szybko można to zrobić skryptem, pamiętając o kilku rzeczach:

• Backup konfiguracji powinien być trzymany na oddzielnym serwerze, najlepiej backupowanym przez coś innego
• Pojedyńcza kopa zapasowa ma 7-8 MB, co przy kopii codziennej daje 3G na rok, a tygodniowej 420MB
• Folder docelowy dobrze jest skompresować, wybierając odpowiednią flagę NTFS-ową na folderze, wtedy ilość miejsca z 7MB spada do 2.5MB, przy czym kolejne backupy będą zabierały jeszcze mniej
• Jeśli certyfikaty będą eksportowane, to znajdą się również w konfiguracji TMG
• Przy tmg, routing jest trzymany w konfiguracji TMG, więc przed importowaniem trzeba go wyrzucić z pliku netsh

A poniżej skrypt:

‘bAckupisa/tmgtofile
Const destination = “C:\bck\”
Const passwd = “12345678″

Const fpcExportImportPasswords = &H00000001
Const fpcExportImportUserPermissions =&H00000002
Const fpcExportImportServerSpecific= &H00000004
Const fpcExportImportEnterpriseSpecific = &H00000008
      fpcOptionalData = fpcExportImportPasswords Or _
      fpcExportImportUserPermissions Or _
      fpcExportImportServerSpecific Or _
      fpcExportImportEnterpriseSpecific
date = replace(Date,“/”,“_”)
Set root = CreateObject(“FPC.Root”)
Set firewall = root.GetContainingArray
firewall.ExportToFile destination & date & “_ISA_CONFIG.XML”_
                     ,fpcOptionalData,passwd

Set wshShell = WScript.CreateObject(“WScript.shell”)
wshshell.run “cmd/c “” netsh int ip dump > ” & _
              destination & date & “ip.nsh”"”
wshshell.run “cmd/c “” netsh int ip show dns > ” & _
             destination & date & “dns.txt”"”

ostatnio testowane:

• NetSurveyor – darmowy skaner WiFi, trochę bardziej rozbudowany niż NetStumbler
• WinImage – shareware [3o uruchomień], pozwalający na obsługę różnych formatów obrazu dysq – m.in. vhd. co fajniejsze, ma wbudowaną opcję D2I [disk-to-image]. w przeciwieństwie do disk2vhd nie korzysta z bibliotek systemu stanowiąc pełne rozwiązanie. dzięki temu możliwe było przerobienie w98 na maszynę wirtualną [disk2vhd wymaga min. wXP SP2]. dodatkowo do mountowania dysków *nie jest* wymagany żaden sterownik, dzięki czemu nie trzeba restartować systemu po instalacji i generalnie jest mniej ‘inwazyjny’ dla systemu. poza tym, że to shareware najpoważniejszą wadą było to, że podczas extrakcji plików z vhd, po natrafieniu na błąd aplikacja się wywaliła ): w kwestii wydobywania danych lepiej sprawdził się inny program..
• gizmo drive – fajny, darmowy tool do mountowania różnych formatów jako dyski wirtualne [aka DeamonTools]. obsługuje m.in. vhd. wymaga restartu przy instalacji [sterownik dla dysq wirtualnego]. ponieważ jest to na poziomie sterownika, gdy wystąpił błąd podczas kopiowania, po prostu pominąłem plik i można było kontynuować operację.

i taka ciekawostka – teoretycznie vhd jest *standardem*. problem jednak polega na tym, że wersje vhd się różnią – vhdmount z virtual servera nie otworzy vhd z w2k8. obraz zrobiony na w2k8 R2 różni się od tego z w2k8. nie miałem czasu na testy ale mapując vhd utworzone w2k8 R2 pod w7 diskpart napisał, żebym spadał na szczaw, bo on takiej wersji nie obsługuje. problemem jednak mógł być fakt, że jako ścieżkę podałem UNC – do przetestowania.

niemniej po otwarciu vhd z w2k8 R2 za pomocą gizmo [plik backupu], 2 plików nie udało się skopiować z dziwnym komunikatem ‘błąd dostępu podczas próby zapisu’. nie wiem czy wynika to z faktu, że to vhd z R2 czy z jakiegoś wewnętrznego uszkodzenia vhd [he?]… ale po co w ogóle taka zabawa?

