Windows Server 2012: Novinky

Transkript

1 Windows Server 2012: Novinky Miroslav Knotek, Microsoft MVP IT Senior Consultant KPCS CZ, s.r.o. Tomáš Kantůrek, Microsoft

2 Agenda Úvodní přehled licence, edice, správa atp. Novinky v oblasti Active Directory Novinky v oblasti clusteringu Novinky v oblasti virtualizace Hyper-V 3.0 Novinky v oblasti souborového serveru včetně Dynamic Access Control Novinky v oblasti Direct Access Novinky v oblasti networkingu DHCP, teaming, BranchCache Novinky v oblasti Bitlocker 2

3 Trendyon 3

4 IInovace v technologiíchion 4

5 Cloudový OS 5

6

7 Windows Server 2012 Jednotná platforma pro všechny zákazníky Snadno využitelné pro malé firmy po celém světě Zároveň je na této platformě postavena řada světově významných Datových center, které následně poskytují služby pro zákazníky všech velikostí Virtualizace Virtualizace & Management První server Automatizova ná virtualizace & Management Automatizova ná virtualizace & Management privátních cloudů Window Server 2012 Essentials Windows Server 2012 Standard Windows Server 2012 Datacenter + Microsoft System Center 2012 Small business Midmarket Enterprise Hybridní prostředí 7

8 Windows Server 2012 edice Vysoce virtualizovaný privátní & hybridní cloud Windows Server 2012 Datacenter Neomezená virtualizace Všechny funkce Optimalizováno pro virtualizaci s nízkou hustotou virtuálních serverů Windows Server 2012 Standard Server pro malé firmy s připojením na cloud Windows Server 2012 Essentials Ekonomicky výhodný server Windows Server 2012 Foundation 2 virtuální instance Všechny funkce Do 25 uživatelů Žádná práva na virtualizaci Omezené funkce Do 15 uživatelů Žádná práva na virtualizaci Omezené funkce 8

9 Zjednodušené licencování pro Standard a Datacenter edice 2 edice, které se liší jen v právech na virtualizaci Datacenter edice nabízí neomezená práva na virtualizaci Standard edice nabízí právo na 2 virtuální instance Společná struktura licencí Obě edice mají licence na procesor+ CAL Každá licence pokrývá 2 fyzické procesory na jednom serveru server Stejné funkce napříč edicemi Vysoká dostupnost jako např. failover clustering je i ve Standard Stejná možnosti v oblasti využití kapacity procesoru i paměti napříč edicemi 9

10 Vybrané licenční otázky (1) Mohu rozdělit Windows Server 2012 licenci mezi více serverů? Ne. Každá licence může být přiřazena pouze k jednomu fyzickému serveru. Existuje stále Web Server edice Windows Serveru 2012? Ne. Nicméně Windows Server CALy nejsou požadovány pro přístup, pokud je tento přístup pouze k webové aplikaci. Kolik stojí Windows Server 2012 Standard / Datacenter edice? Ceny se mohou lišit dle regionu / prodejce / licenčního kanálu. Orientačně ale v open license: Datacenter 4809$, Standard 882$ 10

11 Vybrané licenční otázky (2) Mohou použít stávající WS2008 CAL k přístupu na Windows Server 2012? Ne. Je třeba Windows Server 2012 CAL. Potřebuji stále specializovaný CAL pro RDS/RMS? Ano, licenční požadavky pro RDS a RMS jsou beze změny. Ne. Bude další verze Windows SBS 2011 Standard? 11

12

13 Windows Server 2012 možnosti nasazení Server Core Výchozí instalační volba RSAT pro vzdálenou GUI správu PowerShell podpora s více než 2300 cmdlety Dostupných více rolí a komponent Server s GUI Ekvivalent Full Server ve Windows Server 2008 R2 Zahrnuto pro zpětnou kompatibilitu

14 Windows Server 2012 úrovně konfigurac Server s GUI Minimal Server Interface Klasický Full Server Kompletní GUI rozhraní ve stylu Metro Instalace Desktop Experience umožňuje spouštět aplikace ve stylu Metro apps NOVÉ Full Server bez části GUI Není Explorer, Internet Explorer ani další asociované soubory MMC, Server Manager a některé aplety Ovládacího panelu jsou k dispozici Poskytuje mnoho výhod Server Core pro ty aplikace nebo uživatele, kteří ještě nepřešli na Server Core Server Core Server Core NOVÉ Je možné přepínat mezi Server Core a Full Server jednoduše instalací nebo odinstalací komponent

