Live Show Gerenciamento de Ambientes

Transcrição

1 Live Show Gerenciamento de Ambientes 2008 Microsoft Corporation. Todos os direitos reservados. O propósito deste documento é apenas informativo. Microsoft não faz nenhuma garantia expressa ou implícita neste documento.

2 1 Índice 1 Índice Introdução Objetivo Público-alvo Pré-requisitos Nível de dificuldade Considerações adicionais Gerenciamento de Ambiente Cenário Proposto e Hardware / Software utilizados Tabela de Configurações Instalação Inicial do Windows Server Pós-Atividades de instalação Preparação do ambiente para instalação do Active Directory (pré-requisitos) Instalação do Active Directory e DNS (dcpromo.exe) Pós-Atividades de Instalação do AD Instalação de um Controlador de Domínio Adicional Gerenciando Eventos de Sistema Criando Visões Personalizadas Agregando e Consolidando Eventos de múltiplos Servidores / Desktops Gerenciamento Remoto de Servidores e Estações Configurando o Remote Desktop Habilitando infraestrutura de WS-Management (WinRS e WinRM) Gerenciamento de Auditoria do Active Directory

3 6.1 Habilitando a Auditoria de Objetos do Active Directory Gerenciamento de Múltiplas Políticas de Senha de Domínio Criando Múltiplas Políticas de Senha Testando a Aplicação de Políticas de Senha Gerenciamento de Desktops através de Políticas de Grupo Criando Políticas de Grupo para Gerenciamento e Segurança Testando a Aplicação de Políticas de Grupo Gerenciamento de Atualizações de Software com o WSUS Error! Bookmark not defined Pré-Requisitos... Error! Bookmark not defined Antes de Instalar... Error! Bookmark not defined Instalando o Windows Update Services (WSUS)... Error! Bookmark not defined Configurando a Conexão de Rede Configurando Atualizações e Sincronização Configurando Atualizações Automáticas Criando Grupos de Computadores para Atualizações Aprovando e Implementando Atualizações no WSUS Gerenciamento de Ambientes com o System Center Essentials Introdução Instalando o SC Essentials Configurações Iniciais Gerenciamento de Computadores e Dispositivos Monitoramento Gerenciamento de Atualizações Criação e Distribuição de Pacotes de Software

4 10.8 Relatórios Links e Referências Úteis Ferramentas de Suporte do Windows Links

5 2 Introdução 2.1 Objetivo Implementar uma solução de infraestrutura baseada nas melhores práticas de Gerenciamento. Essa infraestrutura contemplará Servidores de Diretório, Gerenciamento de Patches, Políticas de Grupo e Estações de Trabalho, Inventário de hardware e software e Gerenciamento de Eventos Pró-ativo 2.2 Público-alvo Técnicos de infra-estrutura com conhecimentos sólidos em plataforma de rede Microsoft 2.3 Pré-requisitos Familiaridade com ambientes Cliente-Servidor Familiaridade com ambiente operacional Windows Conhecimento de redes e protocolo TCP/IP Conceitos de LDAP Conhecimentos de Windows 2000 Server ou superior (preferencialmente Windows Server 2003) Desejável conhecer Active Directory e sua estrutura lógica como florestas, árvores e unidade organizacional. 2.4 Nível de dificuldade Médio 2.5 Considerações adicionais Durante esse treinamento o participante será conduzido a configurar as principais características de um servidor Windows, utilizando uma série de recursos e ferramentas que auxiliam no trabalho de administração de redes baseadas em Windows Server

6 3 Gerenciamento de Ambiente 3.1 Cenário Proposto e Hardware / Software utilizados Tabela de Configurações A tabela a seguir deverá ser utilizada como padrão para as configurações que estão faltando, ou que devem ser alterados em sua máquina. Lembre-se de que é a partir destas configurações que todos os próximos exercícios estarão amarrados. Por favor, leia as regras abaixo: Nossa estrutura se inicia com 4 servidores e 2 estações que formarão um domínio. O nome desse domínio é CONTOSO e você irá utilizá-lo mais adiante quando for solicitada a criação da estrutura do serviço de diretórios Active Directory. Por enquanto as três máquinas fazem parte de um Workgroup. Essas máquinas podem ser usadas utilizando-se máquinas virtuais para efeito de laboratório. Para isto, recomendamos o uso do Microsoft Virtual PC 2007: A tabela abaixo mostra as configurações de IP que suas máquinas já possuem. Por favor, confirme para ver se está correto. Nome do Computador Papel / Função Endereço IP Mascara Endereço do servidor DNS Domínio WS2008DC1 DC Contoso.com WS2008DC2 DC Adicional Contoso.com WS2008MGT Gerenciamento Contoso.com WS2003SRV VISTASP1 XPSP3 Member Server Estação de Usuário Estação de Usuário Contoso.com Contoso.com Contoso.com 6-127

7 A figura abaixo representa a estrutura de domínio que iremos implementar e estará em funcionamento ao final desta sessão: 3.2 Instalação Inicial do Windows Server 2008 Durante esta sessão, parte-se do princípio que os servidores já estão pré-instalados com o Windows Server Porém, se necessário realizar a instalação do sistema operacional nos servidores, as informações a seguir podem ser usadas como referência. Para iniciar a instalação do Windows Server 2008 você vai precisar de um servidor com a configuração mínima de: Processador 1 GHz (x86 processor) ou 1.4 GHz (x64 processor) 512 MB de Memória RAM 10.0 GB de espaço em disco para instalar o Sistema Operacional (Mínimo) Unidade de CD-ROM ou DVD-ROM Monitor SVGA (800x600) ou superior Teclado / mouse ou dispositivo apontador compatível. Informações sobre compatibilidade de hardware e software podem ser encontradas no seguinte endereço do site da Microsoft: Vale ressaltar que as configurações sugeridas acima não representam valores ideais para ambientes de produção. Dependendo da função que o servidor desempenhará no ambiente de produção, implicará na necessidade de dimensionar corretamente o hardware de forma que ele atenda plenamente os requisitos de carga e desempenho do ambiente de produção final

8 3.3 Pós-Atividades de instalação Após a instalação e configuração do sistema operacional, é necessário algumas atividades para garantir que o servidor está configurado e pronto para receber novas configurações: Windows Update: é altamente recomendável a aplicação de updates que são disponibilizados pela Microsoft ao longo do tempo. Para aplicação destes updates, acesse Falhas de Hardware: geralmente os fabricantes de servidores possuem ferramentas de logs e monitoramento de hardware; é altamente recomendável a averiguação através destas ferramentas à busca de falhas de hardware, como discos rígidos, CPUs, memória, etc. Falhas de Software: é altamente recomendável a consulta do Log de Eventos do Windows (EventViewer) à busca de logs e informações que indiquem algum problema com o servidor. O EventViewer pode ser acessado via eventvwr.exe (os logs de System e Application geralmente possuem informações úteis que devem ser analisadas pós-instalação do sistema operacional. Configurações de TCP/IP: geralmente os servidores devem possuir um endereço TCP/IP fixo. Tais configurações, juntamente com endereçamento DNS e WINS devem ser adquiridas com o administrador de redes. Antivírus e agentes de gerenciamento: geralmente, os primeiros softwares a serem instalados em um servidor são o agente/cliente para antivirus (de acordo com políticas da empresa) e agentes de monitoramente (por exemplo, o MOM Microsoft Operations Manager). Configuração de acesso remoto: o Windows Server 2008 possui o recurso de Remote Desktop que pode ser ativado para que o servidor possa ser acessado e gerenciado remotamente via Terminal Services. Essa ativação pode ser feita através da tela Propriedades do Computador, como tela abaixo: 8-127

9 Importante: Por padrão, apenas membros do grupo Administradores possuem direito para conexão remota via Terminal Services. 3.4 Preparação do ambiente para instalação do Active Directory (pré-requisitos) Os passos do item Pós-Atividades de instalação já podem ser considerados como passos preparatórios para a instalação e configuração do Active Directory. Além disso, é muito importante considerar a infraestrutura de DNS à qual o Active Directory estará funcionando. Vale lembrar que uma estrutura de DNS bem configurada e implementada é vital para o bom funcionamento do Active Directory (dizemos que o DNS são os olhos do AD). Para fins de exemplo, partimos do princípio que não possuímos ainda uma estrutura de DNS em nossa empresa fictícia e faremos tal configuração juntamente com o Active Directory

10 A seguir, um checklist que pode ser usado como referência de pré-atividades na implementação do Active Directory: Passo Revise os conceitos básicos do Active Directory Referência Active Directory overview Revise os papéis do Controlador de Domínio Domain controllers Revise conceitos sobre múltiplos domínios e árvores Revise conceitos sobre replicação de dados entre Controladores de Domínios Revise informações sobre compatibilidade pré-windows Server 2000/2003 Revise conceitos de the Domain Name System (DNS). Understanding domain trees and forests How replication works Promoting domain controllers What is DNS? Revise conceitos sobre como o Active Directory é integrado com DNS Identifique seu namespace DNS. Se sua rede necessita acesso à Internet, verifique se você registrou seu domínio. Verifique se seu computador possui uma partição NTFS Integration with DNS Namespace planning for DNS Checklist: Adding a new disk Verifique se o protocol TCP/IP está corretamente configurado Verifique se possui o serviço de DNS implementado em sua rede. Caso contrário, planeje para implementação durante a instalaç Instalação do Controlador de Domínio Checklist: Installing and configuring TCP/IP Understanding DNS integration; Checklist: Deploying DNS for Active Directory Install a domain controller 3.5 Instalação do Active Directory e DNS (dcpromo.exe) O serviço de DNS é utilizado largamente em uma rede baseada em Windows Server Toda a resolução de nomes e FQDN (Fully Qualified Domain Name) da rede será realizada através do

11 DNS. Após sua instalação você irá configurar as zonas de DNS do servidor de acordo com o seu domínio. Importante: A instalação dos serviços DNS só acontecerá no servidor WS2008DC1, configurado com o endereço IP Procedimento: 1. Faça o logon no servidor WS2008DC1 usando a conta administrator. 2. Acesse o Server Manager (Start / All Programs / Administrative Tools / Server Manager). A seguinte tela será apresentada: 3. Na tela Server Manager, clique, no painel esquerdo em Roles e a seguinte tela será apresentada, indicando que ainda este servidor nao possui nenhum papel configurado

12 4. Clique em Add Roles e depois Next 5. Na tela Select Roles, selecione Active Directory Domain Services e clique Next duas vezes. 6. Na tela Confirm Installation Selections, clique em Install. Esse processo de instalação do AD DS pode ser dividido em duas fases: essa primeira fase, que acabamos de completar, simplesmente copia os binários necessários para a máquina. Após a finalizacao deste passo, é necessário executar o comando dcpromo.exe para realmente ativar a funcionalidade

13 7. Ao final do processo (leva cerca de 2 minutos), a tela de sumário será apresentada. Clique no link Close this Wizard and launch the Active Directory Domain Services Installation Wizard (dcpromo.exe). Isto automaticamente abrirá o dcpromo.exe 8. A tela inicial do DCPROMO será apresentada. Como novidade para o Windows Server 2008, não é necessário mais digitar dcpromo.exe /adv para acessar as opções avançadas. Há um checkbox na tela inicial que lhe permite isto, conforme exibido abaixo. Clique no botão Next duas vezes

14 9. Na página Choose a Deployment Configuration, você tem a oportunidade de dizer se estará criando uma floresta nova ou adicionando um Domain Controller a uma floresta já existente. Em nosso caso, criaremos uma floresta nova. Assim, escolha a segunda opção e clique em Next. 10. Na tela Name the Forest Root Domain, você deverá digitar um nome FQDN para a floresta, que deve ser único em sua rede. Para efeitos de laboratório, utilizaremos contoso.com. Clique em Next

15 11. Neste momento, será feita uma verificação para confirmar que o nome é realmente único na estrutura: 12. Na próxima tela, defina o nome NETBIOS do domínio. Manteremos o padrão. Clique em Next