o nowym winbackupie pisałem już kilka razy i nie mam o nim dobrego zdania. kolejny argument przeciw to niekompatybilność wersji – winbackup z w2k8 nie umie sobie poradzić z plikami z w2k8 R2 – w ogóle nie rozpoznaje tego jako backup. i tutaj kolejny problem – jak sobie radzić w takiej sytuacji? vhd są różne i różnie się zachowują [jak np. te dwa pliki, które nie chciały się skopiować]. w starych wersjach nie ma standardowego narzędzia do obsługi vhd no i w ogóle… nie istnieją scenariusze – nie tylko odzyskania systemu [ustawienia, rejestr, usługi] ale nawet głupich plików. w zasadzie cały winbackup sprowadza się do jednego scenariusza: *ten server*, *ta wersja*, *na tym sprzęcie*, *na tym dysq* – jakakolwiek zmiana i można zapomnieć o backupie. jego przydatność jest co najmniej niszowa. do przetestowania mam jeszcze czy gizmo widzi poprzednie wersje plików – bo przecież backup był robiony przyrostowo więc powinno być kilka wersji [vhd obsługuje shodow copy – tak jak zwykły dysk].

reasumując: windows backup – 3xNIE. qpując serwer warto zaopatrzyć się w jakiś soft do backupu a windowsowy używać tylko jako uzupełnienie – scenariusz “baremetal recovery” z obrazu.

ma ktoś warty polecenia, *darmowy*, soft do backupu, działający na w2k8 R2?

eN.

prosty scenariusz: skrypt logowania, uruchamiający bginfo. podstawowy problem w vbs: obsługa katalogów ze spacją. niestety przekazanie “c:\program files\systeinternals\bginfo.exe” z podobnie wyglądającymi parametrami jest upierdliwe – ile tych cholernych cudzysłowów jest potrzebne?

WShell.run """"&SUPPORT_DIR&"bginfo.exe"" """&SUPPORT_DIR&"wrkstations.bgi"" /accepteula /timer:0"

a cały skrypcik wygląda tak:

‘*******************************************************************************
‘*  prepare server environment - processexplorer and bginfo on servers         *
‘*                                                                             *
‘*    author:         nexorek[at]gmail.com                                     *
‘*                             last change  25.o5.2kd                          *
‘*                                                                             *
‘*******************************************************************************

OPTION EXPLICIT
ON ERROR RESUME NEXT
CONST SERVER_DIR=“\\FILESERVER\gpofiles$\“
Dim SUPPORT_DIR
Dim FSO, file
Dim WShell

‘*******************************************************************************
‘*                                 MAIN                                        *
‘*******************************************************************************
set FSO=CreateObject(“Scripting.FileSystemObject“)
Set WShell = WScript.CreateObject(“WScript.Shell“)
SUPPORT_DIR=WShell.ExpandEnvironmentStrings(“%programfiles%“)&“\sysinternals\“
‘check admin directory
if not FSO.FolderExists( SUPPORT_DIR ) then
  FSO.CreateFolder( SUPPORT_DIR )
end if
‘copy if not exist
iFCopy(“bginfo.exe“)
iFCopy(“wrkstations.bgi“)
iFCopy(“procexp.exe“)
WShell.run ““”“&SUPPORT_DIR&“bginfo.exe”" “”“&SUPPORT_DIR&“wrkstations.bgi”" /accepteula /timer:0“

‘*******************************************************************************
‘*                              SUBS’N'FUNCS                                   *
‘*******************************************************************************
Sub iFCopy(sourceFile)
  if not FSO.FileExists( SUPPORT_DIR&sourceFile ) then
    FSO.copyFile (SERVER_DIR&sourceFile), SUPPORT_DIR, true
  else
   ‘check version
    if strcomp( FSO.getFileVersion(SERVER_DIR&sourceFile),FSO.getFileVersion(SUPPORT_DIR&sourceFile) )<>0 then
      FSO.copyFile (SERVER_DIR&source), SUPPORT_DIR, true
    end if
  end if
End Sub

eN.

trzeba przyznać, że osoba, która wymyśliła taką nazwę dla tego triq miała fantazję (; trik jest prosty – załóż katalog o nazwie “GodMode.{ED7BA470-8E54-465E-825C-99712043E01C}” – w jednym miejscu/jako jedna lista będą widoczne wszystkie ustawienia control panel’a.

przydatne (:

eN.