15 Přechod mezi Server Core a Full Server Server Manager Vzdáleně pouze z Server Core na Full Server PowerShell

16 Přechod a PS cmdlety Full Server na Server Core POWERSHELL Uninstall-WindowsFeature Server-Gui-Mgmt-Infra - Restart Server POWERSHELL Core to Full Server Vyžadován 1 reboot pro restart všech služeb Install-WindowsFeature Server-Gui-Mgmt-Infra,Server- Gui-Shell -Restart Nově Možnost instalovat více komponent jedním příkazem oddělení čárkou

17 Možnosti shellu: přehled Server Core Minimal Server Interface Server with a GUI Desktop Experience CMD a a a a PowerShell/.NET a a a a Server Manager x a a a MMC x a a a Control Panel x x a a CPL Applets x Některé a a Explorer Shell x x a a Taskbar x x a a System Tray x x a a Internet Explorer x x a a Help x x a a Themes x x x a Start screen (Metro) x x a a Metro-style apps x x x a Media Player x x x a

18 Snížení využití místa na disku Všechny role a komponenty jsou během instalace kopírovány do Windows Side by Side store (\windows\winsxs) Diskový prostor je tak využit i pro funkce a komponenty, které třeba nikdy instalovány nebudou Windows Server 2012 má nově Features on Demand Umožňuje správci odebrat nepotřebné role a komponenty Soubory jsou odstraněny z Side by Side store Velmi užitečné pro zmenšení VHD při virtualizaci

19 Server Core a Features on Demand Server Core instalace používá Features on Demand automaticky Role a komponenty jsou z \windows\winsxs smazané Zobrazují se jako odebrané v PowerShellu Zobrazují se jako Payload Removed v Dism.exe

20 Reinstalace rolí a komponent Server Manager PowerShell POWERSHELL Install-WindowsFeature <FeatureName> -Source <Source>

21 Demo: server core vs server s GUI vs Minimal Server Interface 21

22

23 Windows Server Management - filozofie V minulosti byl Windows Server skvělý operační systém pro samotný server a jeho zařízení. Windows Server 2012 je skvělý operační systém pro mnoho serverů a zařízení k nim připojená Ať už jsou fyzické nebo virtuální on premise nebo off premise

24 Nový Server Manager Dashboard Servery, role, & vlastní skupiny Properties; Events; Services; BPA; Performance; Roles/Features Customization/Personalization Integrovaná správa rolí Bohaté možnosti řízení Filtering; Sorting; Grouping; Custom queries Správa více serverů najednou Optimalizována vzdálená správa Plná podpora Remote Server Administration Tools Vylepšený ISE PowerShell Server Manager Cmdlety

25 Windows PowerShell 3.0 Features Windows PowerShell Workflow.NET Framework 4 support Add-Member improvements Computer cmdlets CSV handling improvements Get-ChildItem attributes Get-Command improvements Get-Content -Tail Better history support Security cmdlet fixes Select-Object optimizations Select-String improvements Tee-Object -Append Disconnected sessions Idle timeout & server buffering control Invoke-Command in disconnected sessions Disconnected jobs STA mode by default Run with PowerShell context menu Updated console font & branding Console host start perf improvements ETW logging and tracing Module logging New Group Policy settings Output redirection for all streams Dynamic types & formats Word wrap Default properties on custom objects Updatable help system Method overload discovery HelpUri attribute support HelpFile property on FunctionInfo New parser built on DLR Simplified Where and ForEach Remoting local variables via $using Array syntax for scalars Custom parameter value defaults Generic method invocation Typecasting deserialized objects Improved method overload selection New objects from hash tables Ordered hash tables Typecasting for parameter values $PSScriptRootand $PSCommandPath Improved module discovery & import New module manifest keys Public abstract syntax tree Pipeline paging APIs Nested pipeline APIs Runspace pool cleanup API Public tab completion Windows RT API support Obsolete cmdlet attribute Verb & noun on FunctionInfo Web & REST cmdlets JSON cmdlets CIM cmdlet authoring from WMI v2 CIM.NET APIs Core CIM cmdlets Runtime script compilation Engine reliability improvements Better Get-ChildItem network perf Cmdlet definition files Certificate provider improvements Credentials for FileSystem provider Alternate NTFS data stream support Move-Item across drives Remote module discovery & import Remote session autodisconnect& retry Transport options for remote sessions RunAs and SharedHost support Scheduled jobs Job integration with Task Scheduler Alternate credential support for jobs Session configuration files Module autoloading Command discovery improvements Special character handling LiteralPathsupport for core cmdlets Improved tab completion Intellisense Windows Management Framework 3.0 WinPE support Windows RT support Windows PowerShell Web Access Windows PowerShell Web Services XAML-based workflows Script-based workflows Control Panel cmdlets Unblock-File cmdlet Workflow help Cmdlet to activity conversion Workflow persistence Improved WMI object formatting Heterogeneous object formatting Workflow logging Workflow extensibility Common workflow parameters Workflow execution environment Snippets ISE Add-ons IntelliSense support Show-Command Get-Help -ShowWindow Restart Manager support Script autosavesupport Out-GridView -PassThru XML syntax highlighting Block select Collapsible regions Contextual F1 support Script Explorer