16 16-127

17 Na tela Set Forest Function Level, temos a oportunidade de definer o nível funcional da floresta. Dependendo do nível, novas funcionalidades são habilitadas. Entretanto, para que essa operação seja completada, é necessário que o sistema operacional dos servidores que atuam como Controladores de Domínio estejam no mesmo nível. Por exemplo, para elevar o nível da floresta para Windows Server 2008, todos os domínios desta floresta precisam estar no nível Windows Server E para isto, todos os Controladores de Domínio precisam estar executando o Windows Server Para maiores informações, acesse o artigo: us/default.aspx?dg=microsoft.public.windows.server.active_directory&tid=26f2ecb1-5d1a-4a37-b371-e83a93c2a44e&cat=en_us_d02fc761-3f6b-402c-82f6- ba1a8875c1a7&lang=en&cr=&sloc=en-us&m=1&p=1 Em nosso caso, como teremos apenas Controladores de Domínio rodando Windows Server 2008, escolheremos o nível Windows Server Clique em Next 13. Como este é o primeiro Controlador de Domínio de nossa infraestrutura, ele deve ser também, obrigatoriamente um servidor de Global Catalog e não pode ser um Read Only Domain Controller (para maiores informações sobre o RODC, consulte Além disso, como ainda não temos uma estrutura de DNS criada, permitiremos que o assistente faça isto por nós. Assim, configure a tela como demonstrado abaixo e clique em Next

18 14. Se você receber a mensagem de alerta abaixo, escolha a primeira opção ( Yes, the computer will use... e clique em Next 15. Se você receber o alerta abaixo (relacionado à configuração do DNS), clique em Yes

19 16. Na tela Location for Database, Log Files and Sysvol, definiremos o local onde o database do AD, logs e a pasta SYSVOL serão armazenados. Como melhores práticas, é recomendado que fiquem em um volume/disco separado do sistema operacional. Para efeitos de laboratório, manteremos os valores padrão. Clique em Next 17. O próximo passo é definir uma senha para o Directory Services Restore Mode (DSRM). Essa credencial é importante caso, no futuro, você precise inicializar o Controlador de Domínio neste modo para alguma manutenção / resolução de problemas. Para saber mais sobre esse modo, consulte c96858da mspx. Digite uma senha, confirme e clique Next

20 18. Na tela Summary será apresentado um resumo de todas as configurações efetuadas. Como nova funcionalidade, há um botão chamado Export Settings. Esse comando gera um arquivo.txt que pode ser reaproveitado para instalação não-assistidas (unattended), utilizando-se o comando dcpromo.exe /unattended. Confirme a instalação clicando em Next

21 19. Neste momento, a instalação do Active Directory propriamente se inicia, e a tela abaixo é exibida. É necessário aguardar alguns minutos até o final do processo. 20. Ao final do processo, a seguinte tela será exibida. Clique em Finish e depois confirme o Reboot

22 3.6 Pós-Atividades de Instalação do AD Importante: Para efeitos do Laboratório, vamos configurar a zona reversa no servidor de DNS instalado no WS2008DC1. A zona reversa permite localizar o nome de uma máquina registrada no DNS a partir do seu endereço IP. A zona reversa será utilizada no exercício 02 e 03 para verificar se os demais servidores possuem as entradas de DNS devidamente configuradas. Procedimento: 1. Faça logon novamente no servidor WS2008DC1 (agora com as credenciais de Administrador do Domínio) 2. Acesse o Server Manager (Start / All Programs / Administrative Tools / Server Manager). 3. No painel esquerdo, navegue através: Roles / DNS Server / DNS / WS2008DC1. A seguinte tela será exibida:

23 4. Selecione Revese Lookup Zones. 5. No menu, clique em Action e depois New Zone..., conforme mostra a figura a seguir. 6. O guia passo a passo aparecerá conforme figura a seguir

24 7. Clique em Next. 8. Será criada a uma zona reversa primária e armazenada no Active Directory, conforma mostra figura a seguir. 9. Clique em Next. 10. Mantenha a seleção padrão de replicar o escopo da zona reversa apenas para servidores com DNS pertencentes ao Active Directory, conforme mostra a figura a seguir

25 11. Clique em Next. 12. Como novidade do Windows Server 2008, IPV6 e DNS são 100% suportados. Assim, você pode criar zonas para endereçamentos IPV6. No nosso caso, manteremos o padrão, que é IPV4, conforme podemos ver na tela abaixo. Clique em Next 13. Insira o endereço IP da sub-rede do Laboratório conforme mostra a figura a seguir

26 14. Clique em Next. 15. Aceite o padrão para registro de atualizações na zona reversa de forma segura, conforme mostra a figura a seguir. 16. Clique em Next

27 17. Na janela de Completing the New Zone Wizard, clique em Finish. 18. Na janela da ferramenta de gerenciamento do DNS, caso já não esteja, expanda a Revese Lookup Zones. 19. Selecione a zona reversa x.x Subnet. 20. No menu, clique em Action e depois New Pointer (PTR) Na janela New Resource Record, insira nos respectivos campos os seguintes valores: a. Host IP number: b. Host name: ws2008dc1.contoso.com 22. Clique em OK. 23. Feche a janela Server Manager. 3.7 Instalação de um Controlador de Domínio Adicional Para esse exercício vamos explorar uma nova funcionalidade do Windows Server 2008 que consiste em adicionar um novo controlador de domínio a partir de uma mídia de backup. Se você precisa de mais informações a respeito, consulte o link: 6e57c090987b1033.mspx Antes do Windows Server 2003, o mecanismo para se adicionar um novo controlador de domínio consiste em fazer a promoção de um servidor para controlador de domínio e aguardar o término da replicação do Active Directory. Este processo geralmente é tranqüilo quando estamos na rede local. Agora, imagine o cenário no qual é preciso promover um servidor localizado numa filial e que está conectada a matriz através de um link de 64Kbps. Geralmente esse link é utilizado pelos usuários da filial para acessar as aplicações de negócio da empresa existentes na Matriz. Dependendo da quantidade de objetos do Active Directory a serem replicados para o novo controlador de domínios, o impacto sobre o link pode ser grande. Para evitar tais problemas o Windows Server 2008 permite utilizar mídia de backup para acelerar o processo de replicação. Importante: Os alunos não podem prosseguir a menos que tenham completado laboratório anterior. Este exercício acontece em duas partes. Na primeira parte, o aluno que estiver usando o servidor que possui Active Directory, realizará o backup do controlador de domínio dele. Após o término do backup, começa a segunda parte que consiste em o aluno restaurar o backup no segundo servidor, transformando-o em um controlador de domínio. Procedimento: Parte 1 - Efetuando o backup do estado de sistema atual do controlador de domínio Importante: Esta parte do laboratório só será feita no computador que contém o Active Directory. No caso do laboratório é WS2008DC

28 24. Faça logon no servidor WS2008DC1 com as credenciais de Administrador do Domínio 25. Crie uma pasta no drive C:\ chamada NTDSBackup. Usaremos esta pasta para armazenar o backup do AD 26. Acesse o prompt de comando (Start / Acessories / Command Prompt) 27. Execute o comando ntdsutil. A seguinte tela deverá ser exibida: 28. Execute o comando activate instance ntds

29 29. Execute o comando ifm (o que significa Install from Media ) 30. Execute o comando Create full c:\ntdsbackup. Este comando criará um backup da base do AD e todos arquivos/registry dependentes para ser utilizado em nosso segundo servidor posteriormente. Através do comando ifm, é possível também criar um backup para ser usado em um dcpromo para RODCs. A seguinte tela será exibida durante este processo:

30 31. Ao final do processo, a seguinte tela será exibida. Digite quit até deixar o comando ntdsutil. 32. Verifique, através do Windows Explorer, que a pasta c:\ntdsbackup contém agora os arquivos que foram exportados pelo comando ntdsutil. Parte 2 Copiar o arquivo e concluir o processo de promoção a controlador de domínio Importante: Esta parte do laboratório só será feita no computador WS2008DC

31 Antes de iniciarmos o processo adicionarmos o WS2008DC2 como um segundo controlador de domínios, será necessário configurar o endereço do servidor de DNS. No nosso caso, deverá ser o endereço IP do servidor WS2008DC Faça logon no servidor WS2008DC2 com o usuário Administrador local 34. Copie a pasta C:\NTDSBackup do servidor WS2008DC1 para o drive C:\ do servidor WS2008DC2. Isto evitará que a replicação e a promoção deste controlador de domínio adicional ocorra pela rede. 35. Clique em Start / Run e digite dcpromo.exe. Este comando instalará os binários do Active Directory, caso não estejam instalados (que é o nosso caso) e iniciará o Assistente para instalação do AD 36. Selecione a opção Advanced Mode e clique em Next duas vezes

32 37. Na tela a seguir, escolheremos a primeira opção, pois agora estamos adicionando um Controlador de Domínio à uma estrutura já existente. Clique em Next. 38. Na tela Network Credentials, é necessário fornecer o nome de um domínio da floresta que estaremos adicionando este DC (no nosso exemplo, contoso.com) e as credenciais de uma conta que pertence ao grupo Domain Administrators para efetuar a operação (utilize o usuário Administrator do domínio contoso.com). Clique em Next

33 39. Selecione o domínio o qual este Controlador será adicionado. Como temos apenas uma opção, selecione contoso.com e clique em Next. 40. Mesmo procedimento para o site (Active Directory Site and Services)

34 41. Na próxima tela, vamos configurar este Controlador como servidor de DNS e Global Catalog. Clique em Next 42. Na tela Install from Media, escolha a segunda opção e selecione o diretório C:\NTDSBackup, que foi copiado previamente a partir do servidor WS2008DC

35 43. Complete o Assistente, aceitando todas as opções Default até o final do processo, onde a seguinte tela será exibida: 44. Ao final do processo, reinicialize o servidor. 45. Faça o logon novamente, após o reboot, utilizando agora as credenciais do domínio 46. Automaticamente, a ferramenta Server Manager será aberta. Navegue, no painel esquerdo, através de Roles / Active Directory Domain Services / Active Directory Users and Computers. A seguinte tela deverá ser apresentada: 47. Feche o Server Manager

36 4 Gerenciando Eventos de Sistema 4.1 Criando Visões Personalizadas Uma das novas funcionalidades implementada no Windows Server 2008 e Windows Vista é a possibilidade de criar visões customizadas dos eventos do sistema. Além dos já conhecidos System, Application e Security logs, há uma série de novas categorias, agrupadas por Roles e Services. Isto facilita o gerenciamento de logs e permite que o administrador crie também, suas próprias customizações. Para maiores informações, consulte: Importante: Esta parte do laboratório só será feita no computador WS2008DC1. Neste exercício, iremos criar uma visão customizada dos eventos gerados pelo servidor WS2008DC1 1. Faça logon na máquina WS2008DC1 2. Abra o Gerenciador de Eventos (Start / All Programs / Administrative Tools / Event Viewer). A seguinte tela será exibida: 3. No menu a direita, escolha a segunda opção, Create Custom View... e a seguinte tela será exibida:

37 37-127

38 4. Configure os parâmetros conforme instruções: a. Logged: Últimas 12 horas b. Nível de Eventos: Erros c. Por log / logs a partir de todos os Windows Logs 5. A tela a seguir exemplifica tais configurações. Clique em OK

39 6. Na próxima tela, você deverá criar um nome / descrição para essa visão e depois salvar em uma pasta. Em nosso exemplo, criamos uma pasta nova, chamada Gerenciamento de Servidores para armazenar todas nossas visões customizadas. Clique em OK 7. Após a visão criada, apenas os eventos que satisfazem os critérios de pesquisa serão exibidos, algo parecido com: 8. Se você quiser saber detalhes sobre o evento, basta um duplo clique em cima de um deles, e a seguinte tela será exibida:

40 9. Note que há um link chamado Event Log Online Help na tela acima. Esse link leva à uma página online do suporte da Microsoft, que lhe ajudará a resolver o problema que gerou o evento, sendo uma ótima ferramenta para os administradores de sistemas. 4.2 Agregando e Consolidando Eventos de múltiplos Servidores / Desktops Um outro novo recurso do Windows Server 2008 e Windows Vista é a possibilidade de agregar e consolidar eventos de múltiplos servidores / desktops como uma visão única. Esse recurso é chamado Event Subscription e neste exercício, mostraremos como ativar tal recurso. Para maiores informações, consulte o artigo: 0d5a-49ed-b25d-62159eb7b29b1033.mspx Importante: Esta parte do laboratório só será feita no computador WS2008DC1. Neste exercício, iremos criar uma visão customizada dos eventos gerados pelo servidor WS2008DC1 1. Faça logon na máquina WS2008DC1 2. Abra o Gerenciador de Eventos (Start / All Programs / Administrative Tools / Event Viewer). 3. No menu a esquerda, navegue até Subscriptions. Um alerta será exibindo, dizendo que o serviço Windows Event Collector precisa estar ativado para que a funcionalidade opere corretamente. Confirme clicando em Yes

