VYSOKÁ ŠKOLA POLYTECHNICKÁ JIHLAVA Katedra elektrotechniky a informatiky Obor Aplikovaná informatika

Transkript

1 VYSOKÁ ŠKOLA POLYTECHNICKÁ JIHLAVA Katedra elektrotechniky a informatiky Obor Aplikovaná informatika Definice standardu koncového zařízení v síti Active Directory pro firmu AutoCont bakalářská práce Autor: Vladimír Řádek Vedoucí práce: Ing. Lubomír Leupold Jihlava 2015

2

3 Abstrakt Práce se zabývá možnostmi nasazení operačních systémů Windows 7 a Windows 8/8.1 na počítače ve firemním prostředí. Součástí instalace PC budou i ovladače a základní sada aplikací. Bude brán ohled na snadný a bezobslužný deployment (příp. s minimální obsluhou) z prostředí Microsoft Windows Server 2012 R2. V první části práce budou popsány možnosti deploymentu, nasazené operační systémy, virtualizace a sítě. V další části se budu věnovat samotné implementaci systémů, jejich zabezpečení a možností ukládání informací o jednotlivých přihlášení uživatelů do domény. Klíčová slova Windows, Server, Deployment, GPO, Bginfo, Active Directory, Vmware Abstract This work deals with the deployment of Windows 7 and Windows 8/8.1 on computers in a corporate environment. Part of the PC installation will also be drivers and basic set of applications. Consideration will be given to the easy and unattended (or. with minimal attendence) deployment from a Microsoft Windows Server 2012 R2. The first part will describe the deployment options, deployed operating systems, virtualization and network. In the next section I will take care of the actual implementation of systems, their security and the possibility of storing information about individual users log on to the domain. Key words Windows, Server, Deployment, GPO, Bginfo, Active Directory, Vmware

4 Prohlašuji, že předložená bakalářská práce je původní a zpracoval/a jsem ji samostatně. Prohlašuji, že citace použitých pramenů je úplná, že jsem v práci neporušil/a autorská práva (ve smyslu zákona č. 121/2000 Sb., o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů, v platném znění, dále též AZ ). Souhlasím s umístěním bakalářské práce v knihovně VŠPJ a s jejím užitím k výuce nebo k vlastní vnitřní potřebě VŠPJ. Byl/a jsem seznámen s tím, že na mou bakalářskou práci se plně vztahuje AZ, zejména 60 (školní dílo). Beru na vědomí, že VŠPJ má právo na uzavření licenční smlouvy o užití mé bakalářské práce a prohlašuji, že s o u h l a s í m s případným užitím mé bakalářské práce (prodej, zapůjčení apod.). Jsem si vědom/a toho, že užít své bakalářské práce či poskytnout licenci k jejímu využití mohu jen se souhlasem VŠPJ, která má právo ode mne požadovat přiměřený příspěvek na úhradu nákladů, vynaložených vysokou školou na vytvoření díla (až do jejich skutečné výše), z výdělku dosaženého v souvislosti s užitím díla či poskytnutí licence. V Jihlavě dne... Podpis

5 Poděkování Na tomto místě bych rád poděkoval svému vedoucímu práce Ing. Lubomíru Leupoldovi za možnost vytvářet bakalářskou práci pod jeho vedením. Dále bych rád poděkoval společnosti AutoCont za poskytnutí tématu.

6 Obsah 1 Úvod Teoretický rozbor technologií Počítačová síť Základní pojmy sítě a protokol TCP/IP Operační systém Windows Server 2012 R Windows Windows 8/ Virtualizace VMware vsphere Deployment Microsoft deployment toolkit Windows Deployment Services Windows Assessment and Deployment Kit (WADK) Metody deploymentu Group Policy Doplňkové služby WSUS FSRM Print Service Implementace Analýza a návrh infrastruktury Vytvoření virtuálních strojů ve VMware vsphere Instalace Windows Server Konfigurace serveru ADTEST Konfigurace serveru SWDS Nasazení Bginfo Nastavení skupinových politik Konfigurace WSUS Nasazení certifikační autority Připojení síťové tiskárny Nasazení File Filteringu Testování Test komunikace Test rychlosti nasazení:... 50

7 4.3 Ověření správného nainstalování ovladačů Ověření nainstalovaných aplikací Test BGinfo Ověření funkčnosti Group Policy Test WSUS Test certifikační autority Test připojení síťové tiskárny Test filtrování souborů Závěr Seznam použité literatury Seznam obrázků Seznam tabulek Seznam grafů Seznam použitých zkratek Přílohy Obsah přiloženého CD... 71

8 1 Úvod Práce se zabývá definováním standardu počítače s cílem práce zhodnotit možnosti nasazení operačních systémů Windows ve firemním prostředí s ohledem na bezobslužný proces celé operace a co nejnižší časovou náročnost. Zmapování a zdokumentování těchto možností má sloužit primárně pro účely společnosti AutoCont při nasazování IT (Informační technologie) prostředí u zákazníků. V dnešní době se nabízí dvě platformy pro instalaci serverů. Jednou variantou je prostředí systému Linux a druhou možnost představuje rodina systémů Microsoft Server. Vzhledem k tomu, že nejčastěji používanými operačními systémy jsou produkty Microsoft Windows, bude zmíněn deployment právě na této platformě. AutoCont je navíc partnerem společnosti Microsoft. Během zpracovávání této práce bylo využito prostředí sítě vytvořené speciálně pro účely testování deploymentu. Serverové prostředí tvoří nejnovější serverový operační systém Microsoft Windows Server 2012 R2 se službami Active Directory pro správu počítačové sítě ve firemním prostředí, DHCP (Dynamic Host Control Protocol) pro dynamické přidělování IP (Internet Protocol) adres, DNS (Domain Name System) pro správu doménových jmen a WDS (Windows Deployment Services) pro samotnou konfiguraci automatizovaných scénářů deploymentu. V oblasti informačních technologií se stále častěji mluví o virtualizaci, ať už jde o virtualizaci serverů, sítě, pracovních ploch, aplikací nebo úložišť. Absolutní špičkou na trhu v oblasti virtualizace jsou nástroje od společnosti VMware. Pro jednodušší simulaci firemní sítě je v bakalářské práci využito virtualizace serverů a testovacího virtuálního počítače s operačním systémem Microsoft Windows 7 a Windows 8.1 právě v prostředí VMware vshpere. Počítače zařazené do domény jsou v moderní IT infrastruktuře spravovány centrálně pomocí Active Directory. Další nastavení jako jsou omezení práv, zabezpečení je možné provádět pomocí tzv. skupinových politik Group Policy. Dnešní IT se také skládá z možnosti sledovat činnost IT infrastruktury a ukládat tyto informace do databází. Pro účely sledování jednotlivých stanic v doméně je využito jednoduchého, ale mocného programu BgInfo. 8

9 Důležitou vlastností serverů je udržovat operační systémy a aplikační vybavení stanic v aktualizovaném stavu. Služba Windows Server Update Services (WSUS) slouží administrátorům spravovat automatické aktualizace ve firemní síti. K výběru této bakalářské práce mě podnítila možnost vyzkoušet si a testovat nasazení operačních systémů Windows ve firemních prostředích. Před touto prací byly moje znalosti omezené pouze na zdlouhavé instalace jednotlivých stanic s plnou asistencí člověka bez automatizovaných scénářů. 9

10 2 Teoretický rozbor technologií 2.1 Počítačová síť Dnešní uspěchaná doba klade čím dál větší nároky i na výpočetní techniku a její propojení pomocí počítačových sítí. Pryč je doba, kdy firma vlastnila jediný počítač. V dnešních firmách jich bývají desítky i stovky a kromě nich i další zařízení, jako jsou disková pole, tiskárny, IP telefony, atd. Právě z tohoto důvodu vznikla potřeba propojit počítače a jejich příslušenství pomocí počítačových sítí, díky kterým je pak mnohem jednodušší sdílet a přenášet data, sdílet hardwarové prostředky, komunikovat písemně i audiovizuálně, či jednotně provádět různá nastavení na koncových stanicích (např. instalace aplikací a aktualizací). Existuje několik způsobů, jak jsou v síti jednotlivé prvky propojeny. Způsob takového uspořádání se nazývá topologie: sběrnicová, hvězdicová, kruhová, páteřní. Dnes se nejčastěji v domácích a firemních sítích setkáváme s hvězdicovou topologií. Každé zařízení připojené do takové sítě má veden samostatný kabel (nebo je bezdrátově připojeno) k rozbočovači (switch), který tvoří pomyslný střed sítě. Výhodou je její spolehlivost, rychlost a snadná lokalizace případné poruchy. Mezi hlavní nevýhody patří nutnost pořizování switchů. Obrázek 1: Hvězdicová topologie sítě 10