26 Demo: nový server manager 26

27

28 Nové funkce a rozšíření Různé Správa Zjednodušené nasazení Uživatelské rozhraní pro odpadkový koš Dynamic Access Control Virtualizace je bezpečná pro doménové řadiče Rychlé hromadné nasazení Active Directory PowerShell History Viewer Uživatelské rozhraní pro Fine-Grained Password Policy Aktivace pomocí Active Directory Rozšíření možností Kerberos Změny platformy Active Directory - replikace & topologie cmdlety Účty typu Group Managed Service

29 Nové funkce a rozšíření Různé Zjednodušené nasazení Virtualizace je bezpečná pro doménové řadiče Rychlé hromadné nasazení Změny platformy

30 Zjednodušené nasazení Přípravné akce jako byl Adprep /forestprep jsou integrovány do instalačního procesu doménového řadiče Automaticky se provádí detailní kontrola splnění předpokladů před začátkem samotné instalace Integrováno do Server Manageru a plné podporován remoting Postaveno na Windows PowerShellu pro dosažení konzistence Konfigurační průvodce optimalizován pro všechny běžné scénáře

31 Demo: instalace DC 31

33 Bezpečně s virtualizací - problém Standardní operace virtualizace (snímkování, kopie VM) způsobují rollback, se kterým si doménové řadiče předchozích verzí Windows Serveru neporadí USN bubbles vznik trvalých nekonzistencí Lingering objekty Nekonzistetní hesla Nekonzistetní hodnoty atributů Konfliktní schéma v případě rollbacku Schema FSMO Existuje také riziko vzniku různých objektů se stejným SIDem

34 Dopad na doménové řadiče USN rollback nezdetekován: pouze 50 uživatelů se zreplikuje na oba DC Ostatní uživatelé jsou jen na jednom nebo druhém DC 100 uživatelů s RIDs má konfliktní SID

35 Bezpečně s virtualizací - řešení Windows Server 2012 DC umí detekovat: Aplikování snímku (apply snapshot) Zkopírování VM Založeno na VM-generation ID které virtualizační vrstva změní pokud je např. aplikován snímek Windows Server 2012 DC sleduje VM-generation ID a detekuje změny pro ochranu Active Directory Ochrana je zajištěna: zneplatnění RID pool Reset invocationid INITSYNC pro FSMO

37 Rychlé nasazení: klonování DC a požadavky Windows Server 2012 virtualizovaný DC na virtualizační platformě s podporou VM-Generation-ID PDC FSMO musí být Windows Server 2012 pro autorizaci klonování zdrojový DC musí být autorizovaný pro klonování Allow DC to create a clone of itself Přidání zdrojového DC účtu do nové skupiny Cloneable Domain Controllers DCCloneConfig.XML musí být na DC, které bude klonované v jednom z umístění: Složka s NTDS.DIT Výchozí DIT složka (%windir%\ntds) Přenosná média (virtual floppy, USB, etc.) Windows Server 2012 služby obvykle spojené s DC (DNS, FRS, DFSR) jsou podporované