41 4. No menu a Direita, clique em Create Subscription e a seguinte tela será exibida: 5. Os primeiros três campos devem ser preenchidos conforme a figura abaixo. Deste modo, os eventos serão redirecionados para a pasta Forwarded Events. Após isto, clique no botão Select Computers

42 6. Adicione o servidor WS2008DC2, conforme exibido abaixo: 7. Antes de testar a conexão, é necessário ativar o serviço de WS*Management no servidor de destino, em nosso caso, WS2008DC2. Isto é necessário pois o serviço de Subscription trabalha em cima desta plataforma. Para maiores informações, consulte: 8. Para ativar o serviço de WinRM (Windows Remote Management), faça logon no servidor WS2008DC2, abra um prompt de comando e digite: winrm quickconfig. A seguinte tela será exibida:

43 9. Confirme a instalação teclando: Y. O comando quickconfig habilita uma configuração padrão de WinRM, criando um listener para o protocolo Opcionalmente, pode-se criar uma conexão segura com Volte novamente para a máquina WS2008DC1 11. Clique no botão Test, na ferramenta de Gerenciamento de Eventos. A seguinte mensagem deve ser exibida: 12. Clique em OK duas vezes

44 13. Ainda na tela de Subscription Properties, vamos definir agora quais eventos serão coletados. Para isto, iremos copiar a visualização customizada que criamos anteriormente. Clique em Select Events / Copy from existing Custom View : 14. Faça a seleção conforme tela abaixo, escolhendo, debaixo da pasta Gerenciamento de Servidores, a Custom View Erros Ultimas 24 horas. Clique em Open. 15. Clique em OK duas vezes, até fechar a tela de Subscription Properties. A seguinte tela deve ser exibida. Note o ícone Verde, mostrando que a conexão foi bem sucedida

45 16. No menu a Esquerda, navegue até a Custom View Erros Ultimas 24 horas. Para confirmar que estamos coletando os logs do servidor WS2008DC2, iremos adicionar a coluna de nome da máquina. Para isto, com o botão direito do mouse, clique sobre o cabeçalho dos eventos, no painel central, conforme exibido abaixo, e selecione Add/Remove Columns 17. Adicione a columa Computer, que deverá ser exibida no painel a Direita. Após isto, clique em OK

46 18. Neste momento, na Custom View, você deverá visualizar os erros que satisfazem as condições configuradas de ambos computadores: WS2008DC1 e WS2008DC2, conforme exibido abaixo: 5 Gerenciamento Remoto de Servidores e Estações 5.1 Configurando o Remote Desktop Uma boa prática de Gerenciamento de Servidores é ativar o Gerenciamento Remoto para permitir controle remoto sobre o servidor. Para algumas atividades, como instalar um software, resolução de problemas, etc, a melhor maneira é obter acesso à máquina. Para isto, por padrão, o Windows Server 2008 conta com o recurso de Remote Desktop. Esse recurso não vem ativado por padrão, e o objetivo deste exercício é demonstrar como isto é possível. Para maiores informações, consulte: Importante: Esta parte do laboratório só será feita no computador WS2008DC1. 1. Faça logon na máquina WS2008DC1 2. Abra o painel System (Start / Control Panel / System ). A seguinte tela deve ser exibida:

47 3. No menu à Esquerda, selecione Remote Settings e a seguinte tela será exibida: 4. Selecione a segunda opção ( Allow Connections from computers running any... ). Essa opção garante que, se você estiver utilizando como máquina cliente, um sistema operacional antes de Windows Vista, sua conexão seja realizada com sucesso. Se você tem certeza que estará se conectando a partir apenas de máquinas Windows Vista e Windows Server 2008, a última opção deve ser escolhida pois fornece um método de autenticação mais seguro, baseado em Network Level Authentication (NLA). Após selecionar essa opção, você receberá um alerta, dizendo que será criada uma regra de exceção no Windows Firewall, permitindo conexões. Aceite a alteração, conforme exibido abaixo:

48 5. Por padrão, toda conta que pertence ao grupo Administrators podem se conectar via Terminal Services. Se você deseja acrescentar uma outra conta ou grupo, basta adicioná-las clicando no botão Select Users, e a seguinte tela será exibida:

49 Importante: Por padrão, apenas usuários dos seguintes grupos possuem permissão para fazer logon em servidores que atuam como Controladores de Domínio: Portanto, mesmo que você configure o Remote Desktop para outro grupo diferente deste, a política local não permitirá o logon. Para isto, você deve editar a política de Domain Controllers via GPMC (Group Policy Management Console) e adicionar o grupo debaixo dos User Rights Assignment, conforme exemplificado abaixo:

50 6. Agora que você já ativou a conexão remota, basta fazer a conexão. Em nosso caso, utilizaremos os servidor WS2008DC2. Faça o logon nesta máquina, com as credenciais de Administrador do Domínio 7. Abra o Remote Desktop Connection (Start / All Programs / Accessories / Remote Desktop Connection). A seguinte tela será exibida: 8. Em Computer, digite o nome do servidor que iremos conectar, em nosso caso, WS2008DC1 e pressione Connect. Se for pedido, forneça as credenciais e após a autenticação, você estará conectado no servidor. 9. Se necessário, você poderá gerenciar as conexões (como desconectar algum usuário) utilizando o Terminal Services Manager (Start / All Programs / Administrative Tools / Terminal Services / Terminal Services Manager), conforme ilustrado abaixo (lembre-se que no modo de Administração, apenas 2 conexões simultâneas são permitidas via Terminal Services):

51 5.2 Habilitando infraestrutura de WS-Management (WinRS e WinRM) Windows Remote Management (WinRM) é a implementação da Microsoft do padrão WS- Management, uma plataforma para gerenciamento remoto. Essa platforma estava disponível para Windows Server 2003 e XP, entretanto, o grande diferencial para Windows Server 2008 e Vista é que ela já vem disponível na instalação (porém, não ativada). Para maiores detalhes, consulte: Neste exercício, estaremos ativando manualmente essa plataforma em um de nossos servidores, entretanto, é possível realizar tal configuração via Políticas de Grupo ( Importante: Esta parte do laboratório só será feita no computador WS2008DC1. 1. Faça logon na máquina WS2008DC1 2. Abra um prompt de Comando (Start / All Programs / Accessories / Command Prompt). No prompt, digite winrm <enter> 3. Para realizarmos uma configuração padrão, digitaremos winrm quickconfig e pressione <ENTER> 4. Na tela de confirmação abaixo, digite <Y>. Isto criará uma regra de exceção no Windows Firewall, permitindo o gerenciamento remoto:

52 5. Após o setup, a seguinte tela deve ser exibida, indicando que a configuração foi realizada com sucesso: Importante: Neste laboratório, foi criado um listener padrão, isto é, os comandos serão executados através da porta 80 (HTTP). Uma das possibilidades é criar um listener seguro, escutando na porta 443 (HTTPS). Para maiores informações, consulte: 6. Para testarmos a funcionalidade, vamos logar no servidor WS2008DC2 com o usuário Administrator

53 7. Abra um prompt de Comando (Start / All Programs / Accessories / Command Prompt). No prompt, digite winrs r: cmd <Enter>, que significa que iremos fazer uma conexão WinRM via HTTP e executar o comando cmd (prompt) 8. Para verificar que realmente estamos com um shell remoto, digite o comando hostname e deverá ser exibido WS2008DC

54 9. Estamos conectando remotamente no WS2008DC1 e podemos executar qualquer comando, como por exemplo, o servermanagercmd.exe query, que lista todas as funções e papéis que estão sendo executados por esse servidor: 10. Para fechar a conexão, digite Exit e depois <Enter> 6 Gerenciamento de Auditoria do Active Directory 6.1 Habilitando a Auditoria de Objetos do Active Directory O sistema de auditoria dos serviços de diretório no Windows Server apresenta algumas novidades. Primeiro, existem quatro novas subcategorias de auditoria para auditar serviços de diretório: Acesso DS, Alterações DS, Replicação DS e Replicação Detalhada DS. Assim, se você quer apenas auditar alterações no diretório, não precisa examinar todos os eventos de replicação e leitura. Porém, se você deseja incluir exclusões de objeto em seu log de auditoria, deve habilitar Acesso DS. Isso gera mensagens para todos os acessos de objeto DS, basicamente fazendo com que você volte a gerar mensagens em excesso. E ainda depende de você configurar ou não os descritores de segurança para gerar as mensagens de auditoria que deseja para os objetos com os quais se importa. Para maiores informações, consulte:

55 Importante: Esta parte do laboratório só será feita no computador WS2008DC1. 1. Faça logon na máquina WS2008DC1 2. A primeira parte do exercício será habilitar a auditoria na Política de Grupo para Controladores de domínio. Assim, abra o GPMC (Group Policy Management Console) seguindo os passos: Start / All Programs / Administrative Tools / Group Policy Management, e a seguinte tela será exibida: 3. No menu à Esquerda, navegue através de Group Policy Management / Forest /Domains / contoso.com/domain Controllers / Default Domain Controllers Policy. Selecione essa política, clique com o botão direito do mouse e escolha Edit. A seguinte tela será exibida: 4. No menu à Esquerda, navegue por Computer Configuration / Policies / Windows Settings / Security Settings / Local Policies / Audit Policy e configure as Políticas conforme destacado

56 abaixo (você estará habilitando 3 políticas para logarem as atividades que forem completadas com sucesso: 5. Feche todas as janelas, até sair do GPMC. Abra um prompt de comando e force a aplicação das políticas através do comando gpupdate /force : 6. Feche o Prompt de Comando e abra agora o Active Directory Users and Computers (debaixo de Administrative Tools) 7. Crie uma Organization Unit chamada Usuários, conforme exemplificado abaixo:

57 8. Clique com o botão Direito do mouse sobre a OU Usuários e escolha Properties. Escolha a aba Security e clique no botão Advanced 9. Na tela Auditing, clique em Add para adicionar um novo grupo para auditoria

58 58-127

59 10. Selecione Authenticated Users e na tela Auditing Entry for Usuarios, marque todas as opções para logar as operações de Successful e Failed, confome mostrado abaixo. 11. Clique OK três vezes até retornar ao ADUC. 12. Para facilitar a localização dos eventos que serão gerados, criaremos uma visão personalizada usando a ferramenta EventViewer. O procedimento para criação já foi explanado no tópico

60 13. A visão deve possuir as seguintes configurações : 14. Para efeito de testes, você pode criar usuários na OU Usuários, alterar atributos, excluir objetos e a Visão que você criou deve exibir eventos com o ID 5136 e 5137, conforme ilustrado abaixo:

61 Importante: A novidade neste tipo de auditoria é o registro dos valores antigos e novos, conforme exemplificado nas duas últimas imagens acima. Assim, se você alterar o atributo Telefone de um usuário, você terá o registro do valor antigo e do valor novo. A tabela abaixo lista os códigos dos eventos gerados por esse novo padrão de auditoria:

62 Operation Event ID Event description ACE in SACL that triggers event Modify 5136 <Object DN> <Operation>: Add/Delete <Attribute name> <Value> For existing objects: <Object DN> is the distinguished name of the existing object. For new objects: <Object DN> is the distinguished name of the new object. For reanimated objects: <Object DN> is the target distinguished name of the object (after the object has moved from the deleted objects container to its new location). ACE {Write Property; <attribute> or <property set> or blank; Trustee} For existing objects: ACE should be in the SACL of the object. For new objects: ACE should be in the SACL of the new object. The new object Security Descriptor (including the SACL) is a sum of explicitly assigned ACEs + ACEs inherited from parent + default ACEs in the schema definition of the object. For reanimated objects: ACE should be in the SACL of the reanimated object. The Security Descriptor (including the SACL) of a reanimated object is a sum of the SD that persisted when the object was deleted + ACEs inherited from the new parent. Create 5137 <New Object DN> {Create Child; <object type> or blank; Trustee} ACE should be on parent object Undelete 5138 <Old Object DN> <New Object DN> Move 5139 <Old Object DN> <New Object DN> {Create Child; <object type> or blank; Trustee} ACE should be on target parent object (not source) {Create Child; <object type> or blank; Trustee} ACE should be on target parent object (not source)