11 Všechny počítačové sítě se skládají nejen z hardwaru, ale i softwaru, díky kterému síť obživne. Rozlišují se dva základní typy software podle toho, zda je použit server (klient-server) či nikoliv (peer-to-peer). Síť peer to peer tvoří jednotlivé počítače, které jsou si vzájemně rovné a nabízí si mezi sebou své služby (např. sdílení některých složek mezi určitými uživateli). Mezi výhody takové sítě patří její levné řešení (není třeba serverový operační systém). Nevýhodou je chaotický přehled o uložených datech při větším počtu počítačů, složité nastavování a nízká úroveň zabezpečení. Druhý typ sítě, klient-server, soustředí všechna data, konfigurace, údaje o uživatelích apod. do jednoho bodu v síti do serveru. Požadavky na server jsou mnohem vyšší, než na koncovou stanici, a proto je důraz kladen na vysokou rychlost a maximální spolehlivost. Servery využívají speciální operační systémy, které nabízí nástroje pro administraci sítě. Výhodou sítě klient-server je vysoká bezpečnost, snadná konfigurace a přehlednost (vše je na jednom místě). Nevýhody spočívají v nákladech na pořízení serveru a serverového OS (operačního systému) a s tím související nutnost mít kvalifikovaného pracovníka, který má zkušenosti s administrací serveru Základní pojmy sítě a protokol TCP/IP TCP/IP Komunikaci mezi jednotlivými počítači a dalšími prvky v síti se zajišťuje protokol TCP/IP (Transfer Control Protocol / Internet Protocol). Tento protokol obsahuje sadu pravidel pro určení významu jednotlivých zpráv při komunikaci v síti. Protokol se dělí na čtyři hierarchické vrstvy, které popisují komunikaci v různých úrovních. Linková vrstva nejnižší vrstva popisující přístup k fyzickému médiu a způsob komunikace v rámci LAN (Local Area Network). Síťová vrstva stará se o adresaci jednotlivých zařízení v rámci sítě pomocí unikátní IP adresy protokoly IPv4 nebo IPv6. Transportní vrstva zajišťuje spolehlivost přenosu pomocí protokolů TCP a UDP (User Datagram Protocol). Protokol TCP je spolehlivější, ale pomalejší a používá se, když je nezbytně nutné, aby data dorazila z bodu A do bodu B. 11

12 UDP je naopak méně spolehlivé, ale využívá se tam, kde je kladen důraz na rychlost i za cenu potencionálního rizika ztráty některých dat. Aplikační vrstva využívá služeb protokolů, jako je např. Telnet, POP3 (Post Office Protocol), DNS Server, FTP (File Transfer Protocol), HTTP (Hypertext Transfer Protocol) a další, které využívá pro přenos konkrétních služeb a aplikací. DNS Domain Name System (DNS) je systém doménových jmen uspořádaných hierarchicky do různých úrovní. Jedná se o službu, které překládá těžko zapamatovatelnou IP adresu na jednodušší jméno. Adresu DNS s odpovídající IP adresou lze nastavit buď ručně nebo automaticky protokolem DHCP. Nejvyšší úroveň domény označuje nejčastěji lokalizaci (.cz,.sk,.de). Druhá úroveň by měla nést snadno zapamatovatelný název (např. jméno společnosti). DHCP Dynamic Host Configuration Protocol je určen k automatické konfiguraci zařízení v počítačové síti typu klient-server následujícími parametry: Ip adresa, maska sítě, výchozí brána, DNS servery 2.2 Operační systém Operační systém je základní programové vybavení, bez kterého by byl počítač pouhým kusem železa bez možnosti využití. Jeho činnost spočívá ve zprostředkování komunikace mezi uživatelem a hardwarem a řízení jednotlivých části počítače. Základním prvkem OS je jádro (nebo též kernel), kterému je předáno řízení a po celou dobu běhu počítače sleduje a obsluhuje procesor, paměť, periférie a systém souborů. 12

13 Operační systém dále řídí: zpracování programů včetně určování priority zpracování v případě souběhu více procesů, zpracování síťové komunikace prostřednictvím síťových rozhraní. Dnešními nejznámějšími představiteli operačních systémů jsou Windows od společnosti Microsoft, operační systémy typu UNIX (především různé distribuce Linuxu) a Mac OS od společnosti Apple. Obrázek 2: Využití operačních systémů na koncových stanicích Zdroj: Windows Server 2012 R2 Serverové operační systémy se vyznačují vysokou stabilitou a spolehlivostí i při extrémním zatížení. Prvním serverovým systémem ze série Windows Server se stal Microsoft Windows Server Nejnovějším zástupcem je Microsoft Windows Server 2012 / 2012 R2, jehož nasazení je v současné době velmi aktuální v souvislosti s končící podporou systému Windows Server Verze 2012 R2 přichází s edicemi Datacenter, Standard, Essential a Foundation. Nejvyšší edice Datacenter a Standard se liší pouze ve způsobu licencování, jinak mají shodné technické vlastnosti (až na automatickou aktivaci virtuálního stroje). Datacenter je vhodný pro vysoce virtualizovaná datová centra a cloudová prostředí. Edice Standard 13

14 nejlepší využití nalezne u fyzických serverů nebo minimálně virtualizovaná prostředí. Verze Essential je limitována především maximálním počtem současně přihlášených uživatelů (25) a podporou maximálně dvou fyzických procesorů. Nejvíce ořezaná edice nese název Foundation, která se dodává pouze jako OEM (Original Equipment Manufacturer) spolu s novými servery. Počet současně přihlášených uživatelů je limitován hodnotou 15 a podporuje pouze jednoprocesorové servery. Obrázek 3: Vlastnosti Microsoft Windows Server 2012 R2 Po čisté instalaci Windows serveru toho operační systém Windows Server 2012 příliš nenabízí. Důležitou součástí nainstalovanou již ve výchozím nastavení Windows Server 2012 je konzole Server Manager, pomocí které se provádí instalace a konfigurace serveru. Active Directory Active Directory je adresářová služba, která slouží k ukládání informací o jednotlivých uživatelích i počítačích v doménové struktuře a umožňuje jejich hromadnou správu (např. instalace aplikací, nastavení Group Policy, aktualizace, monitoring, atd.). V novém systému Windows Server 2012 se instalace a konfigurace Active Directory komponent provádí pomocí skriptovacích příkazů v PowerShell nebo v intuitivním 14

15 prostředí Server Manager. Nová verze AD (Active Directory) se dočkala nových vlastností, které celému řešení dodávají ještě větší stabilitu, spolehlivost a snadnější správu. Nainstalovat lze následující role Active Directory: Active Directory Certificate Services (AD CS). Active Directory Domain Services (AD DS). Active Directory Federation Services používá jednotné přihlášení k ověření více uživatelů pro více souvisejících webových služeb v průběhu životnosti jedné relace. Active Directory Lightweight Directory Services adresářová služba s využitím LDAP, která poskytuje podporu pro aplikace pracující s adresáři. Active Directory Rights Management Services poskytuje nadstandardní mechanismy zabezpečení dokumentů a informací. V této bakalářské práci zmíním pouze AD CS a AD DS, které jsou nezbytně nutné. AD CS role umožňuje vydávat a spravovat digitální certifikáty pro šifrování a digitální podpisy elektronických dokumentů či ověřování počítačů, uživatelských účtů nebo zařízení v počítačové síti. AD DS je pravděpodobně nejzákladnější role potřebná ke konfiguraci a správě adresářových služeb v doméně. S její pomocí lze vybudovat infrastrukturu pro správu uživatelů a počítačů, která bude splňovat požadavky na bezpečnost a škálovatelnost. [2] Windows 7 Operační systém Windows 7 byl vydán v roce 2009 společností Microsoft jako nástupce Windows Vista, na jejichž jádře jsou sedmičky postaveny. Systém Windows Vista ovšem obsahoval chyby, díky kterým se tento systém netěšil přílišné oblibě. Těmi byly především pomalé starty systému, nízká stabilita a složitější instalace a konfigurace v porovnání s Windows 7. Operační systém Microsoft Windows 7 existujejak ve 32bitové, tak 64bitové verzi a existuje 6 různých edicí od základní edice Starter, až 15

