Windows 7 im Unternehmen: Das Handbuch fur Administratoren, 3. Auflage

Windows 7 im Unternehmen Netzwerke, Betriebssysteme, Sicherheit ... hierzu bietet Ihnen die Reihe net.com umfassende,...

Author: Holger Schwichtenberg | Manuela Reiss | Jochen Ruhland

112 downloads 3158 Views 43MB Size Report

This content was uploaded by our users and we assume good faith they have the permission to share this book. If you own the copyright to this book and it is wrongfully on our website, we offer a simple DMCA procedure to remove your content from our site. Start by pressing the button below!
Report copyright / DMCA form

DOWNLOAD PDF

Windows 7 im Unternehmen

Netzwerke, Betriebssysteme, Sicherheit ... hierzu bietet Ihnen die Reihe net.com umfassende, praxisnahe Information. Neben Fragen der Systemverwaltung greift sie auch Themen wie Protokolle, Technologien und Tools auf. Profitieren Sie bei Ihrer täglichen Arbeit vom Praxiswissen unserer erfahrenen Autoren.

Windows Server 2008 R2 Eric Tierling 1400 Seiten, € 59,80 [D] ISBN 978-3-8273-2907-3 Dieses Buch zu Windows Server 2008 R2 knüpft an die Bestseller zu Windows Server 2003 und 2008 an und wurde komplett auf die Neuerungen von R2 aktualisiert. Installation auf virtueller Festplatte, Remoteverwaltung mit dem Server-Manager, Verwaltung über Windows PowerShell-Cmdlets, IPv6, Active Directory-Papierkorb, Einrichtung verwalteter Dienstkonten, Offline-Domänenbeitritt, AppLocker-Anwendungssteuerungsrichtlinien, DirectAccess, BranchCache, die Remotedesktopdienste sowie Hyper-V sind einige der im Buch beschriebenen Highlights.

Windows PowerShell 2.0 - Das Praxisbuch Holger Schwichtenberg 800 Seiten, € 49,80 [D] ISBN 978-3-8273-2926-4 Dieses Handbuch zur Windows PowerShell 2.0 bietet eine fundierte Einführung in die automatisierte Windows-Administration und zeigt darüber hinaus anhand zahlreicher auch weiterführender Beispiele, wie die PowerShell in der Praxis eingesetzt wird. Das Buch behandelt alle wichtigen Neuerungen wie die grafische Oberfläche und die vollständige Integration in Windows 7 und Windows Server 2008 R2.

Holger Schwichtenberg Manuela Reiss Jochen Ruhland

Windows 7 im Unternehmen Das Handbuch für Administratoren

An imprint of Pearson Education München • Boston • San Francisco • Harlow, England Don Mills, Ontario • Sydney • Mexico City Madrid • Amsterdam

Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Die Informationen in diesem Produkt werden ohne Rücksicht auf einen eventuellen Patentschutz veröffentlicht. Warennamen werden ohne Gewährleistung der freien Verwendbarkeit benutzt. Bei der Zusammenstellung von Texten und Abbildungen wurde mit größter Sorgfalt vorgegangen. Trotzdem können Fehler nicht vollständig ausgeschlossen werden. Verlag, Herausgeber und Autoren können für fehlerhafte Angaben und deren Folgen weder eine juristische Verantwortung noch irgendeine Haftung übernehmen. Für Verbesserungsvorschläge und Hinweise auf Fehler sind Verlag und Herausgeber dankbar. Alle Rechte vorbehalten, auch die der fotomechanischen Wiedergabe und der Speicherung in elektronischen Medien. Die gewerbliche Nutzung der in diesem Produkt gezeigten Modelle und Arbeiten ist nicht zulässig. Fast alle Hard- und Softwarebezeichnungen und weitere Stichworte und sonstige Angaben, die in diesem Buch verwendet werden, sind als eingetragene Marken geschützt. Da es nicht möglich ist, in allen Fällen zeitnah zu ermitteln, ob ein Markenschutz besteht, wird das ® Symbol in diesem Buch nicht verwendet. Umwelthinweis: Dieses Buch wurde auf chlor- und säurefreiem PEFC-zertifiziertem Papier gedruckt. Die Einschrumpffolie - zum Schutz vor Verschmutzung - ist aus umweltverträglichem und recyclingfähigem Material.

10 9 8 7 6 5 4 3 2 1 12 11 10 ISBN 978-3-8273-2886-1

© 2010 by Addison-Wesley Verlag, ein Imprint der Pearson Education Deutschland GmbH, Martin-Kollar-Straße 10–12, D-81829 München/Germany Alle Rechte vorbehalten Einbandgestaltung: Marco Lindenbeck, [email protected] Fachlektorat: Georg Weiherer, [email protected] Lektorat: Sylvia Hasselbach, [email protected] Korrektorat: Sandra Gottmann, [email protected] Herstellung: Claudia Bäurle, [email protected] Satz: mediaService, Siegen, www.media-service.tv Druck und Verarbeitung: Kösel, Krugzell, www.KoeselBuch.de Printed in Germany

Inhaltsverzeichnis

Vorwort

1

2

23

Über die Autoren

25

Die Icons und Verweise in diesem Buch

27

Die CD zum Buch

28

Betriebssysteminstallation

29

1.1

Installationsplanung und Vorbereitung 1.1.1 Sicherstellung der Systemanforderungen 1.1.2 Die Editionen von Windows 7 im Vergleich 1.1.3 Neuinstallation versus Upgrade 1.1.4 Sichern bestehender Systeme vor Beginn der Migration 1.1.5 Checkliste zur Installationsvorbereitung

29 30 34 35 39 40

1.2

Durchführung einer Einzelarbeitsplatz-Installation 1.2.1 Unterschiede zu früheren Windows-Installationen 1.2.2 Ablauf einer Neuinstallation 1.2.3 Ablauf einer Upgrade-Installation 1.2.4 Durchführung einer Parallelinstallation 1.2.5 Abschließende Aufgaben nach Installationsabschluss

41 41 43 53 55 56

1.3

Bereitstellung von Windows 7 im Unternehmensnetzwerk 1.3.1 Die Bereitstellungsfunktionen im Überblick 1.3.2 Planung und Vorbereitung der Bereitstellung 1.3.3 Bereitstellung von Windows 7 mit Windows AIK 1.3.4 Aktivierung für Unternehmenskunden – Volumenaktivierung 1.3.5 Bereitstellung von Updates und Service Packs

60 61 68 73 86 88

Hardwareinstallation

95

2.1

Hardware installieren 2.1.1 Automatische Geräteinstallation 2.1.2 Geräte manuell installieren

95 96 101

2.2

Geräte verwalten 2.2.1 Geräteverwaltung mit der Funktion Geräte und Drucker 2.2.2 Geräteverwaltung im Geräte-Manager 2.2.3 Treiber aktualisieren 2.2.4 Geräte deinstallieren 2.2.5 Starttyp für nicht Plug&Play-fähige Geräte ändern

104 104 108 112 113 114 5

Inhaltsverzeichnis

3

4

6

2.3

Mit Treiberproblemen richtig umgehen 2.3.1 Das Treibermodell von Windows 7 2.3.2 Probleme während der Hardwareinstallation 2.3.3 Probleme mit der Treibersignierung 2.3.4 Problemberichte zur Fehleranalyse

115 116 118 123 124

2.4

Berechtigungen zur Geräteinstallation verwalten 2.4.1 Geräte zur Installation bereitstellen 2.4.2 Installation verbotener Geräte verhindern

126 126 129

Software verwalten und installieren

133

3.1

Anwendungen lokal installieren und verwalten 3.1.1 Programme installieren 3.1.2 Installierte Anwendungen verwalten

133 134 136

3.2

Ein Blick auf die Technik dahinter – der Windows Installer-Dienst 3.2.1 Grundsätzliches zur Windows Installer-Technologie 3.2.2 Das Verhalten von Windows Installer mit Gruppenrichtlinien steuern

144 145

3.3

Nicht kompatible Anwendungen unter Windows 7 nutzen 3.3.1 Ursachen für Anwendungsinkompatibilitäten 3.3.2 Anwendungsprüfung vor Beginn der Migration 3.3.3 Einsatzmöglichkeiten des Kompatibilitätsmodus 3.3.4 Anwendungen im Kompatibilitätsmodus installieren 3.3.5 Anwendungen im Windows XP-Modus ausführen 3.3.6 Umgang mit 16-Bit-Windows- und DOS-Anwendungen

152 152 153 155 158 159 161

3.4

Softwareverwaltung mit Gruppenrichtlinien 3.4.1 Softwareverteilung mit Gruppenrichtlinien 3.4.2 Anwendungssteuerung mit Gruppenrichtlinien

162 162 171

151

Konfiguration der Benutzerschnittstellen

175

4.1

Benutzeroberfläche 4.1.1 Leistungsmerkmale der Aero-Oberfläche 4.1.2 Anpassung des Desktops 4.1.3 Konfiguration der Anzeige und des Bildschirms

175 175 178 186

4.2

Startmenü 4.2.1 Ausschaltoptionen 4.2.2 Das Startmenü konfigurieren

191 192 194

4.3

Windows-Taskleiste 4.3.1 Arbeiten mit der Taskleiste 4.3.2 Taskleiste konfigurieren

196 196 198

Inhaltsverzeichnis

5

6

4.4

Windows-Explorer 4.4.1 Windows-Explorer starten 4.4.2 Arbeiten mit dem Windows-Explorer 4.4.3 Ansichten des Windows-Explorers anpassen 4.4.4 Bibliotheken verwenden

200 200 201 209 213

4.5

Einsatzmöglichkeiten der Windows-Suche 4.5.1 Volltextsuche nach Stichwörtern 4.5.2 Indizierte Suche

216 217 220

4.6

Tastenkombinationen in Windows 7 4.6.1 Tastenkombinationen mit der Windows-Taste 4.6.2 Tastenkombinationen für den Internet Explorer 4.6.3 Tastenkombination in Windows 7 zur Steuerung des Windows-Explorers und zur Dateiverwaltung

223 223 224 224

Benutzerverwaltung

227

5.1

Die Benutzerkontensteuerung 5.1.1 Die Benutzerkontensteuerung im praktischen Einsatz 5.1.2 Sicherheitslevel der Benutzerkontensteuerung konfigurieren

227 228 233

5.2

Benutzer verwalten 5.2.1 Das Dienstprogramm „Benutzerkonten“ für einfache Kontenverwaltung 5.2.2 Erweiterte Benutzerverwaltung 5.2.3 SID-Verwaltung bei Benutzerkonten 5.2.4 Vordefinierte Benutzerkonten 5.2.5 Kennwortrichtlinien verwalten

238 238 241 244 245 247

5.3

Verwaltung lokaler Gruppenkonten 5.3.1 Gruppentypen im Vergleich 5.3.2 Vordefinierte lokale Gruppen und ihre Berechtigungen 5.3.3 Lokale Gruppenkonten erstellen, löschen und ändern

251 251 252 257

5.4

Benutzerprofile unter Windows 7 5.4.1 Verwaltung lokaler Benutzerprofile 5.4.2 Verwaltung serverbasierter Profile in heterogenen Netzwerken

259 259 265

Daten, Datenträger und Dateisysteme

267

6.1

Datenträger aus Sicht der Hardware 6.1.1 HW-Adapter für Datenträger 6.1.2 iSCSI im Einsatz 6.1.3 Virtueller Speicher im Einsatz

267 268 269 272

6.2

Partitionen, physische und logische Laufwerke 6.2.1 MBR oder GPT-Datenträger? 6.2.2 Basis oder dynamisch? 6.2.3 Vom Datenträger zum Laufwerksbuchstaben

273 273 275 276 7

Inhaltsverzeichnis

7

8

8

6.3

Daten und Dateisysteme 6.3.1 FAT 6.3.2 NTFS 6.3.3 NTFS – Berechtigungen 6.3.4 NTFS-Berechtigungen auf der Kommandozeile 6.3.5 Dateiattribute

279 280 280 291 300 305

6.4

Datenträger erstellen

309

6.5

Konfiguration von Laufwerken in der GUI 6.5.1 Aktionen auf der Ebene der Datenträger 6.5.2 Verwalten von Datenträgerbereichen

310 311 313

6.6

Datenträgerverwaltung auf der Kommandozeile 6.6.1 Diskpart – FDISK und mehr in neuer Verpackung 6.6.2 fsutil – der Alleskönner 6.6.3 Laufwerksbuchstaben erzeugen – subst.exe 6.6.4 Verknüpfungen – symbolische und harte

317 317 322 328 329

6.7

Datenträger überprüfen

331

6.8

Datenträger defragmentieren

335

Netzwerkgrundlagen

341

7.1

Netzwerk theoretisch

341

7.2

Netzwerk-Hardware 7.2.1 Netzwerkadapter für lokale Verbindungen 7.2.2 Drahtlose Netzwerke 7.2.3 Netzwerke für Punkt-zu-Punkt-Verbindungen 7.2.4 WAN-Netzwerke und die Anbindung ganzer lokaler Netzwerke

343 346 347 347 348

7.3

Netzwerkprotokolle 7.3.1 Alte Bekannte und Exoten 7.3.2 Das IP-Protokoll – Version 4 7.3.3 Das IP-Protokoll – Version 6

348 349 349 357

7.4

Netzwerkanwendungen – Server und Client 7.4.1 Web – Internetinformationsdienste (IIS) und IE 7.4.2 Fernarbeit – Telnet, Remotedesktop und Remoteunterstützung 7.4.3 Datei- und Druckerfreigabe – SMB, CIFS und NFS

359 359 360 363

Erweiterte Netzwerkfunktionen

365

8.1

365 366 367

Netzwerkeinstellungen 8.1.1 Status eines Netzwerkadapters 8.1.2 Netzwerkadapter, Protokolle und Dienste 8.1.3 Unterschiedliche Netzwerkprofile und die Kopplung zwischen Protokollen und Diensten

369

Inhaltsverzeichnis

8.2

TCP/IP-Einstellungen 8.2.1 Erweiterte TCP/IP-Einstellungen 8.2.2 Gesichertes TCP/IP – IPsec 8.2.3 TCP/IP-Prüfprogramme auf der Kommandozeile

374 375 380 381

8.3

Netzwerkschutz – die Firewall 8.3.1 Status der Firewall 8.3.2 Neue Serverprogramme blocken 8.3.3 Firewallprofile 8.3.4 Firewallregeln 8.3.5 Firewallregeln bearbeiten 8.3.6 Die Firewall und die Kommandozeile

389 390 391 392 395 399 399

8.4

Netzwerkkopplung 8.4.1 Netzwerkrouten 8.4.2 Netzwerkbrücken 8.4.3 Gemeinsame Nutzung der Internetverbindung

400 401 402 404

8.5

Domänenmitgliedschaft und Funktionen in Active Directory 8.5.1 Einer Domäne beitreten 8.5.2 Eine Domäne verlassen

407 407 412

8.6

Fernbedienung 8.6.1 Nach Hilfe fragen 8.6.2 Fernsteuerung ohne Zuschauer – Remotedesktop 8.6.3 Gastarbeiter – RemoteApp

414 415 423 426

8.7

Datei- und Druckfreigabe 8.7.1 Dateien und Drucker freigeben 8.7.2 Der öffentliche Ordner und der Gast 8.7.3 Freigaben nutzen 8.7.4 Freigaben kontrollieren

428 428 433 434 439

8.8

Offlinedateien und BranchCache 8.8.1 Offlinedateien 8.8.2 BranchCache

442 442 446

8.9

Heimnetzgruppe 8.9.1 Keine Heimnetzgruppe möglich

447 449

8.10 Netzwerkdrucker 8.10.1 Zusätzliche Netzwerkdruckdienste

450 453

8.11 WLAN sicher konfigurieren 8.11.1 Was keine WLAN-Sicherheit ist 8.11.2 Wie man ein WLAN sichern kann 8.11.3 Eigenschaften eines WLAN-Adapters 8.11.4 Mit einem WLAN Verbindung aufnehmen

454 454 455 456 457

9

Inhaltsverzeichnis

9

Drucken und Faxen

459

9.1

Grundlagen und Terminologie des Druckens 9.1.1 Wichtige Komponenten und Begriffe 9.1.2 Der Druckprozess im Überblick

459 460 462

9.2

Drucker installieren und im Netzwerk bereitstellen 9.2.1 Installation lokaler Drucker 9.2.2 Mit einem Netzwerkdrucker verbinden 9.2.3 Windows 7-Client als Druckserver einrichten

463 464 468 470

9.3

Druckserver, Drucker und Druckaufträge verwalten 9.3.1 Druckereigenschaften konfigurieren 9.3.2 Druckaufträge verwalten 9.3.3 XPS-Datenaustauschformat 9.3.4 Zentrale Druckerverwaltung mit der Druckverwaltungskonsole

474 475 481 481 484

9.4

Die Faxfunktionen von Windows 7 9.4.1 Konfiguration der Faxfunktion 9.4.2 Faxe versenden und empfangen

492 493 497

10 Virtuelle Netzwerke 10.1 Ein fast virtuelles Netzwerk

499

10.2 IPv6-Tunneltechniken

501

10.3 Statische Tunnel mit 6in4 10.3.1 Lokales System und NAT-Router konfigurieren

502 503

10.4 Dynamische Tunnel 10.4.1 ISATAP 10.4.2 6to4 10.4.3 Teredo

505 505 506 507

10.5 VPN

511

11 Lokale Richtlinien und Gruppenrichtlinien

10

499

513

11.1 Was sind Richtlinien?

513

11.2 Unterschiede zwischen lokalen und Gruppenrichtlinien 11.2.1 Wann werden die Richtlinien angewendet?

513 515

11.3 Administrative Vorlagen 11.3.1 Weitere administrative Vorlagen 11.3.2 Verwendung alter .adm-Dateien

516 519 521

11.4 Richtlinien setzen und bearbeiten 11.4.1 Einzelne Richtlinien definieren 11.4.2 Richtlinien suchen 11.4.3 Lokale Richtlinien für Benutzer eingrenzen

522 523 525 527

Inhaltsverzeichnis

11.5 Richtlinien überprüfen und dokumentieren 11.5.1 Das Snap-In Richtlinienergebnissatz 11.5.2 Richtlinienanwendung planen 11.5.3 Richtlinien dokumentieren mit gpresult.exe

528 528 531 531

11.6 Ausgewählte Anwendungsbeispiele 11.6.1 Internet Explorer konfigurieren 11.6.2 USB-Geräte kontrollieren 11.6.3 Sicherheit erhöhen

533 533 534 535

12 Die Registrierungsdatenbank

537

12.1 Der Aufbau der Registry 12.1.1 Sonderfälle in der Registry 12.1.2 Registry und Dateisystem 12.1.3 Datentypen in der Registry 12.1.4 Berechtigungen in der Registry

538 540 541 544 546

12.2 Die Schlüssel der Registry 12.2.1 HKEY_CLASSES_ROOT (HKCR) 12.2.2 HKEY_CURRENT_USER (HKCU) 12.2.3 HKEY_USERS (HKU) 12.2.4 HKEY_LOCAL_MACHINE (HKLM) 12.2.5 HKEY_CURRENT_CONFIG

550 550 552 553 555 558

12.3 Bearbeiten der Registry mit dem Registrierungs-Editor 12.3.1 Navigation in der Registry 12.3.2 Favoriten in der Registry 12.3.3 Werte in der Registry ändern 12.3.4 Werte und Schlüssel anlegen, löschen und umbenennen 12.3.5 Export, Import und Drucken von Daten 12.3.6 Arbeit mit kompletten Strukturen

558 559 560 561 563 564 568

12.4 Arbeit mit dem Programm reg.exe

569

12.5 Das Programm regini.exe

571

12.6 Die Registry über das Netzwerk bearbeiten

572

12.7 Die Registry mit eigenen Programmen bearbeiten

573

12.8 Die Registry offline bearbeiten 12.8.1 Durchführen eines Offline-Restore

574 574

12.9 Weitere Programme zum Bearbeiten der Registry 12.9.1 Registry-Cleaner 12.9.2 Registry-Backup und -Restore 12.9.3 Zugriff auf die Registry überwachen – RegMon und ProcMon

578 578 578 582

12.10 Tipps zur Erhöhung der Sicherheit 12.10.1 .reg-Dateien nicht per Doppelklick installieren 12.10.2 Aufruf des Registrierungs-Editors verbieten

584 584 585 11

Inhaltsverzeichnis

13 Sicherheit

12

587

13.1 Sichere Entwicklung – SDL

587

13.2 Benutzerkontensteuerung – UAC 13.2.1 Warum diese Einschränkung? 13.2.2 Wie funktioniert UAC?

588 589 591

13.3 Integrität von Objekten 13.3.1 Verbindlichkeitsstufen – ein Beispiel

591 592

13.4 Wartungscenter 13.4.1 Action-Center konfigurieren

594 597

13.5 Antivirus-Programme 13.5.1 Für eine AV-Lösung sprechen 13.5.2 Gegen eine AV-Lösung sprechen 13.5.3 Prüfung von AV-Programmen durch das Wartungscenter

597 598 598 598

13.6 Windows Defender und Microsoft Security Essentials 13.6.1 Manuelle Überprüfung anstoßen 13.6.2 Erkennung von schädlichen Dateien 13.6.3 Wo ist der Software-Explorer? 13.6.4 Verlaufskontrolle 13.6.5 Einstellungen von Windows Defender 13.6.6 Hilfe – neue Definitionen 13.6.7 Microsoft Security Essentials

599 600 601 603 603 604 608 608

13.7 Systemkonfiguration mit msconfig.exe 13.7.1 Registerkarte Allgemein 13.7.2 Registerkarte Start 13.7.3 Registerkarte Dienste 13.7.4 Registerkarte Systemstart 13.7.5 Registerkarte Tools 13.7.6 Informationsspeicher

609 609 610 613 614 615 615

13.8 Startkontrolle mit Autoruns

616

13.9 Windows-Firewall 13.9.1 Firewall-Konzeption

617 617

13.10 Windows Updates 13.10.1 Welche Updates gibt es? 13.10.2 Updates auswählen und installieren 13.10.3 Kontrolle über vorhandene, installierte und unerwünschte Updates 13.10.4 Windows Update im betrieblichen Umfeld 13.10.5 Updates ohne Netzwerk

617 619 621

13.11 Verschlüsselung – Grundlagen 13.11.1 Symmetrische Verschlüsselung 13.11.2 Asymmetrische Verschlüsselung

625 626 626

623 624 625

Inhaltsverzeichnis

13.11.3 Schlüssellängen – starke und schwache Verschlüsselung 13.11.4 Zertifikate und Zertifikatshierarchien

627 628

13.12 EFS – Encrypting File System 13.12.1 Ablauf der Verschlüsselung 13.12.2 Verschlüsselung in der Praxis 13.12.3 Schutz der Schlüssel bei EFS 13.12.4 Datenwiederherstellung bei EFS 13.12.5 EFS auf der Befehlszeile und mit anderen Programmen

629 632 632 636 637 647

13.13 Verschlüsselung kompletter Laufwerke – BitLocker 13.13.1 TPM – Trusted Platform Module 13.13.2 Operationsmodi von BitLocker 13.13.3 Systemlaufwerke und Datenlaufwerke verschlüsseln 13.13.4 Weitere Sicherheitsmöglichkeiten 13.13.5 BitLocker-Verwaltung 13.13.6 BitLocker to Go

650 651 655 656 661 664 665

13.14 Jugendschutzeinstellungen 13.14.1 Änderungen gegenüber Windows Vista 13.14.2 Steuerungsmöglichkeiten beim Jugendschutz 13.14.3 Spielfreigaben 13.14.4 Einstellungen für einen Benutzer vornehmen 13.14.5 Windows-Spieleexplorer intern 13.14.6 Programme zulassen und blockieren 13.14.7 Webseiten-Filter

667 667 668 669 672 675 679 681

13.15 Datenausführungsverhinderung

681

14 Systemüberwachung

685

14.1 Was tut das System gerade? 14.1.1 Väter und Söhne 14.1.2 Und was ist ein Thread? 14.1.3 Task-Manager 14.1.4 Process Explorer 14.1.5 Prozesse und die Befehlszeile

685 686 686 686 697 700

14.2 Ereignisse kontrollieren 14.2.1 Wie charakterisiert man ein Ereignis?

702 702

14.3 Die Ereignisanzeige 14.3.1 Lage und Größe der Protokolle 14.3.2 Ereignisse ansehen 14.3.3 Import und Export 14.3.4 Ansichten filtern und definieren 14.3.5 Ereignisse von anderen Systemen sammeln 14.3.6 Auf Ereignisse reagieren

703 704 705 708 709 712 712

13

Inhaltsverzeichnis

14.3.7 Ereignisse selbst erzeugen 14.3.8 Ereignisse und die Befehlszeile 14.4 Aufgabenplanung 14.4.1 Aufgaben anlegen 14.4.2 Aufgaben ändern 14.4.3 Kontrolle über laufende Aufgaben 14.4.4 Aufgaben und die Befehlszeile – at.exe und schtasks.exe

714 716 716 718 718

14.5 Leistung kontrollieren 14.5.1 Ressourcenmonitor – perfmon.exe 14.5.2 Leistungsüberwachung – perfmon.msc 14.5.3 Leistungsbewertung für Rennfahrer 14.5.4 Leistungsindex

720 720 722 728 728

14.6 Professioneller Support 14.6.1 Zuverlässigkeit – Stabilitätsindex

730 731

15 Datensicherung

733

15.1 Datensicherung in älteren Versionen von Windows und heute

733

15.2 Arten und Formen der Datensicherung 15.2.1 Datensicherung und Sicherheit

734 736

15.3 Sicherung durchführen 15.3.1 Sicherung einrichten 15.3.2 Systemabbild erstellen 15.3.3 Systemreparaturdatenträger erstellen 15.3.4 Systemsicherung durch Wiederherstellungspunkte 15.3.5 Weitere Programme zur Datensicherung – wbadmin und robocopy

737 739 746 748 749

15.4 Daten restaurieren 15.4.1 Rücksicherung eines kompletten Systems 15.4.2 Wiederherstellen von Dateien 15.4.3 Systemzustand durch Wiederherstellungspunkte zurücksetzen

753 754 760 765

16 Kommunikation im Netzwerk

14

714 714

751

769

16.1 Gemeinsam Arbeiten im Netz – SharedView 16.1.1 Funktionen von SharedView

769 771

16.2 Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety 16.2.1 Windows Live-ID eintragen 16.2.2 Windows Mail 16.2.3 Windows Messenger 16.2.4 Family Safety

772 774 774 776 778

Inhaltsverzeichnis

17 Windows 7-Batchdateien

783

17.1 Konfiguration des Kommandozeilenfensters

783

17.2 Ein alternatives Kommandozeilenfenster

784

17.3 Kommandozeilenfenster und Benutzerkontensteuerung

786

17.4 Befehle

787

17.5 Ausgaben und Ausgabeumleitung

788

17.6 Arbeit mit dem Dateisystem 17.6.1 Wechseln des Verzeichnisses 17.6.2 Verzeichnis auflisten 17.6.3 Dateisystemoperationen

788 789 791 791

17.7 Arbeit mit Prozessen

791

17.8 Die net-Befehlsfamilie

791

17.9 Weitere Kommandozeilenbefehle

792

17.10 Stapelverarbeitung 17.10.1 Befehlsverknüpfung 17.10.2 Textbasiertes Pipelining 17.10.3 Batch-Dateien

792 792 793 793

18 Windows Management Instrumentation (WMI)

795

18.1 WMI-Funktionsumfang 18.1.1 WMI-Klassen und WMI-Objekte 18.1.2 WMI-Namensräume (Namespaces) 18.1.3 Lokalisierung 18.1.4 WMI-Pfade 18.1.5 WMI-Schema 18.1.6 WMI-Repository 18.1.7 WMI-Systemdienst 18.1.8 WMI-Provider 18.1.9 Managed Object Format (MOF) 18.1.10 WMI-Sicherheit 18.1.11 WMI Query Language (WQL) 18.1.12 WMI-Ereignissystem 18.1.13 WMI-Programmierschnittstellen 18.1.14 WMI-Werkzeuge

796 797 801 802 802 804 804 805 805 806 808 809 812 814 814

18.2 WMIC-Konsolenanwendung 18.2.1 WMIC-Befehle 18.2.2 PATH-Befehl 18.2.3 Ausgabeformen 18.2.4 Fernzugriff auf andere Systeme 18.2.5 Stapelverarbeitung

817 817 818 818 820 820

15

Inhaltsverzeichnis

19 Windows Script Host (WSH)

16

821

19.1 Überblick über den WSH in Windows 7

822

19.2 Erste WSH-Beispiele 19.2.1 Hello World 19.2.2 Versionsnummern ermitteln

822 822 823

19.3 WSCRIPT vs. CSCRIPT

824

19.4 Skriptsprache Visual Basic Script (VBScript) 19.4.1 Grundregeln 19.4.2 Ausgaben 19.4.3 Variablen und Konstanten 19.4.4 Operationen 19.4.5 Bedingte Ausführung 19.4.6 Schleifen 19.4.7 Unterroutinen 19.4.8 Objekte 19.4.9 Softwarekomponenten

826 826 826 827 827 827 827 828 829 829

19.5 WSH-Sicherheit

830

19.6 WSH und Benutzerkontensteuerung

830

19.7 Scripting mit entfernten Systemen 19.7.1 Ein Skript kann man von einem Netzlaufwerk starten 19.7.2 Eine Aktion auf einem entfernten System ausführen

833 833 834

19.8 WSH-Werkzeuge

834

19.9 Scripting des Dateisystems 19.9.1 Zugriff auf Ordner und Dateien 19.9.2 Auflisten von Dateien 19.9.3 Dateieigenschaften bestimmen und verändern 19.9.4 Namen ändern 19.9.5 Dateisystemoperationen 19.9.6 Textdateien lesen 19.9.7 Textdateien beschreiben

836 836 837 838 839 840 841 843

19.10 Scripting der Registrierungsdatenbank 19.10.1 Auslesen und Setzen eines Wertes 19.10.2 Erzeugen eines neuen Registrierungsdatenbank-Schlüssels 19.10.3 Auflisten von Schlüsseln 19.10.4 Löschen von Schlüsseln

843 844 845 846 847

19.11 Scripting der Softwarekonfiguration 19.11.1 Software inventarisieren 19.11.2 Software installieren 19.11.3 Software deinstallieren

847 847 850 851

Inhaltsverzeichnis

19.12 Scripting der Benutzerverwaltung 19.12.1 Auflisten der vorhandenen Benutzerkonten 19.12.2 Anlegen eines Benutzerkontos 19.12.3 Umbenennen eines Benutzers 19.12.4 Kennwort eines Benutzers ändern 19.12.5 Anlegen einer Benutzergruppe 19.12.6 Einen Benutzer einer Gruppe hinzufügen 19.12.7 Einen Benutzer aus einer Gruppe entfernen 19.12.8 Deaktivieren eines Benutzerkontos 19.12.9 Löschen einer Gruppe

20 .NET Framework

851 852 853 854 855 856 856 857 857 858

861

20.1 Was ist das .NET Framework?

863

20.2 Weitere Eigenschaften des .NET Frameworks

864

20.3 .NET-Klassen 20.3.1 Namensgebung von .NET-Klassen (Namensräume) 20.3.2 Namensräume und Softwarekomponenten 20.3.3 Bestandteile einer .NET-Klasse 20.3.4 Vererbung 20.3.5 Schnittstellen 20.3.6 Konfiguration von .NET-Anwendungen 20.3.7 Konfiguration des .NET-Sicherheitssystems

865 865 867 868 869 869 870 870

21 Einführung in die Windows PowerShell (WPS)

873

21.1 Was ist die Windows PowerShell?

873

21.2 Geschichte

874

21.3 Bestandteil von Windows 7

875

21.4 Architektur

875

21.5 PowerShell versus WSH

876

21.6 Einzelbefehle der PowerShell 21.6.1 Commandlets 21.6.2 Aliase 21.6.3 Ausdrücke 21.6.4 Externe Befehle 21.6.5 Dateinamen

880 880 883 889 890 891

21.7 Hilfe 21.7.1 Verfügbare Befehle 21.7.2 Erläuterungen zu den Befehlen 21.7.3 Dokumentation der .NET-Klassen

891 891 892 894

17

Inhaltsverzeichnis

18

21.8 Objektorientiertes Pipelining 21.8.1 Grundlagen 21.8.2 Objektorientierung 21.8.3 Analyse des Pipeline-Inhalts 21.8.4 Filtern 21.8.5 Zusammenfassung von Pipeline-Inhalten 21.8.6 Kastrierung von Objekten in der Pipeline 21.8.7 Sortieren 21.8.8 Gruppierung 21.8.9 Berechnungen 21.8.10 Zwischenschritte in der Pipeline 21.8.11 Verzweigungen in der Pipeline 21.8.12 Vergleiche 21.8.13 Beispiele

895 895 896 899 904 905 906 906 907 907 908 908 909 909

21.9 Ausgabefunktionen 21.9.1 Standardausgabe 21.9.2 Seitenweise Ausgabe 21.9.3 Einschränkung der Ausgabe 21.9.4 Ausgabe einzelner Werte 21.9.5 Unterdrückung der Ausgabe 21.9.6 Weitere Ausgabefunktionen

911 912 913 914 914 915 915

21.10 Fernausführung von Befehlen

916

21.11 Navigationsmodell 21.11.1 Navigation in der Registrierungsdatenbank 21.11.2 Provider und Laufwerke 21.11.3 Navigationsbefehle 21.11.4 Pfadangaben 21.11.5 Eigene Laufwerke definieren

917 918 919 920 920 921

21.12 PowerShell Language (PSL) 21.12.1 Hilfe zu der PowerShell-Sprache 21.12.2 Befehlstrennung 21.12.3 Kommentare 21.12.4 Variablen 21.12.5 Zahlen 21.12.6 Zeichenketten 21.12.7 Datum und Uhrzeit 21.12.8 Arrays und assoziative Arrays (Hashtable) 21.12.9 Operatoren 21.12.10Kontrollkonstrukte

922 922 922 923 923 924 926 928 929 932 933

Inhaltsverzeichnis

21.13 PowerShell-Skripte 21.13.1 Beispiel 21.13.2 Start eines Skripts 21.13.3 Sicherheitsfunktionen für PowerShell-Skripte 21.13.4 PowerShell-Skripte als Commandlets verwenden 21.13.5 Commandlets für Skriptausführung 21.13.6 Skripte einbinden 21.13.7 Fehlerbehandlung

934 934 935 936 938 941 941 941

21.14 Eingabe

946

21.15 Anbindung an Klassenbibliotheken 21.15.1 WMI-Klassen 21.15.2 .NET-Klassen 21.15.3 COM-Klassen

946 947 953 956

21.16 Fehlersuche

956

21.17 PowerShell-Werkzeuge 21.17.1 PowerShell-Konsole 21.17.2 PowerShell Integrated Scripting Environment (ISE) 21.17.3 PowerShellPlus 21.17.4 PowerShell Analyzer 21.17.5 PrimalScript 21.17.6 PowerShell Help 21.17.7 PowerTab 21.17.8 VS Command Shell

957 957 960 962 964 965 965 966 966

21.18 Commandlet-Erweiterungen 21.18.1 Aktivieren von Snap-ins 21.18.2 Aktivieren von PowerShell-Modulen 21.18.3 Verfügbare Commandlet-Erweiterungen

967 967 968 969

21.19 Tipps und Tricks 21.19.1 Befehlsgeschichte 21.19.2 Systeminformationen 21.19.3 Alle Anzeigen löschen 21.19.4 Profileinstellungen für die PowerShell-Konsole 21.19.5 Aufzählungen

973 973 974 975 975 981

21.20 Weitere Funktionen

981

21.21 Weitere Informationen über die PowerShell 21.21.1 Websites zur PowerShell 21.21.2 Weblogs zur PowerShell

982 982 982

19

Inhaltsverzeichnis

22 Systemautomatisierung mit der PowerShell

20

983

22.1 Dateisystem 22.1.1 Laufwerke 22.1.2 Inhalt eines Verzeichnisses 22.1.3 Dateisystemoperationen 22.1.4 Dateieigenschaften lesen und verändern 22.1.5 Freigaben

983 984 985 985 986 986

22.2 Dokumente & Datenbanken 22.2.1 Textdateien 22.2.2 Binärdateien 22.2.3 CSV-Dateien 22.2.4 XML-Dateien 22.2.5 HTML-Dokumente 22.2.6 Relationale Datenbanken

992 992 992 993 993 995 996

22.3 Registrierungsdatenbank (Registry) 22.3.1 Schlüssel auslesen 22.3.2 Schlüssel anlegen und löschen 22.3.3 Abkürzungen definieren 22.3.4 Werte anlegen und löschen 22.3.5 Werte auslesen 22.3.6 Praxisbeispiel

997 997 998 998 999 1000 1000

22.4 Computerverwaltung

1001

22.5 Hardwareverwaltung

1002

22.6 Softwareverwaltung 22.6.1 Inventarisierung 22.6.2 Installation von Anwendungen 22.6.3 Deinstallation von Anwendungen 22.6.4 Praxisbeispiel: Installationstest 22.6.5 Versionsnummer

1003 1003 1006 1006 1007 1008

22.7 Prozessverwaltung

1008

22.8 Druckerverwaltung

1009

22.9 Systemdienste

1010

22.10 Netzwerk 22.10.1 Ping 22.10.2 Netzwerkkonfiguration 22.10.3 Abruf von Daten von einem HTTP-Server

1011 1011 1012 1013

22.11 Ereignisprotokolle

1014

22.12 Leistungsdaten

1015

Inhaltsverzeichnis

22.13 Sicherheitseinstellungen 22.13.1 Grundlagen 22.13.2 Zugriffsrechtelisten auslesen 22.13.3 Einzelne Rechteeinträge auslesen 22.13.4 Besitzer auslesen 22.13.5 Benutzer und SID 22.13.6 Hinzufügen eines Rechteeintrags zu einer Zugriffsrechteliste 22.13.7 Entfernen eines Rechteeintrags aus einer Zugriffsrechteliste 22.13.8 Zugriffsrechteliste übertragen 22.13.9 Zugriffsrechteliste über SSDL setzen

1015 1016 1017 1019 1020 1020 1023 1025 1026 1027

22.14 Active Directory 22.14.1 Architektur und Installation 22.14.2 Aktivieren des Active Directory-Moduls 22.14.3 Active Directory-Navigationsprovider 22.14.4 Objektmodell 22.14.5 Überblick über die Commandlets 22.14.6 Allgemeine Verwaltungscommandlets 22.14.7 Filtern und Suchen 22.14.8 Verwaltung von Organisationseinheiten 22.14.9 Verwaltung von Benutzerkonten 22.14.10Verwaltung von Benutzergruppen 22.14.11Informationen über die Active Directory-Struktur

1028 1028 1030 1031 1033 1034 1035 1037 1038 1039 1041 1042

22.15 Grafische Benutzeroberfläche 22.15.1 Eingabemaske 22.15.2 Universelle Objektdarstellung

1046 1047 1048

A

Abkürzungsverzeichnis

1051

B

Literatur und Links

1055

Stichwortverzeichnis

1061

21

Vorwort Liebe Leserin, lieber Leser, Mit Windows 7 ist Microsoft wirklich ein großer Wurf gelungen. Während sich Windows Vista insbesondere im Unternehmensumfeld sehr schwer getan hat – es gab zu viele Meldungen über Schwierigkeiten mit der Hardware und über den Leistungshunger – gibt es von Windows 7 Erfolgsmeldungen am laufenden Band: „ Allein an den ersten zwei Tagen nach Verkaufsstart wurde Windows 7 in Deutschland fünf Mal so oft verkauft wie damals Vista.“1, „ Windows 7 kommt nirgends besser an als in Deutschland“2 „ Statistiken belegen Erfolg von Windows 7“3. Natürlich muss man diese Meldungen von Microsoft auch vor dem Hintergrund bewerten, dass Microsoft bei Windows 7 zum Erfolg verdammt ist. Da aber viele Unternehmen Windows Vista übersprungen haben, ist der Wechsel mehr als acht Jahre nach dem Start von Windows XP überfällig. Laut einer Umfrage des TechNet NewsFlash vom 17.12. 2009 sehen 42,3 % der Befragten das Betriebssystem-Upgrade als wichtigstes IT-Projekt für 2010 an. Tatsächlich beseitigt Windows 7 viele der Unzulänglichkeiten von Vista. Das tut Windows 7 so gut, das man sagen könnte: Windows 7 ist ein Service Pack für Windows Vista. Spätestens jetzt sollten Sie sich mit diesem Betriebssystem beschäftigen. Mit diesem Gemeinschaftswerk von drei erfahrenen Windows-Spezialisten möchten wir Sie für die neuen Features von Windows 7 begeistern und Sie bei Installation, Konfiguration und Verwaltung unterstützen – für eine reibungslose Migration zu Windows 7. Das Buch richtet sich in erster Linie an professionelle Windows-Nutzer und Systemadministratoren, die Windows 7 Professional/Enterprise (oder Ultimate) im kommerziellen Umfeld (als Domänenmitglieder oder Arbeitsgruppen-Rechner) einsetzen. Angesprochen sind fortgeschrittene Anwender, die keine Beschreibung der Symbole und keine seitenweisen „ Klickanleitungen“ benötigen. Konzeptionelle Fragen und deren Hintergründe werden umfassend erläutert. Schritt-für-Schritt-Anleitungen sind, soweit Sie dem tieferen Verständnis dienen, enthalten ebenso wie aussagekräftige Bildschirmabbildungen. Neben von Microsoft produzierten Erweiterungen, weisen wir auch auf (kostenlose) Zusatzwerkzeuge und Produkte anderer Hersteller hin, die den Lieferumfang von Windows 7 sinnvoll ergänzen. 1 2 3

http://www.n-tv.de/technik/computer/Microsoft-vom-Erfolg-ueberraschtarticle570876.html http://www.gamestar.de/hardware/news/betriebssysteme/2311252/windows_7.html http://winfuture.de/news,52637.html

23

Vorwort

Ein Schwerpunkt des Buches liegt auf der automatisierten Systemadministration mit dem Windows Script Host (WSH) und der Windows PowerShell (WPS).

Leser-Service Zu diesem Buch gibt es eine Leser-Website mit folgenden Diensten: Downloads: Die aktuellen Versionen der in diesem Buch abgedruckten Skripte sowie weitere Skripte und Codebeispiele. Foren: Wenn Sie Fragen haben oder Ihre Meinung zu einem Thema dieses Buches äußern möchten, dann können Sie sich hier mit anderen Nutzern austauschen. Leser-Bewertung: Bewerten Sie dieses Buch und lesen Sie nach, was andere Leser von diesem Buch halten. Bug-Report: Melden Sie hier Fehler, die Sie in diesem Buch gefunden haben! Hier können Sie auch nachlesen, welche Fehler anderen nach Drucklegung aufgefallen sind. Newsletter: Alle registrierten Leser erhalten in unregelmäßigen Abständen einen Newsletter. Der URL für den Zugang zum Leser-Portal lautet: http://www.IT-Visions.de/leser Bei der Anmeldung müssen Sie das Kennwort BUFFY angeben.

Viel Erfolg mit diesem Buch wünschen Ihnen

Dr. Holger Schwichtenberg, Manuela Reiss und Jochen Ruhland

24

1 Über die Autoren

Über die Autoren Dr. Holger Schwichtenberg Ausbildung: 왘 Studium Diplom-Wirtschaftsinformatik an der Universität Essen 왘 Promotion an der Universität Essen im Gebiet komponentenbasierter Softwareentwicklung 왘 Tätig in der Softwareentwicklung seit 1996 Aktuelle Tätigkeit: 왘 Leitung der Firma www.IT-Visions.de 왘 Softwareentwicklung und Softwarearchitek-

tur im Kundenauftrag 왘 Beratung und Schulung von Softwareent-

wicklern 왘 Individueller Support für Softwareentwicklungsprojekte 왘 Gutachter in den Wettbewerbsverfahren der EU gegen Microsoft

Kernkompetenzen: 왘 Einführung von .NET Framework und Visual Studio/Migration auf

.NET 왘 .NET-Strategie / Auswahl von .NET-Technologien 왘 Webanwendungsentwicklung mit IIS, ASP.NET und AJAX 왘 Enterprise .NET 왘 Verteilte Systeme mit .NET insbesondere Windows Communication

Foundation 왘 C#, Visual Basic (VB/VB.NET/VBS/VBA) 왘 Component Object Model (COM), Windows Scripting (WSH), Windows

PowerShell (WPS) 왘 Relationale Datenbanken, XML und Object Relational Mapping (ORM) 왘 Active Directory-Programmierung und Windows Management Instru-

mentation (WMI) Veröffentlichungen und Vorträge: 왘 Über 40 Fachbücher bei Addison-Wesley, Microsoft Press und dem Carl

Hanser-Verlag 왘 Mehr als 500 Beiträge in Fachzeitschriften 왘 Ständiger Mitarbeiter der Zeitschriften iX und dotnetpro sowie bei

heise.de Sprecher auf nationalen und internationalen Fachkonferenzen (z. B. TechEd, OOP, Microsoft Launch Event, MSDN Summit, BASTA, Advanced Developers Conference, Microsoft IT Forum, Wirtschaftsinformatik, VS One, u.a.) 왘 Sprecher in MSDN Webcasts 왘

25

Vorwort

Ehrenamtliche Community-Tätigkeiten: 왘 Vorstandsmitglied bei codezone.de 왘 Sprecher für die International .NET Association (INETA) 왘 Betrieb der Community-Websites www.dotnetframework.de und www.windows-scripting.de Zertifikate und Auszeichnungen von Microsoft: 왘 Most Valuable Professional (MVP) 왘 Microsoft Certified Solution Developer (MCSD) 왘 .NET Code Wise Community-Experte 왘 Codezone Premier Site Member

Firmen-Website: 왘 http://www.IT-Visions.de

Weblog: 왘 http://www.dotnet-doktor.de (bei Heise.de)

Kontakt: 왘 [email protected] 왘 0201 7490-700 (Büro www.IT-Visions.de)

Manuela Reiss Manuela Reiss ist seit mehr als 18 Jahren selbstständig tätig als Beraterin, Trainerin und Fachbuchautorin im Microsoft Windows-Umfeld. Ihr theoretisches Fachwissen hat sie sich in zahlreichen Zertifizierungsprogrammen vor allem bei Microsoft erworben. So ist sie u.a. Microsoft Certified Systems Engineer (MCSE) für mehrere Versionen von Windows-Serversystemen. Darüber hinaus verfügt Sie über langjährige praktische Erfahrungen, die sie in zahlreichen Projekteinsätzen in den Bereichen Administration und Support, schwerpunktmäßig im Banken und Telekommunikationsumfeld sowie in der öffentlichen Verwaltung erworben hat. In den vergangenen Jahren hat sie sich im Rahmen der Beratertätigkeit verstärkt auf die Bereiche Konzeption und Dokumentation spezialisiert und deckt damit das breite Spektrum von der theoretischen Konzeptionierung über eine prozessorientierte Planung bis hin zur praktischen Umsetzung ab. Als zertifizierte Projektmanagement Fachfrau (GPM) unterstützt sie Firmen im Bereich Projektmanagement und IT Service Management sowie bei allen Fragen rund um das Thema Dokumentation.

26

1 Die Icons und Verweise in diesem Buch

Daneben hat sie sich als Fachbuchautorin einen Namen gemacht und ist seit vielen Jahren u.a. für den Addison-Wesley Verlag als Autorin tätig. Ihre fachlichen Schwerpunkte liegen hierbei, neben dem Themenschwerpunkt IT-Dokumentation, vor allem in der Administration und Migration heterogener Windows-Netzwerke, sowie im Bereich Troubleshooting von Windows Server- und Client-Systemen.

Jochen Ruhland Nach Abschluss als Diplom-Mathematiker mit Schwerpunkt Informatik ist er seit mehr als zwanzig Jahren im Bereich Systemadministration tätig, inzwischen als freiberuflicher IT-Consultant in München. In dieser Zeit hat er die Umwandlung lokaler Netzwerke mit Windows NT 4 hin zu globalen Netzwerken mit Windows Server 2008 aus nächster Nähe erlebt. Daneben hat er als Autor oder Fachlektor an Publikationen zu verschiedenen Themen im Bereich Betriebssysteme, Anwendungsprogramme und -server oder Programmierung mitgearbeitet. Sein besonderes Interesse gilt hierbei der Entwicklung der Windows-Plattform. Zeitweise war er Microsoft Most Valuable Professional (MVP) im Bereich Windows Client-Networking.

Die Icons und Verweise in diesem Buch Im vorliegenden Buch sind wichtige Hinweise und Einschübe durch einen grauen Kasten hinterlegt. Zusätzlich werden drei Icons verwendet, um bestimmte Informationen besonders hervorzuheben: Interessante Hintergrundinformationen, die Besonderheiten des gerade besprochenen Themas beinhalten.

Warnung vor Bugs oder möglichen Schwierigkeiten

Tipps und Tricks

27

Vorwort

Um den Lesefluss nicht durch lange Internetlinks zu stören, sind Literaturhinweise und Verweise auf Quellen aus dem Internet im Text durch Kürzel in eckigen Klammern gekennzeichnet, z.B. [ACT], was für Application Compatibility Toolkit steht. In Anhang B Literatur und Links finden Sie eine Liste mit den vollständigen Links und Literaturverweisen.

Die CD zum Buch Auf der beiliegenden CD finden Sie 왘 das Buch als farbiges eBook, damit Sie auch unterwegs schnell Informationen finden, 왘 die Beispielskripte aus den Kapiteln 17 bis 21, 왘 Erweiterungen, Komponenten, Sprachen und Tools für das Windows Scripting (zum Teil als Vollversionen, zum Teil als Demo-Versionen), 왘 Dokumentationen zu Visual Basic Script, dem WSH und einigen der besprochenen Komponenten 왘 Video-Lektionen zum Thema „Desktopvirtualisierung mit den Remotedesktopdiensten“.

28

1

Betriebssysteminstallation

Wer schon einmal Windows Vista installiert hat, dem wird der Installationsablauf bekannt vorkommen. Denn die Installationsroutine von Windows 7 beruht eindeutig auf Windows Vista – mit kleinen Änderungen in der Ablaufreihenfolge. Und wie bereits Windows Vista bietet Windows 7 vielfache Unterstützungen für eine einfache automatisierte Verteilung in Unternehmensnetzwerken. Neben den Voraussetzungen für die Installation von Windows 7 und der detaillierten Beschreibung einer Einzelplatzinstallation, werden in diesem Kapitel deshalb auch im Überblick Technologien vorgestellt, die eine Verteilung von Windows 7 in Unternehmensnetzwerken unterstützen.

1.1

Installationsplanung und Vorbereitung

Eine durchdachte Planung und Vorbereitung ist der Grundstein einer jeden erfolgreichen Installation. Vor jeder Installation sollten deshalb die folgenden Fragen geklärt werden: 왘 Windows 7 stellt besondere Anforderungen an die Hardware. Sind die vorhandenen Computer und deren Peripherie mit Windows 7 kompatibel? Welche Anforderungen müssen neue Rechner erfüllen? (Siehe hierzu den folgenden Abschnitt 1.1.1) 왘 Welche Edition von Windows 7 wird benötigt bzw. ist am besten geeignet? (Siehe hierzu Abschnitt 1.1.2 ab Seite 34) 왘 Welches Installationsverfahren ist am besten geeignet? (Siehe hierzu Abschnitt 1.1.3 ab Seite 35) 왘 Ist die Einrichtung einer mehrsprachigen Systemumgebung erforderlich? (Siehe hierzu Abschnitt 1.3.3 ab Seite 82) 29

Kapitel 1 Betriebssysteminstallation

1.1.1

Sicherstellung der Systemanforderungen

Der folgende Abschnitt erläutert die Anforderungen von Windows 7 und soll auch bei der Beantwortung der Frage helfen, inwieweit die vorhandenen Computer und deren Peripherie für den Einsatz mit Windows 7 geeignet sind.

Hardwareanforderungen Die von Microsoft empfohlenen Mindestanforderungen liegen (bis auf die Hauptspeicherkapazität) nicht höher als die für Windows Vista, sodass die heute erhältlichen Komplettsysteme die Anforderungen in der Regel problemlos erfüllen. Bei älteren Systemen aber ist zu hinterfragen, ob diese für den Einsatz von Windows 7 geeignet sind. Dabei ist zu unterscheiden, ob die Hardware so ausgelegt ist, dass Windows 7 darauf grundsätzlich lauffähig ist, aber nicht alle spezifischen Funktionen unterstützt, oder ob alle Neuerungen von Windows 7 nutzbar sind. Dies betrifft insbesondere die grafikintensive Benutzeroberfläche, die Microsoft bereits mit Windows Vista unter dem Namen Aero eingeführt hat sowie die erweiterten Multimediafunktionen von Windows 7.

Authentic, Energetic, Reflective, Open = Aero Aero steht für die neue vektorbasierte Benutzeroberfläche von Windows. Diese bietet im sogenannten Aero-Glass-Modus dem Benutzer frei skalierbare Fenster mit Schattenwurf, halbtransparente Rahmen sowie flüssige Animationen beim Minimieren, Maximieren, Schließen und Öffnen von Fenstern. Hinsichtlich der Hardwareanforderungen sollten die folgenden Punkte beachtet werden. 왘 Prozessor Grundsätzlich ist Windows 7 auf allen aktuellen Prozessoren von Intel und AMD lauffähig und unterstützt alle Funktionen. Gemäß Microsoft genügt für die Nutzung der Basisfunktionen ein 1-GHz-Prozessor mit 32 Bit oder 64 Bit. In der Praxis sollte es jedoch mindestens ein 2-GHzProzessor sein. Empfehlenswert ist der Einsatz von Dual-Core-Prozessoren, die von Hause aus eine effizientere Leistungserbringung gewährleisten. Überlegenswert ist auch, mit Windows 7 eventuell auf die 64-Bit-Prozessortechnologie umzusteigen. Erleichtert wird der Umstieg dadurch, dass Microsoft alle Editionen auch als 64-Bit-Variante zur Verfügung stellt. Allerdings ist zu beachten, dass bei Einsatz einer 64-Bit-Version einige zusätzliche Anforderungen bestehen. So können beispielsweise nur noch signierte Treiber verwendet werden. Es sollte daher im Vorfeld sichergestellt werden, ob für die eingesetzte Hardware 64-Bit-Treiber zur Verfügung stehen. Im Gegensatz zu den Treibern können die meisten Programme, die für die 32-Bit-Version von Windows entwickelt wurden, auch unter der 64-Bit-Version ausgeführt werden. Allerdings laufen 64-Bit Anwendungen in der Regel schneller, da diese die Vorteile der 64-Bit-Architektur vollständig nutzen.

30

1 Installationsplanung und Vorbereitung 왘 Grafikkarte

Eine wesentliche Bedeutung kommt der verwendeten Grafikkarte zu, insbesondere wenn ein Aero-Desktopdesign verwendet werden soll. Für deren Einsatz muss die Grafikkarte das Windows Display Driver Model (WDDM) unterstützen. Auf dieses setzt u.a. auch der Multimediastandard DirectX 10 auf, der bereits mit Windows Vista Einzug gehalten hat. Zwar läuft Windows 7 auch mit DirectX 9, das Shader-Modell 4.0 sowie WDDM wird jedoch nur von DirectX 10 benutzt. Zusätzlich unterstützt Windows 7 die Version DirectX 11. Außerdem muss die Grafik-CPU über mindestens 128 MB Arbeitsspeicher verfügen. Bei Systemen mit integrierter Grafik-CPU sollte darauf geachtet werden, dass der Chipsatz WDDM-Unterstützung bietet. Um auch Grafikkarten ohne WDDM verwenden zu können, verwendet Windows 7 automatisch einen anderen Grafikmodus bzw. ein Basisdesign ohne Aero-Funktionen. In diesem Modus wird die Oberfläche von der CPU statt von der Grafikkarte erzeugt. 왘 Arbeitsspeicher

Offiziell kommt Windows 7 mit 1 GB RAM aus, für x64-Rechner werden 2 GB empfohlen. Dies stellt jedoch die unterste Grenze dar. Insbesondere bei Einsatz einer x64-basierten Windows 7-Edition, ist zu beachten, dass 64-Bit-Anwendungen mehr Arbeitsspeicher benötigen. Maximal unterstützt Windows 7 32-Bit-Versionen mit 4 GB, von denen aber aufgrund von Beschränkungen im 32-Bit-System nur 3,25 GB genutzt werden können. Die 64-Bit-Versionen Ultimate, Enterprise und Professional von Windows 7 können bis zu 192 GB Arbeitsspeicher verwalten (weit mehr als auch der Poweruser normalerweise benötigt), wodurch sie für ganz spezielle Computeraufgaben, die enorme Arbeitsspeichermengen erfordern, wie das Rendern von 3D-Grafiken, ideal geeignet sind. Die 64-Bit Versionen unterstützen bis zu maximal 192 GB (abhängig von der eingesetzten Edition). 왘 Festplatte

Microsoft definiert als Mindestgröße für die Festplatte 16 GB verfügbaren Festplattenspeicher auf einer mindestens 20 GB großen Festplatte. Die 64-Bit-Version erfordert 20 GB Platz. Diese Werte überfordern in der Regel selbst ältere Festplatten nicht, wobei ein Austausch älterer Festplatten auch aufgrund deren geringeren Geschwindigkeit empfehlenswert ist. Zu beachten ist auch, dass Windows 7 einige neue Funktionen im Bereich der Bildbearbeitung mitbringt und der Speicherplatzbedarf allein aus diesem Grund stark ansteigen kann. Wird ein Rechner für diese Zwecke eingesetzt, sollte bereits bei der Anschaffung darauf geachtet werden, dass dieser über möglichst viel Speicherplatz verfügt und, noch wichtiger, dass er später durch zusätzliche Festplatten erweiterbar ist. Windows 7 akzeptiert für das System nur Festplattenpartitionen, die mit dem Dateisystem NTFS formatiert sind. Für weitere (Nicht-System-) Partitionen werden auch FAT und FAT32 als Dateisystem unterstützt.

31

Kapitel 1 Betriebssysteminstallation 왘 BIOS

Das BIOS muss ACPI (Advanced Configuration and Power Interface) unterstützen. ACPI ist ein offener Industriestandard, der eine flexible und erweiterbare Hardwareschnittstelle für die Systemplatine definiert. Hierzu gehören beispielsweise intelligente Stromsparfunktionen. Vor der Installation sollte überprüft werden, ob der Hersteller eine aktualisierte BIOS-Funktion zur Verfügung stellt. 왘 Weitere Hardware

Für eine Installation vom Installationsmedium ist ein DVD-Laufwerk erforderlich, da Windows 7 nicht mehr auf eine CD-ROM passt. Darüber hinaus sollte mindestens eine 100-MBit-Ethernetkarte bzw. bei Notebooks alternativ eine 802.11-WLAN-Netzwerkkarte vorhanden sein. Wer die Festplattenverschlüsselungsfunktion BITLOCKER nutzen möchte, benötigt außerdem einen TPM-Chip, welcher der Spezifikation 1.2 der Trusted Computing Group (TCG) entspricht, sowie ein TCG-kompatibles BIOS. Alternativ ist für den Einsatz von BitLocker To Go ein USB-Flashlaufwerk erforderlich. Windows 7Logos

Abbildung 1.1 Diese Logos signalisieren, dass die Hardware bestimmte Anforderungen für den Betrieb mit Windows 7 erfüllt.

Wie bereits bei den Vorgängerversionen gibt es auch für Windows 7 die sogenannten Logo Requirements, die festlegen, welche Anforderungen Hardware für den Betrieb mit Windows 7 erfüllen muss, um das Windows 7-Logo tragen zu dürfen. Microsoft beschreibt die Anforderungen an Komplettrechner und PC-Komponenten sehr detailliert. Dabei unterscheiden sich die Anforderungen an Logo-taugliche Hardware laut Microsoft nur wenig von den Logo-Anforderungen von Windows Vista. Allerdings ist der Zugriff auf den sogenannten LogoPoint und damit auf die komplette Logo-RequirementsDatenbank nur noch Microsoft-Partnerfirmen mit Winqual-Account möglich. Dieser wiederum erfordert ein digitales VeriSign-Zertifikat. Alle anderen Anwender können lediglich einen öffentlichen Newsletter abonnieren [WHDC].

Prüfung der Windows 7-Tauglichkeit eines Computers Neue Geräte erfüllen in der Regel die Anforderungen, die Windows 7 an die Hardware stellt. Anders hingegen ist es mit älteren Rechnern. Und welches Unternehmen kann es sich leisten, mit jedem Betriebssystemwechsel auch die Hardware komplett auszutauschen? In aller Regel müssen deshalb auch ältere Rechner verwendet werden.

Windows 7 Upgrade Advisor

32

Um festzustellen, ob ein vorhandener Rechner für den Einsatz von Windows 7 geeignet ist, bietet Microsoft den Nachfolger des bereits für Windows Vista verfügbaren Upgrade Advisors an. ist. Der kostenlose Windows 7 Upgrade

1 Installationsplanung und Vorbereitung

Advisor überprüft Hardware, Geräte und installierte Programme auf bekannte Kompatibilitätsprobleme, gibt Hilfestellung beim Beheben erkannter potenzieller Probleme und empfiehlt Aktionen, die vor dem Upgrade ausgeführt werden sollten. Damit können mögliche Installationshindernisse aufgespürt und vor Beginn der Installation beseitigt werden [ADVISOR]. Der Windows 7 Upgrade Advisor analysiert die vorhandene Hardware und Software und gibt Auskunft darüber, ob für alle Hardwarekomponenten Treiber zur Verfügung stehen, listet die Programme auf, die unter 7 nicht lauffähig sind, und schlägt eine geeignete Windows 7-Edition vor. Nach Durchführung des Prüflaufs wird der nachfolgend abgebildete exemplarische Ergebnisbericht angezeigt. Dieser zeigt in verschiedenen Registerkarten die Tauglichkeit für den Einsatz der unterschiedlichen 7er-Editionen und weist ggf. auf noch erforderliche Maßnahmen hinsichtlich Systemausstattung, vorhandener Geräte und installierter Anwendungen hin. Allerdings beschränken sich die Ratschläge meist darauf, die Website des Herstellers aufzusuchen. Abbildung 1.2 Ergebnis der Windows 7Upgrade-AdvisorPrüfung

33


Ausführbar ist Windows 7 Upgrade Advisor unter Windows XP, Windows Vista und Windows 7. Der Einsatz auf Windows 7-Systemen kann dazu dienen, um festzustellen, ob der Einsatz anderer Windows 7-Editionen möglich ist.

1.1.2

Die Editionen von Windows 7 im Vergleich

Wie bereits die Vorgängerversionen Windows XP und Windows Vista ist auch Windows 7 in unterschiedlichen Editionen erhältlich. Während jedoch bei Windows XP die eingesetzte Hardware die Auswahl der Edition bestimmte, wie beispielsweise bei der Windows XP Tablet PC Edition, sind bei Windows Vista und Windows 7 die Editionen auf den Einsatzzweck ausgerichtet. So wendet sich Windows 7 Home Premium an Privatanwender, während Windows 7 Professional für den Einsatz in Unternehmen ausgelegt ist. Alle Editionen auch als x64Variante

Windows 7 ist in den nachstehend aufgeführten Editionen erhältlich, die jeweils einem unterschiedlichen Nutzungsprofil entsprechen. Mit Ausnahme der Starter-Edition gibt es alle Editionen sowohl in einer 32-BitVariante als auch in einer 64-Bit-Variante. Bei den im Handel erhältlichen Retail-Editionen kann ausgewählt werden, ob die 32-Bit- oder die 64-BitVersion installiert werden soll. (Windows 7 System-Builder- und OEMVersionen beinhalten jeweils nur die 32-Bit- oder die 64-Bit-Version.) Windows 7 Starter Die kleinste Variante ist in Deutschland nicht verfügbar. Diese Edition wird besonders preiswert vertrieben und ist vornehmlich für Entwicklungsländer bzw. Schwellenländer konzipiert. Der Funktionsumfang dieser Edition ist stark eingeschränkt und insbesondere für die Verwendung auf leistungsschwacher Hardware wie beispielsweise Netbooks gedacht. Sie ist auch die einzige Edition, die nur in einer 32-Bit-Variante erhältlich ist. Windows 7 Home Basic Windows Home Basic ist ebenfalls nicht in Deutschland erhältlich. Als stark abgespeckte Edition wird sie nur in speziellen Märkten vertrieben. Dieser Edition fehlt die Aero-Oberfläche, das Media Center sowie die Tauglichkeit, einer Domäne beizutreten. Die Zielgruppe dieser Edition sind Heim-PCAnwender, die ein preiswertes Windows-Betriebssystem suchen und denen es vor allem auf die Grundfunktionen von Windows ankommt. Windows 7 Home Premium Windows 7 Home Premium ist jene Edition, die sich auf den meisten Consumer-PCs finden wird. Sie beinhaltet sämtliche Multimedia-Features einschließlich des Windows Media Centers. Im Unternehmensbereich ist diese Edition nicht einsetzbar, unter anderem schon deshalb, weil kein Beitritt zu einer Domäne möglich ist.

34


Windows 7 Professional Die Professional-Edition ersetzt die Windows Vista Business Edition. Sie ist für den Einsatz in Unternehmen konzipiert und unterstützt beispielsweise die Mitgliedschaft in Active Directory-Domänen, stellt Technologien für eine automatisierte Bereitstellung im Unternehmensnetzwerk bereit und ist darüber hinaus mit Tablet-PC-Technologie ausgestattet. Einschränkend bietet sie keine Premium-Funktionen (u.a. BitLocker, AppLocker, DirectAccess, BranchCache und Multilanguage-Support). Windows 7 Enterprise und Ultimate Windows 7 Enterprise und Windows 7 Ultimate spielen eine Sonderrolle. Im Gegensatz zu den Windows Vista-Editionen unterscheiden sich diese beiden Editionen nicht in der Ausstattung, sondern lediglich in der Art und Weise der Lizenzierung. So ist die Enterprise Edition ausschließlich für Volumenlizenzkunden mit Software Assurance erhältlich und erlaubt die Aktivierung über einen unternehmenseigenen Schlüsselverwaltungsdienst [VAMT]. Beide Editionen verfügen über sämtliche Premium-Funktionen und sind für den Einsatz in komplexen IT-Infrastrukturen konzipiert. Ursprünglich hatte Microsoft für Europa mit Windows 7 E (ohne Internet Spezielle EuropaExplorer 8) und Windows 7 N (ohne Internet Explorer 8 und zusätzlich ohne Editionen waren Windows Media Player) zwei spezielle OEM-Versionen zur Vorinstallation geplant angekündigt. Diese Versionen wollte Microsoft anbieten, um die Auflagen der EU-Kommission zu erfüllen. Stattdessen aber ist nun geplant (Stand 12/2009), den Browser-Auswahlbildschirm Ballot-Screen zu implementieren. Anwender können damit einen anderen Browser als den Internet Explorer unter Windows 7 installieren.