63 7 Gerenciamento de Múltiplas Políticas de Senha de Domínio Uma das novidades do Windows Server 2008 é a possibilidade de se criar múltiplas políticas de senha para um mesmo domínio. Esta era uma limitação do Windows Server 2000 / 2003, o que muitas vezes exigia-se a necessidade se criar um domínio adicional apenas para se aplicar uma política de senha diferente. No Windows Server 2008, o recurso Fine Grained Password Policies habilita tal característica. Para maiores informações, consulte: ad-ds-fine-grained-password-policies.aspx Importante: Para habilitar tal recurso, como pré-requisito é necessário que o Domínio esteja operando em modo Nativo Windows Server 2008 e todos Controladores de Domínio sejam Windows Server Criando Múltiplas Políticas de Senha Para efeitos de exercício, estaremos utilizando uma ferramenta para nos auxiliar na criação de Múltiplas Políticas. Ela é chamada SpecOps Password Policy Basic e pode ser feito o download gratuitamente em: Entretanto, se necessário, pode-se realizar os processos manualmente, conforme descrito no início desta seção. 1. Faça o download da ferramenta SpecOps Password Policy Basic faça sua instalação no servidor WS2008DC1 2. Por padrão, nossa política de senhas do Domínio exige uma senha de no mínimo 7 caracteres, conforme podemos ver via GPMC (Propriedades da Default Domain Policy :

64 3. Entretanto, para efeitos de testes, criaremos uma política adicional, que especifica que determinado grupo de usuários necessita de uma senha com pelo meno 12 caracteres. Para isto, já foi criado, previamente, no Active Directory, dois usuários e um grupo, conforme especificado abaixo: a. Grupo SenhaLonga_Grupo, é um grupo do AD que contém todos os usuários que necessitam de uma senha com pelo menos 12 caracteres. Faz parte deste grupo o usuário SenhaLonga b. Usuário SenhaCurta, simula um usuário cuja política de senhas é de 07 caracteres

65 c. Usuário SenhaLonga, simula um usuário cuja política de senhas é de 12 caracteres, e que pertence ao grupo mencionado acima. 4. O próximo passo é criar uma política de senha adicional e relacionar com o grupo mencionado acima. Para isto, abra a ferramenta SpecOps Password Policy Basic (Start / All Programs / Special Operations Software / SpecOps Password Policy Basic). A seguinte tela será exibida: 5. Clique em Configure selected domain

66 6. Clique em New password policy e configure os campos conforme destacado abaixo: 7. Clique em OK, e você deverá ter uma configuração como exibido abaixo: 7.2 Testando a Aplicação de Políticas de Senha 1. Para testes, abra o ADUC e tente trocar a senha do usuário SenhaCurta para p@ssw0rd1. Você deverá trocar a senha com sucesso 2. Agora, tente trocar a senha do usuário SenhaLonga para p@ssw0rd1. Você receberá a seguinte mensagem de erro:

67 3. Isto acontece porque o usuário SenhaLonga pertence ao grupo SenhaLonga_Grupo, que está associado à nossa nova política que foi criada. Desta forma, você consegue, granularmente, criar várias políticas de grupo por domínio. 8 Gerenciamento de Desktops através de Políticas de Grupo 8.1 Criando Políticas de Grupo para Gerenciamento e Segurança O Windows Server 2008 e o Windows Vista introduzem uma série de novas políticas de grupo para gerenciamento de estações de trabalho. Logicamente, há todo um trabalho para manter a compatibilidade, assim, estações de trabalho com Windows XP, com pelo menos o Service Pack 2, poderão se valer de muitos destes recursos. Para maiores informações, consulte: Além disso, como novidade, o Windows Server 2008 inclui o que chamamos de Group Policy Preferences. Essa ferramenta é parte da aquisição da empresa DesktopStandard, e era conhecida anteriormente como PolicyMaker. Como grandes novidades, agora é possível, via GPO, configurar de modo fácil e sem a necessidade de se criar scripts, mapeamentos de drives, cópias de arquivos, cópias de arquivos.ini, registry, configurações preferenciais de Painel de Controle e muito mais. Para um estudo detalhado das possibilidades, consulte: 9d6e-f6e0fb7a0790 Exercício, criaremos uma Política de Grupo para os usuários do Recursos Humanos de nossa empresa. 1. Faça logon na máquina WS2008DC1 com o usuário Administrator 2. Cria uma OU chamada Usuarios_RH e um usuário chamado Pedro dentro desta OU, conforme exemplificado abaixo:

68 3. Agora, abra o GPMC (Start / All Programs / Administrative Tools / Group Policy Management) 4. Selecione a OU Usuarios_RH, clique com o botão direito do mouse e escolha Create a GPO in this domain, and Link it here Configure o nome da GPO conforme ilustrado abaixo e clique em OK

69 6. Clique com o botão direito do mouse na recém-criada GPO, e escolha Edit 7. Navegue através: User Configuration / Policies / Windows Settings / Internet Explorer Maintenance / Browser User Interface / Browser Title e defina o valor abaixo. Clique em OK. 8. Agora navegue: User Configuration / Preferences / Windows Settings / Drive Maps. Clique com

70 o botão direito do mouse sobre Drive Maps e escolha New / Mapped Drive. Defina os valores conforme ilustrado abaixo (para efeitos de demonstração, crie no servidor WS2008 uma pasta no drive C:\ chamada Dados e a Compartilhe). Clique em OK (estamos criando uma letra de drive J:\ que sempre será criada durante o processo de logon de todos os usuários que pertencem à OU Usuarios_RH

71 9. Agora, navegue até o item Environment. Clique com o botão direito do mouse, escolha New / Environment Variable. Defina os valores conforme exibido abaixo e clique em OK (neste item, estamos criando uma variável de ambiente chamada DriveGPO apontando para um drive) 10. Feche o GPMC 8.2 Testando a Aplicação de Políticas de Grupo Para testar o laboratório anterior, você precisa fazer logon em uma máquina que pertença ao domínio CONTOSO.COM, que seja Windows Server 2008 ou Windows Vista SP1 com o RSAT (Remote Server Administration Tool) instalado. Isto garantirá que as Extensões de GPO estejam corretamente instaladas, o que habilitará o processamento das Group Policy Preferences (para maiores informações, consulte:

72 1. Faça logon na máquina VISTASP1 com o usuário Pedro (criado anteriormente). 2. Tente acessar o drive J:\. Ele deverá estar disponível, pois foi criado pela Group Policy Preferences, conforme exibido abaixo: 3. Agora, abra um prompt de comando e digite o comando SET. A variável de ambiente DriveGPO deverá estar criada:

73 4. Agora, abra o Internet Explorer, e verifique no título que o texto Teste GPO RH é exibido (essa configuração foi aplicada pelo processamento já conhecido de uma GPO. Não é uma Preference, e sim, uma política que não pode ser substituída pelo usuário. Assim, demonstramos que ambos os tipos de configurações podem ser aplicadas utilizando-se uma mesma GPO

74 9 Gerenciamento de Atualizações de Software com o WSUS Introdução ao Windows Server Update Services (WSUS) 3.0 O Microsoft Windows Server Update Services (WSUS) fornece uma solução abrangente para a gestão de atualizações na rede. Este documento apresenta instruções passo a passo para tarefas básicas relacionadas com a implementação do WSUS na rede. Utilize este manual para executar as seguintes tarefas: Instalar o WSUS em sistemas operacionais Microsoft Windows Server 2008 Configurar o WSUS para obter atualizações da Microsoft. Configurar computadores cliente para instalar atualizações a partir do WSUS Aprovar, testar e distribuir atualizações. Rever os Requisitos de Instalação do WSUS 3.0 Recomendações e requisitos de disco 9.2 Pré-Requisitos Para instalar o WSUS 3.0, o sistema de arquivos do servidor deverá preencher os seguintes requisitos: Tanto a partição do sistema como a partição de instalação do WSUS 3.0 deverão ser formatadas com o sistema de arquivos NTFS É recomendado, no mínimo, 1 GB de espaço livre para a partição do sistema São recomendados, no mínimo, 20 GB de espaço livre para o volume onde o WSUS armazena conteúdo; são recomendados 30 GB de espaço livre É recomendado, no mínimo, 2 GB de espaço livre no volume onde a Configuração do WSUS instalar o Base de dados interna do Windows. Requisitos de Atualizações Automáticas O serviço Atualizações Automáticas é o componente cliente do WSUS 3.0. O serviço Atualizações Automáticas não tem outros requisitos de hardware para além da ligação à rede. É possível utilizar Atualizações Automáticas com o WSUS 3.0 em computadores a executar qualquer um dos seguintes sistemas operacionais: Windows Vista. Windows Server Microsoft Windows Server 2003, todas as versões e service packs. Microsoft Windows XP Professional, Service Pack 1 ou Service Pack 2. Microsoft Windows 2000 Professional Service Pack 4, Windows 2000 Server Service Pack 4 ou Windows 2000 Advanced Server Service Pack 4. Permissões 1. Devem ser concedidas as seguintes permissões de disco aos usuários para os diretórios especificados:

75 2. O grupo Usuários incorporado ou a conta NT Authority\Network Service (no Windows Server 2003) devem ter permissões de leitura para a pasta raiz na unidade onde o diretório de conteúdo do WSUS reside. Se faltar esta permissão, as transferências do BITS irão falhar. 3. A conta NT Authority\Network Service deve ter permissão "Controle Total" para o diretório de conteúdo do WSUS, que normalmente é <SystemDriver>:WSUS\WsusContent. Esta permissão é definida pela configuração do servidor WSUS quando cria o diretório, mas algum software de segurança pode repor esta permissão. Se faltar esta permissão, as transferências do BITS irão falhar. 4. A conta NT Authority\Network Service deve ter permissão Controlo Total para as seguintes pastas, de modo a que o snap-in Administração WSUS seja visualizado corretamente: 5. %windir%\microsoft.net\framework\v \temporary ASP.NET Files 6. %windir%\temp 9.3 Antes de Instalar Nessa sessão trazemos alguns pontos importantes que devemos observar antes da instalação do Windows Server Update Services 3.0 Ponto 1: Fazer uma cópia de segurança da base de dados do WSUS antes da atualização Se for atualizar para o WSUS 3.0 a partir de uma versão anterior, deve efetuar uma cópia de segurança da base de dados do WSUS. Ponto 2: O IIS tem de estar instalado O Microsoft Windows Server Update Services 3.0 requer os Serviços de informação Internet (IIS), que não estão instalados por predefinição no Microsoft Windows Server 2003 ou no Windows Server Se tentar instalar o WSUS 3.0 sem o IIS, a Configuração do Windows Server Update Services apresenta uma mensagem de erro a indicar que o IIS não está instalado Para instalar o IIS 6.0 no Windows Server 2003: 1. Abra o Painel de Controlo. 2. Duplo clique em Adicionar ou Remover Programas. 3. Clique em Adicionar/Remover Componentes do Windows. 4. Na lista Componentes, clique em Servidor de Aplicações. 5. Clique em Detalhes. 6. Selecione o checkbox ASP.NET. Active o acesso COM+ à rede e o componente IIS (Internet Information Services) será selecionado automaticamente. 7. Selecione Serviços de Informação Internet (IIS) e clique em Detalhes para ver a lista de componentes opcionais do IIS. 8. Selecione todos os componentes opcionais que pretende instalar. O componente opcional Serviço World Wide Web inclui subcomponentes importantes, tais como o componente Active Server

76 Pages e a ferramenta de Administração Remota (HTML). Para ver e selecionar estes subcomponentes, clique em Serviço World Wide Web e, em seguida, clique em Detalhes. Clique em OK até regressar ao Assistente de Componentes do Windows. 9. Clique em Seguinte e conclua o Assistente de Componentes do Windows. 10. Após instalar o IIS, execute a Configuração do Windows Server Update Services. Nota Para instalar o IIS 7 no Windows Server 2008 deveremos utilizar o Add Role no Server Manager. Ponto 3: O Windows 2000 Server não é suportado para o WSUS 3.0 O Microsoft Windows 2000 Server não é um sistema operacional suportado para o WSUS 3.0! Ponto 4: Instalar componentes de pré-requisito A tabela seguinte mostra o software necessário para as plataformas do Windows Server 2003 Service Pack 1. O software necessário para o Windows Server 2008 será abordado na seção que trata do WSUS 3.0 no Windows Server Antes de executar o Programa de Configuração do WSUS 3.0, certifique-se de que o servidor WSUS 3.0 preenche esta lista de requisitos. Se alguma destas atualizações requerer que o computador seja reiniciado quando a instalação estiver concluída, deverá reiniciá-lo antes de instalar o WSUS 3.0. Requisito Microsoft Internet Information Services (IIS) 6 ou 7 BITS (Background Intelligent Transfer Service) 2.0 Microsoft.NET Framework Version 2.0 Redistributable Package (x86) Console de Gerenciamento da Detalhes Instale a partir do sistema operacional. Consulte o Ponto 1: O IIS tem de estar instalado. Consulte Atualização para Background Intelligent Transfer Service (BITS) 2.0 e WinHTTP 5.1 Windows Server 2003 (KB842773) no Download Center( Consulte Microsoft.NET Framework Version 2.0 Redistributable Package (x86) no Download Center ( Isto é um pré-requisito para utilizar a IU do WSUS 3.0. Consulte Console de Gestão da Microsoft 3.0 para Windows Server 2003 (KB907265) no Download