16 po vrcholné edice Enterprise a Ultimate. V tabulce níže jsou uvedené nejdůležitější vlastnosti jednotlivých edicí tohoto operačního systému. [3] Tabulka 1: Porovnání vlastností edicí Windows 7 Starter Home Basic Home Premium Professional Enterprise, Ultimate x32/x64 ano/ano ano/ano ano/ano ano/ano ano/ano Podpora více procesorů Ne Ne Ne Ano Ano Max. RAM 32-bit 4 GB 4 GB 4 GB 4 GB 4 GB Max. RAM 64-bit 8 GB 8 GB 16 GB 192 GB 192 GB Taskbar Ne Ano Ano Ano Ano Mobility Center Ne Ano Ano Ano Ano Snadné přepínání uživatelů Ne Ano Ano Ano Ano Aero Ne Ne Ano Ano Ano Multi-touch Ne Ne Ano Ano Ano Přehrávání DVD Ne Ne Ano Ano Ano Windows Media Center Ne Ne Ano Ano Ano XP mód Ne Ne Ne Ano Ano Šifrování souborového Ne Ne Ne Ano Ano systému BitLocker Ne Ne Ne Ne Ano AppLocker Ne Ne Ne Ne Ano BranchCache Ne Ne Ne Ne Ano DirectAccess Ne Ne Ne Ne Ano Windows 8/8.1 Nový operační systém od společnosti Microsoft, Windows 8, byl uveden do prodeje 26 října Od 17. listopadu 2013 je pak přístupná volně dostupná první velká aktualizace pod názvem Windows 8.1, která nahrazuje opravné balíčky známé z předchozích operačních systémů jako Service Packy. Zcela zásadní změnou je vzhled původního Startu, který nahradilo nové celoobrazovkové prostředí Metro. Další novinkou je plná podpora zařízení s dotykovou obrazovkou, pro které bylo právě Metro přizpůsobeno. 16

17 Další nové vlastnosti Windows 8 a 8.1: Windows Store tisíce aplikací pro Windows na jednom místě, rychlejší vyhledávání, podpora virtualizace pomocí Hyper-V, nový vzhled File Exploreru, podpora 3D tisku. Windows 8 a 8.1 podporuje platformy x86, x86_64 a ARM a jsou dostupné ve čtyřech edicích. Jejich porovnání je v tabulce níže. [4] Tabulka 2: Porovnání vlastností edicí Windows 8/8.1 Windows 8.1 RT Windows 8.1 Windows 8.1 Pro Windows 8.1 Enterprise Platforma ARMv7 x86/x86_64 x86/x86_64 x86/x86_64 Podpora více procesorů Ne Ne Ano (2) Ano (2) Max. RAM 64-bit 4 GB 128 GB 512 GB 512 GB Připojení do domény Ne Ne Ano Ano Mobility Center Ano Ano Ano Ano Metro Ano Ano Ano Ano Šifrování zařízení Ano Ano Ano Ano BitLocker Ne Ne Ano Ano AppLocker Ne Ne Ne Ano BranchCache Ne Ne Ne Ano DirectAccess Ne Ne Ne Ano 2.3 Virtualizace Prvotní myšlenku virtualizace vyslovila v počátcích 60. let ve společnosti IBM kvůli stále složitějšímu procesu nasazování nových systémů, které se zásadně lišily od předchozích generací. Virtualizace, jak již název vypovídá, je založena na fiktivním prostředí, ve kterém dochází k oddělení abstraktních aplikací od hardwaru a představuje je jako jejich logické nebo virtuální stroje. Virtuálním strojem je myšlen softwarový počítač, který umí stejně jako běžný fyzický počítač spouštět operační systém s aplikacemi. V podstatě vytváří fiktivní pohled na jednotlivé výpočetní zdroje či počítače, které se uživatelům jeví jako samostatné jednotky, ačkoliv využívají 17

18 prostředky fyzického hardwaru (hypervizoru). Virtualizace se uplatňuje při virtualizaci serverů, stanic, aplikací, sítí, datových úložišť, ale třeba i vstupně-výstupních (I/O) zařízení. Dříve bylo cílem virtualizace především hledání cest, jak zpracovávat více procesů v jednom okamžiku, tak jak dnes běžně známe u vícevláknových zařízeních. Dnes se společnosti zaměřují na virtualizaci infrastruktury především kvůli efektivnějšímu využití hardware, který se stává hostitelem pro celou řadu virtualizovaných systémů. Díky tomu dochází ke snížení nákladů na provoz. Nespornou a pravděpodobně nejvýraznější výhodou je zjednodušení správy a přenositelnost virtualizovaných strojů. Hlavními hráči na trhu v oblasti virtualizace serverů jsou VMware vsphere, Microsoft Hyper-V a Citrix XenServer. [5] VMware vsphere Společnost VMware je lídrem v oblasti virtualizace, což dokládá i více než zákazníků a přes partnerů. Produkty VMware svým zákazníkům zajišťují větší pružnost, efektivitu a lepší zhodnocení investic. Kromě řešení pro virtualizaci desktopů a aplikací nabízí též pokročilé nástroje pro datová centra a cloudové infrastruktury. Základní komponenty VMware vsphere VMware vsphere využívá sílu virtualizace k přeměně datových center na jednoduché výpočetní střediska v podobě cloudu a umožňuje IT organizacím poskytovat flexibilní a robustní IT služby. Jedná se o komplexní řešení pro nasazení a správu virtuálních strojů napříč datovými centry. Základním stavebním kamenem vsphere jsou komponenty WMware ESXi a VMware vcenter Server. Komponenta ESXi slouží jako hypervizor pro běh virtuálních stojů. Komponenta vcenter Server zastupuje funkci centrálního správce ESXi hostitelů připojených do počítačové sítě (možnost vytvoření virtuálního switche, díky kterému lze propojit virtuální počítače v ethernetové síti) a umožňuje správu a monitoring prostředků i pro více hostitelů zároveň. [6] 18

19 Obrázek 4: Architektura virtualizace VWware vsphere (ESXi) [6] Topologie datového centra vsphere Výpočetní servery ESXi server, který je nainstalovaný na fyzickém serveru, poskytuje prostředky (CPU, RAM, HDD, LAN, ) pro virtuální počítače. Každý takový server tvoří ve virtuálním prostředí samostatného hostitele a v případě více x86 serverů s podobnou konfigurací připojených do stejné sítě lze sdružovat výkon všech těchto serverů k přiřazování prostředků virtuálním strojům. Síťová úložiště a disková pole VMware vsphere podporuje všechny hojně využívané úložné technologie typu SAN (ať už Fibre Channel nebo iscsi) i NAS (Network Area Storage). Taková pole, pokud jsou propojená a sdílená v rámci jedné skupiny serverů, je možné využívat jako jedno obří úložiště, z něhož lze jednotlivým virtuálním strojům flexibilně poskytnout potřebnou kapacitu virtuálního HDD. IP sítě virtuální servery mohou mít hned několik síťových adaptérů tak, aby obsáhly celé pásmo sítě a poskytly spolehlivou síťovou komunikaci v celém datovém centru. vcenter Server poskytuje kontrolu přístupu, monitorování výkonu a možnost konfigurování datového centra přehledně na jednom místě. V této komponentě 19

20 dochází ke sjednocování dostupných prostředků z jednotlivých výpočetních serverů, aby mohly být následně propůjčeny virtuálním strojům v síti pomocí správce přiřazování na základě nastavení politik. Management klienti pro přístup a správu virtuálních strojů nabízí vsphere několik rozhraní pro přístup k virtuálním strojům. Pomocí aplikace vsphere Client, webového klienta vsphere Web Client pro přístup přes webový prohlížeč nebo pomocí příkazového řádku vsphere Command Line Interface (vsphere CLI). [7, 8] Obrázek 5: Toplogie datového centra vsphere [8] 2.4 Deployment Pojem deployment původně vychází z vojenského termínu, který se používal při popisu umístění vojáků a vojenského vybavení v bitevním poli. Dnes se s tímto termínem nejčastěji setkáme v souvislosti s informačními technologiemi a doslova znamená nasazení. V této oblasti se deployment může týkat serverů, stanic, softwaru, počítačových sítí nebo třeba i webů. Deployment operačního systému je kritickým bodem IT administrátorů. V každé organizaci, která má svoji vlastní síť, se nachází více počítačů, jejichž individuální instalace a nastavování je časově a potažmo i finančně velice náročný proces. Z tohoto 20