39 Off-Premise Domain Join Rozšiřuje offline domain-join směrem ke splnění Direct Access požadavků Certifikáty Group Policy Co to znamená? Počítač může být přidán do domény přes Internet pokud je doména dostupná pomocí Direct Access Získání blobu pro non-domain-joined počítač je offline proces, za který je zodpovědný administrátor

40 Nové funkce a rozšíření Různé Správa Zjednodušené nasazení Uživatelské rozhraní pro odpadkový koš Dynamic Access Control Virtualizace je bezpečná pro doménové řadiče Rychlé hromadné nasazení Active Directory PowerShell History Viewer Uživatelské rozhraní pro Fine-Grained Password Policy Aktivace pomocí Active Directory Rozšíření možností Kerberos Změny platformy Active Directory - replikace & topologie cmdlety Účty typu Group Managed Service

41 Nové funkce a rozšíření Správa Uživatelské rozhraní pro odpadkový koš Dynamic Access Control Active Directory PowerShell History Viewer Uživatelské rozhraní pro Fine-Grained Password Policy Active Directory - replikace & topologie cmdlety Aktivace pomocí Active Directory Rozšíření možností Kerberos Účty typu Group Managed Service

42 AD odpadkový koš - GUI Integrováno do ADAC

44 Aktivace pomocí Active Directory Náhrada KMS Využití stávající infrastruktury Active Directory pro aktivaci klientů Nejsou nutné žádné další servery Žádné RPC požadavky, používá pouze LDAP protokol Kompatibilní s RODC Kromě úvodního nastavení dále již nedochází k zápisu do AD Úvodní aktivace CSVLK (customer-specific volume license key) vyžaduje: Jednorázový kontakt s Microsoft Activation Services přes Internet Klíč se zadává v rámci volume activation server role nebo z příkazové řádky Proces je nutné zopakovat pro každý AD forest Aktivační informace jsou uloženy v konfiguračním oddíle AD Reprezentuje prokázání nákupu Počítače mohou být členem kterékoliv domény v rámci AD forestu Všechny PC s Windows 8 se zaktivují automaticky

46 Active Directory Windows PowerShell History Viewer Správce může vidět historii Windows PowerShell příkazů vyvolaných pomocí Administrative Center, např. Přidání uživatele do skupiny UI zobrazí the equivalent Active Directory Windows PowerShell command Správce může následně snadno použít syntaxi v rámci svých automatizačních skriptů

48 Fine-Grained Password Policy Vytváření, editace a přiřazení PSO nově pomocí Active Directory Administrative Center Zásadně zjednodušuje správu FGPP

49 Demo: GUI pro odpadkový koš, FGPP a poweshell history 49

53 Přehled minimálních požadavků S tímto nasazení + První Windows Server 2012 domain-member (nebo Windows 8 s RSAT) + První Windows Server 2012 DC + Windows Server 2012 DC s PDC FSMO... Jsou tyto funkce k dispozici New Active Directory Administrative Center Windows PowerShell History Viewer Graphical Recycle Bin and FGPP management Richer authorization through DAC & FCI Active Directory-based Activation Requires Windows Server 2012 schema extensions Active Directory Replication & Topology Cmdlets AD FS (v2.1) Simplified Deployment and Preparation Dynamic Access Control policies and claims Kerberos Claims in AD FS (v2.1) Cross-domain Kerberos Constrained Delegation Group Managed Service Accounts Virtualization-Safe for the Windows Server 2012 DC requires Hypervisor support for VM-Gen-ID Rapid virtual DC deployment through DC-cloning requires Hypervisor support for VM-Gen-ID

54

55 1) Deduplikace dat 57

56 Deduplikace dat proč? Problémy dnešního IT Nárůst objemu dat Rostou nároky na disková úložiště Rostou nároky za zálohování Růst TCO pro datová úložiště Napříč poklesu ceně za disk Správa datových úložišť Konsolidace dat Více diskových oddílů a síťových relací na jeden server Decentralizace pracovníků Potřeba přístupu offline a zabezpečení dat Přístup přes WAN klade požadavky na optimalizaci síťové vrstvy Prudký nárůst objemu dat Zdroj: IDC Worldwide File-Based Storage Forecast: Foundation Solutions for Content Delivery, Archiving and Big Data, doc #231910, December 2011a