1.1.3

Neuinstallation versus Upgrade

Eine der wichtigsten Entscheidungen bei einer Betriebssystemmigration in Bezug auf die Installation ist die Wahl des Installationsverfahrens. Hierbei ist zu entscheiden, ob eine Neuinstallation (Clean install) erfolgen oder ob ein bestehendes Betriebssystem mittels Aktualisierung (In-Place-Upgrade) aktualisiert werden soll bzw. kann. Allerdings ist im Fall von Windows 7 die Entscheidung meist einfach, denn Aktualisierung Windows Vista ist die einzige Windows-Version, von der aus direkt auf nur von Windows Windows 7 aktualisiert werden kann. Bei Einsatz einer älteren Windows- Vista unterstützt Version wie beispielsweise Windows XP bleibt nur, Windows 7 frisch zu installieren und danach bei Bedarf zumindest die Benutzereinstellungen mit Windows-EasyTransfer auf Windows 7 zu übertragen. Leider müssen in diesem Fall alle Anwendungen neu installiert werden. Der Grund ist technisch bedingt. Für Windows Vista hat Microsoft ein In-Place-Upgrade von Windows XP als Upgrade-Pfad zwar implementiert, doch war das Ergebnis nicht immer zufriedenstellend, da Windows XP und alle übrigen Vorgängerversionen in vielen Bereichen grundsätzlich andersartige Technologien als Windows Vista verwenden.

35


Um derartigen Problemen vorzubeugen, wird eine Aktualisierung auch von Windows XP nicht mehr unterstützt. Aus diesem Grund sollte auch auf den Workaround verzichtet werden, zuerst auf eine Testversion von Windows Vista und von dort aus dann weiter zu Windows 7 zu aktualisieren. Schließlich bietet eine Neuinstallation auch die Chance, sich von Altlasten zu befreien.

Aktualisierung versus Neuinstallation Bei der Aktualisierung einer vorhandenen Windows-Version ersetzt der Installations-Assistent für Windows 7 vorhandene Windows-Dateien, behält jedoch die vorhandenen Einstellungen und Anwendungen bei. Bei einer Benutzerdefinierten Installation (Neuinstallation) muss Windows 7 neu installiert werden. Die Installation kann bei einer Neuinstallation wahlweise aus einem vorhandenen Betriebssystem heraus oder durch Booten mit der Windows 7-Installations-DVD gestartet werden. Zusätzlich ist es möglich, Windows 7 neu zu installieren (auf dem gleichen oder einem anderen Rechner), dabei jedoch die Einstellungen und Dateien des alten Systems zu übernehmen. Ein solcher Umzug ist möglich von Rechnern, auf denen Windows 2000 oder höher ausgeführt wird. Hierbei werden die Daten vom alten Computer eingesammelt und dann auf dem neuen Computer wiederhergestellt. Microsoft bezeichnet ein derartiges Vorgehen ebenfalls als Upgrade (im Gegensatz zum In-Place-Upgrade). Hierbei handelt es sich tatsächlich um eine Neuinstallation mit einer zusätzlichen Migration von Benutzereinstellungen, Dokumenten und Anwendungen.

Unterstützte Upgrade-Szenarien Zu beachten ist, dass nicht von jeder Windows Vista-Edition ein Upgrade auf jede Windows 7-Edition technisch unterstützt wird. Die folgende Tabelle zeigt die zulässigen Upgrade-Möglichkeiten zu den verschiedenen Windows Vista-Editionen. Tabelle 1.1 Zulässige Windows 7-In-PlaceUpgrade-Pfade

36

Windows Vista-Edition

Unterstützte Windows 7-Edition

Windows Vista Home Basic

Windows 7 Home Premium und Ultimate

Windows Vista Home Premium Windows 7 Home Premium und Ultimate Windows Vista Ultimate

Windows 7 Ultimate

Windows Vista Business

Windows 7 Professional, Enterprise und Ultimate

Windows Vista Enterprise

Windows 7 Enterprise


Es ist zu beachten, dass architekturübergreifende direkte Upgrades, d.h. von einer 32-Bit- auf eine 64-Bit-Version, nicht unterstützt werden. Weiterhin gilt, dass die genannten Upgrade-Möglichkeiten nicht für alle Sprachversionen gelten. So wird beispielsweise ein Upgrade bzw. eine Aktualisierung bei der bulgarischen Sprachversion von Windows Vista auf die entsprechende Sprachversion von Windows 7 nicht unterstützt. Dies muss im Einzelfall vor der Installation geprüft werden.

Übernahme von Dateien und Einstellungen Dank zweier Programme kann die Durchführung einer Neuinstallation außerdem deutlich vereinfacht werden. Hierbei handelt es sich zum einen um Windows-EasyTransfer und zum anderen um das User State Migration Tool (USMT). Beide Programme bieten eine schnelle und einfache Möglichkeit, benutzer- Verschiedene spezifische Dateien und Einstellungen zu kopieren. Während Windows- Einsatzzwecke EasyTransfer zum Migrieren von Einstellungen und Dateien aller oder einzelner Benutzer von einem einzelnen Computer auf einen anderen Computer verwendet werden kann, erlaubt es das User State Migration Tool (USMT), gleichzeitig die Dateien und Einstellungen für mehrere Benutzer auf mehreren Computern zu migrieren, und unterstützt damit die Bereitstellung von Windows 7 in Unternehmensnetzwerken. Da USMT typischerweise im Rahmen der Bereitstellung von Windows auf den Clientrechnern in Unternehmensnetzwerken eingesetzt wird, finden Sie eine detaillierte Beschreibung dieses Programms in Abschnitt 1.3.2 ab Seite 69. Windows-EasyTransfer ist ein kostenloses Tool und kann in verschiede- Windows-Easynen Sprachversionen aus dem Microsoft Download Center heruntergela- Transfer den werden. Das Tool kann zum Verschieben von Benutzerkonten, Dateien und Ordnern, Interneteinstellungen und Favoriten sowie E-Mail-Einstellungen von einem vorhandenen Windows-Computer mit Windows XP [EASYTRANS_ XP] oder Windows Vista [EASYTRANS_VISTA32 und [EASYTRANS_ VISTA64] auf einen neuen Computer mit Windows 7 verwendet werden. Die Übertragung von Programmen ist jedoch nicht möglich, was bedeutet, dass alle Anwendungen nach einer Neuinstallation zwingend neu installiert werden müssen. Die Übertragung der Dateien mit Windows EasyTransfer kann mithilfe der folgenden Medien erfolgen: 왘 Netzwerkverbindung 왘 Wechselmedien, wie beispielsweise USB-Laufwerk oder externe Festplatte 왘 USB-EasyTransfer-Kabel

37


In Windows 7 ist die Software bereits integriert. Es ist daher nicht erforderlich, auf dem Computer, auf dem Windows 7 ausgeführt wird, Windows-EasyTransfer zu installieren. Die Übertragung mithilfe von Windows-EasyTransfer umfasst die folgenden Arbeitsschritte: 1. Nachdem Windows-EasyTransfer heruntergeladen wurde, muss es auf dem Quellrechner installiert werden. Alternativ kann EasyTransfer auf einen USB-Stick oder auf eine Netzfreigabe kopiert und von dort gestartet werden. 2. Damit Einstellungen von einem Computer auf einen anderen übertragen werden können, muss Windows-EasyTransfer auf beiden Computern gestartet werden. Öffnen und starten Sie Windows-EasyTransfer zuerst auf dem Quellrechner. Folgen Sie den Anweisungen des Assistenten. Aus Sicherheitsgründen ist für den Transfer die Verwendung eines Übertragungsschlüssels erforderlich. 3. Öffnen und starten Sie Windows-EasyTransfer dann auf dem Computer, auf dem Windows 7 ausgeführt wird. Geben Sie hierzu im Suchfeld des Startmenüs „Easy“ ein, und klicken Sie dann auf Windows-EasyTransfer. 4. Mithilfe des Windows EasyTransfer-Assistenten können anschließend die zu übertragenden Einstellungen und Dateien ausgewählt werden. Dabei können sowohl die Einstellungen aller Benutzer des Quellrechners als auch nur die des angemeldeten Benutzers gewählt werden. Sobald die Dateien und Einstellungen von dem alten Computer gesammelt und gespeichert wurden, muss wiederum zum Windows 7-Zielcomputer gewechselt werden, um den Assistenten abzuschließen. Abbildung 1.3 Der Windows-EasyTransfer-Assistent führt durch den Übernahmeprozess.

Steht das „alte“ System nach Abschluss der Installation von Windows 7 noch zur Verfügung, kann die Übernahme der Einstellungen im Anschluss an die

38


Installation erfolgen. Bei einer Neuinstallation auf dem gleichen System müssen die Einstellungen auf dem Quellcomputer zuvor gespeichert werden. Bei der Migrationsplanung sollte sorgfältig ausgewählt werden, welche Ele- Daten sorgfältig mente migriert werden (persönliche Benutzereinstellungen, Anwendun- auswählen gen, Anwendungseinstellungen, persönliche Datendateien und Ordner). Hierbei gilt, dass auf dem Zielsystem nur die Informationen wiederhergestellt werden dürfen, die wirklich benötigt werden. Das Wiederherstellen von Daten und Einstellungen für Anwendungen, die auf dem Zielsystem nicht mehr installiert werden, ist redundant und führt unter Umständen sogar zu Instabilität auf dem neuen Windows 7-Zielrechner.

1.1.4

Sichern bestehender Systeme vor Beginn der Migration

Sind auf einem Rechner, der nach Windows 7 migriert werden soll, lokale Daten gespeichert, müssen diese zwingend vor der Migration gesichert werden. Dies gilt auch für den Fall, dass eine Aktualisierung des Betriebssystems erfolgen soll. Beim Speichern der wichtigen lokalen Daten richten sich die Möglichkeiten nach dem ursprünglichen Betriebssystem und den verfügbaren Sicherungsoptionen. Möglich ist die Verwendung folgender Backup-Methoden: 왘 Verwendung systemintegrierter Werkzeuge (Windows-Backup) oder anderer Sicherungssoftware 왘 Sicherung der Daten in einen Netzwerkordner 왘 Brennen der Daten auf eine CD oder DVD 왘 Sicherung auf einer externen Festplatte Abhängig von der Wichtigkeit des Arbeitsplatzrechners kann es notwendig Festplattensein, eine Fallback-Möglichkeit einzuplanen, um bei Problemen während Image erstellen der Migration das bisherige System wiederherstellen zu können. Während die Sicherung der Daten beispielsweise durch einfaches Kopieren auf ein Netzlaufwerk erfolgen kann, lässt sich die zweite Anforderung am einfachsten durch Erstellung eines Speicherabbilds der Festplatte bzw. einer ausgewählten Partition lösen. Dies ist mit Windows-Bordmitteln jedoch nicht möglich. In diesem Fall müssen spezielle Festplattenabbildungsprogramme beispielsweise von den Anbietern Symantec oder Acronis verwendet werden, die es ermöglichen, exakte Kopien von Festplatten und Partitionen zu erstellen, die auf Laufwerken im Netzwerk oder auf CD-ROM bzw. DVD gespeichert werden können und es im Notfall erlauben, ein System mit allen Anwendungen und Einstellungen wiederherzustellen. Aktuell (Stand 12/09) vertreibt Symantec Norton Ghost in der Version 15.0. Norton Ghost Diese läuft unter Windows XP (Home und Professional) und unter Windows Vista (Home, Business und Ultimate). Norton Ghost stellt, neben diversen anderen Funktionen, Backup-Funktionen zur Sicherung des gesamten Inhalts einer Festplatte oder Partition (Festplatten-Image).

39


Norton Ghost 15

Acronis True Image

Hersteller:

Symantec

Preis:

34,99 EUR

URL:

http://www.symantecstore.com/dr/v2/ec_Main.Entry 17c?SID=27679&SP=10023&CID=178299&PID= 952080&PN=1&V1=952080&CUR=978

Alternativ kann beispielsweise Acronis True Home 2010 eingesetzt werden. Dieses Tool ermöglicht ebenfalls das Erstellen exakter Images von Festplatten bzw. Partitionen inklusive aller Daten, des Betriebssystems und der Programme und dateibasierte Backups für wichtige Dateien und Verzeichnisse von Rechnern mit Microsoft Windows XP (Home, Professional und Professional x64 Edition), Windows Vista (alle Editionen) sowie Windows 7 (alle Editionen). Da Acronis True Home 2010 bereits Windows 7 unterstützt, kann das Programm nach erfolgter Migration auch zum Sichern des Windows 7Rechners verwendet werden. Darüber hinaus bietet das Programm einige spezielle Funktionen für den Einsatz in Unternehmensnetzwerken. Hierzu zählen u.a. eine zentrale Administration und Remotesicherung bzw. -wiederherstellung sowie die Möglichkeit, Sicherungen auf direkt angeschlossenen Speichergeräten und NAS- oder SAN-Volumes zu speichern. Acronis True Home 2010 Hersteller:

Acronis

Preis:

49,95 EUR

URL:

http://www.acronis.de

1.1.5

Checkliste zur Installationsvorbereitung

Nachstehend finden Sie zusammengefasst noch einmal die wichtigsten Punkte, die überprüft bzw. angepasst oder durchgeführt werden sollten, bevor Sie mit der Installation von Windows 7 beginnen: 1. Prüfen Sie, ob der Rechner bzw. die Rechner die Hardware-Mindestvoraussetzungen für die Systeminstallation erfüllt bzw. erfüllen. Beachten Sie hierzu die Ausführungen in Abschnitt 1.1.1 ab Seite 30. 2. Überprüfen Sie, ob Windows 7 die verwendeten Hardwarekomponenten unterstützt. Verwenden Sie hierzu das Programm Windows 7 Upgrade Advisor. Hinweise zur Prüfung der Windows 7-Tauglichkeit finden Sie in Abschnitt 1.1.1 ab Seite 32. 3. Testen Sie die Kompatibilität der eingesetzten Unternehmenssoftware mit Windows 7. Insbesondere bei einem geplanten Upgrade ist es erforderlich, den Einsatz der Anwendungen unter Windows 7 im Vorfeld zu testen. Ergänzende Hinweise hierzu finden Sie in Kapitel 3.

40

1 Durchführung einer Einzelarbeitsplatz-Installation

4. Prüfen Sie, welche Installationsart für Ihr Unternehmen am besten geeignet ist. Müssen nur wenige Computer installiert werden, oder handelt es sich um ein Rollout für eine größere Anzahl von Arbeitsplatzrechnern? Legen Sie zum einen fest, ob die Installation mittels Neuinstallation oder mittels Update durchgeführt werden soll (siehe Abschnitt 1.1.3 ab Seite 35), und zum anderen, ob die Installation im Rahmen von Einzelarbeitsplatz-Installationen (Abschnitt 1.2 ab Seite 41) oder mithilfe automatisierter Installationsmethoden (Abschnitt 1.3 ab Seite 60) erfolgen soll. 5. Ist eine Neuinstallation geplant, bei der Benutzereinstellungen übernommen werden müssen, sollte vor Beginn der Installation entweder das Programm Windows-EasyTransfer oder das User State Migration Tool ausgeführt werden. Beachten Sie hierzu die Ausführungen in Abschnitt 1.1.3 ab Seite 37 bzw. in Abschnitt 1.3.2 ab Seite 68. 6. Sichern Sie alle lokal gespeicherten Dateien und ggf. die Systemkonfiguration vor Beginn der Migration eines bestehenden Systems. Im schlimmsten Fall kann ein zuvor funktionierendes System durch eine Update-Installation unbrauchbar werden. Da es in dieser Situation keinen Weg zurück gibt, ist die Sicherung der Startpartition beispielsweise mit Norton Ghost oder Acronis True Image vor Beginn der Installation zu empfehlen (siehe hierzu die Hinweise in Abschnitt 1.1.4 ab Seite 39). 7. In international agierenden Unternehmen werden ggf. verschiedene Sprachversionen benötigt. Die Möglichkeiten zur Verwendung von Sprachpaketen werden vorgestellt in Abschnitt 1.3.3 ab Seite 82.

1.2

Durchführung einer Einzelarbeitsplatz-Installation

Die einfachste Form der Installation besteht auch bei Windows 7 in der Ausführung des Setups mithilfe der Windows 7-Betriebssystem-DVD auf einem einzelnen Rechner. Der folgende Abschnitt beschreibt den generellen Installationsablauf bei Durchführung einer Einzelarbeitsplatz-Installation, bevor im anschließenden Abschnitt automatisierte Installationsverfahren vorgestellt werden. Aufgrund der Verwendung von TCP/IP als Standardprotokoll können Windows 7-Computer in eine Reihe verschiedener Netzwerkumgebungen integriert werden. Hierzu gehören neben Windows- auch Novell NetWareund Unix- sowie host-basierte Netzwerke.

1.2.1

Unterschiede zu früheren WindowsInstallationen

Bereits mit Windows Vista hat Microsoft einige grundlegende Änderungen beim Installationsprozess eingeführt. Diese vereinfachen insbesondere die

41


automatisierte Bereitstellung von Windows 7 in Unternehmensnetzwerken, wie später noch gezeigt wird, haben aber auch Auswirkungen auf den Installationsprozess eines Einzelarbeitsplatz-Rechners.

Keine Installation im Textmodus mehr Der grundlegende Prozess zur Installation war bislang seit Windows NTZeiten unverändert und umfasste einen anfänglichen Textmodus-Installationsteil, bei dem jede einzelne Betriebssystemdatei dekomprimiert und installiert, alle Registrierungseinträge erstellt und sämtliche Sicherheitseinstellungen zugewiesen wurden. Diese Textmodus-Installationsphase gibt es bei Windows 7 nicht mehr. Stattdessen wird die Installation von einem neuen Setup-Programm komplett im grafikbasierten Modus durchgeführt.

Windows PE statt Startdisketten Die Vorgängerversionen von Windows 7 bzw. Windows Vista ermöglichten alternativ zum Starten der Installation von CD-ROM die Verwendung von Startdisketten. Diese Möglichkeit existiert nicht mehr. Stattdessen verwendet Windows 7 das Windows Pre-Installation Environment (Windows PE). Bei Windows PE handelt es sich um eine Minimalversion von Windows, mit der eine Untermenge der Windows-Systemumgebung über das Netzwerk oder ein Wechselmedium gestartet wird und die Programme zur Installation und zur Wiederherstellung des Microsoft Windows 7-Betriebssystems zur Verfügung stellt. Hierbei wird standardmäßig unter Verwendung einer RAM-Disk gebootet. Auf der Installations-DVD liegen die Setup-Dateien nicht mehr einzeln, sondern gepackt im Windows Image Format (WIM) vor. Entwickelt wurde Windows PE als Ersatz für MS-DOS als Prä-Installationsumgebung und löst damit die DOS-Bootdiskette bzw. die DOS-BootUmgebung ab. Windows PE kann aufgrund der Größe (ca. 260 MB) nicht auf einer Diskette gespeichert werden. Unterstützt wird das Speichern u.a. auf CD, DVD und USB-Sticks. Im Übrigen wird bei jeder Installation von Windows 7 Windows PE ausgeführt. Dem Anwender begegnet Windows PE als grafische Oberfläche, in der während der Setup-Phase die Konfigurationsinformationen abgefragt werden. Aber auch wenn jede Windows 7Installation mit Windows PE beginnt, wird man als Anwender dessen Existenz gar nicht bemerken.

Windows Image Format (WIM) WIM ist ein dateibasiertes Imageformat für die Erstellung von Festplatten-Abbilddateien, das gegenüber den allgemein gebräuchlichen sektorbasierten Imageformaten deutlich Vorteile bietet und die Erstellung und Verwaltung von Betriebssystemabbildern (Images) sehr erleichtert. So ermöglicht es dieses Format beispielsweise, nur ein Image für mehrere verschiedene Konfigurationen zu nutzen. Außerdem können WIM-basierte Images jederzeit nachträglich geändert und angepasst werden. Treiber, Updates und andere Windows-Komponenten können offline und ohne einen einzigen Start des Images hinzuefügt und entfernt werden.

42


Windows 7 bringt Programme mit, mit denen Images direkt bearbeitet werden können. Eine ausführliche Beschreibung der Bereitstellung von Windows 7 mithilfe der neuen Imagefunktionen finden Sie in Abschnitt 1.3 ab Seite 60.

\i386 gibt es nicht mehr Das noch bei Windows XP wichtige Verzeichnis \i386 gibt es bei Windows 7 nicht mehr (weder auf der DVD noch später nach dem Abschluss der Installation auf der Festplatte des Rechners). Stattdessen werden alle Komponenten, ob installiert oder nicht, im Windows-Verzeichnis gespeichert. Bei Installation einer neuen Komponente werden die erforderlichen Dateien aus diesem Speicherort abgerufen. Entsprechend sucht man auch die beiden Installationsdateien WINNT.EXE und WINNT32.EXE vergeblich, die sich bei den Vorgängerversionen von Windows Vista im Installationsverzeichnis \i386 befinden. Um die Installation von Windows 7 zu starten, ist stattdessen die Datei Setup.exe aus dem Stammverzeichnis der Windows 7-DVD zu verwenden.

1.2.2

Ablauf einer Neuinstallation

Die Möglichkeiten zum Start der Installation von Windows 7 hängen vor allem davon ab, ob bereits ein Betriebssystem vorhanden ist, aus dem heraus die Installation angestoßen werden kann, oder ob eine Neuinstallation auf einem Rechner ohne Betriebssystem erfolgt. Dieser Abschnitt beschreibt ausführlich den Vorgang der Installation von Windows 7 auf einem „ leeren“ Rechner ohne vorhandenes Betriebssystem. Der Ablauf einer Upgrade-Installation unterscheidet sich nur geringfügig von dem einer Neuinstallation und wird im anschließenden Abschnitt 1.2.3 ab Seite 53 beschrieben. Windows 7 wird auf einer bootfähigen Installations-DVD geliefert. Um die Booten mit der Installation von dieser DVD starten zu können, muss ggf. zuvor die Sys- Windows 7-DVD tembootreihenfolge im BIOS geändert werden: 1. CD-ROM 2. Boot-Festplatte Damit anschließend der Startvorgang von der DVD beginnen kann, muss eine beliebige Taste gedrückt werden, sobald die entsprechende Aufforderung erfolgt. Bei späteren Neustarts während der Installationsroutine kann die DVD somit im Laufwerk verbleiben, allerdings ist dann ein Drücken von Tasten zu unterlassen. Eine weitere Möglichkeit, die Installation zu starten, besteht darin, Setup.exe Installation mit aus dem Stammverzeichnis der Windows 7-Installations-DVD auszuführen. Setup.exe Der Aufruf von Setup.exe kann entweder direkt von der DVD oder durch Ablage des Installationsverzeichnisses im Netzwerk erfolgen. Dabei besteht der hauptsächliche Unterschied im Speicherort der Dateien, die zur Installation von Windows 7 benötigt werden. Im zweiten Fall muss der zu installie-

43


rende Rechner über einen Netzwerkzugriff (Leserechte) auf das freigegebene Installationsverzeichnis verfügen. Das Verhalten von Setup.exe kann mit einer Reihe von Parametern gesteuert werden. Die folgende Tabelle zeigt die für Setup.exe verfügbaren Parameter. Tabelle 1.2 Parameter von Setup.exe

Installation erfolgt in drei Phasen

44

Setup.exe-Parameter

Erklärung

/1394debug:

Aktiviert das Kernel-Debugging über einen IEEE 1394-Anschluss.

/debug: /baudrate:

Aktiviert das Kernel-Debugging über den angegebenen Port.

/emsport: /usebiossettings / /emsbaudrate:

Aktiviert/Deaktiviert die Notverwaltungsdienste Emergency Management Services (EMS). Mit EMS können Rechner in Problemsituationen remote verwaltet werden, ohne dass eine lokale Tastatur, Maus oder ein Monitor angeschlossen ist.

/noreboot

Hiermit wird das Installationsprogramm angewiesen, den Computer nach der ersten Initialisierungsphase nicht neu zu starten, sodass weitere Einstellungen vorgenommen und beziehungsweise Befehle ausgeführt werden können. Alle anderen Neustarts werden wieder automatisch durchgeführt.

/m:

Mit diesem Parameter kann ein zusätzliches Verzeichnis benannt werden, in dem für die Installation zusätzlich verwendbare Daten, wie beispielsweise Treiber, hinterlegt werden.

/tempdrive:

Hiermit wird dem Installationsprogramm das Verzeichnis zur Speicherung temporärer Dateien explizit angegeben. Beim Speicherort muss es sich um einen vollständigen Pfad in der Form x:\Pfad handeln. Alternativ kann auch eine Netzwerkfreigabe in UNC-Schreibweise \\Server\ Freigabe\Pfad angegeben werden.

/unattend:

Bei Verwendung dieses Parameters führt das Setup eine unbeaufsichtigte Installation mithilfe einer Antwortdatei aus. Die Antwortdatei enthält Antworten auf einige oder alle Eingabeaufforderungen, die während der Installation normalerweise beantwortet werden müssen.

/usbdebug:

Aktiviert das Kernel-Debugging über einen USB 2.0-Anschluss.

Die Installation erfolgt in drei Teilen und wird komplett im grafikbasierten Modus durchgeführt, eine Textmodus-Installationsphase gibt es bei Windows nicht mehr. 왘 Sammeln von Information 왘 Installation von Windows 7 왘 Durchführung der Erstkonfiguration und Personalisierung


Sammeln von Informationen Das erste Dialogfeld, das nach dem Start der Installation angezeigt wird, Auswahl der fragt die gewünschte Installations- und Tastatursprache sowie das Uhr- Installations- und Tastatursprache zeit- und Währungsformat ab. Abbildung 1.4 Erstes Dialogfeld nach dem Start des Installations-Assistenten

Interessant ist der folgende Abfragedialog. Hier kann mit der Option Jetzt Start der installieren das eigentliche Installationsprogramm gestartet werden. Dane- Installation ben besteht die Möglichkeit, die Option Wissenswertes vor der WindowsInstallation zu wählen. Diese Option ruft eine Hilfe- und Supportseite mit Hinweisen und Anleitungen zur Installation von Windows 7 auf. Abbildung 1.5 Alternativ zum Start der Installation kann an dieser Stelle die Systemwiederherstellung (Computerreparaturoptionen) aufgerufen werden.

45

Kapitel 1 Betriebssysteminstallation Wiederherstellungsoptionen

Alternativ können an dieser Stelle mittels der Option Computerreparaturoptionen die Systemwiederherstellungsoptionen angezeigt werden. Gibt es bei einem Windows 7-Rechner im Produktivbetrieb Probleme, kann hierüber u.a. die Wiederherstellungskonsole geöffnet oder der Rechner mittels einer Sicherung wiederhergestellt werden. Für den Zugriff auf die Reparaturoptionen ist zunächst die zu reparierende Betriebssysteminstallation zu wählen. Anschließend stehen die in dem folgenden Dialogfeld gezeigten Optionen zur Verfügung.

Abbildung 1.6 Mithilfe der Wiederherstellungsoptionen kann ein vorhandenes Windows 7 repariert oder ein früherer Zustand wiederhergestellt werden.

Um an dieser Stelle wieder in den Installationsmodus zurückzukehren, genügt es, auf das Schließfeld in der rechten oberen Fensterecke zu klicken. Anschließend ist festzulegen, ob neuere Updates und Treiber vor bzw. während der Installation aus dem Internet heruntergeladen werden sollen. Hierbei handelt es sich um eine Funktion, die Microsoft als Dynamisches Update bezeichnet. Diese erlaubt es, während der Installation wichtige Updates und Treiber herunterzuladen, die für den Konfigurationsprozess erforderlich sind. Hierbei werden die folgenden Dateien aktualisiert: 왘 Treiber: Das dynamische Update lädt zum einen Treiber herunter, die nicht auf der Windows 7-Installations-DVD verfügbar sind. Es werden ausschließlich Gerätetreiber von der Windows-Aktualisierungswebseite heruntergeladen, nicht von Herstellerseiten. Diese Treiber haben das Logozertifizierungsprogramm durchlaufen. Zum anderen werden Treiber, die in Windows 7 enthalten sind und für die es eine Fehlerbehebung gibt, bereitgestellt. Derartig korrigierte Dateien werden als kritische Updates behandelt.

46

1 Durchführung einer Einzelarbeitsplatz-Installation 왘 Kritische Updates:

Diese ersetzen Dateien, die auf der Windows 7-Installations-DVD vorhanden sind. Zu dieser Kategorie gehören: 1. Updates, die Fehlerbehebungen zu beliebigen bereits installierten Dateien enthalten. 2. Aktualisierte .Installationsdateien, die während des Aktualisierungsvorgangs benötigt werden. 3. Fehlerbehebungen, die kritische Fehlerbehebungen für DLLs (Dynamic Link Libraries) enthalten und die vom Setup-Programm verwendet werden. Die Bestätigung, Updates herunterzuladen, bedingt, dass der Computer während der Installation mit dem Internet verbunden bleiben muss. Wenn dies nicht möglich oder nicht gewünscht ist, muss entsprechend die zweite Option ausgewählt werden. Abbildung 1.7 Während der Installation können aktuelle Updates heruntergeladen werden.

Die Ausführung des dynamischen Updates ist standardmäßig eingeschaltet. Bei der Durchführung unbeaufsichtigter Installationen kann die Funktion mit dem folgenden Parameter deaktiviert werden: DUDisable

In dem folgenden Dialogfeld ist, wie auch bei allen Installationen früherer Windows-Versionen, die Akzeptanz der Lizenzbedingungen zu bestätigen. Im nächsten Schritt bietet der Installations-Assistent „scheinbar“ die Wahl Update-Option zwischen einer Upgrade-Installation und einer benutzerdefinierten Installa- nur scheinbar tion, d.h. einer Neuinstallation. Wurde aber das Setup von einem Installa- verfügbar tionsmedium aus gestartet, erscheint bei Auswahl der ersten Option lediglich ein Auszug aus dem Kompatibilitätsbericht. Dieser weist darauf hin, dass ein Upgrade nur möglich ist, wenn das Setup aus dem zu aktualisierenden Betriebssystem heraus gestartet wird.

47

Kapitel 1 Betriebssysteminstallation Abbildung 1.8 Wurde das Setup von DVD gestartet, muss an dieser Stelle die Option Benutzerdefiniert (erweitert) gewählt werden.

Festplattenpartitionierung

Im letzten Schritt der ersten Phase ist die Installationspartition auszuwählen. An dieser Stelle bietet Windows 7 auch die Möglichkeit, bestehende Partitionen zu löschen und neue zu erstellen.

Abbildung 1.9 Festlegung der Installationspartition

Sinnvolle Festplattenkonfiguration Die Partitionierung und Konfiguration der Festplatte(n) sollten sinnvollerweise vor Beginn der Installation geplant werden. Hierbei sind die folgenden Aspekte zu berücksichtigen.

48


Im Gegensatz zu Windows XP und früheren Versionen akzeptiert Windows 7 für das System nur Festplattenpartitionen, die mit dem Dateisystem NTFS formatiert sind. FAT- und FAT32-Partitionen werden jedoch für Anwendungsdaten vollständig unterstützt. In den meisten Fällen ist eine Aufteilung in eine Systempartition und eine Datenpartition sinnvoll. Allerdings ist das Datenträgermanagement mit Windows 7 deutlich einfacher geworden, sodass Planungsfehler später noch korrigiert werden können. So ist es beispielsweise problemlos und ohne Neustart möglich, auch die Systempartition im laufenden Betrieb dynamisch zu verkleinern bzw. zu vergrößern. Außerdem ist es im Gegensatz zu Windows Vista nicht mehr erforderlich, manuell die für den Betrieb von BitLocker (unter Windows 7 Ultimate) notwendige unverschlüsselte Startpartition anzulegen. Diese wird beim Setup von Windows 7 automatisch angelegt. Zudem erhält diese Systempartition auch keinen Laufwerkbuchstaben mehr und wird nicht im Ordner Computer angezeigt. Dies soll u.a. ein versehentliches Speichern von Daten auf dem unverschlüsselten Laufwerk verhindern. Damit ist die Sammlung der Informationen abgeschlossen, und Windows Installations7-Setup startet die nächste Phase. Bei den Vorgängerversionen endete an phase dieser Stelle der textbasierte Installationsabschnitt.

Installation von Windows 7 Während der Installationsphase werden die Installationsdateien auf die Festplatte kopiert bzw. extrahiert und der Rechner mehrmals neu gestartet. Benutzereingriffe sind in dieser Phase nicht erforderlich. Abbildung 1.10 Phase 2 der Installation: Windows 7 wird installiert.

49


Erstkonfiguration und Personalisierung Nach dem Abschluss der reinen Installationsphase wird der Rechner neu gestartet. Während des sich anschließenden Installationsabschnitts werden die folgenden Informationen abgefragt bzw. sind die folgenden Funktionen zu konfigurieren: 왘 Administratorname 왘 Computername 왘 Auswahl einer Sicherheitsstufe 왘 Datum und Uhrzeit sowie Zeitzone Administratorkonto einrichten

Im ersten Schritt dieser letzten Phase sind ein Benutzerkonto und dessen Kennwort festzulegen. Dieses Konto wird automatisch Mitglied der Gruppe der lokalen Administratoren. Aus Sicherheitsgründen wird das standardmäßige Administratorkonto vom System deaktiviert. Soll dieses später verwendet werden, muss es zunächst aktiviert und ein Kennwort festgelegt werden.

Abbildung 1.11 Da Windows 7 das Standard-Administratorkonto deaktiviert, muss zunächst ein neues Konto eingerichtet werden.

Computernamen festlegen

In demselben Dialogfeld ist auch der Name für den Rechner einzutragen. Dieser darf maximal 15 Zeichen lang sein und muss aus alphanumerischen Zeichen bestehen. Außerdem dürfen Bindestriche verwendet werden. Andere Sonderzeichen sich nicht erlaubt. Auch die ausschließliche Verwendung von Ziffern ist nicht gestattet. Anschließend kann das Kennwort vergeben und zusätzlich ein Kennworthinweis eingetragen werden. An dieser Stelle greifen noch nicht die Komplexitätsanforderungen, und auch ein leeres Kennwort wird zugelassen. Da dieses Konto aber über Administratorrechte verfügt, sollte dringend ein sicheres Kennwort vergeben werden.

50


Im nächsten Schritt erfolgt die Abfrage des Produktschlüssels. Dieser ist in fünf Gruppen gegliedert und ohne Bindestriche einzugeben. Abbildung 1.12 Dialogfeld zur Eingabe des Produktschlüssels. Die Eingabe des Schlüssels ist an dieser Stelle nicht zwingend erforderlich.

An dieser Stelle kann die Installation auch ohne Eingabe des Produktschlüssels fortgesetzt werden. Wird kein Schlüssel eingegeben, kann Windows 7 maximal 30 Tage uneingeschränkt betrieben werden. Nach Ablauf der Frist muss ein gültiger Produktschlüssel eingegeben und das Systems 7 aktiviert werden. Allerdings lässt sich diese Frist maximal dreimal verlängern, was aber wohl nur für den Einsatz auf Testsystemen relevant sein dürfte.

Eingabe des Produktschlüssels auch später möglich

Standardmäßig ist die Option zur automatischen Aktivierung von Windows 7 aktiviert. Ist dies nicht gewünscht oder wird die Installation ohne Eingabe eines Produktschlüssels fortgesetzt, muss das Kontrollkästchen Windows automatisch aktivieren, wenn eine Internetverbindung besteht im Dialogfeld zur Eingabe des Produktschlüssels deaktiviert werden. Das folgende Dialogfeld verlangt die Auswahl des Sicherheitsstatus für Sicherheitsstufe den Computer. Die Option Empfohlene Einstellungen verwenden schließt die auswählen folgenden Festlegungen ein: 왘 Windows-Firewall: Wie bereits Windows XP und Windows Vista bringt Windows 7 eine Desktop-Firewall mit. Diese wird standardmäßig aktiviert. 왘 Aktivierung von automatischen Updates: Sicherheitspatches und andere Updates werden automatisch heruntergeladen und installiert. 왘 Spyware-Schutz: Mit dem Dienstprogramm Windows Defender enthält Windows 7 ein Antispyware-Programm, das den Rechner vor Spyware und unerwünschter Software schützt und die Sicherheit beim Surfen im Internet erhöht. Ist Windows Defender aktiviert, prüft das Programm zweimal pro Tag den Rechner auf Spyware und andere möglicherweise schädliche Software.

51

Kapitel 1 Betriebssysteminstallation 왘 Automatische Fehlerübermittlung an Microsoft: Die Auswahl der höchsten

Sicherheitsstufe umfasst auch die Festlegung, dass im Fehlerfall automatisch eine Meldung an Microsoft gesendet wird. Die hierfür verwendete Komponente ist der Microsoft-Fehlerberichterstellungsdienst (engl. Error Reporting Service). 왘 Treiber-Update: Windows 7 bietet eine automatische Überprüfung auf neue Treiber für Geräte, einschließlich der Möglichkeit, aktuelle Gerätemetadaten automatisch herunterzuladen. Bei Auswahl dieser Option wird die automatische Suche nach Gerätetreibern aktiviert. 왘 Internet Explorer-Phishingfilter: Der Internet Explorer 8 enthält mit dem SmartScreen-Filter einen Schutz, der beim Besuch von Webseiten, die typische Phishing-Charakteristika aufweisen, warnt. Die Annahme der empfohlenen Einstellungen schaltet den Phishingfilter mit automatischer Webseitenprüfung ein. Alle Einstellungen können später geändert werden. Natürlich ist es auch möglich, an dieser Stelle auf die automatische Aktivierung der Sicherheitsfunktionen zu verzichten und diese nach Abschluss der Installation manuell zu aktivieren und zu konfigurieren. Abbildung 1.13 Die Auswahl der höchsten Sicherheitsstufe aktiviert eine Reihe implementierter Sicherheitsfunktionen.

Im nächsten Schritt ist die Zeitzone auszuwählen, und – falls erforderlich – das Datum und die Uhrzeit sind anzupassen. Ist der Computer an ein Netzwerk angeschlossen, fragt Windows abschließend, um welche Art von Netzwerk es sich handelt. Bei einem Einsatz im Unternehmensnetzwerk ist hier die Option Arbeitsplatznetzwerk auszuwählen. Ausführliche Informationen zum Einsatz von Windows 7 finden Sie in Kapitel 8.

52

1 Durchführung einer Einzelarbeitsplatz-Installation Abbildung 1.14 Ist der Computer an ein Netzwerk angeschlossen, ist die Art des Netzwerks anzugeben.

Damit ist der Installationsvorgang abgeschlossen, und Windows 7 kann erstmals gestartet werden.

1.2.3

Ablauf einer Upgrade-Installation

Der Ablauf einer Upgrade-Installation unterscheidet sich von der einer Neuinstallation (abgesehen vom Start der Installation) nur geringfügig. Die folgenden Ausführungen beschränken sich daher auf die Beschreibung der Unterschiede im Ablauf beider Installationsarten. Um ein vorhandenes Betriebssystem auf Windows 7 zu aktualisieren, muss die Installation zwingend aus dem vorhandenen Betriebssystem heraus gestartet werden. Dies kann durch einfaches Einlegen der Windows 7-DVD bei aktivierter Autoplay-Funktion bzw. durch Ausführen der Datei Setup.exe von der Windows 7-Installations-DVD erfolgen. Die Upgrade-Installation startet mit dem in nachstehender Abbildung gezeigten Willkommens-Dialogfeld, das im Gegensatz zum Begrüßungsdialogfeld bei einer Neuinstallation die Option Kompatibilität online prüfen enthält. Diese Option führt zu einer Webseite, von der das Programm Windows 7 Upgrade Advisor heruntergeladen werden kann. Wie bereits in Abschnitt 1.1 ab Seite 29 beschrieben, ermöglicht das Programm eine Überprüfung der Systemkompatibilität mit Windows 7, um mögliche Installationskonflikte im Vorfeld zu erkennen. Die Überprüfung sollte sinnvollerweise bereits im Rahmen der Vorbereitungsarbeiten vor dem Beginn der eigentlichen Installation erfolgen.

53

Kapitel 1 Betriebssysteminstallation Abbildung 1.15 Begrüßungsbildschirm von Windows 7 bei einer Upgrade-Installation

Weiter wie bei Neuinstallation

Die nachfolgenden Arbeitsschritte entsprechen denen einer Neuinstallation. 1. Bestätigung des dynamischen Updates 2. Annahme der Lizenzbedingungen Erst nach Durchführung der genannten Arbeitsschritte fordert der Windows 7-Installations-Assistent zur Auswahl der gewünschten Installationsart Upgrade oder Benutzerdefiniert (erweitert) auf.

Prüfung der UpgradeFähigkeit

Abbildung 1.16 Die Auswahl der Option Upgrade startet einen Kompatibilitätsassistenten.

54

Wird die Upgrade-Option gewählt, erfolgt anschließend eine Kompatibilitätsprüfung. Nach Abschluss der Prüfung wird ein Kompatibilitätsbericht angezeigt, der auf Installationshindernisse und mögliche Auswirkungen hinweist. Steht beispielsweise, wie in Abbildung 1.16 gezeigt, kein ausreichender Festplattenspeicher zur Verfügung bzw. fehlt ein Service Pack, kann die Installation entweder abgebrochen oder mit einer Neuinstallation fortgesetzt werden. Gleiches gilt, wenn die zulässigen Upgrade-Pfade nicht eingehalten werden (beachten Sie hierzu die Tabelle 1.1 auf Seite 36).


Bei Auswahl der Option Upgrade erfolgt zunächst ein Kompatibilitätstest. Anschließend werden die vorhandenen Systemeinstellungen ermittelt, bevor die Installation in der gleichen Art erfolgt wie bei einem Rechner, auf dem noch kein Betriebssystem installiert ist.

1.2.4

Durchführung einer Parallelinstallation

Insbesondere zu Testzwecken kann es sinnvoll sein, Windows 7 parallel zu einem bestehenden Betriebssystem zu installieren. Dies ist problemlos möglich. In diesem Fall richtet Windows 7 ein Boot-Menü ein, das alternativ den Start der Vorgängerversion ermöglicht. Die Installation parallel zu einem bestehenden Betriebssystem unterscheidet sich nicht von einer Upgrade- oder einer Neuinstallation. Auch der Start der Installation kann entweder von der Setup-DVD oder dem bestehenden Betriebssystem heraus erfolgen. Windows 7 kann entweder auf einer logischen Partition oder auf einer zwei- Bootmanager auf ten primären Partition installiert werden. Auf der als aktiv gekennzeichne- aktiver Partition ten Partition richtet Windows 7 den versteckten Systemordner Boot ein, der die Informationen für den Boot-Manager von 7 enthält. Wird Windows 7 auf einer zweiten primären, als aktiv gesetzten Partition installiert, wird der Systemordner Boot ebenfalls auf dieser Partition eingerichtet. In diesem Fall kann Windows 7 das andere Betriebssystem aber nicht in das Bootmenü aufnehmen, d.h., das andere System kann nicht gestartet werden. Abbildung 1.17 BCDEdit ermöglicht die Konfiguration des StartkonfigurationsdatenSpeichers.

Allerdings verwendet Windows 7 nicht mehr die Datei Boot.ini zur Verwaltung der Bootkonfiguration. Stattdessen werden die Konfigurationsinformationen im Startkonfigurationsdaten-Speicher – BCD.Store (Boot Configuration Data Store) gespeichert. Auch hierbei handelt es sich um eine Datei, die aller-

55


dings im Binärformat gespeichert wird und daher nicht so leicht zu handhaben ist wie die Boot.ini. Zur Bearbeitung der Konfigurationsdatei muss das Befehlszeilentool BCDEDIT.EXE verwendet werden. Muss die Bootkonfiguration geändert werden, ist es erfreulicherweise aber nicht erforderlich, das sehr komplexe Befehlszeilentool BCDEDIT zu verwenden, da Tools mit einer grafischen Schnittstelle von Drittherstellern zur Verfügung stehen. Mit EasyBCD den Windows 7Bootloader bearbeiten

Hierzu gehört beispielsweise EasyBCD, mit dessen Hilfe u.a. das Boot-Menü bearbeitet und Bootsektoren wiederhergestellt werden können. Außerdem bietet es Anzeigeoptionen, mit denen älteren Betriebssystemen ein Windows 7-Look gegeben werden kann. EasyBCD 1.72 Hersteller:

NeoSmart Technologies

Preis:

Freeware

URL:

http://neosmart.net/dl.php?id=1

1.2.5

Abschließende Aufgaben nach Installationsabschluss

Unter Windows wurde der Benutzer nach dem ersten Start mit einem Begrüßungscenter empfangen. Dieses hat Microsoft bei Windows 7 eingespart. Alternativ sollte zunächst das Wartungscenter besucht werden, da dieses Zugriff auf die meisten abschließenden Aufgaben bietet. 왘 Sicherheit: Falls nicht bereits während der Installation geschehen, sollten im ersten Schritt die Sicherheitseinstellungen überprüft bzw. konfiguriert werden. Hierzu zählt die Konfiguration von Virenschutz, Firewall, Windows Update u.a. Nähere Informationen hierzu erhalten Sie in Kapitel 13. 왘 Einstellungen der Benutzerkontensteuerung: Standardmäßig verwendet Windows 7 einen niedrigeren Level bei der Benutzerkontensteuerung als Windows Vista. Aus Sicherheitsgründen sollte der höchstmögliche Level einstellt werden. Erläuterungen zur Benutzerkontensteuerung finden Sie in Kapitel 5. 왘 Probleme ermitteln: Nach der Installation und dem ersten Start stellt sich heraus, ob Windows alle Geräte automatisch erkennen und installieren konnte – oder nicht. Im Wartungscenter werden Probleme gemeldet, die Windows 7 beim ersten Start erkannt hat. Zusätzlich können die Einstellungen zur Problembehandlung angepasst werden. Ausführliche Erläuterungen, wie Sie Hardware- und Treiberprobleme beheben können, finden Sie in Kapitel 2. 왘 Sicherung einrichten: Windows 7 bietet implementierte Funktionen zur Erstellung regelmäßiger Sicherungen. Standardmäßig sind keine Sicherungsmaßnahmen aktiviert. Beachten Sie hierzu Kapitel 15.

56

1 Durchführung einer Einzelarbeitsplatz-Installation 왘 Wiederherstellung einrichten: Die Wiederherstellung in der Systemsteu-

erung umfasst mehrere Optionen, mit deren Hilfe Sie einen Computer nach einem schwerwiegenden Fehler wiederherstellen können. Auch hierzu finden Sie nähere Informationen in Kapitel 15. Weiterhin ist es hierüber möglich, Details zum Leistungsindex anzuzeigen und die Produktaktivierung zu starten. Die beiden letztgenannten Aufgaben werden im Folgenden ausführlicher betrachtet. Abbildung 1.18 Das Wartungscenter von Windows 7

Produktaktivierung Mit Windows XP hat Microsoft die Produktaktivierung eingeführt. Diese basiert auf einer eindeutigen Product ID, die bei der Installation von Windows 7 erstellt und unter System angezeigt wird, sowie auf dem während der Installation einzugebenden Produktschlüssel. Beim Aktivierungsvorgang wird auf der Basis eines mathematischen Verfah- Hardwarerens eine individuelle Installationskennung errechnet. Neben der Product ID kennung bzw. dem Produktschlüssel wird hierzu eine PC-Kennzeichnung herangezogen, die auch als Hardwarekennung bezeichnet wird. Die Hardwarekennung wiederum wird unter Zuhilfenahme wichtiger Hardwareparameter, wie beispielsweise der physikalischen Netzwerkadresse, ermittelt. Im Gegensatz zu Windows XP ist bei Windows 7 keine Neuaktivierung erforderlich, solange die Festplatte nicht gewechselt wird. In diesem Fall ändert sich die Installationskennung, was eine erneute Aktivierung zur Folge hat. Während der Aktivierung wird nur die Installationskennung an Microsoft Aktivierungsübermittelt (per Telefon oder per Internet). Hier wird überprüft, ob die Pro- vorgang duct ID von Microsoft stammt und ob die Installationskennung bereits zur

57


Installation von Windows 7 auf einem anderen Rechner verwendet wurde. Wenn die Prüfung problemlos verläuft, erhält der Computer eine Bestätigungs-ID, die den Computer aktiviert. Anderenfalls erfolgt automatisch eine Weitervermittlung an einen Mitarbeiter von Microsoft. Wie bereits erwähnt, ist es während der Installation nicht erforderlich, einen Produktschlüssel einzugeben. In diesem Fall wird ein Standardschlüssel zur Installation benutzt, der auf den Aktivierungsservern geblockt ist. Bei Windows 7 bedeutet dies, dass die Installation 30 Tage als initiale Evaluierungsphase läuft. Wer mehr als 30 Tage braucht, kann die Testphase dreimal um 30 Tage, also auf insgesamt 120 Tage verlängern. Skript slmgr.vbs

Bestandteil bereits von Windows Vista ist das Skript slmgr.vbs mit dessen Hilfe die Aktivierung des Systems abgeprüft und durchgeführt werden kann. Durch Eingabe des Befehls slmgr.vbs –dli im Suchfeld des Startmenüs werden ausführliche Informationen über den Aktivierungszustand des Computers angezeigt. Bis das Informationsfenster angezeigt wird, kann es ein paar Sekunden dauern. Im Fenster wird genau angezeigt, wie viel Zeit noch für die Aktivierung bleibt. Die interessanteste Option des Aktivierungsskriptes slmgr.vbs ist slmgr.vbs –rearm. Durch Eingabe dieses Befehls wird die 30-Tage-Testdauer wieder zurückgesetzt. Anwender können dadurch weitere 30 Tage mit Windows 7 uneingeschränkt arbeiten. Das Skript kann insgesamt dreimal ausgeführt werden, bevor die Ausführung gesperrt wird. Für diesen Befehl werden Administratorrechte benötigt. Nach Eingabe des Befehls muss der Computer neu gestartet werden, und die Testphase ist wieder auf 30 Tage zurückgesetzt. Durch Eingabe des Befehls slui im Suchfeld des Startmenüs kann der Aktivierungsdialog gestartet werden. Über den Befehl slui 0x03 wird ein Dialogfeld geöffnet, in das ein neuer Produktschlüssel eingegeben werden kann. Wurde während der Installation von Windows 7 die automatische Online-Aktivierung bestätigt, versucht Windows selbstständig drei Tage nach der Erstanmeldung die Aktivierung. Aber auch in der GUI ist es möglich, den Zustand der Aktivierung abzufragen bzw. die Aktivierung durchzuführen. Hierzu ist es am einfachsten, das Wort Aktivierung im Suchfeld des Startmenüs einzugeben und anschließend auf Windows aktivieren zu klicken. Und auch unter System wird der Status der Produktaktivierung angezeigt. Besonders schnell aufrufen können Sie das Dialogfeld System mit der Tastenkombination (Ä) + (Pause).

Aktivierung auch für Volumenlizenzkunden

58

Auch Volumenlizenzkunden müssen Windows 7 innerhalb von 30 Tagen aktivieren. Alle Aktivierungskomponenten fasst Microsoft unter Volume Activation 2.0 zusammen, die das Verfahren der Aktivierung für Volumenlizenzkunden erleichtern soll. Erläuterungen zur Volumenaktivierung erhalten Sie in Abschnitt 1.3.4 ab Seite 86

1 Durchführung einer Einzelarbeitsplatz-Installation Abbildung 1.19 Der Status der Produktaktivierung kann jederzeit ermittelt werden.

Überprüfung des Leistungsindex Nicht nur wenn nach Abschluss der Installation Probleme auftreten oder erwartete Funktionen, wie beispielsweise die Aero-Benutzeroberfläche, nicht zur Verfügung stehen, sollte der Leistungsindex des Rechners ermittelt werden. Das Dienstprogramm Windows-Leistungsindex (engl. System Assessment Program) ist ein in Windows 7 integriertes Benchmark-Programm, das den Rechner in fünf Leistungsklassen einstuft. Zwar wird die Aussagefähigkeit dieses Wertes kontrovers diskutiert, zum Aufspüren von Schwachstellen bietet der Leistungsindex aber ein gutes Hilfsmittel. Nach dem Start führt der Windows-Leistungsindex auf dem Computer Ermittlung auf eine Reihe von Tests durch und bewertet ihn anschließend auf einer Skala der Basis von Tests von 1 bis 7,9 (wobei eins für das schlechteste Ergebnis steht). Zu den Komponenten, die in die Wertung mit einbezogen werden, gehören u.a. der Prozessor und der Speicher, die primäre Festplatte, die Grafikleistung und die Qualität von Gaming-Grafiken. Die einzelnen Tests messen die Rechengeschwindigkeit der CPU, den Durchsatz und die Menge des Hauptspeichers, die Transferrate der Festplatte und zwei Werte für die Grafik: die Speicherbandbreite der GPU und die Gaming-Grafikleistung. Auf der Basis der ermittelten Werte und eines speziellen Algorithmus wird dann die Gesamtleistung des Windows-Systems bewertet. Der gesamte Leistungsindex ergibt sich dann aus dem niedrigsten der fünf Werte, und zwar nach unten abgerundet.

59


Im folgenden Beispiel führte die niedrige Bewertung der Grafikleistung (Windows 7 wurde in einer virtuellen Maschine ausgeführt) zur Herabwertung des Gesamtsystems auf den Wert 1. Abbildung 1.20 Beispiel einer Windows-Leistungsindexbewertung. Die schwächste Komponente bestimmt das Gesamtergebnis.

Jederzeit ausführbar

Ändert sich die Hardwarekonfiguration oder soll die Bewertung überprüft werden, kann der Windows-Leistungsindex jederzeit erneut ausgeführt werden. Zu finden ist die Leistungsbewertungsoption unter Systemsteuerung/Alle Systemsteuerungselemente/Leistungsinformationen und Tools. Um den Leistungsindex aktuell zu halten, will Microsoft die einzelnen Messwerte, die den Index bilden, regelmäßig anpassen. Wer sich also beim Verkaufsstart von Windows 7 einen Rechner mit einem Index von drei gekauft hat, muss beispielsweise nach einem Jahr Prozessor oder Grafikkarte aufrüsten, um diesen Wert halten zu können.

1.3

Bereitstellung von Windows 7 im Unternehmensnetzwerk

Muss im Unternehmenseinsatz eine größere Anzahl von Rechnern mit Windows 7 bereitgestellt oder müssen im Produktivbetrieb immer wieder einzelne Rechner neu installiert werden, ist die Durchführung einzelner manueller Installationen nicht praktikabel. Hier müssen vielmehr Technologien eingesetzt werden, die es ermöglichen, Referenzsysteme mit den spezifischen Komponenten und Einstellungen einzurichten und diese für die Erstellung von Images zu verwenden.

60

1 Bereitstellung von Windows 7 im Unternehmensnetzwerk

Bereits mit Windows Vista hat Microsoft einen breiten Fokus auf die Bereitstellung in Unternehmensnetzwerken gelegt. Mit Windows 7 wurden die Möglichkeiten noch erweitert, sodass nun mit den nun in Windows 7 enthaltenen Funktionen und Programmen der gesamte Prozess der Bereitstellung von der Planung über die Bereitstellung bis hin zur Implementierung mit weniger Aufwand und weniger kostenintensiv als bislang abgebildet werden kann.

1.3.1

Die Bereitstellungsfunktionen im Überblick

Beim Einsatz von Windows XP und früheren Versionen nutzen Unternehmen entweder die Funktionalität zur Imageerstellung von Systems Management Server (SMS) 2003 OS Deployment Feature Pack oder aber ein Imageerstellungsprogramm anderer Anbieter wie beispielsweise Ghost von Symantec. Ein eigenes integriertes Programm zur Imageerstellung stellt Microsoft erst seit Einführung von Windows Vista und Windows Server 2008 zur Verfügung. Die Bereitstellung des Betriebssystems auf Clientrechnern basiert bei Windows Vista und Windows 7 auf Images (System-Abbildern). Diese beheben einen der größten Nachteile von Windows XP und Windows 2000, der darin bestand, dass die mithilfe der verfügbaren Imaging-Funktionen erstellten Images zu unflexibel waren. Daraus resultierte, dass verschiedene Images allein aufgrund unterschiedlicher Hardware und ggf. weitere Anpassungen für rollenspezifische Arbeitsplätze und Sprachen benötigt wurden. Dass außerdem für die reine Erstellung der Images zusätzliche Programme von Drittanbietern verwendet werden mussten, machte die Situation nicht besser. Mit Windows 7 setzt Microsoft in Bezug auf eine imagebasierte Bereitstel- Ziele von Windows 7 lung die folgenden Ziele um: 왘 Bereitstellung von Funktionen zur kompletten Abbildung des ImageProzesses einschließlich Erstellung, Wartung und Verteilung von Abbildern 왘 Reduktion der Anzahl der benötigten Images – „ Ein Image für alles“ 왘 Verbesserung des Imaging-Prozesses durch Scripting und Möglichkeiten zur automatisierten Verteilung

Installationstechnologien Windows 7 bringt eine ganze Reihe von Technologien und Tools mit, die automatisierte Installationen unterstützen. Es würde jedoch den Rahmen dieses Buchs sprengen, alle Verfahren und Tools vorzustellen. Die folgenden Erläuterungen beschränken sich daher auf die Vorstellung der wichtigsten Technologien im Überblick. WIM-Imageformat Windows Imaging Format (WIM) ist eine der neuen Kernkomponenten von Windows 7.

Im Gegensatz zu sektorbasierten Imageformaten, wie sie derzeit fast überall eingesetzt werden, sind WIM-Images nicht sektorbasiert, sondern basie-

61


ren auf Dateien, sodass es beispielsweise keine Probleme bei unterschiedlich großen Datenträgern oder Partitionen gibt. Hinzufügen von separaten Treibern

Auch ermöglicht diese Technologie, Images offline (d.h., ohne dass das Image zuvor auf einem Referenzcomputer installiert werden muss) zu bearbeiten. Damit ist es beispielsweise möglich, Updates und Gerätetreiber offline hinzuzufügen und damit Windows 7 bereits bei der Installation wichtige Startgerätetreiber mitzugeben. Die frühere Methode der Verwendung von OEMPnPDriverPath als Mechanismus zum Hinzufügen von Gerätetreibern wird unter Windows Vista und Windows 7 nicht mehr unterstützt. Zusammenfassend bieten WIM-Images die folgenden Vorteile:

Vorteile von WIM-Images

왘 Das WIM-Imageformat ist unabhängig von der Hardwareabstraktions-

왘

왘

왘

왘

왘

왘

왘

62

ebene (Hardware Abstraction Layer, HAL). Sie können ein einzelnes Windows-Abbild verwalten, das für alle HAL-Typen gilt. Das bedeutet, dass technisch nur noch ein Image für verschiedene Hardwarekonfigurationen benötigt wird. Bislang musste für jedes Gerät mit unterschiedlichem HAL ein eigenes Abbild erstellt werden. Die einzige Einschränkung betrifft den CPU-Typ. Für 32-Bit- und 64-Bit-Prozessoren sind jeweils eigene Images notwendig. WIM-Imagedateien sind deutlich kleiner als Dateien anderer Imageformate. Erreicht wird dies durch eine starke Kompression und zudem durch eine Technik, die als Einzelinstanz-Speicherung (Single Instance Storage – SIS) bezeichnet wird. Dabei wird jede Datei nur einmal gespeichert. Ist ein und dieselbe Datei Bestandteil von drei verschiedenen Images, wird die Datei tatsächlich nur einmal gespeichert. Statt der Datei steht an allen anderen Stellen nur ein Verweis auf die Datei. Die Pflege von WIM-Images ist einfach. Treiber, Updates und andere Windows-Komponenten können offline und ohne einen einzigen Start des Images hinzugefügt und entfernt werden. Windows 7 bringt Programme mit, mit denen Images direkt bearbeitet werden können. In einer WIM-Datei können mehrere Images gespeichert werden, was die Verwaltung erleichtert. So können beispielsweise in einer WIMDatei verschiedene Images mit und ohne Anwendungen integriert werden. Da außerdem bei mehreren Images in einer WIM-Datei dank der Komprimierung das einzelne Image deutlich kleiner wird, spart dies Festplattenspeicher. Das WIM-Imageformat erlaubt dank des dateibasierten Formates eine Bereitstellung, bei der wahlweise auch vorhandene Dateien auf dem Datenträger erhalten bleiben (Nichtdestruktive Bereitstellung). Im Gegensatz zu sektorbasierten Imageformaten können Images mit dem WIM-Imageformat auf Partitionen jeder Größe installiert werden. Sektorbasierte Images benötigen eine Partition der gleichen Größe oder eine größere Partition. Windows 7 stellt eine API für das WIM-Imageformat zur Verfügung: WIMGAPI (Windows Imaging API). Diese können Entwickler für die Arbeit mit WIM-Imagedateien nutzen. Zusätzlich wurden neue Programme integriert, die das WIM-Dateiformat unterstützen und die Bereitstellung von Images ermöglichen.

1 Bereitstellung von Windows 7 im Unternehmensnetzwerk Windows PE Bei Windows PE (Windows Preinstallation Environment, Windows PE) handelt es sich um eine Minimalversion von Windows, die Kernel-Funktionen von Windows 7 enthält und die umfangreiche Programme zur Installation und zur Wiederherstellung des Microsoft Windows 7Betriebssystems zur Verfügung stellt. Zu den von Windows PE bereitgestellten Komponenten zählen u.a. NTFS-Support, vollständige Netzwerkunterstützung und Unterstützung für in Windows 7 integrierte Programme (Regedit, Notepad u.a.). Außerdem können Plug&Play-Hardwaregeräte während der Ausführung von Windows PE erkannt und installiert werden. Hierdurch werden alle mitgelieferten PnP-Geräte unterstützt, einschließlich Wechselmedien und Massenspeichergeräten.

Entwickelt wurde Windows PE als Ersatz für MS-DOS als Prä-Installationsumgebung vor allem für die folgenden Einsatzbereiche: 왘 Installation von Microsoft Windows 7: Bei jeder Installation von Windows Windows PE: 7 wird Windows PE ausgeführt. Dem Anwender begegnet Windows PE Einsatzbereiche als grafische Oberfläche, in der während der Setup-Phase die Konfigurationsinformationen abgefragt werden. Aber auch wenn jede Windows 7-Installation mit Windows PE beginnt, wird der normale Benutzer die Existenz von Windows PE in der Regel gar nicht bemerken. 왘 Erstellung von Images: Innerhalb der Windows PE-Umgebung können Images zur automatisierten Bereitstellung von Windows 7 in Unternehmensnetzwerken erstellt werden. Hierzu bedarf es einer Masterinstallation und einer Antwortdatei, auf deren Basis die Verteilung im Netzwerk erfolgen soll. 왘 Fehlersuche und Wiederherstellung: Zwar ist der primäre Zweck von Windows PE die Installation von Windows 7, es kann jedoch auch zur Fehlersuche und zur Wiederherstellung genutzt werden. Wenn beispielsweise Windows 7 aufgrund von beschädigten Systemdateien nicht gestartet werden kann, können diese in der Windows-Wiederherstellungsumgebung (Windows Recovery Environment – Windows RE) ersetzt werden. Windows PE wird dabei automatisch in der Wiederherstellungsumgebung gestartet, wenn Windows 7 nicht mehr korrekt startet. Während dieses Vorgangs bietet Windows PE Zugriff auf das Netzwerk oder auf andere Ressourcen. Zum Beispiel kann nach dem Start eine weitere DVD mit Treibern oder Software verwendet werden. Windows PE ist bereits seit Einführung von Windows XP in verschiede- Windows PEVersionen nen Versionen erhältlich: 왘 Windows PE 1.0: Die erste von Microsoft veröffentlichte Version basierte bereits auf Windows XP. 왘 Windows PE 1.1: Diese Version basierte ebenfalls auf Windows XP und unterstützte aus Sicherheitsgründen einige Funktionen, wie beispielsweise die Wiederherstellungskonsole, offiziell nicht mehr. 왘 Windows PE 1.2: Diese Version basierte auf Windows XP, Windows XP SP1 oder Windows Server 2003 und bot erweiterte API-Unterstützung sowie eine VBScript-Umgebung. 왘 Windows PE 2004 (1.5): Die Version basierte erstmals nur noch auf Windows XP SP2. Neu in dieser Version waren die Plug&Play-Treiberunterstützung sowie WMI-Funktionen.