21 důvodu se hledají cesty jak proces instalace zjednodušit a urychlit automatizací u desítek i stovek počítačů. Při nasazování operačních systémů Microsoft Windows se nabízí hned několik možností, jak zautomatizovat nasazování operačního systému, jako je např. použití sady nástrojů Microsoft Deployment Toolkit, služeb Windows Deployment Services, či Windows Automated Installation Kit Microsoft deployment toolkit Microsoft Deployment Toolkit (MDT) je nástroj pro automatizaci při nasazování operačních systémů a aplikací. Výrazně zkracuje dobu instalace a udává standard instalačních obrazů a zároveň vylepšuje zabezpečení a správu konfigurace. Nejnovější verze Microsoft Deployment Toolkit 2013 podporuje deployment operačního systému Windows 8/8.1 i serverového OS Windows Server 2012 a Windows Server 2012 R2. Nejdůležitější novinky v Microsoft Deployment Toolkit 2013: podpora Windows Assesment a Deployment Kit (ADK) pro Windows 8.1, podpora deploymentu systémů Windows 8.1 a Windows Server 2012 R2, podpora System Center 2012 R2 Configuration Manager, vylepšuje podporu 32bitových systémů UEFI (Unified Extensible Firmware Interface). [9] Windows Deployment Services Služba Windows Deployment Services vznikla po aktualizaci původní služby Remote Installation Services. Jedná se o balíček, se kterým lze vzdáleně nainstalovat operační systém na koncovou stanici pomocí síťové instalace, takže není nutné mít žádné instalační médium, které by bylo třeba manuálně spouštět na každé stanici. Windows Deployment Services má řadu nesporných výhod: podpora síťové instalace, která zjednodušuje, zefektivňuje a zlevňuje celý proces nasazení operačních systémů na koncové stanice, 21

22 podpora různých prostředí od Windows XP a Windows Server 2003 až po Windows 8.1 a Windows Server 2012 R2, podpora standardních Windows Setup technologií jakými jsou Windows PE (Preinstallation Kit), soubory s příponou.wim a instalace obrazu operačního systému, multicastový přenos dat, umožňuje tvorbu obrazu referenčního počítače pomocí Image Capture Wizard, možnost zahrnutí balíčků s ovladači do instalačního obrazu. Podmínky pro instalaci WDS: Na serveru musí být moderní operační systém Windows Server 2003 nebo novější s nainstalovaným Active Directory. Koncové stanice musí být kompatibilní s bootovacími soubory PXE (Preboot Execution Environment). [10] Windows Assessment and Deployment Kit (WADK) S nástupem operačních systémů Windows Vista a Windows Server 2008 vydal Microsoft sadu Windows Automated Installation Kit, což je další sada nástrojů pro konfiguraci a deployment operačních systémů v rozsáhlých prostředích malých a středních firem. Po příchodu operačních systémů Windows 8 a Windows Server 2012 došlo k přejmenování této sady na Windows Assessment and Deployment Kit, která nyní sjednocuje balíčky OEM Preinstallation Kit a Windows Automated Installation Kit. Balíček WADK nabízí dva různé scénáře: Windows deployment, Windows assessment. Windows deployment Scénář usnadňuje IT administrátorům přizpůsobit a automatizovat instalace operačních systémů v rozsáhlé infrastruktuře. Obsahuje řadu užitečných nástrojů pro přizpůsobení 22

23 instalačního obrazu. Patří mezi ně Windows System Image Manager, Deployment Imaging Servicing and Management Tool, Application Compatibility Toolkit, User State Migration Tool a Volume Activation Management Toolkit. Windows assessment Druhý scénář sady WADK, Windows assessment, umožňuje provádět měření, diagnostiku problémů a definovat možná vylepšení. Uplatnění najde při měření provozních charakteristik počítačů, která zahrnují výkon, funkčnost a spolehlivost. [11, 12] Metody deploymentu V současnosti existují čtyři známé metody deploymentu. Každá metoda je vhodná pro jiné podnikové prostředí především v závislosti na typu sítě, počtu počítačů v síti, konfigurace počítače či způsobu instalace aplikací. High-Touch Retail médium Metoda je vhodná pro menší společnosti, kde se nachází méně, než 100 klientských počítačů. Síť v těchto organizacích nemá management s oddělenými umístěními. Instalace koncových zařízení probíhá ručně z instalačního média v jeden okamžik na jeden počítač. Stejným způsobem probíhá následná konfigurace počítače a instalace aplikací a ovladačů. Plná automatizace nasazování operačního systému v této úrovni je pro malé organizace nevýhodná. Nabízí se ovšem úprava obrazu systému, aby proces instalace nevyžadoval příliš interakce. [13] High-Touch Standardní obraz Deployment pomocí této metody je vhodný pro menší organizace, které již disponují IT techniky, ale často využívají externí podporu pro nasazení nových technologií. Metodu lze využít v síti bez managementu, ve které se nachází 100 až 200 klientských počítačů. V takovém rozsahu se již začínají uplatňovat odpovědní soubory pro automatizaci instalace operačního systému. [14] Lite-Touch Metoda Lite-Touch je určená pro společnosti, v jejichž síti se nachází 200 až 500 klientských počítačů. Společnost má IT oddělení, jehož zaměstnanci obstarávají chod 23

24 počítačové sítě a jen zřídka využívají partnerskou IT podporu při nasazování nových technologií. Deployment je řešen pomocí nástrojů a technologií poskytovaných Microsoftem. Zahrnuje kombinaci odpovědních souborů, skriptů a nástroje MDT. Tuto metodu mohou výhodně využít společnosti, které nemají potřebnou infrastrukturu pro nasazení pomocí metody Zero-Touch. Jedinou infrastrukturní podmínkou je mít souborový server. [15] Zero-Touch Metoda Zero-Touch je sen každého administrátora. Spočívá v plné automatizaci instalačního procesu, který je vhodný pro organizace s více jak 500 klientskými počítači a se síťovou infrastrukturou s managementem, kde hlavní úlohu hrají servery s operačními systémy Microsoft Windows. Pro využití plně bezobslužné instalace je nutnost mít potřebnou infrastrukturu, která zahrnuje především server s Active Directory a Windows Deployment Services. [16] 2.5 Group Policy Group Policy, neboli také skupinové politiky, je kolekce nastavení vlastností počítačů (Computer Configuration) a uživatelských účtů (User Configuration). Skupinové politiky usnadňují práci při opakovaných i nárazových činnostech, které je třeba aplikovat na koncových stanicích. Může se jednat o přizpůsobení operačního systému a jeho komponent, spouštění skriptů, zabezpečení počítače, instalace software a zařízení, mapování jednotek, apod. Většina nastavení provedených pomocí skupinové politiky změní příslušný registr. Změny provedené v Computer Configuration upravují větev registrů HKLM (HKEY_LOCAL_MACHINE), zatímco nastavení v sekci User Configuration upravují větev registrů HKCU (HKEY_CURRENT_USER). Skupinové politiky se rozdělují na globální a lokání. Globální politiky se využívají v podnikovém prostředí, kde je v drtivé většině případů nastavena doménová síť, na niž se tato nastavení uplatňují. Každé vytvořené politice odpovídá jeden tzv. Group Policy Object (GPO) objekt skupinové politiky. Tyto objekty jsou uloženy ve složce SYSVOL. Ve struktuře AD je možné GPO přilinkovat k síti, doméně nebo organizační jednotce. Každý objekt skupinové politiky může být přilinkován v různých umístěních v síti a tím vytvořit společná pravidla pro chování počítačů v Active Directory. 24

25 V doméně se automaticky vytvoří dvě výchozí GPO: Default Domain Controllers Policy GPO aplikuje se na všechny doménové kontroléry, pokud jsou členy příslušné OU (organizační jednotky). Default Domain Policy GPO aplikuje se na všechna koncová zařízení uvnitř Active Directory. Lokální politiky se liší v tom, že se uplatňují pouze rozsahu stanice. [17] 2.6 Doplňkové služby WSUS Služba Windows Server Update Service je běžně dostupnou součástí operačních systémů Windows Server. WSUS poskytuje automatizovanou centrální správu nejnovějších aktualizací produktů Microsoft napříč celou infrastrukturou. [18] FSRM FSRM (File Server Resource manager) je role služby File and Storage Service. Tato konzole umožňuje řízení množství a typy souborů na síťových úložištích. Díky možnostem sledování stavu disků a možnosti statistik tak mají administrátoři možnost též připravovat scénář pro budoucí rozšíření úložiště v závislosti na dosavadní činnosti uživatelů. [19] Print Service Tisková služba je služba operačního systému Windows Server, která slouží pro management tiskových úloh a pomocí centrálního tiskového serveru umožňuje sdílet síťové tiskárny. [20] 25