77 Requisito Microsoft 3.0 para Windows Server 2003 Microsoft Report Viewer Detalhes Center ( Para plataformas de 64 bits, consulte Console de Gestão da Microsoft 3.0 para Windows Server 2003 x64 Edition (KB907265) no Centro de Transferências da Microsoft ( Esta página poderá estar em inglês. Isto é um pré-requisito para utilizar a IU do WSUS 3.0. Consulte Microsoft Report Viewer Redistributable 2005 no Download Center ( Ponto 5: Requisitos mínimos de espaço em disco Seguem-se os requisitos mínimos de espaço em disco para instalação do Windows Server Update Services: 1 GB na partição do sistema 2 GB para o volume no qual os arquivos de base de dados serão armazenados Ponto 6: Os servidores proxy têm de suportar HTTP e HTTPS Quando configura o servidor de raiz do WSUS (o servidor WSUS que recebe as atualizações diretamente a partir do Microsoft Update) e existe um servidor proxy entre o servidor WSUS e a Internet, o servidor proxy tem de suportar HTTP e HTTPS. Ponto 7: Se está planejando instalar uma versão completa do SQL Server no seu servidor WSUS 3.0, tem de utilizar o SQL Server 2005 Service Pack 1 ou superior no Windows Server 2003 e o SQL Server 2005 Service Pack 2 ou superior no Windows Server 2008 O WSUS 3.0 instala automaticamente o Base de dados interna do Windows se não houver nenhuma versão do SQL Server já instalada. No entanto, se planeia utilizar uma base de dados SQL Server completa como arquivo de dados do Windows Server Update Services, tem de utilizar (pelo menos) o SQL Server 2005 Service Pack 1 ( para os servidores com o Windows Server 2003 ou o SQL Server 2005 Service Pack 2 para os servidores com o Windows Server Se instalar qualquer outra versão do SQL Server, será exibida uma mensagem de erro. Neste ponto, você poderá cancelar a instalação e instalar a sua versão preferencial do SQL Server 2005 Service Pack 1 ou Service Pack

78 Ponto 8: Requisitos para clientes do WSUS 3.0 A funcionalidade Atualizações Automáticas é o cliente de software do WSUS. Além de uma conexão de rede, a funcionalidade Atualizações Automáticas não requer qualquer configuração de hardware específica. Pode ser utilizada com o WSUS em qualquer computador com qualquer um dos seguintes sistemas operacionais: Windows Vista Windows Server 2008 Microsoft Windows Server 2003, qualquer versão Microsoft Windows XP Professional, Service Pack 2 Microsoft Windows 2000 Professional com Service Pack 4, Windows 2000 Server com Service Pack 3 ou Service Pack 4 ou Windows 2000 Advanced Server com Service Pack 3 ou Service Pack Instalação Depois de assegurar que o servidor preenche os requisitos de instalação, está preparado para instalar o WSUS 3.0. Terá de iniciar sessão no servidor no qual pretende instalar o WSUS 3.0 utilizando uma conta membro do grupo Administradores local. Apenas os membros do grupo Administradores local podem instalar o WSUS 3.0. O seguinte procedimento utiliza as opções de instalação do WSUS predefinidas, que incluem a instalação do Base de dados interna do Windows para o software de base de dados do WSUS 3.0, o armazenamento local das atualizações e a utilização do Web site predefinido do IIS na porta 80. Para instalar o WSUS Duplo clique no arquivo de instalação, WSUSSetup.exe. 2. Na página Bem-vindo do assistente de instalação, clique em Seguinte. 3. Na página Seleção do Modo de Instalação, clique em Instalação completa de servidor incluindo Console de Administração, se quiser instalar o servidor neste computador, ou em Apenas Console de Administração, se quiser instalar apenas a console de administração. 4. Na página Contrato de Licença, leia atentamente os termos do contrato de licença, clique em Aceito os termos do Contrato de Licença e, depois, clique em Seguinte

79 5. Na página Selecionar Origem de Atualização do assistente de instalação, pode especificar de onde os clientes deverão obter atualizações. Se selecionar a caixa de verificação Armazenar atualizações localmente, as atualizações são armazenadas no servidor com o WSUS 3.0, sendo necessário selecionar uma localização no sistema de arquivos para armazenamento das atualizações. Se as atualizações não forem armazenadas localmente, os computadores cliente irão conectar ao Microsoft Update para obter atualizações aprovadas. Mantenha as opções predefinidas e clique em Seguinte

80 6. Na página Opções de Base de Dados, selecione o software utilizado para gerenciar a base de dados do WSUS 3.0. Por predefinição, a Configuração do WSUS lhe dá a possibilidade de instalar o Base de dados interna do Windows, caso o computador onde está a efetuar a instalação tenha o Windows Server Se não quiser utilizar o Base de dados interna do Windows, terá de fornecer uma instância SQL Server que o WSUS possa utilizar. Para tal, clique em Utilizar um servidor de base de dados existente neste computador e escreva o nome da instância no campo. O nome da instância deverá aparecer como <servername>\<instancename>, em que servername é o nome do servidor e instancename é o nome da instância de SQL. Faça a sua seleção e, depois, clique em Seguinte. 8. Na página A ligar à instância de servidor de SQL, o WSUS tenta estabelecer ligação à instância do SQL Server especificada. Quando tiver estabelecido ligação com êxito, clique em Seguinte para continuar

81 9. Na página Selecção de Web Site, especifique o Web site que o WSUS 3.0 irá utilizar. Se pretender utilizar o Web site predefinido do IIS na porta 80, selecione a primeira opção. Se já tiver um Web site na porta 80, pode criar um site alternativo na porta 8530 seleccionando a segunda opção. Mantenha a opção predefinida e clique em Seguinte. 10. Na página Pronto para instalar o Windows Server Update Services, reveja as selecções e, depois, clique em Seguinte. 11. Na página final da instalação, o assistente irá indicar se a instalação do WSUS 3.0 foi ou não concluída com êxito. Depois de clicar em Concluir, é iniciado o assistente de configuração. 9.5 Configurando a Conexão e Rede Depois de instalar o WSUS 3.0, o assistente de configuração é iniciado automaticamente. Também pode executá-lo posteriormente através da página Opções da console do WSUS 3.0. Antes de iniciar o processo de configuração, certifique-se de que sabe as respostas para as seguintes questões:

82 1. A firewall do servidor está configurada para permitir que os clientes acedam ao servidor? 2. É possível ligar este computador ao servidor a montante (tal como o do Microsoft Update)? 3. Tem o nome do servidor proxy e das credenciais do utilizador para o servidor proxy, se necessário? Por predefinição, o WSUS está configurado para utilizar o Microsoft Update como localização de obtenção de atualizações. Se tiver um servidor proxy na rede, pode configurar o WSUS para utilizar o servidor proxy. Se houver uma firewall entre o WSUS e a Internet, poderá ser necessário configurar a firewall de modo a assegurar que o WSUS consegue obter actualizações. Nota: Embora tenha de ter ligação à Internet para transferir atualizações do Microsoft Update, o WSUS oferece-lhe a capacidade de importar atualizações para redes não ligadas à Internet. Para efetuar essas configurações, realizaremos os seguintes procedimentos: Configurar a firewall. Especificar a forma como este servidor irá obter as atualizações (a partir do Microsoft Update ou de outro servidor WSUS). Configurar as definições do servidor proxy, para que o WSUS possa obter atualizações. Para configurar a firewall 1. Se houver uma firewall entre o WSUS e a Internet, poderá ser necessário configurar essa firewall de modo a assegurar que o WSUS consegue obter atualizações. Para obter atualizações a partir do Microsoft Update, o servidor WSUS utiliza a porta 80 para o protocolo HTTP e a porta 443 para o protocolo HTTPS. Estas definições não são configuráveis. 2. Se a organização não permitir que a porta 80 ou 443 esteja aberta para todos os endereços, poderá restringir o acesso apenas aos domínios abaixo, de modo a que o WSUS e o serviço Atualizações Automáticas possam comunicar com o Microsoft Update: Nota: Estas instruções de configuração da firewall destinam-se a uma firewall situada entre o WSUS e a Internet. Dado que o WSUS inicia todo o respectivo tráfego de rede, não é necessário configurar a Firewall do Windows no servidor WSUS

83 Embora a ligação entre o Microsoft Update e o WSUS requeira que as portas 80 e 443 estejam abertas, poderá configurar vários servidores WSUS para sincronizarem através de uma porta personalizada. Os dois procedimentos seguintes assumem que esteja utilizando o assistente de configuração. Na próxima seção, iremos obter mais informações sobre como iniciar o snap-in Administração WSUS e configurar o servidor através da página Opções. Para especificar a forma como este servidor irá obter atualizações: 1. No assistente de configuração, depois de participar no Microsoft Improvement Program, clique em Seguinte para escolher o servidor a montante. 2. Se optar por sincronizar a partir do Microsoft Update, concluiu as operações nesta página. Clique em Seguinte ou selecione Especificar Servidor Proxy no painel esquerdo. 3. Se optar por sincronizar a partir de outro servidor, especifique o nome do servidor e a porta em que este servidor comunicará com o servidor. 4. Para utilizar SSL, marque o check box de verificação Utilizar SSL ao sincronizar informações de atualização. Nesse caso, os servidores irão utilizar a porta 443 para sincronização. (Deve certificar-se de que tanto este servidor como o outro servidor suportam SSL.) 5. Se for um servidor de réplica, marque a caixa de verificação Esta é uma réplica do servidor a montante. 6. Nesta altura, concluiu a configuração do servidor a montante. Clique em Seguinte ou selecione Especificar servidor proxy no painel esquerdo. Para configurar definições de servidor proxy 1. No campo Especificar Servidor Proxy do assistente de configuração, selecione a caixa de verificação Utilizar um servidor proxy ao sincronizar e, em seguida, escreva o nome e número de porta do servidor proxy (por predefinição, a porta 80) nas caixas correspondentes. 2. Se pretender ligar ao servidor proxy utilizando credenciais de utilizador específicas, selecione a caixa de verificação Utilizar credenciais de utilizador para ligar ao servidor proxy e escreva o nome de utilizador, domínio e senha do usuários nos campos correspondentes. Se pretender activar a autenticação básica para o utilizador que estabelece ligação com o servidor proxy, selecione a caixa de verificação Permitir autenticação básica (a senha é enviada como texto simples). 3. Nesta altura, concluiu a configuração do servidor proxy. Clique em Seguinte para ir para página seguinte, onde pode iniciar a configuração do processo de configuração. Os dois procedimentos seguintes assumem que esteja utilizando o snap-in Administração WSUS para a configuração. Estes dois procedimentos mostram como iniciar o snap-in Administração WSUS e configurar o servidor a partir da página Opções