63

Kapitel 1 Betriebssysteminstallation 왘 Windows PE 2005 (1.6): Die Version basiert auf Windows XP SP2 und

Windows 2003 Server und unterstützt auch PXE-Bootumgebungen anderer Hersteller. 왘 Windows PE 2.0: Während alle genannten Vorgängerversionen ausschließlich Nutzern mit Volumenverträgen zur Verfügung standen, ist Windows PE 2.0 die erste Version, die als Teil von Windows AIK 1.0 von allen Nutzern kostenlos heruntergeladen werden kann. 왘 Windows PE 2.1: Diese Version basiert auf Windows Vista SP1 sowie Windows Server 2008 und kann als Teil des Windows AIK Kit 1.1 bezogen werden [WAIK 1.1]. 왘 Windows PE 3.0: Mit Windows 7 stellt Microsoft auch eine neue Windows PE-Version bereit. Windows PE 3.0 ist Bestandteil von Windows AIK 2.0 [WAIK 2.0]. Einschränkungen von Windows PE

Windows PE ist kein standardmäßiges Betriebssystem und kann nicht als Betriebssystemersatz verwendet werden. Es dient lediglich der Installation und Diagnose bzw. Reparatur von Windows 7. Um dies zu verhindern, hat Microsoft Windows PE so konfiguriert, dass es spätestens nach 72 Stunden automatisch neu startet. Weiterhin gelten u.a. die folgenden Voraussetzungen bzw. Einschränkungen für den Einsatz von Windows PE: 왘 Windows PE kann aufgrund der Größe (ca. 260 MB) nicht auf einer Diskette gespeichert werden. Unterstützt wird das Speichern u.a. auf CD, DVD und USB-Flash-Speichergeräten. 왘 Windows PE kann nicht als Dateiserver oder Terminalserver fungieren. (Remotedesktop wird nicht unterstützt.) Von einem anderen Computer aus kann damit nicht auf Dateien oder Ordner auf dem Computer unter Windows PE zugegriffen werden. 왘 Windows PE unterstützt keine MSI-Anwendungen. 왘 Windows PE unterstützt ausschließlich TCP/IP (IPv4 und IPv6) als Netzwerkprotokoll. 왘 Windows PE bietet keine Unterstützung für 802.1x. 왘 Windows PE unterstützt nicht .NET Framework und Common Language Runtime ((CLR). 왘 Da Windows PE nur eine Basis-Betriebssystemumgebung und damit auch Windows 7 Win32-APIs bereitstellt, können Anwendungen, die auf die folgenden APIs zurückgreifen, nicht eingesetzt werden: Zugriffssteuerung, NetShow Theater Administration, OpenGL, Energieoptionen, Drucken und Druckerwarteschlangen, Bandsicherungen, Terminaldienste, Benutzerprofile, Windows-Station und -Desktop, WindowsMultimedia und die Windows-Shell.

Zusammenspiel von Windows PE und WIM

Um Windows PE bereitzustellen, ist der beste Weg die Verwendung einer WIM-Datei, in der ein oder mehrere Images gespeichert sind. Da Images in einer WIM-Datei als bootfähig gekennzeichnet werden können, ist es möglich, Windows PE direkt aus der WIM-Datei, die sich auf einem bootfähigen Medium wie einer DVD befindet, heraus zu booten.

64


Genau diesen Weg wendet Microsoft bei der Installation von Windows 7 an, d.h., auch bei der Windows 7-Installations-DVD handelt es sich um ein Image, das von Microsoft mithilfe von Sysprep erstellt wurde. Diese Images wurden von einem bereits installierten Windows 7-Referenzrechner erstellt und ergeben extrahiert das eigentliche Betriebssystem. Da Windows PE direkt aus einer WIM-Datei heraus gestartet werden kann, wird bei der Installation von Windows 7 zunächst mit Windows PE gestartet. Ein bootfähiger Windows PE-Datenträger (CD, DVD oder USB-Stick), der Erstellen einer einen Computer mithilfe von Windows PE startet, kann mit dem WAIK Windows PE-DVD selbst erstellt werden. Im folgenden Beispiel wird eine Windows PE-DVD für die Plattform x86 erstellt. Für die Erstellung benötigen Sie das Windows Automated Installation Kit – Windows AIK [WAIK 2.0]. Nähere Erläuterungen zu WAIK 2.0 erhalten Sie im Abschnitt 1.3.3 ab Seite 73. Nach dem Herunterladen von WAIK sind folgende Arbeitsschritte erforderlich: 1. Öffnen Sie die WAIK-Befehlszeile im Administratormodus. Diese Eingabeaufforderung wird nach der Installation von WAIK dem Startmenü als Verknüpfung hinzugefügt. 2. Führen Sie an der Eingabeaufforderung das Skript Copype.cmd aus. Verwenden Sie hierzu den Befehl copype.cmd

Dieses Skript bewirkt, dass die Verzeichnisstruktur erstellt und die notwendigen Dateien für diese Architektur kopiert werden. Als Systemvariante kann entweder x86, amd64 oder ia64 verwendet werden, abhängig davon, welches System eingesetzt wird. Als Verzeichnis geben Sie ein beliebiges Verzeichnis auf der Festplatte des lokalen Rechners an, zum Beispiel Windows PE. Ein Beispiel für die Eingabe des Befehls ist: copype.cmd x86 c:\Windows PE

Das Verzeichnis muss vorher nicht erstellt werden, der Assistent erstellt dieses automatisch und legt die Dateien im Anschluss in diesem Verzeichnis ab. 3. Anschließend können Sie zusätzliche Tools in dieses Verzeichnis kopieren, das Sie beim Starten von Windows PE benötigen. Zumindest das Imaging-Programm imagex.exe sollten Sie in das Verzeichnis kopieren. Sie finden imagex.exe unter C:\Program files\Windows AIK\Tools\x86\ imagex.exe. Kopieren Sie imagex.exe in das Unterverzeichnis ISO im PEVerzeichnis auf Ihrer Festplatte. 4. Sie können eine optionale Konfigurationsdatei mit dem Namen winscript.ini erstellen, die das Tool ImageX anweist, bestimmte Dateien während der Aufzeichnung auszuschließen. Beim Starten von ImageX verwendet dieses Tool automatisch die Datei wimscript.ini, wenn sich diese im gleichen Verzeichnis befindet. 5. Im nächsten Schritt wird die ISO-Datei erstellt, die schließlich die Windows PE-Installation enthält. Auch für diese Aufgabe gibt es im Windows AIK ein entsprechendes Tool mit der Bezeichnung Oscdimg. Um die ISO-Datei zu erstellen, wechseln Sie wieder in die Befehlszeile

65


und gehen in das Verzeichnis C:\Program Files\Windows AIK\Tools\ PETools. Geben Sie den folgenden Befehl ein: Oscdimg –n -m -o –bc:\Windows PE\etfsboot.com c:\Windows PE\ISO c:\ Windows PE\Windows PE.iso

Verwenden Sie als Verzeichnisnamen den Namen, den Sie bei sich verwendet haben und in dem sich die PE-Dateien befinden. Das Tool erstellt im Anschluss die ISO-Datei. 6. Brennen Sie im Anschluss diese ISO-Datei auf eine DVD. Sie verfügen nun über eine startbare Windows PE-DVD mit dem Tool ImageX. Abbildung 1.21 Eingabeaufforderung für Bereitstellungstools von Windows AIK für Windows 7

Ausführliche Erläuterungen zu Windows PE 3.0 finden Sie im Windows PE-Benutzerhandbuch, das Bestandteil von Windows AIK ist [WAIK 2.0]. Modulare Betriebssystemstruktur Windows Vista war das erste Betriebssystem von Microsoft, das modular aufgebaut ist. Windows 7 verwendet die gleiche Architektur. Dies bringt vor allem Vorteile hinsichtlich der Anpassungsmöglichkeiten: 왘 Microsoft kann einzelne Komponenten des Betriebssystems ändern, ohne das gesamte Betriebssystem zu beeinflussen. Damit müssen beispielsweise Patches und Service Packs nicht mehr sequenziell aufeinander aufbauen. 왘 Einzelne Komponenten von Windows 7 können an unternehmensspezifische Bedürfnisse angepasst werden. 왘 Gerätetreiber, Service Packs und Hotfixes können einfacher zu Windows 7 hinzufügt werden. 왘 Windows 7 ist sprachneutral. Alle Komponenten sind optional und können einzeln zum Betriebssystem hinzugefügt werden. Es ist damit nicht mehr notwendig, separate Images für jede Sprache anzulegen.

Bereitstellungswerkzeuge Mit den vielfältigen Funktionen zur Bereitstellung liefert Microsoft notwendigerweise auch neue Werkzeuge und Programme. Dabei kommen während der drei Phasen des Bereitstellungsprozesses 왘 Planung und Vorbereitung 왘 Erstellung und Wartung 왘 Vorhaltung und Bereitstellung

66


unterschiedliche Programme zum Einsatz. Die folgende Tabelle gibt einen Überblick über die notwendigen Programme im Kontext der drei Bereitstellungsphasen. Funktion

Programm

Planung und Vorbereitung

Anwendungsanalyse und Test der Anwendungskompatibilität Übernahme von Dateien und Benutzereinstellungen

Application Compatibility Toolkit 5.5: Mit diesem aktualisierten Tool kann überprüft werden, ob Anwendungen mit Windows 7 kompatibel sind. User State Migration Tool 4.0: Ein aktualisiertes Tool zum Erfassen und Wiederherstellen von Benutzereinstellungen. USMT ist für automatisierte Bereitstellungen in großen Umgebungen ausgelegt. Müssen nur wenige Computer migriert werden, kann Windows 7 Windows-EasyTransfer verwenden werden.

Erstellung und Wartung

Erstellung WIM-basierter Images Anpassung der Images durch Hinzufügen von Treibern, Sprachpaketen und Anwendungen u.a. Erstellung und Anpassung XML-basierter Antwortdateien

ImageX: ImageX ist eine Abbildtechnologie von Microsoft, die speziell für die Bereitstellung in Unternehmen entwickelt wurde. ImageX unterstützt das WIM-Dateiformat-Befehlszeilentool und wird zum Sammeln, Verteilen und Ändern von Abbildern verwendet. ImageX ist ein Befehlszeilenprogramm, das auf Imaging-APIs für Windows basiert. Dabei wird die Single Instance Storage Technologie verwendet. Windows Systemabbild Manager (System Image Manager – WSIM): Grafisches Tool, das zum Erstellen von Antwortdateien für den unbeaufsichtigten Windows Setup-Modus dient. Außerdem können Pakete eingebunden werden, die im Verlauf von WindowsSetup installiert werden sollen. Sysprep: Für Windows 7 aktualisierte und verbesserte Version des Systemvorbereitungsprogramms. Sysprep bereitet einen Computer für die Erstellung von Datenträgerabbildern (Images) vor. Deployment Image Servicing and Management – DISM: Ein Befehlszeilentool zur Online- oder Offline-Wartung bzw. -Verwaltung von Images. Mit DISM können beispielsweise Sprachpakete und Treiber hinzugefügt oder entfernt, Windows-Funktionen deaktiviert oder aktiviert und internationale Einstellungen konfiguriert werden.

Tabelle 1.3: Nützliche Werkzeuge für die Bereitstellung von Windows 7

67


Vorhaltung und Bereitstellung

Funktion

Programm

Remotebereitstellung von Windows 7 Installation der Images Durchführung eines Upgrades bzw. einer Aktualisierung. Dynamische Aktualisierung durch Hinzufügen von Updates zu Standardimages während der Installation.

Windows Setup: Das Installationsprogramm für Windows 7, das WINNT und WINNT32 ersetzt. Windows Setup verwendet die neue Technologie IBS (Image-based Setup, abbildbasiertes Setup). Windows Deployment Services (WDS) von Windows Server 2008: WDS ersetzt RIS (Microsoft Remote Installation Services) und ermöglicht die Speicherung, Verwaltung und Bereitstellung von Images. Es nutzt den PXE-Bootprozess zur Installation. Alle benötigten Einstellungen für eine unbeaufsichtigte Installation werden in Antwortdateien über den WSIM festgelegt und danach dem jeweiligen Abbild zugewiesen. System Center Configuration Manager 2007 (SCCM): Für größere Unternehmen kann der Nachfolger des Systems Management Servers 2003 eine hilfreiche, allerdings kostenpflichtige Alternative zu WDS sein. SCCM ist eine Unternehmenslösung, mit der Clients in einer IT-Infrastruktur verwaltet, konfiguriert und überwacht werden können, So beinhaltet SCCM u.a. Software- und Hardwareinventur, Update-Verwaltung, Softwareverteilung, Berichterstellung und Betriebssysteminstallation.

Tabelle 1.3: Nützliche Werkzeuge für die Bereitstellung von Windows 7 (Forts.) Nicht mehr verwendete Tools

Für das Deployment von Windows 7 und Windows Server 2008 werden die folgenden Tools nicht mehr benötigt. 왘 Remote Installation Services: RIS wurde durch WDS ersetzt, bietet unter Windows Server 2003 jedoch noch Legacy-Unterstützung; RIPREP und RISETUP können bei Windows 7 und Windows Server 2008 bzw. Windows Server 2008 R2 nicht verwendet werden. 왘 Setup Manager/Notepad: Verwenden Sie zum Bearbeiten der Konfigurationsdateien für die unbeaufsichtigte Installation stattdessen den Windows System Image Manager. 왘 WINNT.EXE und WINNT32.EXE: Verwenden Sie stattdessen SETUP. 왘 SYSOCMGR: Ersetzt durch OCSETUP, PKGMGR. 왘 MS-DOS-Startdisketten: Nicht mehr nötig. Verwenden Sie Windows PE.

1.3.2

Planung und Vorbereitung der Bereitstellung

Eine durchdachte Planung und Vorbereitung ist der Grundstein einer jeden erfolgreichen Installation, dies gilt umso mehr bei der Bereitstellung von Windows 7 in Unternehmensnetzwerken. Hier ist neben den in Abschnitt 1.1 ab Seite 29 beschriebenen Aufgaben noch Augenmerk auf die Windows 7-Tauglichkeit der eingesetzten Anwendungen und auf eine möglichst automatisierte Übernahme von Benutzereinstellungen zu legen.

68


Zusätzlich sollten mindestens die folgenden Fragen beantwortet werden. Diese können helfen, die geeignete Installationsmethode für die Bereitstellung zu ermitteln. 왘 Auf wie vielen Rechnern soll Windows 7 ausgerollt werden? 왘 Erfolgt die Installation auf vorhandener Hardware? Wenn ja, welche und wie unterschiedlich sind die zu verwendenden Rechner? 왘 Müssen Benutzerdaten und Einstellungen übernommen werden? 왘 Sollen die Benutzer die Installation selbst durchführen, oder ist eine unbeaufsichtigte Installation geplant? 왘 Wie hoch ist der Aufwand für Anpassungsarbeiten nach Abschluss der Installation? 왘 Sollen die Rechner Mitglied einer Active Directory-Domäne werden? Die vorstehende Liste ist nicht vollständig und muss individuell ergänzt werden. Sie soll in erster Linie Anregungen liefern, welche Fragestellungen ggf. bei einem Unternehmens-Client-Rollout zu berücksichtigen sind.

Sicherstellung der Anwendungskompatibilität Eine der größten Herausforderungen, mit denen Unternehmen bei der Bereitstellung eines neuen Desktop-Betriebssystems konfrontiert werden, ist die Migration der installierten Anwendungen, ohne dass deren Funktion beeinträchtigt wird. Hier gilt es, Kompatibilitätsprobleme im Vorfeld zu erkennen, um Schwierigkeiten, die sogar ein Upgrade verhindern können, wirksam zu begegnen. Microsoft stellt mit dem Application Compatibility Program Kit (ACT) 5.5 [ACT] ein kostenloses Tool für Entwickler und Administratoren zur Prüfung der Kompatibilität von Webseiten und Software bereit. Die Version 5.5 unterstützt Windows 7 sowie Windows Vista SP2 und erlaubt eine Kompatibilitätsprüfung von Anwendungen für den Einsatz unter Windows Vista und Windows 7 sowie im Zusammenspiel mit dem Internet Explorer. Das Werkzeug dient dazu, Anwendungen zu erkennen, für die möglicherweise weitere Tests erforderlich sind, und Kompatibilitätsfixes für Anwendungen zur Verfügung zu stellen. Beachten Sie hierzu auch die Erläuterungen in Kapitel 3. Eine ausführliche Beschreibung von ACT finden Sie im Microsoft ACT: Bereitstellungshandbuch unter Microsoft Technet [ACTDOK].

Migration von Benutzerdaten mit dem User State Migration Tool Werden in Unternehmensnetzwerken Rechner neu mit Windows 7 installiert, dann reicht es nicht nur, dem Anwender eine neue Installation hinzustellen. In der Regel hatte der Anwender zuvor bereits einen Rechner, und es müssen lokale Dateien, Favoriten, Anwendungseinstellungen, Active Directory-Einträge und Berechtigungen übernommen werden.

69


Ein wichtiger Faktor für den Erfolg der Bereitstellung von Betriebssystemen in Unternehmensnetzwerken ist daher die Migration der Benutzereinstellungen, also das Erfassen aller benutzerdefinierten Einstellungen auf vorhandenen Systemen und ihre Wiederherstellung auf dem neuen System. Bei Windows 7 wird dieser Vorgang durch die aktuelle Version von User State Migration Tool (USMT) 4.0 vereinfacht. USMT ist im Gegensatz zu früheren Versionen Bestandteil von Windows AIK für Windows 7. Nach der Installation von WAIK ist USMT zu finden unter: C:\Program Files\ Windows AIK\Tools\USMT. USMT kontra Windows EasyTransfer

Mit USMT können Desktop-, Netzwerk- und Anwendungseinstellungen sowie Benutzerdateien von einem Rechner auf einen anderen übernommen werden. Damit stellt USMT im Wesentlichen dieselbe Funktionalität bereit wie Windows-EasyTransfer (siehe Abschnitt 1.1.3 ab Seite 37). Es gibt jedoch einige wichtige Unterschiede zwischen USMT und Windows-EasyTransfer. Während mit Windows-EasyTransfer die Operation für jeden Benutzer im System wiederholt werden muss, kann USMT skriptgesteuert im Stapelmodus ausgeführt werden. USMT nutzt hierbei die beiden Befehlszeilenprogramme ScanState und LoadState sowie zusätzlich UsmtUtils. Die Programme können mithilfe von XML-Dateien komplett an die individuellen Bedürfnisse angepasst werden. Standardmäßig ermöglicht USMT 4.0 die Migration der folgenden Objekte: 왘 Ordner Eigene Dateien einschließlich der Unterordner Eigene Bilder, Eigene Videos und Eigene Musik 왘 Microsoft Internet Explorer-Einstellungen 왘 Microsoft Outlook PST-Dateien 왘 Favoriten 왘 DFÜ-Verbindungen 왘 Desktop-Einstellungen 왘 Telefon- und Modemoptionen 왘 Eingabehilfen 왘 Einstellungen der Eingabeaufforderung 왘 Schriftarten 왘 Ordneroptionen 왘 Einstellungen der Taskleiste 왘 Maus- und Tastatureinstellungen 왘 Schnellstarteinstellungen 왘 Bildschirmschoner 왘 Klangeinstellungen 왘 Regionsoptionen Einschränkend kann USMT derzeit keine Anwendungen, Treiber, Einstellungen der Hardware oder Passwörter migrieren. Auch Synchronisierungsdateien, .dll-Dateien oder andere ausführbare Dateien sowie Encrypting File System-(EFS-)Zertifikate werden nicht unterstützt.

Leistungsmerkmale

70

Die neue USMT-Version 4.0 für Windows 7 enthält gegenüber den Vorgängerversionen einige Änderungen und Verbesserungen und zeichnet sich u.a. durch folgende Leistungsmerkmale aus:

1 Bereitstellung von Windows 7 im Unternehmensnetzwerk 왘 Als Quellbetriebssystem sind alle 32-Bit- und 64-Bit-Versionen von Win-

왘 왘

왘

왘 왘

왘

왘

dows XP, Windows Vista und Windows 7 erlaubt. Einschränkend unterstützt USMT 4.0 keine Windows Server-Betriebssysteme und darüber hinaus auch nicht Windows 2000 und die Starter-Editionen von Windows XP, Windows Vista oder Windows 7. Außerdem unterstützt USMT 4.0 nur die Migration von Windows XP mit Service Pack 2 oder Service Pack 3. Als Zielbetriebssystem werden alle Versionen von Windows Vista und Windows 7 unterstützt. USMT 4.0 bietet die Möglichkeit, Profile zu verschieben, die mit EFS verschlüsselte Dateien enthalten. Der Befehl ScanState schätzt die Größe des Migrationsspeichers sowie den zusätzlich für die Erstellung des Migrationsspeichers benötigten temporären Festplattenspeicher und nun auch die Größe des komprimierten Migrationsspeichers. Dies verringert die Migrationsfehler aufgrund von unzureichendem Festplattenspeicher. Mit USMT 4.0 ist es möglich, eine vollständige Migration von Domänenbenutzerkonten auszuführen, ohne Zugriff aus dem Domänencontroller zu besitzen. Der Zielcomputer muss der Domäne hinzugefügt werden, bevor die neu hinzugefügten Domänenkonten verwendet werden können. USMT 4.0 bietet eine verbesserte Anbindung an die Microsoft-Bereitstellungstools. Im Gegensatz zu den Vorgängerversionen bietet USMT 4.0 Unterstützung für Volumenschattenkopie. Mit der Befehlszeilenoption /vsc kann der Befehl ScanState jetzt den Volumenschattenkopie-Dienst verwenden, um Dateien zu erfassen, die durch andere Anwendungen für die Bearbeitung gesperrt sind. Die Migration lokaler Gruppen wird unterstützt. Sie können den Abschnitt in der Datei Config.xml verwenden, um während der Migration die Mitgliedschaft von Benutzern in lokalen Gruppen zu konfigurieren. Damit ist es beispielsweise möglich, die Mitgliedschaft von Benutzern in der lokalen Administratorgruppe zu einer Mitgliedschaft in der lokalen Benutzergruppe zu ändern. USMT 4.0 unterstützt mit dem erweiterten Verschlüsselungsstandard (Advanced Encryption Standard, AES) einen stärkeren Verschlüsselungsalgorithmus.

USMT besteht aus den beiden ausführbaren Dateien ScanState.exe und Ausführbare LoadState.exe sowie der mit USMT 4.0 neu eingeführten Datei Usmtutils.exe. USMT-Dateien Diese ergänzt die Funktionen von ScanState.exe und LoadState.exe. 왘 ScanState.exe sammelt die Benutzerdaten und -einstellungen basierend auf den Informationen, die in Migapp.xml, MigSys.xmlinf, Miguser.xml und Config.xml enthalten sind. 왘 LoadState.exe kopiert die Benutzerstatusdaten auf einen Computer, auf dem eine neue (nicht aktualisierte) Installation von Windows Vista oder Windows 7 ausgeführt wird. Im Unterschied zu früheren Versionen müssen die Dateien, die für ScanState angegeben werden, nun auch für LoadState angegeben werden.

71

Kapitel 1 Betriebssysteminstallation XML-Standarddateien für USMT

Zu USMT gehören standardmäßig verschiedene .xml-Dateien, welche die Migration unterstützen. Die Dateien können an die unternehmensspezifischen Anforderungen angepasst werden. Zusätzlich können selbst erstellte benutzerdefinierte .xml-Dateien verwendet werden. 왘 MigApp.xml steuert, welche Anwendungseinstellungen migriert werden. Die in dieser Datei aufgelisteten Anwendungen können in die Migration eingeschlossen oder von ihr ausgenommen werden. 왘 MigUser.xml steuert, welche Ordner, Dateien, Dateitypen und Desktop-Einstellungen eines Benutzers migriert werden. Die Datei hat keinen Einfluss darauf, welche Benutzer migriert werden. 왘 Config.xml ist eine optionale benutzerdefinierte Datei, die dazu verwendet werden kann, um Komponenten von der Migration auszuschließen. Sie wird verwendet, um eine benutzerdefinierte Konfigurationsdatei zu erstellen, welche die Benutzer-, Betriebssystem- und Anwendungseinstellungen enthält, die von jedem Computer des Unternehmens migriert werden sollen. Mithilfe des Tools ScanState und der Option /genconfig kann die Datei Config.xml erstellt und bearbeitet werden. Weiterhin kann diese Datei einige der in USMT 4.0 neuen Migrationsoptionen steuern. Ist Config.xml nicht vorhanden, migriert USMT alle Standardkomponenten.

USMT einsetzen

Der Einsatz von USMT 4.0 umfasst im Wesentlichen die folgenden Arbeitsschritte: 왘 Vorbereitung der USMT-Dateien Die für die Migration benötigten .xml-Dateien müssen angepasst bzw. es müssen ggf. benutzerdefinierte .xml-Dateien erstellt werden. Sollen Komponenten von der Migration ausgeschlossen werden, wird zusätzlich die Datei Config.xml benötigt. 왘 Ausführen von ScanState

Auf dem zu migrierenden Rechner wird zunächst ScanState ausgeführt. ScanState sammelt die Dateien und Einstellungen auf dem Quellrechner, gesteuert durch die .xml-Konfigurationsdateien, und erzeugt standardmäßig eine komprimierte USMT.mig-Datei. Die gesamten persönlichen Dateien des Anwenders lassen sich dann auf einem anderen Rechner zwischenspeichern. 왘 Installation des Zielrechners

Installation von Windows 7 und aller benötigten Anwendungen. Mithilfe von Images kann dieser Vorgang automatisiert werden. 왘 LoadState ausführen

Nachdem der neue PC mit dem Betriebssystem ausgestattet wurde, kommt LoadState zum Einsatz. Auf dem Zielrechner liest LoadState gesteuert durch die XML-Konfigurationsdateien die USMT.mig-Datei und stellt die Benutzereinstellungen wieder her. Dies kann als geplanter Task im Kontext des lokalen Administrators ausgeführt werden. Die Durchführung der Migration mithilfe von USMT wurde an dieser Stelle nur im Überblick dargestellt. Eine ausführliche Anleitung zur Nutzung von USMT 4.0 stellt Microsoft im sehr ausführlichen Benutzerhandbuch für USMT 4.0 (User State Migration Tool) bereit [USMT].

72


1.3.3

Bereitstellung von Windows 7 mit Windows AIK

Soll eine größere Anzahl von Computern mit Windows 7 installiert werden, beispielsweise während einer Migration im Unternehmen von einer früheren Windows-Version hin zu Windows 7, können Betriebssystemabbilder über WDS (Windows Deployment Services) oder SCCM (System Center Configuration Manager) verteilt werden. SCCM bietet den Vorteil, dass er nicht nur zur Neuinstallation, sondern auch zur Migration, Update-Verwaltung, Softwareverteilung und zum Asset-Management verfügbar sind. Je nach gewählter Bereitstellungsstrategie kann damit der Installationsprozess vom Einschalten des Computers über die Installation bis hin zur Außerbetriebstellung vollständig automatisiert werden. Mit dem Windows Automated Installation Kit (Windows AIK) für Windows 7 stellt Microsoft kostenlos Tools zur Verfügung, mit deren Hilfe der gesamte Bereitstellungsprozess abgebildet werden kann. Windows AIK ist eine Sammlung aus Werkzeugen, Handbüchern und Anleitungen, die Administratoren in Unternehmen und OEMs (Original Equipment Manufacturers) bei der Bereitstellung von Windows unterstützen. Speziell auf System-Builder ausgerichtet und auch nur für diese verfügbar ist das Windows OEM Preinstallation Kit (Windows OPK). Hier finden Sie die gleichen Features wie im WAIK, allerdings verfügt das OPK über einige zusätzliche Konfigurationsmöglichkeiten.

Installation von Windows AIK Microsoft stellt Windows AIK kostenlos im Download-Bereich bereit. Nach dem Download der ca. 1,6 GByte großen .iso-Datei (abhängig von der gewählten Sprache) muss die Datei als Image auf DVD gebrannt werden. Installiert werden kann das Windows AIK auf einem Rechner, auf dem Unterstützte Systeme eines der folgenden Betriebssysteme ausgeführt wird: 왘 Windows Server 2003 SP1 왘 Windows XP SP2 왘 Windows Vista 왘 Windows Server 2003 with Service Pack 2 왘 Windows Vista SP1 왘 Windows Server 2008 왘 Windows Server 2008 R2 왘 Windows 7 Während der Installation fügt Windows AIK dem Startmenü einige Verknüpfungen hinzu. Zugriff auf alle Dokumente und Tools erhält man jedoch nur im WAIK-Programmordner unter C:\Program Files\Windows AIK.\

73

Kapitel 1 Betriebssysteminstallation Abbildung 1.22 Windows AIKProgrammordner

Der Bereitstellungsprozess im Überblick Wie bereits dargestellt, können mit Windows AIK der gesamte Bereitstellungsprozess sowie die Verwaltung abgebildet werden. Gemäß Windows AIK können die damit verbundenen Aufgaben fünf Phasen zugeordnet werden: 왘 Phase 1 – Planung: In dieser Phase müssen u.a. die Bereitstellungsmethode festgelegt und der Ablauf des Rollouts geplant werden. 왘 Phase 2 – Vorbereitung: Diese Phase beinhaltet im Wesentlichen die Bereitstellung der Bereitstellungsumgebung. Eine Bereitstellungsumgebung enthält einen Referenzcomputer, auf dem Windows System Image Manager (Windows SIM) und ein Windows PE-Medium (Windows Preinstallation Environment) ausgeführt werden. Dringend zu empfehlen ist die Einrichtung einer Testumgebung, in der alle Phasen der Bereitstellung getestet werden können. 왘 Phase 3 – Anpassung: Diese Phase umfasst u.a. die Vorbereitung und Anpassung der Windows-Abbilder sowie die Erstellung erforderlicher Antwortdateien. Der Umfang der Aufgaben ist abhängig von der Bereitstellungsmethode. 왘 Phase 4 – Bereitstellung: Abhängig von der gewählten Bereitstellungsmethode (Installation von einem Abbild aus, Installation von einem Konfigurationssatz aus oder Installation von DVD) wird in dieser Phase das neue Betriebssystem mithilfe von Windows-Setup, ImageX, WDS oder anderen Bereitstellungstools ausgerollt. 왘 Phase 5 – Wartung: Die letzte Phase beinhaltet die Verwaltung und Anpassung der Windows-Abbilder. Die Phasen entsprechen einem typischen Bereitstellungslebenszyklus. Für jede Phase stehen im Windows AIK geeignete Tools und Dokumente bereit.

74


Eine Beschreibung aller Tools und Szenarien würde den Rahmen des Buchs übersteigen. Die nachstehenden Ausführungen beschränken sich daher auf einige ausgewählte Komponenten. Ausführliche Beschreibungen, Anleitungen, Beschreibungen verschiedener Szenarien und Skripte sind in der Windows AIK-Dokumentation und im Microsoft Technet Center zu finden.

Die Bereitstellungsmethoden im Vergleich Es gibt mehrere Möglichkeiten für eine automatisierte Installation von Windows 7. In diesem Abschnitt werden die drei unterstützten Bereitstellungsmethoden beschrieben, die von Microsoft folgendermaßen bezeichnet werden: Installation von einer DVD, von einem Abbild und von einem Konfigurationssatz. Diese Methode stellt die einfachste Möglichkeit einer automatisierten Ver- Installieren teilung dar. Hierbei wird für den manuellen Installationsvorgang eine von DVD sogenannte Antwortdatei erstellt, die alle Angaben enthält, die während des manuellen Installationsvorgangs abgefragt würden. Mithilfe der Antwortdatei kann die Installation von der Windows 7-DVD völlig unbeaufsichtigt durchgeführt werden. Dazu wird die Antwortdatei auf ein Wechselmedium wie eine CD-ROM oder einen USB-Stick kopiert. Während des Installationsvorgangs sucht der Installations-Assistent auf den Wechselmedien nach einer Antwortdatei mit dem Namen Autounattend.xml. Ist diese vorhanden, werden beim Windows-Setup alle in der Antwortdatei festgelegten Einstellungen angewendet. Die nachstehende Abbildung zeigt den Bereitstellungsprozess dieser Methode im Überblick. Abbildung 1.23 Ablauf der Bereitstellung bei Installation von DVD (Quelle: Microsoft WAIK für Windows 7)

75


Die DVD-Startmethode ist leicht vorzubereiten und eignet sich für Fälle, in denen hin und wieder einzelne Computer neu aufgesetzt werden sollen, setzt aber voraus, dass die Computer über eigene DVD-Laufwerke verfügen. Die Antwortdatei kann mit dem Windows System Image Manager (Windows SIM) erstellt werden. Wenn Windows-Setup abgeschlossen ist, können weitere Anpassungen erfolgen. Außerdem kann beispielsweise abschließend der Befehl Sysprep mit den Optionen /Oobe, /Generalize und /Shutdown ausgeführt werden, bevor der Computer an den Kunden ausgeliefert wird. Ausführliche Erläuterungen zu Sysprep finden Sie im nachfolgenden Abschnitt. Die Installation von einer DVD aus kann auch eingesetzt werden, um bei abbildbasierten Bereitstellungen eine Referenzinstallation zu erstellen. Installation von einem Konfigurationssatz aus

Alternativ kann man den Computer auch über eine bootfähige Windows PE-Umgebung starten, beispielsweise von einem USB-Stick aus, und sich dann mit einer Netzwerkfreigabe verbinden, wo die Installationsdaten Windows Setup zu finden sind. Auch hier kann eine Antwortdatei hinterlegt werden und so der Installationsvorgang über das Netzwerk automatisiert ablaufen. Die Konfigurationssatz-Installationsmethode ist geeignet, wenn nur eine geringe Anzahl von Computern installiert werden muss und die Erstellung und Verwaltung von Abbilddateien nicht effizient ist. Die Einrichtung der erforderlichen Infrastruktur nimmt, im Gegensatz zur nachstehend beschriebenen Abbild-Methode, zwar weniger Zeit in Anspruch, aber das Herstellen der einzelnen Computer dauert länger. Die nachstehende Abbildung zeigt den Bereitstellungsprozess dieser Methode im Überblick.

Abbildung 1.24 Ablauf der Bereitstellung bei Installation von einem Konfigurationssatz (Quelle: Microsoft WAIK für Windows 7)

Auch bei dieser Methode können nach dem Abschluss der Installation weitere Anpassungen erfolgen bzw. können die Computer mittels Sysprep für die Auslieferung an Kunden vorbereitet werden.

76


Soll eine größere Anzahl von Computern mit Windows 7 bestückt wer- Installation von den, beispielsweise während einer Migration im Unternehmen, bieten die einem Abbild aus zuvor beschriebenen Methoden nicht ausreichende Flexibilität. In diesem Fall ist eine abbildbasierte Bereitstellung vorzuziehen. Hierbei können Abbilder von Referenzinstallationen an einer Netzwerkfreigabe bereitgestellt oder beispielsweise über WDS oder SCCM verteilt werden. Diese Methode bietet die größte Flexibilität und ermöglicht es, viele Computer schnell zu duplizieren. Durch das Erstellen eines Basisabbilds kann das Systemabbild auf mehrere Computer mit identischer Konfiguration angewendet werden. Das Basisabbild kann zu jedem Zeitpunkt an erforderliche Änderungen angepasst werden. Zur Aufzeichnung des Abbilds der Referenzinstallation kann das Tool ImageX verwendet werden. Anschließend muss das Abbild auf einer Distributionsfreigabe gespeichert werden, die von Windows SIM (Windows Systemabbild Manager) bereitgestellt werden kann. Durch Verwendung unterschiedlicher Implementierungen der Antwortdatei Unattend.xml kann der eigentliche Installationsprozess ganz oder teilweise automatisiert werden. Allerdings erfordert das vollständige Implementieren einer automatischen Version dieser Methode mehr Vorbereitungszeit. In dem folgenden Diagramm ist der Prozess einer abbildbasierten Bereitstellung dargestellt. Abbildung 1.25 Ablauf der Bereitstellung bei Installation von einem Abbild (Quelle: Microsoft WAIK für Windows 7)

Das Systemvorbereitungsprogramm Sysprep In den vorstehenden Abschnitten wurde mehrfach auf das Tool Sysprep verwiesen. Sysprep ist ein kostenloses Zusatztool, mit dem Systemimages so vorbereitet werden, dass diese auf andere Computer übertragen werden können. Dies bietet den Vorteil, dass nicht nur das Betriebssystem, sondern auch alle Konfigurationen und alle Anwendungen übernommen werden können. Entscheidend ist dabei, dass Sysprep dem Zielrechner eine neue SID Problem mit zuweist. Windows benutzt zur Identifikation eines jeden Rechners eine identischer SID eindeutige Identifikationsnummer, die sogenannte SID (Security Identi-

77


fier). Jeder Rechner im Netzwerk muss eine eindeutige SID besitzen. Wenn nun aber ein vorhandenes Festplattenimage auf einen anderen Rechner kopiert wird, wird die bereits vorhandene SID auch auf dem anderen Rechner eingesetzt, was zu massiven Problemen im Netzwerk führen kann. Seit Windows 2000 bringt Windows mit dem Systemvorbereitungsprogramm Sysprep ein eigenes Programm mit, welches das Duplizieren von Rechnern mit eindeutiger SID erlaubt. Hierzu fügt Sysprep dem Image einen Systemdienst hinzu. Dieser Dienst entfernt systemspezifische Daten und erstellt eine eindeutige lokale SID, wenn der Computer, auf den das Image kopiert wurde, das erste Mal gestartet wird. Bei Windows XP und Windows Server 2003 verhindern jedoch technische Einschränkungen die Erstellung eines einzigen Image, das auf allen Computern bereitgestellt werden kann. Unterschiedliche HAL-Schichten (Hardware Abstraction Layer) bedeuten, dass mehrere Images gepflegt werden müssen. Seit Windows Vista bestehen diese technischen Einschränkungen nicht mehr; das Betriebssystem ist in der Lage, die benötigte HAL festzustellen und sie automatisch zu installieren. Sysprep-Neuerungen unter Windows Vista und Windows 7

78

Sysprep wurde mit Windows Vista in den folgenden Bereichen verbessert: 왘 Für die Windows-Versionen vor Windows Vista wird Sysprep im Windows OPK (OEM Preinstallation Kit) bzw. in der Datei Deploy.cab auf der Windows-CD oder im neuesten Service Pack bereitgestellt. Unter Windows Vista und Windows 7 ist Sysprep Teil der Installation und standardmäßig im Ordner %WINDIR%\System32\sysprep zu finden. 왘 Sysprep bereitet einen Computer für die Erstellung von Images oder die Auslieferung an einen Kunden vor, indem der Computer so konfiguriert wird, dass nach dem Neustart eine neue Sicherheitskennung erstellt wird. Darüber hinaus bereinigt die neue Version von Sysprep auch benutzer- und computerspezifische Einstellungen und Daten, die nicht auf einen Zielcomputer kopiert werden sollen. 왘 Sysprep konfiguriert Windows zum Starten im Überwachungsmodus. Der Überwachungsmodus ermöglicht es, Anwendungen und Gerätetreiber von Drittanbietern zu installieren sowie die Funktionalität des Computers zu testen. 왘 Mit Sysprep kann die Windows-Produktaktivierung bis zu drei Mal zurückgesetzt werden. 왘 Sysprep-Images werden als WIM-basierte Images gespeichert. Dies hebt einige der Beschränkungen, die bei den Vorgängerversionen bestanden, auf. Wie beschrieben sind WIM-Imageformate hardwareunabhängig. Die Rechner müssen daher nicht mehr zwingend über kompatible HALs oder über die gleichen Controller für Massenspeichergeräte (SCSI oder IDE) verfügen. Nur für 32-Bit- und 64-Bit-Prozessoren sind jeweils eigene Images notwendig. Auch muss die Festplatte auf dem Zielcomputer nicht mehr mindestens die gleiche Größe wie die Festplatte auf dem Masterrechner aufweisen. 왘 Die Datei Sysprep.inf gibt es nicht mehr. Die neue Version verwendet nur noch eine einzige Antwortdatei im .xml-Format (Unattend.xlm).


Sysprep kann gestartet werden, indem die Datei C:\Windows\System32\ Sysprep\Sysprep.exe ausgeführt wird. Werden keine Parameter angegeben, wird Sysprep im grafikbasierten Modus gestartet. Grundsätzlich umfasst der Einrichtungsprozess für den Referenzrechner, der zum Duplizieren der Festplatte verwendet werden soll, die folgenden Arbeitsschritte: 1. Installieren Sie das Betriebssystem auf dem Referenzrechner. Erforderliche 2. Installieren Sie auf dem Referenzrechner alle erforderlichen Anwendun- Arbeitsschritte gen. Hierbei kann es sich sowohl um Standardanwendungen wie Virenscanner oder Microsoft Office als auch um branchenspezifische Programme handeln. Auch die Konfiguration allgemeingültiger Einstellungen, wie beispielsweise lokaler Computerrichtlinien, ist möglich. 3. Führen Sie Sysprep.exe aus. Beim Ausführen von Sysprep auf dem Referenzcomputer werden alle benutzer- und computerspezifischen Einstellungen und Daten entfernt, der Produktaktivierungscountdown auf 30 Tage zurückgesetzt und die Erstellung einer neuen Sicherheits-ID (Security Identifier, SID) beim Neustart aktiviert. Abbildung 1.26 Die grafische Benutzeroberfläche von Sysprep

Entsprechend den beiden Startarten, in denen ein Computer auf der Basis eines Sysprep-Images gestartet werden kann, lassen sich, wie in vorstehender Abbildung gezeigt, die beiden folgenden Modi auswählen: 왘 Out-of-Box Experience (OOBE) Standardmäßig wird beim ersten Start von Windows 7 zunächst die Windows-Willkommensseite angezeigt. Die Windows-Willkommensseite, auch bezeichnet als Computer-OOBE (Out-of-Box Experience = Standardverhalten), ist die erste Seite, die ein Endbenutzer sieht. Diese Seite ermöglicht dem Benutzer das Anpassen der Windows-Installation. Dazu gehören das Erstellen von Benutzerkonten, die Annahme der Microsoft-Softwarelizenzbedingungen sowie die Auswahl von Sprache und Zeitzone. 왘 Systemüberwachungsmodus

Im Gegensatz zum OOBE-Modus kann der Endanwender bei Start im Systemüberwachungsmodus (Audit-Modus) keine Einstellungen vornehmen, da die Windows-Willkommensseite umgangen wird. Der Überwachungsmodus ermöglicht Administratoren in Unternehmen und Herstellern das Anpassen von Images an die eigenen Erfordernisse. Hier können zusätzliche Treiber oder Anwendungen hinzugefügt und die Installation getestet werden. Notwendige Einstellungen können hierbei aus einer Antwortdatei kommen.

79

Kapitel 1 Betriebssysteminstallation Sysprep mit Parametern ausführen

Alternativ kann Sysprep an der Befehlszeile mit der folgender Syntax ausgeführt werden: Sysprep.exe [/quiet] [/generalize) [/audit | /oobe] [/reboot | /shutdown | /quit] [/unattend:] 왘 /quiet: Bei Verwendung dieses Parameters wird Sysprep ohne Anzeige

왘

왘 왘 왘 왘 왘 왘

von Bildschirmmeldungen ausgeführt. Diese Option ist nützlich, um den Computer zu überwachen und um sicherzustellen, dass die Erstausführung korrekt funktioniert. /generalize: Weist Sysprep an, systemspezifische Daten aus der Windows-Installation zu entfernen. Die systemspezifischen Informationen umfassen Ereignisprotokolle, Sicherheitskennungen (SIDs), Systemwiederherstellungspunkte und Einträge in Protokolldateien. Außerdem wird der Aktivierungszähler auf 30 Tage zurückgesetzt. Diese Option sollte immer gesetzt werden, damit Windows auf die Erstellung eines Images vorbereitet wird. /audit: Startet den Rechner im Systemüberwachungsmodus. /oobe: Startet den Computer im Out-of-Box-Experience-(OOBE-)Modus. /reboot: Wird Sysprep mit diesem Parameter gestartet, führt das System einen automatischen Neustart durch. /shutdown: Mit diesem Parameter wird das Betriebssystem nach dem Beenden von Sysprep ohne Benutzereingriff heruntergefahren. /quit: Nach dem Ausführen wird Sysprep beendet. /unattend:: Wendet während der Ausführung von Sysprep Einstellungen aus einer Antwortdatei an. Dies ermöglicht eine unbeaufsichtigte Installation. Mit dem Parameter Antwortdatei werden der Pfad und der Dateiname der zu verwendenden Antwortdatei konfiguriert.

Ausführliche Erläuterungen zum Systemvorbereitungstool Sysprep.exe finden Sie ebenfalls in der Windows AIK-Dokumentation und im Microsoft Technet Center.

Images erstellen und bearbeiten mit ImageX ImageX ist ebenfalls Bestandteil von Windows AIK. Hierbei handelt es sich um ein Befehlszeilenprogramm, das auch unter Windows PE ausgeführt werden kann und es erlaubt, Images zu erstellen, zu bearbeiten und bereitzustellen. Weiterhin können damit WIM-Images als Ordner bereitgestellt und so offline bearbeitet werden. Da es sich um ein befehlszeilenbasiertes Programm handelt, kann es auch gut in Skripten eingesetzt werden. Einschränkend ist es mit ImageX nicht möglich, Anwendungen einem Image hinzuzufügen. Funktionsweise

80

Mit ImageX lassen sich Images aufzeichnen, die jedoch zunächst vorbereitet werden müssen. Hierzu gibt es mehrere Möglichkeiten:

1 Bereitstellung von Windows 7 im Unternehmensnetzwerk 왘 Mit dem Windows System Image Manager (Windows SIM) wird ein Instal-

lationsabbild erstellt, das später mit ImageX aufgezeichnet werden kann. 왘 Mithilfe von Sysprep kann die Aufzeichnung eines Images vorbereitet

werden. Bei der Vorbereitung mit Sysprep auf dem Masterrechner werden alle benutzer- und computerspezifischen Einstellungen und Daten entfernt, und die Erstellung einer neuen Sicherheitskennung nach dem Neustart wird aktiviert. Um anschließend das Image zu erstellen, muss der Referenzcomputer in der Windows PE-Umgebung gestartet werden. Mit ImageX können u.a. Partitionen in einer WIM-Datei gespeichert und Befehlszeileneine WIM-Datei in einer Partition wiederhergestellt werden. Hierfür stellt optionen ImageX die folgenden Befehle zur Verfügung: Abbildung 1.27 Die Syntax von ImageX

왘 /append: Fügt einer vorhandenen WIM-Datei ein Image hinzu. 왘 /apply: Stellt ein Image in einem bestimmten Laufwerk wieder her. 왘 /capture: Erstellt ein Image in einer neuen WIM-Datei. 왘 /delete: Löscht ein Image aus einer WIM-Datei . 왘 /dir: Zeigt eine Liste der Dateien und Ordner in einem Image an, 왘 왘 왘 왘 왘

ohne dass dieses zuvor bereitgestellt werden muss. /export: Überträgt ein Image von einer WIM-Datei zu einer anderen. /info: Zeigt die XML-Beschreibungen für eine ausgewählte WIM-Datei an. /split: Teilt eine vorhandene WIM-Datei in mehrere schreibgeschützte Teile. /mount: Stellt ein Image schreibgeschützt in einem ausgewählten leeren Ordner bereit. /mountrw: Stellt ein Image mit Lese- und Schreibzugriff in einem bestimmten Ordner bereit.

81

Kapitel 1 Betriebssysteminstallation 왘 /remount: Stellt die Verbindung zu einem bereitgestellten Abbild erneut

her. 왘 /commit: Speichert die Änderungen an einer bereitgestellten WIM-

Datei, ohne die Bereitstellung der WIM-Datei aufzuheben. 왘 /unmount: Hebt die Bereitstellung eines Images in einem ausgewählten

Ordner auf. 왘 /cleanup: Löscht alle Ressourcen, die einem bereitgestellten, abgebro-

chenen Abbild zugeordnet sind. Bei diesem Befehl wird weder die aktuelle Bereitstellung von Abbildern aufgehoben, noch werden Abbilder gelöscht, die über den Befehl imagex /remount wiederhergestellt werden können. Hervorzuheben ist die Option /mount. Diese bietet die Möglichkeit, ein Image in einem Ordner bereitzustellen. Anschließend kann das Image wie jeder andere Ordner auch bearbeitet werden, d.h., es können Dateien wie beispielsweise Treiberdateien oder Schriftendateien hinzugefügt und daraus entfernt werden. Anschließend kann die Bereitstellung mit der Option /unmount sehr einfach wieder aufgehoben werden. Ausführliche Erläuterungen zur Funktionsweise und zu den Einsatzmöglichkeiten von ImageX finden Sie im Benutzerhandbuch zum Windows AIK.

Windows 7 in einer mehrsprachigen Umgebung bereitstellen Bei international tätigen Unternehmen ist in der Regel der Einsatz unterschiedlicher Sprachversionen erforderlich. Da Windows 7 aufgrund der modularen Struktur sprachunabhängig ist, können komfortabel ein oder mehrere Sprachpakete hinzugefügt werden. Sprachpakete dienen zum Aktivieren der Unterstützung für bestimmte Sprachen und Gebietsschemata. Benutzer haben damit auf der WindowsWillkommensseite bzw. in der Systemsteuerung die Möglichkeit, die Standardsprache und das Gebietsschema für den Computer auszuwählen. Einschränkend werden verschiedene Sprachpakete nur von den Editionen Windows 7 Ultimate oder Enterprise unterstützt. Alle anderen WindowsVersionen unterstützen zwar keine vollständige Sprachumschaltung, es steht jedoch eine eingeschränkte Variante, die auf Language Interface Packs (LIPs) zurückgreift, zur Verfügung. Hierbei werden nur die gebräuchlichsten Bereiche der Benutzeroberfläche in eine andere Sprache übersetzt. Und bereits mit Windows Vista hat Microsoft die Bereitstellung von mehrsprachigen Computern deutlich erleichtert. Administratoren sind dadurch in der Lage, für Regionen mit mehreren Sprachen und Gebietsschemaeinstellungen dasselbe Image bereitzustellen. Dabei ersetzen die Sprachpakete in Windows 7 die MUI-(Multilingual User Interface-)Dateien aus früheren Versionen von Windows. Im Gegensatz zu MUI-Dateien können beispielsweise Sprachpakete einem Windows-Offline-Image hinzugefügt werden.

82


Für Windows 7 stehen zwei Arten von Sprachpakettypen zur Verfügung: Sprachpaket왘 Vollständiges Language Pack: Bei diesen Sprachpaketen sind in der Regel typen alle Ressourcen für die betreffende Sprache und das Gebietsschema lokalisiert. Allerdings sind bei bestimmten Sprachen nicht alle Sprachressourcen in der angegebenen Sprache lokalisiert. In einem solchen Fall wird das Language Pack als teilweise lokalisiertes Language Pack bezeichnet. So ist beispielsweise Arabisch (Saudi-Arabien) ein teilweise lokalisiertes Sprachpaket, bei dem 80 Prozent der Sprachressourcen in Arabisch, die verbleibenden 20 Prozent der Sprachressourcen entweder englisch oder französisch sind. 왘 Benutzeroberflächen-Sprachpaket (Language Interface Pack, LIP): Hierbei handelt es sich um teilweise lokalisierte Sprachpakete, die nur über ein vollständig lokalisiertes Sprachpaket installiert werden können. Weil LIPs lizenzfrei und kostenlos sind und weil es LIPs für alle Weltsprachen gibt, sind sie eine gute Alternative, wenn die eingesetzte Windows-Version keine Language Packs unterstützt. Lizenzrechtlich bedingt unterstützen nur die Windows Ultimate Edition und die Windows Enterprise Edition die Verwendung von Sprachpaketen. Nur bei diesen Editionen können mehrere Sprachpakete installiert werden. Beachten Sie hierzu die Erläuterungen in Abschnitt 1.3.3 ab Seite 82. Alle anderen Windows-Editionen entfernen automatisch alle nicht standardmäßigen Sprachpakete. Hingegen unterstützen alle Windows-Editionen eine unbegrenzte Anzahl von LIPs (Language Interface Packs). Im Microsoft Technet-Bereich finden Sie eine Liste mit allen unterstützten Language Packs und Benutzeroberflächen-Sprachpaketen, die für Windows 7 und Windows Server 2008 R2 verfügbar sind [LANGUAGE]. LIPS können Sie kostenlos herunterladen von der Microsoft Unlimited Potential Site [LIP]. Es gibt verschiedene Möglichkeiten, Sprachpakete in eine Windows 7- Sprachpakete Installation zu integrieren. Das Hinzufügen eines Language Packs zu installieren einem Windows-Abbild kann im Zuge mehrerer Bereitstellungsphasen erfolgen. So können Language Packs hinzugefügt werden, während das Windows-Abbild offline ist, im Rahmen einer automatisierten Installation unter Verwendung von Windows Setup und einer Antwortdatei für die unbeaufsichtigte Installation (Unattend.xml) oder im laufenden Betrieb des Betriebssystems. Hierbei ist Folgendes zu beachten: Ein Systemabbild kann so viele Language Packs enthalten wie nötig, allerdings nimmt durch jedes zusätzliche Language Pack die Größe des Abbilds zu. Dies verlängert ggf. auch die Zeit, die für das Ausführen bestimmter Wartungsaufgaben benötigt wird. Werden Language Packs mithilfe einer Antwortdatei für die unbeaufsichtigte Installation hinzugefügt, empfiehlt Microsoft, maximal 20 Language Packs gleichzeitig hinzuzufügen. Dieser Wert dürfte allerdings in den meisten Fällen mehr als ausreichend sein. Ausführliche Erläuterungen zur Funktionsweise und zur Installation von Sprachpaketen finden Sie im Benutzerhandbuch zum Windows AIK.

83


Erstellung und Anpassung XML-basierter Antwortdateien Bei den Vorgängerversionen von Windows Vista konnte der unbeaufsichtigte Installationsprozess durch eine Reihe textbasierter Antwortdateien, wie beispielsweise der Datei Unattend.txt oder Sysprep.inf, gesteuert werden. Diese Antwortdateien ermöglichten die Automatisierung während einer bestimmten Phase der Installation und die Bereitstellung von Windows, indem sie die Antworten für eine Reihe von Dialogfeldern der grafischen Benutzeroberfläche bereitstellten. Nur noch eine XML-basierte Antwortdatei

Seit Windows Vista wird bei der unbeaufsichtigten Installation eine einzelne .xml-basierte Antwortdatei (Unattend.xml) für alle Installations- und Bereitstellungsphasen von Windows verwendet. Diese Bereitstellungsphasen werden als Konfigurationsphasen bezeichnet. Konfigurationsphasen sind die Phasen einer Windows-Installation, während derer ein Abbild angepasst werden kann. In der Regel können die Einstellungen für die unbeaufsichtigte Windows-Installation in mehreren Konfigurationsphasen angewendet werden. Das Verständnis dafür, wie und wann Konfigurationsphasen ausgeführt werden, ist entscheidend für die Entwicklung einer geeigneten Bereitstellungsstrategie.

Konfigurationsphasen

84

Windows 7 unterscheidet die folgenden Konfigurationsphasen: 왘 windowsPE: Die Einstellungen für diese Phase konfigurieren Windows PE-Optionen sowie grundlegende Windows Setup-Optionen. Hierzu gehören u.a. das Festlegen des Produktschlüssels sowie das Konfigurieren der Datenträger. 왘 offlineServicing: In dieser Phase werden Updates, Sprachpakete und andere Sicherheitspatches auf das Image angewendet. 왘 specialize: Die Einstellungen für diese Phase legen systemspezifische Informationen fest und wenden sie an. Hierzu zählen u.a. Netzwerkeinstellungen, internationale Einstellungen und Informationen zur Domänenmitgliedschaft. 왘 generalize: Während dieser Konfigurationsphase werden computerspezifische Informationen aus der Windows-Installation entfernt, sodass das Windows-Abbild auf unterschiedliche Computer angewendet werden kann. Der Befehl sysprep /generalize beispielsweise entfernt systemspezifische Informationen aus dem Image. Dies umfasst neben der eindeutigen Sicherheits-ID (SID) und hardwarespezifischen Einstellungen auch das Zurücksetzen der Aktivierung. 왘 auditSystem: In dieser Konfigurationsphase werden Einstellungen für die unbeaufsichtigte Installation verarbeitet, während Windows im Systemkontext ausgeführt wird und bevor sich ein Benutzer im Überwachungsmodus am Computer anmeldet. Die Phase auditSystem wird nur ausgeführt, wenn die unbeaufsichtigte Installation im Überwachungsmodus durchgeführt wird. 왘 auditUser: Die Einstellungen für diese Phase werden verarbeitet, nachdem sich ein Benutzer im Überwachungsmodus am Computer angemeldet hat. Auch die Phase auditUser wird nur ausgeführt, wenn die unbeaufsichtigte Installation im Überwachungsmodus durchgeführt wird.

1 Bereitstellung von Windows 7 im Unternehmensnetzwerk 왘 oobeSystem: Im Durchlauf oobeSystem werden die Einstellungen für

den ersten Start durch den Endbenutzer, d.h. die Windows-Willkommensseite, konfiguriert und vor der ersten Anmeldung eines Benutzers bei Windows verarbeitet. Die nachstehende Abbildung aus dem Windows AIK für Windows 7 zeigt die Beziehung zwischen den Konfigurationsphasen im Rahmen von Windows PE, Windows Setup und Sysprep. Abbildung 1.28 Die Konfigurationsphasen einer Windows-Installation

Zum Erstellen und Verwalten von Antwortdateien kann Windows SIM Antwortdateien (System Image Manager) verwendet werden. Hierzu stellt Windows SIM mit dem WSIM eine grafische Benutzeroberfläche zur Verfügung, in der alle Aufgaben erstellen komfortabel erledigt werden können. Damit ist es beispielsweise möglich, eine Antwortdatei zu erstellen, mit der während des Installationsprozesses ein Datenträger partitioniert und formatiert, ein zusätzliches Sprachpaket installiert und Windows zum Starten im Überwachungsmodus nach der Installation konfiguriert wird. Darüber hinaus ermöglicht es der Windows System Image Manager, die vorhandenen Einstellungen eines Windows-Abbilds anzuzeigen und offline Software-Updates, Gerätetreiber sowie Sprachpakete u.a. hinzuzufügen. Für die Verteilung der Images gibt es mehrere Möglichkeiten. Einige Möglichkeiten unter Nutzung der Windows AIK Tools wurden zuvor im Abschnitt 1.3.1 ab Seite 75 vorgestellt. Ausführliche Erläuterungen zur Funktionsweise und zur Installation von Antwortdateien sowie zu deren Bearbeitung mit dem Windows System Image Manager finden Sie im Benutzerhandbuch zum Windows AIK.

85

Kapitel 1 Betriebssysteminstallation Abbildung 1.29 Offline-Bearbeitung von Images mit dem Windows System Image Manager

1.3.4

Aktivierung für Unternehmenskunden – Volumenaktivierung

Windows Vista ist das erste Betriebssystem von Microsoft bei dem die Aktivierung nicht mehr umgangen werden kann. Auch Unternehmen müssen das Betriebssystem daher aktivieren. Für Windows XP und Office 2003 hat Microsoft noch die Volume Activation 1.0 eingesetzt. Bei dieser Aktivierung erhielten Unternehmenskunden Seriennummern, die nicht extra aktiviert werden mussten. Bei der neuen Volume Activation 2.0, das mit Windows Vista und Windows Server 2008 veröffentlicht wurde, gibt es diese Möglichkeit nicht mehr. Alle Produkte, die unter die VA 2.0 fallen, müssen immer aktiviert werden. Das Systemverhalten von Windows Server 2008 und Windows Vista sowie Windows Server 2008 R2 und Windows 7 bei der Aktivierung ist daher grundsätzlich gleich. Für Letztere enthalten die Aktivierungstechnologien jedoch einige Verbesserungen vor allem in Hinblick auf eine vereinfachte Verwaltung. Für Office 2007 gelten die genannten Einschränkungen übrigens nicht. Office 2007 fällt noch unter Volume Activation 1.0. Hier erhalten Unternehmenskunden eine Seriennummer, die keine Aktivierung erfordert. Grundlagen der Volumenaktivierung

86

Wird Windows 7 installiert, generiert das System auf Basis der verwendeten Hardware eine eindeutige Identifizierungsnummer (ID), die zur Aktivierung verwendet wird. Ändert sich Hardware im Computer, stimmt die ID von Windows unter Umständen nicht mehr mit der AktivierungsID überein, sodass erneut aktiviert werden muss. Dazu arbeitet Windows mit einem Toleranzwert, der nicht unterschritten werden darf. Hierzu wird jeder Komponente im Computer eine bestimmte Punktzahl und damit Gewichtung zugeordnet. Wird eine Komponente ausgetauscht,


nähert sich das System dem Toleranzbereich, innerhalb dessen erneut aktiviert werden muss. So muss zum Beispiel beim Wechseln der CPU, des Mainboards oder der Festplatte oft neu aktiviert werden, allerdings hängt das vom einzelnen System ab. Diese drei Komponenten sind am höchsten gewichtet. Diese Vorgehensweise gilt auch für Volumenlizenzen. Mit Volumenlizenzschlüsseln ist es möglich, eine bestimmte Anzahl an Computern mit dem gleichen Schlüssel zu installieren und anschließend zu aktivieren. Solche Lizenzschlüssel gibt es nur für die Professional- und Enterprise-Editionen von Windows 7. Um aber Unternehmen bei der erforderlichen Aktivierung ihrer Systeme zu unterstützen, stellt Microsoft für die Volumenaktivierung spezielle Technologien und Tools zur Verfügung. Hierzu zählt u.a. das Volume Activation Management Tool (VAMT), das die zentrale Verwaltung der Volumenlizenzen über einen Key Management Service (KMS) oder über Multiple Activation Keys (MAK) unterstützt. Der KMS-Dienst wird auf einem Computer mit einem eigenen Schlüssel aktiviert, der lediglich auf dem KMS-Host und nicht auf jedem einzelnen Computer zu finden ist. Der MAK wird auf den einzelnen Computern gespeichert, ist jedoch verschlüsselt und wird in einem vertrauenswürdigen Speicher aufbewahrt, sodass Benutzer diesen Schlüssel nie zu sehen bekommen und auch nicht nachträglich auslesen können. Als Schlüssel verwendet Microsoft Cipher Block Chaining Message Authentication Code (CBC-MAC) mit dem Advanced Encryption Standard (AES) als grundlegende Verschlüsselungstechnologie. Bei der MAK-Aktivierung findet ein ähnlicher Prozess statt wie bei MSDN- Multiple Actioder Action Pack-Versionen für Microsoft-Partner. Jeder Produktschlüssel vation Key (MAK) kann für eine vorgegebene Anzahl an Computern verwendet werden, die dann auch aktiviert werden können. Die MAK-Aktivierung muss nur einmal durchgeführt werden und erlaubt beliebige Änderungen an der Hardware des Computers. Die MAK-Aktivierung kann über das Internet oder telefonisch durchgeführt werden. Vor allem bei mobilen Computern, die sich nicht ständig mit dem Netzwerk verbinden, ist die MAK-Aktivierung der bessere Weg, da keine ständige Verbindung zum KMS-Server benötigt wird und nur einmal aktiviert werden muss. Bei der Aktivierung über KMS müssen sich die Clients alle 180 Tage erneut mit dem Server verbinden können, der den KMS-Dienst zur Verfügung stellt. Wie viele Clients mit einem MAK aktiviert werden können, hängt vom individuellen Vertrag ab, den Ihr Unternehmen mit Microsoft geschlossen hat. Es gibt zwei verschiedene Varianten der MAK-Aktivierung: 왘 MAK Proxy Activation: Bei dieser Variante können mehrere Computer durch eine Verbindung bei Microsoft aktiviert werden. Microsoft stellt dazu das Volume Activation Management Tool (VAMT) zur Verfügung. Mit dem Tool ist eine grafische Oberfläche zur Verwaltung des Volumenaktivierungsprozesses der Produktschlüssel verfügbar. 왘 MAK Independent Activation: Bei dieser Variante muss jeder Computer durch eine eigene Verbindung bei Microsoft aktiviert werden.

87

Kapitel 1 Betriebssysteminstallation Abbildung 1.30 Das Volume Activation Management Tool ist Bestandteil von Windows AIK für Windows 7.

Key Management Service (KMS) Activation

Bei der KMS-Variante können Sie die Aktivierung der eingesetzten Windows Vista-, Windows 7- oder Windows Server 2008-Computer über einen lokalen Server durchführen, eine Verbindung zu Microsoft ist nicht notwendig. Dazu muss auf allen zu aktivierenden Computern der Key Management Service (KMS) installiert werden. Zur Aktivierung versuchen die KMS-Client, alle zwei Stunden eine Verbindung zum KMS-Host aufzubauen, und müssen diesen innerhalb von 30 Tagen erreichen können. Anschließend wird dieser KMS-Host in den Cache des Clients geschrieben. Bei der nächsten Aktivierung wird dann versucht, direkt diesen KMS-Host zu verwenden. Wenn ein KMS-Host nicht antwortet, versucht ein Client automatisch, andere KMS-Hosts zu erreichen. Computer, die durch KMSAktivierung aktiviert worden sind, müssen alle 180 Tage die Aktivierung am KMS-Host erneuern. Eine weitere Möglichkeit ist die manuelle Verbindung der Clients zum KMS-Host mit Direct Connection. Windows 7 Professional und Windows 7 Enterprise sind bereits standardmäßig auf eine Aktivierung per KMS ausgelegt, ohne dass eine Benutzereingabe erfolgen muss. Die Computer versuchen, sich in einem Active Directory per SRV-Record mit einem KMS-Host zu verbinden und sich selbstständig zu aktivieren.

1.3.5 Microsoft Patch Day

Bereitstellung von Updates und Service Packs

Das Einspielen von Service Packs und Sicherheitsupdates ist heute fester Bestandteil der Systemwartung. Seit 2003 veröffentlicht Microsoft jeweils an einem festen Tag im Monat, dem Patch Day, neue Updates und Sicherheitspatches. Um den Aufwand für das Update-Management möglichst gering zu halten, haben alle aktuellen Windows-Systeme die Funktion WINDOWS UPDATE integriert, mit deren Hilfe das Betriebssystem permanent automatisiert oder manuell auf dem aktuellen Stand gehalten werden kann. Microsoft stellt dazu wichtige Updates mit Erweiterungen, wie Aktualisierungen und Tools,

88


die zur reibungsloseren Funktion des Computers beitragen können, sowie Sicherheitsupdates zur Verfügung. Windows Update überprüft den Computer und stellt eine Auswahl von auf die Soft- und Hardware des Computers bezogenen Updates bereit. Diese Funktion ist bereits seit Windows 2000 Service Pack 3 Bestandteil, wurde jedoch laufend erweitert und verbessert. Bereits mit Windows Vista sind nochmals einige Verbesserungen hinzugekommen. Hierzu zählen die Reduzierung von Neustarts, eine effiziente Nutzung der verfügbaren Bandbreite sowie die Möglichkeit, den Verlauf der Update-Installation zu überprüfen. Außerdem wird der Windows Update Agent (WUA) als eigenständige Anwendung verwaltet. Updates können entweder direkt bei Microsoft oder von einem internen Möglichkeiten Update-Server heruntergeladen werden. Windows Update verwendet in der UpdateBereitstellung beiden Fällen die gleiche Benutzeroberfläche. In Unternehmensnetzwerken beziehen die einzelnen Rechner ihre Updates meist von einem lokalen Update-Server. Microsoft liefert mit dem Windows Software Update Service (WSUS) hierzu eine eigene Zusatzlösung. Mit der aktuellen Version WSUS Service Pack 2 werden auch Windows 7-Clients unterstützt. Der Vorteil dabei ist, dass die Pakete nur einmal von dem Microsoft-Update-Server geladen werden müssen; das spart Bandbreite. Zudem kann der Administrator die Patches evaluieren und hat die Kontrolle, wann und ob ein Update installiert wird.