26 3 Implementace 3.1 Analýza a návrh infrastruktury V prvé řadě je třeba provést analýzu prostředí, ve kterém proběhne proces instalace koncových stanic. Typicky jsou potřeba dva servery, ať už fyzické nebo virtuální. Jeden server plní roli doménového serveru s doplňkovými službami jako WSUS, FSRM, Print Services a IIS (Internet Information Services). Druhý server se službou WDS je zaměřen na proces nasazování operačního systému, ovladačů a aplikací na koncové stanice. V našem případě jde o virtuální servery s operačním systémem Microsoft Windows Server 2012 nainstalované v prostředí VMware. Nutno podotknout, že tato práce se zabývá standardem koncové stanice, který definuje společnost Autocont, tudíž je velice pravděpodobné, že požadavky jednotlivých zákazníků mohou být více či méně odlišné. Naše testovací prostředí tedy kromě již zmíněných dvou serverů zahrnuje jednu fyzickou a jednu virtuální koncovou stanici a síťovou tiskárnu. Pro testovací účely této práce plně postačují zmíněné dva servery s funkcí doménového kontroléru a Windows Deployment Services. Dále pro možnost testování implementace jsou k dispozici jeden fyzický, jeden virtuální počítač a síťová tiskárna. Pro tyto účely je vytvořena počítačová síť s IP rozsahem x. Poslední Byte reprezentovaný proměnnou x identifikuje jednotlivá zařízení. VMware ADTEST Switch WDS User User User User 51 Tiskárna Obrázek 6: Infrastruktura sítě 26

27 Přiřazené IP adresy: Server ADTEST , Server SWDS , Rozsah pro koncové stanice až Výjimku tvoří pouze síťová tiskárna, která náleží do jiné sítě a má IP adresu Vytvoření virtuálních strojů ve VMware vsphere Virtuální stroje poskytují určitou mírou svobody v přidělených prostředcích. Při vytváření lze definovat parametry celého stroje, a tím získat požadovaný výkon a vlastnosti. Po definování názvu stroje vybereme Cluster, příslušného hostitele a úložiště, kde bude tento stroj uložen. Virtuálnímu stroji poté nadefinujeme operační systém (při následné instalaci ovšem není nutné verzi systému dodržet), počet socketů CPU a počet jader na socket, operační paměť, síťovou kartu a kapacitu pevného disku. Některé parametry jsou pro všechny vytvářené stroje neměnné, zatímco jiné, jako definice CPU, kapacita operační paměti a kapacita virtuálního HDD je specifická pro každý stroj zvlášť. Obrázek 7: Ukázka prostředí VMware vsphere Client s dostupnými prostředky virtuálního stroje AC-DEPLOY 27

28 Parametry testovacích zařízení Server ADTEST (virtuální server) CPU: Intel Xeon GHz, single-core RAM: 3 GB HDD1: 30 GB HDD2: 2 GB HDD3: 30 GB Server SWDS (virtuální server) CPU: Intel Xeon GHz, dual-core RAM: 4 GB HDD1: 40 GB HDD2: 50 GB Stanice AC-DEPLOY (virtuální PC) CPU: Intel Xeon GH, single-core RAM: 1 GB HDD1: 35 GB Stanice AC-DESKTOP (Lenovo ThinCentre, fyzické PC) CPU: Intel Pentium GHz, dual-core RAM: 3 GB HDD: 250 GB 28

29 3.3 Instalace Windows Server 2012 Po vytvoření již zmíněných serverů ADTEST a SWDS ve virtuálním prostředí přijde na řadu instalace operačního systému. Pro testovací prostředí je použit serverový operační systém Microsoft Windows Server 2012 R2 Standard. Instalace probíhá klasicky z obrazu operačního systému pomocí instalačního průvodce. Jakmile je operace hotová, dojde k přihlášení do systému, kde se spustí Server Manager. Ten funguje jako pomyslný rozcestník ke všem nainstalovaným službám, tzv. role serveru. Obrázek 8: Prostředí Server Manager 29

30 3.3.1 Konfigurace serveru ADTEST Server ADTEST plní funkci doménového kontroléru. Tak, jak je u serverů standardem, je IP adresa nastavena na statickou hodnotu se 24bit maskou. Obrázek 9: Nastavení síťové karty serveru ADTEST Instalace a konfigurace AD DS Nyní jako další krok následuje instalace a konfigurace rolí. Základní součástí doménového kontroléru je služba AD DS. Po instalaci následuje nastavení domény. Pro naše účely bude stačit vytvořit nový les s kořenovým doménovým jménem DOM1.local v záložce Deployment Configuration a vyplnit heslo doménového administrátora v záložce Domain Controller Options. Zbylé položky v průvodci ponecháme v defaultních hodnotách. Podmínkou pro úspěšné splnění podmínek nastavení domény je být přihlášen pod lokálním administrátorským účtem, který má nastavené heslo. Po instalaci a následném restartu je server připraven plnit úlohu doménového kontroléru. Obrázek 10: Nastavení doménového jména 30

31 Obrázek 11: Nastavení hesla doménového administrátora Instalace a konfigurace DHCP DHCP server se instaluje v Server manageru přidáním stejnojmenné role. Opět se pomocí průvodce dostaneme až k instalaci a po jejím úspěšném proběhnutí je požadované nastavení přihlašovacích údajů. Následně nastavíme rozsahy pro dynamické přidělování adres v nástroji DHCP. Protože je síť postavena na IPv4, bude nás zajímat pouze tato položka. V ní vytvoříme následující Scope (rozsah): počáteční IP adresa , koncová IP adresa Obrázek 12: Rozsah IP adres pro koncové stanice 31

32 Obrázek 13: Ukázka zapůjčených IP adres Konfigurace serveru SWDS Server SWDS má na starosti samotný proces nasazování operačního systému, ovladačů a aplikací na koncové stanice. IP adresa serveru je nastavena na statickou hodnotu Obrázek 14: Nastavení síťové karty serveru ADTEST Aby server SWDS plnil funkci, pro kterou byl určen tedy deployment koncových stanic, je třeba se vrátit na server ADTEST a v DHCP nástroji nastavit Scope Options. Konkrétně se jedná o volbu 066 Boot Server Host Name a volbu 067 Bootfile Name. Volba 066 Boot Server Host Name pomocí IP adresy identifikuje TFTP server. V našem případě server SWDS (IP ). Volba 067 Bootfile Name specifikuje bootovací program. V našem případě boot\x64\wdsnbp.com, který obsahuje síťový bootovací program. 32

33 Instalace a konfigurace Windows Deployment Services Server SWDS potřebuje pro svoji správnou funkci nainstalovat pouze službu Windows Deployment Services. Tuto službu nainstalujeme opět přidáním role v prostředí Server Manageru. Po instalaci v konzoli WDS přidáme do seznamu server (SWDS) a pomocí průvodce nastavíme vlastnosti služby. Vlastnosti: PXE bude reagovat na všechny (známé i neznámé) stanice připojené do sítě. Bootování ze sítě se aktivuje stiskem klávesy F12. Zvolíme výchozí bootovací image, tak že k příslušné architektuře zvolíme cestu bootovacího souboru. Nastavíme boot soubory pro obě architektury. IP adresu koncového zařízení necháme přiřadit pomocí DHCP serveru z výše uvedeného rozsahu IP adres. Obrázek 15: Ukázka prostředí Windows Deployment Services Instalace Microsoft Deployment Toolkit Hlavní účel automatizovaného či poloautomatizovaného nasazení operačních systémů je úspora času, potažmo i nákladů na instalaci koncových zařízení. K tomuto účelu Microsoft vyvinul nástroj Deployment Toolkit. Po jeho instalaci získáme sadu nástrojů, které slouží k definování průběhu instalace OS, ovladačů a aplikací krok za krokem. Součástí MDT 2013 je prostředí Microsoft Deployment Workbench pro nastavení instalačních scénářů. Pomocí průvodce vytvoříme nový deployment share. V našem 33

34 případě se tento share nazývá Instalace OS. V této složce jsou uloženy soubory a skripty, na kterých závisí celý proces nasazení. Obrázek 16: Prostředí Deplyoment Workbench Pro každý share lze definovat pravidla, pomocí kterých lze automatizovat průvodce při vlastním nasazování nového počítače předvyplněním některých údajů. Pravidla pro share Instalace OS: [Default] OSInstall=Y SkipComputerName=NO SkipDomainMemberShip=NO JoinDomain=DOM1.local DomainAdmin=administrator DomainAdminPassword=******** DomainAdminDomain=DOM1.local SkipUserData=NO SkipCapture=YES SkipAdminPassword=YES SkipProductKey=YES SkipComputerBackup=NO SkipBitLocker=YES SkipLocaleSelection=NO KeyboardLocale=cs-CZ UserLocale=cs-CZ UILanguage=cs-CZ SkipTimeZone=NO TimeZone=095 TimeZoneName=Central Europe Standard Time SkipApplications=NO 34