Taki dziwny objaw: podczas otwierania pliq SP nie zadaje pytania czy plik ma być do edycji czy do odczytu – po prostu go otwiera. za chwilę oczywiście pokazuje się komunikat informujący, że plik jest tylko do odczytu i naciśnij guzik aby go edytować

obrazek jest dla excela ale ten sam objaw jest dla czegokolwiek. po naciśnięciu ‘edit’ pojawia się ‘spadaj szczawiu’:

po długim googlaniu i bezefektywnych próbach wdrożenia najdziwniejszych konfiguracji w końcu udało mi się ustalić, któryż to z moich najulubieńszych programów jest winny – jak zwykle jest to IE. przez tyle lat i na prawdę ogarnięcie zasad działania tej aplikacji pozostaje dla mnie niemożliwe. rozwiązaniem jest… usunięcie site’u z ‘Trusted Sites’

nie chce mi się spędzać czasu nad netmonem i innymi wynalazkami, żeby dojść *czemu* tak się dzieje… ważne, że w końcu działa i póki co zachowuje się deterministycznie q: […póki co…]

eN.

Ponieważ już drugi raz zapomniałem – czas to sobie zapisać [*zapamiętać*]:

sharepoint nie korzysta z WebDav dostarczanego przez IIS – ma wbudowany własny mechanizm. w związq z tym nie trzeba instalować tego komponentu. co więcej – dla wersji x64, niewolno go instalować, ponieważ nawet jeśli jest wyłączony dla poszczególnych siteów, nie będzie działał komponent SP.

z emesowego Whitepaper - Understanding and Troubleshooting the SharePoint Explorer View:

WebDAV, IIS, and SharePoint

Many people are under the misconception that SharePoint uses the WebDAV functionality provided by IIS 6.0. Actually, SharePoint provides its own WebDAV implementation using the Stsfilt.dll ISAPI filter that is installed with both Windows SharePoint Services and SharePoint Portal Server. Enabling or disabling the WebDAV extension in IIS 6.0 has no effect on SharePoint functionality.

*UPDATE*

jest jeszcze jedna zabawa sprawa – jeśli site skonfigurowany jest *tylko* z SSL [require SSL] to przy próbie zmapowania dostaje się błąd ‘acc denied’. jeśli jest skonfigurowane jest dodatkowe dowiązanie [nie musi to być port 8o – ja wstawiłem 8o8] i odhaczy się ‘require SSL’ to polecenie “net use * https://sharepoint…” działa normalnie. gr8.

eN.

przypadkiem trafiłem na ciekawe wyjaśnienie numerków błędów. jeden z programów sypnął numerkiem ‘2147944309’ – co on oznacza? problem polega na tym, że niektóre programy podają w hexach inne w dzisiętnym. standardowo większość opisów posługuje się szesnastkowym. ten numerek przypomina dzisiętny, więc go przekonwertujmy:

2147944309 = 0x80070775

i taki błąd zaczyna przypominać coś, co się zna. ‘8007’ oznacza standardowy błąd Win32, pozostaje więc info dot. błedu ‘0775’. i pomimo, że winda posługuje się standardowo szesnastkowym, to narzędzie jakie jest w systemie wymaga podania dziesiętnego zapisu, a więc kolejne przeliczenie:

0x775 = 1909

no i pozostaje wykorzystać starego, ‘dobrego’ neta:

PS C:\>net helpmsg 1909
The referenced account is currently locked out and may not be logged on to.

eN.

SRP czyli w świecie sp/vista – Software Restriction Policy (w w7 pojawił się AppLocker) służą do nakładania pewnych ograniczeń dla aplikacji – głównie co może/nie może się uruchomić. jest to część GPO i można je usunąć w prosty sposób – klikając PGM na kontenerze ‘software restrictions’ i po prostu usnąć:

jest tylko jedno małe ‘ale’… tego menu w GPO nie ma, jeśli GPMC/GPEdit uruchomiony jest na XP! a więc jeśli chce się usunąć SRP admintoolsy nie pomogą – trzeba się pofatygować na serwer.

eN.