Updates lokal verwalten Windows Update ist unter Windows 7 eine eigenständige Anwendung, die Updates manuell unter Systemsteuerung/System und Wartung/Windows Updates oder im Start- herunterladen menü unter Alle Programme zu finden ist. Abbildung 1.31 Dialogfeld zur Verwaltung von Windows-Updates

89

Kapitel 1 Betriebssysteminstallation Updates manuell herunterladen

Mithilfe der Option Nach Updates suchen kann das Herunterladen von Updates an dieser Stelle jederzeit manuell gestartet werden. Werden Updates gefunden, wird dies gemeldet, und die Updates können entweder direkt installiert oder zunächst angezeigt und einzeln ausgewählt werden. Aus Sicherheitsgründen ist aber zu empfehlen Windows Update für den automatischen Bezug von Updates zu konfigurieren. Ist Windows Update nicht aktiv, meldet das Wartungscenter eine Sicherheitslücke im Bereich Sicherheit und zeigt zusätzlich im Infobereich der Taskleiste ein rot markiertes Fähnchen an.

Automatische Updates konfigurieren

Wird die Funktion aktiviert, überprüft Windows 7, ob neue Updates vorliegen, lädt diese herunter und installiert diese automatisch nach einem festlegbaren Zeitplan. Ist ein vollautomatischer Update-Service nicht gewünscht, kann die Funktion so konfiguriert werden, dass nur eine Benachrichtigung erfolgt, sobald neue Updates zur Verfügung stehen, und diese dann manuell oder zum gewünschten Zeitpunkt installiert werden. Hierzu ist die Option Einstellungen ändern in dem in Abbildung 1.32 gezeigten Dialogfeld zu verwenden.

Abbildung 1.32 Windows 7 für den automatischen Bezug von Updates konfigurieren

An erster Stelle steht hier die von Microsoft empfohlene Option Updates automatisch installieren (empfohlen). Hierbei werden bei vorhandener Internetverbindung die Updates automatisch installiert. Wenn der Computer während eines geplanten Updates ausgeschaltet ist, installiert Windows die Updates beim nächsten Starten des Computers. Hierbei ist jedoch zu beachten, dass die vollautomatische Update-Funktion nicht nur Sicher-

90


heitsupdates, sondern auch kritische Treiberupdates durchführt. Dies kann Probleme verursachen, wenn herstellereigene Treiber eingesetzt werden, da diese gegebenenfalls bei einem Update durch die Microsofteigenen Standardtreiber ersetzt werden. Es kann daher sinnvoll sein, die Option Updates herunterladen, aber Installation manuell ausführen zu verwenden. Hierbei werden verfügbare Updates automatisch heruntergeladen, aber nicht installiert. Die zu installierenden Updates können hierbei ausgewählt werden. Es kann außerdem festgelegt werden, dass die Updates erst zu einem angegebenen Zeitpunkt installiert werden. Die genannten Einstellungen beziehen sich standardmäßig ausschließlich Zu installierende auf die sogenannten wichtigen, d.h. verbindlichen Updates. Zusätzlich Updates anzeigen kann festgelegt werden, wie mit optionalen Updates (empfohlene Updates) zu verfahren ist. Werden diese nicht automatisch installiert, sollte regelmäßig die Liste der zu installierenden Updates überprüft werden. Abbildung 1.33 Die Liste der zu installierenden Updates ermöglicht die gezielte Auswahl benötigter Updates.

Wird Windows 7 Ultimate Edition oder Enterprise Edition eingesetzt, enthält die Liste der optionalen Updates auch die verfügbaren Sprachpakete. Gewünschte Sprachpakete können damit installiert werden. Nähere Informationen zum Einsatz von Sprachpaketen finden Sie in Abschnitt 1.3.3 ab Seite 82. Hilfreich ist die Option Updateverlauf anzeigen, mit der unter Windows 7 die korrekte Installation von Updates überprüft werden kann.

91

Kapitel 1 Betriebssysteminstallation Abbildung 1.34 Die erfolgreiche Installation von Updates kann im Updateverlauf überprüft werden.

Updates zentral bereitstellen Zumindest in großen Unternehmensnetzwerken ist die Einrichtung einer zentral administrierbaren Patchverwaltung unumgänglich. Microsoft stellt mit Microsoft Windows Server Update Services (WSUS) kostenlos ein Patchund Update-Verwaltungsprogramm als zusätzliche Komponente für Microsoft Windows Server zur Verfügung, mit der Administratoren WindowsUpdates im eigenen LAN bereitstellen, verwalten und verteilen können. Zusätzlich können damit die Sicherheitseinstellungen aller Computer im Netzwerk analysiert und entsprechende Auswertungen erstellt werden. Hierzu stellt WSUS eine Verwaltungsinfrastruktur bereit, die aus den folgenden drei Elementen besteht: 왘 Microsoft Update Website: Die Microsoft-Website, mit der die WSUSServer zum Herunterladen von Updates für Microsoft-Produkte eine Verbindung herstellen. 왘 Windows Server Update Services-Server: Beschreibt die Serverkomponente, die auf einem Computer installiert ist. Der WSUS-Server stellt die Funktionen bereit, die zum Verwalten und Verteilen von Updates über ein webbasiertes Tool benötigt werden. Darüber hinaus kann ein WSUS-Server als Update-Quelle für andere WSUS-Server dienen. In einer WSUS-Infrastruktur muss mindestens ein WSUS-Server im Netzwerk eine Verbindung mit Microsoft Update herstellen, um verfügbare Updates abzurufen. 왘 WSUS-Clients: Rechner, die mithilfe der Windows Update-Funktion Updates von einem WSUS-Server herunterladen. Bei WSUS-Clients kann es sich sowohl um Server als auch Clientcomputer handeln. Um die Verteilung übernehmen zu können, muss WSUS auf einem zentral verfügbaren Server installiert werden. Der WSUS-Server prüft vor der Installation eines Updates, ob es für den Zielrechner geeignet ist. Zur Speicherung seiner Konfigurationsdaten und der Rückmeldungen der WSUS-Clients über installierte Updates verwendet WSUS eine SQLDatenbank. In kleineren Organisationen kann auch die mit WSUS ausgelieferte Datenbank eingesetzt werden. Zusätzliche Informationen finden Sie auf der WSUS-Infoseite unter dem folgenden Link: [WSUS]

92


Die aktuelle Version WSUS 3.0 (Stand 10/2009) mit Service Pack 2 bietet auch Unterstützung für Windows 7 und Windows Server 2008 R2. Abbildung 1.35 WSUS 3.0 bietet umfangreiche Funktionen zur Konfiguration des WSUSServers.

93

2

Hardwareinstallation

Ein Gerät ist ein Stück Hardware, mit dem Windows interagiert, um eine Funktion des Gerätes bereitzustellen. Hierbei kann Windows nur über die Gerätetreibersoftware mit der Hardware kommunizieren. Zur Installation eines Gerätetreibers führt das System eine Erkennung des Gerätes durch, ermittelt den Gerätetyp und sucht dann einen passenden Gerätetreiber. Seit der Einführung von Plug&Play-fähiger Hardware stellt die Installation neuer Geräte kaum noch eine Herausforderung dar – vorausgesetzt man verfügt über den passenden Treiber und die erforderlichen Berechtigungen. Was bei Windows 7 in Bezug auf die Installation und die Verwaltung von Treibern dennoch zu beachten ist und wie möglichen Problemen mit Treibern begegnet werden kann, ist Gegenstand dieses Kapitels. Dabei werden die Installation und Verwaltung von Geräten zuerst aus Anwendersicht betrachtet, was auch die DeviceStage-Funktionen und die integrierten Funktionen zur Behandlung von Problemen einschließt. Darüber hinaus werden die Möglichkeiten zur Bereitstellung von Treibern im Unternehmensnetzwerk und zur Steuerung von Installationsberechtigungen aufgezeigt.

2.1

Hardware installieren

Windows unterstützt die Plug&Play-Spezifikation, durch die definiert wird, auf welche Weise ein Computer neue Hardware erkennen bzw. konfigurieren und den Gerätetreiber automatisch installieren kann. Während der Installation führt Windows 7 eine Hardwareerkennung durch. Hat man, was zu empfehlen ist, im Vorfeld der Installation die Kompatibilität der Hardware überprüft und sichergestellt, werden die Geräte erkannt und automatisch in das System eingebunden. Dies gilt grundsätzlich auch für die nachträgliche Installation von Hardware.

95

Kapitel 2 Hardwareinstallation

Dennoch ist es wichtig zu wissen, wie der Installationsprozess abläuft (auch um im Fehlerfall gezielt eingreifen zu können) und welche Steuerungsmöglichkeiten bestehen.

2.1.1

Automatische Geräteinstallation

Alle Geräte, die den Plug&Play-Standard unterstützen, können automatisch installiert werden. Einige Besonderheiten sind bei Hot-Plug-fähigen Geräten zu beachten.

Plug&Play-fähige Geräte installieren Heutige Hardwarekomponenten unterstützen in der Regel vollständig den Plug&Play-Standard und geben über sich selbst Auskunft, sodass sie ohne Benutzereingriff in das Betriebssystem eingebunden werden können. ACPI-Unterstützung

Auch die Konfiguration der Energieversorgung erfolgt bei Plug&Play-Geräten automatisch. Das Betriebssystem ermittelt, welche Programme aktiv sind, und verwaltet den gesamten Energiebedarf für die Teilsysteme und die Peripheriegeräte des Computers. Voraussetzung hierfür ist ein ACPI(Advanced Configuration and Power Interface-)fähiges System. ACPI ist ein offener Industriestandard, der eine flexible und erweiterbare Hardwareschnittstelle definiert. Hierzu gehören beispielsweise intelligente Stromsparfunktionen. Bei ACPI wird das gesamte Powermanagement vom Betriebssystem übernommen, was allerdings voraussetzt, dass die für die einzelnen Geräte eingesetzten Treiber ebenfalls diesem Standard entsprechen.

RessourcenManagement

Ein weiterer Vorteil der Plug&Play-Technologie besteht in der automatischen Verwaltung der Ressourcen. Jedes installierte Gerät benötigt eine Reihe Systemressourcen, damit es ordnungsgemäß funktionieren kann. Zu den Systemressourcen zählen u.a.: 왘 Hardware-Interrupts (IRQs – Interrupt Request Line) 왘 Eingabe-/Ausgabeadressen 왘 DMA-Kanäle 왘 Einige Hauptspeicherbereiche Die Systemressourcen gestatten es den Hardwarekomponenten, auf die CPU- und Speicherressourcen zuzugreifen, ohne miteinander in Konflikt zu geraten. Da diese Ressourcen immer begrenzt sind, muss bei der Installation der Komponenten über die Verteilung der jeweils vorhandenen Ressourcen entschieden werden. Einige dieser Ressourcen können auch gemeinsam genutzt werden. Das Plug&Play-Ressourcen-Management setzt voraus, dass die von den Komponenten verwendeten Gerätetreiber nicht von selbst bestimmte Systemressourcen beschlagnahmen (dies ist bei allen Geräten, die den Plug&Play-Standard erfüllen, der Fall), sondern nur ihren Bedarf an Ressourcen beim System anmelden, entweder bei der Installation, beim Hochfahren des Systems oder beim Anschluss eines Geräts im laufenden Betrieb. Das System erfährt so, welche Ressourcen benötigt werden bzw. welche schon vergeben und welche noch frei sind, und teilt die Ressourcen automatisch so zu, dass alle Geräte ohne Konflikte arbeiten können.

96


Grundsätzlich umfasst die Geräteinstallation unter Windows 7 die fol- Installationsablauf genden Schritte: 1. Wird ein neues Gerät angeschlossen, erkennt Windows dies und übermittelt dem Plug&Play-Dienst ein Signal. 2. Der Plug&Play-Dienst identifiziert das Gerät. 3. Anschließend durchsucht der Plug&Play-Dienst den Treiberspeicher (engl. Driver Store) nach einem passenden Treiberpaket für das Gerät. Hierbei handelt es sich um einen sicheren Bereich, in dem Windows die Treiberinstallationspakete bis zur Installation speichert. Alle Treiberpakete werden zwingend im Treiberspeicher bereitgestellt. Wird dort kein geeigneter Treiber gefunden, werden weitere Speicherorte durchsucht. Anderenfalls wird der Vorgang mit Schritt 5 fortgesetzt. 4. Der Plug&Play-Dienst durchsucht zunächst die in der Registrierungseinstellung DevicePath angegebenen Ordner. Wird dort kein geeigneter Treiber gefunden, wird die Windows Update-Website in die Suche einbezogen. Steht auch dort kein Treiber zur Verfügung, wird der Benutzer aufgefordert, einen Datenträger mit dem Treiber einzulegen bzw. ein Medium anzugeben. Anschließend überprüft Windows, ob der Benutzer berechtigt ist, das Treiberpaket im Treiberspeicher abzulegen. Der Benutzer muss dazu über Administratorrechte verfügen, oder die entsprechende Computerrichtlinie muss so konfiguriert sein, dass der Benutzer zum Installieren dieses Gerätes berechtigt ist. Weiterhin überprüft Windows, ob das Treiberpaket eine gültige digitale Signatur besitzt. Ist das Zertifikat zwar gültig, jedoch nicht im Zertifikatspeicher Vertrauenswürdige Herausgeber enthalten, wird der Benutzer zur Bestätigung aufgefordert. Danach speichert Windows eine Kopie des Treiberpakets im Treiberspeicher. 5. Der Plug&Play-Dienst konfiguriert anschließend die Registrierung, um Windows anzuweisen, wie die neu installierten Treiber zu verwenden sind, und kopiert die Treiberdateien aus dem Treiberspeicher in die entsprechenden Verzeichnisse des Betriebssystems. Dies ist standardmäßig das Verzeichnis %systemroot%\windows32\drivers. 6. Im letzten Schritt werden die neu installierten Treiber gestartet. Dieser Vorgang wird bei jedem Computerneustart wiederholt, um die Treiber erneut zu laden.

2

Wenn die Gerätetreibersoftware von Windows 7 automatisch installiert werden kann, wird nach dem Abschluss der Installation ein Hinweis in der Taskleiste angezeigt, dass sich das entsprechende Gerät verwenden lässt. Wurde eine der beschriebenen Sicherheitsüberprüfungen nicht erfolgreich abgeschlossen oder konnte kein geeigneter Gerätetreiber gefunden werden, wird der Vorgang beendet. Außerdem muss der Treiber eine gültige digitale Signatur besitzen und im Zertifikatspeicher Vertrauenswürdige Herausgeber enthalten sein.

97


Mithilfe einer Gruppenrichtlinie kann die Meldung unterdrückt werden, sodass der Anwender von der Installation nichts bemerkt. Auch die Dauer der Treiberinstallation kann dort begrenzt werden. Standardmäßig bricht Windows eine Geräteinstallation erst ab, wenn sie innerhalb von fünf Minuten nicht abgeschlossen werden konnte. Die entsprechenden Richtlinien finden Sie im Gruppenrichtlinieneditor im Ordner: Computerkonfiguration/Administrative Vorlagen/System/Geräteinstallation. Der lokale Gruppenrichtlinieneditor kann durch Eingabe von gpedit.msc im Suchfeld des Startmenüs geöffnet werden. Die im obigen Schritt 4 beschriebenen Vorgänge werden als Bereitstellung bezeichnet. Die Bereitstellung von Treiberpaketen kann auch separat erfolgen. Damit haben Administratoren die Möglichkeit, Gerätetreiberpakete für Benutzer bereitzustellen, die diese dann ohne zusätzliche Berechtigungen installieren können. Beachten Sie hierzu auch den Abschnitt 2.4 ab Seite 126. Der Installationsvorgang kann nur dann erfolgreich abgeschlossen werden, wenn mindestens einer der folgenden Punkte zutrifft: 왘 Das Gerät wird von einem Treiberpaket unterstützt, das in Windows enthalten ist. In Windows enthaltene Treiberpakete können von Standardbenutzern installiert werden. 왘 Der Administrator hat das Treiberpaket im Treiberspeicher bereitgestellt. Im Treiberspeicher enthaltene Treiberpakete können von Standardbenutzern installiert werden. 왘 Der Benutzer besitzt ein Medium mit dem entsprechenden Treiberpaket, das vom Hersteller bereitgestellt wurde (beachten Sie hierzu auch die Hinweise in Abschnitt 2.3 ab Seite 115), und ist berechtigt, das entsprechende Gerät zu installieren. Außerdem muss der Treiber eine gültige digitale Signatur besitzen und im Zertifikatspeicher Vertrauenswürdige Herausgeber enthalten sein. Bei manchen Geräten ist es erforderlich, die Treibersoftware vor dem Anschließen des Gerätes zu installieren. Hierzu sollten Sie die Hinweise des Herstellers beachten. Unbekanntes Gerät beim Systemstart gefunden Abbildung 2.1 Dialogfeld bei Erkennung neuer unbekannter Hardware

98

Findet Windows 7 beispielsweise beim Hochfahren neue Hardware, kann diese aber nicht erkennen, oder findet beim Anschluss eines neuen Gerätes keinen Treiber, erscheint eine Mitteilung, dass das Gerät nicht installiert werden konnte.


Wie im einem solchen Fall zu verfahren ist und wie Sie am besten mit Treiberproblemen umgehen, erfahren Sie in Abschnitt 2.3 ab Seite 115.

2

Einsatz von Hot-Plug-Geräten Abhängig u.a. vom verwendeten Bustyp können Plug&Play-Geräte im laufenden System installiert bzw. aus diesem entfernt werden (Hot-Plug). Hierzu zählen beispielsweise USB- und Firewire-(IEEE 1394-)Geräte. Das Betriebssystem erkennt das Einstecken bzw. Entfernen derartiger Hardwaregeräte automatisch und verwaltet die System- und/oder Hardwarekonfiguration entsprechend. Geräte, die den Hot-Plug-Modus nicht unterstützen, wie beispielsweise PCI-Karten, müssen beim Systemstart eingebaut bzw. angeschlossen und eingeschaltet sein, um automatisch erkannt zu werden. Bezüglich des Umgangs mit Speichergeräten (externe USB-Flashlauf- Hot-Plug-Geräte werke, Firewire-Festplatten, USB-Memorysticks u.a.) ist hierbei Folgen- sicher entfernen des zu beachten. Möglicherweise erscheint beim Anschließen eines Gerätes das nachfolgend gezeigte Dialogfeld. Wird hier die Option Überprüfen und reparieren (empfohlen) ausgewählt, bietet Windows 7 anschließend die Möglichkeit, eine Datenträgerprüfung zu starten. Abbildung 2.2 Fehlermeldung beim Anschließen eines USB-Geräts

Das Problem kann auftreten, wenn das Speichergerät entfernt wurde, bevor Problembereich alle Informationen auf dem Gerät korrekt gespeichert werden konnten. Um Schreibcache das zu vermeiden, sollte ein Gerät, sofern dieses über eine Aktivitätsanzeige verfügt, erst ein paar Sekunden nach Erlöschen der Aktivitätsanzeige entfernt werden. Noch sicherer ist es, die Funktion Hardware sicher entfernen zu verwenden, die im Infobereich der Taskleiste zu finden ist. Hierbei wird das System darüber informiert, dass ein Gerät entfernt werden soll. Dieses veranlasst u.a. die Datenübertragung, das Gerät anzuhalten und den Schreibcache zu leeren bzw. zu speichern. Plötzliches Entfernen ist besonders für Speichergeräte gefährlich, für die zur Steigerung der Schreib-Performance der Schreibcache aktiviert ist, denn wenn derartige Geräte plötzlich entfernt werden, kann es zu Datenverlusten oder -beschädigungen kommen.

99


Ob der Schreibcache für ein Gerät aktiviert ist, kann in den Eigenschaften des betreffenden Gerätes im Geräte-Manager ermittelt werden. Eine schnelle Möglichkeit, Anwendungen zu starten, bietet das Suchfeld des Startmenüs. Im Falle des Geräte-Managers genügt bereits die Eingabe der Buchstaben Geräte, um alle Anwendungen zur Verwaltung von Geräten aufgelistet zu erhalten. Um die gewählten Einstellungen des Schreibcaches für das Gerät anzuzeigen und gegebenenfalls zu ändern, ist im Geräte-Manager die Eigenschaftenseite und anschließend die Registerkarte Richtlinien zu wählen. Falls diese Registerkarte nicht angezeigt wird, steht die Option für das ausgewählte Gerät nicht zur Verfügung. Abbildung 2.3 Deaktivierung des Schreibcaches bei einem Hot-Plugfähigen Gerät

Standardeinstellungen

Standardmäßig verwendet Windows 7 die folgenden Einstellungen hinsichtlich der Aktivierung des Schreibcaches für Speichergeräte: 왘 Der Schreibcache wird standardmäßig für externe Hochleistungsspeichergeräte (wie IEEE 1394-Festplatten und SCSI-Festplatten) und darüber hinaus für computerinterne Speichergeräte, die bautechnisch nicht plötzlich entfernt werden können, aktiviert. 왘 Bei als extern erkannten Speichergeräten, wie beispielsweise USB-Flashspeichergeräten oder Festplatten am USB-Anschluss, wird der Schreibcache standardmäßig deaktiviert, indem die Funktion Schnelles Entfernen aktiviert wird. Damit können solche Geräte grundsätzlich während des laufenden Betriebes ohne weitere Vorbereitungen entfernt werden. Auch wenn ein Gerät für das schnelle Entfernen aus dem System optimiert ist, empfiehlt es sich zu überprüfen, ob im Infobereich das Symbol für Hardware sicher entfernen angezeigt wird, und diese Funktion dann trotzdem zu verwenden.

Automatische Wiedergabe

100

Welche Aktionen Windows nach dem Anschluss eines solchen Gerätes startet, ist u.a. abhängig von den Einstellungen der automatischen Wiedergabe.


Die Automatische Wiedergabe ist eine Funktion von Windows, die eine Festlegung ermöglicht, welche Programme verwendet werden sollen, um verschiedene Arten von Medien zu starten, beispielsweise Musik-CDs oder CDs und DVDs mit Fotos und welche Aktionen bei Anschluss von Geräten durchgeführt werden sollen. Sind auf dem Computer mehrere Medienwiedergabeprogramme installiert, kann der Computer so eingerichtet werden, dass eine CD oder DVD beim Einlegen automatisch mit dem gewünschten Programm abgespielt wird.

2

Die Funktion erinnert damit an die auch in älteren Windows-Versionen verfügbare Funktion Autorun, unterscheidet sich von dieser aber durch die umfangreichen Konfigurationsmöglichkeiten. Abbildung 2.4 Ausschnitt aus dem Dialogfeld zur Konfiguration der Einstellungen für die automatische Wiedergabe beim Anschluss von Medien und Geräten

2.1.2

Geräte manuell installieren

Nicht Plug&Play-fähige Geräte sind zwar selten geworden, aber durchaus noch im Einsatz. Hierzu gehören beispielsweise Geräte, die an der seriellen Schnittstelle angeschlossen werden, sowie manche Drucker. Bei diesen Geräten sind zwingend Benutzereingriffe erforderlich. Aber auch bei Plug&Play-fähigen Geräten kann eine manuelle Installation erforderlich werden, beispielsweise wenn ein Gerät, das erst später angeschlossen wird, installiert werden soll.

Neue Geräte installieren im Bereich Geräte und Drucker Wie bereits zuvor beschrieben, gibt es auch unter Windows 7 noch den vertrauten Geräte-Manager, doch rückt dieser mit der neu in Windows 7 eingeführten Funktion Geräte und Drucker zumindest für die Anwender in den Hintergrund. Hier können alle zusätzlich angeschlossenen Hardware und mobilen Geräte an einer zentralen Stelle verwaltet werden. Die DeviceStage-Funktion kann zudem für jedes der angeschlossenen Geräte die entsprechenden Treiber und Updates automatisch herunterladen und aktualisieren. Müssen bei den Vorgängerversionen beispielsweise zur Verwaltung

101


von Druckern, Scannern, Handys oder MP3-Playern noch unterschiedliche Funktionen und Fenster geöffnet werden, zeigt Windows 7 alle Geräte, die an den Computer angeschlossen sind, nun in einem einzigen Fenster. Zu finden ist die Funktion Geräte und Drucker unterhalb von Hardware und Sound in der Systemsteuerung. Hier können zentral die Eigenschaften der Hardware konfiguriert, Problemgeräte behandelt, aber auch Geräte einschließlich Drucker hinzugefügt werden. Die Option Gerät hinzufügen startet die automatische Suche nach neuen Geräten, die Option Drucker hinzufügen ermöglicht die Installation eines neuen Druckers. Abbildung 2.5 Zentrale Verwaltung aller Peripheriegeräte im Bereich Geräte und Drucker

Installation mit dem Hardware-Assistenten Den vertrauten Hardware-Assistenten von Windows XP sucht man im Ordner Geräte und Drucker jedoch vergeblich. Dieser versteckt sich im GeräteManager und kann hier mithilfe der Option Lecacyhardware hinzufügen im Menü Aktion aufgerufen werden. Mithilfe des Assistenten kann Treibersoftware für (ältere) Geräte installiert werden, die nicht automatisch erkannt werden. Eine schnelle Möglichkeit, den Geräte-Manager zu starten, bietet das Suchfeld des Startmenüs. Hier genügt bereits die Eingabe der Buchstaben Geräte, um alle Anwendungen zur Verwaltung von Geräten aufgelistet zu erhalten.

102


Der Hardware-Assistent kann sowohl verwendet werden, um neue Hardware zu installieren, als auch um Probleme mit bestehender Hardware anzugehen. Das Entfernen von Geräten oder Treibern ist jedoch mit dem Hardware-Assistenten nicht möglich. Wie bei den Vorgängerversionen von Windows 7 müssen Geräte manuell im Geräte-Manager entfernt werden.

2

Die Installation neuer Hardware mithilfe des Assistenten umfasst die folgenden Schritte: 1. Schließen Sie das Gerät an den Computer an, schalten Sie es ein, und Vorgehensweise starten Sie den Hardware-Assistenten. 2. Im ersten Schritt ist anzugeben, ob Windows automatisch nach zu installierender Hardware suchen soll oder ob Sie das Gerät selbst aus einer Liste auswählen wollen. Anders als bei der automatischen Erkennung Plug&Play-fähiger Geräte überprüft Windows bei dieser Aktion auch solche Anschlüsse, an die keine Plug&Play-Geräte angeschlossen werden können. Häufig ist es sinnvoll, zuerst Windows suchen zu lassen und gegebenenfalls später manuell den Treiber zu wählen. 3. Findet das System kein neues Gerät, bietet das System an, das Gerät manuell auszuwählen. Wählen Sie zuerst den Gerätetyp aus, wird anschließend eine Liste aller in der Treiberdatenbank gefundenen Treiber, sortiert nach Hersteller, angezeigt. Wenn Sie dagegen einen passenden Treiber vom Hersteller beispielsweise auf CD-ROM haben, benutzen Sie hier die Schaltfläche Datenträger. 4. Ist die Auswahl bestätigt, versucht Windows 7, die passenden Treiber zu installieren und das Gerät so in die gegebene Konfiguration einzufügen, dass keine Gerätekonflikte auftreten. In einigen Fällen ist ein Neustart des Systems erforderlich. Abbildung 2.6 Manuelle Auswahl eines Treibers im Hardware-Assistenten

Mit dem beschriebenen Verfahren können auch Treiber für Geräte installiert werden, die noch nicht angeschlossen sind.

103


Treiberdateien eines Herstellers installieren Liefert ein Hersteller mit seinem Gerätetreiber ein Installationsprogramm, empfiehlt es sich, dieses zu verwenden. Hierbei sollte den jeweiligen Anweisungen des Herstellers gefolgt werden. INF-Datei installieren

Befindet sich auf der Treiber-CD-ROM des Herstellers eine INF-Datei, kann die Installation auch direkt mithilfe dieser Datei gestartet werden. Hierzu ist die Option Installieren zu verwenden, die im Kontextmenü einer jeden INFDatei zu finden ist. Diese Installationsmethode wird unter Windows 7 jedoch nicht von allen INF-Dateien unterstützt. Eine schnelle Möglichkeit, den Geräte-Manager zu starten, bietet das Suchfeld des Startmenüs. Hier genügt bereits die Eingabe der Buchstaben Geräte, um alle Anwendungen zur Verwaltung von Geräten aufgelistet zu erhalten.

Abbildung 2.7 Installation eines Treibers aus dem Kontextmenü der INF-Datei heraus starten

2.2

Geräte verwalten

Wie im vorherigen Abschnitt ausgeführt, ist bei Windows 7 die Funktion Geräte und Drucker die zentrale Benutzerschnittstelle zur Verwaltung zusätzlich installierter Geräte. Aber auch der Geräte-Manager spielt nach wie vor eine wichtige Rolle, vor allem zur Behebung von Problemen mit Geräten. Beide Schnittstellen erläutert dieser Abschnitt.

2.2.1

Geräteverwaltung mit der Funktion Geräte und Drucker

Mit Geräte und Drucker hat Microsoft eine neue Funktion in Windows 7 eingeführt. Mithilfe dieser Funktion können Anwender alle extern anzuschließenden Geräte zentral verwalten. Dabei werden dank der DeviceStage-

104

Geräte verwalten

Funktion alle genau zu dem Gerät passenden Funktionen aufgelistet. Dies kann bei einem Handy der Ladezustand des Akkus und die Information darüber sein, wie viele Bilder oder MP3-Dateien auf dem Gerät abgelegt sind.

2

Im Ordner Geräte und Drucker können die folgenden Geräte verwaltet werden: 왘 Der Computer selbst 왘 Mobile Geräte, die gelegentlich mit dem Computer verbunden werden wie beispielsweise Mobiltelefone, tragbare Musikwiedergabegeräte und Digitalkameras. 왘 Alle USB-Geräte, wie beispielsweise externe USB-Festplattenlaufwerke, Flashlaufwerke, Webcams, Tastaturen und Mäuse. 왘 Alle mit dem Computer verbundenen Drucker, unabhängig davon, ob diese mit einem USB-Kabel, über das Netzwerk oder drahtlos angebunden sind. 왘 Mit dem Computer verbundene Drahtlosgeräte, beispielsweise Bluetooth-Geräte und Drahtlos-USB-Geräte. 왘 Mit dem Computer verbundene Geräte im Netzwerk, wie beispielsweise netzwerkfähige Scanner oder NAS-Geräte (Network Attached Storage).

Geräte verwalten Die neue Geräteansicht bildet, sofern verfügbar, alle Geräte mit einem fotorealistischen Symbol ab, sodass das zu verwaltende Gerät auf einen Blick erkannt werden kann. Alle aufgelisteten Geräte stellen in ihrem Kontextmenü entsprechende Optionen zur Verwaltung bereit. Zusätzlich werden in der Symbolleiste für das gewählte Geräte verfügbare Funktionen bereitgestellt. Abbildung 2.8 Funktionen zur Verwaltung eines ausgewählten Gerätes

105


Die Funktionen des DeviceStage dienen dazu, Anwendern einen einfachen Zugriff auf angeschlossene Geräte zu ermöglichen. Hierfür sind keine administrativen Rechte erforderlich. Administrative Aufgaben, wie beispielsweise die Installation eines neuen Treibers, die Administratorrechte erfordert, stehen deshalb hier nicht zur Verfügung. Hierfür ist der Geräte-Manager zu verwenden. Sind für ein Gerät DeviceStage-Informationen verfügbar, genügt ein Doppelklick, um eine maßgeschneiderte Bedienoberfläche für dieses Gerät zu öffnen. Abbildung 2.9 DeviceStage-Funktionen ermöglichen den Zugriff auf alle wichtigen Funktionen eines Gerätes.

Ob für ein Gerät DeviceStage-Informationen vorhanden sind oder nicht, zeigt ein Blick in das Kontextmenü. Befindet sich im Kontextmenü der Befehl Öffnen, kann damit die DeviceStage-Ansicht des Geräts geöffnet werden. Fehlt der Öffnen-Befehl, gibt es für dieses Gerät (noch) keine DeviceStage-Ansicht. Bei mobilen Geräten mit DeviceStage-Unterstützung stehen gegebenenfalls zudem erweiterte, gerätespezifische Funktionen zur Verfügung (beispielsweise Synchronisieren mit einem Mobiltelefon oder Ändern von Klingeltönen). Wird beispielsweise eine Kamera an den Windows 7-Rechner angeschlossen, dann hat der Anwender Zugriff auf alle ihre Funktionen und kann die dort abgelegten Bilder mit dem Rechner synchronisieren, vorausgesetzt der Hersteller stellt die entsprechenden Informationen für den DeviceStage bereit. Soll eine bestimmte Aktion jedes Mal ausgeführt werden, wenn das Gerät angeschlossen wird, kann dies ebenfalls festgelegt werden. Diese Einstellungen entsprechen den Festlegungen der Funktion Automatische Wiedergabe (siehe hierzu den Abschnitt 2.1.1 ab Seite 96). Technisch werden die Geräteinformationen über ein XML-Dokument bereitgestellt, das vom Hersteller des Gerätes zu erstellen ist. Dieses XML-Doku-

106

Geräte verwalten

ment muss von Microsoft signiert und wieder an die Hersteller zurückgegeben werden, damit dieser es mit seinem Gerät ausliefern kann.

2

Windows speichert die DeviceStage-Pakete u.a. im Device MetaData Cache. Dieser Speicher befindet sich im Ordner %PROGRAMDATA%\Microsoft\ DeviceStage. Die einzelnen Pakete liegen hier unkomprimiert vor. Abbildung 2.10 DeviceStage-Fenster bei Anschluss einer Digitalkamera

Tritt bei einem Gerät ein Problem auf, wird dieses mit einem gelben Warn- Problemsymbol gekennzeichnet. Dies kann bedeuten, dass ein Problem mit dem behandlung Treiber besteht oder ein Gerätekonflikt vorliegt. Mithilfe der Funktion Problembehandlung kann das System selbstständig versuchen, das Problem zu erkennen und zu beheben. Die nachfolgende Abbildung zeigt das Ergebnis einer durchgeführten Problembehandlung. Abbildung 2.11 Ausführlicher Problembehandlungsbericht nach erfolgter Problembehandlung

107


DeviceStage-Einstellungen konfigurieren Auch wenn Sie in den Windows Update-Einstellungen festgelegt haben, dass alle wichtigen und empfohlenen Updates automatisch heruntergeladen und installiert werden, erhalten Sie nicht automatisch alle für die Geräte verfügbaren aktualisierten Treiber. Ausführliche Informationen zum Windows Update-Dienst finden Sie in Kapitel 1. Zusätzlich können aber die Einstellungen so konfiguriert werden, dass in Windows Update überprüft wird, ob neue Treiber, Informationen oder Symbole für die angeschlossene Hardware verfügbar sind. Um die Einstellungen anzupassen, ist im Ordner Geräte und Drucker die im Kontextmenü des Computers verfügbare Option Geräteinstallationseinstellungen zu verwenden. Anschließend kann beispielsweise festgelegt werden, dass Windows Update immer aktualisierte Treibersoftware und Symbole verwendet. Abbildung 2.12 Windows UpdateEinstellungen für aktualisierte Treiber und Symbole konfigurieren

2.2.2

Geräteverwaltung im Geräte-Manager

Der Geräte-Manager ist auch unter Windows 7 unentbehrlich. Als Schnittstelle für Administratoren kann er verwendet werden, um Geräte zu aktivieren oder zu deaktivieren, Probleme bei Geräten zu beheben, Treiber zu aktualisieren, ein Treiber-Rollback durchzuführen und um die Ressourcenzuweisung für ein Gerät zu ändern. Und im Gegensatz zur Funktion Geräte und Drucker werden hier nicht nur extern angeschlossene Geräte verwaltet, sondern auch interne Geräte wie Grafikkarten, Controller, Netzwerkadap-

108

Geräte verwalten

ter und Systemgeräte. Da dies weitreichende Änderungen darstellt, sind für den Zugriff auf den Geräte-Manager Administratorrechte erforderlich.

2 Abbildung 2.13 Der Zugriff auf den Geräte-Manager erfordert administrative Rechte.

Zum Öffnen des Geräte-Managers stehen verschiedene Optionen zur Verfü- Geräte-Manager gung. Ein schneller Zugriff auf den Geräte-Manager ist durch Eingabe von starten Geräte im Suchfeld des Startmenüs möglich. Anschließend ist die entsprechende Option zu wählen. Weiterhin ist der Zugriff auf den Geräte-Manager u.a. möglich im Bereich Hardware und Sound der Systemsteuerung, innerhalb der Konsole Computerverwaltung und auch im Fenster Geräte und Drucker per Rechtsklick auf eine freie Fläche. Die nachstehende Abbildung zeigt die Benutzeroberfläche des GeräteManagers. Bei jedem Start des Computers bzw. bei jeder dynamischen Änderung der Computerkonfiguration, beispielsweise beim Hinzufügen eines neuen Geräts in das laufende System, wird die Anzeige aktualisiert. Abbildung 2.14 Liste der verfügbaren Geräte im Geräte-Manager (Anzeige sortiert nach Gerätetyp)

Ansichten des Geräte-Managers Innerhalb des Gerätebaums werden die Geräte (bei Auswahl der Ansicht Option Ansicht Geräte nach Typ) in Typklassen sortiert angezeigt. Mithilfe der Option Ansicht können die Geräte in vier verschiedenen Ansichten dargestellt werden:

109

Kapitel 2 Hardwareinstallation 왘 Geräte nach Typ

Hierbei handelt es sich um die Standardansicht. Zu den Gerätetypen gehören beispielsweise Laufwerke, Netzwerkadapter und Systemgeräte. 왘 Geräte nach Verbindung

Diese Ansicht zeigt, wie Geräte miteinander verbunden sind. Dies kann beispielsweise nützlich sein, wenn Geräte an einen USB-Hub angeschlossen und diese dann mit anderen Geräten verbunden werden. Hiermit ist ersichtlich, wo sich die jeweiligen Geräte in der Verbindungskette befinden. 왘 Ressourcen nach Typ

Diese Ansicht zeigt die vier Standardressourcentypen und alle weiteren, die im System konfiguriert sind. Die vier Standardsystemressourcentypen sind: 왘 Arbeitsspeicher 왘 Direkter Speicherzugriff (DMA) 왘 Ein-/Ausgabe (E/A) 왘 Interruptanforderung (IRQ) Angezeigt wird eine Liste der Geräte, die eine Ressource des jeweiligen Typs verwenden. 왘 Ressourcen nach Verbindung

Diese Ansicht zeigt die vier Standardressourcentypen und alle weiteren, die im System konfiguriert sind. Angezeigt werden die Gerätetypen, die eine Ressource des jeweiligen Typs verwenden. Außerdem wird dargestellt, wie diese Gerätetypen verbunden sind. Diese Ansicht ist hilfreich, um festzustellen, ob ein untergeordnetes Gerät mehr Speicherressourcen benötigt, als dem übergeordneten Gerät zur Verfügung stehen. Abbildung 2.15 Der GeräteManager in der Ansicht Ressourcen nach Typ

Geräte verwalten im Gerätebaum Anhand spezifischer Symbole können Problemgeräte im Gerätebaum leicht erkannt werden:

110

Geräte verwalten 왘 Problemgeräte werden mit einem gelben Ausrufezeichen gekennzeich-

Problemgeräte

net. Das kann bedeuten, dass ein Problem mit dem Treiber besteht oder erkennen ein Gerätekonflikt vorliegt. Das gelbe Ausrufezeichen kann aber auch darauf hinweisen, dass ein installiertes Gerät vom System entfernt worden ist, beispielsweise ein Zip-Laufwerk. Zusätzliche Hinweise liefert der Fehlercode, der in dem Eigenschaftendialogfeld des Geräts zu finden ist. 왘 Ein deaktiviertes Gerät wird durch einen nach unten gerichteten schwarzen Pfeil markiert. Deaktivierte Geräte können jederzeit wieder aktiviert werden. Ausführliche Hinweise zum Umgang mit Treiberproblemen finden Sie in Abschnitt 2.3 ab Seite 115. Aber nicht nur bei der Analyse von Problemgeräten ist der Geräte-Manager hilfreich. Vielmehr bietet das Eigenschaftendialogfeld der einzelnen Geräte Zugriff auf eine Reihe nützlicher Funktionen. Bei fast allen Geräten finden sich mindestens die drei Registerkarten Allgemein, Treiber und Details u.a. mit den folgenden Bereichen: 왘 Informationen zum Treibernamen, Hersteller, Datum, zur Version und zur digitalen Signatur. 왘 Ausführliche Gerätebeschreibungen mit Kennungen (Hardware-ID, Geräteklasse, Treiberschlüssel u.a.) und diverse Statuskennungen. 왘 Optionen für das Aktualisieren, das Treiber-Rollback und das Deinstallieren des Treibers. Abhängig vom ausgewählten Gerät sind weitere Registerkarten mit gerä- Gerätespezifitespezifischen Funktionen vorhanden. So befindet sich beispielsweise in sche Funktionen dem Eigenschaftendialogfeld von Netzwerkadaptern die Registerkarte Erweitert mit Optionen beispielsweise zur Konfiguration des Duplexmodus und der Übertragungsrate. Abbildung 2.16 Konfiguration einer Netzwerkkarte im Geräte-Manager

111

2


Ausführliche zusätzliche Informationen sind auch für USB-Geräte im Bereich USB-Controller verfügbar. Fehlt diese Komponente, ist die USBUnterstützung möglicherweise im BIOS des Computers deaktiviert. Für die USB-Anschlüsse liegen separate Einträge vor. Unterhalb von USBController sind mindestens einmal die folgenden Komponenten aufgeführt: 왘 USB universeller Host-Controller 왘 USB-Root-Hub Anzeige von Bandbreitenverwendung und Energiebedarf

Um den Gerätestatus und die Bandbreite der angeschlossenen Geräte zu überprüfen, öffnen Sie die Registerkarte Erweitert in den Eigenschaften von USB universeller Host Controller. Hier können Sie überprüfen, wie viel Bandbreite jeder Controller verwendet. In den Eigenschaften von USB-Root-Hub kann zudem der Energiebedarf der angeschlossenen Geräte ermittelt werden.

Abbildung 2.17 Überprüfung der Eigenschaften von USB-Geräten

2.2.3

Treiber aktualisieren

Sei es, dass zunächst mit unsignierten Treibern gearbeitet wurde oder ein Update für einen Treiber verfügbar ist, es gibt immer wieder Situationen, in denen es notwendig ist, einen Treiber zu aktualisieren. Am einfachsten lässt sich dies mithilfe der Option Treiber aktualisieren erledigen, die im Geräte-Manager im Kontextmenü des zu aktualisierenden Gerätes zu finden ist. Die Option startet einen Assistenten, der anbietet, automatisch nach aktueller Treibersoftware zu suchen oder von einer auszuwählenden Quelle manuell zu installieren. Der weitere Vorgang unterscheidet sich im Grunde nicht von der Erstinstallation. Wird kein aktuellerer Treiber gefunden, erscheint ein entsprechender Hinweis.

112

Geräte verwalten Abbildung 2.18 Den Treiber für ein installiertes Gerät aktualisieren

Bei der automatischen Suche durchsucht Windows auch das Windows Suche über WinUpdate-Treiber-Repository im Internet, sofern die entsprechende Funk- dows Update tion in den Geräteinstallationseinstellungen aktiviert wurde. Abbildung 2.19 Bestätigungsdialogfeld zur Onlinesuche

2.2.4

Geräte deinstallieren

Plug&Play-Geräte müssen im Normalfall nicht deinstalliert werden. Es genügt, die Geräte vom Computer zu trennen oder zu entfernen, damit Windows den Treiber nicht mehr lädt oder verwendet. Wird ein nicht Plug&Play-fähiges, installiertes Gerät nicht mehr benötigt, muss es jedoch im Geräte-Manager entfernt werden. Dies kann entweder im Eigenschaftendialogfeld auf der Registerkarte Treiber oder im Kontextmenü des Gerätes mittels der Option Deinstallieren erfolgen. Windows 7 entfernt dabei den Treiber des Geräts und aktualisiert die Anzeige des Gerätebaums.

113

2

Kapitel 2 Hardwareinstallation Abbildung 2.20 Hardware im Geräte-Manager deinstallieren

Anstatt ein Gerät zu deinstallieren, das möglicherweise später erneut angeschlossen wird, ist es möglicherweise sinnvoller, dieses zu deaktivieren. In diesem Fall kann das Gerät weiterhin physisch mit dem Computer verbunden bleiben, von Windows wird jedoch die Systemregistrierung aktualisiert, sodass die Gerätetreiber für das Gerät beim Starten des Computers nicht mehr geladen werden.

2.2.5

Starttyp für nicht Plug&Play-fähige Geräte ändern

Bei nicht Plug&Play-fähigen Geräten wird beim erstmaligen Installieren eines Treibers standardmäßig der von dem Treiber benötigte Starttyp eingestellt. Bei Problemen mit diesem Gerät kann es erforderlich sein, den Starttyp zu ändern. Dies ist möglich im Geräte-Manager im Bereich Nicht-PnP-Treiber des Gerätebaums. Dieser Bereich wird nur angezeigt, wenn im Menü Ansicht die Option Ausgeblendete Geräte anzeigen aktiviert ist. StarttypOptionen

114

Für den Starttyp können die nachstehenden Optionen verwendet werden: 왘 Automatisch: Startet das Gerät bei jedem Systemstart, nachdem die Startund Systemgeräte gestartet wurden. Diese Option sollte für Geräte gewählt werden, die für den grundlegenden Systembetrieb nicht relevant sind.

Mit Treiberproblemen richtig umgehen 왘 Start: Startet das Gerät bei jedem Systemstart, bevor andere Geräte

2

gestartet werden. Diese Option sollte für systemkritische Geräte gewählt werden, die für den Systembetrieb entscheidend sind. 왘 Bei Bedarf: Startet das Gerät, wenn das Gerät erkannt oder für ein bestimmtes Ereignis benötigt wird. Diese Option sollte für Geräte gewählt werden, die für den grundlegenden Systembetrieb nicht entscheidend sind. 왘 System: Startet das Gerät bei jedem Systemstart (nach erfolgtem Start der Startgeräte). Diese Option sollte gewählt werden, um kritische Geräte auszuwählen, die für den Systembetrieb entscheidend sind.

Abbildung 2.21 Die Startart für einen nicht Plug&Playfähigen Gerätetreiber festlegen

2.3

Mit Treiberproblemen richtig umgehen

Während bei frühen Windows-Systemen Geräteprobleme meist durch Ressourcenkonflikte verursacht wurden, spielen diese heute nur noch eine untergeordnete Rolle. Das Ressourcen-Management von Windows 7 bei Plug&Play-Geräten funktioniert in der Regel problemlos, und auch nicht Plug&Play-Geräte können problemlos in das System eingebunden werden. Treten dennoch Probleme auf, werden diese in der Regel von nicht kompatiblen bzw. nicht richtig funktionierenden Gerätetreibern verursacht. Der folgende Abschnitt behandelt die häufigsten Problembereiche und deren Lösungsmöglichkeiten.

115


2.3.1

Das Treibermodell von Windows 7

Hinter einem Treiber verbirgt sich ein ganzes Paket mit Treiberdateien. Dies beinhaltet mindestens die System-Treiberdateien und gegebenenfalls weitere Treiberdateien, die Zugriff mittels DLL-Anwendungen auf verschiedene Hardware ermöglichen. Die Treiberdateien installierter Treiber können im Geräte-Manager in den Eigenschaften des jeweiligen Treibers auf der Registerkarte Treiber unter Treiberdetails angezeigt werden. Abbildung 2.22 Treiberdateien am Beispiel eines GrafikkartenTreibers

Kompatible Treiber müssen entweder von Windows 7 selbst oder vom Gerätehersteller zur Verfügung gestellt werden. Bei den meisten Geräten funktionieren auch die Windows Vista-Treiber, und sogar die Verwendung von Windows XP-Treibern ist zumindest teilweise möglich. Anforderungen an Treiber

116

Dies hängt damit zusammen, dass Microsoft bereits mit Windows Vista eine Reihe von Änderungen am Treibermodell vollzogen hat, das auch Windows 7 verwendet. Treiber, die für Vorgängerversionen erstellt wurden, sind damit aber nur noch bedingt einsatzfähig. Hierbei lassen sich die folgenden Problembereiche lokalisieren: 왘 Die mit Windows Vista neu eingeführte Benutzerkontensteuerung (User Account Control, UAC) führt dazu, dass in der Standardeinstellung jede Anwendung mit den Rechten eines Standardbenutzers ausgeführt wird, auch wenn ein Mitglied der Administratorgruppe angemeldet ist. Wird


왘

왘

왘

왘

eine Anwendung gestartet, für die Administratorberechtigungen erforderlich sind, muss diese explizit bestätigt werden. Diese Funktion hat auch auf den Installationsprozess von Treibern Auswirkungen. Bei Einsatz einer 64-Bit-Windows 7-Edition müssen alle Treiber digital signiert sein. Nicht signierte Treiber werden nicht unterstützt und können in x64-basierten Windows 7-Editionen nicht installiert werden. Die Prüfung der digitalen Signatur erfolgt sowohl während der Installation als auch in der Zeit, in welcher der Treiber geladen wird. Das Grafik-Treibermodell von Windows 7 basiert auf dem Windows Display Driver Model (WDDM). Auf dieses setzt u.a. auch der Multimediastandard DirectX 10 auf, der bereits mit Windows Vista Einzug gehalten hat. Zwar läuft Windows 7 auch mit DirectX 9, das ShaderModell 4.0 sowie WDDM werden jedoch nur von DirectX 10 benutzt. Zusätzlich unterstützt Windows 7 die Version DirectX 11. Während jedoch unter Windows Vista die verbesserten Grafikeffekte von DirectX 10 nur mit der entsprechenden DirectX 10-tauglichen Hardware genutzt werden können, ermöglicht es Windows 7 mittels der neuen Funktion Direct3D 10Level9 DirectX-10, auch auf alter Hardware auszuführen. Besitzer einer DirectX 9-Grafikkarte beispielsweise können also auch Direct3D 10-Effekte nutzen, was allerdings zulasten der Performance geht. Änderungen gegenüber Windows XP hat es im Treibermodell auch für Soundgeräte gegeben. Diese sind teilweise noch umfangreicher als im Grafikbereich. Im Gegensatz zu den Vorgängern ist der AudioHAL nicht mehr im System integriert. Dies führt dazu, dass Anwendungen (u.a. Spiele) nicht mehr direkt auf die Hardware der Soundkarte zugreifen können, mit deren Hilfe die Surround-Effekte erstellt werden. Somit sind alle EAX-Effekte, die sich als Quasistandard durchgesetzt haben, unter Vista und Windows 7 nicht mehr nutzbar. Windows 7 stellt derartige Funktionalitäten nunmehr über den eigenen Softwaremixer zur Verfügung, wobei jedoch nicht alle EAXEffekte angeboten werden. Um die EAX-Funktionalitäten trotzdem nutzen zu können, ist ein Umweg über die Open AL-Schnittstelle erforderlich. Der TCP/IP-Protokolltreiber von Windows 7 wurde auf NDIS 6.20 aktualisiert. Neben Windows 7 unterstützt auch Windows Server 2008 die Netzwerktreiber-Spezifikation NDIS 6.20. Zu den wichtigsten Neuerungen von NDIS 6.20 gehört neben der Power-ManagementSchnittstelle die Unterstützung von mehr als 64 Prozessoren. Abwärtskompatibilität bietet NDIS 6.20 allerdings nur für die NDISVersionen 6.1 und 6.0. NDIS 5.0 und frühere NDIS-Treiber werden von Windows 7 nicht mehr unterstützt. Nicht mehr unterstützt werden auch IrDA-Miniporttreiber, ATM- und Token-Ring-Treiber, WAN-Miniport-Treiber sowie 802.11-Treiber, die 802.3 emulieren.

2

Abgesehen von den genannten Punkten, die definitiv eine Weiterverwendung älterer Treiber unter Windows 7 verhindern, ist es leider nicht möglich, im Vorfeld zu bestimmen, ob ein vorhandener Treiber unter Windows 7 funktioniert. Dies lässt sich nur durch Ausprobieren feststellen.

117


NDIS – Network Device Interface Specification NDIS ist eine Treiberspezifikation von Microsoft und 3Com, welche die Verbindung zwischen Betriebssystem und LAN-Adapter spezifiziert. NDIS setzt auf OSI-Schicht zwei und drei auf und besteht aus drei Komponenten (MAC-Treiber, Protokolltreiber und Protokoll-Manager). Durch den modularen Aufbau wird eine Unabhängigkeit des Adapters von den höheren ISO/OSI-Protokollen erreicht. Damit erlaubt es NDIS, bis zu vier Protokoll-Stacks gleichzeitig über eine Karte laufen zu lassen (beispielsweise TCP/IP, NWLink und OSI). NDIS ist in den aktuellen Windows-Versionen in folgenden Versionen implementiert: 왘 NDIS 6.20: Windows 7 왘 NDIS 6.1: Windows Server 2008/Windows Vista SP1 왘 NDIS 6.0: Windows Vista 왘 NDIS 5.2: Windows Server 2003 SP2 왘 NDIS 5.1: Windows XP/Windows Server 2003

2.3.2

Probleme während der Hardwareinstallation

Beim Auftreten von Problemen bei der Installation können mehrere Situationen unterschieden werden. In allen Fällen ist zwingend der Eingriff des Benutzers erforderlich.

Fehlermeldung beim Installieren eines Gerätes Kann Windows 7 ein Gerät nicht erkennen oder treten Probleme mit der Installation des Treibers auf, wird das Gerät im Geräte-Manager als Problemgerät unter Andere Geräte aufgeführt und mit einem Ausrufezeichen gekennzeichnet. Der Gerätestatus liefert dabei eine Beschreibung des Problems und einen Fehlercode. Konnte ein Gerät nicht installiert werden, wird meist der Fehlercode 28 – Die Treiber für dieses Gerät wurden nicht installiert – ausgegeben. In diesem Fall muss der Treiber manuell installiert werden. In diesem Fall sollten zunächst die folgenden Arbeitsschritte durchgeführt werden: 왘 Starten Sie den Computer neu. Das Neustarten des Computers kann helfen, wenn ein Treiber nicht korrekt installiert wurde. 왘 Wenn es sich bei dem Gerät um ein USB-Gerät handelt, trennen Sie es, und schließen Sie es dann an einen anderen USB-Anschluss an. Liegt das Problem beim USB-Anschluss, sollte nun das Gerät von Windows erkannt und die Treiber sollten installiert werden.

118

Mit Treiberproblemen richtig umgehen Abbildung 2.23 Das Gerät kann nach der Installation der Treibersoftware nicht gestartet werden.

In der Mehrzahl der Fälle liegt jedoch eine Inkompatibilität vor, beispiels- Typischer Fehler weise weil ein Treiber installiert wurde, der für eine frühere Windows-Ver- bei Inkompatibision entwickelt wurde. Versuchen Sie in diesem Fall zunächst, einen aktuel- lität len Treiber über Windows Update zu laden. Hierzu kann im Kontextmenü des Gerätes die Option Treibersoftware aktualisieren auf der Registerkarte Treiber verwendet werden. Bei der automatischen Suche durchsucht Windows auch das Windows Update-Treiber-Repository im Internet, sofern die entsprechende Funktion in den Geräteinstallationseinstellungen aktiviert wurde (siehe hierzu den Abschnitt 2.2.2 ab Seite 108). In einigen Fällen kann es erforderlich sein, den Aktualisierungsprozess mehrfach durchzuführen. Die Aktualisierung eines Treibers ist auch erforderlich, wenn ein Treiber akzeptiert und installiert wurde, das Gerät aber nur unzureichend mit diesem Treiber läuft. Bleibt die Suche erfolglos, sollte versucht werden, vom Hersteller einen kompatiblen Treiber oder Software zu erhalten. Beispielsweise funktionieren unter Windows Vista und Windows 7 einige USB-Headsets der Firma Sennheiser nicht mehr. Sennheiser stellt aber für die betroffenen Headsets eine Software zum Firmware-Update zur Verfügung, die das Problem behebt. Steht für ein Problemgerät kein neuer Treiber zur Verfügung, bleibt noch Treiber im Komdie Möglichkeit, den Windows XP- bzw. Windows Vista-Treiber im Kom- patibilitätsmopatibilitätsmodus zu installieren. Hierbei handelt es sich um eine spezielle dus installieren Funktion, die es ermöglicht, Anwendungen, d.h. in diesem Fall dem Treiberinstallationsprogramm, ein anderes Windows-Betriebssystem vorzugaukeln, als tatsächlich installiert ist. Für die Anwendung verhält sich Windows 7 dann so wie ein älteres Windows-Betriebssystem, d.h. wie beispielsweise Windows XP oder Windows Vista. Nähere Informationen zum Kompatibilitätsmodus finden Sie in Kapitel 3.

119

2


Plug&Play-Eigenschaften eines Treibers sind inkompatibel Wird für ein Plug&Play-Gerät ein Treiber verwendet, der jedoch Plug&Play nicht oder nicht vollständig unterstützt, behandelt Windows 7 das Gerät wie ein Gerät, das Plug&Play nicht unterstützt. Daraus folgt, dass die Ressourcen nicht dynamisch zugeteilt werden. Im ungünstigsten Fall kann ein solches Gerät zum Problemfall für das ganze System werden, weil es die Verteilung der Ressourcen auch für die anderen Geräte möglicherweise blockiert. Es sollte deshalb immer darauf geachtet werden, dass für ein Plug&Play-Gerät auch ein entsprechender, aktueller Treiber verwendet wird. Der umgekehrte Fall ist hingegen weniger problematisch. Wenn ein Gerät zwar noch nicht vollständig Plug&Play unterstützt, aber dafür ein Plug&Play-fähiger Treiber vorhanden ist, kann Windows 7 das Gerät zwar nicht automatisch erkennen und den Treiber installieren, der Treiber stellt aber alle benötigten Informationen zur Verfügung. Damit können Ressourcenkonflikte meist vermieden werden. In diesem Fall ist wie bei der Installation eines nicht automatisch erkannten Plug&Play-Gerätes zu verfahren.

Im Geräte-Manager wird ein nicht erkanntes Gerät gemeldet Es kann jedoch vorkommen, dass keinerlei Informationen zu einem Gerät verfügbar sind, d.h., der Geräte-Manager meldet lediglich ein unbekanntes Gerät. Kann das Gerät nicht ermittelt werden, ist es schwierig, einen passenden Treiber zu beschafften. Weiterhelfen können hierbei die Informationen, die im Eigenschaftendialogfeld des betreffenden Treibers auf der Registerkarte Details unter Hardware-IDs zu finden sind und die für weitere Recherchen verwendet werden können. Abbildung 2.24 Die Informationen unter Hardware-IDs können bei der Recherche nach einem unbekannten Gerät helfen.

Unter Wert steht der Typ des Busses (beispielsweise PCI oder USB), mit dem das Gerät in das System integriert ist, gefolgt von einem Kürzel (USB: VID, PCI: VEN), der Identifikationsnummer des Herstellers und einer Gerätenummer (USB: PID, PCI: DEV).

120


Mithilfe dieser Kennungen ist es häufig möglich, im Internet den Hersteller Gerät anhand der bzw. das Gerät zu ermitteln. Beispielsweise kann auf der Website PCIData- Geräte-ID ermitbase.com [DEV] das Gerät anhand der VEN-Identifikationsnummer ermitteln telt werden. Die Datenbank liefert allerdings nur Informationen zu dem Gerät. Die Treiber müssen, sofern verfügbar, von der Internetseite des Herstellers heruntergeladen werden. Abbildung 2.25 Beispiel für die Ermittlung eines Gerätes anhand der Geräte-ID

Aber auch ein Blick auf das Gerät selbst (sofern möglich) kann weiterhelfen. Suche anhand Vielfach befindet sich auf der Rückseite der Geräte eine FCC (Federal Com- der FCC-ID munications Commission) ID. Diese ID kann für viele Treiberseiten als Suchkriterium eingesetzt werden. Eine direkte FCC-Suche ist möglich auf der Homepage der Kommission [FCC].

FCC – Federal Communications Commission Die Federal Communications Commission ist eine unabhängige Behörde in den Vereinigten Staaten, deren Aufgabe es u.a. ist, Identifikationsnummern für Geräte zu vergeben, die eine eindeutige Identifizierung des Produkts und somit auch des Herstellers erlauben. Geräte ohne diese Nummer dürfen in den USA nicht vertrieben und auch nicht importiert werden.

121

2


Kann ein Gerät auch nach Anwendung aller genannten Möglichkeiten nicht installiert werden, bleibt noch die Möglichkeit, das Gerät im Windows XP-Modus zu installieren. Allerdings kann der XP-Modus nur unter Windows 7 Professional, Enterprise und Ultimate verwendet werden. Erläuterungen zum Windows XP-Modus finden Sie in Kapitel 3.

Systemprobleme nach Treiberinstallation Windows 7 verfügt über eine Funktion, mit deren Hilfe sich Probleme lösen lassen, die von neu installierten Gerätetreibern verursacht werden. Immer wenn ein vorhandener Gerätetreiber durch einen aktuelleren ersetzt wird, sichert Windows 7 diesen Treiber und setzt einen entsprechenden Eintrag in der Registrierung. Bereitet nun ein neu installierter Treiber Probleme und führt beispielsweise zu einem instabilen System, kann mit einem einfachen und schnellen Verfahren der alte Treiber reaktiviert werden (Treiber-Rollback). Um einen funktionierenden Treiber zu reaktivieren, ist folgendermaßen vorzugehen: 1. Starten Sie den Geräte-Manager. Markieren Sie das betreffende Gerät, und öffnen Sie dessen Eigenschaftendialogfeld über das Kontextmenü. 2. Auf der Registerkarte Treiber wählen Sie die Option Vorheriger Treiber. Wenn Sie diese auswählen, versucht das System, den zuvor installierten Treiber nach einer vorherigen Rückfrage wieder zu reaktivieren. Sind keine gesicherten Treiber vorhanden, ist die entsprechende Option abgeblendet. Allerdings verwahrt Windows 7 jeweils nur die letzte Version eines Treibers, es ist daher nicht möglich, zu einer älteren als der letzten Version zurückzukehren. 3. Abhängig vom Gerätetyp ist anschließend ein Neustart erforderlich, damit der alte Treiber vollständig wieder eingesetzt werden kann. Einschränkend funktioniert dieses Verfahren jedoch nicht bei Druckertreibern. Abbildung 2.26 Registerkarte Treiber mit aktivierter Option Vorheriger Treiber

122


2

Standardmäßig erstellt Windows 7 bei der Installation eines neuen Gerätetreibers einen Wiederherstellungspunkt, sofern die Systemwiederherstellung aktiviert ist. Bei Problemen mit einem neuen Treiber können bestehende Probleme daher auch ggf. mit einer Systemwiederherstellung behoben werden.

2.3.3

Probleme mit der Treibersignierung

Der in der Abbildung 2.26 gezeigte Treiber ist ein signierter Treiber. Bei einem signierten Treiber handelt es sich um Treibersoftware, die eine digitale Signatur enthält. Diese stellt sicher, dass ein Treiber bestimmte Kriterien erfüllt und die Software auch wirklich von einem legitimen Herausgeber stammt. Außerdem kann anhand der Signatur überprüft werden, ob jemand die ursprünglichen Inhalte des Treibersoftwarepakets geändert hat. Alle Gerätetreiber und Betriebssystemdateien, die im Lieferumfang von Windows 7 enthalten sind, verfügen über eine digitale Signatur von Microsoft. x64-basierte Versionen von Windows 7 unterstützen nur noch signierte Treiber. Nicht signierte 64-Bit-Treiber können in 64-Bit-Windows 7-Versionen nicht installiert werden. Dies gilt auch für Anwendungen bzw. Komponenten, die 16-Bit-EXE-Dateien, 16-Bit-Installer oder 32-Bit-Kernel-Treiber benutzen. Diese starten in einer 64-Bit-Edition von Windows 7 entweder gar nicht oder funktionieren nicht korrekt. Die Prüfung der digitalen Signatur erfolgt sowohl während der Installation als auch in der Zeit, in welcher der Treiber geladen wird. Microsoft begründet den Schritt mit einem Sicherheitsgewinn insbesondere für Unternehmen. Wird versucht, eine Treibersoftware zu installieren, die nicht von einem Typische FehlerHerausgeber signiert wurde, der seine Identität nicht bei einer Zertifizie- meldungen rungsstelle bestätigt hat, oder die seit ihrer Veröffentlichung geändert wurde, wird entsprechend eine der folgenden Meldungen angezeigt: 왘 Der Verleger dieser Treibersoftware kann von Windows nicht bestätigt werden. In diesem Fall fehlt die digitale Signatur, oder die Treibersoftware wurde mit einer digitalen Signatur signiert, die nicht von einer Zertifizierungsstelle überprüft wurde. 왘 Diese Treibersoftware wurde manipuliert. Dies bedeutet, dass die Treibersoftware geändert wurde, nachdem sie von einem bestätigten Herausgeber digital signiert wurde. 왘 Das Programm bzw. die Funktion [exepath]\[app16bit].exe kann auf Grund von Inkompatibilität mit 64-Bit-Versionen von Windows nicht starten bzw. laufen oder: Diese Treibersoftware kann von Windows nicht installiert werden. Diese beiden Meldungen werden nur bei Ausführung einer 64-BitEdition von Windows 7 angezeigt. Treibersoftware, die keine gültige digitale Signatur aufweist oder die nach der Signierung geändert wurde, kann auf x64-basierten Versionen von Windows nicht installiert werden. In diesem Fall bleibt nur die Beschaffung signierter Treibersoftware für das betreffende Gerät.

