Windows 2003 EOL (End Of Live) – Parte 1: Primeiros Passos e Usando o Simulador Microsoft
Em 14 de Julho de 2015, menos de um ano da data de hoje, o suporte ao Windows 2003 acaba e muitas empresas ainda não estão tomando os passos necessários.
A Microsoft disponibilizou um site onde podemos baixar os datasheets e utilizar um assistente para gerar relatórios: http://www.microsoft.com/en-us/server-cloud/products/windows-server-2003/
Quais os Riscos e Problemas
- Fim das Atualizações (Updates) – Apenas os sistemas operacionais Windows Server 2008 e superiores receberão atualizações
- No Compliance – Operadoras de cartão de crédito e sistemas bancários internacionais (SOX, Basiléia, etc) não permitiram transações a partir desta versão
- Segurança Afetada – Todos os novos métodos de invasão, falhas de protocolo ou problemas de SO não receberão correção, significando maior investimento em ferramentas adicionais ou inviabilização de métodos e aplicações
- Alto Custo de Manutenção – Os novos servidores e hypervisors não irão mais fornecer drivers para o Windows 2003, impossibilitando refresh de hardware e atualização de versão do hypervisor/VM tools
Como Começar a Partir de Agora
O primeiro passo é realizar um Assessment no ambiente para descobrir todas as aplicações, para isso podemos utilizar o MAP (Microsoft Assessment and Planning) que gera relatórios muito bons para migração. Ele até mesmo gera os dados de compliance de hardware e indicações para virtualização.
Para utilizar o MAP foi criado um MVA no ano passado, o foco era migração de Windows XP, mas o funcionamento da ferramenta e geração de dados é similar: http://www.marcelosincic.com.br/blog/post/MVA-sobre-MAP-%28Microsoft-Assessment-Planning-and-Toolkit%29.aspx
O segundo passo é analisar compatibilidade das aplicações existentes, o que inclui a versão do web server e dos componentes de aplicações que estejam nestes servidores, versões de banco de dados, etc.
É aqui que está o grande risco, muitos dos profissionais de TI que converso e empresas estão focando em migrar AD, File Server e outros papeis do Windows, que a Microsoft preparou métodos fáceis de migração já que são Roles do sistema operacional. O problemas são as aplicações desenvolvidas internamente ou não.
Por exemplo, o SQL Server 2005 executado no Windows 2003 precisará ser migrado para SQL Server 2008 R2, aplicações escritas em .NET 1.x-2.x executando no IIS do Windows 2003 precisarão ser avaliadas muito criteriosamente, SharePoint 2003 e 2007 precisarão ser migrados para SharePoint 2010 ou 2013…
Estes exemplos deixam claro que o trabalho da migração vai muito além de apenas virtualizar!
Para isso existem muitos softwares que fazem o papel de analisador, como por exemplo, o Dell ChangeBase e o AppZero. O primeiro analisa todas as aplicações instaladas (similar ao Microsoft ACT) e testa automaticamente os métodos padrão e nativos de compatibilização. O segundo possui diversos métodos adicionais de compatibilização e faz um tracking de uma aplicação, gerando um pacote MSI, o que é extremamente útil em cenários onde não temos um instalador e não sabemos as dependências de uma aplicação.
O terceiro passo é analisar as opções, onde podemos avaliar um P2V (migração de máquina física para virtual) on-premisse, migração de sites ou banco de dados para o Microsoft Azure, criação de VMs em ambiente cloud com transferência de serviços e dados, etc.
Esta fase é onde precisamos criar planos bem definidos de migração para cada uma das aplicações e funções que hoje estão no Windows 2003. É a fase onde devemos nos concentrar em parada de serviços, seqüencia das operações, processos de migração, etc.
Conclusão
Deixar para depois a migração dos servidores é muito mais sério do que a migração de estações. Até hoje muitas empresas ainda possuem XP e sentem as dificuldades e custos de manter um sistema operacional sem suporte. Comece desde já a se preparar e será muito mais fácil.
Em um próximo artigo irei falar mais sobre o MAP e outras ferramentas para o Assessment.
Alteração no Kerberos do Windows 2012 pode causar Acesso Negado
Em uma reunião com os Microsoft PFEs Gilson Banin e Marcelo Ferratti foi comentado sobre uma alteração no método como o Windows 2012 gera um Ticket de autenticação pelo Kerberos, chamado de “KDC Resource SID Compression”.
Situação Atual
Como já é sabido, um Ticket de autenticação leva o SID do usuário e dos grupos do qual ele faz parte, além do SID History em casos de migração anterior. Em alguns casos, principalmente dominios muito grandes, o Ticket podia estourar o limite padrão de 12 Kb e gerar problemas na autenticação. Vale lembrar que pelo mesmo motivo um usuário não pode fazer parte de mais do que 1024 grupos.