Pewnie każdy w firmie ma jakieś wewnętrzne systemy, które co jakiś czas spamują userów różnego rodzaju informacjami, przypomnieniami itp.. Składnia tych maili jest czasami tak pokraczna, że outlook kwalifikuje te wiadomości jako spam i wrzuca je sobie do junk mails.

Rozwiązanie problemu wygląda banalnie:  Za pomocą GPO dodać  własną safe senders list i wyeksportować ją do użytkowników.

A więc tworzymy nowe GPO, ładujemy templatke Outlk12.adm i przechodzimy do:

User Configuration->Policies->Administrative Templates-> Microsoft Office Outlook 2007->Tools | Options…->Preferences->Junk E-mail

Wybieramy Specify path to Safe Senders list, po czym wskazujemy lokalizacje pliku w którym będziemy trzymać ową listę, np.:\\domena.corp\NETLOGON\outlooksafesenderslist.txt

Owa lista to nic innego jak plik tekstowy, w którym w wierszach są wpisane zaufane adresy mailowe, np:

adres@domena.com

adres2@domena.corp

Warto się jeszcze zastanowić nad opcją: Overwrite or Append Junk Mail Import List,

która ustawia czy nasza lista ma nadpisać listę użytkownika, czy zostać dopisana do już istniejącej.

Podpinamy jeszcze tylko nasze GPO do odpowiednich OU i szczęśliwi, że udało się szybko rozwiązać zadanie zaczynamy je testować.

No i dupa. Okazuje się, że do poprawnego działania tego mechanizmu, należy jeszcze zmienić wartość rejestru na stacjach klienckich.

Do klucza:

HKey_Current_User\Software\Microsoft\Office\12.0\Outlook\Options\Mail

należy dodać wartość DWORD

JunkMailImportLists=1

Po wprowadzeniu tej modyfikacji rejestru, wszystko pięknie działa.

Samą modyfikację rejestru oczywiście najszybciej i najwygodniej zrobić za pomocą GPO.

Tutaj przydaje się  Windows 2008 i Group Policy Preferences, które w znaczny sposób ułatwiają  modyfikacje rejestru na końcówkach.

podczas przenoszenie konfiguracji z pojedynczego dysq na RAID przywitał mnie taki śliczny komunikat: “BOOTMGR is missing”. z podobnymi problemami borykałem się wiele razy, więc pomyślałem sobie “jakiś to problem”… szybko okazało się, że problem jest całkiem niebłahy, a inżynierowie eMeSa zrobili chyba wszystko, żeby to utrudnić.

jak wiadomo od visty/w2k8 zmienił się sposób obsługi startu systemu – zupełnie nowy bootmanager, obsługa GPT itp itd… w moim przypadq był to server w2k8 R2. podstawą jest oczywiście płyta instalacyjna serwera, odpalamy i… upsss…nie ma na płycie serwera opcji reperacji – to pierwsza miła niespodzianka. najwyraźniej ktoś wyszedł z założenia, że serwer się nie psuje albo że admin jako geek poradzi sobie z linii poleceń. no i co ma sobie nie poradzić? przecież wszystkie polecenia znam dobrze:

• shift-F10 do konsoli
• sprawdziłem katalog boot [nie ma]
• skopiowałem pliki z CD do c:\boot
• bootrec /reinstallbcd

ślicznie. tylko nie działa. no to następnym razem jeszcze /fixmgr oraz /fixboot [z bootrec].. nie działa… google, fora no i w sumie wszyscy podają takie same rozwiązania, i co by nie zrobić nic nie działa – wciąż wita mnie ten sam milusi komunikat. była nawet taka jedna podpowiedź “weź płytę z klientem, odpal, użyj opcji ‘repair startup problems’” – co za lamerka, no ale dobra. spróbowałem… i nadal nie działa.

aż nie trafiłem na tą instrukcję:

1. Boot from your Windows Server 2008 R2 x64 DVD.
2. Repair
3. Command Prompt
Note: I only had one drive and that drive was set for C: as  the boot so the setup was fairly basic… if your setup is more complex you may want to consider this a bit more… but it should still work.
4. rename c:\boot\BCD bcd.old : this will backup your bcd file just in case you want it.
5. Delete c:\boot\bcd
6. Restart your computer
7. Remove your WS2008R2 DVD and insert the W7×64 DVD.
8. Boot from the DVD and do a repair.
9. It will offer to repair automatically accept.
10. Reboot and this is the "trick" boot the DVD again and do a repair.  Keep doing this process until it does not find anything wrong.
11. Your server should boot again.