35 Instalační scénáře v Deployment Workbench Při klasické instalaci koncového zařízení se postupuje od instalace operačního systému, přes instalaci ovladačů po instalaci aplikací. Pomocí Deployment Workbench zabijeme několik much jednou ranou, tím že tyto činnosti sjednotíme do jednoho velkého celku. Import obrazu operačního systému Jak již bylo řečeno, deployment se týká operačních systémů Microsoft Windows 7 a Windows 8.1. Přidáme tedy instalační image těchto systémů do deployment scénáře pomocí nástroje Deployment Workbench. Při samotném procesu nasazování stanice budou na výběr tyto image: Microsoft Windows Professional 7 x86, Microsoft Windows Professional 7 x64, Microsoft Windows Pro 8.1 x64. Import aplikací v Deployment Workbench Přidání aplikací do deployment scénáře probíhá pomocí průvodce pro nové aplikace. Všechny instalované aplikace budou instalovány jako aplikace se zdrojovými soubory z daného umístění, jehož cestu v průvodci musíme zadat. Na závěr průvodce požaduje zadat command line příkaz pro spuštění instalace. Základní balík instalovaných aplikací: Adobe Reader, Adobe Flash Player, Microsoft Office 2010/2013 x86/x64, Java. Další aplikace a programy je možné kdykoliv doplnit. Tato oblast už je silně specifická díky nejrůznějším aplikacím pro různá odvětví. Některé aplikace nabízí pokročilé volby instalace a chování programu, takže je možné některé komponenty aplikace úplně vynechat, jiné upravit apod. Takové možnosti nabízí např. nástroj Adobe Customization Wizard XI pro Acrobat Reader XI. 35

36 Obrázek 17: Ukázka prostředí Adobe Customization Wizard XI Nastavení Adobe Customization Wizard XI pro Adobe Reader XI: nezobrazovat okno s licenčním ujednáním, nastavit Adobe Reader jako výchozí prohlížeč dokumentů PDF (Protable Document Format), odstranit předchozí verze programu, jsou-li nainstalované, tichý režim instalace (bez zobrazení GUI), potlačit restart počítače po instalaci, nezobrazovat ikonu zástupce na ploše počítače, zakázat aktualizace programu v menu Nápověda. Podobný nástroj je i součástí balíčku MS Office. Pokud navíc nasazujeme Office pomocí Deployment Workbench, pak je Office Customization Tool dostupný přímo ve vlastnostech aplikace v záložce Office Products (jde o nástroj, který je též možné spustit samostatně příkazem cesta_k_souboru\setup.exe /admin). 36

37 Nastavení Office Customization Tool Obrázek 18: Prostředí Microsoft OCT zadání názvu organizace (Autocont) odsouhlasení licenčních ujednání, aby se nezobrazovalo při instalaci potlačení zobrazení GUI při instalaci vlastnost HIDEUPDATEUI nastavena na hodnotu True Zákaz restartu po instalaci vlastnost SETUP_REBOOT nastavena na hodnotu Never Příkazy pro instalaci aplikací Adobe Reader o msiexec /qn /i AdbeRdr11000_cs_CZ.msi TRANSFORMS = \\swds\image\acrobat Reader XI\AdbeRdr11000_cs_CZ.mst Flash Player o msiexec.exe /i install_flash_player_16_plugin.msi /quiet /norestart /qn Java o jre-8u31.exe /s WEB_JAVA=1 37

38 MS Office (verze dle souboru.msp) o setup.exe /adminfile "\\swds\image\office 2010 x86\office2010x86.msp" o setup.exe /adminfile \\swds\image\ms Office 2010 x64\office2010x64.msp o setup.exe /adminfile \\SWDS\image\MS Office 2013\Office2013x86.MSP o setup.exe /adminfile \\SWDS\image\MS Office 2013 x64 English\Office2013x64.MSP Import ovladačů v Deployment Workbench Import ovladačů koncových zařízení je opět silně zjednodušen díky prostředí Deployment Workbench. Jedinou podmínkou je naimportovat ovladače ve formátu *.inf. Každý balíček pro určitý hardware obsahuje celou řadu souborů s příponou.inf., které se rozbalí a nainstalují na stanici, pokud není využito služby WDS. Výhodou instalace ovladačů pomocí WDS je, že nástroj sám rozpozná vendora zařízení a automaticky vybere odpovídající soubor. Task Sequences v Deployment Workbench Budou vytvořeny 3 různé Task Sequences, které zajistí posloupnost dílčích pod úkolů prováděných při nasazení kompletního obrazu operačního systému na koncové stanice. Každá tato posloupnost při jejím vytváření vyžaduje zadat ID a název sekvence. Následně z nabídky vybereme šablonu Standard Client Task Sequence, která je přednastavená pro kompletní nasazení operačního systému na koncové zařízení. Dále vybereme námi požadovaný operační systém, jejichž obrazy již máme naimportovány (viz Import obrazu operačního systému str. 35). V další nabídce je požadováno zadání produktového klíče OS. Na výběr jsou 3 možnosti: nyní nezadávat (pro testovací prostředí vybrána tato volba), zadat multilicenční klíč (v podnikovém prostředí bude nejběžnější volba), zadat retailový produktový klíč (licence pouze pro jednu stanici). 38

39 Další strana průvodce vyzve k zadání názvu organizace (Autocont). Pole Full Name a domovskou stránku pro Internet Explorer můžeme ponechat ve výchozím nastavení. V posledním kroku zbývá volba, zda zadat heslo pro lokálního administrátora. Pokud ano, je třeba vyplnit. Poté již dojde k importu všech potřebných souborů a vytvoření nové sekvence. Ve vlastnostech každé takto vytvořené sekvence lze doladit vlastnosti systému pomocí odpovědního souboru (Unattend.xml) v programu WSIM (Windows System Image Manager). Tyto vlastnosti se pak propíší do výsledného obrazu instalovaného systému. Tabulka 3: Nastavení odpovědního souboru Komponenta Nastavení Hodnota Windows PE - Product Key WillShowUI Never generalize - amd64_microsoft- -Windows-Shell- Setup_neutral generalize - amd64_microsoft- -Windows-IE- InternetExplorer_neutral generalize - amd64_microsoft- Windows- UnattendedJoin_neutral - Identification - Credentials oobesystem - amd64_microsoft- Windows-Shell- Setup_neutral - AutoLogon + Password oobesystem - amd64_microsoft- Windows-Shell- Setup_neutral - OOBE RegisteredOrganization Autocont BlockPopups yes DisableFirstRunWizard true DisableWelcomePage true Home_Page NoDial true PlaySound true ShowLeftAddressTolbar true Domain DOM1 Password ******** Username Administrator Domain DOM1.local Password ******** HideLocalAccountScreen true HideOEMRegistrationScreen true HideOnlineAccountScreens true HideWirelessSetupInOOBE true SkipMachineOOBE true 39

40 3.4 Nasazení Bginfo Program Bginfo umožňuje uživatelům na ploše zobrazit informace aktuální informace o stanici i uživateli. Umožňuje např. usnadnit práci při uživatelské podpoře tím, že administrátorovi sdělí informace propsané do tapety na ploše a na základě nich je snadné identifikovat o jakou stanici a jakého uživatele se jedná. V našem případě jsou informace získávány pomocí WMI dotazů a Visual Basic skriptů. Kromě toho Bginfo umožňuje uchovávat záznamy o uživatelích přihlášených na jednotlivé stanice. Vzhledem k tomu, že nemáme k dispozici zprovozněn databázový server, budou se jednotlivé záznamy ukládat do MS Access databáze. Do takové databáze je možné ukládat i informace, které nejsou běžným uživatelům zpřístupněny. Bginfo uživatelům na ploše zobrazuje následující informace: název stanice, login aktuálně přihlášeného uživatele, IP adresu, operační systém, Service pack. Obrázek 19: Bginfo na ploše uživatele Pro spuštění programu je nutné pomocí skupinové politiky pro uživatele nadefinovat Logon script pomocí rozhraní příslušné politiky. V Bginfo zároveň elegantně 40