123

Kapitel 2 Hardwareinstallation Installationseinschränkungen

Die genannten Meldungen haben bei 32-Bit-basierten Windows 7-Editionen unterschiedliche Auswirkungen abhängig davon, wer die Installation durchführt bzw. um welche Art von Treibertyp es sich handelt. Standardmäßig dürfen nur Administratoren unsignierte Treiber installieren. Durch vorherige Bereitstellung des Treibers (siehe hierzu den Abschnitt 2.4.1 ab Seite 126) kann dieses Problem umgangen werden. Außerdem müssen Treiber, die mit geschützten Inhalten in Berührung kommen, prinzipiell auch bei 32-Bit-Versionen signiert sein. Hierzu gehören Audiotreiber, welche PUMA (Protected User Mode Audio) oder PAP (Protected Audio Path) nutzen, sowie Video-treiber, die den Medienschutz PVP-OPM (Protected Video Path-Output Protection Management) verwenden. Damit kann u.a. sichergestellt werden, dass die Videoausgänge des Computers die Anforderungen an Verschlüsselung erfüllen und nicht manipuliert worden sind.

2.3.4

Problemberichte zur Fehleranalyse

Tritt bei einem Gerät ein Problem auf, wird dieses mit einem gelben Warnsymbol gekennzeichnet. Das kann bedeuten, dass ein Problem mit dem Treiber besteht oder dass ein Gerätekonflikt vorliegt. Für zusätzlich angeschlossene Geräte steht, wie bereits in Abschnitt 2.2.1 ab Seite 104 beschrieben, die Funktion Problembehandlung zur Verfügung. Damit kann das System selbstständig versuchen, das Problem zu erkennen und zu beheben. Die nachfolgende Abbildung zeigt das Ergebnis einer durchgeführten Problembehandlung. Abbildung 2.27 Ergebnis einer Problembehandlung bei einem Problem mit einem Drucker

Darüber hinaus können bei der Lösung von Problemen mit einem Gerät die von Windows 7 bereitgestellten Funktionen des Wartungscenters hilfreich sein. Hier stellt Windows u.a. Problemberichte bereit, um die auf dem Computer aufgetretenen Probleme zu identifizieren und den Anwender optional darüber zu benachrichtigen. Diese Funktion ersetzt das in früheren Versionen integrierte Analysetool für Systemfehler und -abstürze Dr. Watson. Zu finden ist das Wartungscenter in der Systemsteuerung im Bereich System und Wartung.

124

Mit Treiberproblemen richtig umgehen Abbildung 2.28 Das Wartungscenter von Windows 7 ermöglicht umfangengreiche Problemanalysen.

Abbildung 2.29 Erkannte Probleme in der Übersicht zu den Problemberichten und -lösungen

Mithilfe des Links Zu meldende Probleme anzeigen können hier Problembe- Problemrichte aufgerufen werden, die alle aufgetretenen Probleme mit Namen des übersicht beispielsweise nicht mehr funktionsfähigen Programms, Datum und Uhr-

125

2


zeit, zu der ein Problem aufgetreten ist, und der Version des betroffenen Programms auflisten. Hilfreiche Detailinformationen

Hilfreich können die jeweils zu einem Problem anzeigbaren Detailinformationen sein. Weiterhin ist es möglich, für auswählbare Probleme nach Lösungen suchen zu lassen. Hierbei wird ein Problembericht an Microsoft gesendet.

2.4

Berechtigungen zur Geräteinstallation verwalten

Wenn ein Benutzer die Option Treibersoftware suchen und installieren auswählt, ist der Erfolg des Installationsvorgangs davon abhängig, ob das Treiberpaket für das Gerät bereits im Treiberspeicher bereitgestellt ist. Standardmäßig können nur Mitglieder der Gruppe Administratoren Geräte auf einem Computer installieren, für die kein Treiber im Treiberspeicher verfügbar ist. Dies liegt darin begründet, dass nur ein Administrator das für die Installation erforderliche Treiberpaket im Treiberspeicher ablegen darf. Der Treiberspeicher ist ein geschützter Bereich eines Computers, der Gerätetreiberpakete enthält, die für die Installation auf dem Computer genehmigt wurden. Zu finden ist der Treiberspeicher standardmäßig im Ordner %systemdrive%\system32\driverstore. Mithilfe von Gruppenrichtlinien können aber auch Standardbenutzer berechtigt werden, Geräte ausgewählter Gerätesetupklassen zu installieren. Im umgekehrten Fall kann es auch erforderlich sein, die Installationsrechte für ausgewählte Geräte weiter zu beschränken, beispielsweise um das Anschließen eines USB-Flashspeichers zu verhindern. Dies kann bei Windows 7 ebenfalls mithilfe von Gruppenrichtlinien gesteuert werden.

2.4.1

Geräte zur Installation bereitstellen

Die Erstinstallation eines Gerätes umfasst, wie in Abschnitt 2.1.1 ab Seite 96 beschrieben, die Phase der Bereitstellung. In dieser Phase durchsucht der Plug&Play-Dienst zunächst die in der Registrierungseinstellung DevicePath angegebenen Ordner und die Windows Update-Website nach einem Treiber, überprüft anschließend, ob der Benutzer berechtigt ist, das Treiberpaket im Treiberspeicher abzulegen, und stellt fest, ob das Treiberpaket eine gültige digitale Signatur besitzt. Die Phase der Bereitstellung endet mit dem Speichern einer Kopie des Treiberpakets im Treiberspeicher (Driver Store).

Treiber im Treiberspeicher bereitstellen Die Bereitstellung kann von Administratoren auch separat durchgeführt werden, was Vorteile bietet. Nachdem ein Treiberpaket erfolgreich bereitgestellt wurde, kann jeder Benutzer, der sich an diesem Computer anmeldet, die Treiber installieren. Hierzu muss lediglich das jeweilige Gerät

126


angeschlossen werden. Es werden keine Eingabeaufforderungen abgefragt oder spezielle Berechtigungen benötigt, da alle erforderlichen Sicherheitsüberprüfungen bereits mit der Bereitstellung abgeschlossen sind.

2

Zur Bereitstellung kann das in Windows 7 integrierte Befehlszeilen-Tool PnPUtil.exe PnPUtil.exe verwendet werden. Die nachstehende Abbildung zeigt die Syntax von PnPUtil. Abbildung 2.30 Syntax von PnPUtil.exe

Beispielsweise kann mit der folgenden Anweisung in der Befehlszeile das Treiberpaket Tpmdrv.inf aus dem Ordner C:\Treiber dem Treiberspeicher hinzugefügt werden: PnPUtil.exe -a C:\treiber\tpmdrv.inf

Nach dem Abschluss der Bereitstellung meldet PnPUtil einen veröffentlichten Namen, der diesem Paket im Treiberspeicher automatisch zugewiesen wird. Soll das Treiberpaket zu einem späteren Zeitpunkt aus dem Speicher Pakete aus Treigelöscht werden, muss dieser Name verwendet werden. Hierzu ist der berspeicher löschen folgende Befehl zu verwenden: PnPUtil.exe –d [Veröffentlichter Name]

Es ist auch möglich, mit dem nachstehenden Befehl veröffentlichte Namen für ein Treiberpaket zu ermitteln: PnPUtil.exe -e

Der Befehl listet alle im Treiberspeicher bereitgestellten Treiberpakete von Drittanbietern auf.

Benutzer zur Bereitstellung von Geräten berechtigen Anstatt Treiberpakete für alle Benutzer bereitzustellen, ist es auch möglich, eine Gruppenrichtlinie zu konfigurieren, mit der Benutzern selbst die Bereitstellung von Geräten für eine bestimmte Geräteklasse ermöglicht wird. Windows erzwingt diese Richtlinie während der Bereitstellung des Gerätetreibers im Treiberspeicher. Dadurch kann ein Standardbenutzer ohne erhöhte Berechtigungen Treiber für das Gerät installieren. Zur Einrichtung der benötigten Gruppenrichtlinie sind die folgenden Arbeitsschritte erforderlich:

127

Kapitel 2 Hardwareinstallation Vorgehensweise

1. Öffnen Sie im Gruppenrichtlinien-Editor das lokale Gruppenrichtlinienobjekt. Am schnellsten kann der Gruppenrichtlinien-Editor durch Eingabe von gpedit.msc im Suchfeld des Startmenüs geöffnet werden. 2. Wählen Sie im Container Computerkonfiguration/Administrative Vorlagen/System/Treiberinstallation die Richtlinie Installation von Treibern für diese Gerätesetupklassen ohne Administratorrechte zulassen. Wird diese Richtlinie konfiguriert und aktiviert, können Mitglieder der Gruppe Benutzer neue Treiber für die angegebenen Gerätesetupklassen installieren. Voraussetzung ist jedoch, dass die Treiber nach der Signierrichtlinie für Windows-Treiber oder von Herausgebern signiert sind, die sich bereits im Speicher für vertrauenswürdige Herausgeber befinden.

Abbildung 2.31 Richtlinie zur Berechtigung von Benutzern zur Bereitstellung von ausgewählten Geräteklassen

Zur Aktualisierung der Gruppenrichtlinien kann das Befehlszeilenprogramm gpupdate verwendet werden. Mit dem Befehl gpupdate /force wird eine sofortige Wirksamkeit der Gruppenrichtlinien erzwungen. Geräteklasse bestimmen

128

Die für die Zuweisung benötigte Geräteklasse-GUID kann direkt in der INF-Datei des betreffenden Gerätetreiberpakets ermittelt werden: 1. Öffnen Sie die .inf-Datei eines Gerätetreiberpakets im Editor. 2. Suchen Sie den Abschnitt, der mit Version beginnt. 3. Suchen Sie die Zeile, die mit der Textzeichenfolge ClassGuid= beginnt. 4. Tragen Sie den rechts neben dem Gleichheitszeichen stehenden Wert im Dialogfeld der Gruppenrichtlinie ein.

Berechtigungen zur Geräteinstallation verwalten Abbildung 2.32 Exemplarischer Ausschnitt aus einer INF-Datei

Ist das Gerät bereits auf einem anderen Rechner installiert, kann die GeräteGUID auch im Geräte-Manager in dem Eigenschaftendialogfeld der Treibers auf der Registerkarte Details ermittelt werden.

ADMX-Dateien zentral bereitstellen Grundsätzlich können Richtlinien auf einem einzelnen Computer oder innerhalb einer Active Directory-Domäne konfiguriert werden. Richtlinien im Container Administrative Vorlagen werden seit der Einführung von Windows Vista in ADMX-Dateien verwaltet. Mit den ADMXDateien führt Microsoft ein neues Format für die registrierungsbasierten Richtlinien ein. In einer Active Directory-Umgebung können derartige ADMX-Dateien in einem zentralen Speicher bereitgestellt werden. Bei den Vorgängerversionen, die anstelle von ADMX-Dateien ADM-Dateien verwenden, musste einzeln für jedes Gruppenrichtlinienobjekt sichergestellt werden, dass die korrekte Kopie der aktualisierten ADM-Datei geladen war. Der zentrale Speicherort ist im Ordner SYSVOL auf einem Domänencontroller einmalig für jede Active Directory-Domäne manuell einzurichten. Hierbei spielt es keine Rolle, ob es sich um einen Server mit Windows 2000 oder Windows Server 2003 handelt. Zu beachten ist jedoch, dass nur Computer mit Windows Vista bzw. Windows 7 und nur diejenigen, die einer Active Directory-Domäne angehören, das Vorhandensein eines zentralen Speichers überprüfen und die dort gespeicherten Dateien verwenden.

2.4.2

Installation verbotener Geräte verhindern

Auf USB-Flashspeichern und ähnlichen Geräten können mittlerweile mehrere GByte Daten gespeichert werden. Damit stellen USB-Geräte eine der größten Gefahrenquellen für Datendiebstahl dar. Eine Sperrung der USBAnschlüsse ist aber selten möglich, da auch erwünschte Geräte wie Tastatu-

129

2


ren und Mäuse diese verwenden. In Unternehmen besteht daher vielfach der Wunsch, die Installation von Geräten differenziert steuern zu können. Windows 7 stellt hierfür einige Gruppenrichtlinien zur Verfügung.

Die Installation aller Geräte verhindern Windows 7 bringt eine Reihe von Gruppenrichtlinien mit, die steuern, wer welche Geräte installieren darf. Diese Richtlinien sind im Container Computerkonfiguration/Administrative Vorlagen/System/Geräteinstallation/Einschränkungen bei der Geräteinstallation zu finden: Richtlinien zur Einschränkung von Geräteinstallationen

왘 Administratoren das Außerkraftsetzen der Richtlinien unter „ Ein-

schränkungen bei der Geräteinstallation“ erlauben 왘 Benutzerdefinierte Meldung anzeigen, wenn Installation durch eine

Richtlinie verhindert wird (Hinweistext) 왘 Benutzerdefinierte Meldung anzeigen, wenn Installation durch eine

Richtlinie verhindert wird (Hinweistitel) 왘 Installation von Geräten mit diesen Geräte-IDs verhindern 왘 Installation von Geräten mit diesen Geräte-IDs zulassen 왘 Installation von Geräten mit Treibern verhindern, die diesen Geräte왘 왘 왘 왘

setupklassen entsprechen Installation von Geräten mit Treibern zulassen, die diesen Gerätesetupklassen entsprechen Installation von Geräten verhindern, die nicht in anderen Richtlinien beschrieben sind Installation von Wechselgeräten verhindern Zeit (in Sekunden) bis zum Erzwingen eines Neustarts, wenn dieser für das Inkrafttreten von Richtlinienänderungen erforderlich ist

Um beispielsweise zu verhindern, dass Benutzer Geräte installieren und damit USB-Geräte anschließen können, und um Administratoren dies aber zu ermöglichen, ist zweistufig vorzugehen: 왘 Konfiguration einer Richtlinie, die bei den Benutzern das Installieren und Aktualisieren von Geräten verhindert 왘 Konfiguration einer Richtlinie, die den Administratoren das Installieren und Aktualisieren von Geräten ermöglicht Im Einzelnen ist folgendermaßen vorzugehen: Vorgehensweise

130

1. Öffnen Sie im Gruppenrichtlinien-Editor das lokale Gruppenrichtlinienobjekt. Am schnellsten kann der Gruppenrichtlinien-Editor durch Eingabe von gpedit.msc im Suchfeld des Startmenüs geöffnet werden. 2. Aktivieren Sie die Richtlinie Installation von Geräten verhindern, die nicht in anderen Richtlinien beschrieben sind. Wird diese Richtlinie aktiviert, können Geräte, die nicht in anderen Richtlinien als Ausnahmen eingetragen sind, weder installiert noch können die Treiber aktualisiert werden. Wenn es sich bei dem Computer um einen Terminalserver handelt, wirkt sich die Aktivierung dieser Richtlinie auch auf die Umleitung der angegebenen Geräte von einem Terminaldiensteclient an diesen Computer aus.


3. Aktivieren Sie die Richtlinie Administratoren das Außerkraftsetzen der Richtlinien unter "Einschränkungen bei der Geräteinstallation" erlauben. Diese Richtlinie ermöglicht es den Mitgliedern der Gruppe Administratoren, die Treiber für alle Geräte unabhängig von anderen Richtlinieneinstellungen zu installieren und zu aktualisieren.

2

Sobald die Gruppenrichtlinien aktualisiert wurden, erhalten Benutzer beim Versuch, den Geräte-Manager zu öffnen, die nachfolgend dargestellte Meldung angezeigt. Abbildung 2.33 Meldung, wenn die Installation von Geräten mittels Gruppenrichtlinie verhindert wird

Zulassen der Installation autorisierter Geräte Aufbauend auf dem Szenario, das die Installation aller Geräte für Benutzer verhindert, kann eine Ausnahmeliste erstellt werden, die Benutzern die Installation ausgewählter Geräte erlaubt. Die Ausnahmeliste kann entweder auf der Basis von Geräteklassen oder Hardware-IDs erfolgen. Hierzu gibt es wahlweise die beiden Richtlinien Installation von Geräten mit Treibern zulassen, die diesen Gerätesetupklassen entsprechen oder Installation von Geräten mit diesen Geräte-IDs zulassen. Beide Richtlinien sind zu finden im Container Computerkonfiguration/ Administrative Vorlagen/System/Geräteinstallation/Einschränkungen bei der Geräteinstallation des gewählten Gruppenrichtlinienobjekts. Die für die Zuweisung benötigte Geräteklasse kann u.a. in der .inf-Datei des betreffenden Gerätetreiberpakets ermittelt werden. Ist das Gerät bereits auf einem anderen Rechner installiert, sind die Geräteklassen-GUID und die Hardware-ID auch im Geräte-Manager in dem Eigenschaftendialogfeld des Treibers auf der Registerkarte Details zu finden (siehe hierzu Abbildung 2.24). Alternativ ist es möglich, den Benutzern die Installation der meisten Geräte zu erlauben, jedoch die Installation ausgewählter Geräte zu verbieten. So kann beispielsweise ausschließlich die Installation von Wechselmedien verhindert werden. Auch für dieses Szenario stehen entsprechende Richtlinien im gleichen Container bereit.

131

3

Software verwalten und installieren

Trotz der vielen neuen Funktionen und Programme, die zum Lieferumfang von Windows 7 gehören – ohne die Installation zusätzlicher Anwendungen geht es nicht. Wie bereits seine Vorgänger unterstützt Windows 7 verschiedene Technologien zur Installation und Verwaltung von Software, von denen einige jedoch nur in Active Directory-basierten Netzwerkumgebungen verfügbar sind. Hierzu gehören beispielsweise Softwareinstallationen mittels Gruppenrichtlinien. In diesem Kapitel erfahren Sie, welche Möglichkeiten Windows 7 zur Installation und Verwaltung von Anwendungen bereitstellt und welche Möglichkeiten der neue Windows Installer 5.0 bietet. Aber nicht in jedem Fall müssen Anwendungen neu installiert werden. Wird ein Windows Vista-Rechner auf Windows 7 aktualisiert, können vorhandene Anwendungen in der Regel problemlos ausgeführt werden. Einschränkungen kann es jedoch bei Anwendungen geben, die für eine frühere Version von Windows entwickelt wurden. Diese werden möglicherweise nur eingeschränkt oder gar nicht ausgeführt. Was es in diesem Fall zu beachten gilt und wie Sie mit derartigen Kompatibilitätsproblemen umgehen, ist ebenfalls Gegenstand dieses Kapitels. Darüber hinaus erfahren Sie, wie Sie Anwendungen im Unternehmen komfortabel mithilfe von „ Bordmitteln“ bereitstellen können.

3.1

Anwendungen lokal installieren und verwalten

Die lokale Installation von Anwendungen unterscheidet sich bei Windows 7 nicht wesentlich von der bei anderen Windows-Versionen. Bei der Verwaltung installierter Software aber hat sich insbesondere gegenüber Windows XP und früheren Versionen einiges geändert. 133

Kapitel 3 Software verwalten und installieren

3.1.1

Programme installieren

Unabhängig davon, ob die Installationsdateien auf einem Installationsmedium, im Netzwerk oder im Internet liegen, der Vorgang der Installation ist immer weitgehend gleich. Unterschiede gibt es nur, wenn Anwendungen im Unternehmensnetzwerk von Administrationsseite bereitgestellt werden. Sowohl Windows 7 als auch bereits Windows Vista arbeiten intern ausschließlich in englischer Sprache. Viele im Explorer sichtbare Ordner stellen daher lediglich Verweise in lokalisierter Sprache dar und sind nicht als reale Ordner existent. Aus diesem Grund sollten manuelle Anpassungen an Programmordnern nur in Ausnahmefällen und mit besonderer Umsicht erfolgen.

Installation durch Ausführung der Setup-Datei Der Zugriff auf die Installationsroutine einer Anwendung ist natürlich abhängig vom verwendeten Installationsmedium. Steht das benötigte Programm im Internet zum Download zur Verfügung, gibt es in der Regel die Möglichkeit, die Anwendung sofort zu installieren oder zunächst die Installationsdatei auf den Computer herunterzuladen. Hierbei ist die zweite Vorgehensweise zu empfehlen, da in diesem Fall die Installationsdatei vor Beginn der Installation einer Virenprüfung unterzogen wird. Viele Anwendungen werden auf CDs oder DVD ausgeliefert. Abhängig von den Einstellungen für die Automatische Wiedergabe startet automatisch ein Installations-Assistent für das Programm, nachdem der Datenträger mit den Installationsdateien eingelegt wurde (Erläuterungen zur Konfiguration der Automatischen Wiedergabe finden Sie in Abschnitt 3.1.2 ab Seite 136). Alternativ wird ein Dialogfeld angezeigt, in dem ausgewählt werden kann, ob der Assistent ausgeführt werden soll. Wird die Installation eines Programms nicht automatisch gestartet, muss der Installationsdatenträger nach der Setup-Datei des Programms durchsucht werden, die in der Regel den Dateinamen Setup.exe oder Install.exe trägt. Gleiches gilt, wenn die Installationsdateien in einem freigegebenen Ordner im Netzwerk liegen. Alle weiteren Schritte sind von der zu installierenden Anwendung abhängig und erfolgen in der Regel assistentengestützt. Erforderliche Berechtigungen

134

Für die Installation der meisten Programme sind administrative Berechtigungen erforderlich. Dies ist darin begründet, dass u.a. das Schreiben die jeweiligen Programmordner, Änderungen an der Registry und das Schreiben und Ändern von Dateien im Systemverzeichnis administrative Privilegien erfordern. Versucht ein Standardbenutzer, eine Anwendung zu installieren, wird er durch die Benutzerkontensteuerung aufgefordert, die Installation in einem anderen Benutzerkontext fortzusetzen.


Welche Vorteile bietet die Benutzerkontensteuerung? Bei Windows Versionen vor Windows XP mussten Benutzer Administratorrechte auf ihren Computern haben, um neue Softwareversionen zu installieren. In vielen Fällen lag dies daran, dass für eine Installation ein Zugriff auf die lokale Registrierung (HKLM) oder auf die Windowsoder System32-Verzeichnisse erforderlich war. Das bedeutete, dass viele Benutzer, häufig sogar ständig, im Administratorkontext arbeiteten, was ein schwerwiegendes Sicherheitsproblem darstellte.

3

Seit Windows Vista müssen Benutzer nicht als Administrator angemeldet sein, um eine Anwendung zu installieren. Hier arbeiten alle Benutzer als Standardbenutzer, und der administrative Zugriff ist auf autorisierte Prozesse eingeschränkt. Wenn eine Installation zusätzliche Berechtigungen erfordert, bietet Windows 7 dem Benutzer die Möglichkeit, seine Berechtigungen vorübergehend zu erhöhen, um die Installation durchzuführen. Ausführliche Erläuterungen zur Benutzerkontensteuerung finden Sie in Kapitel 5. Trägt das Installationsprogramm keine digitale Signatur, kann Windows Digitale 7 den Herausgeber nicht identifizieren. Digitale Signaturen sollen sicher- Signaturen stellen, dass ein Programm von einer seriösen Quelle stammt und nicht nachträglich verändert wurde, also zum Beispiel von einem Virus infiziert ist. Fehlt die Signatur, erscheint zusätzlich ein Sicherheitshinweis mit der Warnung, dass ein nicht identifiziertes Programm auf den Computer zugreifen möchte. In dem Eigenschaftendialogfeld des Installationsprogramms kann auf der Registerkarte Digitale Signaturen bereits vor der Installation einer Anwendung der Signaturgeber verifiziert werden.

Abbildung 3.1 Verifizierung des Signaturgebers eines Installationsprogramms

135


Die meisten Programme können nach Abschluss der Installation direkt gestartet werden. In diesem Fall wird die Anwendung aber noch im administrativen Kontext mit all seinen Rechten ausgeführt. Aus Sicherheitsgründen sollte zunächst der Installationsvorgang vollständig beendet und anschließend das Programm beispielsweise über den Eintrag im Startmenü gestartet werden.

Bereitgestellte Anwendungen installieren In einer Active Directory-Umgebung ist es darüber hinaus möglich, Anwendungen mittels Gruppenrichtlinien zu veröffentlichen. Derart bereitgestellte Programme können über die Systemsteuerung installiert werden. Eine ausführliche Anleitung zum Umgang mit Gruppenrichtlinien zur Softwareverteilung finden Sie im Abschnitt 3.4 ab Seite 162. Um unter Windows 7 eine veröffentlichte Anwendung zu installieren, gehen Sie wie folgt vor: 왘 Öffnen Sie Programme in der Systemsteuerung. Wählen Sie in dem in Abbildung 3.3 auf Seite 137 gezeigten Dialogfeld die Option Programme und Funktionen. Alternativ können Sie im Suchfeld des Startmenüs den Befehl Appwiz.cpl eingeben. 왘 Öffnen Sie die Option Programm vom Netzwerk installieren, und wählen Sie das gewünschte Programm aus. Abbildung 3.2 Ein im Netzwerk veröffentlichtes Programm installieren

3.1.2

Installierte Anwendungen verwalten

Die von den älteren Windows-Versionen bekannte Option Software sucht man in der Systemsteuerung vergeblich. Stattdessen stellt Windows 7, wie bereits auch Windows Vista, alle relevanten Funktionen zur Verwaltung von Anwendungen im Bereich Programme der Systemsteuerung bereit.

Der Bereich Programme im Überblick Wie die nachstehende Liste der Funktionen zeigt, verbergen sich in diesem Bereich neben bekannten und altbewährten Funktionen auch einige interessante Neuerungen von Windows 7:

136

Anwendungen lokal installieren und verwalten 왘 Programme und Funktionen: Dieser Bereich gehört zu den wichtigsten und

wird nachstehend ausführlich vorgestellt. Beispielsweise findet man hier Funktionen zum Installieren und Deinstallieren von Anwendungen. 왘 Standardprogramme: Hinter dieser Option versteckt sich nicht nur die seit Windows 2000 integrierte Option zum Festlegen von Standardprogrammen, wie Webbrowser und E-Mail-Programm. Vielmehr handelt es sich um die zentrale Verwaltungsstelle für Dateiverknüpfungen und Autorun-Einstellungen. 왘 Minianwendungen: Die mit Windows Vista eingeführte Windows-Sidebar ist in Windows 7 nicht mehr enthalten. Stattdessen können Minianwendungen auf dem Desktop frei platziert werden. Bei den Minianwendungen handelt es sich um kleine Programme, die Informationen auf einen Blick bereitstellen oder einen einfachen Zugriff auf häufig verwendete Tools bieten. Beispielsweise kann eine Uhr, ein Währungsrechner oder ein Tachometer zur Anzeige der CPU-Nutzung als Minianwendung auf dem Desktop platziert werden.

3

Abbildung 3.3 Die Systemsteuerungsoption Programme

Die wichtigsten Funktionen werden im Folgenden genauer vorgestellt.

Programme deinstallieren Wichtig für die Verwaltung installierter Software ist der Bereich Programm deinstallieren. Hier werden alle installierten Anwendungen aufgelistet und können, abhängig von der ausgewählten Anwendung, entweder nur vom Computer entfernt oder auch geändert werden. Ist eine Anwendung als MSIPaket ausgeliefert oder mit dem Microsoft lnstaller erstellt worden, sind sowohl Reparaturen als auch Änderungen möglich, um Komponenten nachzuinstallieren. Hierbei startet die Option Ändern den InstallationsAssistenten der jeweiligen Anwendung, der die Durchführung der Änderung dann unterstützt.

137

Kapitel 3 Software verwalten und installieren Abbildung 3.4 Verwaltung von Anwendungen in der Konsole Programme und Funktionen

Bevor Sie eine Anwendung deinstallieren, sollten Sie sicherstellen, dass keine weiteren Benutzer angemeldet sind bzw. auf das Programm zugreifen. Da sich in diesem Fall möglicherweise noch einige Dateien im Zugriff befinden, kann das Programm nur unvollständig entfernt werden. Windows weist mit einem Warnhinweis darauf hin. Abbildung 3.5 Vor der Deinstallation eines Programms sollten alle anderen Benutzer abgemeldet werden.

Umgang mit Deinstallationsproblemen Es kommt immer wieder mal vor, dass sich Anwendungen nicht deinstallieren lassen und die Windows Installer-Deinstallationsroutine mit einer Fehlermeldung abbricht. Die Ursachen hierfür können vielfältig sein, beruhen aber häufig auf fehlerhaften oder schadhaften Einträgen in der Registrierung. Diese können beispielsweise verursacht werden durch eine Beschädigung der Registrierung, fehlerhafte manuelle Änderungen oder durch einen unerwarteten Neustart während der Installation mit dem Windows Installer. Windows Installer Clean Up

In diesem Fall bleibt nur der Einsatz eines Uninstaller-Tools. Microsoft selbst bietet mit Windows Installer Clean Up kostenlos ein entsprechendes Tool an. Windows Installer Clean Up dient zur Deinstallation bzw. zur Beseitigung von Resten von Programmen, die mit dem Windows Installer installiert wurden, und entfernt auch Konfigurationsdaten der ausgewählten Anwendung. Hierzu gehören u.a. die entsprechenden Registrierungseinstellungen [CLEANUP]. Leider unterstützt die aktuelle Version zwar alle älteren Versionen von Microsoft Windows, einschließlich Windows Vista, jedoch nicht Windows 7 bzw. Windows Server 2008. Es ist jedoch zu erwarten, dass Microsoft eine aktualisierte Version von Installer Clean Up bereitstellen wird, die dann auch Windows 7 unterstützt.

138


In dem nach dem Start von msicuu2.exe angezeigten Dialogfeld werden alle derzeit installierten Programme aufgelistet, die mit Windows Installer registriert wurden. Da auch das Programm msicuu2.exe den Windows Installer verwendet, steht das Programm ebenfalls in dieser Liste. Nach der Bestätigung werden alle Dateien und Registrierungseinstellungen entfernt.

3

Windows Installer Clean Up entfernt ausschließlich Anwendungen, die mit dem Windows Installer installiert wurden. Nicht entfernt werden kann jedoch der Windows Installer selbst.

Windows-Komponenten aktivieren Eine weitere wichtige Funktion verbirgt sich hinter der Option WindowsFunktionen aktivieren oder deaktivieren, die Anwendern früherer Versionen unter dem Namen Windows-Komponenten hinzufügen/entfernen bekannt ist. Wie auch bei den Vorgängerversionen müssen einige in Windows 7 integrierte Programme und Funktionen vor der Verwendung aktiviert werden. Hierzu gehören beispielsweise die Internetinformationsdienste (IIS), das Subsystem für Unix-basierte Anwendungen sowie die einfachen TCP/IPDienste und -Druckdienste. Während jedoch in früheren Windows-Versionen die Funktionen installiert bzw. zum Deaktivieren auf dem Computer vollständig deinstalliert werden mussten, sind unter Windows 7 alle Funktionen auf der Festplatte gespeichert. Damit entfällt auch die Notwendigkeit für den Zugriff auf das Installationsmedium. Beim Deaktivieren wird die Funktion nicht deinstalliert, so dass sich auch der verwendete Festplattenspeicher nicht verringert. Damit ist es aber möglich, die Funktion bei Bedarf jederzeit wieder zu aktivieren. Abbildung 3.6 Windows-Komponenten werden aktiviert bzw. deaktiviert, aber nicht mehr installiert bzw. deinstalliert.

Eine interessante Funktion verbirgt sich hinter dem Windows-TIFFIFilter. Dieser stellt eine OCR-Funktion zum Auslesen der Inhalte von TIFF-Dateien zur Verfügung und ermöglicht damit eine textbasierte Aufnahme von TIFF-Bildern in den Suchindex von Windows 7.

139


Updates verwalten Zur besseren Übersicht werden Updates von den übrigen Anwendungen getrennt verwaltet. Hierzu ist die Option Installierte Updates anzeigen zu wählen. Die Gruppierung der Updates nach dem jeweiligen Programm erleichtert dabei den Zugriff auf ein gesuchtes Update. Abbildung 3.7 Updates werden in einem eigenen Bereich aufgelistet.

Ausführliche Informationen zum Windows Update-Dienst finden Sie in Kapitel 1. Marketplace und Ultimate Extras

Anwender von Windows Vista werden an dieser Stelle vermutlich die Market Place-Funktionen sowie den Bereich zur Verwaltung der zusätzlichen Updates für die Ultimate-Edition von Windows Vista vermissen. Beide Funktionen stehen unter Windows 7 jedoch nicht mehr zur Verfügung.

Standardprogramme und -zugriffe konfigurieren Beachtenswert ist auch der Bereich Standardprogramme. Hier können Standardprogramme und Einstellungen für wichtige Aufgaben festgelegt werden, wie beispielsweise der Standard-Webbrowser und die Einstellungen für die automatische Wiedergabe. Während mit den Einstellungen für Standardprogramme festlegen jeder Benutzer die Programmzuordnungen ändern kann, gelten die unter Programmzugriff und Computerstandards festlegen getroffenen Einstellungen für alle Benutzerkonten des Computers und erfordern administrative Rechte für den Zugriff.

140

Anwendungen lokal installieren und verwalten Abbildung 3.8 Der Bereich Standardprogramme bietet Zugriff auf verschiedene Einstellungen.

3

Mit der Option Standardprogramme festlegen wird eine Liste der Programme Standardproangezeigt, die als Standard für Dateitypen und Protokolle festgelegt werden gramme festkönnen. Sollte ein installiertes Programm in der Auflistung nicht erschei- legen nen, wird diese Funktion noch nicht vom Hersteller unterstützt. In diesem Fall ist eine manuelle Zuordnung über den Dateityp erforderlich. Abbildung 3.9 Die Festlegungen als Standardprogramm können bequem in einem Dialogfeld konfiguriert werden.

141


Die folgende Abbildung zeigt am Beispiel des Internet Explorers die zugeordneten Dateitypen und Protokolle. Abbildung 3.10 Dateityp und Protokollzuordnungen am Beispiel des Internet Explorers

Programmzugriff und Computerstandards

Hingegen können unter Programmzugriff und Computerstandards festlegen die Standardanwendungen für die folgenden Aufgabenbereiche konfiguriert werden: 왘 Browser 왘 E-Mail-Programm 왘 Medienwiedergabe 왘 Instant Messaging-Programm 왘 Virtual Machine für Java Die Zuordnung kann innerhalb von vier Konfigurationen erfolgen: 왘 Microsoft Windows

Wenn diese Option ausgewählt wird, werden die in Windows 7 enthaltenen Microsoft-Programme als Standardprogramme verwendet. 왘 Nicht-Microsoft

Diese Konfiguration legt, im Gegensatz zur vorstehenden Option, die nicht von Microsoft stammenden installierten Programme als Standardprogramme fest, sofern diese installiert sind. Ist dies für einzelne Kategorien nicht der Fall, wird die entsprechende Microsoft-Anwendung verwendet. Der Zugriff auf die angegebenen Microsoft Windows-Programme wird in diesem Fall entfernt.

142

Anwendungen lokal installieren und verwalten 왘 Benutzerdefiniert

Diese Option erlaubt eine benutzerdefinierte Konfiguration für die Festlegung von Standardprogrammen. Dies ist die Standardeinstellung. 왘 Computerhersteller

Mit dieser Option werden die vom Hersteller des Computers gewählten Einstellungen wieder hergestellt. Diese Option steht nur zur Verfügung, wenn der Hersteller den Computer mit Windows 7 vorinstalliert und Einstellungen für diese Funktion konfiguriert hat.

3 Abbildung 3.11 Dialogbox zur Festlegung von Programmzugriff und Computerstandards für Standardanwendungen

Es können keine unterschiedlichen Standardprogramme für unterschiedliche Benutzer festgelegt werden, d.h., die Einstellungen der Funktion Programmzugriff- und Computerstandards festlegen werden immer für alle Benutzer des Computers übernommen. Abschließend lohnt noch ein Blick auf den Bereich Automatische Wiedergabe. Die automatische Wiedergabe ist eine Funktion von Windows, die eine Festlegung ermöglicht, welche Programme verwendet werden sollen, um verschiedene Arten von Medien zu starten, beispielsweise Musik-CDs oder CDs und DVDs mit Fotos. Sind auf dem Computer mehrere Medienwiedergabeprogramme installiert, kann der Computer so eingerichtet werden, dass eine CD oder DVD beim Einlegen automatisch mit dem gewünschten Programm abgespielt wird. Die Funktion Automatische Wiedergabe erinnert damit an die auch in früheren Windows-Versionen verfügbare Funktion Autorun, unterscheidet sich von dieser aber durch die umfangreichen Konfigurationsmöglichkeiten.

143

Kapitel 3 Software verwalten und installieren Abbildung 3.12 Dialogfeld zur Konfiguration der Einstellungen für die Medienwiedergabe

3.2

Ein Blick auf die Technik dahinter – der Windows Installer-Dienst

Windows Installer ist eine Technologie zur Installation und Deinstallation von Anwendungen. Hierzu wird ein Satz von definierten Regeln während des Installationsvorgangs angewandt. Mit diesen Regeln werden die Installation und die Konfiguration der zu installierenden Anwendung definiert. Mit dem Windows Installer können Installationen sowohl lokal erfolgen, als auch beispielsweise mithilfe von Gruppenrichtlinien zur Softwareverteilung, die eine zentrale Steuerung der Verteilung und der Installation von Anwendungen ermöglichen. Version 5.0 in Windows 7 enthalten

144

Neu ist diese Technologie allerdings nicht. Bereits mit Windows 2000 hat Microsoft diesen integrierten Windows Installer-Dienst eingeführt. In Windows 7 ist der Windows Installer in der neuen Version 5.0 integriert.


Die folgende Auflistung zeigt ausschnittsweise, welche Version von Windows Installer in den verschiedenen Windows-Versionen integriert ist: 왘 Windows 2000: Windows Installer Version 1.1 왘 Windows 2000 SP3: Windows Installer Version 2.0 왘 Windows ME: Windows Installer Version 1.2 왘 Windows XP: Windows Installer Version 2.0 왘 Windows XP SP2: Windows Installer Version 3.0 왘 Windows Server 2003: Windows Installer Version 2.0 왘 Windows Server 2003 SP1: Windows Installer Version 3.1 왘 Windows Server 2008: Windows Installer Version 4.0 왘 Windows Vista: Windows Installer Version 4.0 왘 Windows Vista SP 2: Windows Installer Version 4.5 왘 Windows Server 2008 R2: Windows Installer Version 5.0 왘 Windows 7: Windows Installer Version 5.0

3

Um auch jeweils ältere Windows-Versionen auf die aktuelle Version des Windows Installers zu aktualisieren, stellt Microsoft entsprechende Updates zur Verfügung. Derzeit (Stand Januar 2010) gibt es allerdings noch kein Windows Installer 5.0-Installationspaket, mit dem ein Update des Windows Installers für ältere Windows-Versionen vor Windows 7 möglich ist.

3.2.1

Grundsätzliches zur Windows Installer-Technologie

Der Windows Installer ist eine Technologie zur Softwareinstallation und -verwaltung, die Funktionen zur Nachinstallation, zur Änderung und zur Reparatur vorhandener Anwendungen beinhaltet und die folgenden Funktionen bietet: 왘 Deinstallation vorhandener Programme

Funktionen

Mit dem Windows Installer installierte Anwendungen verfügen über Deinstallationsroutinen, die eine Deinstallation nach dem erfolgreichen Abschluss der Installation ermöglichen. Hierbei werden die zugehörigen Registrierungseinträge und Anwendungsdateien gelöscht, mit Ausnahme der Dateien, die auch von anderen vorhandenen Programmen genutzt werden. 왘 Reparatur beschädigter Anwendungen

Anwendungen, die mit dem Windows Installer installiert wurden, können selbstständig feststellen, ob Dateien fehlen oder beschädigt sind. In diesem Fall repariert Windows Installer die betreffende Anwendung, indem die fehlenden oder beschädigten Dateien erneut kopiert werden.

145

Kapitel 3 Software verwalten und installieren 왘 Vermeidung von DLL-Konflikten

Bei Installationen können Konflikte auftreten, wenn beispielsweise die Installation Änderungen an einer DLL-Datei vornimmt oder eine DLLDatei löscht, die bereits von einer vorhandenen Datei genutzt wird. Der Windows Installer verwendet Installationsregeln, um derartige Konflikte zu vermeiden. 왘 Nachträgliche Anpassung installierter Anwendungen

Mit Windows Installer kann zunächst eine minimale lauffähige Version einer Anwendung installiert und können zusätzliche Komponenten bei Bedarf zur Verfügung gestellt werden. Dabei kann festgelegt werden, dass, sobald ein Benutzer auf eine bestimmte Funktion zugreift, die benötigten Komponenten nachinstalliert werden. Verwendet wird diese Technologie beispielsweise bei Microsoft Office ab der Version 2000.

Komponenten Die Windows Installer-Technologie ist im Wesentlichen in zwei Teile gegliedert, die eng zusammenarbeiten: der Installer-Dienst auf dem Client mit dem eigentlichen Installer-Programm (Msiexec.exe) und die Paketdatei(en) (.msi-Dateien). Installationspaketdatei

Das Windows Installer-Paket enthält sämtliche Informationen, die der Windows Installer benötigt, um Software zu installieren oder zu deinstallieren. Dies kann beispielsweise auch Anweisungen für die Installation einer Anwendung umfassen, die zum Tragen kommen, wenn eine Vorgängerversion der Anwendung bereits installiert ist. Jedes Paket enthält eine .msi-Datei und die erforderlichen zugehörigen Installationsdateien. Die zugehörigen Installationsdateien sind die Anwendungsdateien, die auf der lokalen Festplatte installiert werden. Es enthält außerdem die Produktdateien oder einen Verweis auf einen Installationspunkt, an dem sich die Produktdateien befinden.

InstallerProgramm

Anhand der Informationen in der Paketdatei führt das Installer-Programm Msiexec.exe alle Aufgaben im Rahmen der Installation aus: 왘 Kopieren von Dateien auf die Festplatte 왘 Ändern der Registrierung 왘 Erstellen von Verknüpfungen auf dem Desktop 왘 Anzeigen von Dialogfeldern zum Abfragen der Voreinstellungen für die Installation

Leistungsmerkmale von Windows Installer 5.0 Bereits mit Windows Vista hat Microsoft einige neue Technologien eingeführt, die auch auf die Installation von Anwendungen Auswirkungen haben. Aus diesem Grunde wurden viele erforderliche neue Funktionen bereits in der in Windows Vista integrierten Version 4.0 des Windows Installers implementiert. Hierzu gehören die nachstehenden Funktionen:

146

Ein Blick auf die Technik dahinter – der Windows Installer-Dienst 왘 Unterstützung für das Verringern erforderlicher Neustarts

Windows Vista und Windows 7 verwenden den Restart-Manager, um die Anzahl der notwendigen Neustarts bei der Installation und bei Update-Vorgängen zu verringern. Hierzu handhabt der Restart-Manager die Interaktionen mit anderen Ressourcen-Managern, führt Programme aus und öffnet Dateien, um Dienste oder Anwendungen nach Bedarf dynamisch freizugeben und erneut auf sie zuzugreifen. Windows Installer unterstützt die Interaktion mit dem Restart-Manager ab der Version 4.0.

3

왘 Unterstützung für Benutzerkontensteuerung (User Account Control, UAC)

Windows Installer 4.0 und höher unterstützt die Funktion für die Benutzerkontensteuerung, die Microsoft mit Windows Vista eingeführt hat. Hauptziel der Benutzerkontensteuerung ist die Reduzierung der Angriffsfläche des Betriebssystems. 왘 Unterstützung mehrsprachiger Benutzeroberflächen (Multilingual User

Interface MUI) Windows Installer 4.0 und höher unterstützt die Installation mehrsprachiger Anwendungen. Windows Vista und höher ist aufgrund seiner modularen Struktur sprachunabhängig. Deshalb ersetzen die Sprachpakete von Windows Vista und höher die MUI-(Multilingual User Interface-)Dateien aus früheren Versionen von Windows. 왘 Unterstützung des Ressourcenschutzes (Windows Resource Protection, WRP)

Seit Windows Vista bringt das System mit dem Ressourcenschutz eine neue Funktion mit, die Schutz vor potenziell gefährlichen Konfigurationsänderungen bietet. Hiermit werden u.a. Systemdateien und -einstellungen sowie System-Registrierungseinstellungen vor versehentlichen Änderungen durch Benutzer oder durch nicht autorisierte Software verhindert. Dieses Verhalten wird vom Windows Installer ab der Version 4.0 berücksichtigt. 왘 Ab der Version 5.0 speichert das Windows Installer-Paket zusätzlich

die MsiLockPermissionsEx-Tabelle. Diese enthält Sicherheitsbeschreibungen wie Berechtigungen oder die Vererbung von Berechtigungen von einer übergeordneten Ressource. Wie bereits im vorstehenden Abschnitt ausgeführt, ist für eine Installation mit dem Windows Installer ein Windows Installer-Paket erforderlich, das sämtliche Informationen enthält, die der Windows Installer benötigt, um Software zu installieren oder zu deinstallieren. Dies schließt beispielsweise auch Anweisungen für die Installation einer Anwendung ein, die zum Tragen kommen, wenn eine Vorgängerversion der Anwendung bereits installiert ist. Jedes Paket enthält eine .msi-Datei und die erforderlichen zugehörigen Installationsdateien.

Anwenden von Windows Installer-Paketdateien Beim Einsatz des Windows Installers können die folgenden Dateitypen verwendet werden:

147

Kapitel 3 Software verwalten und installieren 왘 Systemeigene Windows Installer-Pakete (.msi-Dateien)

Systemeigene Windows Installer-Pakete werden als ein Teil der Anwendung entwickelt und nutzen den Windows Installer in der Regel am besten. Diese Paketdateien werden vom Hersteller einer Anwendung bereitgestellt. Zu den systemeigenen Installer-Paketen zählt beispielsweise die Datei adminpak.msi zur Installation der Server-Verwaltungsprogramme von Windows 2000 Server bzw. Windows Server 2003. 왘 Neu gepackte .msi-Dateien (.msi-Pakete)

Neu gepackte Paketdateien arbeiten genauso wie systemeigene Windows Installer-Pakete, sind in der Regel jedoch nicht so detailliert. Sie können auf der Basis eines Vorher-nachher-Vergleichs erstellt werden. 왘 .zap-Dateien

Eine .zap-Datei ist eine Textdatei, die Anweisungen für das Veröffentlichen einer Anwendung enthält. Diese Dateien haben Ähnlichkeit mit .ini-Dateien. Beim Bereitstellen einer Anwendung mithilfe einer .zapDatei wird die Anwendung mit ihrem ursprünglichen Setup.exe- bzw. Install.exe-Programm installiert. 왘 Patches (.msp-Dateien)

Service Packs und Patches werden häufig in Form von .msp-Dateien verteilt. Für diese Dateien gelten einige Einschränkungen. So ist beispielsweise das Entfernen von Komponenten oder Funktionen nicht möglich. Auch bei den Anpassungsdateien für Office handelt es sich zum Teil um .msp-Dateien. 왘 Skriptdateien (.aas-Dateien)

Diese Dateien enthalten Anweisungen für die Zuweisung oder Veröffentlichung eines Pakets. 왘 Transformationsdateien (.mst-Dateien)

Vorhandene oder erstellte Pakete können mithilfe von Transformationsdateien (Microsoft Transform, MST) angepasst werden. Eine Transformation ist ein spezielles Softwarepaket, das mit einem Windows Installer-Paket verknüpft werden kann, Während der Ausführung wird das ursprüngliche Windows Installer-Paket geändert, wobei die Werte der .msi-Datei überschrieben werden. MSI-Pakete installieren

Anwendungen, die als Windows Installer-Paket vorliegen, können auf verschiedenen Wegen installiert werden. 왘 Im Windows-Explorer 왘 Über die Befehlszeile 왘 Im Bereich Programme und Funktionen 왘 Mithilfe von Gruppenrichtlinien zur Softwareverteilung 왘 Mit serverbasierten Anwendungen zur Softwareverteilung Windows-Explorer Anwendungen, die als Windows Installer-Paket (.msiDatei) vorliegen, können direkt aus dem Windows-Explorer heraus installiert, repariert und deinstalliert werden. Hierzu ist die gewünschte Option im Kontextmenü der MSI-Datei zu wählen.

148

Ein Blick auf die Technik dahinter – der Windows Installer-Dienst Abbildung 3.13 Die Installation eines MSI-Installationspakets ist mithilfe der entsprechenden Option im Kontextmenü möglich.

Befehlszeile Mit dem Programm msiexec.exe kann der Windows Installer

auch an der Eingabeaufforderung ausgeführt werden. Hier stehen die folgenden Funktionen zur Verfügung: 왘 Installieren eines Pakets 왘 Entfernen eines Pakets 왘 Reparieren eines Pakets 왘 Ankündigen eines Pakets 왘 Erstellen eines Admin-Installationspakets 왘 Erstellen einer Installations-Protokolldatei Der Befehl msiexec.exe hat die folgende Syntax: msiexec /Option [Optionale Parameter]

Syntax von msiexec.exe

Eine Erläuterung der Parameter kann mit dem folgenden Befehl angezeigt werden: msiexec /?

Dieser Befehl blendet ein Fenster mit der Beschreibung aller verfügbaren Parameter ein. Abbildung 3.14 Syntax und Parameter von msiexec.exe

149

3

Kapitel 3 Software verwalten und installieren Bereich Programme und Funktionen In Abschnitt 3.1.2 ab Seite 136 wer-

den alle wichtigen Optionen zur Verwaltung von Anwendungen in dieser Konsole vorgestellt. Gruppenrichtlinien zur Softwareverteilung Eine Anleitung zum Umgang mit Gruppenrichtlinien zur Softwareverteilung finden Sie in Abschnitt 3.4 ab Seite 162. Softwareverteilung mit Softwareverteilungstools Beispielsweise

stellt Microsoft mit dem System Center Configuration Manager 2007 (SCCM) eine komplexe Verwaltungssoftware u.a. zur Softwareverteilung und Softwareupdateverwaltung bereit. Informationen hierzu finden Sie in Kapitel 1.

Windows Installer-Pakete erstellen In der Regel gehören die Pakete zum Lieferumfang der jeweiligen Anwendung. Insbesondere im Rahmen der Softwareverteilung wird es aber auch immer wieder erforderlich, seine eigenen MSI-Pakete zu erstellen. Zum Erstellen, Ändern und Neupacken von Paketen für ein zu installierendes Programm stehen diverse professionelle Programme von einer Reihe von Drittanbietern zur Verfügung. Diese bieten in der Regel eine Reihe zusätzlicher Funktionen. Hierzu gehören neben erweiterten Funktionen zur Verwaltung von Paketen beispielsweise die Unterstützung mobiler Geräte und die Verwaltung digitaler Rechte. Auch zur Erstellung von Transformationsdateien und Anpassungsdateien gibt es Tools, die meist eine einfache Benutzeroberfläche bereitstellen, wie beispielsweise der Custom Installation Wizard, CIW, der von Microsoft vor allem im Zusammenhang mit der Anpassung von Office bekannt ist. [CIW] Der Custom Installation Wizard ist u.a. im Office 2000 bzw. Office 2003 Resource Kit enthalten und kann verwendet werden, um Anpassungsdateien für Office-Pakete zu erstellen. Hierbei können über die bekannte Assistentenoberfläche die verschiedenen Änderungen an der Installation von Microsoft Office vorgenommen werden. So kann beispielsweise damit gesteuert werden, welche Funktionen einer Anwendung installiert und wo diese gespeichert werden sollen. Hierbei wird mit einer Kopie der .msi-Originaldatei gearbeitet. Wenn die Anpassungsdatei am Ende der Sitzung geschrieben wird, wird die Originalversion mit der aktualisierten Version der .msi-Datei verglichen, und die Änderungen werden in einer .mst-Datei gespeichert. Office Customization Tool

150

Für Windows 2007 steht mit dem Office Customization Tool (OCT) ebenfalls ein Anpassungstool zur Verfügung, mit dem Office 2007 angepasst und die Anpassungen in einer Setup-Anpassungsdatei (MSP-Datei) gespeichert werden können. [ORK07]


3.2.2

Das Verhalten von Windows Installer mit Gruppenrichtlinien steuern

Es ist möglich und sinnvoll, die Einstellungen für den Windows Installer mithilfe von Gruppenrichtlinien anzupassen Hierzu gehören beispielsweise Festlegungen für die Ereignisprotokollierung und die Möglichkeit, die lokale Patchverarbeitung zu deaktivieren. Die Deaktivierung der Patchverarbeitung verhindert beispielsweise, dass Benutzer den Windows Installer zur Installation nicht autorisierter Updates verwenden können.

3

Zur Konfiguration von lokalen Gruppenrichtlinien zur Steuerung des Lokales Gruppenrichtlinienobjekt Windows Installers gehen Sie wie folgt vor: 1. Öffnen Sie durch Eingabe von gpedit.msc in dem Suchfeld im Startmenü das Snap-in Gruppenrichtlinienobjekt-Editor. Um den Editor für lokale Gruppenrichtlinien öffnen zu können, müssen Sie über administrative Rechte verfügen. 2. Wählen Sie unter Computerkonfiguration bzw. Benutzerkonfiguration/ Administrative Vorlagen/Windows-Komponenten den Container Windows Installer. Abhängig von der zu konfigurierenden Richtlinie ist diese entweder im Bereich Computer oder Benutzer zu finden. Die folgende Abbildung zeigt die für den Windows Installer im Bereich Computerbasierte Richtlinien Computerkonfiguration verfügbaren Richtlinien. Abbildung 3.15 Computerbasierte Richtlinien zur Konfiguration des Windows Installers

Einige weitere Richtlinien beziehen sich auf den angemeldeten Benutzer und sind entsprechend im Bereich Benutzerkonfiguration zu konfigurieren.

151

Kapitel 3 Software verwalten und installieren Abbildung 3.16 Benutzerbasierte Richtlinien zur Konfiguration des Windows Installers

3.3

Nicht kompatible Anwendungen unter Windows 7 nutzen

Leider lassen sich nicht alle alten Anwendungen ohne Einschränkungen unter Windows 7 nutzen. Durch die grundlegenden Unterschiede in den Sicherheitseinstellungen von Windows XP bzw. älteren Versionen und Windows 7 kann es vorkommen, dass Anwendungen nicht unter Windows 7 funktionieren, die noch unter Windows XP hervorragend ihren Dienst verrichtet haben. Bei Problemanwendungen gibt es mehrere Fälle, die unterschieden werden können: 왘 Programme, die nur während der Upgrade-Phase nicht funktionieren und temporär deinstalliert oder deaktiviert werden müssen. In diese Kategorie fallen sehr häufig Virenscanner. 왘 Anwendungen, die einen speziellen Patch oder ein Service Pack benötigen, um mit Windows 7 zu laufen. 왘 Anwendungen, die unter Windows 7 überhaupt nicht lauffähig sind. Hierzu zählen beispielsweise Programme, die speziell für frühere Versionen von Windows geschrieben wurden. Während die beiden ersten Fälle in der Regel recht einfach zu lösen sind, bedarf es für Anwendungen, die in die dritte Kategorie fallen, spezieller Maßnahmen, damit diese dennoch unter Windows 7 ausgeführt werden können. Welche Möglichkeiten Windows 7 bietet, um derartigen Anwendungsinkompatibilitäten zu begegnen, zeigt dieser Abschnitt.

3.3.1

Ursachen für Anwendungsinkompatibilitäten

Während bei Windows Vista vor allem die Behandlung von Inkompatibilitäten mit Anwendungen im Rahmen der Betriebssystemaktualisierung eine Rolle spielt, kann dieser Bereich bei Windows 7 vernachlässigt werden. Dies liegt daran, dass Microsoft als einzigen Update-Pfad eine Aktualisierung von Windows Vista (SP1/SP2) auf Windows 7 unterstützt. Und

152


Anwendungen, die ohne Probleme unter Windows Vista funktionieren, werden in aller Regel auch unter Windows 7 keine Probleme verursachen. Bei älteren Anwendungen jedoch kann es vor allem aufgrund der grundlegenden Unterschiede in den Sicherheitseinstellungen von Windows XP bzw. früheren Versionen und Windows 7 zu Problemen bei der Installation bzw. bei der Ausführung kommen. Treten Inkompatibilitäten auf, sind diese vor allem in den folgenden Funktionen von Windows 7 zu suchen. 왘 Benutzerkontensteuerung: In der Standardeinstellung wird jede Anwendung in Windows 7 mit den Rechten eines Standardbenutzers ausgeführt. Für die Installation sind Administratorrechte erforderlich, die explizit angefordert werden. Dieses Verhalten müssen Anwendungen für eine Installation unter Windows 7 unterstützen. 왘 Windows Resource Protection (WRP): Der Windows-Ressourcenschutz schützt die folgenden Komponenten System-Registrierungseinstellungen, die versehentlich durch den Benutzer oder durch nicht autorisierte Software geändert werden könnten, Systemdateien und -einstellungen, die durch andere Prozesse als den Windows-Installer geändert werden könnten, und Anwendungen wie den Microsoft Internet Explorer, die durch möglicherweise nicht vertrauenswürdige oder schädliche COMErweiterungen von Drittanbietern beeinflusst werden könnten. Anwendungen, die versuchen, auf geschützte Ressourcen zu schreiben, können daher möglicherweise nicht installiert oder nicht ausgeführt werden. 왘 NTFS-formatierte Systempartition: Windows 7 fordert für die Systempartition zwingend eine Formatierung mit dem Dateisystem NTFS. Dies kann ggf. ebenfalls Probleme mit einzelnen Anwendungen verursachen. 왘 Geschützter Modus des Internet Explorers: In Windows 7 läuft der Microsoft Internet Explorer standardmäßig im geschützten Modus mit stark eingeschränkten Rechten. Anwendungen, die den Internet Explorer nutzen, können damit Probleme haben. 왘 x64-basierte Windows 7-Version: Anwendungen, die 16-Bit-EXE-Dateien, 16-Bit-Installer oder 32-Bit-Kernel-Treiber benutzen, starten entweder gar nicht oder funktionieren in einer 64-Bit-Edition von Windows 7 nicht richtig.

3.3.2

3

Anwendungsprüfung vor Beginn der Migration

Vor der Migration sollte zunächst eine Bestandsaufnahme erfolgen, um festzustellen, welche Anwendungen von Microsoft oder anderen Anbietern sich auf dem Rechner befinden und welche möglicherweise unter Windows 7 nicht oder nur eingeschränkt laufen werden.

Windows 7 Upgrade Advisor Bei der Prüfung der Anwendungskompatibilität kann zum einen der Windows 7 Upgrade Advisor helfen, der sich in erster Linie an Endanwender richtet. Microsoft bietet dieses kostenlose Programm an, mit dem sich herausfin-

153


den lässt, ob ein PC für eine Aktualisierung auf Windows 7 geeignet ist, welche Funktionen von Windows 7 auf dem PC ausgeführt werden können und welche möglichen Installationshindernisse existieren. Das schließt eine Prüfung der Kompatibilität installierter Anwendungen ein. Einsetzbar ist Windows 7 Upgrade Advisor auf Rechnern, auf denen Windows XP, Windows Vista oder Windows 7 ausgeführt wird [UPADVISOR]. Weiterführende Informationen zum Windows 7 Upgrade Advisor finden Sie in Kapitel 1. Abbildung 3.17 Ergebnis der Überprüfung eines Windows-Rechners mit Windows 7 Upgrade Advisor

Microsoft Application Compatibility Toolkit 5.5 Weiterhin stellt Microsoft mit dem Microsoft Application Compatibility Toolkit – ACT [ACT] ein ebenfalls kostenloses Tool für Entwickler und Administratoren zur Prüfung der Kompatibilität von Webseiten und Software bereit. Die Version 5.5 unterstützt Windows 7 sowie Windows Vista SP2 und erlaubt eine Kompatibilitätsprüfung mit Windows Vista und Windows 7 sowie dem Internet Explorer. Das Werkzeug dient dazu, Anwendungen zu erkennen, für die möglicherweise weitere Tests erforderlich sind, und um Kompatibilitätsfixes für Anwendungen zur Verfügung zu stellen.

154


Das Microsoft Application Compatibility Toolkit 5.5 stellt die folgenden Werkzeuge im ACT Funktionen bzw. Werkzeuge bereit: 왘 Werkzeuge zur Kompatibilitätsbewertung. Damit können benutzerdefinierte Kompatibilitätsberichte erstellt werden, die alle umgebungsspezifischen Aufgaben und Anforderungen zusammenfassen. Zusätzlich können individuelle „ Quick Reports“ erstellt werden. 왘 Bestandsdatensammler (Inventory Collector). Dieser kann unternehmensweit installierte Anwendungen und Systeminformationen ermitteln. 왘 Kompatibilitätsbewertung der Benutzerkontensteuerung (User Account Control Compatibility Evaluator). Damit können potenzielle Kompatibilitätsprobleme aufgrund von Berechtigungseinschränkungen identifiziert werden, die durch die Benutzerkontensteuerung erzwungen werden. 왘 Analyse von Aktualisierungsauswirkungen (Update Impact Analyzer). Das Werkzeug ermöglicht es, potenzielle Probleme zu erkennen, die durch die Bereitstellungen von Windows Updates entstehen können. 왘 Kompatibilitätsbewertung für Internet Explorer (Internet Explorer Compatibility Evaluator). Diese Funktion ermöglicht die Erkennung potenzieller Probleme mit Webanwendungen und Websites. 왘 Paket zur Datensammlung (Data Collection Package): Hierbei handelt es sich um ein Werkzeug, das alle Tools zur Kompatibilitätsbewertung für die Bereitstellung auf Client-Computern in einer einzigen Installation kombiniert. Es installiert die Werkzeuge und stellt eine Benutzeroberfläche bereit, mit der Bewertungszeitpläne verwaltet sowie Kompatibilitätsdaten gesammelt und in einer Datenbank verwaltet werden können. Die Data Collection Packages können zur besseren Unterscheidung/Filterung der damit gewonnenen Daten mit einem Kennzeichen versehen werden.

3

Application Quality Cookbook Dieses Dokument wendet sich an Anwendungsentwickler. Neben zahlreichen Anleitungen zur Prüfung von Anwendungskompatibilitäten bietet es auch eine Übersicht über bekannte Anwendungskompatibilitätsprobleme in Windows 7 und Windows Server 2008 R2. [COOKBOOK]

3.3.3

Einsatzmöglichkeiten des Kompatibilitätsmodus

Um auch älteren Anwendungen die Ausführung zu ermöglichen, bringt Windows 7 eine Funktion mit, die es ermöglicht, Programme im sogenannten Kompatibilitätsmodus zu starten. Hierbei handelt es sich um eine spezielle Funktion, die Anwendungen ein anderes Windows-Betriebssystem bzw. eine passende Umgebung vorgaukelt. Für die Anwendung verhält sich Windows 7 dann so wie ein älteres Windows-Betriebssystem, d.h. beispielsweise wie Windows XP, Windows Server 2003 oder auch Windows NT 4.0. In diesem Modus lassen sich deshalb auch Anwendungen ausführen, die im normalen Programmmodus die Zusammenarbeit mit dem Betriebssystem verweigern.

155

Kapitel 3 Software verwalten und installieren Automatisch angewendet

Die Kompatibilitätseinstellungen für ältere Software werden dabei häufig angewendet, ohne dass der Anwender es bemerkt. Windows 7 beinhaltet eine interne Datenbank, die Kompatibilitätseinstellungen für viele gängige ältere Programme enthält. Wird ein solches Programm gestartet, wendet Windows die passenden Kompatibilitätseinstellungen automatisch an. Mithilfe des Application Compatibility Toolkit (ACT) können Sie angezeigt und erweitert werden. Aber nicht alle Inkompatibilitäten werden automatisch erkannt. Wenn Sie eine Anwendung nach der Installation nicht starten können oder beispielsweise die Fehlermeldung Falsche Windowsversion angezeigt wird, muss die Anwendung manuell im Kompatibilitätsmodus gestartet werden. Der Kompatibilitätsmodus lässt sich auf zwei Arten einstellen: 왘 Sie benutzen den Programmkompatibilitäts-Assistenten. 왘 Sie stellen den gewünschten Modus manuell in dem Eigenschaftendialogfeld der Anwendungsdatei der betreffenden Anwendung ein. Diese Einstellungen sind identisch mit den Optionen im Programmkompatibilitäts-Assistenten. Die folgenden Arbeitsschritte beschreiben die Vorgehensweise sowohl mit dem Programmkompatibilitäts-Assistenten als auch bei manueller Einstellung.

ProgrammkompatibilitätsAssistent

1. Den Programmkompatibilitäts-Assistenten können Sie zum einen aus der Windows 7-Hilfe heraus starten. Suchen Sie hierfür nach dem Begriff Programmkompatibilität. Verwenden Sie anschließend den Link Öffnen der Problembehandlung für die Programmkompatibilität. Alternativ können Sie die Option Behandeln von Kompatibilitätsproblemen im Kontextmenü der Problemanwendung verwenden.