“wykonuj ten proces póty, póki nie wykryje więcej błędów” – WTF? to jakiś smutny dowcip? no ale kiedy nie ma się nic do stracenia [czasu i tak już straciłem ZA DUŻO] – porestartowałem sobie troszq…

…no i zadziałało! w sumie 4 restarty, 3 reperacje. O CO C’MON?

szukałem dobrego artu na temat reperacji BCD i tego, co się w zasadzie dzieje podczas owej reperacji z płyty – czemu wszystkie opisy pokazują narzędzie bootsect, bootrec, bcdedit, ale żaden nie wskazuje narzędzi wykorzystywanych podczas reperacji tak, jak się dzieje z GUI i w końcu czemu, do cholery czemu! na płycie serwera nie ma tego toola?

to się nazywa poprawić mechanizm bootowania? idealny materiał na podrążenie tematu i opisanie tego porządnie … tylko czasu brak no i jakiś rozwalony komp by się przydał – bo trzeba na czymś testy porobić [chyba wiem, jak to popsuć, ale na pewno na tym serwerze już nie będę testował (; ]

eN.

prosta idea [nie zawsze wykonalna] – wedle podręcznikowego przydzielania uprawnień i zarządzania grupami polega na tym, że dla każdego udziału na FS tworzona jest grupa security-domain local – np. Share_FS01_RW_public. tej grupie nadawane są uprawnienia [w tym przypadq RW] a całe zarządzanie przydzielaniem uprawnień polega na dodaniu grupy funkcyjnej do grupy dostępowej. przykład w praktyce:

1. zakładam w AD jednostkę organizacyjną OU=AccessGroups
2. zakładam w AD jednostkę organizacyjną OU=Accounting
3. zakładam grupę funkcyjną security-global ‘Accounting’ i dodaję odpowiednich userów). te 3 kroki oczywiście definiują miniaturkę podstawowego środowiska lab
4. księgowość musi mieć swój prywatny katalog na FS więc:
1. zakładam grupę Security-Domain Local o nazwie “AG_FS01_RW_Accounting” w OU-AccessGroups – to przykładowa notacja która pozwala w łatwy sposób odróżnić grupy dostępowe od innych, zawiera nazwę serwera, którego dotyczy, uprawnienia [dzięki temu można łatwo odróżniać grupy RW od R] oraz jakiego udziału dotyczą.
2. zakładam katalog ‘Accounting’ na FS01 i publiqję go jako ‘\\FS01\Accouting’
3. jedyne uprawnienia jakie zakładam na katalogu to “authenticated users:M” na poziomie udziału oraz “AG_FS01_RW_Accounting:RW” na poziomie NTFS
4. teraz aby nadać uprawnienia do katalogu wystarczy, że dodam grupę ‘Accounting’ do ‘AG_FS01_RW_Accounting’

wadą takiego rozwiązania jest niezliczona ilość grup w złożonym środowisq – a więc czasem podręcznikowe rozwiązanie nie może być zastosowane. zalet jednak jest bardzo dużo:

• wszystko zarządzane z jednego miejsca za pomocą ADUaC bez potrzeby logowania/sprawdzania na serwerach plików
• ..czyli centralizacja zarządzania uprawnieniami
• łatwość delegacji zarządzania uprawnieniami
• utrzymywanie spójnej, prostej struktury: przejrzystość
• prostota automatyzacji mapowania: ujednolicone/uniwersalne skrypty mapowania
• automatyczne mapowanie dysków dla użytkowników zaraz po dodaniu do grupy funkcyjnej

poniżej zamieszczam przykładowy skrypt logowania mapujący dyski, który ma możliwość mapowania na podstawie przynależności do grupy. ponieważ użytkownicy nie należą bezpośrednio do grupy dostępowej, sprawdzany jest drugi poziom zagnieżdżenia – atrybut memberof. jest możliwość włączenia rekursywnego sprawdzania zagnieżdżenia ale ma to kilka mankamentów:

• jest dość powolne w realnym środowisq, gdzie grup jest sporo
• istnieje niebezpieczeństwo przypadkowego zmapowania katalogu z powodu powiązań pomiędzy grupami

‘*******************************************************************************
‘* map network drives lib for logon script                                     *
‘*   can be used to map multiple drives. possible error handling               *
‘*   user must have proper permissions - providing credentials not handled     *
‘*                    nexorek(at)gmail.com           25.iii.2kd                *
‘*EXAMPLE USE:                                                                 *
‘*addMapping “m”,”\\192.168.1.100\c$”                                          *
‘*addMapping “n”,”\\192.168.1.100\d$”                                          *
‘*mapNetworkDrives                                                             *
‘*                                                                             *
‘*EXECUTE WITH ERROR HANDLING:                                                 *
‘*addMapping “m”,”\\192.168.1.100\c$”                                          *
‘*addMapping “n”,”\\192.168.1.100\d$”                                          *
‘*if mapNetworkDrives<>0 then                                                  *
‘* wscript.echo “do something with “&mapNetworkDrives                          *
‘*else                                                                         *
‘* wscript.echo “netdrives mapped successfully”                                *
‘*end if                                                                       *
‘*                                                                             *
‘*MAP USER-named DRIVE                                                         *
‘*addMapping “h”,”\\server\share\”&logonName                                   *
‘*                                                                             *
‘*CONDITIONAL MAP DRIVE ON USER MEMBERSHIP                                     *
‘*if isMember(”group name”) then addMapping “s”,”\\server\sharename”           *
‘*                                                                             *
‘*******************************************************************************
ON ERROR RESUME NEXT
Const FileServer=“\\put.servername.here“

Dim dictMappings
Dim oADSystemInfo
Dim oUser, groupList, loginName, dictGroups, g
dim tempname

‘*******************************************************************************
‘*                                 MAIN                                        *
‘*******************************************************************************
‘used for store information about mapping drives
set dictMappings=CreateObject(“Scripting.Dictionary“)

‘Object for user/computer information
set oADSystemInfo=CreateObject(“ADSystemInfo“)
‘USER
set oUser=GetObject(“LDAP://“&oADSystemInfo.UserName)
loginName=oUser.SAMAccountName
‘USER GROUPS MEMBERSHIP
set dictGroups=CreateObject(“Scripting.Dictionary“)
groupList=oUser.getEx(“memberOf“)
for each g in groupList
  if not strcomp(lcase( left( getObject(“LDAP://“&g).objectCategory,8) ),“cn=group“ ) then
    enumGroupsInGroup(“LDAP://“&g)
  end if
  tempname=lcase(mid(g,4,InStr(g,“,“)-4))
  if not dictGroups.exists(tempname) then dictGroups.add tempname, g
next

‘PUT MAPPINGS HERE. example:
if isMember(“AG_FS01_RW_Accounting“) then addMapping “i“,“\\FS01\Accounting“
mapNetworkDrives

‘*******************************************************************************
‘*                              SUBS’N'FUNCS                                   *
‘*******************************************************************************
Sub addMapping(drvLetter, srvPath)
  dictMappings.add ucase(drvLetter)&“:“, srvPath
End Sub

Function mapNetworkDrives()
  ON ERROR RESUME NEXT
  Dim wshNetwork
  Dim AllDrives, i

  Set WshNetwork = WScript.CreateObject(“WScript.Network“)
  Set AllDrives = WshNetwork.EnumNetworkDrives()

  For each i in dictMappings
    ‘unmap before mapping - just to be sure that drive letter is not used
     if dictMappings.Exists(i) then
       WShNetwork.RemoveNetworkDrive AllDrives.Item(i)
     end if
    WShNetwork.MapNetworkDrive i, dictMappings(i)
    mapNetworkDrives=cstr(hex(err.number))
  next
End Function