41 nadefinujeme pozadí plochy, které má mít jednotný vzhled pro všechny doménové uživatele. Na závěr všechna nastavení uložíme do souboru BGInfo.bgi, který je přidružen jako parametr při spouštění programu. Obrázek 20: Logon skript pro BGInfo v Group Policy Management 3.5 Nastavení skupinových politik K nastavení skupinových politik využijeme prostředí Group Policy Management Console. Pod vybranou doménou (DOM1.local) vytvoříme a nalinkujeme požadované Group Policy objekty dle jejich funkce, které budou definovat chování a bezpečnost koncové stanice. Skupinové politiky jsem definoval nad celou doménou, ačkoliv v praxi se rozlišují např. politiky pro servery a pro koncové stanice (na úrovni organizačních jednotek). Požadavky na skupinové politiky: minimální délka hesla je 8 znaků; heslo musí být komplexní (malé, velké znaky, číslice a další znaky), heslo je třeba měnit minimálně každých 90 dní, posledních 14 dní před vypršením hesla jsou uživatelé vyzýváni ke změně hesla, uzamknout účet na 10 minut po zadání 3 nesprávných hesel během 1 minuty, počítač nezobrazuje login posledního přihlášeného uživatele, není požadováno stisknout kombinaci kláves CTRL+ALT+DEL pro přístup k přihlašovací obrazovce, nastavení přístupu pomocí vzdálené plochy, jednotný spořič obrazovky bez možnosti nastavení a změny, 41

42 jednotné pozadí plochy bez možnosti změny, uzamknout obrazovku po 10 minutách nečinnosti, ponechání vybraných prvků v ovládacích panelech, spouštění pouze povolených aplikací, zakázat možnost instalovat aplikace uživateli, omezit použití vyměnitelných úložných zařízení. Obrázek 21: Seznam použitých politik Skupinové politiky počítače se aplikují po restartování stanice, zatímco nastavení uživatelských politik proběhne při přihlášení uživatele k účtu. Politiky lze také vynutit příkazem gpupdate /force, který se automaticky ve výchozím nastavení spouští každých 90 minut. 3.6 Konfigurace WSUS Služba WSUS, jak již bylo řečeno, slouží ke správě a instalaci aplikací na stanice a servery s operačním systémem MS Windows. Službu včetně uživatelského rozhraní 42

43 nainstaluji přidáním role Windows Server Update Service v Server Manageru. Současně s WSUS se automaticky přidá k instalaci Web Server s nástrojem IIS. V instalačním průvodci je možné nastavit cestu, kam se budou ukládat stažené aktualizace. V našem případě jsme ponechali výchozí nastavení (C:\WSUS). Po přidání role je třeba ještě provést post instalační kroky nástroje WSUS, zahrnující následující nastavení: synchronizovat aktualizace ze serveru Windows Update, stahovat aktualizace pouze v českém a anglickém jazyce, specifikovat, pro které produkty aktualizace stahovat: o Office 2010, o Office 2013, o Windows 7, o Windows 8.1, typy stahovaných aktualizací: o kritické aktualizace, o aktualizace zabezpečení, o Service Packy, automatická synchronizace jednou za 7 dní v nočních hodinách. Obrázek 22: Konzole WSUS 43

44 Kromě samotného nastavení WSUS je nutné provést konfiguraci skupinové politiky, která zajistí správnou interakci mezi koncovou stanicí a WSUS. Pro základní funkčnost WSUS nastavíme umístění služby Microsoft update, což je v našem případě server ADTEST a položku Automatic Updates. Položka Automatic Updates říká, jak a kdy aktualizace stahovat a instalovat. Její nastavení je specifické dle požadavků jednotlivých firem, ale obecně se nastavuje na automatické stahování a instalaci jednou za týden v nočních hodinách. V testovacím prostředí jsme nastavili interval na každý den v pravé poledne (viz obr. 21). Další konfigurace již jen specifikuje chování automatických aktualizací. Obrázek 23: Nastavení GPO pro WSUS 3.7 Nasazení certifikační autority Ve vytvořeném testovacím prostředí požadujeme ověření stanice pro připojení do doménové sítě pomocí certifikátu počítače. Nejprve je nutné opět nainstalovat službu AD CS, která vydává a umožňuje spravovat certifikáty. Službu nainstalujeme standardně pomocí Server Manageru. Pro naše potřeby postačí u služby vybrat 44

45 Certification Authority a Certification Authority Web Enrollment. Po dokončení instalace služba požaduje nastavit konfiguraci: Vybrané role služby Certification Authority, Certification Authority Web Enrollment, Typ nastavení certifikační autority Enterprise CA, Typ certifikační autority Root CA, Typ soukromého klíče Create a new private key, Délka platnosti certifikátu 1 rok. V konzoli Certificate Templates Console jsou již předdefinovány vzorové šablony certifikátů. Vybereme certifikát s názvem Computer a zkopírujeme jej s novým názvem Computer DOM1. Ve vlastnostech vytvořené šablony nás zajímá především záložka General (Obecné), kde nastavíme dobu platnosti certifikátu. Pro automatické vydávání certifikátu stanicím v záložce Security (Zabezpečení) povolíme skupině Domain Computers (DOM1\Domain Computers) volbu Autoenroll. Obrázek 24: Certificate Template Console Nyní otevřeme konzoli certsrv příkazem certsrv.mgr nebo otevřením nástroje Certification Authority prostřednictvím Server Manageru. Přejdeme do složky Certificate Templates a přidáme námi vytvořenou šablonu Computer DOM1. 45

46 Obrázek 25: Konzole certifikační autority Na závěr nastavíme opět skupinovou politiku, která zajistí distribuci certifikátů na koncové stanice. Obrázek 26: Skupinová politika pro certifikační autoritu 3.8 Připojení síťové tiskárny Pro připojení tiskárny na koncových stanicích je třeba nainstalovat tiskovou službu, nastavit tiskárnu v Print Managementu a vytvořit politiku pro automatické připojení tiskárny na koncové stanice. Instalace tiskové služby probíhá přidáním Print Serveru z balíčku Print and Document Services v Server Manageru. Nasazení tiskárny probíhá v konzoli Print Management, kde v nabídce Print Server > > Printers přidám novou tiskárnu. Zadáme IP adresu tiskárny a síťový název, pomocí kterého pak tuto tiskárnu uživatelé identifikují. Tiskárnu máme připravenou a nyní ji stačí pouze připojit ke koncovým stanicím pomocí Group Policy. Toho dosáhneme 46

47 volbou Deploy with Group Policy v Deployed Printers. Pokud již máme vytvořen objekt skupinové politiky pro tiskárny, stačí zadat název tohoto objektu, zatrhnout volbu aplikovat na uživatele a přidat politiku na seznam. Nyní je tiskárna připravena k tisku pod názvem HP LJ 3390 test. Obrázek 27: Nasazení síťové tiskárny pomocí Print Managementu Obrázek 28: Nastavení GPO pro síťovou tiskárnu HP LJ 3390 test 3.9 Nasazení File Filteringu Elegantním způsobem, jak uživatelům nastavit diskovou kvótu na sdíleném disku a zároveň zakázat ukládání nežádoucím typům souboru je file filtering. Aby jej bylo možné uvést do života, musíme na AD server nainstalovat službu File and Storage Services, resp. její roli FSRM. Aby bylo možné vůbec filtrování souborů využít, bylo třeba vytvořit sdílené úložiště. Vytvořil jsem sdílenou složku HOME s cestou \\ADTEST\HOME\ a zde má každý uživatel vytvořenou vlastní složku nastavenou tak, aby do ní ostatní uživatelé neměli přístup. Na toto umístění nyní budeme aplikovat filtrování a nastavení kvót. 47

48 Nejprve vytvoříme novou šablonu kvóty. Ta má limit 300 MB. Každý uživatel tedy ve své domovské složce bude mít k dispozici 300 MB volného místa s tvrdou kvótou. Tvrdá kvóta nedovoluje tento limit přesáhnout. Obrázek 29: Nastavení kvóty domovské složky uživatelů Vzhledem k omezené kapacitě domovské složky je tedy nutné předcházet jejímu snadnému zaplnění, což se dá do určité míry zařídit i filtrováním určitých typů souborů. Bude se jednat především o různé multimediální soubory, jako jsou videa, hudba či obrázky. Nicméně ve výsledku budou povoleny pouze soubory, které je možné otevřít v MS Office, textové soubory a webové stránky. Tabulka 4: Omezené skupiny souborů audio a video soubory obrázky soubory záloh komprimované soubory ové soubory spustitelné soubory systémové soubory dočasné soubory webové stránky Využijeme tedy předdefinované skupiny souborů a vytvoříme nový File Screen pro umístění E:\HOME. Využívá aktivní screening nad skupinami souborů, které jsou uvedeny v tab. 4. Jakmile provedeme tento krok, budou všechna nastavení aplikována na domovské složky uživatelů v síťovém umístění \\ADTEST\HOME. Obrázek 30: Prostředí File Server Resource Manager 48