84 Para iniciar a console de Administração do WSUS Para iniciar a console Administração WSUS, clique em Iniciar, selecione Todos os Programas, selecione Ferramentas Administrativas e, em seguida, clique em Microsoft Windows Server Update Services 3.0. Nota: Para poder utilizar todas as funcionalidades da console WSUS, você deverá ser membro dos grupos de segurança Administradores do WSUS ou Administradores local no servidor no qual o WSUS está instalado. Para especificar uma origem de atualização e um servidor proxy 1. Na console WSUS, clique em Opções no painel da esquerda, abaixo do nome deste servidor, e clique em Origem de Atualização e Servidor Proxy. 2. É apresentada uma caixa de diálogo com abas Origem de Atualização e Servidor Proxy. 3. Na aba Origem de Atualização, selecione a localização a partir do qual este servidor irá obter atualizações. Se optar por sincronizar a partir do Microsoft Update (a predefinição), concluiu as operações nesta página do assistente. 4. Se optar por sincronizar a partir de outro servidor WSUS, necessita de especificar a porta através da qual os servidores irão comunicar (a predefinição é a porta 80). Se escolher uma porta diferente, deverá certificar-se de que ambos os servidores podem utilizar essa porta. 5. Também pode especificar se pretende utilizar SSL ao sincronizar a partir do servidor WSUS a montante. Nesse caso, os servidores irão utilizar a porta 443 para sincronizar a partir do servidor a montante. 6. Se este servidor for uma réplica do segundo servidor WSUS, selecione a caixa de verificação Esta é uma réplica do servidor a montante. Neste caso, todas as atualizações têm de ser aprovadas apenas no servidor WSUS. 7. Na aba Servidor proxy, selecione a caixa de verificação Utilizar um servidor proxy ao sincronizar e, em seguida, escreva o nome e número de porta do servidor proxy (por predefinição, a porta 80) nos campos correspondentes. 8. Se pretender se conectar servidor proxy utilizando credenciais de utilizador específicas, selecione o checkbox Utilizar credenciais de utilizador para ligar ao servidor proxy e escreva o nome de usuário, domínio e senha nos campos correspondentes. Se pretender ativar a autenticação básica para o utilizador que estabelece ligação com o servidor proxy, selecione o checkbox Permitir autenticação básica (a senha é enviada como texto simples). 9. Clique em OK para salvar estas definições

85 9.6 Configurando Atualizações e Sincronização Antes transferir atualizações, será necessário especificar que atualizações pretende transferir. Esta seção descreve como configurar o conjunto de atualizações que pretende transferir. Os procedimentos neste passo descrevem como: Armazenar e transferir informações sobre o servidor principal e o servidor proxy. Escolher o idioma das atualizações pretendidas Escolher os produtos para os quais pretende obter atualizações. Escolher as classificações de atualizações pretendidas. Especificar a agenda de sincronização para este servidor. Os cinco próximos procedimentos descrevem como configurar as atualizações utilizando o assistente de configuração. Os procedimentos posteriores descrevem como efetuar esta configuração a partir da console de Administração do WSUS escolhendo opções específicas. Armazenar e transferir informações do servidor principal e do servidor proxy Antes desse procedimento, deve-se concluir a configuração do servidor principal e do servidor proxy no assistente de configuração, após isso, utilizar a página Conectar ao Servidor de Atualizações 1. Clique no botão Iniciar Conexão, que irá armazenar e carregar as definições, e obtenha informações sobre atualizações disponíveis. 2. Enquanto a conexão estiver a ser estabelecida, o botão Parar Ligação ficará disponível. Se existirem problemas com a ligação, clique em Parar Ligação, corrija os problemas e reinicie a conexão. 3. Depois de a transferência ter sido concluída com êxito, clique em Seguinte para ir para a página Escolher Idiomas ou selecione uma página diferente no painel esquerdo. Escolher idiomas da atualização A página Escolher Idiomas permite obter atualizações a partir de todos os idiomas ou de um subconjunto de idiomas. A seleção de um subconjunto de idiomas poupa espaço em disco, mas é importante que escolha todos os idiomas que serão necessários por todos os clientes deste servidor WSUS. Se optar por obter atualizações para apenas alguns idiomas, selecione Transferir atualizações apenas nestes idiomas e selecione os idiomas para os quais pretende atualizações. Clique em Seguinte para avançar para a página Escolher Produtos ou selecione uma página diferente no painel esquerdo

86 Escolher produtos de atualização A página Escolher Produtos permite especificar os produtos para os quais pretende baixar atualizações. Poderemos seleciona as categorias de produto, como o Windows ou produtos específicos, por exemplo: o Windows Server A selecção de uma categoria irá fazer com que todos os produtos subjacentes sejam seleccionados. Clique em Seguinte para avançar para a página Escolher Classificações ou selecione uma página diferente no painel esquerdo. Escolher classificações de atualização A página Selecionar Classificações permite escolher as classificações de atualizações que pretende obter. Pode escolher todas as classificações ou um subconjunto das mesmas. Clique em Próximo para avançar para a página Configurar Agenda de Sincronização ou selecione uma página diferente no painel esquerdo. Configurar a agenda de sincronização A página Definir Agenda de Sincronização permite escolher entre a execução manual ou automática da sincronização. 1. Caso escolha sincronizar manualmente neste servidor, você terá que iniciar o processo de sincronização a partir da console de Administração do WSUS. 2. Se escolher sincronizar automaticamente, o servidor WSUS será sincronizado em intervalos especificados. Defina a hora da primeira sincronização e especifique o número de sincronizações por dia que pretende que este servidor efetue. Por exemplo, se especificar a execução de quatro sincronizações por dia, com início às 03:00, as sincronizações serão executadas às 03:00, 09:00, 15:00 e 21:00. Depois de ter concluído todos os passos de configuração anteriores, selecione a página Concluído no assistente de configuração. Pode iniciar a console de Administração do WSUS selecionando o checkbox Iniciar o snap-in de Administração do Windows Server Update Services e pode iniciar a primeira sincronização selecionando o checkbox Iniciar sincronização inicial. Nota: Não é possível armazenar alterações de configuração efetuadas durante a sincronização do servidor. Aguarde até a sincronização ter terminado de efetuar as alterações

87 Os seguintes procedimentos explicam como efetuar os passos de configuração anteriores através da página Opções da console de Administração do WSUS: Escolher produtos e classificações Idiomas e arquivos de atualização Escolher produtos e classificações 1. Inicie a console de Administração do WSUS: Clique em Iniciar, selecione Todos os Programas, selecione Ferramentas Administrativas e, em seguida, clique em Microsoft Windows Server Update Services. 2. Selecione Opções abaixo do servidor WSUS no painel esquerdo. 3. No painel intermédio, selecione Produtos e Classificações. 4. Na caixa de diálogo você poderá observar duas abas: Produtos e Classificações

88 5. Na aba Produtos, selecione a categoria de produto ou o produto específico para o qual pretende que este servidor obtenha atualizações, ou selecione Todos os Produtos. 6. Na aba Classificações, selecione as classificações de atualizações pretendidas ou selecione Todas as Classificações. 7. Clique em OK para salvar as configurações. Idiomas e arquivos de atualização 1. Na página Opções, selecione Idiomas e Arquivos de Atualização. 2. Verá uma caixa de diálogo com duas abas: Arquivos de Atualização e Idiomas de Atualização. 3. Na aba Arquivos de Atualização, pode optar por armazenar os arquivos de atualização localmente ou definir que todos os computadores cliente instalem a partir do Microsoft Update. Se optar por armazenar os arquivos de atualização neste servidor, pode optar por transferir apenas as atualizações aprovadas ou transferir arquivos de instalação rápida. 4. Na aba Idiomas de Atualização, pode optar por obter atualizações para todos os idiomas (padrão) ou por obter atualizações para apenas os idiomas selecionados. Se este servidor WSUS tiver servidores secundários, irá obter atualizações apenas nos idiomas especificados pelo servidor principal. 5. Clique em OK para salvar as configurações. Depois de configurar a ligação de rede, você poderá transferir as atualizações através da sincronização do servidor WSUS. A sincronização implica que o servidor WSUS contate o Microsoft Update. Após o contato, o WSUS determina se foram disponibilizadas novas atualizações desde a última sincronização. Dado que se trata da primeira vez que está a sincronizar o servidor WSUS, todas as atualizações estão disponíveis e prontas para aprovação para instalação. A sincronização pode demorar bastante tempo. Nota: Este documento descreve como sincronizar com as predefinições, mas o WSUS inclui opções que lhe permitem minimizar a utilização de largura de banda durante a sincronização. Para sincronizar o servidor WSUS

89 1. Na console de Administração do WSUS, selecione Sincronizações. 2. Clique com o botão direito do mouse no painel Ações à direita e, em seguida, clique em Sincronizar agora. Nota: Caso não encontre o painel Ações no lado direito da console, na barra de ferramentas da console clique em Ver, clique em Personalizar e certifique-se de que o checkbox ação Painel de ações está selecionada. Quando a sincronização estiver concluída, clique em Atualizações no painel esquerdo para ver a lista de atualizações. 9.7 Configurando Atualizações Automáticas Os computadores cliente WSUS requerem uma versão compatível do serviço Atualizações Automáticas. O Programa de Configuração do WSUS configura o IIS para distribuir a versão mais recente do serviço Atualizações Automáticas a cada computador cliente que contate o servidor WSUS. A melhor forma de configurar o serviço Atualizações Automáticas depende do ambiente da rede. Num ambiente com o Active Directory, pode utilizar um GPO (Group Policy Object) baseado em domínio. Num ambiente sem o Active Directory, utilize o objeto de Política de Grupo Local. Quer utilize o GPO Local ou um GPO armazenado num GPO baseado em domínio, terá de apontar os computadores cliente para o servidor WSUS e, em seguida, configurar o serviço Atualizações Automáticas. As instruções que se seguem assumem que a rede executa o Active Directory. Estes procedimentos também assumem que está familiarizado com a Política de Grupo, utilizando-a para gerenciar a rede. É necessário criar um novo GPO para definições WSUS e ligar esse GPO ao domínio. Para confirguração automática de atualizações, iremos executar os seguintes procedimentos: Adicionar o Modelo Administrativo do WSUS. Configurar o serviço Atualizações Automáticas. Selecionar o computador cliente para o servidor WSUS. Iniciar manualmente a detecção pelo servidor WSUS Efetue os três primeiros procedimentos num objeto de Política de Grupo baseado em domínio. Será necessário criar um novo GPO ou utilizar um GPO existente. Se utilizar uma GPMC (Group Policy

90 Management Console) para gerenciar os GPOs, navegue para o GPO que pretende modificar e, em seguida, clique em Editar. Para poder ver definições de política para gerir o WSUS, será necessário garantir que o arquivo de modelo administrativo WSUS, o wuau.adm, é adicionado ao Editor de Objecto de Política de Grupo. Como, por predefinição, o wuau.adm é disponibilizado pelo sistema operacional, deve estar presente no Editor de Objeto de Política de Grupo. Para adicionar o Modelo Administrativo do WSUS 1. No Editor de Objecto de Política de Grupo, clique em qualquer um dos nós Modelos Administrativos. 2. No menu Ação, clique em Adicionar/Remover Modelos e, em seguida, clique em Adicionar. 3. Na caixa de diálogo Modelos de Políticas, clique em wuau.adme, em seguida, clique em Abrir. 4. Na caixa de diálogo Adicionar/Remover Modelos, clique em Fechar. Para configurar Atualizações Automáticas 1. No Editor de Objeto de Política de Grupo, expanda Configuração do Computador, expanda Modelos Administrativos, expanda Componentes do Windows e, em seguida, clique em Windows Update. 2. No painel de detalhes, duplo clique em Configurar Atualizações Automáticas. 3. Clique em Ativado e, em seguida, clique numa das seguintes opções: Notificar para transferir e notificar para instalar: Esta opção notifica um administrador com sessão iniciada antes da transferência e antes da instalação das atualizações. Transferir automaticamente e notificar para instalar: Esta opção inicia automaticamente a transferência de atualizações e, em seguida, notifica um administrador com sessão iniciada antes da instalação das atualizações. Transferir automaticamente e agendar a instalação: Se a opção Atualizações Automáticas estiver configurada para efetuar uma instalação agendada, terá também de definir o dia e a hora para a instalação agendada periódica