Function isMember(gName)
  if dictGroups.Exists(lcase(gName)) then
    isMember=TRUE
  else
    isMember=FALSE
  end if
End Function

Sub enumGroupsInGroup(gname)
  ON ERROR RESUME NEXT
  Dim grpList, gentry

  grpList=getObject(gname).getEx(“memberOf“)
  for each gentry in grpList
    if not strcomp(lcase( left( getObject(“LDAP://“&gentry).objectCategory,8) ),“cn=group“ ) then
      dictGroups.add lcase(mid(gentry,4,InStr(gentry,“,“)-4)), gentry
      ‘next line is recursion for multilevel nesting. for performance purposes assumed 2-level structure
      ‘so it is disabled. there should be no more then second-level nesting for permissions
      ‘in fact it can be even dengerous - someone may have accidently mapped drive  
      ‘enumGroupsInGroup(”LDAP://”&gentry)
    end if
  next

End Sub

jak się okazuje, czasem teoria przekłada się na praktykę – mówię tu o podręcznikowym projektowaniu grup (global/domain local i standardowe AGDLP).

eN.

jest sobie aplikacja wewnętrzna, działająca… na wewnętrznych serwerach – załóżmy, ze na server.local.domain. po zalogowaniu do aplikacji okazuje się, że część jej się nie ładuje. wyłączamy proxy, restart przeglądarki, wszystko działa. a-ha. wina proxy. tylko zaraz! przecież jest ślicznie zaznaczona flaga “bypass proxy for local addresses”. znajduję artykuł na supporcie, informujący, że ta flaga działa tylko dla krótkich nazw.

niewątpliwie jest to pasqdztwo ze strony eMeSów, że mimo, iż od długiego czasu korzystają z DNS/TCPIP jako podstawowej warstwy, zostawiają co-i-rusz takie paszkwile – czy to przy logowaniu czy w takich sytuacjach – okazuje się, że stare NETBiosowe nazwy mają pierwszeństwo nad pełnymi FQDN czy UPN… no ale nic to. przecież jest lista wyjątków.

dopisuję do wyjątków serwer – żeby zawsze pomijał proxy. sytuacja się nie zmienia – nadal aplikacja nie działa prawidłowo. zacząłem już przeklinać IE ale okazało się, że moje emocje były przedwczesne, ponieważ to nie jest wina IE. po zbadaniu na serwerze logów okazuje się, że durnym komponentem jest java.

no jakże, by inaczej – aplikacje pisane w javie to horror, jej niekompatybilność między wersjami to horror, teraz do listy można jeszcze dopisać konfigurację. teoretycznie w konfiguracji jest opcja “use browser settings” – najwyraźniej jednak nie potrafi wykryć list wyjątków. no więc work-around jest taki, żeby proxy dla java po prostu ustawić na stałę i WOA! nawet jest flaga w konfiguracji “bypass for local” i nawet działa! szczyt technologii – to teraz trzeba przekonfigurować kilkadziesiąt kompów ):

JAVA SUX

eN.

kiedy sprawdzi się GPResult’em maszynę XP Mode dodaną do domeny okazuje się, że polisy użytkownika są propagowane, jednak w części komputera … pustka – nawet nie ma listingu polis! zupełnie jakby ich w ogóle nie było [w-files O_o].

dziwne.. nie wiem czemu nie potrafi ich nawet odczytać, ale powodem jest to, że maszyna jest za NATem – standardowe ustawienie trybu sieci dla XP Mode. po zmianie działania sieciówki na bezpośrednie – wszystko hula jak powinno.

…czyli jeśli postawię maszyny na NATem – np. w branch office, to nie będą pobierały polis?

eN.

Kiedys do wywalania starych i nieużywanych kont komputerów z AD służył mi taki znaleziony w sieci skrypt:

dsquery computer -inactive 16 -limit 0 | dsrm -c -noprompt

ale coś przestał działać na Win2008.

Nie wnikając w szczegóły i chcąc iść  z duchem czasu przerobiłem go na PowerShella

Get-QADComputer -IncludedProperties pwdLastSet -SizeLimit 0 |where {$_.pwdLastSet -le (Get-Date).AddDays(-180) } | Remove-QADObject -DeleteTree  -Force

Może komuś się przyda przy porządkach w AD.