Abbildung 3.18 Ermittlung von Anzeigeproblemen im Programmkompatibilitäts-Assistenten

2. Der Assistent fordert Sie auf, die problematische Anwendung auszuwählen, und führt anschließend durch verschiedene Problemszenarien. Ist der Start der Anwendung in einem Modus erfolgreich, wird die

156


Anwendung jedes Mal in diesem Modus starten. Der Assistent ermöglicht es Ihnen außerdem, verschiedene Einstellungen zu testen, beispielsweise die Ausführung des Programms mit einer eingeschränkten Farbtiefe, einer reduzierten Bildschirmauflösung von 640 x 480 Pixel oder im Kontext eines Administrators. Um den Kompatibilitätsmodus manuell im Eigenschaftendialogfeld der Datei der Anwendung einzustellen, gehen Sie wie folgt vor:

3

1. Wählen Sie im Explorer das Programm, das Sie ausführen möchten, Manuelle und öffnen Sie dessen Eigenschaftendialogfeld über die entsprechende Einstellung Option im Kontextmenü. 2. Öffnen Sie die Registerkarte Kompatibilität, und stellen Sie den gewünschten Kompatibilitätsmodus ein. Zusätzlich können Sie auch hier festlegen, dass das Programm mit einer verminderten Farbtiefe (256 Farben) ausgeführt oder beispielsweise im Administratorkontext ausgeführt werden soll. Letztere Option hilft zwar in einigen Fällen weiter, ist aber auch wegen der Benutzerkontensteuerung keine langfristig praktikable Lösung. Abbildung 3.19 Konfiguration der Kompatibilitätseinstellungen in den Eigenschaften einer Anwendung

Behebt die Ausführung im Kompatibilitätsmodus das Problem nicht, sollte Dateiausfühdie Datenausführungsverhinderung-Funktion überprüft werden. Diese rungsverhindeFunktion, die bereits in Windows XP integriert ist, kann auch unter Windows rung 7 den Start von Anwendungen verhindern. Mithilfe der Datenausführungsverhinderung werden Programme überwacht, um die sichere Verwendung des Systemspeichers durch die Programme sicherzustellen. Wenn ein Programm versucht, Code aus dem Speicher auf unzulässige Weise auszuführen, wird das Programm durch die Datenausführungsverhinderung (Data Execution Prevention, DEP) geschlossen. Startet eine Anwendung nicht, hilft es entweder, diese Funktion zu deaktivieren oder die Anwendung von der Überprüfung auszunehmen. Zur Konfiguration der Dateiausführungsverhinderung gelangen Sie mit den folgenden Schritten:

157

Kapitel 3 Software verwalten und installieren 왘 Geben Sie im Suchfeld des Startmenüs Erweiterte Systemeinstellungen

anzeigen ein. 왘 Wählen Sie auf der Registerkarte Erweitert und anschließend im

Bereich Leistung die Schaltfläche Einstellungen. 왘 Verwenden Sie die Registerkarte Datenausführungsverhinderung.

Wenn die Dateiausführungsverhinderung ein Programm immer wieder schließt, dem Sie vertrauen, können Sie die Datenausführungsverhinderung für das geschlossene Programm deaktivieren. Abbildung 3.20 Die Dateiausführungsverhinderung ist manchmal die Ursache, wenn Anwendungen nicht starten.

3.3.4

Anwendungen im Kompatibilitätsmodus installieren

Beim Versuch, ältere Windows-Programme zu installieren, kann es passieren, dass bei der Installation oder beim Start einer Anwendung eine Fehlermeldung erscheint mit dem Hinweis, dass das Programm nicht richtig installiert wurde. Abbildung 3.21 Hinweis, wenn Windows 7 ein Programm wegen Kompatibilitätsproblemen nicht installieren konnte

158


Auch in diesem Fall kann der Kompatibilitätsmodus gegebenenfalls weiterhelfen. Die Option Erneut mit den empfohlenen Einstellungen installieren ruft den Programmkompatibilitäts-Assistenten auf. Alternativ kann bereits die Installationsdatei des Programms im Kompati- Setup-Datei auf bilitätsmodus ausgeführt werden. Diese kann sich gegebenenfalls auch auf CD-ROM einer CD-ROM befinden. Zwar ist ein schreibender Zugriff auf die CDROM nicht möglich, doch werden die Einstellungen bei manueller Konfiguration der Eigenschaften temporär gespeichert. Wird der Programmkompatibilitäts-Assistent verwendet, muss die Option Programm im CD-Laufwerk verwenden ausgewählt werden. Der Kompatibilitätsmodus steht nicht für .msi-Dateien zur Verfügung. Diese können weder mit dem Assistenten noch manuell im Kompatibilitätsmodus installiert werden Kann das Problem auch durch Installation im Kompatibilitätsmodus nicht behoben werden, zeigt Windows 7 ein entsprechendes Hinweisfenster an. In diesem Fall sollte versucht werden, ein Update oder eine aktuelle Version vom Programmhersteller zu beziehen oder das Programm im Windows XP-Modus auszuführen. Abbildung 3.22 Kann auch die Ausführung im Kompatibilitätsmodus das Problem nicht beheben, erscheint ein entsprechender Hinweis.

3.3.5

Anwendungen im Windows XP-Modus ausführen

Benutzern von Windows 7 Professional, Enterprise und Ultimate steht noch ein weiterer Weg offen. Bei diesen Editionen stellt Microsoft den sogenannten „ XP-Modus“ zur Verfügung. Der XP-Modus ist eine Kombination aus Microsofts Virtualisierungssoftware Virtual PC und einer verschlankten vorab aktivierten und voll lizenzierten Installation von Windows XP mit Service Pack 3. Allerdings wird der XP-Modus nicht mit Windows 7 mitgeliefert. Wer ihn benötigt, muss beide Komponenten von der Website von Microsoft herunterladen. Den XP-Modus führt Microsoft in Windows 7 ein, um auch Anwendern den Umstieg zu ermöglichen, die Anwendungen verwenden, die unter Windows Vista bzw. unter Windows 7 nicht laufen. Damit will Microsoft insbesondere Unternehmen unterstützen, die mit Windows Vista bzw. Windows 7 inkompatible Unternehmenslösungen einsetzen und deshalb den Umstieg auf Windows Vista gescheut haben [XPMODE].

159

3

Kapitel 3 Software verwalten und installieren Umfangreiche Systemanforderungen

Wer den XP Modus einsetzen will, muss allerdings beachten, dass damit die Anforderungen an die Hardware steigen. Für den XP-Modus empfiehlt Microsoft mindestens zwei Gigabyte Arbeitsspeicher und 15 Gigabyte mehr zusätzlichen Platz auf der Festplatte. Entscheidender aber ist, dass eine prozessorseitige Unterstützung für die Virtualisierung vorhanden sein muss. Um eine möglichst gute Anbindung an die PC-Hardware zu erreichen, verwendet Microsoft für seinen XP-Modus Virtualisierungsfunktionen aktueller PC-Prozessoren. Bei Intel heißen diese Intel Virtualization Technology (Intel VT), bei AMD kurz AMD-V. Intel beispielsweise bietet mit dem Processor Identification Utility ein Gratistool, mit dem sich prüfen lässt, ob ein Prozessor die geforderten Virtualisierungsfunktionen beherrscht. Das Tool kann als direkt startbare Version heruntergeladen werden [INTEL]. Zusätzlich muss die BIOS-Version des Mainboard-Herstellers eine Funktion für hardwareseitige Virtualisierung enthalten, und diese muss auch aktiviert sein. Insbesondere bei Notebooks für Privatanwender ist diese Option üblicherweise deaktiviert.

Arbeitsweise des XP-Modus

Ist der Windows XP-Modus installiert, lassen sich virtualisierte Anwendungen direkt vom Desktop über Verknüpfungen starten. Sie werden dann in einem ganz normalen Fenster von Windows 7 angezeigt und nicht etwa in einer im Fenster laufenden virtuellen Maschine. Hierzu müssen die gewünschten Anwendungen in dem virtuellen PC installiert werden. Die in den virtuellen Computern installierten Anwendungen lassen sich über die sogenannten Integrationsfeatures direkt in Windows 7 einblenden und erscheinen dann in dessen Startmenü unter Windows XP Mode Anwendungen. Wird eine solch virtualisierte Anwendung gestartet, öffnet sie sich in einem eigenen Fenster und verschmilzt mit dem übrigen Desktop. Außerdem erhalten die im XP-Modus ausgeführten Programme Zugriff auf alle Laufwerke, auf die auch von Windows 7 aus Zugriff besteht sowie auf die gemeinsame Zwischenablage. Damit ist für den Anwender die Ausführung der Programme im XP-Modus vollständig transparent. Lediglich die Darstellung der Anwendungen im XP-Design macht deutlich, dass er eine Anwendung im XP-Modus ausführt.

Nachteile des XP-Modus

160

Da der Windows XP-Modus die virtuelle Maschine mit XP nicht vollständig vom Host-Betriebssystem abschottet, muss das XP-Betriebssystem in vollem Umfang vor möglichen Sicherheitsrisiken geschützt werden. Dies bedeutet, dass nicht nur ein Antivirus-Programm installiert werden muss, sondern dass auch alle weiteren Schutzmaßnahmen wie das regelmäßige Einspielen von Sicherheitsupdates erforderlich ist. Insbesondere Unternehmen müssen daher, neben den Kosten für die erhöhten Systemanforderungen, auch den erhöhten Supportaufwand einkalkulieren.


3.3.6

Umgang mit 16-Bit-Windows- und DOS-Anwendungen

Zwar begegnen einem 16-Bit- und DOS-Anwendungen nur noch sehr selten, doch kann es immer noch Bereiche geben, in denen ihr Einsatz erforderlich ist.

3

Windows 7 unterstützt, wie auch alle Vorgängerversionen, sowohl 16-BitAnwendungen als auch DOS-Anwendungen mit einer Kompatibilitätsschnittstelle in Form einer Virtual DOS Machine (NTVDM). Dabei legt das Betriebssystem eine Umgebung an, die einer DOS-Umgebung entspricht. Im Unterschied zu den 16-Bit-Anwendungen wird aber generell jedes DOSProgramm in einer eigenen virtuellen Maschine ausgeführt, da unter MS DOS jedes Programm den gesamten Speicher für sich beansprucht. Aber auch 16-Bit-Anwendungen können so konfiguriert werden, dass sie in 16-Bit-Anwengetrennten Speicherbereichen laufen, wobei mehrere NTVDMs erstellt wer- dungen getrennt den. Standardmäßig wird eine einzelne NTVDM gestartet, wenn die erste starten 16-Bit-Anwendung gestartet wird. Alle weiteren 16-Bit-Anwendungen werden dann ebenfalls innerhalb dieser NTVDM gestartet. Dies bedeutet, dass sich alle 16-Bit-Anwendungen einen gemeinsamen Speicherbereich teilen. Verursacht eine Anwendung einen Fehler, bleiben auch alle anderen 16-BitAnwendungen hängen. Um eine Anwendung in einer eigenen NTVDM zu starten, stehen verschiedene Möglichkeiten zur Verfügung. An der Eingabeaufforderung können Anwendungen mit dem Befehl Start Befehl Start ausgeführt werden. Für die Ausführung von 16-Bit-Anwendungen sind zwei spezielle Parameter verfügbar. Mit dem Befehl start /separate Pfad und Name der Anwendung

kann eine 16-Bit-Anwendung in einem eigenen Speicherbereich ausgeführt werden. Der Befehl start /shared Pfad und Name der Anwendung

hingegen startet die 16-Bit-Anwendung in einem gemeinsam genutzten Speicherbereich. Wird zu einer 16-Bit-Anwendung eine Verknüpfung erstellt, kann auf der Registerkarte Verknüpfung die Option Erweitert gewählt werden. Im Dialogfeld Erweiterte Eigenschaften steht damit die Option In getrenntem Speicherbereich ausführen zur Verfügung. Aber auch für DOS-Anwendungen gibt es eine Reihe von Einstellmög- DOS-Anwendunlichkeiten für einen optimierten Einsatz unter Windows 7. Die Konfigura- gen tion ist möglich im Eigenschaftendialogfeld, das über das zugehörige Kontextmenü geöffnet werden kann.

161

Kapitel 3 Software verwalten und installieren Abbildung 3.23 Parameter der Anwendung Start

3.4

Softwareverwaltung mit Gruppenrichtlinien

Die Bereitstellung von Software in Unternehmensnetzwerken ist ohne Lösungen für eine automatisierte Verteilung kaum zu handhaben. Windows 7 fügt sich dabei gut in bestehende Lösungen ein, wie der folgende Abschnitt am Beispiel von Gruppenrichtlinien zur Softwareverteilung zeigt.

3.4.1 Voraussetzungen

162

Softwareverteilung mit Gruppenrichtlinien

In Active Directory-basierten Unternehmensnetzwerken steht eine integrierte Methode zur automatisierten Installation von Software zur Verfügung: Softwareverteilung mit Gruppenrichtlinien. Hierbei werden Anwendungen mittels Active Directory-Gruppenrichtlinien und dem Windows Installer-Dienst zentral verwaltet, d.h. installiert, gewartet und entfernt. Mithilfe einer richtlinienbasierten Methode zum Verwalten der Softwarebereitstellung kann außerdem sichergestellt werden, dass die von den Benutzern benötigten Anwendungen im Bedarfsfall überall verfügbar sind, unabhängig davon, welchen Computer sie gerade benutzen.


Um die Funktion für die richtlinienbasierte Softwareinstallation und -wartung nutzen zu können, wird Active Directory benötigt. Die ClientComputer müssen Windows 2000 Professional, Windows XP (Professional), Windows Vista oder Windows 7 (ausgenommen sind jeweils die Home-Editionen) ausführen. Frühere Windows-Versionen unterstützen keine Gruppenrichtlinien und können deshalb für die Softwareverwaltung nicht verwendet werden.

3

Benötigt werden weiterhin Microsoft Installer-(MSI-)Paketdateien für die Installationsjeweils zu installierenden Anwendungen. Auch .zap-Dateien können ver- dateien wendet werden. Durch eine .zap-Datei wird ein ausführbares Setup-Programm angegeben, das in der Systemsteuerung unter Software Benutzern, die über Administratorrechte verfügen, auf dem lokalen Computer angezeigt wird. Einschränkend können .zap-Dateien nur veröffentlicht werden, für sie ist keine Zuweisung möglich. Nähere Informationen zur Microsoft Installer-Technologie finden Sie im Abschnitt 3.2 ab Seite 144. Die Gruppenrichtlinien für die Softwareverwaltung können, wie alle anderen Gruppenrichtlinien, auf Benutzer oder Computer in einem Standort, in einer Domäne oder in einer Organisationseinheit angewendet werden. Der Installations- und Bereitstellungsvorgang umfasst, neben der Vorbereitung mit einer Analyse der Softwareanforderungen, den Erwerb der Software und den Erwerb von Paketdateien vom Hersteller einer Anwendung bzw. das Erstellen von Windows Installer-Paketdateien für eine Anwendung, vor allem die Bereitstellungsphase. Diese gliedert sich im Wesentlichen in zwei Hauptschritte: 왘 Erstellung eines Softwareverteilungspunktes 왘 Erstellung und Konfiguration eines Gruppenrichtlinienobjekts zum Bereitstellen der Anwendung

Erstellung eines Softwareverteilungspunktes Installer-Pakete und Softwaredateien müssen an einem Softwareverteilungspunkt zur Verfügung stehen, sodass die Dateien beim Installieren von Software auf einem Client-Computer von diesem Punkt kopiert werden können. Ein Softwareverteilungspunkt ist ein freigegebener Ordner, der die Paketdateien zum Bereitstellen von Software enthält. Hierbei kann es sich um ein freigegebenes Verzeichnis auf einem Server, um einen DFS-(Distributed File System-)Ordner oder um eine CD-ROM mit den Paket- und Installationsdateien handeln. Für jede Anwendung sollte ein separater Ordner am Softwareverteilungspunkt erstellt werden. Wichtig ist die Festlegung entsprechender Berechtigungen für den freigegebenen Ordner. Nur Administratoren sollten über Schreibrechte verfügen. Für die Benutzer genügen Leseberechtigungen, um auf die Softwareinstallationsdateien am Softwareverteilungspunkt zugreifen zu können.

163


Benutzer sollten den Inhalt des freigegebenen Ordners am Softwareverteilungspunkt nicht durchsuchen können. Dies kann mit einer verborgenen Freigabe verhindert werden (beispielsweise software$).

Bereitstellung eines Softwarepakets Die Bereitstellung des einzelnen Softwarepakets umfasst die Erstellung und Konfiguration entsprechender Gruppenrichtlinien gemäß Abbildung 3.24 Gruppenrichtlinienverwaltungs-Editor unter Softwareeinstellungen/Softwareinstallation. Der Bereich Softwareinstallation steht nur in Active Directory-basierten Gruppenrichtlinienobjekten zur Verfügung. Im lokalen Gruppenrichtlinienobjekt von Windows 7-Rechnern fehlt diese Einstellung. Ein Windows 7-Rechner kann daher nicht zur Verteilung von Software mit Gruppenrichtlinien an andere Rechner verwendet werden. Wie die folgende Abbildung zeigt, kann Software sowohl für Benutzerkonten als auch für Computerkonten bereitgestellt werden und ist deshalb sowohl im Bereich Benutzerkonfiguration als auch unter Computerkonfiguration zu finden. Abbildung 3.24 Gruppenrichtlinien für die Softwareverteilung

Einsatz der Gruppenrichtlinienverwaltungskonsole unter Windows 7 Zum Verwalten der Domänengruppenrichtlinien kann die Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC) verwendet werden. Die Gruppenrichtlinien-Verwaltungskonsole besteht aus einem MMC-Snap-in und einem Satz skriptfähiger Schnittstellen zum Verwalten der Gruppenrichtlinie. In Windows 7 ist GPMC allerdings nicht standardmäßig integriert, sondern muss zusammen mit den Remoteserver-Verwaltungstools (RSAT) nachträglich installiert werden.

164


Wie auch bei den Vorgängerversionen stellt die Microsoft Remoteserver-Verwaltungstools (Remote Server Administration Tools – RSAT) für Windows 7 zum kostenlosen Download bereit [RSAT]. Damit können von Computern unter Windows 7 Rollen und Funktionen auf Remotecomputern mit Windows Server 2008 R2, Windows Server 2008 oder Windows Server 2003 verwaltet werden. Durch das Installieren von RSAT wird die GPMC allerdings nicht automatisch installiert. Wie auch bei den Vorgängerversionen, müssen einige in Windows-7 integrierte Programme und Funktionen vor der Verwendung im Bereich Windows-Funktionen aktivieren oder deaktivieren aktiviert werden.

3

Ausführliche Erläuterungen zur Aktivierung zusätzlicher Funktionen finden Sie in Abschnitt 3.1.2 ab Seite 136. Um ein neues Softwarepaket bereitzustellen, sind im Kontextmenü von Softwareinstallation die Optionen Neu und Paket zu verwenden. Hier sind im ersten Schritt das gewünschte Paket und anschließend die Bereitstellungsmethode zu wählen. Unterstützt werden die beiden Bereitstellungsarten Veröffentlichen und Zuweisen. Abbildung 3.25 Auswahl der Bereitstellungsmethode

Software zuweisen Software kann entweder Benutzern oder Computern zugewiesen oder veröffentlicht werden. 왘 Einem Benutzer zuweisen Wird einem Benutzer Software zugewiesen, wird die Anwendung dem Benutzer beim nächsten Anmelden des Benutzers angekündigt. Sobald ein Benutzer ein unbekanntes Dokument oder eine Anlage per Doppelklick öffnet, prüft der Windows Installer, ob eine zugewiesene Anwendung auf dem Computer des Benutzers bereitsteht, die Anwendung jedoch noch nicht installiert wurde. 왘 Einem Computer zuweisen Wird die Software einem Computer zugewiesen, findet keine Ankündigung statt. Stattdessen wird die Software automatisch installiert, wenn der Computer gestartet wird. Durch Zuweisen von Software zu einem Computer kann sichergestellt werden, dass bestimmte Anwendungen auf diesem Computer immer zur Verfügung stehen, unabhängig davon, welcher Benutzer den Computer verwendet. Domänencontroller bilden hier eine Ausnahme, diesen kann keine Software zugewiesen werden.

165


Zugewiesene Software kann nicht gelöscht werden. Wenn ein Benutzer die Anwendung im Bereich Programme und Funktionen entfernt, wird die Ankündigungsoption beim nächsten Start erneut auf den Computer oder Benutzer angewendet. Nachdem eine Gruppenrichtlinie für eine neue zu verteilende Anwendung erstellt wurde, wird das Paket im Detailbereich von Softwareinstallation im Gruppenrichtlinienobjekt aufgelistet. Hier kann jederzeit der Status der betreffenden Software hinsichtlich Bereitstellungszustand, Upgrade-Typ u.a. abgefragt werden. Eine Aktualisierung des Bereitstellungsstatus erfolgt jeweils bei Bereitstellung einer neuen Software und bei Bereitstellung eines Updates oder Service Packs.

Software veröffentlichen Softwareveröffentlichung bedeutet, dass die Anwendung den Benutzern zur Installation auf ihren Computern zur Verfügung gestellt wird. Allerdings gibt es auf dem Desktop des Benutzers kein Anzeichen für die Software. Es ist keine Ankündigungsinformation vom Windows Installer über die Software auf dem Computer, weder in der Registrierung noch als Verknüpfungen auf dem Desktop oder im Startmenü, vorhanden. Die Ankündigungsattribute werden stattdessen in Active Directory gespeichert. Da Benutzer die veröffentlichte Software aktiv installieren müssen, kann Software nur für Benutzer, nicht jedoch für Computer veröffentlicht werden. Benutzer können veröffentlichte Software auf zwei Arten installieren: 왘 Mithilfe der Option Programme und Funktionen Am schnellsten können Sie diese Konsole öffnen, indem Sie im Suchfeld des Startmenüs den Befehl Appwiz.cpl eingeben. Unter Programm vom Netzwerk installieren wird eine Liste der verfügbaren Anwendungen angezeigt. Der Benutzer kann dann die gewünschte Anwendung auswählen und installieren. 왘 Mithilfe von Dateiverknüpfungen Wenn eine Anwendung in Active Directory veröffentlicht ist, sind die Dateinamenerweiterungen für die von ihr unterstützten Dokumente in Active Directory registriert. Wenn ein Benutzer auf einen unbekannten Dateityp doppelt klickt, sendet der Computer eine Abfrage an Active Directory, um zu bestimmen, ob dieser Dateinamenerweiterung Anwendungen zugeordnet sind. Wenn Active Directory eine solche veröffentlichte Anwendung findet, wird diese Anwendung installiert. Software installieren

166

Die folgende Abbildung zeigt am Beispiel der Server-Verwaltungstools im Dialogfeld Programm vom Netzwerk beziehen veröffentlichte Software.

Softwareverwaltung mit Gruppenrichtlinien Abbildung 3.26 Veröffentlichte Anwendungen im Bereich Programme

3

Nur bei der Erstellung eines neuen Pakets im Gruppenrichtlinienobjekt für die Softwarebereitstellung ist es möglich, dem Paket eine Anpassungsdatei bzw. Transformationsdatei hinzuzufügen. Erläuterungen zum Umgang mit Transformationsdateien finden Sie in Abschnitt 3.2.1 ab Seite 145. Hierfür ist ein neues Paket mit der Option Erweitert bei Auswahl der TransformationsBereitstellungsmethode zu installieren. Anschließend kann auf der Regis- datei verwenden terkarte Änderungen die gewünschte Transformationsdatei hinzugefügt werden. Transformationsdateien können nie allein angewendet bzw. im Rahmen der Softwareverteilung allein bereitgestellt werden, sondern immer nur ein bestehendes .msi-Paket ändern. Nachdem ein Softwarepaket mithilfe von Gruppenrichtlinien bereitgestellt Bereitstellungswurde, können die Eigenschaften des Pakets in dem Dialogfeld Bereitstel- optionen lung von Software geändert werden. Es kann beispielsweise bestimmt werden, dass ein zugewiesenes Softwarepaket nicht unter Programme und Funktionen angezeigt wird. Außerdem ist es möglich, die Option Anwendung deinstallieren, wenn sie außerhalb des Verwaltungsbereichs liegt zu aktivieren. In diesem Fall wird die bereitgestellte Software automatisch deinstalliert, wenn ein Benutzer oder Computer in eine Organisationseinheit oder Domäne verschoben wird, in der dieses Gruppenrichtlinienobjekt nicht mehr angewendet wird. Wie die folgende Abbildung zeigt, können auf dieser Registerkarte nicht nur die wichtigsten Bereitstellungsoptionen geändert werden, sondern nachträglich auch die Bereitstellungsart. Weiterhin ist die Festlegung der Benutzeroberflächenoptionen für die Installation möglich.

167

Kapitel 3 Software verwalten und installieren Abbildung 3.27 Konfiguration der Bereitstellungsoptionen eines Softwarepakets

Windows Installer-Pakete werden häufig mit zwei verschiedenen Installationsoberflächen geliefert. Die Auswahl der Option Einfach installiert die Software mithilfe von Standardwerten. Bei Auswahl von Maximum wird der Benutzer zur Eingabe von Werten aufgefordert.

Bereitgestellte Software verwalten Die Bereitstellung von Software ist in aller Regel kein einmaliger Vorgang, sondern zieht die regelmäßige Wartung der Anwendungen nach sich. So ist es beispielsweise notwendig, Service Packs einzuspielen und Anwendungen mittels Updates zu aktualisieren, um sicherzustellen, dass die Benutzer immer über die aktuelle Version verfügen. Die Funktion der Softwareverteilung mit Gruppenrichtlinien erlaubt deshalb nicht nur die Bereitstellung von Anwendungen, sondern auch deren Verwaltung. Die Softwareverwaltung umfasst im Wesentlichen die folgenden drei Aufgabengebiete: 왘 Aktualisierungen: Diese schließen alle Änderungen mittels Patches und Updates nach der Erstinstallation ein. 왘 Reparaturen: Hierzu gehört beispielsweise die automatische Neuinstallation gelöschter Dateien. 왘 Entfernen von Anwendungen: Das Entfernen umfasst das vollständige Löschen der Anwendungen vom Computer, wenn diese nicht länger benötigt werden. Anwendungen aktualisieren

168

Die Aktualisierung installierter Software ist eine der Hauptaufgaben im Rahmen der Anwendungsverwaltung. Nachdem ein Update, ein Service Pack oder ein Patch getestet und für eine Anwendung für die Verteilung


freigegeben wurde, hängt die weitere Vorgehensweise von der vorliegenden Software ab: 왘 Software Patch oder Service Pack Patches für eine Anwendung liegen häufig in Form eines neuen .msiPakets vor. In diesem Fall genügt es, das alte Paket am Softwareverteilungspunkt durch das neue Paket zu ersetzen. Um ein bereits zugewiesenes oder veröffentlichtes Paket erneut bereitzustellen, kann im Gruppenrichtlinienobjekt-Editor im Kontextmenü des Pakets, mit dem die Software ursprünglich bereitgestellt wurde, die Option Anwendung erneut bereitstellen ausgewählt werden. Die aktualisierten Dateien werden daraufhin zu den Benutzern kopiert und, je nachdem, wie das ursprüngliche Paket bereitgestellt wurde, neu angekündigt. 왘 Wenn die Software einem Benutzer zugewiesen wurde, werden das Startmenü, die Verknüpfungen auf dem Desktop und die Registrierungseinstellungen, die sich auf diese Software beziehen, bei der nächsten Anmeldung des Benutzers aktualisiert. Wenn der Benutzer die Software das nächste Mal startet, werden das Service Pack oder der Patch automatisch angewendet. 왘 Wenn die Software einem Computer zugewiesen wurde, werden das Service Pack oder der Patch automatisch beim nächsten Starten des Computers angewendet. 왘 Wenn die Software veröffentlicht und installiert wurde, wird, wenn der Benutzer die Software das nächste Mal startet, das Service Pack oder der Patch automatisch angewendet. 왘 Update einer Anwendung Upgrades bzw. Updates von Anwendungen umfassen meist größere Änderungen, die oft auch eine erhebliche Anzahl von Dateien ändern. Hier hängt es von der verwendeten Anwendung und dem Aktualisierungspaket ab, ob die vorhandene Anwendung zuvor entfernt werden muss oder ob das neue Paket nur die notwendigen Dateien ersetzt.

3

Unabhängig davon, ob die Originalanwendung zugewiesen oder veröffentlicht wurde, stehen für eine Aktualisierung zwei Optionen zur Verfügung: 왘 Obligatorische Aktualisierung: Obligatorische Aktualisierungen ersetzen

Aktualisierungs-

eine alte Softwareversion automatisch durch eine aktualisierte Version. arten Beim nächsten Computerstart oder bei der nächsten Benutzeranmeldung wird automatisch die neue Version installiert. 왘 Optionale Aktualisierung: Bei einer optionalen Aktualisierung kann der Benutzer selbst entscheiden, ob und wann die Aktualisierung auf die neue Version durchgeführt wird. Jeder, der die Software installiert hat, kann die vorhandene Version weiter verwenden. Benutzer, welche die vorhandene Anwendung noch nicht installiert hatten, können entweder die alte oder die neue Version installieren. Um ein bereits zugewiesenes oder veröffentlichtes Paket erneut bereitzustellen, ist im Gruppenrichtlinienobjekt-Editor zunächst eine neue Gruppenrichtlinie für das Update-Paket zu erstellen und in dessen Eigenschaftendialogfeld die Registerkarte Aktualisieren zu wählen. Soll

169


eine obligatorische Aktualisierung durchgeführt werden, muss die Option Vorhandene Pakete aktualisieren aktiviert werden. Andernfalls erfolgt die Aktualisierung optional. Die aktualisierten Dateien werden daraufhin zu den Benutzern kopiert und, je nachdem, wie das ursprüngliche Paket bereitgestellt wurde, neu angekündigt. Anwendungen reparieren

Zugewiesene Anwendungen verfügen quasi über eine integrierte Reparaturfunktion. Sie können vom Benutzer nicht gelöscht werden. Wenn ein Benutzer die Anwendung mithilfe der Option Software entfernt, wird die Ankündigungsoption beim nächsten Start erneut auf den Computer oder Benutzer angewendet.

Bereitgestellte Software entfernen

Gruppenrichtlinien können nicht nur zum Bereitstellen, sondern auch zum Entfernen von Software verwendet werden. Damit kann die nicht mehr benötigte Software entweder automatisch oder beim Start des Client-Computers entfernt werden oder wenn sich der Benutzer erstmals wieder anmeldet. Um eine Anwendung zu deinstallieren, muss die Softwarepaketeinstellung aus dem Gruppenrichtlinienobjekt, mit dem die Software ursprünglich bereitgestellt wurde, entfernt werden. Zur Entfernung des Pakets sind die folgenden Arbeitsschritte durchzuführen: Im Kontextmenü des gewünschten Pakets ist hierzu die Option Alle Tasks und Entfernen zu wählen. Die gewünschte Entfernungsart kann in dem daraufhin erscheinenden Dialogfeld ausgewählt werden. 왘 Erzwungene Entfernung Bei Auswahl der Option Software sofort von Benutzern und Computern deinstallieren können Benutzer die Software weder weiterhin ausführen noch installieren. Die Anwendung wird automatisch von einem Computer gelöscht, entweder beim nächsten Computerstart oder bei der nächsten Benutzeranmeldung. Die Entfernung findet statt, bevor der Desktop angezeigt wird. 왘 Optionale Entfernung Bei Auswahl der Option Benutzer dürfen die Software weiterhin verwenden, aber Neuinstallationen sind nicht zugelassen wird die Anwendung nicht von den Computern entfernt. Sie wird aber nicht mehr unter Software aufgelistet und kann nicht mehr installiert werden. Benutzer, die diese Software installiert haben, können sie weiterhin verwenden. Wenn Benutzer die Software jedoch manuell löschen, können sie diese nicht erneut installieren. Um zu erreichen, dass eine Anwendung entfernt wird, wenn ein Gruppenrichtlinienobjekt nicht länger angewendet wird (beispielsweise weil der Computer in eine andere Domäne verschoben wurde), muss in dem Eigenschaftendialogfeld der Anwendung die Option Anwendung deinstallieren, wenn sie außerhalb des Verwaltungsbereichs liegt auf der Registerkarte Bereitstellung von Software aktiviert werden (siehe Abbildung 3.27 auf Seite 168

170


3.4.2

Anwendungssteuerung mit Gruppenrichtlinien

Windows 7 und Windows Server 2008 R2 bringen eine neue Funktion mit, mit deren Hilfe dediziert festgelegt werden kann, welche Anwendungen von Benutzern ausgeführt werden können. Die als AppLocker bezeichnete Funktion ermöglicht das Angeben der Benutzer oder Gruppen, die bestimmte Anwendungen ausführen können. Mithilfe von Gruppenrichtlinien kann Folgendes gesteuert werden: 왘 Welche Anwendungen darf ein Benutzer ausführen? 왘 Welcher Benutzer darf eine Software installieren? 왘 Welche Anwendungsversionen sind erlaubt? 왘 Wie sollen lizenzierte Anwendungen gesteuert werden?

3

Die AppLocker-Anwendungssteuerungsrichtlinien sind eine Weiterentwicklung der bereits seit Windows XP bzw. Windows 2004 verfügbaren Richtlinien für Softwareeinschränkungen. Allerdings kennt AppLocker mehr Optionen, und die Abstufungen sind feiner. So ermöglicht AppLocker beispielsweise die Definition eines Regelbereichs für ausgewählte Benutzer und Gruppen. AppLocker ist in allen Editionen von Windows Server 2008 R2 und in SystemvorausWindows 7 Ultimate und Windows 7 Enterprise verfügbar. Hierbei ist setzungen Folgendes zu beachten: 왘 Zum Erstellen von AppLocker-Regeln wird Windows Server 2008, Windows 7 Enterprise, Ultimate oder Professional benötigt. Außerdem müssen auf mindestens einem Computer die Gruppenrichtlinien-Verwaltungskonsole (GPMC) oder die Remoteserver-Verwaltungstools (Remote Server Administration Tools, RSAT) installiert sein, um die AppLocker-Regeln zu hosten. 왘 AppLocker-Regeln können auf Computern unter Windows 7 Ultimate und Enterprise, nicht jedoch unter Windows 7 Professional erzwungen werden. Auf Computern, auf denen Windows-Versionen vor Windows 7 eingesetzt werden, können ebenfalls keine AppLocker-Richtlinien erzwungen werden.

AppLocker-Regeln konfigurieren Die AppLocker-Anwendungssteuerungsrichtlinien sind im Gruppenrichtlinienobjekt in den Sicherheitseinstellungen zu finden. In Windows 7 und in Windows Server 2008 R2 sind sowohl die älteren Richtlinien für Softwareeinschränkung als auch die AppLocker-Anwendungssteuerungsrichtlinien implementiert. Allerdings kann nur eine der beiden Technologien verwendet werden, und sobald Sie AppLocker einsetzen, werden ältere Softwareeinschränkungsregeln ignoriert.

171


In Active Directory-Umgebungen, in denen sowohl Softwareeinschränkungsrichtlinien als auch AppLocker-Richtlinien verwendet werden sollen, kann das Problem durch Verwendung unterschiedlicher Gruppenrichtlinienobjekte (Group Policy Object, GPO) umgangen werden. Abbildung 3.28 AppLocker-Richtlinien steuern, welche Anwendungen von Benutzern ausgeführt werden können.

Verfahrensweise

Das AppLocker-Snap-in ist in drei Bereiche unterteilt. 왘 Erste Schritte 왘 Regelerzwingung konfigurieren 왘 Übersicht Die Regelsammlung unterscheidet wiederum vier Regelarten. Die vier Regelsammlungen sind ausführbare Dateien, Skripts, Windows InstallerDateien und DLL-Dateien. Diese Sammlungen ermöglichen eine differenzierte Erstellung von Regeln für verschiedene Anwendungstypen und die Steuerung folgender Anwendungstypen: Ausführbare Dateien (EXE und COM), Skripte (JS, PS1, VBS, CMD und BAT), Windows InstallerDateien (MSI und MSP) sowie DLL-Dateien (DLL und OCX). Die DLL-Regelsammlung ist standardmäßig nicht aktiviert, da DLL-Regeln nur in seltenen Fällen, d.h. in sicherheitssensiblen Bereichen, benötigt werden. Auf der Registerkarte Erweitert muss diese gesondert aktiviert werden.

172

Softwareverwaltung mit Gruppenrichtlinien Abbildung 3.29 DLL-Regeln können erst nach gesonderter Aktivierung erstellt werden.

3

Die Erstellung einer neuen Regel wird durch einen Assistenten unterstützt. Ob eine Datei ausgeführt werden darf, kann im Dialogfeld anhand von drei Kriterien festgelegt werden, die als Regelbedingungen bezeichnet werden. Die drei primären Regelbedingungen sind Herausgeber, Pfadregel und Dateihash: 왘 Dateihash: Wenn eine Dateihash-Bedingung ausgewählt ist, berechnet das System einen kryptografischen Hash, also eine Prüfsumme für die Datei. Diese muss allerdings bei jedem Update erneuert werden. 왘 Pfadregel: Entscheidet je nach genauem Dateinamen plus Pfad, ob eine Datei ausgeführt werden kann. Kann allerdings durch Kopieren der betreffenden Datei unterlaufen werden. 왘 Herausgeber: Diese Bedingung identifiziert eine Anwendung basierend auf der digitalen Signatur und den erweiterten Attributen. Die digitale Signatur enthält Informationen zum Ersteller der Anwendung (dem Herausgeber). Die erweiterten Attribute, die von der Binärressource beibehalten werden, enthalten den Produktnamen der Anwendung und ihre Versionsnummer. Hier sind sehr feine Abstufungen möglich. So können Sie beispielsweise von einer bestimmten EXE-Datei eine Mindestversionsnummer verlangen, um etwa eine Software zwar prinzipiell zu erlauben, jedoch nicht die Ausführung veralteter Versionen mit eventuell bekannten Sicherheitslücken.

Assistent zur Regelerstellung

173


Regeln testen im Audit-Modus Grundsätzlich gilt: Sobald Sie mindestens eine Regel definiert haben, werden automatisch alle Programme gesperrt, die nicht ausdrücklich von einer Regel zugelassen sind. Daher muss die AppLocker-Funktion mit sehr viel Umsicht konfiguriert werden. Hilfreich ist hierbei der Audit-Modus. Hierbei werden keine Programme eingeschränkt, aber protokolliert, wie sich Regeln auswirken würden, sobald AppLocker die Regeln erzwingt. Damit ist es möglich zu testen, ob die vorhandenen Regeln wie gewünscht funktionieren oder ob Sie weitere Regeln hinzufügen müssen, um das gewünschte Ziel zu erreichen. Audit-Modus aktivieren

Der Audit-Modus kann gesondert für die vier Regelsammlungen eingeschaltet werden. Verwenden Sie hierzu die Option Regelerzwingung konfigurieren. Die Auswahl Nur überwachen schaltet für die gewählte Regelsammlung den Audit-Modus ein.

Abbildung 3.30 Audit-Modus für die gewünschte Regelsammlung aktivieren

Wenn die Tests ergeben, dass die Regeln den Anforderungen entsprechen, kann AppLocker vom Analyse- in den Erzwingen-Modus geschaltet werden. Damit werden alle Regeln erzwungen, und nicht zugelassene Programme lassen sich beispielsweise nicht mehr starten.

174

4

Konfiguration der Benutzerschnittstellen

Wer bereits mit Windows Vista gearbeitet hat, findet bei Windows 7 eine weitgehend vertraute Benutzeroberfläche vor. Dies liegt vor allem an der mit Vista eingeführten Aero-Glas-Oberfläche, welche die Fenster in einem transparenten Modus anzeigt. Und doch gibt es auch gegenüber Windows Vista eine Reihe von Änderungen, denn bei Windows 7 rückt Microsoft die Bedienung und das effiziente Arbeiten mit dem PC stärker in den Vordergrund. So gibt es insbesondere bei der Taskleiste eine Reihe von Veränderungen gegenüber den Vorgängerversionen. Dieses Kapitel stellt mit dem Desktop, der Startleiste, der Taskleiste und dem Windows-Explorer die wichtigsten Benutzerstellen für die Arbeit mit Windows 7 vor und erläutert die Möglichkeiten, um diese an die eigenen Bedürfnisse anzupassen.

4.1

Benutzeroberfläche

Das zentrale Merkmal der Benutzeroberfläche von Windows 7 heißt „Aero“ und ist ein spezieller Grafikmodus, der die 3D-Funktionen der Grafikkarte für die Darstellung spezieller Desktopeffekte nutzt.

4.1.1

Leistungsmerkmale der Aero-Oberfläche

Die Windows-Aero-Oberfläche baut auf einer Basisoberfläche auf und ergänzt diese um die nachstehenden Funktionen: 왘 Transparenter Glaseffekt 왘 Flüssige Fensteranimationen 왘 Windows Flip/Flip-3D zum komfortablen Wechseln zwischen laufenden Anwendungen. 왘 Vorschaufenster in Taskleiste 175

Kapitel 4 Konfiguration der Benutzerschnittstellen

Selbstverständlich kann Windows 7 auch ohne Aero-Effekte verwendet werden. Darauf wird in diesem Kapitel ebenfalls eingegangen. Dabei sollte der neue Transparenzmodus nicht als Spielerei abgetan werden. Durch die transparenten Fenster kommt der Inhalt in den Vordergrund, und die Navigation wird erleichtert. Auch die Vorschaufenster in der Taskleiste, die in diesem Kapitel besprochen wird, optimieren Windows 7 deutlich in Richtung verbesserter Navigation und Übersichtlichkeit. Die nachstehende Auflistung stellt die wichtigsten der nur im Aero-Modus verfügbaren Desktopeffekte vor. AeroDesktopeffekte

왘 Windows Glas

Hinter diesem Begriff verbergen sich die Transparenzeffekte der Fensterrahmen und des Startmenüs. Aero-Glass bietet dem Benutzer Anwendungsfenster mit Schattenwurf, halbtransparenten Rahmen sowie flüssige Animationen beim Minimieren. Diese Funktion wurde bereits mit Windows Vista eingeführt. 왘 Aero Peek

Aero Peek ist eine neue Funktion in Windows 7, die alle geöffneten Fenster ausblendet und nur deren Rahmen anzeigt und damit den Blick auf den Desktop freigibt. Der kleine Balken ganz rechts in der Taskleiste aktiviert Aero Peek. Alternativ kann die Tastenkombination (Ä)+(Leertaste) verwendet werden. Alle Fenster werden durchsichtig, solange Sie die (Ä)-Taste gedrückt halten. 왘 Flip und Flip-3D

Halten Sie die (Alt)-Taste fest, und drücken Sie dann (ÿ), zeigt Windows in der Bildmitte ein Vorschaufenster aller geöffneten Fenster. Jeder Druck der (ÿ)-Taste schaltet ein Fenster vorwärts. Auf dem Desktop ist nur das jeweils gewählte Fenster sichtbar, alle anderen werden mit Aero Peek in den Umrissmodus geschaltet. Lassen Sie die (Alt)-Taste los, schaltet Windows zum aktuell markierten Fenster um. Ohne Aero funktioniert diese Tastenkombination ebenfalls, zeigt dann aber weder Vorschaugrafiken noch Umrissmodus. Diese Funktion wurde bereits mit Windows Vista eingeführt.

Abbildung 4.1 Umschalten zwischen Anwendungen mithilfe von Aero-Flip

Mit Flip-3D werden geöffnete Fenster in einem Stapel angezeigt. Oben auf dem Stapel sehen Sie ein geöffnetes Fenster. Zum Anzeigen weiterer Fenster blättern Sie einfach durch den Stapel. Sie können Flip-3D öffnen, indem Sie (Ä)+(ÿ) drücken. Sie können dann (ÿ) drücken, um durch die Fenster zu blättern. Zum Schließen von Flip-3D drücken Sie (Esc). Diese Funktion wurde mit Windows Vista eingeführt.

176

Benutzeroberfläche Abbildung 4.2 Umschalten zwischen Anwendungen mithilfe von Aero-Flip-3D

4 왘 Superbar-Vorschau

Wird der Mauszeiger über einem Anwendungssymbol in der Taskleiste platziert und wird diese Anwendung gerade ausgeführt, blendet Windows eine Vorschau des Fensterinhalts ein. Bei mehreren laufenden Instanzen reiht Windows die einzelnen Fensterinhalte nebeneinander auf. Wird dann der Mauszeiger über eine Vorschaugrafik platziert, werden alle übrigen Fenster mit Aero Peek in den Umrissmodus geschaltet. Ein Klick auf eine Vorschau springt zu diesem Fenster. Diese Funktion wurde in Windows 7 gegenüber Windows Vista nochmals erweitert. 왘 Animationen

Beim Minimieren, Maximieren und Schließen von Fenstern zeigt Windows eine kleine Animation und lässt das Fenster sanft in sein Symbol in der Taskleiste fliegen. Diese Funktion wurde mit Windows Vista eingeführt. 왘 Windows Desktop Manager

Aero verwaltet alle Fensterinhalte in eigenen Bildschirmspeichern und ermöglicht eine stabilere Darstellungsqualität. Reagiert ein Programm nicht oder nur langsam, übernimmt versucht Aero, den Fensterinhalt mit dem letzten vom Programm gelieferten Inhalt zu aktualisieren. Reagiert ein Programm überhaupt nicht mehr, blendet Windows den Fensterinhalt ab und zeigt darin das zuletzt empfangene Bild des Programms. Außerdem erscheint ein Dialogfeld, das anbietet, das Fenster zu schließen oder online nach einer Problemlösung zu suchen. Diese Funktion wurde mit Windows Vista eingeführt. Mit Windows 7 führt Microsoft außerdem einige Neuerungen ein, die das Interessante Neuerungen bei Arbeiten mit Fenstern deutlich erleichtern. Windows 7 왘 Um ein Fenster zu maximieren, genügt es, den Fensterrahmen zum oberen Bildschirmrand zu ziehen. Um die ursprüngliche Größe wiederherzustellen, müssen Sie umgekehrt das Fenster vom oberen Bildschirmrand wegziehen. Wird das Fenster an den unteren Fensterrahmen gezogen, wird es vertikal erweitert.

177

Kapitel 4 Konfiguration der Benutzerschnittstellen 왘 Um alle geöffneten Fenster gleichzeitig zu minimieren, genügt ein

Klick auf die Schaltfläche in der rechten unteren Ecke der Startleiste. Alternativ können Sie durch Schütteln eines Fensters mit der Maus alle Fenster mit Ausnahme des aktuellen Fensters minimieren. 왘 Um die Inhalte zweier Fenster zu vergleichen, können Sie ein Fenster zu einer Seite des Bildschirms und das andere Fenster zur gegenüberliegenden Seite des Bildschirms ziehen. Die Größe der Fenster wird so angepasst, dass ein Fenster jeweils die Hälfte des Bildschirms einnimmt.

4.1.2

Anpassung des Desktops

In diesem Abschnitt erfahren Sie nicht nur, wie Sie die neuen visuellen Möglichkeiten von Windows 7 nutzen können, sondern auch, welche Maßnahmen bei der Behebung von Problemen mit dem Aero-Modus helfen.

Desktop-Eigenschaften konfigurieren Die Optionen der Oberfläche von Windows 7 lassen sich sehr detailliert anpassen. Wenn Sie mit der rechten Maustaste auf den Desktop klicken, können Sie über den Kontextmenübefehl Anpassen das nachstehend gezeigte Dialogfeld anzeigen: Abbildung 4.3 Windows 7 liefert eine Reihe von Standarddesigns mit und ohne Aero-Effekte.

178

Benutzeroberfläche

In dem in Abbildung 4.3 gezeigten Dialogfeld kann entweder ein vorkonfiguriertes Designpaket gewählt oder ein Design individuell zusammengestellt werden. Aktivieren Sie ein Designpaket, ändern sich damit der Bildschirmhintergrund, die Windows-Klänge, der Bildschirmschoner, der Mauszeiger, die Desktopsymbole und die Fensterfarben abhängig davon, welche Einstellungen das Designpaket enthält Soll der Aero-Modus verwendet werden, muss ein Design aus der Kategorie Aero-Design aktiviert werden. Bei Auswahl eines Designs aus der Kategorie Basisdesigns wird Aero nicht verwendet.

Fehlerbehebung bei Aero

4

Fehlt die Gruppe Aero-Designs in der Designauswahl, hat Windows 7 festgestellt, dass der Aero-Grafikmodus nicht zur Verfügung steht. Aero wird nur dann angeboten, wenn der PC die Voraussetzungen erfüllt. Eine wesentliche Bedeutung kommt dabei der verwendeten Grafikkarte zu. Für die Nutzung von Aero muss der Rechner das Windows Display Driver Model (WDDM) unterstützen und mit einer Aero-fähigen Grafikkarte bestückt sein. Außerdem muss die Grafik-CPU über mindestens 128 MB Arbeitsspeicher verfügen. Wenn Sie den Monitor mit einer Auflösung von 1.024 x 768 Bildpunkten betreiben, sollte die Grafikkarte über 128 MB RAM verfügen. Zusätzlich muss ein WDDM-Treiber installiert sein. Bei dieser Art von Treiber laufen große Teile im Benutzermodus, nicht im Kernel des Betriebssystems. Durch diese neue Technik ist sichergestellt, dass Abstürze aufgrund des Grafiktreibers vermieden werden. Wenn der PC diesen Voraussetzungen nicht entspricht, wird zwar trotzdem die neue Oberfläche angezeigt, allerdings ohne die Transparenzeffekte. Der Treiber der Grafikkarte muss Aero ebenfalls unterstützen. Die Voraussetzungen für die Aero-Darstellung sind zusammengefasst folgende: 왘 Die Grafikkarte muss mindestens DirectX 9 unterstützen. 왘 Es muss ein aktueller Grafikkartentreiber für Windows 7 installiert sein. Damit wirklich alle Aero-Effekte funktionieren, ist es wichtig, einen aktuellen Treiber Ihrer Grafikkarte, der 7-tauglich ist, zu installieren. 왘 Die Grafikkarte muss Pixel Shader 2.0 unterstützen. Pixel Shader sind kleine Programme, die von 3D-Grafikkarten zum Rendern verwendet werden, um die einzelnen Pixel so anzuzeigen, dass komplexe Grafiken dargestellt werden können. Oft werden die Chips auf den Grafikkarten, die für das Rendern zuständig sind, selbst als Pixel Shader bezeichnet. Grafikkarten, die diesen Modus unterstützen, sind zum Beispiel ATI Radeon 9500–9800, X300–X600 oder die GeForce-FX-Serie von NVIDIA. Ältere Karten unterstützen meistens Pixel Shader 1.0, die aktuellsten Grafikkarten bereits 3.0 (Radeon X1x-Serie, GeForce 6, GeForce 7) oder 4.0 (Radeon X2x, GeForce 8). 왘 Die Grafikkarte muss über 128 MB RAM verfügen. Bei einer Bildschirmauflösung von 1.600 x 1.200 Bildpunkten sind 256 MB angebracht.

179

Kapitel 4 Konfiguration der Benutzerschnittstellen 왘 Zusätzlich muss ein WDDM-Treiber installiert sein. Um auch Grafik-

karten ohne WDDM einsetzen zu können, verwendet Windows 7 automatisch einen anderen Grafikmodus bzw. ein Basisdesign ohne Aero-Funktionen. In diesem Modus wird die Oberfläche von der CPU statt von der Grafikkarte erzeugt. Unter Wartungscenter/Leistungsinformationen und -tools/Detaillierte Leistungs- und Systeminformationen anzeigen und drucken können Sie erkennen, ob Ihre Grafikkarte DirectX 9 unterstützt. Treiberprobleme

Falls ein Treiber Probleme bereitet, sollte dieser gegen eine aktuellere Version ausgetauscht werden. Die Effekte und auch die Geschwindigkeit des PC werden am besten mit einem Treiber direkt vom Hersteller unterstützt, da diese deutlich besser an die Karten angepasst sind als die Treiber von Microsoft. Sie sollten daher immer einen aktuellen Treiber von der Herstellerseite laden, auch wenn Ihrer Grafikkarte ein passender Treiber von Windows 7 zugewiesen wird. Ist für ein Gerät weder ein Windows 7- noch ein Windows Vista-Treiber zu erhalten, können Sie versuchen, den Windows XP-Treiber zu verwenden. Windows 7 unterstützt im Kompatibilitätsmodus auch einige XP-Treiber. Ausführliche Hinweise zur Behandlung von Treiberproblemen finden Sie in Kapitel 2. Wenn trotz aller Voraussetzungen die Oberfläche nicht mit den Aero-Effekten angezeigt wird, kann der Problemlösungs-Assistent für Aero Hilfestellung bieten. Um diesen zu starten, klicken Sie in der Systemsteuerung unterhalb der Kategorie System und Sicherheit auf den Link Probleme erkennen und beheben und anschließend unter Darstellung und Anpassung auf den Link Aero-Desktopeffekte anzeigen.

Abbildung 4.4 Der Aero-Problemlösungs-Assistent kann bei Problemen mit Aero helfen.

180

Benutzeroberfläche

Manche ältere Programme sind nicht mit Aero kompatibel. Wird ein solches Programm gestartet, deaktiviert Windows unter Umständen Aero. Nachdem ein inkompatibles Programm wieder beendet wurde, sollte Aero wieder angezeigt werden. Falls dies nicht der Fall ist, stellen Sie in den Anzeigeeinstellungen sicher, dass das Aero-Design und die Transparenz im Menü Fensterfarbe und -darstellung des Desktops aktiviert sind.

Konfiguration eigener Designs Dieser Abschnitt geht näher auf die Konfiguration der integrierten Designpakete in Windows 7 ein. Sie werden über das bereits erwähnte Fenster zur Konfiguration der Oberfläche angesteuert.

4

Einzeln können hier die folgenden Komponenten angepasst werden: 왘 Fensterfarbe- und -darstellung 왘 Desktophintergrund 왘 Sounds 왘 Bildschirmschoner

Fensterfarbe Für das Aussehen der Oberfläche sind die beiden Funktionen Desktophintergrund und Fensterfarbe zuständig. Sie können einstellen, welche Farben die Fenster haben sollen, ob diese transparent sein sollen, und eigene Farbmischungen kreieren. Auch die detaillierte Transparenz der Fenster kann an dieser Stelle angepasst werden. Alle Einstellungen, die Sie an dieser Stelle vornehmen, werden sofort angewendet. Abbildung 4.5 Auswahl der Fensterfarbe für ein Aero-Design

181


Wenn Sie das Kontrollkästchen Transparenz aktivieren abschalten, werden die Fensterrahmen nicht mehr transparent angezeigt. Windows entfernt selbst das Häkchen, wenn die Hardware des PC keine Transparenz unterstützt. Wenn Sie das Häkchen selbst wieder manuell setzen, wird zwar kurzzeitig unter Umständen die Transparenz aktiviert, diese jedoch von Windows 7 anschließend selbstständig wieder deaktiviert, um die Stabilität des Systems nicht zu gefährden. Das in Abbildung 4.5 gezeigte Dialogfeld wird nur dargestellt, wenn Sie ein Windows Aero-Design aktivieren. Bei der Auswahl eines der Basisdesigns erscheint das von den Vorgängerversionen bekannte Dialogfeld Fensterfarbe und -darstellung. Abbildung 4.6 Konfiguration der Desktopeinstellungen für ein Basisdesign

Desktophintergrund Auch auf Unternehmens-PCs spielt die Auswahl eines Hintergrundbildes eine wichtige Rolle; sei es für PCs auf Messen oder Veranstaltungen, aber auch auf den Arbeitsstationen der Mitarbeiter. Die Arbeit mit einem schönen Hintergrundbild ist auch für Profis wesentlich angenehmer, als nur auf einen eintönigen Bildschirm zu sehen, wenn man zwischen Anwendungen wechselt. Mithilfe der Option Desktophintergrund im Anpassungsfenster können Sie einstellen, welches Hintergrundbild verwendet werden soll. Dazu stehen Ihnen verschiedene hochauflösende Bilder zur Verfügung. Sie können den Desktop aber auch einfarbig gestalten und die Farbe an dieser Stelle auswählen. Windows 7 ist mit einer ganzen Reihe von Beispielbildern ausgestattet. Weitere Bilder für Windows 7 finden Sie zum Beispiel auf der Internetseite des offiziellen Fotografen der Hintergrundbilder für Windows Vista: www.hamaddarwish.com. Außerdem können natürlich auch eigene Bilder verwendet werden.

182

Benutzeroberfläche

Wenn Sie die Bilddateien in Ihr Windows-Profil kopiert haben, finden Sie dieses im Ordner C:\Benutzer\ bzw. in der Bibliothek Bilder. Nähere Informationen zur Anwendung von Bibliotheken finden Sie im Abschnitt 4.4.4 ab Seite 213. Wenn Sie die Beispielbilder von Windows verwenden wollen, finden Sie diese im Verzeichnis C:\Benutzer\Öffentlich\Öffentliche Bilder\Beispielbilder. Wie bereits bei den Vorgängerversionen kann die Bildposition angepasst und das Bild beispielsweise zentriert werden. Bei einem zentrierten Hintergrundbild wird dieses in seiner originalen Auflösung dargestellt. Wenn Sie den Monitor in einer höheren Auflösung betreiben, erscheint um das Bild ein Rahmen, da nicht der gesamte Desktop ausgefüllt wird. Hat das Bild eine höhere Auflösung als Ihr PC, wird das Bild nicht komplett dargestellt. Sie können das Bild strecken lassen, damit es sich auf den kompletten Desktop ausstreckt.

4

Abbildung 4.7 Auswählen des Desktophintergrunds in Windows 7

Vielen Anwendern ist es zu eintönig, immer das gleiche Hintergrundbild Regelmäßiger zu verwenden, aber auch zu aufwendig, jedes Mal das Bild über das Menü Wechsel des in Windows zu wechseln. Auch in Unternehmen kann es durchaus sinnvoll Hintergrunds sein, Benutzern das Wechseln von Hintergrundbildern zu erlauben. Mithilfe der Option Bild ändern alle xxx Minuten kann festgelegt werden, wie häufig der Desktophintergrund gewechselt werden soll.

183


Sound Windows kann Ereignisse mit Klängen untermalen, wofür natürlich eine Soundkarte und Lautsprecher erforderlich sind. Ein Ereignis kann eine vom Benutzer ausgeführte Aktion sein, beispielsweise das Anmelden beim Computer oder eine vom Computer ausgeführte Aktion, beispielsweise um auf den Eingang einer neuer E-Mail hinzuweisen. Windows enthält verschiedene Soundschemas (Sammlungen verwandter Sounds) für allgemeine Ereignisse. Ein Klick auf Sounds öffnet die Klangzentrale, in der Sie ein anderes Soundschema wählen oder ein vorhandenes Soundshema ändern können. Welche Klänge ein Soundschema tatsächlich enthält, sehen Sie in der Liste darunter. Klicken Sie auf ein Ereignis, kann der zugewiesene Klang mit der Schaltfläche Testen angespielt werden. Abbildung 4.8 Konfiguration der Windows-Systemklänge

Bildschirmschoner Zwar schonen Bildschirmschoner schon lange keine Bildschirme mehr, trotzdem kann die Verwendung eines Bildschirmschoners sinnvoll sein. Weil Bildschirmschoner automatisch aktiv werden, wenn der Computer eine Zeit lang nicht benutzt wird, erhöhen sie die Sicherheit, sofern sie mit einem Kennwortschutz versehen sind. Das Bildschirmschonerkennwort ist identisch mit dem Kennwort, das für die Anmeldung bei Windows verwendet wird. Um einen Bildschirmschoner zu aktivieren, klicken Sie in dem in Abbildung 4.9 gezeigten Dialogfeld in der Liste Bildschirmschoner auf eine Option und klicken auf OK. Aktivieren Sie dann die Option Anmeldeseite bei Reaktivierung, und legen Sie fest, nach wie vielen Minuten der Bildschirmschoner gestartet werden soll. Die Wartezeit sollte nicht zu lang sein, sodass nicht autorisierte Personen keine Gelegenheit haben, auf Ihren Computer zuzugreifen. Gleichzeitig sollten Sie aber auch keine zu kurze Wartezeit wählen, damit der Bildschirmschoner den Computer nicht sofort sperrt, wenn er nur für einen Moment nicht verwendet wird.

184

Benutzeroberfläche Abbildung 4.9 Auswahl und Konfiguration eines Bildschirmschoners

4

Minianwendungen Abschließend lohnt noch ein Blick auf die integrierten Minianwendungen. In Windows 7 sind bereits einige Minianwendungen (sogenannte Gadgets) enthalten, die das Wetter, aktuelle Börsenkurse aus dem Internet oder RSS-Feeds von Nachrichtenseiten anzeigen. Alle Minianwendungen dienen immer nur einem ganz bestimmten Zweck. Der Anwender kann daher sehr präzise entscheiden, welche Applikationen er angezeigt bekommen will und welche nicht. Alle verfügbaren Minianwendungen werden in der Minianwendungsgalerie aufgelistet und können hier per Doppelklick dem Desktop hinzugefügt werden. Abbildung 4.10 Minianwendungsgalerie

185


Die Windows-Sidebar ist in Windows 7 nicht mehr enthalten. Stattdessen können nun die Minianwendungen auf dem Desktop beliebig positioniert werden.

4.1.3

Konfiguration der Anzeige und des Bildschirms

Hinter der Option Anzeige im Anpassungsfenster des Desktops verbirgt sich eine Reihe von Funktionen zur Anpassung der Anzeige und zur Verbesserung der Lesbarkeit auf dem Bildschirm. So können Sie hier beispielsweise die Auflösung des Bildschirms sowie die Unterstützung für mehrere Bildschirme konfigurieren. Abbildung 4.11 Das Dialogfeld Anzeige bietet eine Reihe wichtiger Funktionen zur Konfiguration der Bildschirmeinstellungen.

Anzeigeeinstellungen und Auflösung Wenn Sie an Ihrem Desktop-PC zusätzlich einen weiteren Monitor anschließen, zum Beispiel am DVI-Eingang, können Sie den Desktop auf einen zusätzlichen Monitor erweitern. Auch Notebook-Anwender können diese Funktion nutzen. So können Sie zum Beispiel auf dem zweiten Bildschirm Outlook öffnen und auf dem ersten Monitor beispielsweise mit Microsoft Word arbeiten. Durch einen zusätzlichen Monitor erreichen viele Anwender eine optimale und effiziente Arbeitsumgebung. So eignen sich zwei 19-Zoll-Monitore deutlich besser zum Arbeiten als ein einzelner 21- oder 22-Zoll-Monitor. Sie können in dem in Abbildung 4.12 gezeigten Dialogfeld durch einfache Bewegung mit der Maus zwischen den Bildschirmen hin und her wechseln und beispielsweise mittels Drag&Drop die Reihenfolge der Monitore bestimmen sowie für jeden angeschlossenen Monitor eine eigene Auflösung wählen.

186

Benutzeroberfläche Abbildung 4.12 Konfiguration der Anzeige von Windows 7 mit mehreren Monitoren

4

Wenn Sie die Schaltfläche Identifizieren anklicken, wird auf jedem Bildschirm die Nummer angezeigt, die Windows diesem zugewiesen hat. Über den Link Erweiterte Einstellungen können Sie darüber hinaus tiefer gehende Systemeinstellungen vornehmen (siehe Abbildung 4.13). Abbildung 4.13 Erweiterte Einstellungen für die Anzeige

Sie erkennen an dieser Stelle die Ausstattung der Grafikkarte und können über die Schaltfläche Eigenschaften die Konfiguration des aktiven Treibers der Grafikkarte konfigurieren. Auf der Registerkarte Treiber wird die Version des aktuellen Treibers angezeigt. Über die Schaltfläche Treiber aktualisieren können Sie einen neuen Treiber für Ihre Grafikkarte installieren.

187


Wenn nach der Installation eines Grafikkartentreibers Probleme auftreten, sollten Sie die Option Vorheriger Treiber verwenden. Dadurch wird der letzte Treiber aktiviert, mit dem das Gerät funktioniert hat. Dieses Vorgehen funktioniert übrigens nicht nur bei Grafikkarten, sondern auch für alle anderen Geräte. Auf der Registerkarte Monitor in den erweiterten Einstellungen der Anzeige wird Ihnen die Bildwiederholrate des Monitors angezeigt. Wenn Sie einen TFT-Monitor verwenden, sind 60 Hertz in der Regel in Ordnung. Beim Einsatz eines herkömmlichen Röhrenmonitors sollten hier aber mindestens 75 Hertz eingestellt sein, besser mehr, da ansonsten viele Anwender bei ihrem Monitor ein Flimmern feststellen. Abbildung 4.14 Eigenschaften des Monitors in den erweiterten Einstellungen

In dem in der Abbildung 4.14 gezeigten Dialogfeld versteckt sich auch die Option Farbtiefe. Achten Sie auch darauf, in den Anzeigeeinstellungen eine 32-Bit-Farbtiefe zu aktivieren, ansonsten werden die Aero-Effekte nicht immer angezeigt.

Desktopsymbole und Schriftgrad ändern Viele Anwender wollen nicht die großen Symbole auf dem Desktop nutzen, die in Windows 7 standardmäßig eingestellt sind. Im Dialogfeld Anzeige kann die Größe der Systemschriften und die der grafischen Elemente allgemeingültig angepasst werden. Dazu verringern Sie die Skalierung für DPI (Dots Per Inch). Je größer die Anzahl der Punkte pro Zoll, desto höher ist die Auflösung. Soll nur die Größe der Symbole auf dem Desktop angepasst werden, ist jedoch eine andere Funktion vorzuziehen. Indem Sie mit der rechten Maustaste auf den Desktop klicken und im daraufhin geöffneten Kontextmenü einen geeigneten Eintrag im Untermenü Ansicht auswählen, kann die Symbolgröße jederzeit einfach geändert werden.

188

Benutzeroberfläche

Noch schneller kann die Größe der Desktop-Symbole mit der Maus angepasst werden. Klicken Sie dazu mit der linken Maustaste auf den Desktop, und halten Sie dann die (Strg)-Taste gedrückt. Mit dem Scrollrad der Maus lässt sich die Größe der Symbole jetzt stufenlos anpassen. Dieser Trick funktioniert auch in so gut wie allen anderen Fenstern in Windows 7, auch innerhalb von Ordnern. Sie können die Symbole für jedes beliebige Programm auf dem Desktop ändern, wenn Sie auf die Schaltfläche Anderes Symbol in den Eigenschaften der Verknüpfung klicken. Die Verknüpfungen der Programme sind die Symbole auf dem Desktop. Wenn Sie ein solches Symbol auf dem Desktop mit der rechten Maustaste anklicken, können Sie über das Kontextmenü die Eigenschaften öffnen. Die meisten Windows 7-Symbole stehen Ihnen zur Verfügung, wenn Sie zur Symbolauswahl die Schaltfläche Durchsuchen anklicken und anschließend die Datei C:\Windows\System32\imageres.dll auswählen.