91 Permitir ao administrador local escolher a definição: Com esta opção, os administradores locais têm permissão para utilizar Atualizações Automáticas no Painel de Controle para selecionar uma opção de configuração à escolha. Por exemplo, podem escolher a própria data/hora de instalação agendada. Os administradores locais não têm permissão para desativar Atualizações Automáticas. 4. Clique em OK. Para apontar o computador cliente para o servidor WSUS 1. No Editor de Objecto de Política de Grupo, expanda Configuração do Computador, expanda Modelos Administrativos, expanda Componentes do Windows e, em seguida, clique em Windows Update. 2. No painel de detalhes, faça duplo clique em Especificar localização do serviço do Windows Update na intranet. 3. Clique em Ativadoe digite a URL de HTTP do mesmo servidor WSUS no campo Defina o serviço de atualização na intranet para detectar atualizações e na caixa Defina o servidor de estatísticas na intranet. Por exemplo, digite em ambas os campos e, em seguida, clique em OK. Nota: Se estiver a utilizar o objecto de Política de Grupo Local para apontar este computador para o WSUS, esta definição será aplicada de imediato e este computador deverá aparecer na console administrativa WSUS pouco tempo depois. Pode acelerar este processo iniciando manualmente um ciclo de detecção. Após a configuração de um computador cliente, será necessário aguardar alguns minutos até que o mesmo apareça na página Computadores da console WSUS. Para computadores cliente configurados com uma Política de Grupo baseada em domínio, será necessário aguardar cerca de 20 minutos após a Política de Grupo ser atualizada (ou seja, aplica quaisquer novas definições de política ao computador cliente). Por predefinição, a Política de Grupo é atualizada em segundo plano a cada 90 minutos, com um desvio aleatório de 0 a 30 minutos. Se pretender atualizar a Política de Grupo mais cedo, pode ir para uma linha de comandos no computador cliente e digitar: gpupdate /force. Para computadores cliente configurados com o GPO Local, a Política de Grupo é aplicada de imediato e a atualização irá demorar cerca de 20 minutos

92 Depois de a Política de Grupo ser aplicada, poderá iniciar manualmente a detecção. Se iniciar a detecção manualmente, não terá de aguardar 20 minutos até que o computador cliente contate o WSUS. Para iniciar manualmente a detecção pelo servidor WSUS 1. Na computador cliente, clique em Iniciar e, em seguida, clique em Executar. 2. Digite cmd no campo Abrir e, em seguida, clique em OK. 3. Na linha de comandos, escreva wuauclt.exe /detectnow. Esta opção de linha de comandos indica que o serviço Atualizações Automáticas deverá contactar de imediato o servidor WSUS. 9.8 Criando Grupos de Computadores para Atualizações Os grupos de computadores são uma parte importante das implementações do WSUS, mesmo que se trate de uma implementação básica. Os grupos de computadores permitem-lhe definir computadores específicos como alvos de atualizações. Existem dois grupos de computadores predefinidos: Todos os Computadores e Computadores Não Atribuídos. Por padrão, quando cada computador cliente contacta inicialmente o servidor WSUS, o servidor adiciona o computador cliente a cada um destes grupos. É possível criar grupos de computadores personalizados. Uma vantagem da criação de grupos de computadores consiste em permitir-lhe testar as atualizações antes de as implementar amplamente. Se os testes correrem bem, poderá expandir as atualizações ao grupo Todos os Computadores. Não há limite quanto ao número de grupos personalizados que pode criar. Para configurar grupos de computadores Especifique a forma de atribuição de computadores a grupos de computadores. Existem duas opções: direcionamento do lado do cliente e direcionamento do lado do servidor A opção de direcionamento do lado do servidor envolve a adição manual de cada computador ao respectivo grupo utilizando-se o WSUS. A opção de direcionamento do lado do cliente envolve a adição automática dos clientes utilizando-se a Política de Grupo ou chaves de registo. 1. Crie o grupo de computadores no WSUS. 2. Mova os computadores para grupos, utilizando o método escolhido no passo 1. Esta sessão explica como utilizar o direcionamento do lado do servidor e mover manualmente computadores para os respectivos grupos utilizando a console de Administração do WSUS. Se tiver múltiplos computadores cliente a atribuir a grupos de computadores, pode utilizar o direcionamento do lado do cliente, o que automatiza o movimentação dos computadores para grupos de computadores

93 Pode utilizar o Passo 6 para configurar um grupo de teste que contenha pelo menos um computador de teste. Nessa sessão, veremos os seguintes procedimentos: Criar um grupo. Adicionar um computador ao grupo. Para criar um grupo 1. Na console de Administração do WSUS, expanda Computadores e selecione Todos os Computadores. 2. Clique com o botão direito do mouse em Todos os Computadores ou vá para o painel Ações e, em seguida, clique em Adicionar Grupo de Computadores. 3. Na caixa de diálogo Adicionar Grupo de Computadores, especifique o nome do novo grupo. Utilize o próximo procedimento para atribuir um computador cliente ao grupo de teste. Um computador cliente apropriado para testes é qualquer computador com software e hardware não utilize um computador atribuído a uma função crítica. Desta forma, poderá saber de que forma os computadores semelhantes ao computador de teste irão lidar com as atualizações aprovadas. Para adicionar um computador ao grupo 1. Na console de Administração do WSUS, clique em Computadores. 2. Clique no grupo do computador que pretende mover. 3. Na lista de computadores, selecione o computador que pretende mover. 4. Clique com o botão direito do mouse em Alterar Membros. 5. Você verá a caixa de diálogo Definir Membros de Grupo de Computadores, com uma lista de grupos. 6. Selecione o grupo para o qual pretende mover o computador e, em seguida, clique em OK

94 9.9 Aprovando e Implementando Atualizações no WSUS 3.0 Nessa sessão iremos aprovar uma atualização para os computadores cliente de teste no grupo de testes. Os computadores no grupo irão contactar o servidor WSUS durante as 24 horas seguintes. Após este período, poderemos utilizar a funcionalidade de relatórios do WSUS para determinar se essas atualizações foram implementadas nos computadores.. Essa sessão traz os seguintes procedimentos: Aprovar e implementar uma atualização. Verificar o estado da atualização. Para aprovar e implementar uma atualização Na console de Administração do WSUS, clique em Atualizações. Desse modo, será apresentado um resumo de atualizações nas vistas predefinidas (Todas as Atualizações, Atualizações Críticas, Atualizações de Segurança e Atualizações WSUS). Utilize Todas as Atualizações para este procedimento. Na lista de atualizações, selecione as atualizações que pretende aprovar para instalação. No painel mais abaixo do painel Atualizações estão disponíveis informações sobre uma atualização selecionada. Clique com o botão direito do mouse na seleção e clique em Aprovar. É mostrada a caixa de diálogo Aprovar Atualizações. Selecione um dos grupos (por exemplo, Teste) e clique na seta à sua esquerda. Você verá um menu com as opções Aprovado para Instalação, Aprovado para Remoção, Não Aprovado, Prazo, Igual ao Principal e Aplicar a Subordinados. Clique em Aprovado para Instalação e, em seguida, clique em OK. A janela Progresso da Aprovação mostra o progresso das diferentes tarefas que afetam a aprovação das atualizações. Quando a aprovação estiver concluída, clique em Fechar para fechar esta janela. Nota: Muitas opções estão associadas à aprovação de atualizações como, por exemplo, definir prazos e desinstalar atualizações. Após 24 horas, poderá utilizar a funcionalidade de relatórios do WSUS para determinar se as atualizações foram implementadas nos computadores. Para verificar o estado de uma atualização 1. Na console de Administração do WSUS, clique em Relatórios no painel esquerdo. 2. Na página Relatórios, verá um número de relatórios já configurados. Clique no relatório Atualizar Resumo de Estado. Você verá a janela Relatório de Atualizações

95 3. Para filtrar a lista de atualizações, selecione os critérios que pretende utilizar (por exemplo, Incluir atualizações nestas classificações) e, em seguida, clique em Executar Relatório na barra de ferramentas da janela. 4. No painel Relatório de Atualizações poderemos verificar o estado de atualizações individuais selecionando a atualização na seção esquerda do painel. A última seção do painel do relatório mostra o resumo do estado da atualização. 5. Pode guardar ou imprimir este relatório clicando no ícone apropriado na barra de ferramentas. Se as atualizações tiverem sido implementadas com êxito no grupo de testes, poderá aprová-las para os restantes computadores da empresa

96 10 Gerenciamento de Ambientes com System Center Essentials Introdução Essentials 2007 é uma nova solução de gerenciamento da família System Center de produtos de gerenciamento de sistemas de TI, especificamente projetada para empresas de médio porte (com até 500 PCs e 30 servidores). O Essentials 2007 fornece uma solução de gerenciamento unificado que permite aos profissionais de TI em organizações de médio porte gerenciar seu ambiente de TI com maior eficiência e de forma proativa. O Essentials 2007 automaticamente verifica as novas atualizações disponíveis e aplicáveis ao seu ambiente de TI e fornece notificação e acesso a relatórios sobre o progresso da implantação da atualização, para ajudar você a rapidamente solucionar os problemas de qualquer implantação de atualização. Com a instalação, o Essentials 2007 permite que você imediatamente avalie, configure e faça o patch do seu ambiente de TI sem interrupções para os usuários ou serviços de rede. O Essentials 2007 automatiza a coleção de inventário de software e hardware, assim você pode analisar os ativos para ajudar a alcançar uma ótima configuração e adequação

97 Nas próximas sessões, além da instalação, iremos todos os 7 grupos de nagevação da console do SC Essentials É através dessas áreas, chamadas de Spaces, que iremos realizar todas as tarefas de configuaração, obter relatórios, visualizar dispositivos gerenciados e alertas de monitoramente, obter inventário, sincronizar e aprovar atualizações, além de poder criar e distribuir pacotes de softwares Instalação Antes de iniciar a instalação do SC Essentials 2007, deveremos observar se nosso ambiente cumpri os requisitos mínimos de hardware. A tabela abaixo (em inglês) traz a função do servidor e as configurações mínimas e recomendadas. Num ambiente gerenciado pelo SC Essentials 2007 temos 3 tipos de componentes: Management Server: servidor onde iremos instalar a versão completa do SC Essentials, e onde serão armazenados logs e updates, e quaisquer outros componentes do servidor Console: console de gerenciamento remoto. Nesse computador instalamos apenas a versão de console remota do SC Essentials Para isso, a necessário que um servidor já venha executando a função de Management Server Managed computers: computadores à serem gerenciados pelo SC Essentials Nesses computadores é necessário apenas a instalação do agente. O SC Essentials 2007 suporta uma série de sistemas operacionais, confira na tabela abaixo o tipo de componente, ou função, e o sistema operacional suportado

98 Component Operation System Management Server Microsoft Windows Server 2003 Standard or Enterprise Edition, x86 or x64 (SP 1 or later). Microsoft Windows Small Business Server 2003, Standard or Premium Edition (SP 1 or later). Microsoft Virtual PC Microsoft Virtual Server Internet Information Services (IIS) 6.0 and Background Intelligent Transfer Service (BITS) 2.0 must be enabled. Active Directory must be deployed in the environment. Windows Server 2008 * Essentials 2007 console only Microsoft Windows Server 2003, Standard or Enterprise Edition, x86 or x64 (SP 1 or later). Microsoft Windows Small Business Server 2003, Standard or Premium Edition (SP 1 or later). Microsoft Windows XP Professional SP2, 32-bit and 64-bit. Microsoft Windows Vista, Business, Enterprise or Ultimate Edition. Microsoft Virtual PC Microsoft Virtual Server 2005 Windows Server 2008 * Managed computer Microsoft Windows 2000 Professional SP4. Microsoft Windows 2000 Server SP4. Microsoft Windows 2000 Advanced Server SP4. Microsoft Windows Server 2003, Standard or Enterprise Edition, x86 or x64 (SP 1 or later). Microsoft Windows Small Business Server 2003, Standard or Premium Edition (SP 1 or later). Microsoft Windows Vista, Business, Enterprise or Ultimate Edition. Microsoft Windows XP Professional SP2, 32-bit and 64-bit. Windows XP Tablet PC Edition (SP2 or later). Windows Server 2003 Web Edition (SP1 or later). Microsoft Virtual PC Microsoft Virtual Server 2005 Windows Server 2008 * Nota: * O Windows Server 2008 é suportado somente a partir do SP1 do SC Essentials 2007 Instalação 1. Executando o arquivo SetupSCE.exe iremos abrir o assistente de instalação do System Center Essentials

99 2. Como estamos executando a instalação a partir de um servidor que já contém o WSUS, o assistente irá incluir a fase Upgrade WSUS no processo de instalação. Para computadores sem o WSUS, essa opção não será mostrado na lista de ações do assistente

100 3. Assim que clicarmos em Next, o assitente irá nos fornecer a informação que já há uma instalação de WSUS em seu servidor, e que o processo de instalação do SC Essentials 2007 fará o upgrade da ferramenta, Selecione Yes para aceitar o upgrade e em seguida Next. 4. Na próxima fase o assistente irá checar os pré-requisitos necessários para a instalação do SC Essentials Em seguida, o assistente irá passar pelas fases License Agreement, registro e a localização de arquivos do software. 6. Os próximos se referem a estrutura de Reports, credenciais de acesso (é necessário ter conta com privilégios de administrador, uma vez que a partir da console do SC Essentials 2007 iremos instalar os agentes nos computadores gerenciados) 7. Em Error and Usage Reporting iremos configurar os parâmetros relativos a logs e relatórios de erros