57 Deduplikace dat jak to funguje? Cíl: Efektivně ukládat a zálohovat méně dat Transparentně odstraňuje duplicity beze nutných změn na vyšších vrstvách architektury OS. Post Processing: Optimalizační úloha identifikuje soubory Chunking algoritmus je aplikován na soubory Chunky jsou vloženy do úložiště Originální sobory jsou nahrazeny pomocí NTFS reparse points Odebere se primární data stream

58 Očekávané úspory Úspory % Knihovna VHD Sdílení pro distribuci SW Sdílení se standardními daty Moje dokumenty 0% 20% 40% 60% 80% 100% 60

59 Demo: deduplikace dat 61

60 Deduplikace dat požadavky Server Oddíl Windows Server 2012 Dostatečný HW Pouze datový (system ani boot volume ne) NTFS, ReFS není podporován CSV není podporován Failover clustering je podporován 62

61 Deduplikace dat a výkon Optimalizace: Může být zpracováno až 20-35MB/s 100GB/h vyžaduje 1 CPU jádro a 350MB RAM Deduplikace více oddílů může běžet paralelně s více jádry CPU, pamětí a diskovými zdroji Čtení/zápis: Žádný dopad na zápis nových souborů Žádný dopad na přístup k uživateským dokumentům 1-1.5x pomalejší kopírování velkých souborů (např. VHD) No impact VHD copy ( x) VHD update (1.3x)

62 Nepodporováno Boot, System, FAT, ReFS, CSV diskové oddílu Oddíl musí být připojen k Windows Namapované síťové disky nejsou podporovány. Produkční VM nebo VDI relace na Hyper-V hostu Živé SQL DB nebo Exchange úložiště Soubory s rozšířenými atributy, zašifrované soubory, soubory menší než 32KB a reparse point soubory nejsou zpracovávány Klient SKUs

63 Deduplication Evaluation Tool Není nutný upgrade na 2012 pro zjištění úspor \Windows\System32\ddpeval.exe (Dostupné po instalaci Dedup komponenty) Zjistí úspory bez změny dat Běží na Windows 8, Windows 7, Server 2008 R2 a Server 2012 Zpracovává data na síleních SMB/CIFS i na ne-windows serverech

64 2) SMB

65 SMB Transparent Failover Failover je transparentní pro serverové aplikace Zero downtime jen malá IO prodleva během failoveru Podporuje plánované i neplánované výpadky HW/SW údržba HW/SW chyby Rebalanciování zátěže Hyper-V Bezvýpadkové pro souborové i adresářové operace \\fs1\share \\fs1\share Vyžaduje: Windows Failover Cluster Oba servery s aplikací i se souborovým serverem musí být Windows Server 2012 Sdílení se zapnutým continuous availability File Server Node A File Server Cluster File Server Node B

66 SMB Scale-Out Určeno pro úložiště serverových aplikací Např.: Hyper-V a SQL Server Zvyšuje dostupné přenosové pásmo přidáváním dalších nódů clusteru Klíčové možnosti: Active/Active sdílení souborů Fault tolerance s nulovým výpadkem Ultrarychlá obnova po výpadku CHKDSK s nulovým výpadkem Podpora pro aplikační konzistentní snapshoty Podpora pro RDMA Optimalizováno pro serverové app Jednoduchá správa Data Center Network (Ethernet, InfiniBand or combination) Single Logical File Server (\\FS\Share) Single File System Namespace Cluster Shared Volumes Hyper-V Cluster (Up to 64 nodes) File Server Cluster (Up to 8 nodes)

67 SMB Multichannel Plné přenosové pásmo Agregace přenosového pásma s více síťovými kartami Využití více jader CPU když síťová karta nabízí Receive Side Scaling (RSS) Single 10GbE RSS-capable NIC Vzorová konfigurace Multiple 1GbE NICs Multiple 10GbE in LBFO team Multiple RDMA NICs Automatický failover SMB Multichannel implementuje endto-end detekci chyb Využívá NIC teaming (LBFO) pokud je k dispozici, ale nevyžaduje ho Automatická konfigurace SMB detekuje a využívá více cest SMB Client NIC 10Gb E Switc h 10Gb E NIC 10Gb E SMB Server SMB Client NIC 1Gb E Switc h 1GbE NIC 1Gb E NIC 1Gb E Switc h 1GbE NIC 1Gb E SMB Server SMB Client NIC 10G be Switch 10GbE LBFO NIC 10G be Switc h 10Gb E NIC NIC 10Gb 10G E be LBFO SMB Server SMB Client NIC 10GbE /IB Switch 10GbE/IB NIC 10GbE /IB NIC 10GbE /IB SMB Server Switch 10GbE/I B NIC 10GbE /IB