49 4 Testování Testováním si ověříme, zda implementace koncové stanice pomocí služby WDS proběhla úspěšně, porovnáme použitou metodu Lite-Touch s metodou High-Touch, abychom zjistili časovou úsporu při nasazování systému, aplikací a ovladačů. Na závěr prověříme přidání stanice do domény, aplikaci skupinových politik, funkčnost WSUS, file filtering, funkčnost tiskárny, vydání certifikátu a distribuci na koncovou stanici, zobrazování informací o stanici na ploše pomocí BGinfo a podrobný výpis o stavu stanice do databáze při každém přihlášení uživatele. 4.1 Test komunikace Aby bylo možné celý systém provozovat, je nezbytně nutné, aby spolu komunikovaly servery ADTEST a SWDS. Otestovali jsme pomocí pingu. Obrázek 31: Test ping z ADTEST na SWDS Obrázek 32: Ping z SWDS na ADTEST 49

50 4.2 Test rychlosti nasazení: Průběh kompletního nasazení koncové stanice je znázorněn na videosnímcích (viz příloha) zachycených z virtuální stanice AC-DEPLOY. Z těchto snímků je vidět kompletní postup od nabootování až po dokončení deploymentu. Další testy probíhaly na fyzické stanici Lenovo. 0:13:41 0:12:19 0:11:05 0:00:00 0:02:53 0:05:46 0:08:38 0:11:31 0:14:24 Windows 8.1 Pro x64 Windows 7 Pro x64 Windows 7 Pro x86 Graf 1: Porovnání rychlosti nasazení dle operačního systému na virtuální stanici AC-DEPLOY 0:17:07 0:18:09 0:16:13 0:15:07 0:15:50 0:16:34 0:17:17 0:18:00 0:18:43 Windows 8.1 Pro x64 Windows 7 Pro x64 Windows 7 Pro x86 Graf 2: Porovnání rychlosti nasazení dle operačního systému na fyzickou stanici AC-DESKTOP Jak je z grafů patrné, rychlosti nasazení jednotlivých stanic se liší. Je to způsobeno odlišnou architekturou i typem operačního systému. U 64bit systémů se kopíruje více systémových souborů a jsou rozsáhlejší knihovny. U Windows 8.1 je navíc větší množství aplikací, které se spolu s operačním systémem instalují. Pro testování byly 50

51 zvoleny stejné sady instalovaných aplikací, pouze u Windows 7 Professional x86 byl místo MS Office x64 vybrán MS Office x86. Na závěr proběhlo porovnání metody Lite Touch s manuálním nasazením stanice. Manuální nasazení začalo instalací operačního systému z optického média, dále ovladače a výše uvedená sada aplikací. Všechny potřebné instalační soubory jsem měl připraveny na USB flash paměti a optických médiích. Nakonec jsem stanici přidal do domény a zaznamenal výsledný čas. 1 0:17:07 0:16:13 0:18:09 0:32:45 0:35:50 0:34:11 0:00:00 0:07:12 0:14:24 0:21:36 0:28:48 0:36:00 0:43:12 Windows 8.1 Pro x64 Lite Touch Windows 7 Pro x86 Lite Touch Windows 7 Pro x86 ruční instalace Windows 7 Pro x64 Lite Touch Windows 7 Pro x64 ruční instalace Windows 8.1 Pro x64 ruční instalace Graf 3: Porovnání metod Lite Touch a High Touch 4.3 Ověření správného nainstalování ovladačů Kontrolou správce zařízení jsem si ověřil správnost instalace ovladačů Obrázek 33: Nainstalované ovladače 51

52 4.4 Ověření nainstalovaných aplikací Pro zvolenou sadu instalovaných aplikací se nevyskytly žádné problémy, což se projevilo úspěšně dokončeným deploymentem a v nainstalovaných programech všechny tyto aplikace vidíme. Obrázek 34: Ověření nainstalované sady aplikací 4.5 Test BGinfo Každé přihlášení uživatele na stanici spustí Logon skripty. Pro otestování, zda se tapeta na ploše aktualizuje při každém přihlášení, jsem přidal položku Last Logon pro zobrazení času přihlášení. Obrázek 35:Aktualizace tapety s BGinfo při přihlášení uživatele 52

53 V příloze na DVD je uložen ukázkový soubor s databází, která obsahuje záznamy jednotlivých stanic při přihlášení uživatele (pro otevření je třeba mít nainstalovaný MS Access). 4.6 Ověření funkčnosti Group Policy Nakonfigurované objekty skupinových politik se úspěšně aplikovaly na koncové stanice a uživatele. Při požadované změně hesla při prvním přihlášení uživatele nebylo možné zadat nekomplexní heslo kratší, než 8 znaků a 14 dní před vypršením 90denní životnosti hesla byla zobrazena výzva ke změně hesla. Minimální životnost hesla, kterou je možné nastavit, je 1 den. Test politiky, která neumožňuje zaměnit heslo za některé z posledních čtyř použitých, trval tedy celkem 4 dny. Po třech neúspěšných zadání hesla došlo na 10 minut k uzamčení účtu. Obrázek 36: Zamčení účtu po třech neúspěšných pokusech přihlášení Uživatelé mají nastavené jednotné pozadí plochy a jednotný spořič obrazovky, které si uživatel nemůže sám změnit. Obrázek 37: Zašedlé volby změny pozadí plochy a spořiče obrazovky Nastavení vzdáleného přístupu pomocí RDP (Remote Desktop Protocol) se podařilo zprovoznit dle požadavku, aby přístup měli doménoví administrátoři a vybraní 53

54 uživatelé, kteří jsou členy skupiny RDP Users. Výsledné nastavení na koncové stanici je znázorněno na obr. 38. Obrázek 38: Nastavení RDP na koncové stanici Nastavení brány Firewall je spravováno administrátorem Obrázek 39: Nastavení Firewallu v doméně Vymezení aplikací, které uživatel může spouštět, se také obešlo bez větších problémů při nasazování, ale dolaďování bylo především časově náročné z důvodu různých závislostí (např. pro spouštění VB (Visual Basic) skriptů je třeba povolit Wscript.exe nebo Cscript.exe). Je-li spuštěna jiná, než povolená aplikace, zobrazí se uživateli chybové hlášení. 54

55 Obrázek 40: Pokus o spuštění nepovolené aplikace Z ovládacích panelů byla pomocí skupinové politiky vyjmuta většina položek. Některé položky byly odebrány kvůli zabezpečení stanice, na jiné položky se nepodařilo uplatnit výjimku pro spuštění aplikací, a tak byly tyto položky též vyjmuty. Výsledný seznam zbylých položek v ovládacích panelech je doložen obrázkem níže. Obrázek 41: Položky Ovládacích panelů po aplikování GPO Omezení týkající se možnosti použití odpojitelných úložišť se vztahuje na USB porty, optické mechaniky a disketové mechaniky. Omezení se týká jak čtení, tak i zápisu na tyto jednotky. 55

56 Obrázek 42: Omezení čtení a zápisu na USB úložiště Obrázek 43: Omezení čtení a zápisu médií optických jednotek Test přístupu k disketové mechanice nebylo možné otestovat, z důvodu absence mechaniky na koncové stanici. Toto omezení nemá příliš vysokou prioritu, protože tyto mechaniky se již téměř nepoužívají. 4.7 Test WSUS V případě správné funkčnosti WSUS se na koncové stanice automaticky instalují aktualizace povolené a spravované administrátorem. Obrázek 44: Windows Update na koncových stanicích 56

57 4.8 Test certifikační autority Ihned po deploymentu stanice došlo k vydání certifikátu počítače vydaného serverem ADTEST pro koncovou stanici AC-DESKTOP. Platnost certifikátu je 1 rok (viz obr. 40). Obrázek 45: Automaticky vydaný certifikát počítače na koncové stanici 4.9 Test připojení síťové tiskárny Síťová tiskárna byla automaticky přidána na koncová zařízení a je okamžitě připravena k tisku. Tisk zkušební stránky proběhl úspěšně. Obrázek 46: Připojená tiskárna HP LJ 3390 test na stanici AC-DESKTOP 57