Atuamente o Ticket (PAC) é composto por SIDs completos: Os valores padrão de identificação (S-1-5), o SID do dominio e o RID individual do objeto no ultimo bloco:
- S-1-5-21-3419695430-3854377854-1234
- S-1-5-21-3419695430-3854377854-1466
- S-1-5-21-3419695430-3854377854-1675
- S-1-5-21-4533280865-6432248977-6523
- S-1-5-21-4533280865-6432248977-6578
Alteração no Windows 2012
A mudança no KDC consiste em não mais incluir no Ticket dados repetidos, com isso o Ticket gerado por um Domain Controller com Windows 2012 fica com menor tamanho e resolve o problema de ser necessário a alteração do tamanho do Ticket.
Assim, o mesmo exemplo anterior de Ticket ficaria:
- S-1-5-21-3419695430-3854377854-1234
- -1466
- -1675
- S-1-5-21-4533280865-6432248977-6523
- -6578
O problema é que servidores anteriores ao Windows 2012 não “entendem” o novo Ticket e só permitirá acesso as ACEs que sejam completas, portanto o usuário conseguiria acessar locais onde a permissão foi concedida nos casos 1 e 4 do exemplo, mas não acessaria caso a permissão seja de um dos outros SIDs.
Conclusão
Em um dominio onde ainda existam servidores anteriores ao Windows 2012, o que inclui o Windows 2008 R2, o acesso ao servidor de arquivos, Exchange e qualquer outro que seja baseado no Kerberos terá problemas de acesso negado.
Remediação
Crie a chave de Registry Dword DisableResourceGroupsFields em HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kdc\Parameters para desabilitar este recurso.
Mais Informações: http://support.microsoft.com/kb/2774190
Utilizando Robocopy para Sincronizar Dados do Windows 2012 com NAS (Linux)
Esta semana precisei migrar dados de um servidor Linux para Windows e passei por um problema que já conhecia, onde em todas as execuções o Robocopy copia novamente os arquivos não alterados com a situação “Modified” ou “Never”.
Possuo um Netgear ReadyNAS Duo para executar VMs e backup de arquivos e na época da compra montei um script para sincronizar dados entre o notebook e o NAS que utiliza ext3, compativel com FAT32.
O problema é que o FAT32 utiliza timestamp nos arquivos com precisão de 2 milisegundos diferentes do NTFS, como mostra o print abaixo. Note que o arquivo da esquerda é o local (S:) e o da direita do NAS e veja a diferença nas tags “Created” e “Modified”:
Para resolver isso existe uma solução muito simples: acrescente o parametro /FFT no final do comando.
Agora a sincronização ocorrerá com sucesso, ainda irá mostrar a mensagem “Changed” nos arquivos na saida do comando, mas ele não irá mais copiar estes arquivos não alterados.
Fonte: http://technet.microsoft.com/pt-br/library/cc733145%28v=ws.10%29.aspx
E-book Group Policy Objects - Da teoria à prática
Os MVPs Alexandro Prado (@alexandroprado) e Daniel Donda (@DanielDonda) fizeram um ótimo trabalho ao fazer este e-book e me convidaram para revisar e fazer o prefácio.
Baixe e nos mande comentários do que achou, e já estão preparando a versão 2!!!!
Um e-book abordando os principais conceitos e práticas para trabalhar com Group Policy Objects (GPO). Usando uma linguagem simples e objetiva que irá ajudar os administradores a automatizar tarefas e aplicar diretivas usando as melhores práticas.
“Um guia prático e didático destinado a administradores de redes, que facilitará o trabalho diário de todos.”
O que é GPO?
Herança de GPOS, qual GPO ganha?
Bloquear Herança
Forçar a aplicação de uma GPO
Criar uma GPO.
Vinculando GPO.
Criando Filtros de segurança e WMI
Starter GPOs
Configurar (Editar) uma GPO
Filtro de diretivas
Group Policy Preferences (GPP)
Item Level targeting
Algumas diretivas interessantes.
Instalação de Softwares via GPO.
User Group Policy Loopback Processing Mode.
Download Gratuito E-book - Diretivas de grupo (1.72 MB)
Autores
Alexandro Prado :
Daniel Donda @DanielDonda
Marcelo Sincic @marcelosincic
Video de Windows System Resource Manager e SysInternals Process Explorer
Uma das minhas palestras no TechEd 2011 foi com o tema “Gerenciamento Recursos do Windows 2008 com o Windows System Resource Manager”, palestra de código SRV 303. Os ppts estão disponiveis em http://bit.ly/nTwJcZ
Após a palestra recebi diversos emails com feedback positivo e me pedindo material adicional.
Os links disponiveis no ppt são para a biblioteca do TechNet, mas obviamente contem apenas a parte téorica e não contempla exemplos práticos.
Pensando nisso, assim que eu tiver um tempo irei montar uma série de videos, mas por enquanto é possivel assistir ao video que gravei no passado em http://www.marcelosincic.com.br/blog/post/Community-Launch-Webcast-Gerenciando-recursos-do-Windows-2008-R2-com-o-WSRM-e-o-Process-Explorer.aspx
Após entrar no site de eventos, clique em “Inscrever-se” e terá a opção de fazer o download em WMV ou assistir online pelo Live Meeting.
Lembrando que o Windows System Resource Manager está disponivel no Windows 2008 em todas as versões e no Windows 2003, versões Enterprise e Datacenter.