68 SMB šifrování End-to-end šifrování SMB dat při transportu Chrání data před útoky typu eavesdropping/snooping attacks na nedůvěryhodných sítích Nulové náklady na nasazení Není třeba IPSec, specializovaný hardware ani WAN akcelerátory Client Server Konfigurace na úrovni sdílení nebo celého serveru Může být zapnuto v řadě scénářů, kdy data prochází nedůvěryhodnou cestou Aplikační zátěž na nezabezpečené síti Pobočky na WAN sítích SMB Encryption

69 3) Dynamic Access Control 71

70 Potřeby Výsledný stav Sdílení pro projekty Potřeby mohou být za začátku jednoduché Přidávání další požadavků přístupové politiky rychle tříští Komplexita zvyšuje riziko úniku informací Jistota, že data neunikají Archivovat data o kontraktech 10 let

71 Složité a nepřehledné politiky neumožňují řízení rizik a nákladů

72 Správa přístupu k datům pomocí DAC Klasifikace dat Aplikování politik na základě klasifikace

73 Centrální přístupová politika File Server AD DS User claims User.Department = Finance User.Clearance = High Device claims Resource properties Device.Department = Finance Device.Managed = True Resource.Department = Finance Resource.Impact = High ACCESS POLICY Applies = High Allow Read, Write if (@User.Department AND (@Device.Managed == True) 77

74 Přístup k soborům s centrální přístupovou politikou Share Permissions NTFS Permissions Central Access Policy Access Control Decision

75 4) Další novinky 79

76 Další novinky - Ckkdsk Vylepšený Chkdsk Detekce poškození online Oprava offline během několika sekund Navrženo pro velká úložiště cca 64TB 80

77 Další novinky - Ckkdsk 82

78

79 Konektivita jde to i bez IPv6 DirectAccess již nevyžaduje nasazení IPv6 Pokud není nativní IPv6 k dispozici Klienti tunelují IPv6 přes Internet nebo intranet Internet IPv6 Options Intranet Používá vestavěné DNS64/NAT64 k přístupu k interním IPv4 zdrojům Native IPv6 IPv6 Tunneling IPv4

80 Multisite Windows 8 automaticky najdou nejvhodnější vstupní bod Probe-based Windows 7 klienti zafixováni na konkrétní vstupní bod GSLB ready

81 Změny v DA (1) Možnost koexistence s RRAS na jednom serveru Odstraněna nutnost nasazení PKI DA server funguje jako Kerberos proxy Přidáno NAT64 a DNS64 Podpora pro nasazení DA za NAT Plná podpora NLB Podpora více doménového prostředí

82 Změny v DA (2) Podpora OTP Automatizovaná možnost nasazení force tunneling Plná podpora konfigurace powershell Monitoring Množství DA clientů Množství všech VPN klientů Množství dat přenesených DA klientem atd.. Průvodce konfigurací Pouze 1 IPSec tunel odpadá správa IP adres IP-HTTPS null encryption pro DirectAccess komunikaci, zrušení redundantního dvojího šifrování Výkon srovnatelný s Teredo

83 Porovnání výkonu Windows Server 2008 R2 vs. Windows Server 2012: Dvojnásobná propustnost! Příklad: CPU: 4 Cores, 2.1 GHz RAM: 4 GB WS 2012 PKI 50 0 Capacity MB/sec

84 Interoperability Matrix Windows 8 Fully supported Windows Server 2012 Windows Server 2008 R2 Supported with the following limitations No DirectAccess and VPN on a single server No access to IPv4 only resources within Corpnet (needs add-on NAT64/DNS64 solution) Requires PKI No multisite deployment Windows 7 Supported with the following limitations Requires PKI Windows 7 clients must connect to preconfigured entry point (no automatic site selection) No off premise provisioning or Windows To Go Supported with the following limitations No DirectAccess and VPN on a single server No access to IPv4 only resources within Corpnet (needs add-on NAT64/DNS64 solution) Requires PKI No multisite deployment No off premise provisioning or Windows To Go