4

Vor allem Anwender mit Monitoren und Grafikkarten, die hohe Auflösun- Systemschriftart gen unterstützen, stören bei diesen Auflösungen oft die kleinen Schriftar- vergrößern ten auf dem Desktop. Die Größe der Schriften kann ebenfalls im Dialogfeld Anzeige angepasst werden. Dazu lassen sich vordefinierte Werte verwenden oder benutzerdefinierte Einstellungen vornehmen. Abbildung 4.15 Festlegung einer benutzerdefinierten Textgröße

ClearType und Antialiasing Die Option ClearType-Text anpassen im Anzeige-Dialogfeld startet einen Assistenten zur Konfiguration der Kantenglättung durch ClearType. Dahinter verbirgt sich das eigenständige Programm ClearType-Tuner, das auch mithilfe des Befehls cttune.exe gestartet werden kann. ClearType dient dazu, Computerschriftarten klar und mit geglätteten ClearType Kanten anzuzeigen. Bildschirmtext kann mithilfe von ClearType detaillierter dargestellt werden und ist daher über einen längeren Zeitraum besser zu lesen, da die Augen nicht belastet werden. Jedes Pixel in einer Schriftart besteht aus drei Teilen: Rot, Blau und Grün. ClearType verbessert die Auflösung, indem die einzelnen Farben im Pixel aktiviert und deaktiviert werden. Ohne ClearType muss das gesamte Pixel aktiviert oder deaktiviert werden. Durch diese genauere Steuerung der Rot-, Blau-

189


und Grünanteile eines Pixels kann die Deutlichkeit auf einem LCD-Monitor deutlich verbessert werden. ClearType nutzt die Besonderheit der LCD-Technologie, bei der sich Pixel an einer festen Position befinden, indem Teile des Pixels aktiviert und deaktiviert werden. Daher funktioniert ClearType auf einem CRT-Monitor nicht auf die gleiche Weise, da in einem CRT-Monitor ein Elektronenstrahl verwendet wird, um Pixel anzuregen oder zu bewegen, anstatt die Pixel an festen Positionen zu belassen. Dennoch kann der Einsatz von ClearType die Deutlichkeit auf CRT-Monitoren verbessern, da die gezackten Kanten der einzelnen Buchstaben durch ClearType geglättet werden. Dies wird als Antialiasing bezeichnet. ClearType ist in Windows 7 standardmäßig aktiviert. Wird ClearType ausgeschaltet, verwendet Windows die klassische Schriftenglättung. Der in Windows 7 integrierte ClearType-Tuner ermöglicht es, die Schriftenglättung auf die vorhandene Hardware und Ihr persönliches Empfinden abzustimmen. Dazu stellt der Tuner zuerst die optimale Bildschirmauflösung ein und stellt dann verschiedene Textbeispiele zur Auswahl. Durch das Feedback kann ClearType erkennen, welche Geometrie die Hardware verwendet, und die Schriftenglättung optimal abstimmen. Abbildung 4.16 Ein Assistent hilft, die optimale ClearType-Einstellung zu finden.

Vor allem die Schriftarten Constantia, Cambria, Corbel, Candara, Calibri und Consolas werden mit ClearType optimal dargestellt.

190

Startmenü

4.2

Startmenü

Zu den wichtigsten Benutzerschnittstellen unter Windows 7 zählt sicherlich das Startmenü. So sind beispielsweise alle installierten Programme im Startmenü zu finden. Sie können durch die Programme navigieren bzw. ein Programm starten, indem Sie mit der Maus auf die Verknüpfung klicken, es ist kein Doppelklick notwendig. Bei den am häufigsten benötigten Programmen, die wie bisher in einer kurzen Übersicht angezeigt werden, sind unter Windows 7 nun oft verwendete Funktionen oder zuletzt geöffnete Dateien mit einem Klick auf einen kleinen Pfeil am jeweiligen Eintrag zugänglich.

4

Das Startmenü besteht aus fünf Bereichen, die einzeln anpassbar sind: 왘 Programmbereich mit den zuletzt verwendeten Programmen 왘 Alle Programme – ermöglicht Zugriff auf alle installierten Anwendungen 왘 Suchfeld für die Volltextsuche 왘 Systembereich – ermöglicht Zugriff auf die wichtigsten WindowsFunktionen 왘 Ausschaltoptionen Abbildung 4.17 Das Startmenü in Windows 7

Wenn Sie auf das Benutzersymbol klicken, kommen Sie direkt zur Einstellung der Benutzerkonten in der Systemsteuerung. Jeder Bereich des Startmenüs bietet ein eigenes Kontextmenü an, das alle spezifischen Funktionen für den gewählten Bereich bereitstellt.

191


Wenn Sie es zum Beispiel gewohnt sind, die Option Arbeitsplatz zum Erreichen der Systemeigenschaften zu verwenden, können Sie hierfür den Menübefehl Computer, der unter Windows 7 dem Arbeitsplatz von Windows XP entspricht, verwenden. Im Kontextmenü von Computer in der Startleiste finden Sie alle Optionen, die Sie bisher auch über Arbeitsplatz erreichen konnten. Abbildung 4.18 Kontextmenü einzelner Bereiche im Startmenü

Anwender früherer Windows-Versionen werden möglicherweise die Schnellstartleiste für den schnellen Zugriff auf ausgewählte Anwendungen vermissen. Diese existiert unter Windows 7 nicht mehr. Stattdessen können Anwendungen auf der Taskleiste verankert werden. Öffnen Sie beispielsweise das Kontextmenü eines Anwendungssymbols im Startmenü, haben Sie die Möglichkeit, das Programm an die Taskleiste anzuheften. Wählen Sie in diesem Fall im Kontextmenü den Eintrag An Taskleiste anheften aus (siehe Abbildung 4.19). Abbildung 4.19 Kontextmenü einzelner Bereiche im Startmenü

4.2.1

Ausschaltoptionen

Zu den wichtigsten Bereichen des Startmenüs gehört sicherlich das Menü Herunterfahren. Abbildung 4.20 Die Ausschaltoptionen in Windows 7

192

Startmenü

Hier stehen die folgenden Möglichkeiten zur Verfügung: 왘 Benutzer wechseln – Bei der Auswahl dieses Befehls bleibt die derzeitige Sitzung ganz normal aktiv, es erscheint aber ein weiteres Fenster zur Benutzeranmeldung. An dieser Stelle kann sich jetzt ein weiterer Anwender am PC anmelden. Der neue Anwender verwendet seine eigene Sitzung, und es kann jederzeit wieder zur anderen Sitzung gewechselt werden, da diese nicht abgemeldet wurde. 왘 Abmelden – Mit diesem Befehl wird der derzeitige Benutzer vom PC abgemeldet, und es erscheint ein Anmeldefenster, über das sich ein Benutzer anmelden kann, um mit dem PC zu arbeiten. Diese Option ist sinnvoll, wenn sich mehrere Anwender einen PC teilen. 왘 Sperren – Dieser Befehl sperrt den Computer. In diesem Fall bleibt der derzeitig angemeldete Benutzer weiterhin angemeldet, alle Programme bleiben gestartet, aber man kann erst wieder arbeiten, wenn das Kennwort des Anwenders eingegeben oder der PC neu gestartet wird. Sie können den PC auch über die Tastenkombination (Ä)+(L) sperren. 왘 Neu starten – Nach Auswahl dieses Befehls wird der PC neu gestartet. Der Benutzer wird also abgemeldet, der PC fährt herunter und startet kurz darauf automatisch wieder neu. 왘 Energie sparen – Mit dieser Option wird der Rechner in den Energiesparmodus versetzt. Der PC ist dabei allerdings nicht vollkommen ausgeschaltet, der Arbeitsspeicher wird noch mit Strom versorgt. Beim Starten des PC muss nicht erst neu gebootet werden, sondern der Zustand beim Beenden wird sehr schnell wiederhergestellt. Es kommt keine Zwischenfrage mehr, sondern die Aktion wird sofort durchgeführt. 왘 Ruhezustand – Bei Auswahl dieses Befehls wird der Inhalt des Arbeitsspeichers auf die Festplatte gespeichert und der PC ausgeschaltet. Im Gegensatz zum Energiesparmodus wird der PC tatsächlich komplett ausgeschaltet. Aus dem Ruhezustand wird der PC schneller wieder zum aktuellen Stand beim Speichern zurückgeführt als bei einem Neustart. 왘 Herunterfahren – Beim Auswählen dieser Option wird der PC heruntergefahren und bei aktueller Hardware auch automatisch ausgeschaltet. Bei aktuellen PCs und Notebooks fährt der Rechner auch herunter, wenn Sie einmal auf den Ausschaltknopf drücken. Wenn Sie den Knopf länger gedrückt halten, wird der PC ausgeschaltet, ohne Windows herunterzufahren. Sie sollten den PC aber nur ausnahmsweise auf diese Weise ausschalten, wenn er nicht mehr reagiert.

4

Die standardmäßig vorhandene Schaltfläche Herunterfahren kann gegen eine andere Funktion ersetzt werden. In den Eigenschaften von Startmenü ist es möglich, die Standardaktion für Beenden beispielsweise auf Energie sparen oder Sperren zu ändern.

193

Kapitel 4 Konfiguration der Benutzerschnittstellen Alternative: Shutdown.exe

Zum Herunterfahren und Neustarten können Sie auch den Befehl shutdown.exe verwenden. Die wichtigsten Optionen des Shutdown-Befehls sind: 왘 /i – Zeigt eine grafische Benutzeroberfläche an. Dies muss die erste Option sein. 왘 /l – Meldet den aktuellen Benutzer ab. Diese Option kann nicht zusammen mit den Optionen /m oder /d verwendet werden. 왘 /s – Fährt den Computer herunter. 왘 /r – Fährt den Computer herunter und startet ihn neu. 왘 /a – Bricht das Herunterfahren des Systems ab. 왘 /p – Schaltet den lokalen Computer ohne Zeitlimitwarnung aus. Kann mit den Optionen /d und /f verwendet werden. 왘 /h – Versetzt den lokalen Computer in den Ruhezustand. 왘 /m \\ – Legt den Zielcomputer fest. 왘 /t xxx – Stellt die Zeit vor dem Herunterfahren auf xxx Sekunden ein. Der gültige Bereich ist von 0 bis 600, der Standardwert ist 30. Die Verwendung von /t setzt voraus, dass die Option /f verwendet wird. 왘 /c "Kommentar" – Kommentar bezüglich des Neustarts bzw. Herunterfahrens. Es sind maximal 512 Zeichen zulässig. 왘 /f – Erzwingt das Schließen ausgeführter Anwendungen ohne Vorwarnung der Benutzer. /f wird automatisch angegeben, wenn die Option /t verwendet wird. 왘 /d [p|u:]xx:yy – Gibt die Ursache für den Neustart oder das Herunterfahren an. p gibt an, dass der Neustart oder das Herunterfahren geplant ist. u gibt an, dass die Ursache vom Benutzer definiert ist. Wenn weder p noch u angegeben ist, ist das Neustarten oder Herunterfahren nicht geplant. Der Shutdown-Befehl kann auch zum Herunterfahren bzw. dem Neustart von Remotecomputern verwendet werden.

Beispiele

Wenn Sie den Befehl shutdown –r –f –t 0 eingeben, fährt der PC sofort herunter. Die Option –f zwingt den PC zum Beenden der laufenden Anwendungen, auch wenn nicht gespeichert wurde. Der Befehl shutdown –s –f fährt den PC herunter und startet ihn nicht neu. Mit dem Befehl shutdown –a kann der aktuelle Vorgang abgebrochen werden, wenn der PC noch nicht mit dem Herunterfahren begonnen hat, sondern die Zeit noch läuft.

4.2.2

Das Startmenü konfigurieren

Darüber hinaus kann auch das Startmenü an die Benutzerbedürfnisse mithilfe der Option Eigenschaften im Kontextmenü von Start angepasst werden. Vor allem den Befehl Ausführen, um beispielsweise die Eingabeaufforderung direkt zu öffnen, werden viele Power-User im Startmenü zunächst vermissen. Diesen Befehl beispielsweise können Sie dem Startmenü hinzufügen, vorausgesetzt Sie verfügen über die entsprechenden Berechtigungen.

194

Startmenü Abbildung 4.21 Hinzufügen des Befehls Ausführen zum Startmenü

4

Über die restlichen Registerkarten in diesem Dialogfeld können Sie das Aussehen der Startleiste anpassen und festlegen, welche zusätzlichen Symbolleisten auf dem Desktop angezeigt werden sollen. Hierbei ist jedoch zu beachten, dass viele Programme auch direkt über Anwendungen im Suchfeld das Suchfeld des Startmenüs gestartet werden können. starten

Abbildung 4.22 Anwendungen starten mithilfe des Suchfeldes im Startmenü

Der Befehl cmd beispielsweise startet eine Eingabeaufforderung, über regedit wird der Registrierungs-Editor gestartet, und auch die anderen Programme können wie gewohnt gestartet werden. Den Teil des Startmenüs, das Sie über Start/Alle Programme erreichen kön- Startmenü im nen, ist eine Sammlung von Verknüpfungen, die in Ordnern dargestellt WindowsExplorer werden. Sie können den Inhalt des Startmenüs auch im Windows-Explorer anpassen und Verknüpfungen erstellen sowie Ordner oder Verknüpfungen umbenennen. Viele Funktionen erreichen Sie zwar grundsätzlich auch direkt über das Startmenü und das Kontextmenü, bequemer ist allerdings oft die direkte Bearbeitung im Windows-Explorer. Das Startmenü setzt

anpassen

195


sich allerdings nicht nur aus einem einzelnen Verzeichnis auf der Festplatte zusammen, sondern aus den beiden Verzeichnissen: 왘 C:\Benutzer\\AppData\Roaming\Microsoft\Windows\ Startmenü 왘 C:\ProgramData\Microsoft\Windows\Startmenü Das Startmenü, das Sie im Windows-Explorer sehen, ist eine gemeinsame Ansicht dieser beiden Verzeichnisse. Wenn Sie also einen Eintrag aus dem einen Verzeichnis löschen, kann der entsprechende Eintrag noch immer im Startmenü angezeigt werden, da dieser noch im anderen Verzeichnis enthalten ist. Damit Sie diese Verzeichnisse angezeigt bekommen, müssen Sie die versteckten Dateien anzeigen lassen. Gehen Sie hierzu folgendermaßen vor: 1. Öffnen Sie, zum Beispiel über Start/Computer, den Windows-Explorer. 2. Klicken Sie auf Organisieren/Ordner- und Suchoptionen. 3. Holen Sie die Registerkarte Ansicht in den Vordergrund. 4. Deaktivieren Sie das Kontrollkästchen Geschützte Systemdateien ausblenden (empfohlen). 5. Aktivieren Sie im Abschnitt Versteckte Dateien und Ordner die Option Ausgeblendete Dateien, Ordner und Laufwerke anzeigen.

4.3

Windows-Taskleiste

Bei keiner anderen Benutzerschnittstelle sind die Neuerungen gegenüber den Vorgängerversionen so augenfällig wie bei der neuen, von Microsoft als Superbar bezeichneten Taskleiste von Windows 7.

4.3.1

Arbeiten mit der Taskleiste

Der wohl größte Unterschied fällt schon beim ersten Blick auf – die Taskleiste ist größer geworden. Dies erleichtert zum einen die Erkennbarkeit der Symbole bei hohen Auflösungen und soll vor allem Benutzern von berührungsempfindlichen Bildschirmen ermöglichen, die Taskleiste mit den Fingern zu bedienen. Durch die etwas größere Darstellung der Symbole und Programmfenster lassen sich diese besser mit den Fingern treffen. Auf Wunsch können die Symbole aber auch in der verkleinerten Darstellung der Vorgängerversionen angezeigt werden. Neuerungen der Superbar

196

Aber auch in ihrer Funktionalität hat die neue Taskleiste deutlich hinzugewonnen. Zu den wichtigsten Leistungsmerkmalen zählen: 왘 Wie bei den Vorgängerversionen werden laufende Anwendungen in der Taskleiste angezeigt. Der Anwender kann mit einem Klick auf das jeweilige Symbol zur gewünschten Anwendung wechseln. 왘 Zugleich übernimmt die Superbar die Rolle der früheren SchnellstartSymbolleiste. Mithilfe der Option An Taskleiste anheften und auch per Drag&Drop können die wichtigsten Anwendungen dauerhaft auf der Taskleiste platziert werden. Das Anheften ist nur durch den Anwender selbst möglich, Programme können dies während ihrer Installation nicht selbst durchführen.

Windows-Taskleiste Abbildung 4.23 Programme an Taskleiste anhaften

왘 Ist ein Programm angeheftet, verbleibt dessen Symbol auch nach dem

Schließen weiterhin in der Taskleiste. Es ist jedoch schon etwas Aufmerksamkeit erforderlich, um zu erkennen, ob der Klick auf ein Symbol zu dem Programm wechselt oder es neu startet. Um die Zustände geladener und nicht geladener Tasks zu unterscheiden, wird das Symbol von einem Rahmen hinterlegt, woran sich erkennen lässt, dass es derzeit aktiv ist. Holt man ein Fenster in den Vordergrund, wird der Symbolhintergrund aufgehellt dargestellt. Verlangt ein Programm die Aufmerksamkeit des Nutzers, blinkt das Symbol zudem in der jeweiligen Farbe. Sind mehrere Fenster der gleichen Software geöffnet, werden diese gruppiert angezeigt. Normalerweise wird dazu ein Mehrfachrahmen hinter das jeweilige Symbol gelegt, um so zu verdeutlichen, dass tatsächlich mehrere Fenster geöffnet sind.

4

Abbildung 4.24 Laufende Anwendungen erscheinen 왘 Die Superbar-Icons können per Maus beliebig sortiert und verscho- neben Programmben werden. Dies gilt sowohl für dauerhaft angeheftete Programm- Favoriten

Favoriten als auch für laufende Programme.

왘 Die Instanzen bzw. Fenster einer Anwendung erscheinen beim Mouse

over (ohne Klick) auf das Symbol als Vorschaufenster. Fährt man dann über die Vorschaubilder, kann man die geöffneten Fenster bei Bedarf schließen oder spezielle Funktionen des jeweiligen Programms nutzen. 왘 Alle weiteren Fenster werden beim Mouse over auf ein Vorschaufenster ausgeblendet. Dazu kommt die Funktion Aero Peek zum Einsatz. Aero Peek ist eine neue Funktion der Aero-Oberfläche. Sie blendet die Inhalte der Programmfenster aus, zeigt aber ihre Rahmen an der bestehenden Position weiter an. Dadurch wird der Blick auf den Desktop frei. Der kleine Balken ganz rechts in der Taskleiste minimiert ebenfalls alle Fenster und gibt den Blick auf den Desktop frei. 왘 Die Arbeit mit dauerhaft angehefteten Symbolen wird durch zwei sehr nützliche Tastenkombinationen unterstützt: 왘 (ª)+Mausklick auf das Superbar-Icon startet eine neue Instanz der angeklickten Anwendung. 왘 (ª)+(Strg)+Mausklick auf das Superbar-Icon startet eine neue Instanz mit Administratorrechten. 왘 Jede Anwendung der Superbar bietet ein erweitertes Kontextmenü. Diese als Sprungliste (engl. Jumplist) bezeichnete Liste erscheint nach einem Klick mit der rechten Maustaste auf das Tasksymbol. Alternativ

197


kann man mit gedrückter linker Maustaste das Symbol festhalten und die Maus nach oben bewegen. Der Inhalt einer Jumplist hängt vom gewählten Programm ab. Manchmal bieten sie auch den Schnellzugriff auf Befehle für Aufgaben wie das Verfassen neuer E-Mail-Nachrichten oder das Wiedergeben von Musik. In der Jumplist für Internet Explorer 8 werden beispielsweise häufig besuchte Websites angezeigt, und der Windows Media Player 12 enthält häufig abgespielte Musiktitel. Außerdem können dort beliebige Dateien angeheftet werden. Abbildung 4.25 Sprunglisten bieten einen schnellen Zugriff auf häufig benutzte Dateien oder Links.

왘 Bei einigen Tasks dient die Superbar als Fortschrittsanzeige. Hierzu

füllt sich das Tasksymbol mit Farbe, beispielsweise bei Kopieraktionen mit dem Windows-Explorer oder bei Downloads über den Internet Explorer. Lädt man zum Beispiel eine Datei mit dem Internet Explorer herunter, füllt sich der Rahmen langsam mit einem grünen Balken, der erkennen lässt, wie weit der Download vorangeschritten ist. Die meisten der beschriebenen Funktionen setzen die Aero-Desktopeffekte voraus. Ist Aero abgeschaltet, zeigt Windows beispielsweise anstelle der Live-Vorschau nur ein Menü mit der Liste der aktiven Fenster wie bei den Vorgängerversionen an.

4.3.2

Taskleiste konfigurieren

Natürlich können das Aussehen und das Verhalten der Taskleiste angepasst werden. Bei Bedarf lässt sich beispielsweise auch die Abschaltung der Aero-Effekte erzwingen. Statt transparent zu erscheinen, haben Fenster und die Taskleiste in diesem Modus eine vollflächige Füllung. Über das Kontextmenü können Sie die Eigenschaften der Taskleiste aufrufen. Auf der Registerkarte Taskleiste steht eine Reihe nützlicher Optionen zur Verfügung. So ist es beispielsweise möglich, die Fixierung der Taskleiste aufzuheben. Ist diese Option aktiviert, können die Größe und die Position der Taskleiste sowie die der Symbolleisten nicht verändert werden. Möchten Sie die Größe oder die Position der Taskleiste oder die der Symbolleisten anpassen, muss dieser Punkt zunächst deaktiviert werden. Weiterhin kann festgelegt werden, ob die Programmsymbole gruppiert werden sollen. Bei Aktivierung dieser Option werden zum Beispiel alle

198

Windows-Taskleiste

geöffneten Fenster nicht mehr als eigenes Symbol angezeigt, sondern als ein Symbol, das darstellt, dass mehrere Instanzen momentan geöffnet sind. Abbildung 4.26 Konfiguration der Taskleiste

4

Am rechten (oder je nach Position auch unteren) Rand der Taskleiste befin- Infobereich det sich der Infobereich mit seinen zahlreichen Symbolen. Diese informie- konfigurieren ren beispielsweise über den Zustand des Akkus und der Netzwerkverbindungen oder informieren über eingegangene Mails in Outlook. Abbildung 4.27 Dialogfeld zur Konfiguration des Infobereichs der Taskleiste

Der Infobereich konnte schon unter Vista so konfiguriert werden, dass nur noch die wirklich relevanten Symbole erscheinen. Die Superbar bietet hierzu

199


erweiterte Filtermöglichkeiten. Man hat nun die Möglichkeit, für jedes einzelne Symbol genau festzulegen, ob es angezeigt oder versteckt werden soll. Dabei trennt Microsoft systemeigene Symbole von denen zusätzlicher Programme. Im Dialogfeld Infobereichsymbole können Sie bestimmen, welche Elemente im Infobereich neben der Uhr eingeblendet werden. Symbolleisten konfigurieren

Über die Registerkarte Symbolleisten können Sie die vorhandenen Symbolleisten einblenden lassen, aber auch eigene neue Symbolleisten erstellen.

Abbildung 4.28 Auswahl der Symbolleisten, die innerhalb der Taskleiste angezeigt werden sollen

4.4

Windows-Explorer

Der Windows-Explorer ist noch immer die Schaltzentrale von Windows zur Navigation innerhalb von Verzeichnissen und zur Verwaltung von Dateien. Und dank einiger neuer nützlicher Funktionen wird die Arbeit mit dem Windows-Explorer unter Windows 7 deutlich vereinfacht. Alle Neuerungen vorzustellen würde den Rahmen dieses Buches sprengen, weshalb sich die nachstehenden Abschnitte auf die wichtigsten Bereiche und Aufgaben des Windows-Explorers konzentrieren.

4.4.1

Windows-Explorer starten

Es mag merkwürdig anmuten, dem Start einer Anwendung einen ganzen Abschnitt zu widmen. Da aber der Windows-Explorer nicht nur als Befehl im Startmenü vertreten ist, sondern über eine Vielzahl unterschiedlicher Varianten mit unterschiedlicher Ansicht geöffnet werden kann, lohnt ein Blick auf die verschiedenen Möglichkeiten. Die am meisten verbreiteten Varianten zum Öffnen des Windows-Explorers sind folgende: 왘 Klicken Sie mit der rechten Maustaste auf das Symbol des Startmenüs, und wählen Sie im Kontextmenü die Option Windows-Explorer öffnen. Der Windows-Explorer öffnet sich und zeigt die persönlichen Bibliotheken des Benutzers in der Übersicht. 왘 Sie können den Windows-Explorer auch starten, indem Sie im Suchfeld des Startmenüs den Begriff Explorer eingeben und die Auswahl Windows-Explorer bestätigen. 왘 Außerdem lässt sich der Windows-Explorer öffnen, indem Sie einen der möglichen Befehle im Startmenü verwenden. Der gesamte obere Bereich der rechten Spalte des Startmenüs startet den Windows-Explo-

200

Windows-Explorer

rer in unterschiedlichen Ansichten. So öffnet beispielsweise ein Klick auf den Benutzernamen den persönlichen Ordner des Benutzers. 왘 Mit der Tastenkombination (Ä)+(E) wird der Explorer in der Computeransicht geöffnet. 왘 Unter Windows 7 kann der Windows-Explorer auch aus der Taskleiste heraus geöffnet werden, denn dort ist er standardmäßig angeheftet (wie Sie Programme an die Taskleiste anheften können, erfahren Sie im Abschnitt 4.3.1 ab Seite 196. Ist der Windows-Explorer bereits gestartet, genügt es, mit der Maus auf das Explorer-Symbol zu zeigen. In diesem Fall erscheint eine Vorschau sämtlicher geöffneter Explorer-Fenster. 왘 Sie können sich mit einem Klick der rechten Maustaste auf den Desktop und Auswahl von Neu/Verknüpfung eine Verknüpfung zum Windows-Explorer auf dem Desktop anlegen. Geben Sie als Befehlszeile explorer ein.

4

Die Erstellung einer Verknüpfung bietet den Vorteil, dass der Windows- Startoptionen für Explorer mit verschiedenen Startoptionen aufgerufen werden kann. Ver- den Windowsfügbar sind die folgenden Parameter, die auch miteinander kombiniert Explorer werden können: 왘 Explorer – Sie können den Windows-Explorer direkt gefolgt von einem Pfad starten. In diesem Fall öffnet der Windows-Explorer mit dem Fokus auf diesen Pfad. 왘 /n – Öffnet ein neues Einzelfenster für die Standardauswahl. Dies ist in der Regel der Stamm des Laufwerks, auf dem Windows installiert ist. 왘 /e – Startet den Windows-Explorer mit der Standardansicht. 왘 /root, – Öffnet eine Fensteransicht mit dem angegebenen Ordner. 왘 /select, – Öffnet eine Fensteransicht, wobei der angegebene Ordner, die Datei oder das Programm ausgewählt sind. 왘 Explorer /root, C:\Windows – Mit diesem Befehl wird der Ordner C:\ Windows geöffnet und als Stammverzeichnis definiert. Innerhalb dieses Explorer-Fensters kann nicht zu einem übergeordneten Ordner gewechselt werden. Achten Sie in diesem Fall auch auf das Komma nach der Option /root. Beispiele: 왘 Explorer /select, C:\Windows\regedit.exe – Dieser Befehl öffnet den

Explorer im Ordner C:\Windows und markiert die Datei regedit.exe 왘 Explorer /root, \\\, select, einkauf.xls – Durch die

Kombination des Befehls wird als Stammverzeichnis die konfigurierte Freigabe geöffnet und die Datei einkauf.xls automatisch ausgewählt.

4.4.2

Arbeiten mit dem Windows-Explorer

Im folgenden Abschnitt werden die Komponenten und Bereiche des Windows-Explorers im Überblick vorgestellt.

201


Der Navigationsbereich Der Navigationsbereich in der linken Spalte ist das zentrale Element des Windows-Explorers. Der Explorer markiert in diesem Bereich den Ort, den er gerade anzeigt. Andere Orte können direkt durch einen Mausklick angesprungen werden. Abbildung 4.29 Der Navigationsbereich des Windows-Explorers befindet sich an der linken Fensterseite.

Über das kleine Pfeilsymbol können jeweils Unterebenen ein- und ausgeblendet werden. Wenn Sie auf das kleine Dreieck neben einem Ordner einmal mit der linken Maustaste klicken, werden die Unterverzeichnisse angezeigt. Ein weiterer Klick blendet die Unterverzeichnisse wieder aus. Ordner- und Dateiansichten Zur Visualisierung welche Inhalte ein Laufwerk, ein Ordner oder eine Bibliothek enthält, bietet der Windows-Explorer verschiedene Darstellungsmöglichkeiten an. Welche die passende ist, richtet sich vor allem nach dem Inhalt Ihrer Dateien. Und auch die Sortierung der Dateien kann selbstverständlich an die eigenen Erfordernisse angepasst werden.

Um zwischen den möglichen Ansichten umzuschalten, klicken Sie in der Symbolleiste auf das Symbol Ansicht ändern. Jeder Klick auf diese Schaltfläche ändert die Darstellung. Alternativ können Sie das in der Abbildung 4.30 gezeigte Menü öffnen. Abhängig von der gewählten Ansicht eines Ordners können Sie beispielsweise Bewertungen von Dateien im Explorer-Fenster anzeigen lassen und das Fenster nach der Bewertung sortieren oder nach Dateien mit bestimmten Bewertungen suchen lassen. Sie können aber auch benutzerdefinierte Markierungen für Dateien eingeben, nach denen Sie auch suchen können, oder nach diesen sortieren.

202

Windows-Explorer Abbildung 4.30 Auswahl der Ordneransicht

4 Neu ist unter Windows 7 die Ansicht Inhalt. Diese zeigt in einer übersichtlichen zweizeiligen Liste die Dateien mit Dateinamen und Symbol sowie die wichtigsten Dateiinformationen. Die Ansicht wird nach der Spalte sortiert, auf deren Spaltenüberschrift Sie mit der Maus klicken. Wenn Sie öfter auf eine Spaltenüberschrift klicken, wird die Sortierung umgekehrt. Bei Dateinamen würde dann beispielsweise aus einer zunächst alphabetisch aufsteigenden Sortierung (A–Z) eine alphabetisch absteigende (Z–A). Abbildung 4.31 Sortieren innerhalb eines Verzeichnisses

Im Windows-Explorer können Sie auch die Größe der einzelnen Spalten in der Details-Ansicht mit der Maus verändern. Eine Spalte lässt sich automatisch an den längsten darin enthaltenen Eintrag anpassen, indem Sie auf den Spaltentrenner doppelklicken, während der Pfeil zum Vergrößern oder Verkleinern der Spalte angezeigt wird. Dateivorschau anzeigen Eine weitere Möglichkeit der besseren Übersicht ist das Vorschaufenster im Windows-Explorer. Wenn Sie dieses über Organisieren/Layout/Vorschaufenster einblenden lassen, wird auf der rechten Seite des Windows-Explorers eine Vorschau der momentan markierten Datei angezeigt. Sie können die Größe der Vorschau stufenlos erhöhen, wenn Sie

203


den Bereich des Vorschaufensters im Explorer vergrößern. Wenn Sie mit der rechten Maustaste auf das Vorschaufenster klicken, werden die Aufgaben eingeblendet, die Sie mit dieser Datei durchführen können. Bilder können gedreht, ausgedruckt, geöffnet oder als Hintergrundbild festgelegt werden. Abbildung 4.32 Dateiansicht mit aktiviertem Vorschaufenster

Wenn Sie eine Audiodatei markieren, können Sie im Windows-Explorer die vielfältigen Informationen erkennen sowie im Vorschaufenster die Datei abspielen. Sollte bei Ihnen trotz aktiviertem Vorschaufenster keine Vorschau von Dateien angezeigt werden, überprüfen Sie nach Aufruf des Menübefehls Organisieren/Ordner- und Suchoptionen auf der Registerkarte Ansicht, ob das Kontrollkästchen Vorschauhandler im Vorschaufenster anzeigen aktiviert ist. Dateiinformation en hinterlegen und anzeigen

Details von Dateien anzeigen Die Detailansicht im Windows-Explorer zeigt abhängig vom markierten Element detaillierte Informationen über das Verzeichnis, das Laufwerk oder die markierte Datei an. Sie können in diesem Fenster bei Dateien zum Beispiel einen Autor, einen Titel oder ein Thema hinterlegen, nach dem wiederum in der erweiterten Suche gesucht werden kann. Ebenfalls besteht die Möglichkeit, Dateien zu bewerten, indem Sie die Sterne aktivieren, die im Detailfenster angezeigt werden. Auch nach dieser Bewertung kann gesucht werden.

Durch diese Möglichkeit, Dateien bestimmte Markierungen (auch als Tags bezeichnet) ähnlich wie bei MP3-Dateien zuzuweisen, können Dateien in Windows 7 sehr effizient verwaltet werden. Um ein Feld zu pflegen, müssen Sie lediglich mit der Maus auf dieses Feld im Detailfenster klicken. Sie können die Größe dieses Fensters, wie alle Bereiche im Windows-Explorer, anpassen, indem Sie auf den Rand des Bereichs fahren und diesen so groß ziehen, wie Sie ihn haben möchten.

204

Windows-Explorer Abbildung 4.33 Detailfenster im neuen WindowsExplorer

Sie können bei Bildern das Aufnahmedatum ändern oder hinterlegen und per Doppelklick auf das Vorschaufenster die entsprechende Datei öffnen. Abbildung 4.34 Bearbeiten von Dateieigenschaften im Detailfenster

4 Alternativ können Sie die gewünschte Datei markieren und mit der rechten Maustaste die Eigenschaften aufrufen. Hier können Sie auf der Registerkarte Details noch umfangreicher die Daten der Datei anpassen (siehe Abbildung 4.35). Abbildung 4.35 Bearbeiten der Details von Dateien und Markierungen

Damit Sie Daten eingeben können, müssen Sie neben der entsprechenden Eigenschaft in die Spalte Wert klicken. Danach verwandelt sich der entsprechende Bereich in ein Eingabefeld. Die einzelnen Werte können jeweils durch ein Semikolon (;) voneinander getrennt werden. Sie können auch die Markierungen mehrerer Dateien gleichzeitig konfigurieren. Dazu markieren Sie einfach die entsprechenden Dateien und rufen deren Eigenschaften auf. Jetzt können Sie die Werte auf der Registerkarte Details für sämtliche Dateien gleichzeitig anpassen. Auch hier können Sie Dateien mehrere verschiedene Werte zuweisen, die jeweils durch ein Semikolon voneinander getrennt werden. So können einzelne Dateien unterschiedlichen Autoren zugewiesen werden oder mehreren Kategorien, zum Beispiel Urlaub und Urlaub 2009.

205


Sie können die Eigenschaften auch wieder auf den Standardwert des Betriebssystems zurücksetzen lassen. Verwenden Sie dazu den Link Eigenschaften und persönliche Informationen entfernen, den Sie unten auf der Registerkarte Details in den Eigenschaften der Dateien finden.

Navigations- und Auswahlhilfen Die Navigation im Windows-Explorer wird durch zahlreiche Schaltflächen und Leisten erleichtert. Vor- und Zurück-Tasten Oben links im Windows-Explorer-Fenster wer-

den eine Vor- und Zurückschaltfläche eingeblendet. Mit diesen kann zum vorher geöffneten Verzeichnis zurückgewechselt werden. Diese Funktion wurde vom Internet Explorer übernommen und erleichtert deutlich die Navigation. Adressleiste Die Adressleiste zeigt den genauen Standort des derzeitig geöffneten Verzeichnisses an. Sie können entweder direkt auf einen übergeordneten Ordner klicken, um diesen zu öffnen, oder über das kleine Dreieck neben jedem Ordner dessen Unterordner anzeigen und zu diesen navigieren (siehe Abbildung 4.36).

Wenn Sie auf den ersten Pfeil in der Adressleiste klicken, werden Ihnen einige Standardordner des Betriebssystems angezeigt. Abbildung 4.36 Navigation über die Adressleiste im Explorer

Über diese Standardordner können Sie jetzt auch die eigenen Dateien öffnen, die nicht mehr unter dieser Bezeichnung angezeigt werden, sondern als Benutzername des angemeldeten Benutzers. Sie können dadurch im Windows-Explorer zu jeder Zeit in den Stammordner Ihrer persönlichen Dokumente wechseln. Wenn Sie mit der rechten Maustaste auf die Adressleiste klicken, können Sie den derzeitigen Pfad in die Zwischenablage kopieren und in einem anderen Programm wieder einfügen. Mit einem Doppelklick auf den Pfad wechselt die Ansicht in ein Eingabefeld, und Sie können den Pfad manuell eintragen, der im Explorer angezeigt werden soll. Wie beim Internet Explorer kann auch beim Windows-Explorer die Ansicht durch (F5) oder per Klick auf die Aktualisierungsschaltfläche neben der Adressleiste aktualisiert werden (siehe Abbildung 4.37).

206

Windows-Explorer Abbildung 4.37 Ansicht des Explorers aktualisieren

Suchleiste Mit Einführung von Windows Vista hat Microsoft die Suchfunktionen deutlich verbessert. Die erweiterten Suchmöglichkeiten werden ausführlich im Abschnitt 4.5 ab Seite 216 vorgestellt. An dieser Stelle werden daher die Suchfunktionen des Windows-Explorers nur im Überblick behandelt.

Der Windows-Explorer bietet rechts oben ein Suchfeld, in das Sie ein oder mehrere Stichwörter eingeben können. Noch während der Eingabe beginnt der Windows-Explorer mit dem Durchsuchen und zeigt nur noch diejenigen Informationen an, die Ihrem Suchkriterium entsprechen, also alle angegebenen Stichwörter enthalten.

4

Auf diese Weise lässt sich gezielt filtern, wonach gesucht werden soll. Sie können beliebige Suchbegriffe eingeben und festlegen, ob im WindowsExplorer nur nach Dateien oder auch in und nach E-Mails gesucht werden soll. Auch innerhalb von Dateien kann die Windows-Suche nach Informationen recherchieren. Abbildung 4.38 Suchleiste im Windows-Explorer

Standardmäßig sucht der Explorer das eingegebene Suchwort in sämtlichen verfügbaren Kriterien eines Dokuments, also im Dateinamen, im Dateiinhalt und in den sogenannten Metadaten wie Autorenname oder Datum der letzten Änderung. Hilfreich ist, dass die gefundenen Suchwörter in der Ergebnisliste markiert werden. Um die Menge der Suchergebnisse einzuschränken, können Suchfilter verwendet werden. Damit kann beispielsweise die Suche auf ausgewählte Dokumenttypen begrenzt werden. Dabei ist der Einsatz von Suchfiltern sehr einfach, da der WindowsExplorer standardmäßig zum Stichwort passende Suchfilter vorschlägt. Abbildung 4.39 Das Suchfeld zeigt standardmäßig passende Suchfilter.

Das Dialogfeld zeigt je nach ausgewähltem Filter unterschiedliche Auswahlmöglichkeiten an. Soll beispielsweise nach einem Dokument gesucht werden, das an einem bestimmten Tag erstellt wurde, ist der Filter Ände-

207


rungsdatum zu verwenden. Der Explorer blendet jetzt ein Kalenderblatt ein, in dem das gewünschte Datum gewählt werden kann. Dynamische Menüleiste Seit Windows Vista verfügt der Windows-Explo-

rer über eine dynamische Menüleiste des Explorers. Diese zeigt – abhängig vom Inhalt des Ordners – jene Menübefehle an, die zum Inhalt des Ordners passen. Die Befehle Organisieren, und Brennen werden immer angezeigt, die anderen sind dynamisch und abhängig vom Ordnerinhalt. Wird beispielsweise der Ordner Bibliotheken ausgewählt, ändern sich die Befehle in der Symbolleiste. Jetzt könnten Sie per Klick auf Neuer Ordner einen neuen Ordner anlegen oder den Inhalt der ganzen Bibliothek (oder eines markierten Ordners) mit einem Klick auf Brennen auf eine CD-ROM oder DVD brennen. Über den Menübefehl Organisieren können die wichtigsten Aufgaben für Windows-Ordner ausgewählt werden, wie Sie in Abbildung 4.40 erkennen können. Abbildung 4.40 Die Menüleiste von Windows 7 ist kontextsensitiv.

Die Menüleiste, mit der noch unter Windows XP oder Windows 2000 im Windows-Explorer Aktionen ausgelöst wurden, wird standardmäßig nicht mehr angezeigt. Sie können diese jedoch über Organisieren/Layout/Menüleiste ebenfalls anzeigen lassen. Wenn Sie die Menüleiste nicht dauerhaft einblenden wollen, sondern nur dann, wenn Sie sie benötigen, können Sie diese mit der (Alt)-Taste aktivieren. Sobald Sie wieder in das Explorer-Fenster wechseln oder nochmals die (Alt)-Taste drücken, wird die Menüleiste wieder deaktiviert. Linkfavoriten Ebenfalls hilfreich ist der Bereich Favoriten (siehe Abbil-

dung 4.41). Hier werden automatisch die Verzeichnisse angezeigt, die am häufigsten verwendet werden. Diese Liste wird automatisch und dynamisch aufgebaut und zeigt Ihnen auf einen Blick die Ordner an, zu denen Sie am häufigsten navigiert sind.

208

Windows-Explorer

Sie können den Inhalt in dieser Ansicht selbst definieren. Wenn Sie einzelne Linkfavoriten nicht verwenden wollen, können Sie mit der rechten Maustaste in den Bereich der Linkfavoriten klicken und den Menüpunkt Link entfernen auswählen. Auf diesem Weg können Sie alle unnötigen Linkfavoriten entfernen. Abbildung 4.41 Linkfavoriten im Windows-Explorer

4 Die Möglichkeit, Linkfavoriten zu verwenden, wird natürlich nur dann richtig sinnvoll, wenn Sie auch selbst bestimmen können, welche Linkfavoriten angezeigt werden. Sie können eigene Ordner auswählen, die in den Linkfavoriten angezeigt werden. Sobald Sie im Explorer auf einen solchen Linkfavoriten klicken, springen Sie sofort zu diesem Ordner, was die Navigation enorm vereinfacht. Um einen Linkfavoriten zu erstellen, navigieren Sie zunächst zu dem Ordner, den Sie als Linkfavoriten festlegen wollen. Im Anschluss klicken Sie mit der linken Maustaste auf den Ordner und ziehen diesen in den Bereich der Linkfavoriten. Im Anschluss wird eine Verknüpfung dieses Ordners in den Linkfavoriten erstellt.

4.4.3

Ansichten des Windows-Explorers anpassen

Der Windows-Explorer lässt sich sehr detailliert an die Bedürfnisse des Anwenders anpassen. Hauptsächlich findet diese Anpassung über das bereits beschriebene Menü Organisieren/Layout statt. Eine etwas detaillierte Möglichkeit, die Ansichten von Ordnern im WindowsExplorer anzupassen, stellt der Menübefehl Organisieren/Ordner- und Suchoptionen dar. Wenn Sie diese Option wählen, wird ein neues Fenster mit drei Registerkarten eingeblendet. Über diese Registerkarten können Sie grundlegende Anpassungen für die Ansicht des Windows-Explorers durchführen (siehe Abbildung 4.42). Auf der Registerkarte Allgemein stehen Ihnen die drei Optionen Ordner Registerkarte durchsuchen, Auswählen von Elementen und Navigationsbereich zur Verfü- Allgemein gung. Hier können Sie folgende Einstellungen vornehmen: 왘 Jeden Ordner im selben Fenster öffnen – Auch diese Option ist standardmäßig aktiviert. Wenn Sie im Windows-Explorer durch verschiedene Ordner navigieren, werden diese immer im gleichen Fenster geöffnet. Durch die Vor- und Zurück-Schaltfläche können Sie zu den bereits besuchten Ordnern wechseln.

209

Kapitel 4 Konfiguration der Benutzerschnittstellen 왘 Jeden Ordner in einem eigenen Fenster öffnen – Wenn Sie diese Option

aktivieren, bleibt die Navigation zunächst gleich. Wenn Sie jedoch im Windows-Explorer auf einen Ordner doppelklicken, öffnet sich ein neues Explorer-Fenster, das diesen Ordner anzeigt. Dadurch erhöht sich die Anzahl der Fenster auf dem Desktop, und Sie können die Vorund Zurück-Schaltfläche nicht mehr uneingeschränkt nutzen, da diese nur innerhalb eines Fensters funktionieren. 왘 Die Optionen im Bereich Auswählen von Elementen sind selbsterklärend. Durch die Auswahl der Option Öffnen durch einfachen Klick muss zum Öffnen einer Datei nicht mehr auf diese doppelgeklickt werden, sondern es genügt, diese einmal anzuklicken, genau wie einen Link im Internet Explorer. Abbildung 4.42 Anpassen der Ordneroptionen im Windows-Explorer

Registerkarte Ansicht

210

Die Registerkarte Ansicht ist die wichtigste Registerkarte, um die Anzeige von Dateien und Ordnern zu konfigurieren. Hier finden Sie eine Vielzahl von Möglichkeiten. Die meisten Optionen sind bereits durch die Erläuterung selbsterklärend. Auf die wichtigsten Optionen geht die folgende Auflistung ein: 왘 Erweiterungen bei bekannten Dateitypen ausblenden – Diese Option ist standardmäßig aktiviert und sollte deaktiviert werden. Wenn diese Option aktiv ist, zeigt Windows keine Dateiendungen an, die im System registriert sind. Der Anwender muss aus dem Symbol erraten, um welche Datei es sich handelt. Sie sollten diese Option deaktivieren, damit Dateiendungen immer angezeigt werden. Wenn die bekannten Dateitypen ausgeblendet werden, schleichen sich auch schneller Viren ein. Ein Virenprogrammierer kann zum Beispiel seine Datei hallo.doc.vbs nennen. Da nur die letzte Endung zählt, wird die Datei als hallo.doc angezeigt und der Anwender damit verleitet, ein scheinbar harmloses WordDokument zu öffnen.

Windows-Explorer 왘 Freigabe-Assistent verwenden (empfohlen) – Wenn Sie diese Option aktivie-

ren, wird bei der Freigabe von Dateien ein Assistent verwendet, der die Möglichkeiten der Berechtigungen stark einschränkt. Vor allem wenn Sie mit den administrativen Freigaben (c$, d$) arbeiten, können über das Netzwerk oft Freigaben nicht geöffnet werden. Wenn Sie planen, Dateien in einem Netzwerk freizugeben, sollten Sie diese Option deaktivieren. 왘 Geschützte Systemdateien ausblenden (empfohlen) – Diese Option ist standardmäßig aktiviert und unterdrückt die Anzeige von Systemdateien im Windows-Explorer. Erst wenn Sie diese Option deaktivieren, werden sämtliche Dateien im Windows-Explorer angezeigt. 왘 Kontrollkästchen zur Auswahl von Elementen verwenden – Wie bereits unter früheren Windows-Versionen können Sie zum Markieren mehrerer Dateien im Windows-Explorer mit der Maus einen Rahmen um die betreffenden Dateien ziehen, die (Strg)-Taste gedrückt halten und die nicht aufeinanderfolgenden Dateien markieren oder die (ª)-Taste gedrückt halten, um mehrere aufeinanderfolgende Dateien zu markieren. Mit Windows Vista ist noch eine weitere Möglichkeit hinzugekommen. Wenn Sie diese Option aktivieren, wird bei jedem Ordner ein kleines Kästchen angezeigt, wenn Sie mit der Maus darüberfahren. Durch dieses Kästchen können Dateien wesentlich effizienter markiert werden (siehe Abbildung 4.43). Vor allem Anwender, die häufiger mehrere, aber nicht alle Dateien in einem Ordner markieren, sollten diese Option aktivieren.

4

Abbildung 4.43 Erweiterte Einstellungen für die Ansicht von Ordnern

왘 Ausgeblendete Dateien, Ordner und Laufwerke anzeigen – Durch Auswahl

dieser Option werden auch die versteckten Dateien angezeigt. Sie müssen diese Option aktivieren, wenn sämtliche Dateien im Windows-Explorer angezeigt werden sollen. Damit auch die Systemdateien angezeigt werden, müssen Sie zusätzlich noch das Kontrollkästchen Geschützte Systemdateien ausblenden deaktivieren. Nur in dieser Kombination erhalten Sie wirklich alle Dateien und Ordner auf Ihrem Rechner angezeigt.

211


Einige Ansichten werden erst dann auf alle Ordner im Windows-Explorer übernommen, wenn Sie die Ansicht mit der Schaltfläche Für Ordner übernehmen aktivieren. Die in diesem Abschnitt besprochenen Optionen werden automatisch auf alle Ordner angewendet, Sie müssen nicht erst die Schaltfläche anklicken. Über die Schaltfläche Wiederherstellen auf den einzelnen Registerkarten können Sie abgeänderte Einstellungen wieder auf den Systemstandard zurücksetzen. Registerkarte Suchen

Auf der Registerkarte Suchen können Sie schließlich festlegen, wie sich die Windows-Suche verhalten soll, wenn Sie im Suchfeld des Explorers oder der erweiterten Suche einen Begriff eingeben.

Abbildung 4.44 Konfiguration der Suche im WindowsExplorer

Wenn Sie häufig Dokumente oder Inhalte in Dokumenten suchen, sollten Sie diese Registerkarte an Ihre Bedürfnisse anpassen. Hier können Sie vor allem anpassen, wo und ob die Suche auch innerhalb von Dateien suchen soll und ob auch Archive wie beispielsweise Zip-Dateien berücksichtigt werden sollen. Was soll durchsucht werden?

Im Bereich Was möchten Sie suchen können Sie festlegen, wie sich die Windows-Suche bezüglich des Inhaltes von Dateien verhalten soll. Standardmäßig ist die Option In indizierten Orten Dateinamen und -inhalte suchen, in nicht indizierten Orten nur Dateinamen suchen aktiviert. Dadurch ist sichergestellt, dass in indizierten Ordnern der eingegebene Suchbegriff nicht nur im Dateinamen auftauchen soll, sondern auch im Inhalt der Datei, sofern dieser von Windows gelesen werden kann. Alternativ können Sie festlegen, dass die Suche auch in nicht indizierten Bereichen nach dem Inhalt suchen soll. Da in diesen Bereichen der Inhalt noch nicht indiziert wurde, dauert die Suche entsprechend länger, da Windows nicht nur nach Dateinamen suchen muss, sondern jede lesbare Datei auch nach dem Inhalt durchforstet werden muss.

212

Windows-Explorer

Im Bereich Wie möchten Sie suchen können Sie einstellen, wie sich die Win- Wie soll gesucht dows-Suche generell verhalten soll. Standardmäßig werden bei der Suche werden? auch Unterordner des aktuellen Ordners durchsucht. Wenn Sie das nicht wollen, können Sie das entsprechende Kontrollkästchen einfach an dieser Stelle deaktivieren. Über die Option Teiltreffer finden können Suchergebnisse angezeigt werden, die nicht exakt der Suche entsprechen, aber Teilüberschneidungen aufweisen. Darüber hinaus können Sie sämtliche Eigenschaften, die für die Feinabstimmung von Suchvorgängen verfügbar sind, auch für Suchen mit natürlicher Sprache verwenden. Der Unterschied ist, dass Sie geläufigere Formulierungen verwenden können. Aktivieren Sie dazu das Kontrollkästchen Unter Verwendung natürlicher Sprache suchen. Im Folgenden sehen Sie einige Beispiele für gängige Suchen mittels natürlicher Sprache: 왘 E-Mail-Nachrichten von Thomas, heute gesendet 왘 Dokumente, die im letzten Monat geändert wurden 왘 Rockmusik, Bewertung: **** 왘 Bewerbungen aus Juli 2009

4.4.4

4

Bibliotheken verwenden

Zu den auffälligsten Änderungen beim Start des Windows-Explorers gehören sicherlich die neu mit Windows 7 eingeführten Bibliotheken. Hinter den sogenannten Bibliotheken (engl. Libraries) verbergen sich virtuelle Ordner, die den Inhalt mehrerer „ echter“ Ordner zusammenfassen können. Diese virtuellen Ordner bzw. Bibliotheken können Inhalte zentral anzeigen, obwohl sie eigentlich an verschiedenen Orten gespeichert sind. Damit können sämtliche Daten zu gewünschten Themen über eine zentrale Schnittstelle erreicht werden, ohne sie aufwendig aus diversen Ordnern zusammentragen zu müssen. Physisch handelt es sich bei den Bibliotheken um XML-Dateien, deren hauptsächlicher Inhalt aus einer Liste der in der Bibliothek enthaltenen Orte besteht. Der Vorteil der Bibliotheken liegt in der zentralen Anzeige von Dateien, die an beliebigen Orten gespeichert sind. Außerdem ist es möglich, Dateien mehreren Bibliotheken zuzuordnen, ohne dass die physische Datei mehrfach vorhanden sein muss. Standardmäßig richtet Windows 7 vier vordefinierte Bibliotheken ein: Die Standard왘 Bilder – Hier können Fotos, Bilder, eingescannte Grafiken etc. abgelegt bibliotheken werden. 왘 Dokumente – Diese Bibliothek ist für Dokumente wie z.B. PowerPointPräsentationen oder Word-Dokumente gedacht. 왘 Musik – Für alle digitalen Musikinhalte 왘 Videos – Spezielle Bibliothek für Videos

213

Kapitel 4 Konfiguration der Benutzerschnittstellen Abbildung 4.45 Die Standardbibliotheken von Windows 7

Wird eine dieser Bibliotheken mit einem Doppelklick geöffnet, so werden die Inhalte dieser je nach Bibliothekentyp unterschiedlich angezeigt. Dokumente werden beispielsweise standardmäßig in einer Liste, Bilder mit einer Vorschau angezeigt. Integrierte Ordner anzeigen

Ist eine Bibliothek geöffnet, wird in der Überschrift angezeigt, aus wie vielen physischen Ordnern der Inhalt stammt. Mit einem Klick auf Orte öffnet sich ein Dialogfeld, das die tatsachlichen Ordner anzeigt, die in dieser Bibliothek zusammengefasst werden. Die Bibliothek Dokumente besteht also beispielsweise standardmäßig aus den Inhalten der Ordner Eigene Dokumente und Öffentliche Dokumente. Die einbezogenen Ordner, die in einer Bibliothek enthalten sind, werden außerdem im Navigationsbereich als Unterordner der Bibliothek aufgeführt.

Abbildung 4.46 Anzeige der in der Bibliothek enthaltenen physischen Ordner

Bibliotheken verwalten Neue Ordner können sehr einfach einer Bibliothek hinzugefügt werden. Hierzu kann entweder die Option In Bibliothek aufnehmen im Kontextmenü des gewünschten Ordners verwendet werden, oder der Ordner wird per Drag&Drop in die gewünschte Bibliothek gezogen. Dabei können in eine Bibliothek Ordner von vielen verschiedenen Orten einbezo-

214

Windows-Explorer

gen werden – beispielsweise Ordner auf dem lokalen Laufwerk, auf einer externen Festplatte oder auf einem Netzlaufwerk. Abbildung 4.47 Ordner können einer Bibliothek sehr einfach hinzugefügt werden.

4 Grundsätzlich ist die Einbeziehung der folgenden Speicherorte in eine Bibliothek möglich: 왘 Lokale Laufwerke 왘 Externe Festplatten (einschränkend sind die Inhalte nur verfügbar, wenn die externe Festplatte angeschlossen ist) 왘 USB-Flashlaufwerk (nur wenn das Gerät im Navigationsbereich unter Computer im Bereich Festplatten angezeigt wird. Dies wird vom Gerätehersteller festgelegt. Außerdem sind die Inhalte nur verfügbar, wenn das Laufwerk angeschlossen ist.) 왘 Netzwerklaufwerke (Voraussetzung ist, dass der Netzwerkpfad indiziert ist oder offline verfügbar gemacht wurde.) Wechselmedium wie beispielsweise CDs oder DVDs können nicht in Bibliotheken einbezogen werden. Möchten Sie einen Speicherort aus einer Bibliothek wieder entfernen, ver- Ordner aus wenden Sie entweder das Dialogfeld zur Verwaltung der Orte einer Biblio- Bibliothek thek, oder Sie klicken im Navigationsbereich des Explorers auf den kleinen entfernen Pfeil vor der Bibliothek und wählen den Ordner aus, den Sie aus der Bibliothek entfernen möchten. Verwenden Sie hier die Option Ort aus Bibliothek entfernen im Kontextmenü des Ordners. Wenn Sie einen Ordner aus einer Bibliothek mit den beschriebenen Optionen entfernen, werden die physischen Dateien und Ordner am Ursprungsort nicht gelöscht. Das Gleiche gilt, wenn Sie eine komplette Bibliothek löschen. Wenn Sie Dateien oder Ordner aus einer Bibliothek jedoch löschen, werden diese auch am ursprünglichen Ort gelöscht. Soll ein Element lediglich aus der Bibliothek (und nicht am eigentlichen Speicherort) entfernt werden, muss die Option Ort aus Bibliothek entfernen verwendet werden. Ähnlich verhält es sich, wenn Sie einen Ordner in eine Bibliothek einbeziehen und den Ordner anschließend am ursprünglichen Ort löschen. Der Ordner ist dann nicht mehr in der Bibliothek verfügbar.

215


Neue Bibliotheken erstellen Zusätzlich zu den vier Standardbibliotheken können jederzeit neue benutzerdefinierte Bibliotheken erstellt werden. Hierzu ist die Option Neu/Bibliothek im Kontextmenü des Ordners Bibliotheken zu verwenden und ein Name für die neue Bibliothek einzugeben. Bevor Dateien in der neuen Bibliothek gespeichert werden können, muss zuerst ein Ordner in die Bibliothek aufgenommen werden. Der erste erstellte Ordner wird automatisch zum Standardspeicherort für die Bibliothek. Der Standardspeicherort wird verwendet, wenn Elemente in die Bibliothek kopiert oder verschoben werden. Der Standardspeicherort und auch der Dateityp, für den eine Bibliothek optimiert ist, können jederzeit in den Bibliothekseigenschaften geändert werden. Abbildung 4.48 Dialogfeld zur Verwaltung der Eigenschaften einer Bibliothek

4.5

Einsatzmöglichkeiten der Windows-Suche

Bereits mit Windows Vista hatte Microsoft eine neue Suchfunktion eingeführt, die weit über die Möglichkeiten der Suchfunktionen der Vorgängerversionen hinausgeht. Mit Windows 7 wurden die Suchfunktionen nochmals erweitert. So unterstützt der Suchdienst nun auch sogenannte Federated Searches und ermöglicht damit, die Suche auf andere Computer, Dateiserver oder Informationsquellen wie den SharePoint Server oder das Internet auszudehnen.

216


4.5.1

Volltextsuche nach Stichwörtern

Eine Suche kann auf unterschiedliche Weise ausgeführt werden. Am einfachsten lässt sich eine Suche mithilfe der allgegenwärtigen Suchleiste durchführen. Sowohl im Startmenü als auch am oberen Rand eines jeden Explorer-Fensters wird die Suchleiste angezeigt. Die Suche wird automatisch gestartet, sobald Sie mit der Eingabe beginnen. Die Suche nach Dateien erfolgt anhand von Text im Dateinamen, von Text Suche im innerhalb der Datei, von Markierungen und von anderen gängigen Datei- Windowseigenschaften, die Sie an die Datei angefügt haben. Hierbei schließt die Explorer-Fenster Suche den aktuellen Ordner und alle Unterordner ein.

4

Noch während der Eingabe filtert beispielsweise im Explorer die Windows-Suche den aktuellen Inhalt und zeigt nur noch diejenigen Informationen an, die Ihrem Suchkriterium entsprechen, also alle angegebenen Stichwörter enthalten. Außerdem werden alle Suchbegriffe, die dem eingegebenen Stichwort entsprechen, gelb hervorgehoben. . Abbildung 4.49 Volltextsuche im Windows-Explorer nach einem Stichwort

Um die Menge der Suchergebnisse einzuschränken, können Suchfilter verwendet werden. Damit kann beispielsweise die Suche auf ausgewählte Dokumenttypen eingeschränkt werden. Dabei ist der Einsatz von Suchfiltern sehr einfach, da der Windows-Explorer standardmäßig zum Stichwort passende Suchfilter vorschlägt. Das Dialogfeld zeigt je nach ausgewähltem Filter unterschiedliche Auswahlmöglichkeiten an. Soll beispielsweise nach einem Dokument gesucht werden, das an einem bestimmten Tag erstellt wurde, ist der Filter Änderungsdatum zu verwenden. Der Explorer blendet jetzt ein Kalenderblatt ein, in dem das gewünschte Datum gewählt werden kann. Die Suche kann auch auf mehrere Suchbegriffe erweitert werden. Geben Sie mehrere Schlüssel-Wert-Paare durch Leerzeichen getrennt an, müssen alle gemeinsam erfüllt sein (eine logische „Und“-Verknüpfung). Soll nur ein Kriterium erfüllt sein, muss zwischen die Schlüssel-Wert-Paare das Wort „ oder“ geschrieben werden (siehe Abbildung 4.50).

217

Kapitel 4 Konfiguration der Benutzerschnittstellen Abbildung 4.50 Suche nach mehreren Stichwörtern

Suche im Startmenü Abbildung 4.51 Volltextsuche im Startmenü nach einen Stichwort

218

Wird eine Suche im Startmenü durchgeführt, verwandelt sich das Startmenü in eine Liste mit in Kategorien unterteilten Suchergebnissen. Am Anfang stehen jeweils die besten Treffer aus jeder Kategorie.


Sortiert werden die Treffen jeweils nach deren Relevanz. Bei Anwendungen und Dateien ergibt sich die Relevanz aus der Verwendungshäufigkeit. Je häufiger Sie also beispielsweise ein Programm starten bzw. je häufiger Sie es verwenden, desto wichtiger wird es eingestuft und umso höher ist seine Relevanz im Suchergebnis. Die Stichwortsuche im Startmenü kann auch verwendet werden, um schnell ein bestimmtes Programm zu starten. Nach der Eingabe des Namens der Anwendung genügt ein Mausklick auf das richtige Suchergebnis, um das Programm zu öffnen. Wenn Sie eine Suche mit mehreren Filtern definieren müssen, können Sie Suchabfragen die erstellte Suche speichern. Die Einstellungen einer gespeicherten Suche speichern müssen bei der nächsten Verwendung der Suche nicht erneut angepasst werden. Es genügt, die gespeicherte Suche zu öffnen, um die neuesten Dateien, die der ursprünglichen Suchanfrage entsprechen, anzuzeigen. Um eine Suche zu speichern, sind folgende Schritte erforderlich: 왘 Führen Sie den gewünschten Suchvorgang aus. 왘 Klicken Sie nach Abschluss der Suche auf der Symbolleiste auf Suche speichern. 왘 Geben Sie im Feld Dateiname einen Namen für die Suche ein, und klicken Sie dann auf Speichern. Abbildung 4.52 Suchabfragen können gespeichert werden.

Die gespeicherte Suche wird im Ordner Suchvorgänge im persönlichen Ordner unter Computer gespeichert. Zusätzlich wird im Favoritenbereich des Navigationsbereichs eine Verknüpfung mit der gespeicherten Suche hinzugefügt.

219

4


4.5.2

Indizierte Suche

Bereits in Windows Vista hat Microsoft die Suche mit einem Suchindex ausgestattet. Mithilfe des Index kann die Suche nach Dateien erheblich beschleunigt werden. Anstatt die ganze Festplatte nach einem Dateinamen oder einer Dateieigenschaft durchsuchen zu müssen, muss Windows lediglich den Index überprüfen, sodass das Ergebnis in einem Bruchteil der Zeit verfügbar ist, die für eine Suche ohne Index benötigt würde. Standardmäßig werden alle in Bibliotheken einbezogenen Ordner (beispielsweise der gesamte Inhalt der Dokumentbibliothek) sowie E-Mails und Offline-Dateien indiziert. Programm- und Systemdateien hingegen werden nicht indiziert.

Ordner zur Indizierung hinzufügen Da standardmäßig alle Bibliotheken indiziert werden, können andere Ordner sehr einfach durch die Aufnahme in eine Bibliothek dem Suchindex hinzugefügt werden. Der Inhalt des entsprechenden Ordners wird dann automatisch indiziert. Dem Index können auch ohne Verwendung von Bibliotheken Elemente hinzugefügt werden. Um das Dialogfeld zur Indexverwaltung zu öffnen, geben Sie am einfachsten den Begriff „Indizierung“ im Suchfeld des Startmenüs ein und wählen anschließend in der Liste die Option Indizierungsoptionen. Ein Dialogfeld öffnet sich, in dessen oberen Teil Sie erkennen können, wie viele Elemente der Suchindex derzeit indiziert hat und ob der Index aktuell ist oder neue Daten indiziert. Im unteren Teil werden die Ordner aufgelistet, die der Suchindex überwacht. Abbildung 4.53 Dialogfeld zur Verwaltung des Suchindex

220


So können Sie einen Indizierungsort hinzufügen oder entfernen: Indizierungsort hinzufügen oder 1. Klicken Sie auf Ändern. entfernen 2. Zum Hinzufügen eines Speicherorts müssen Sie diesen in der Liste Ausgewählte Orte ändern aktivieren und dann auf OK klicken. Klicken Sie auf Alle Orte anzeigen, wenn Ihnen nicht alle Speicherorte auf Ihrem Computer in der Liste Ausgewählte Orte ändern angezeigt werden (siehe Abbildung 4.54). 3. Wenn Sie einen Ordner, jedoch nicht seine Unterordner in den Index einschließen möchten, müssen Sie den Ordner erweitern und dann die Kontrollkästchen sämtlicher Ordner deaktivieren, die Sie nicht indizieren möchten. Diese Ordner werden in der Spalte Ausschließen angezeigt. Abbildung 4.54 Indizierte Orte verwalten

Administratorrechte vorausgesetzt, finden Sie unter Erweitert zusätzliche Den Suchindex Funktionen zur Verwaltung des Suchindex. So können Sie hier beispiels- verwalten weise den Index neu erstellen lassen oder die Standardeinstellungen wiederherstellen. Wichtig sind vor allem die folgenden Optionen: 왘 Verschlüsselte Dateien indizieren – Normalerweise indiziert der Suchindex keine mit EFS (Encrypting File System) verschlüsselten Dateien, da die Anzeige der Schlüsselwörter im Suchindex ein Sicherheitsrisiko darstellen kann. Zwar ist auch der Suchindex verschlüsselt, verwendet aber einen niedrigeren Sicherheitsstandard.