101 8. Para concluir iremos configurar os parâmetros do Microsoft Update, e Finish para executar as opções escolhidas Configurações Iniciais Após a instalação iremos proceder com as configurações iniciais. Configuração de funcionalidades do produto Na área Overview, iremos selecionar o link Configure product features que nos dará acesso aos parâmetros de configurações iniciais

102 É através dessa área que iremos proceder com as configurações que irão nortear o funcionamento do SC Essentials, como dados de Proxy,Firewall, agentes e muito outros. 1. A primeira parte nos traz as configurações de Proxy. Caso em sua infra-estrutura possua um servidor Proxy para acesso a internet, você deverá selecionar Yes, em seguida informar o endereço (na maioria seguido de e o número da porta de acesso (o padrão é 80). 2. Caso necessite, informe as credenciais para acesso ao serviço Proxy. 3. Informar o tipo de Política que será utilizada nas estações gerenciadas pelo SC Essentials,para recebimento de software e atualizações. No nosso caso, iremos utilizar a opção recomendada, Group Policy em nível de domínio. 4. Na sessão Create Windows Firewall Exceptions, iremos deixar a opção default, Yes. 5. Na página Enable Remote Assistance of Computers, também iremos utilizaremos a opção padrão: Yes. Essa ação irá criar automaticamente uma política para habilitar assitência remota as estações cliente gerenciadas

103 6. Em Agentless Exception Monitoring of Computers, também iremos deixar a opção padrão Yes. Ele também irá criar automaticamente uma política para habilitar a funcionalidade. Também iremos informar o diretório para armazenamento dos logs de erros: C:\ErrorData 7. Next na tela Specify error collection settings. 8. Selecione Yes também em Daily Health Report Settings 9. Digite o que receberá os relatórios e notificações automáticas em Recipient Address field. 10. Entre o nome do servidor SMTP server no campo SMTP Server. O padrão de configuração de porta é Da mesma forma que as configurações de Proxy, caso seja necessário podemos informar as credenciais de acesso ao servidor SMTP. 12. Selecione o horário de envio do relatório diário de atividades do SC Essentials 13. Deixaremos a opção padrão Yes em Scheduled Discovery. 14. Ao final do assistente, iremos pressionar Close para salvar e aplicar as configurações selecionadas

104 O processo de configurações iniciais ainda conta com mais dois links com tarefas a serem executadas: Configure Computers and Devices to Manage e Configure Microsoft Update Settings. Configuração de computadores e dispositivos gerenciados A segunda parte das tarefas iniciais de configuração consiste em configurar o parque a ser gerenciado, ou seja, os computadores e dispositivos da minha infra-estrutura. Por default, o SC Essentials irá verificar uma vez por dia quais os novos dispositivos e computadores que estão no domínio e adicionálos automaticamente

105 1. Clique em Configure computers and devices to manage para iniciar o assistente de configuração de computadores e dispositivos gerenciados. 2. Next na tela de introdução. 3. Na segunda parte temos duas opções, Auto ou Advanced, iremos deixar o SC Essentials realizar descobertas automáticas 4. Em Administrator Account iremos deixar a opção padrão e em seguida selecionar Discover 5. Assim que a descoberta se complete, selecionaremos os computadores que iremos gerenciar, em seguida Next e Finish. Esse ação pode levar alguns minutos pois ela acionará a instação do agente nas estações selecionadas

106 Configuração de atualizações Microsoft A terceira e última etapa das configurações iniciais, são os parâmetros de atualizações Microsfot. Assim como fizemos no WSUS iremos realizar a sincronização de updates disponíveis e também teremos a opotunidade de checar outras configurações como as de Proxy

107 1. Clique em Configure Microsoft Update Settings para iniciar o assistente de configuração de atualizações Microsoft. 2. Na página de introdução, Next. 3. Temos a chance de conferir mais uma vez as configurações de Proxy, e estando tudo ok, podemos selecionar Synchronize para iniciar a sincronização das atualizações disponíveis 4. Selecionaremos os Produtos que iremos baixar as atualizações, em seguida Next 5. Na página Update Languages iremos selecionar os idiomas das atualizações e clicar em Next. 6. Na página Classifications iremos escolher qual o tipo de atualizações iremos fazer o download

108 7. Em Auto Approvals iremos escolher as atualizações que serão automaticamente aprovadas quando forem disponibilizadas pelo Windows Update. 8. Iremos, na página Syncronization, estabelecer a frequência 9. Na página Summary iremos selecionar o checkbox Synchronize updates when this wizard closes que irá proceder a sincronização automática assim que encerrarmos o assitente, e em seguida Finish Gerenciamento de Computadores e Dispositivos Essa sessão apresenta os recursos do SC Essentials para gerenciamento de computadores e dispositivos. As tarefas e ações executadas que veremos se referem as disponíveis na sessão Computers da interface do SC Essentials. Aqui veremos desde a descoberta de novos ativos até criação de novos grupos. Descoberta de novos computadores e dispositivos

109 Assim como realizado anteriormente nas ações referentes as Configurações Iniciais, a primeira etapa é a descoberta de novos computadores e dispositivos. 1. Primeiro iremos selecionar o link Add new computers and devices, na sessão Actions, com isso iremos iniciar o assistente. 2. Em seguida iremos selecionar o método de descoberta, Automatic ou Advanced discovery.a opção Automatic nos dará a possibilidade de filtrar qual o tipo de dispositivo eu irei adicionar a lista gerenciada. Para o exercício iremos escolher a opção Client Only 3. Na página Discovery Method iremos definir como o SC Essentials 2007 irá realizar a descoberta, especificando critérios de busca como nome ou letras em comum por exemplo, ou varrendo toda a base de estações cliente do AD. No nosso caso, iremos adicionar todos os clientes que contenham *XP* no nome. Para isso escolhemos Scan Active Directory, e no campo Configure iremos especificar o critério de busca

110 4. Em Administrator Account podemos especificar as credenciais com direitos administrativos para realizar as opções escolhidas anteriormente, essas credenciais também serão utilizadas para a instalação dos agentes nos computadores gerenciados. Como estamos utilizando uma conta com direitos administrativos em nível do domínio iremos apenas selecionar Discover. 5. Após a tarefa de descoberta, iremos selecionar os computadores que atendem os critérios especificados, que no nosso caso é *XP*, em seguinda Next

111 6. Finalmente, na página Summary, somos informados que os agentes serão instalados nos computadores selecionados e finalizar selecionamos Finish. Explorando a sessão Computers Agora que já temos nossa lista de computadores gerenciados já populada, podemos explorar alguns recursos contidos na sessão Computers na console do SC Essentials A esquerda temos a lista de grupos, por default o SC Essentialis 2007 traz 3 grupos All Clients, All Computers e All Servers. Através do link Create new group, podemos criar mais grupos para facilitar a administração. Aqui podemos criar dois tipos de lista, as estáticas onde iremos determinar um nome que mais irá caracterizar o grupo, ou uma lista dinâmica que irá se referir a uma aplicação ou função que aquele dispositivo exerce, como um servidor Web ou SQL por exemplo

112 2. No nosso caso iremos escolher uma lista dinâmica que irá se relacionar com a função de servdidor Web que o computador executa

113 3. Em se selecionando o grupo desejado, podemos observar na área central da interface que teremos todos os computadores contidos naquele determinado grupo, é aqui que podemos verificar as características daquele dispositivos, como tipo de sistema operacional, número de aplicativos instalados, dados referentes a inventário como disco, memória, rede e é claro os alertas gerados por eventos relacionados àquele computador. Notem que no nosso caso, além dessas dados, a console mostra um ponto de exclamação em amarelo, que significa um alerta que requer atenção

114

115 4. À direita, temos a área Actions onde podemos, além de extrair relatórios pré-configurados, executar uma série de ações como forçar a instalação de uma atualização, comandos como IP Config e Ping e até acessar a console daquele computador através do Remote Assitance Monitoramento Nessa sessão iremos ver as funcionalidades contidas no SC Essentials 2007 relacionadas a monitoramento. Aqui poderemos acompanhar o estado dos dispositivos gerenciados, bem como alertas e dados de performance. As próximas ações serão executadas na sessão Monitoring da console. 1. É através da sessão Monitoring que teremos acesso a todas as açõe, visualizações e comandos referentes ao monitoramento do SC Essentials

116 2. Na região da esquerda podemos observar além dos agrupamentos como Active Alerts, Computers, Discovery Inventory, Distributed Applications e Task Status, os pacotes de gerenciamento (Management Packs) carregados, que contém dados e configurações específicas para monitorar tecnologias específicas como SQL Server e AD, por exemplo os pacotes mostrados são trazidos automaticamente quando instalamos o SC Essentials Novos pacotes poderão ser carregados, na medida que houver a necessidade de se monitorar determinadas soluções. 3. No link Show or hide views, temos a opção de suprimir ou inserir ítens da lista de Management Packs

117 4. Na região central do console, temos a área Overview, onde podemos checar os alertas relacionados a um determinado dispositivo gerenciado. No nosso caso, temos 3 computadores que necessitam de atenção. 5. Para investigar os alertas mostrados, vamos até o agrupamento Active Alerts e em seguida selecionamos um dos alertas para que possamosvisualizar os detalhes referentes àquele evento

118 6. Da própria tela de detalhes, podemos visualizar informações relacionadas que podem ajudar na resolução desse alerta, para isso basta acessar o link View additional knowledge. Ela irá mostrar uma série de textos relacionados ao produto. Também, utlizando esse mesmo recurso, temos links e sugestões de resoluçào de problemas automáticos que poderão resolver os eventos que estão gerando o alerta. 7. Além de todos os recursos disponíveis para facilitar a investigação e resolução de alertas, temos na região Overview, links e vídeos How-To que contém dicas e procedimentos de algumas tarefas

119 10.6 Gerenciamento de Atualizações É na sessão Updates do SC Essentials 2007 onde podemos configurar os parâmetros de gerenciamento, status de sincronização com o Windows Update, implementar novas atualizações e visualizar relatórios de instalação. Veremos agora, uma série de ações com o intuíto de explorar a sessão 1. Através da área central Overview, podemos realizar as principais ações relacionadas ao gerenciamento de updates, como verificar o status de sincronização. Para isso, basta acessar o link Syncronization Report. 2. Temos disponíveis também as opções de sincronização imediata e configuração de freqüência de sincronização. 3. Através dos links disponíveis em Actions, podemos, assim como fizemos anteriormente nas configurações iniciais, configurar os parâmetros de atualização, para isso basta acessar o link Configure Microsoft update settings. 4. Na área Updates, temos os agrupamentos de todos os updates já sincronizadosdisponíveis para o parque gerenciado. Através dela, podemos visualizar e aprovar as atualizações de acordo com as categorias disponíveis.além das categorias pré-configuradas, podemos também, criar novas através do link Create new view

120 5. Selecionando uma dessas categorias, como Critical Updates, teremos acesso a lista de todas as atualizações disponíveis, bem como os detalhes de cada um dos ítens na área abaixo a lista. 6. Da mesma forma que no WSUS, o SC Essentials só ira realizar o download da atualização quando a mesma for aprovada. Para aprovar uma atualização para um ou mais grupo, selecione a atualização e clique em Approve. Podemos também estabelecer uma data limite para que o cliente instale essa atualização

121 7. A sessão Updates também nos dá oportunidade de visualizar alguns relatórios, no exemplo iremos escolher essa atualização que acabamos de aprovar e selecionar Deployment Status na barra superior. Com isso, temos um relatório somente sobre aquela atualização

122 10.7 Criação e Distribuição de Pacotes de Software É na área Software onde podemos criar e distribuir os pacotes de softwares para estações e servidores gerenciados pelo SC Essentials Primeiro iremos criar e distribuir um novo pacote de software. Na lista Actions, acessamos o link Create and Deploy new software package para iniciar o assistente de criação

123 2. No campo Package setup file iremos inserir o nome do arquivo MSI relacionado ao software que iremos distribuir, no nosso exemplo iremos criar um pacote para o Windows Defender. O campo Package Name é automaticamente preenchido

124 3. Na próxima página Specify Installation/Unistallation properties iremos especificar parâmetros para o pacote de instalação Windows