221

4

Kapitel 4 Konfiguration der Benutzerschnittstellen 왘 Indizierungsort – Dieser Eintrag legt fest, wo der Suchindex gespeichert

wird. Ist beispielsweise auf dem angegebenen Laufwerk zu wenig Speicherplatz frei, kann der Suchindex auf ein anderes Laufwerk verschoben werden. Sobald der Suchindex neu gestartet wird, beispielsweise nach einem Neustart, verwendet er den neu angegebenen Ort. 왘 Problembehandlung – Diese Option ist hilfreich, wenn der Suchindex ständig falsche oder unvollständige Ergebnisse liefert. In diesem Fall sollte der Index neu erstellt werden. Bei der Neuerstellung des Index ist zu beachten, dass die komplette Neuerstellung des Index mehrere Stunden dauern kann. Daher ist es sinnvoll, zunächst die Option Problembehandlung für den Suchdienst im Dialogfeld Indizierungsoptionen zu starten. Abbildung 4.55 Indexeinstellungen in den erweiterten Optionen verwalten

Der Suchindex durchsucht nicht jede Datei. Auf der Registerkarte Dateitypen sehen Sie, welche Dateien indiziert werden können. Hier können Sie auch zusätzliche Dateitypen hinterlegen und bestimmen, welche Eigenschaften indiziert werden sollen. Für jeden Dateityp kann festgelegt werden, ob der Index nur seine Eigenschaften (Dateiname, Metadaten) oder auch seinen Inhalt durchsuchen soll.

222

Tastenkombinationen in Windows 7 Abbildung 4.56 In den Index einbezogene Dateitypen

4

4.6

Tastenkombinationen in Windows 7

In diesem Abschnitt finden Sie die wichtigsten Tastenkombinationen zur Bedienung von Windows 7 zusammengefasst.

4.6.1

Tastenkombinationen mit der Windows-Taste

왘 (Ä) – Öffnen oder Schließen des Startmenüs 왘 (Ä)+(Pause) – Anzeigen des Dialogfeldes Systemeigenschaften 왘 (Ä)+(ÿ) – Umschalten zwischen Programmen auf der Taskleiste mit-

hilfe von Windows Flip-3D 왘 (Ä)+(T) – Umschalten zwischen Programmen auf der Taskleiste 왘 (Strg)+(Ä)+(ÿ) – Verwenden der Pfeiltasten zum Umschalten zwi왘

왘 왘 왘 왘 왘 왘

schen Programmen auf der Taskleiste mithilfe von Windows Flip-3D (Ä)+(Leertaste) – Mittels Aero Peek werden alle Fenster durchsichtig, solange Sie die (Ä)-Taste gedrückt halten. Diese Funktion ist neu in Windows 7. (Ä)+(M) – Alle Fenster minimieren (Ä)+(ª)+(M) – Alle minimierten Fenster wiederherstellen (Ä)+(D) – Desktop anzeigen (Ä)+(E) – Öffnen von Computer (Ä)+(F) – Eine Datei oder einen Ordner suchen (Strg)+(Ä)+(F) – Suchen nach Computern (wenn Sie sich in einem Netzwerk befinden)

223

Kapitel 4 Konfiguration der Benutzerschnittstellen 왘 (Ä)+(G) – Umschalten zwischen Sidebar-Minianwendungen 왘 (Ä)+(L) – Computer sperren, wenn dieser mit einer Netzwerkdo-

mäne verbunden ist, bzw. den Benutzer wechseln, wenn dies nicht der Fall ist 왘 (Ä)+(R) – Dialogfeld Ausführen öffnen 왘 (Ä)+(U) – Center für erleichterte Bedienung öffnen 왘 (Ä)+(F1) – Windows-Hilfe anzeigen

4.6.2

Tastenkombinationen für den Internet Explorer

왘 (Strg)+Klicken – Öffnen von Links in einer neuen Registerkarte im

Hintergrund 왘 (Strg)+(ª)+Klicken – Öffnen von Links in einer neuen Registerkarte

im Vordergrund 왘 (Strg)+(T) – Öffnen einer neuen Registerkarte im Vordergrund 왘 (Strg)+(ÿ) oder (Strg)+(ª)+(ÿ) – Umschalten zwischen Register왘 왘 왘 왘 왘 왘

karten (Strg)+(W) – Die aktuelle Registerkarte schließen (oder das aktuelle Fenster, wenn das Browsen mit Registerkarten deaktiviert ist) (Alt)+(¢) – Öffnen einer neuen Registerkarte im Vordergrund aus der Adressleiste heraus (Strg)+(n) (wobei n eine Zahl zwischen 1 und 8 ist) – Wechseln zu einer Registerkarte mit einer bestimmten Nummer (Strg)+(9) – Wechseln zur letzten Registerkarte (Strg)+(Alt)+(F4) – Schließen der anderen Registerkarten (Strg)+(Q) – Schnelle Registerkarten (Miniaturansicht) ein- und ausschalten

4.6.3

Tastenkombination in Windows 7 zur Steuerung des Windows-Explorers und zur Dateiverwaltung

Im folgenden Abschnitt finden Sie die wichtigsten Tastenkombinationen des Windows-Explorers erläutert: 왘 (Strg)+(C) – Kopieren 왘 (Strg)+(V) – Einfügen 왘 (Strg)+(X) – Ausschneiden 왘 (Strg)+(Z) – Rückgängig 왘 (F1) – Hilfe anzeigen 왘 (ª)+(F1) – Kontextbezogene Hilfefunktion aktivieren (Direkthilfe) 왘 (ª)+(F10) – Kontextmenü zum momentan aktiven Element anzeigen 왘 (Leertaste) – Markieren (entspricht einem einfachen Mausklick) 왘 (Esc) – Abbrechen

224

Tastenkombinationen in Windows 7 왘 (Alt) – Menüleiste aktivieren oder deaktivieren 왘 (Alt)+(ÿ) – Nächstes Hauptfenster anzeigen 왘 (Alt)+(Esc) – Nächstes Fenster anzeigen 왘 (Alt)+(Leertaste) – Systemmenü für Fenster anzeigen 왘 (Alt)+(-) – Systemmenü für das aktive untergeordnete Fenster an-

zeigen 왘 (Alt)+(¢) – Eigenschaften anzeigen 왘 (Alt)+(F4) – Aktives Fenster schließen 왘 (Alt)+(F6) – Zum nächsten Fenster innerhalb der Anwendung wech왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘 왘

seln (Alt)+(Druck) – Aktiven Fensterinhalt in die Zwischenablage kopieren (Druck) – Desktop-Inhalt in die Zwischenablage kopieren (Strg)+(Esc) – Schaltfläche Start in der Taskleiste aktivieren (F2) – Umbenennen (F3) – Suchen (Entf) – Löschen (ª)+(Entf) – Datei endgültig löschen (ohne Papierkorb) (Alt)+(Doppelklick) – Eigenschaften anzeigen (Strg)+(F6) – Nächstes untergeordnetes Fenster anzeigen (Strg)+(ÿ) – Nächste Registerkarte oder nächstes untergeordnetes Fenster anzeigen. (F4) – Adressleiste im Windows-Explorer öffnen und Eingabefokus in die Liste setzen (F5) – Anzeige aktualisieren (F6)+(ÿ) – Fokus auf den nächsten Fensterbereich im Windows-Explorer verschieben (Strg)+(Z) – Rückgängig (Strg)+(A) – Alles markieren (æ__) – Zum übergeordneten Ordner wechseln

4

225

5

Benutzerverwaltung

Um Zugriff auf Ressourcen auf einem lokalen Rechner oder einer Domäne zu erhalten, ist ein Benutzerkonto mit eindeutigen Anmeldeinformationen Voraussetzung. Durch ein Benutzerkonto werden die Privilegien des Benutzers festgelegt. Hierbei ist zwischen lokalen Computerkonten und domänenbasierten Konten zu unterscheiden. Bereits mit Windows Vista hatte Microsoft einige Neuerungen im Bereich der Desktop-Benutzerverwaltung eingeführt, die vor allem der Verbesserung der Sicherheit der lokalen Benutzerkonten dienen. Kernkomponente ist die Benutzerkontensteuerung, die eine strikte Trennung von Administrator- und Benutzerkonten ermöglicht. In diesem Kapitel gehen wir auf alle wichtigen Aspekte zur Verwaltung lokaler Benutzer und Gruppen unter Windows 7 ein. In einem Unternehmensnetzwerk aber werden Windows 7-Rechner in der Regel als Clients in einem Active Directory-basierten Netzwerk fungieren und die Benutzer daher über domänenbasierte Konten verfügen. Gerade hier ist eine genaue Kenntnis der Zusammenhänge zwischen lokalen Konten und Gruppen und domänenbasierten Konten und Gruppen für eine erfolgreiche Administration wichtig. Diese Zusammenhänge einschließlich der damit verbundenen Benutzerprofile werden ebenfalls betrachtet.

5.1

Die Benutzerkontensteuerung

Zu den zentralen Benutzerverwaltungsfunktionen gehört die Benutzerkon- User Account tensteuerung (englisch: User Account Control – UAC). Es handelt sich hier- Control – UAC bei um eine Sicherheitsfunktion, die dafür sorgt, dass alle Benutzer Anwendungen und Aufgaben unter einem Standard-Benutzerkonto ausführen, auch wenn sie Mitglied der Gruppe der lokalen Administratoren sind.

227

Kapitel 5 Benutzerverwaltung

Damit werden zwei Problemfelder früherer Windows-Versionen adressiert. Zum einen ist es bei Windows-Versionen vor Windows Vista immer wieder erforderlich, Benutzerkonten der lokalen Gruppe Administratoren als Mitglieder hinzuzufügen, da Benutzer für die Installation, Aktualisierung und Ausführung vieler Anwendungen administrative Rechte benötigen. Das gilt leider auch für einfachste, aber notwendige Aufgaben, wie beispielsweise das Ändern der Systemzeit. Endbenutzern administrative Rechte zu geben, birgt jedoch ein hohes Risiko und sorgt u.a. dafür, dass Computer und Netzwerke verwundbar für Schadsoftware werden. Ersetzt „Ausführen als“

Zum anderen verwenden Administratoren häufig ihr administratives Konto zur Erledigung nicht administrativer Aufgaben. Seit der Veröffentlichung von Windows 2000 gibt es zwar mit der Funktion Ausführen als die Möglichkeit, Anwendungen als Administrator auszuführen, während man als Standardbenutzer angemeldet ist, doch wird diese Möglichkeit vielfach nicht genutzt. Bei Windows 7 werden administrative Aufgaben von normalen Aufgaben getrennt. Damit können Endbenutzer alle wesentlichen Aufgaben erledigen, und Administratoren können die meisten Anwendungen, Komponenten und Prozesse mit eingeschränkten Privilegien erledigen, haben aber gleichzeitig die Möglichkeit, bestimmte Aufgaben oder Anwendungen mit administrativen Rechten auszuführen.

5.1.1

Die Benutzerkontensteuerung im praktischen Einsatz

Der folgende Abschnitt stellt die Leistungsmerkmale der Benutzerkontensteuerung vor.

Der Benutzermodus Hauptziel der Benutzerkontensteuerung ist eine Reduzierung der Angriffsfläche des Betriebssystems. Hierzu arbeiten alle Benutzer als Standardbenutzer. Allerdings haben Standardbenutzer seit Windows Vista erweiterte Privilegien. Zu den Berechtigungen für Standardbenutzer gehören u.a. die folgenden: 왘 Anzeigen der Systemuhr und des Kalenders 왘 Ändern der Zeitzone 왘 Ändern der Anzeigeeinstellungen 왘 Ändern der Energiesparoptionen 왘 Installation von Schriftarten 왘 Installation von Wired Equivalent Privacy (WEP), um eine WLANVerbindung aufzubauen 왘 Installation von Druckern und anderen Geräten, für die ein Treiber im Treiberspeicher vorhanden ist 왘 Einrichten und Konfigurieren von VPN-Verbindungen 왘 Herunterladen und Installieren von Updates

228


Zusätzlich ist es Standardbenutzern möglich, administrative Aufgaben aus- Kein Wechsel des zuführen, sofern sie ein Administratorkonto und dessen Kennwort kennen. Benutzerkontos Administrative Rechte sind beispielsweise in den folgenden Bereichen erforderlich erforderlich: Installation und Deinstallation von Anwendungen und Gerätetreibern, Verwaltung von Benutzerkonten, Systemkonfiguration, Zugriffe auf Systemdateibereiche und Partitionierung der Festplatte. Wenn ein Benutzer versucht, eine Anwendung zu starten, die höhere Rechte erfordert, zum Beispiel eine Softwareinstallation, wird er nach einem administrativen Kennwort gefragt. Wenn er das Kennwort des lokalen Administrators kennt, kann er dieses eingeben. Alternativ kann er den Administrator um Hilfe bitten. Administratoren können letztere Möglichkeit auch ausschalten. In diesem Fall wird der Benutzer lediglich darüber informiert, dass er die gewünschte Aufgabe nicht ausführen darf (siehe hierzu Abschnitt 5.1.2 ab Seite 233). Im Anhebungsdialog (engl. Elevation) wird die Anwendung bzw. die Datei genannt, die den Dialog aufgerufen hat. Über Details anzeigen kann deren Speicherort ermittelt werden.

5 Abbildung 5.1 Anhebungsdialog bei Anforderung administrativer Rechte

-Symbol Für welche Aktionen administrative Rechte erforderlich sind, wird jeweils durch ein Symbol gekennzeichnet. Dieses wird für alle Befehle verwendet, kennzeichnet für die administrative Rechte erforderlich sind, und findet sich im gesam- erforderliche Administratorten Betriebssystem wieder. rechte

229

Kapitel 5 Benutzerverwaltung Abbildung 5.2 Anhand des Sicherheitssymbols ist auf einen Blick erkennbar, welche Funktionen administrative Rechte erfordern.

Die Gruppe Hauptbenutzer Die Gruppe Hauptbenutzer war in den früheren Windows-Versionen dazu da, den Benutzern bestimmte administrative Rechte zu geben. Damit konnte zumindest teilweise vermieden werden, dass Benutzer in die Gruppe der Administratoren aufgenommen werden mussten, nur um bestimmte Aufgaben auszuführen. Mit der Benutzerkontensteuerung wird die Gruppe der Hauptbenutzer nicht mehr benötigt. Standardbenutzer können die meisten normalen Konfigurationsaufgaben ausführen, und ältere Anwendungen, die administrative Rechte benötigen, funktionieren aufgrund der Virtualisierung. Aus Gründen der Abwärtskompatibilität ist allerdings auch in Windows 7 die Gruppe Hauptbenutzer mit eingeschränkten administrativen Rechten verfügbar.

Der Administratormodus Bestätigungsmodus

Administratoren arbeiten bei Windows 7 ebenfalls standardmäßig mit dem Zugriffstoken des Standardbenutzers, d.h., allen Prozessen werden nach der Anmeldung als Administrator zunächst nur die Zugriffsrechte des Standardbenutzers gewährt. Im Hintergrund passiert dabei Folgendes: Meldet sich ein Benutzer an einem Windows 7-Rechner an, erstellt das System ein Zugriffstoken für den Benutzer. Das Token enthält alle erforderlichen Zugriffsinformationen einschließlich eines Security Identifiers (SID). Meldet sich ein Administra-

230


tor am System an, werden zwei Zugriffstoken erstellt: ein Standardbenutzer-Token und ein Administrator-Token. Das Standardbenutzer-Token enthält zwar die gleichen Informationen wie das Administrator-Token, aber ohne administrative Zugriffsrechte und SID. Damit kann das Standardbenutzer-Token nicht zum Start von Anwendungen oder für den Zugriff auf Ressourcen verwendet werden, für die administrative Rechte erforderlich sind. Damit sind auch Benutzer, die im Administratorkontext arbeiten, vor ungewollten Installationen und vor der Ausführung bösartiger Software geschützt. Erfordert die Ausführung eines Programms erhöhte Rechte, wird das nachfolgende Bestätigungsdialogfeld eingeblendet. Im Gegensatz zum Standardbenutzer muss hier der Zugriff nur bestätigt werden, d.h., die Eingabe des Kennwortes entfällt. Dieses Verhalten wird als Bestätigungsmodus (engl. Admin Approval Mode) bezeichnet. Generiert ein Prozess weitere abhängige Prozesse, wird das Zugriffstoken an diese vererbt. Eine erneute Bestätigung ist nicht notwendig, sofern alle Prozesse denselben Integritätslevel besitzen.

5 Abbildung 5.3 Bestätigungsdialog, wenn eine Anwendung erhöhte Rechte benötigt

Anwendungen als Administrator starten In früheren Versionen von Windows gibt es den Befehl Ausführen als, mit dessen Hilfe Standardbenutzer bzw. Benutzer mit eingeschränkten Rechten Anwendungen starten können, die höhere Rechte erfordern, zum Beispiel eine Softwareinstallation. Administratoren, die im Kontext eines Benutzerkontos arbeiten, müssen sich damit nicht erst abmelden und als Administrator neu anmelden. In Windows 7 wurde anstelle des Befehls Ausführen als der neue Befehl Als Administrator ausführen implementiert. Dank der Benutzerkontensteuerung wird man als Administrator diesen Befehl aber wohl nur selten benötigen, da Windows bei Bedarf automatisch zur Eingabe eines Administratorkennworts auffordert. Für einige ältere Programme muss jedoch möglicherweise der Befehl Als Administrator ausführen dennoch verwendet werden, damit Sie sich nicht erst abmelden und erneut anmelden müssen. Zu finden ist der Befehl im Kontextmenü der Anwendung.

231

Kapitel 5 Benutzerverwaltung Abbildung 5.4 Option Als Administrator öffnen im Kontextmenü von Remotedesktopverbindung

Als Alternative zu Als Administrator ausführen kann über die Tastenkombination (Strg)+(ª)+(¢) eine Anwendung mit erhöhten Rechten gestartet werden. Geben Sie zum Beispiel in das Suchfeld des Startmenüs cmd ein, und drücken Sie die Tastenkombination. Danach wird die Benutzerkontensteuerung aufgerufen, das zur Bestätigung auffordert. Das Ausführen von cmd mit erhöhten Rechten ist vor allem nützlich, wenn man auf der Befehlszeilenebene viele administrative Schritte auf einmal ausführen möchte. In diesem Prozess gestartete Programme laufen dann automatisch im Administratorkontext.

Sicherer Desktop Die angezeigten Bestätigungs- und Anhebungsdialoge werden standardmäßig auf dem sogenannten sicheren Desktop angezeigt. Optisch ist dieser dadurch gekennzeichnet, dass alle anderen Fenster in einen abgeblendeten Hintergrund gelegt werden. Nur das Zustimmungsdialogfeld wird in normaler Helligkeit angezeigt. Außerdem ist kein Zugriff auf die anderen Fenster möglich. Hintergrund dieser Maßnahme ist, dass aus Sicherheitsgründen auf dem sicheren Desktop nur Prozesse ausgeführt werden können, die im Kontext System laufen. Damit soll verhindert werden, dass Programme das Bestätigungsdialogfeld grafisch imitieren können, um Kennwörter abzufangen. Mit einer Gruppenrichtlinie kann die Verwendung des sicheren Desktops abgeschaltet werden (siehe hierzu die Gruppenrichtlinien-Erläuterungen im nächsten Abschnitt).

232


5.1.2

Sicherheitslevel der Benutzerkontensteuerung konfigurieren

Seit der Einführung der Benutzerkontensteuerung mit Windows Vista steht diese in der Kritik, Anwender und Administratoren mit viel zu vielen lästigen und zum Teil sogar mehrmaligen Abfragen zu nerven. Und da eine dedizierte Konfiguration unter Windows Vista nicht möglich ist, haben nicht wenige Anwender diese nützliche Sicherheitsfunktion gleich ganz abgeschaltet. Um diesem Problem zu begegnen, hat Microsoft die Benutzerkontensteuerung in Windows 7 gleich an mehreren Stellen angepasst. Zum einen fragt das System standardmäßig sehr viel seltener und nicht gleich mehrfach nach, und zum anderen bietet Windows 7 die Möglichkeit, die Warnstufe einzustellen. Allerdings geht dies auf Kosten der Sicherheit, denn in der Standardeinstel- AutoElevation lung ist UAC so konfiguriert, dass es bestimmte Änderungen automatisch verringert die mit dem Administrator-Token ausführt, ohne dass es einer Bestätigung Sicherheit bedarf (AutoElevation). Dazu verwendet Windows u.a. eine Art Positivliste (Whitelist) von betriebssystemeigenen Komponenten, denen die AutoElevation gestattet ist. Zu den sicheren Verzeichnissen zählen beispielsweise das Anwendungsverzeichnis und der System32-Ordner im Installationsverzeichnis. Auch einige privilegierte Prozesse erhalten automatisch AutoElevateRechte. Allerdings funktioniert die AutoElevation nur, wenn der angemeldete Benutzer über Administratorrechte verfügt, denn für Standardbenutzer gibt es im Hintergrund kein Administrator-Token. Das Problem dabei ist, dass auf diese Weise in vielen Situationen der Effekt von UAC entfällt, auf mögliche gefährliche Änderungen aufmerksam zu machen. Und anders als in der strikten Handhabung von Windows Vista ist es auf diese Weise auch möglich, dass Malware gezielt die neuen Mechanismen ausnutzt, um unbemerkt an administrative Rechte zu gelangen. Aus den genannten Gründen ist dringend zu empfehlen, die Standardeinstellung der Benutzerkontensteuerung zu ändern und die UAC-Einstellungen auf die höchste Stufe (immer benachrichtigen) und damit wieder auf das Niveau von Windows Vista zu bringen. Dazu stellt Microsoft einen Schieberegler zur Verfügung, der die UAC-Einstellungen in vier Stufen verändert oder diese Meldungen komplett deaktiviert. Zu finden sind die Einstellungsmöglichkeiten im Bereich Benutzerkonten Benutzerkontenund Jugendschutz der Systemsteuerung. Der Zugriff auf diesen Bereich steuerung konfierfolgt am schnellsten durch Eingabe von uac im Suchfeld des Startmenüs gurieren und Auswahl der Option Einstellungen der Benutzerkontensteuerung ändern. In dem sich öffnenden Dialogfeld können die Sicherheitseinstellung per Schieberegler eingestellt werden. Standardmäßig ist die zweithöchste Stufe eingestellt.

233

5

Kapitel 5 Benutzerverwaltung Abbildung 5.5 Die Benutzerkontensteuerung sollte auf das höchste Niveau eingestellt werden.

Auswählbar sind die folgenden Einstellungen: 왘 Immer benachrichtigen: Dies ist die sicherste Einstellung. Bei Auswahl dieser Option werden Sie benachrichtigt, bevor von einem Programm Änderungen am Computer oder an den Einstellungen von Windows vorgenommen werden, für die Administratorberechtigungen erforderlich sind. 왘 Nur benachrichtigen, wenn Änderungen an meinem Computer von Programmen vorgenommen werden: Dies ist die Standardeinstellung. Sie werden benachrichtigt, bevor von einem Programm Änderungen am Computer vorgenommen werden, für die Administratorberechtigungen erforderlich sind und wenn von einem Programm außerhalb von Windows versucht wird, Änderungen an einer Windows-Einstellung vorzunehmen. Sie werden jedoch nicht benachrichtigt, wenn Sie Änderungen an Einstellungen von Windows vornehmen, für die Administratorberechtigungen erforderlich sind. 왘 Nur benachrichtigen, wenn Änderungen an meinem Computer von Programmen vorgenommen werden (Desktop nicht abblenden): Bei dieser Einstellung handelt es sich um die gleiche Einstellung wie bei Nur benachrichtigen, wenn Änderungen an meinem Computer von Programmen vorgenommen werden, jedoch erfolgt die Benachrichtigung hier nicht auf dem sicheren Desktop. 왘 Nie benachrichtigen: Da Änderungen am Computer ohne Benachrichtigung erfolgen, ist dies die unsicherste Einstellung. Sie sollte nur in isolierten Testumgebungen verwendet werden. In diesem Fall muss sehr genau darauf geachtet werden, welche Programme ausgeführt werden, da diese den gleichen Zugriff auf den Computer besitzen wie Sie selbst. Programmen wird zudem das Kommunizieren und Übertragen von Informationen über sämtliche Verbindungen ermöglicht, die für den

234


Computer hergestellt werden – einschließlich der Internetverbindung. Außerdem ist bei dieser Einstellung zu beachten, dass Standardbenutzern alle Änderungen, für die Administratorberechtigungen erforderlich sind, automatisch verweigert werden.

Konfiguration mittels Gruppenrichtlinien Eine alternative bzw. erweiterte Konfiguration der Benutzerkontensteuerung ist mithilfe von Gruppenrichtlinien möglich. Beispielsweise kann hier dediziert die Anzeige des Bestätigungsdialogs bei der Installation von Anwendungen ausgeschaltet werden. Zur Konfiguration der Benutzerkontensteuerung gehen Sie wie folgt vor: 1. Öffnen Sie durch Eingabe von gpedit.msc im Suchfeld des Startmenüs den Editor für lokale Gruppenrichtlinien. Hierfür sind administrative Rechte erforderlich. 2. Wählen Sie unter Computerkonfiguration/Windows-Einstellungen den Container Sicherheitseinstellungen. Alternativ können Sie im Suchfeld des Startmenüs den Befehl Sicherheitsrichtlinie oder secpol.msc eingeben. Hiermit wird direkt und ausschließlich der Container Sicherheitseinstellungen geöffnet. 3. Wählen Sie Lokale Richtlinien und anschließend Sicherheitsoptionen.

5

Abbildung 5.6: Sicherheitsrichtlinien zur Konfiguration der Benutzerkontensteuerung

Die Richtlinien zur Steuerung der Benutzerkontensteuerung bieten die nachfolgend beschriebenen Konfigurationsmöglichkeiten. Benutzerkontensteuerung: Administratorbestätigungsmodus für das inte- Richtlinien für grierte Administratorkonto Mit dieser Richtlinie kann der Bestätigungs- die Benutzerkondialog für die Ausführung mit erhöhten Rechten für das integrierte Admi- tensteuerung

nistratorkonto deaktiviert werden. Ist der Bestätigungsmodus deaktiviert, wird das integrierte Administratorkonto im XP-kompatiblen Modus angemeldet, was bedeutet, dass alle Anwendungen und Prozesse mit vollständiger Administratorberechtigung ausgeführt werden. Bemerkenswerterweise ist im Gegensatz zu Windows Vista diese Richtlinie unter Windows 7 standardmäßig deaktiviert.

235

Kapitel 5 Benutzerverwaltung Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen Mithilfe dieser Richtlinie kann die Benutzerkon-

tensteuerung für die administrativen Konten aktiviert bzw. deaktiviert werden. Ist der Bestätigungsmodus deaktiviert, werden alle Administratorkonten im XP-kompatiblen Modus angemeldet, was bedeutet, dass alle Anwendungen und Prozesse mit vollständiger Administratorberechtigung ausgeführt werden. Damit diese Richtlinie wirksam wird, muss der Rechner neu gestartet werden. Diese Richtlinie ist standardmäßig aktiviert. Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte Rechte einfordern Eine Installation wird über heuristische

Erkennungsmechanismen von Windows 7 erkannt, und der Anhebungsdialog zur Eingabe des Administratorkennwortes wird bei Verwendung eines Standardbenutzerkontos angezeigt. Wird diese Option deaktiviert, schaltet Windows 7 die automatische Erkennung ab. Anwendungen werden sich dann möglicherweise mit dem Hinweis melden, dass Administratorrechte zur Ausführung nötig sind, und die Installation verweigern. In Unternehmen, in denen automatisierte Verfahren zur Bereitstellung von Anwendungen verwendet werden, sollte diese Richtlinie deaktiviert werden. Standardmäßig ist die Richtlinie aktiviert. Benutzerkontensteuerung: Bei Eingabeaufforderung nach erhöhten Rechten zum sicheren Desktop wechseln Mit dieser Richtlinie wird bestimmt,

ob die Anforderung erhöhter Rechte als Fenster auf dem interaktiven Benutzerdesktop oder auf dem sicheren Desktop angezeigt wird. Standardmäßig ist die Richtlinie aktiviert, d.h., alle Anforderungen nach erhöhten Rechten werden auf dem sicheren Desktop angezeigt. Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren Diese Sicherheitseinstellung ermög-

licht es, Legacy-Anwendungen in virtualisierte geschützte Speicherbereiche der Registrierung und des Dateisystems zu schreiben. Durch die Virtualisierung wird das Ausführen von Legacy-Anwendungen möglich, die anderenfalls nicht im Kontext eines Standardbenutzers ausgeführt werden könnten. Werden nur Windows 7-kompatible Anwendungen ausgeführt, kann diese Funktion deaktiviert werden. In diesem Fall wird für Anwendungen, die Daten in geschützte Speicherorte schreiben wollen wie in vorherigen Windows-Versionen auch, ein Fehler zurückgegeben. Standardmäßig ist die Richtlinie aktiviert. Benutzerkontensteuerung: Nur ausführbare Dateien heraufstufen, die signiert und überprüft sind Mit dieser Sicherheitseinstellung werden Sig-

naturüberprüfungen für interaktive Anwendungen erzwungen, die erhöhte Rechte erfordern. Ist die Richtlinie aktiviert, wird der Dialog Ein nicht identifiziertes Programm möchte auf den Computer zugreifen nicht eingeblendet und ein Zugriff von vornherein blockiert. Standardmäßig ist die Richtlinie deaktiviert.

236

Die Benutzerkontensteuerung Benutzerkontensteuerung: Erhöhte Rechte nur für UIAccess-Anwendungen, die an sicheren Orten installiert sind Mit dieser Richtlinie wird die

Anforderung erzwungen, dass sich Anwendungen, die eine Ausführung mit einer UIAccess-Integritätsebene anfordern, an einem sicheren Speicherort im Dateisystem befinden müssen. Sichere Speicherorte sind auf die folgenden Verzeichnisse begrenzt: 왘 \Programme\ (einschließlich Unterverzeichnisse) 왘 \Windows\system32\ 왘 \Programme (x86)\ (einschließlich der Unterverzeichnisse für 64-BitVersionen von Windows) Unabhängig vom Status dieser Richtlinie wird eine Signaturüberprüfung für jede interaktive Anwendung erzwungen, die eine Ausführung mit einer UIAccess-Integritätsebene anfordert. Standardmäßig ist die Richtlinie aktiviert. Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechten für Administratoren im Administratorbestätigungsmodus Diese

5

Richtlinieneinstellung steuert das Verhalten der Eingabeaufforderung zur Anforderung erhöhter Rechte für Administratoren. Die Einstellungen entsprechen im Wesentlichen den Optionen, die im Dialogfeld Einstellungen für Benutzerkontensteuerung zu finden sind: 왘 Erhöhte Rechte ohne Eingabeaufforderung 왘 Eingabeaufforderung zu Anmeldeinformationen auf dem sicheren Desktop 왘 Eingabeaufforderung zur Zustimmung auf dem sicheren Desktop 왘 Eingabeaufforderung zu Anmeldeinformationen 왘 Eingabeaufforderung zur Zustimmung 왘 Eingabeaufforderung zur Zustimmung für Nicht-Windows-Binärdateien (Standardeinstellung) Eine detaillierte Beschreibung der einzelnen Einstellungen ist auf der Registerkarte Erklärung im Konfigurationsdialogfeld der Richtlinie zu finden. Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechten für Standardbenutzer Diese Richtlinie bestimmt das Verhalten

der Eingabeaufforderung mit erhöhten Rechten für Standardbenutzer. Bei Auswahl der Option Aufforderung zur Eingabe der Anmeldeinformationen bzw. Aufforderung zur Eingabe der Anmeldeinformationen auf dem sicheren Desktop wird der Benutzer zur Eingabe eines Benutzernamens und Kennworts mit Administratorrechten aufgefordert. Falls der Benutzer gültige Anmeldeinformationen eingibt, wird der Vorgang mit dem entsprechenden Recht fortgesetzt. Ist die Option Anhebungsaufforderung automatisch abweisen ausgewählt, wird dem Standardbenutzer eine Fehlermeldung angezeigt, wenn er versucht, einen Vorgang auszuführen, für den erhöhte Rechte erforderlich sind.

237

Kapitel 5 Benutzerverwaltung Benutzerkontensteuerung: UIAccess-Anwendungen können erhöhte Rechte ohne sicheren Desktop anfordern Standardmäßig kann der sichere Desk-

top nur von einem Administrator auf dem Computer oder über Deaktivierung der Gruppenrichtlinie Bei Benutzeraufforderung nach erhöhten Rechten zum sicheren Desktop wechseln deaktiviert werden. Wird die Richtlinie aktiviert, können UIAccess-Programme, einschließlich der Windows-Remoteunterstützung, den sicheren Desktop für Eingabeaufforderungen für erhöhte Rechte automatisch deaktivieren. Erforderlich ist dies bei bestimmten UIAccess-Szenarien, beispielsweise beim Bereitstellen von Remoteunterstützung für Standardbenutzer. Standardmäßig ist die Richtlinie deaktiviert.

5.2

Benutzer verwalten

Zur Verwaltung von Benutzern sind in Windows 7 verschiedene Werkzeuge integriert. Welche im Einzelfall zur Verfügung stehen, ist von der eingesetzten Edition abhängig. So können in den Home-Editionen Benutzerkonten ausschließlich mittels der Funktion Benutzerkonten verwaltet werden. Hierbei handelt es sich im Wesentlichen um eine vereinfachte Sicht auf die Benutzerverwaltung, die in detaillierter und vollständiger Form im Snap-in Lokale Benutzer und Gruppen in der Computerverwaltung zu finden ist. Diese Konsole steht jedoch nur in den Business-Editionen zur Verfügung. Der folgende Abschnitt stellt die Möglichkeiten beider Werkzeuge vor.

5.2.1

Das Dienstprogramm „Benutzerkonten“ für einfache Kontenverwaltung

Die Funktion Benutzerkonten befindet sich in der Systemsteuerung und wendet sich vorrangig an Benutzer, die ihr eigenes Konto verwalten möchten. So können Benutzer hier beispielsweise das Kennwort für das eigene Konto ändern oder ein neues Bild auswählen. Welche Funktionen dem Benutzer zur Verfügung stehen, ist von der verwendeten Edition bzw. davon abhängig, ob der Computer Mitglied einer Domäne oder einer Arbeitsgruppe ist. Am schnellsten kann das nachstehend gezeigte Dialogfeld durch einen Mausklick auf das Bild im Startmenü geöffnet werden. Danach wird der Anhebungsdialog aufgerufen, der zur Bestätigung auffordert. Anderes Konto verwalten

238

Auch die Verwaltung anderer Konten ist Benutzern mit administrativen Rechten an dieser Stelle möglich. Hierzu ist die Option Benutzerkonten verwalten zu verwenden. Standardmäßig werden nach dem Abschluss der Installation unter Benutzerkonten nur das während der Installation eingerichtete Administratorkonto sowie das vordefinierte Gastkonto angezeigt. Allerdings beschränken sich die Änderungsmöglichkeiten auf die lokalen Benutzerkonten. Änderungen von Domänenbenutzerkonten sind konsequenterweise an dieser Stelle nicht möglich.

Benutzer verwalten Abbildung 5.7 Der Systemsteuerungsbereich Benutzerkonten bei Mitgliedschaft des Computers in einer Domäne

5

Die verfügbaren Optionen ermöglichen das Erstellen und Löschen neuer Konten sowie die Änderung von Namen und Beschreibung und der Gruppenmitgliedschaft eines ausgewählten Kontos. Einschränkend können an dieser Stelle keine neuen lokalen Gruppen erstellt werden. Hierzu muss das Snap-in Lokale Benutzer und Gruppen in der Computerverwaltung verwendet werden. Abbildung 5.8 Verwaltung anderer Konten im Dialogfeld Benutzerkonten bei Mitgliedschaft des Computers in einer Domäne

Einige weitere interessante Funktionen sind auf der Registerkarte Erweitert zu finden. Hierzu zählt auch die Option Kennwörter verwalten. Damit

239


ist es beispielsweise möglich, Kennwörter für ausgewählte Serverzugriffe zu hinterlegen. Die verbundene Funktion Anmeldeinformationen für automatisches Anmelden speichern stellt die auf dem Clientrechner hinterlegten Kennwörter zur Verfügung, wenn sie für den Zugriff auf die Netzwerkressourcen erforderlich sind. Dies ermöglicht u.a. den Zugriff auf Computer in einer nicht vertrauenswürdigen Domäne ohne Abfrage des Domänenbenutzernamens und des Kennworts.

Abbildung 5.9: Verwaltung der eigenen Anmeldeinformationen

Die Anmeldeinformationen werden als Teil des Benutzerprofils gespeichert. Das bedeutet, dass diese verloren sind, wenn das Profil gelöscht wird. Außerdem gehen die gespeicherten Anmeldeinformationen verloren, wenn das Kennwort für ein Benutzerkonto zurückgesetzt werden muss. Zu diesem Zweck bietet Windows 7 die Möglichkeit, die Anmeldeinformationen auf Festplatte oder auf einen Wechseldatenträger zu speichern. Anmeldeinformationen werden zwar verschlüsselt abgelegt, trotzdem ist das Speichern von Anmeldeinformationen (insbesondere für Konten mit administrativen Rechten) aus Sicherheitserwägungen bedenklich. Kann sich jemand Zugriff im Kontext des lokalen Benutzers verschaffen, hat er damit automatisch auch Zugriff auf die Netzwerkressourcen. Kennwortrücksetzdiskette erstellen

Ist der Computer Mitglied einer Arbeitsgruppe oder ein allein stehender Computer, besteht im Rahmen der Benutzerverwaltung zusätzlich die Möglichkeit, einmalig eine Kennwortrücksetzdiskette zu erstellen. Falls ein Anwender das Kennwort für sein lokales Benutzerkonto vergisst, kann das Kennwort mithilfe des gespeicherten Kennworts zurückgesetzt werden, sodass er wieder auf den Computer zugreifen kann. Möglich ist die Speicherung des Kennworts auf Diskette oder ein USB-Flashlaufwerk. Sofern sich der Computer in einer Domäne befindet, steht diese Option nicht zur Verfügung.

240

Benutzer verwalten

Bei der Anmeldung an einem Computer kann ein vergessenes Kennwort Kennwort mithilfe der Option Kennwort zurücksetzen und des gespeicherten Kenn- zurücksetzen worts ersetzt werden. Stecken Sie dazu das Wechselmedium ein, und folgen Sie anschließend den Anweisungen des Assistent für vergessene Kennwörter, um ein neues Kennwort zu erstellen. Melden Sie sich mithilfe des neuen Kennwortes an, und bewahren Sie die Kennwortrücksetzdiskette bzw. den USB-Speicherstick anschließend an einem sicheren Ort auf, falls Sie Ihr Kennwort zu einem späteren Zeitpunkt erneut zurücksetzen müssen.

5.2.2

Erweiterte Benutzerverwaltung

Administratoren in einem Unternehmensnetzwerk, die eine der BusinessEditionen von Windows 7 verwenden, werden die Systemsteuerungsfunktion Benutzerkonten nur selten nutzen, da diese eine Reihe von Einschränkungen aufweist. Eine umfassende Benutzerverwaltung ist in diesem Fall nur mit dem Snap-in Lokale Benutzer und Gruppen möglich. Alternativ kann auch in der Befehlszeile die Anweisung net user verwendet werden.

5

Das Snap-in „Lokale Benutzer und Gruppen“ Die Konsole Lokale Benutzer und Gruppen ist als Snap-in in die Computerverwaltung integriert. Separat kann die Konsole am schnellsten durch Eingabe von lusrmgr.msc im Suchfeld des Startmenüs geöffnet werden. Die Verwaltung von Domänenbenutzerkonten ist an dieser Stelle nicht möglich. Zur Administration dieser Konten muss das Snap-in Active Directory-Benutzer und -Computer verwendet werden. Wie auch bei den Vorgängerversionen stellt Microsoft die Remoteserver-Verwaltungstools (Remote Server Administration Tools – RSAT) für Windows 7 zum kostenlosen Download bereit [RSAT]. Damit können von Computern unter Windows 7 Rollen und Funktionen auf Remotecomputern mit Windows Server 2008 R2, Windows Sserver 2008 oder Windows Server 2003 verwaltet werden. Die Remoteserver-Verwaltungstools für Windows 7 können auf Computern mit Windows 7 Enterprise, Professional oder Ultimate installiert werden. Unterstützt werden sowohl die x86- als auch die x64basierten Windows 7-Versionen. Detaillierte Informationen zu den Tools, die in Remoteserver-Verwaltungstools für Windows 7 verfügbar sind, finden Sie im Knowledge-Base-Artikel 958830 [KBRSAT].

Abbildung 5.10: Snap-in Lokale Benutzer und Gruppen 241

Kapitel 5 Benutzerverwaltung Funktionen

Im Container Benutzer werden alle lokalen Benutzerkonten, die in der Benutzerdatenbank des Computers gespeichert sind, aufgelistet. Hier können die folgenden Aufgaben durchgeführt werden: 왘 Neue lokale Benutzerkonten hinzufügen oder bestehende löschen. Mit Ausnahme einiger Benutzerkonten, wie dem Administrator- und dem Gastkonto, werden standardmäßig während der Installation von Windows 7 keine lokalen Benutzerkonten erstellt. Werden weitere Benutzerkonten benötigt, müssen diese erstellt werden. Hierzu sind entsprechende Rechte erforderlich. 왘 Benutzerkontennamen und Beschreibung ändern. Da Benutzerkonten unter Windows ausschließlich über eine eindeutige Kennung unterschieden werden, kann der Benutzername jederzeit geändert werden. 왘 Kennwortoptionen ändern. Darüber hinaus können in den Eigenschaften der Benutzerkonten die Kennwortoptionen für das betreffende Konto geändert werden. So kann beispielsweise festgelegt werden, dass der Benutzer das Kennwort nicht ändern kann. 왘 Die Gruppenmitgliedschaft der Benutzerkonten verwalten. 왘 Profileinstellungen der einzelnen Benutzerkonten verwalten. 왘 Benutzerkonten vorübergehend deaktivieren 왘 Einen neuen Benutzer erstellen Um in der Konsole ein neues Benutzerkonto einzurichten, ist im Kontextmenü von Benutzer die Option Neuer Benutzer zu wählen. Bei der Einrichtung eines neuen Benutzerkontos sind der Benutzername, der vollständige Name, der in einigen Dialogfeldern zur Anzeige verwendet wird, und eine Beschreibung einzutragen. Weiterhin müssen ein Kennwort vergeben und die Kennwortoptionen festgelegt werden. Wird ein Benutzerkonto gelöscht, ist zu beachten, dass Windows 7 intern nicht den Namen, sondern einen Security Identifier verwendet. Wird anschließend ein neuer Benutzer mit dem gleichen Namen erstellt, handelt es sich trotzdem um einen anderen Benutzer. Die Zugriffsrechte des ehemaligen Benutzers sind für diesen deshalb nicht wirksam.

Benutzereigenschaften ändern

Änderungen hinsichtlich der Kennwortoptionen, Gruppenmitgliedschaften und Benutzerprofile sind in dem Eigenschaftendialogfeld des betreffenden lokalen Benutzerkontos jederzeit möglich. Allerdings sucht man hier die Möglichkeit zum Umbenennen eines Benutzerkontos und zum Festlegen eines neuen Kennwortes vergeblich. Diese beiden Optionen können nur direkt im Kontextmenü des betreffenden Benutzerkontos oder im Menü Aktion ausgewählt werden. Mit der Funktion Kennwort festlegen im Kontextmenü des Benutzerkontos kann ein Administrator ein vom Benutzer vergessenes Kennwort zurücksetzen. Hierbei ist jedoch zu beachten, dass nach dem Zurücksetzen des Kennworts kein Zugriff mehr auf die lokal liegenden verschlüsselten Daten des Benutzers möglich ist.

242

Benutzer verwalten

Der Entschlüsselungsschlüssel wird aus dem Kennwort des Benutzers abgeleitet. Daher kann das System die verschlüsselten Dateien nach dem Zurücksetzen des Kennworts durch den Administrator nicht mehr entschlüsseln. Dieses Verhalten tritt nicht auf, wenn ein Benutzer sein Kennwort selbst ändert. In diesem Fall werden die Schlüssel automatisch mit dem neuen Kennwort verschlüsselt. Abbildung 5.11 Kontextmenü zur Konfiguration eines ausgewählten lokalen Benutzerkontos

5

Der Befehl net user Das bereits bei den Vorgängerversionen integrierte Befehlszeilenprogramm Net.exe bietet eine Alternative zu den Benutzerschnittstellen in der GUI. Die Verwaltung von Benutzerkonten ist möglich mit dem Befehl net user. Hiermit können Benutzerkonten hinzugefügt und geändert oder Informationen über Benutzerkonten angezeigt werden. Die Syntax hierzu lautet: NET USER [Benutzername Benutzername Benutzername Benutzername

Syntax

[Kennwort|*] [Optionen]] [/DOMAIN] {Kennwort|*} /ADD [Optionen] /DOMAIN] [/DELETE] [/DOMAIN] [/TIMES:Zeiten |ALL]

Bei Verwendung von net user ohne Parameter werden alle lokalen Benutzerkonten aufgelistet (möglich ist auch die Eingabe von net users). Die Anzeige aller verfügbaren Parameter mit einer sehr hilfreichen Beschreibung ist möglich mit dem Befehl: net help user

Die Einrichtung eines neuen Benutzerkontos ist beispielsweise mit dem Benutzerkonto erstellen folgenden Befehl möglich: net user /add [Optionen]

Alle Detailinformationen zu einem Benutzerkonto können mit dem folgenden Befehl angezeigt werden: net user

243

Kapitel 5 Benutzerverwaltung Kennwort ändern

Interessant sind die Möglichkeiten zur Vergabe von Kennwörtern. Beispielsweise kann sehr schnell das Anmeldekennwort für ein Benutzerkonto geändert werden. Hierzu ist der Befehl net user

einzugeben, wobei für das neue Kennwort steht. Da das Kennwort hierzu in Klarschrift angezeigt wird, ist jedoch folgender Weg vorzuziehen: net user "*"

Anschließend erscheint eine weitere Zeile mit der Aufforderung, das Kennwort einzugeben. Der eingetippte Name wird hier nicht angezeigt. Benutzereigenschaften ändern

Aber auch zum Ändern der Eigenschaften eines Kontos bietet der Befehl net user die entsprechenden Parameter. Die folgende Auflistung enthält nur die für die Verwaltung lokaler Benutzer relevanten Optionen. /active:{yes|no}: Deaktiviert oder aktiviert das Konto. /comment:"Beschreibung": Ermöglicht die Eingabe einer Beschreibung für

das Benutzerkonto (maximal 48 Zeichen). /fullname:"Name": Der vollständige Name des Benutzers. Der Name muss in Anführungszeichen stehen. /kennwordchg:{yes|no}: Legt fest, ob der Benutzer das eigene Kennwort

ändern kann. /kennwordreq:{yes|no}: Legt fest, ob ein Benutzerkonto ein Kennwort haben

muss.

5.2.3

SID-Verwaltung bei Benutzerkonten

Benutzerkonten bieten Benutzern die Möglichkeit, sich am Netzwerk oder am lokalen Computer anzumelden und auf lokale und Netzwerkressourcen zuzugreifen. Der Zugriff des Benutzers erfolgt mit seinem Anmeldenamen und dem Kennwort. Jeder Eintrag eines Benutzers wird in der Benutzerdatenbank über eine eindeutige SID (Security Identifier) geführt. SID ermitteln

Auch wenn die SID nur für die interne Verwaltung von Benutzer- und Gruppenkonten verwendet wird, ist es in einigen Fällen erforderlich, die SID eines Kontos zu kennen, beispielsweise um gezielt Registrierungseinträge von Benutzern zu ändern.

SID (Security Identifier) SIDs werden in einem Windows-System verwendet, um Sicherheitsprincipals eindeutig zu identifizieren. Unter einem Sicherheitsprincipal wiederum versteht man Objekte, denen automatisch eine Sicherheitskennung zugewiesen wird. Hierzu zählen Benutzerkonten, Computerkonten und Gruppenkonten. Nur Objekte mit einer Sicherheitskennung können sich am Computer oder am Netzwerk anmelden und auf Ressourcen zugreifen.

244

Benutzer verwalten

Die SID wird vom System zum Zeitpunkt der Konto- oder Gruppenerstellung zugewiesen. Hierbei wird die SID eines lokalen Kontos oder einer lokalen Gruppe von der lokalen Sicherheitsautorität (Local Security Authority, LSA) auf dem Computer erstellt und mit anderen Kontoinformationen in einem gesicherten Bereich der Registrierung gespeichert. Die SID eines Domänenkontos oder einer Domänengruppe wird von der Domänensicherheitsautorität erstellt und als Attribut des Benutzerobjekts oder der Gruppe im Active Directory gespeichert. Durch eine SID wird der Sicherheitsprincipal im ganzen Netzwerk eindeutig identifiziert. Auch wenn der Name geändert wird, bleibt die SID erhalten. Wird beispielsweise ein Benutzer im Netzwerk gelöscht, wird auch seine SID gelöscht. Wird der Benutzer mit dem gleichen Namen wieder neu angelegt, erhält er eine neue SID, weshalb ihm alle Berechtigungen wieder neu zugewiesen werden müssen. Auch aus diesem Grund ist es besser, Zugriffsrechte auf Gruppen- statt auf Benutzerebene zuzuweisen, da diese erfahrungsgemäß seltener gelöscht und neu angelegt werden als Benutzerkonten.

5

Am einfachsten kann unter Windows 7 die SID mit dem Befehlszeilen- Whoami.exe programm Whoami.exe ermittelt werden. Whoami.exe kann die SIDs und die Anmelde-IDs sowie Rechte- und Gruppenzuordnungen des aktuell angemeldeten Benutzers ermitteln und ausgeben. Die SID eines Benutzers kann mit dem folgenden Befehl abgefragt werden: whoami /user

Ausgesprochen nützlich kann der Parameter /all sein, mit dem alle verfügbaren Informationen zu dem aktuell angemeldeten Benutzer ausgegeben werden. Dies umfasst die folgenden Parameter: /user /groups /priv (Individuelle Rechte) /logonid /sid

Das Programm hat jedoch die Einschränkung, dass nur Informationen zum aktuellen Benutzer angezeigt werden.

5.2.4

Vordefinierte Benutzerkonten

Windows 7 richtet standardmäßig zwei Benutzerkonten ein: 왘 Administratorkonto Das Administratorkonto wird während der Installation von Windows 7 erstellt und ist standardmäßig deaktiviert. Um es verwenden zu können, muss es zunächst aktiviert werden. Hierbei wird zur Eingabe eines neuen Kennworts aufgefordert.

245


Aus Sicherheitsgründen sollte für das Administratorkonto ein möglichst sicheres Kennwort festgelegt werden, das den Komplexitätsanforderungen entspricht. Hohe Sicherheit ist mit einem Administratorkennwort gewährleistet, das mindestens neun Zeichen lang ist, mindestens ein Satzzeichen und ein nichtdruckbares ASCII-Zeichen (einzugeben über die (Alt)-Taste in Kombination mit einem dreistelligen Zahlenschlüssel) enthält. Außerdem sollte das Administratorkonto umbenannt werden, um potenziellen Hackern den Zugriff zu erschweren. Insbesondere das lokale Administratorkonto ist häufig ein Ziel interner Mitarbeiter, die versuchen, darüber höhere Zugriffsberechtigungen zu erlangen. 왘 Gastkonto

Ein weiteres vordefiniertes und standardmäßig deaktiviertes Konto ist das Gastkonto. Mit diesem Konto können verschiedenen Benutzern die Anmeldung am lokalen Computer und der Zugriff auf Ressourcen ermöglicht werden, ohne dass für jeden Benutzer ein Konto eingerichtet werden muss. Da ein personalisierter Systemzugriff in jedem Fall vorzuziehen ist und auch vonseiten der Revision in aller Regel gefordert wird, sollte auch für Benutzer, die nur vorübergehend Zugriff benötigen, ein eigenes Benutzerkonto eingerichtet werden.

Das Gastkonto Das Gastkonto ist standardmäßig Mitglied der Gruppe Gäste. Eine genaue Erläuterung der Gruppen finden Sie in Abschnitt 5.3.2 ab Seite 252. Bei einer interaktiven Anmeldung ist das Gastkonto Mitglied der beiden Gruppen Gäste und Benutzer. Bei einer Anmeldung über das Netzwerk ist das Gastkonto jedoch standardmäßig kein Mitglied der Benutzergruppe. Einen weiteren Punkt gilt es hinsichtlich der Netzwerkanmeldung mit dem Gastkonto an einem Rechner unter Windows 7, der nicht Mitglied einer Domäne ist, zu beachten. Auf diesen werden Netzwerkanmeldungen standardmäßig dem Gastkonto zugeordnet. Dies erleichtert die Freigabe von Ressourcen in Heimnetzwerken oder kleinen Netzwerken, verhindert aber die Möglichkeit zur Vergabe individueller Berechtigungen. Mittels einer Gruppenrichtlinie können die Verwendung des Gastkontos und das Freigabeverhalten von Windows 7 in einer Arbeitsgruppenumgebung administriert werden. Für die Gruppenrichtlinie Computerkonfiguration/Windows-Einstellungen/ Sicherheitseinstellungen/Lokale Richtlinien/Sicherheitsoptionen/Netzwerkzugriff: Modell für gemeinsame Nutzung und Sicherheitsmodell für lokale Konten stehen zwei Einstellungen zur Auswahl: 왘 Klassisch: Lokale Benutzer werden unter ihrer eigenen Identität authentifiziert. Dies ist die Standardeinstellung für Computer, die Mitglied einer Domäne sind.

246

Benutzer verwalten 왘 Nur Gast: Lokale Benutzer werden über das Konto Gast authentifi-

ziert. Alle Benutzer werden dabei gleich behandelt und erhalten die gleiche Zugriffsstufe für eine Ressource. Dies ist die Standardeinstellung für Computer, die Mitglied einer Arbeitsgruppe sind. Wird für diese Option die Einstellung Klassisch verwendet, werden Netzwerkanmeldungen anhand der verwendeten Anmeldeinformationen authentifiziert. Wird für diese Option die Einstellung Nur Gast festgelegt, werden Netzwerkanmeldungen, die ein lokales Konto verwenden, automatisch dem Gastkonto zugeordnet.

5.2.5

Kennwortrichtlinien verwalten

Kennwörter gehören zu den wichtigsten Schutzmechanismen und sollten entsprechend aufmerksam behandelt werden. Zwar erfolgt in einem Firmennetzwerk die Umsetzung von Firmenrichtlinien hinsichtlich der Verwaltung von Kennwörtern in aller Regel zentral, die Kenntnis der Steuerungsmöglichkeiten für lokale Benutzerkonten ist trotzdem erforderlich.

5

Hinsichtlich der Festlegung für die Kennwortoptionen sind im Eigen- Kennwortoptionen schaftenfenster von Benutzerkonten die folgenden Optionen zu finden: 왘 Benutzer muss Kennwort bei der nächsten Anmeldung ändern Ist diese Option aktiviert, wird der Benutzer bei der ersten Anmeldung aufgefordert, ein neues Kennwort einzugeben. Dies ermöglicht es dem Administrator, einem Benutzer ein einfaches Startkennwort zuzuweisen, das der Benutzer bei der nächsten Anmeldung ändern muss. Weiterhin ist sichergestellt, dass dem Administrator das Benutzerkennwort nicht bekannt ist. 왘 Benutzer kann Kennwort nicht ändern Bei Aktivierung dieser Option kann der Benutzer sein eigenes Kennwort nicht ändern. Diese Option wird in der Regel für Dienstkonten verwendet. 왘 Kennwort läuft nie ab Aus Sicherheitsgründen sollten Benutzer gezwungen sein, periodisch ihr Kennwort zu ändern. Die Ablaufdauer kann in der entsprechenden Sicherheitsrichtlinie festgelegt werden und beträgt standardmäßig 42 Tage. Die Aktivierung dieser Option setzt die Einstellungen in der Gruppenrichtlinie für den betreffenden Benutzer außer Kraft. Diese Option sollte daher nur in Ausnahmefällen (beispielsweise für Dienstkonten) aktiviert werden.

247

Kapitel 5 Benutzerverwaltung Abbildung 5.12 Kennwortoptionen für einzelne Benutzerkonten

Zusätzlich können zentral Kennworteinstellungen für den Computer bzw. die Domäne konfiguriert werden. Seit Windows 2000 erfolgt die Festlegung genereller Kennworteinstellungen, wie beispielsweise für die Erzwingung einer erforderlichen Mindestlänge für Kennwörter oder die Verwendung von Kennwortchroniken, in den mehrfach angesprochenen Gruppenrichtlinien bzw. konkret den Sicherheitsrichtlinien. Kennwörter mit Gruppenrichtlinien konfigurieren

Gruppenrichtlinien erlauben die Vorgabe von Einstellungen, die zum einen auf den lokalen Computer beschränkt sein können und/oder zum anderen für Bereiche des Active Directory (Standorte, Domänen, Organisationseinheiten oder Subnetze) Anwendung finden. Die lokalen Sicherheitsrichtlinien bzw. Sicherheitseinstellungen sind im lokalen Gruppenrichtlinienobjekt zu finden. Zur Konfiguration lokaler Sicherheitsrichtlinien gehen Sie wie folgt vor: 1. Öffnen Sie durch Eingabe von gpedit.msc im Suchfeld des Startmenüs den Editor für lokale Gruppenrichtlinien. Hierfür sind administrative Rechte erforderlich. 2. Wählen Sie unter Computerkonfiguration/Windows-Einstellungen den Container Sicherheitseinstellungen. Alternativ können Sie im Suchfeld des Startmenüs den Befehl Sicherheitsrichtlinie oder secpol.msc eingeben. Hiermit wird direkt und ausschließlich der Container Sicherheitseinstellungen geöffnet. 3. Wählen Sie Kontorichtlinien und anschließend Kennwortrichtlinien.

248

Benutzer verwalten Abbildung 5.13 Konfiguration der Kennwortrichtlinien in den lokalen Sicherheitseinstellungen

Eine gute Absicherung lässt sich mit den folgenden Einstellungen erzie- Kennwortsicherlen, die aber lediglich als Anhaltspunkte dienen können und dem indivi- heit erhöhen duellen Sicherheitsstandard entsprechend angepasst werden müssen: 왘 Die Mindestlänge für Kennwörter sollte sieben Zeichen nicht unterschreiten. 왘 Die maximale Kennwortdauer hängt von der verwendeten Netzwerkkonfiguration ab und sollte nicht mehr als 42 Tage betragen. Dies ist der Standardwert. 왘 Die minimale Kennwortdauer sollte auf einen Wert zwischen einem und sieben Tagen gesetzt werden. Der Standardwert null erlaubt eine sofortige erneute Änderung des Kennworts, was zu einer Umgehung des Kennworterneuerungszyklus missbraucht werden kann. 왘 Mindestens die letzten sechs Kennwörter sollten in der Kennwortchronik gespeichert werden. Wichtig ist die Aktivierung der Richtlinie Kennwort muss Komplexitätsvoraus- Komplexe setzungen entsprechen. Ist diese Richtlinie aktiviert, müssen bei Vergabe eines Kennwörter neuen Kennwortes mindestens drei der folgenden vier Vorgaben erfüllt sein: 왘 Das Kennwort darf nicht den Kontonamen des Benutzers oder mehr als zwei Zeichen enthalten, die nacheinander im vollständigen Namen des Benutzers vorkommen. 왘 Das Kennwort muss mindestens sechs Zeichen lang sein. 왘 Das Kennwort muss Zeichen aus drei der folgenden Kategorien enthalten: 왘 Großbuchstaben (A bis Z) 왘 Kleinbuchstaben (a bis z) 왘 Zahlen zur Basis 10 (0 bis 9) 왘 Nicht alphabetische Zeichen (zum Beispiel !, $, #, %) Hierbei ist zu beachten, dass die Komplexitätsvoraussetzungen nur erzwungen werden, wenn Kennwörter geändert oder erstellt werden.

249

5

Kapitel 5 Benutzerverwaltung Kennwörter auf Sicherheit prüfen

Zur Überprüfung der Sicherheit von Passwörtern stellt Microsoft einen Online-Passwort-Checker [MSPW] zur Verfügung. Dieser kann jedoch nur einen ersten Ansatz bieten, da er ein Passwort wie Microsoft bereits mit der Sicherheitsstufe Medium und Microsoft123 mit der Sicherheitsstufe Strong bewertet. Sehr gut geeignet ist hingegen der Passwort-Checker, der vom Datenschutzbeauftragten des Kantons Zürich bereitgestellt wird. Die Auswertung gibt zusätzliche Hinweise auf Schwachstellen des geprüften Kennwortes. Außerdem erfolgt die Übertragung der Kennwörter verschlüsselt [KZPW].

Einschränkungen für Konten mit leeren Kennwörtern Seit der Version Windows XP werden Benutzer, die ein leeres Kennwort verwenden, bei Netzwerkzugriffen standardmäßig beschränkt. Konten mit leeren Kennwörtern können nicht mehr für eine Remoteanmeldung an dem Computer verwendet werden. Wird einem lokalen Konto ohne Kennwort in der Folge ein Kennwort zugewiesen, wird diese Einschränkung entfernt. Die Einstellung hat jedoch keine Auswirkungen auf Anmeldungen, die mit einem Domänenbenutzerkonto erfolgen. Außerdem können Anwendungen, die interaktive Remoteanmeldungen verwenden, diese Einstellung umgehen. Wie Windows 7 mit leeren Kennwörtern umgehen soll, wird mithilfe einer Richtlinie im Container Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien/Sicherheitsoptionen gesteuert. Mit der Richtlinie Konten: Lokale Kontenverwendung von leeren Kennwörtern auf Konsolenanmeldung beschränken wird festgelegt, ob lokale Konten, die nicht kennwortgeschützt sind, verwendet werden können, um sich über das Netzwerk von anderen Standorten aus anzumelden. Standardmäßig ist diese Einschränkung aktiviert. Abbildung 5.14 Sicherheitsrichtlinie zur Einschränkung von Konten mit leeren Kennwörtern auf die Konsolenanmeldung

250

Verwaltung lokaler Gruppenkonten

5.3


Zur Vereinfachung der Administration werden Berechtigungen und Benutzerrechte in der Regel nicht einzelnen Benutzern, sondern Gruppen erteilt. Wird ein Benutzer einer Gruppe hinzugefügt, erhält er nach einer erneuten Anmeldung alle Berechtigungen und Benutzerrechte, die dieser Gruppe zugewiesen sind. Nach der Installation von Windows 7 ist bereits eine Reihe von Gruppen angelegt, deren Mitglieder hierüber entsprechende Rechte erhalten. Zusätzlich können benutzerdefinierte Gruppen eingerichtet werden.

5.3.1

Gruppentypen im Vergleich

Für die Verwaltung eines einzelnen Windows 7-Computers spielen konsequenterweise nur die lokalen Gruppen eine Rolle. In einem Active Directory-basierten Unternehmensnetzwerk mit einem verschachtelten Gruppenmodell gibt es zwangsläufig ein Zusammenspiel mit anderen Gruppentypen, sodass an dieser Stelle ein kurzer Blick auf die in einer Active Directory-Umgebung verfügbaren Gruppentypen erforderlich ist. Hierbei werden ausschließlich sicherheitsrelevante Gruppen (keine Verteilergruppen) betrachtet. 왘 (Computer)lokale Gruppen

5

Gruppentypen in

Lokale Gruppen werden in der Sicherheitsdatenbank des jeweiligen Active Directory Computers verwaltet, auf dem sie erstellt wurden, und dienen zur Administration von Rechten und Berechtigungen für Ressourcen auf einem lokalen Computer. 왘 Domänenlokale Gruppen

Domänenlokale Gruppen stehen lokal in der jeweiligen Domäne zur Verfügung, in der sie erstellt wurden. Sie dienen zur Administration von Rechten und Berechtigungen für Objekte auf Computern in der Domäne. 왘 Globale Gruppen Globale Gruppen dienen zur Verwaltung und Zusammenfassung von Benutzern, die ein gemeinsames Zugriffsprofil aufweisen. Globale Gruppen können Benutzerkonten aus der gleichen Domäne und andere globale Gruppen aus der gleichen Domäne enthalten. Durch Aufnahme in die entsprechenden Gruppen können ihnen Berechtigungen für jeden Computer in jeder Domäne einer Gesamtstruktur erteilt werden. 왘 Universelle Gruppen

Der Einsatz universeller Gruppen ist in größeren Organisationen sinnvoll, in denen Bedarf besteht, Zugriff für ähnliche Kontengruppen zu gewähren, die in mehreren Domänen einer Gesamtstruktur definiert sind.

251

Kapitel 5 Benutzerverwaltung 왘 Sondergruppen

Eine spezielle Gruppe stellen die Gruppen für besondere Identitäten dar. Hierzu zählt beispielsweise die Gruppe Jeder oder Ersteller-Besitzer. Anders als die anderen Gruppenarten können diesen keine Mitglieder zugewiesen werden. Vielmehr wird ein Konto Mitglied einer dieser Gruppen durch eine bestimmte Aktion, d.h., sie werden auf alle Konten angewendet, die den Computer auf besondere Weise nutzen, wie beispielsweise anonyme Anmeldungen oder Remotezugriffe. Die Sondergruppen werden in der Gruppenverwaltung nicht angezeigt, da sie nicht administrierbar sind. Sie können jedoch verwendet werden, um beispielsweise Zugriff auf Ressourcen zu gewähren.

5.3.2

Vordefinierte lokale Gruppen und ihre Berechtigungen

Nach der Installation von Windows 7 sind die in der nachstehenden Abbildung gezeigten integrierten lokalen Gruppen zu finden. Abbildung 5.15 Standardmäßig verfügbare computerlokale Gruppen

Diese Gruppen haben die folgenden Funktionen und Rechte: Funktionen vordefinierter Gruppen

왘 Administratoren

Mitglieder dieser Gruppe besitzen die vollständige Kontrolle über den lokalen Computer und können sämtliche Funktionen durchführen, die das Betriebssystem unterstützt. Außerdem sind sie berechtigt, sich jedes Recht, das sie nicht standardmäßig besitzen, selbst zu erteilen. Zu den Standardmitgliedern dieser Gruppe zählen bei einer Neuinstallation von Windows 7 nur das während der Installation erstellte Konto sowie das standardmäßig eingerichtete und deaktivierte Administratorkonto. Bei der Aktualisierung eines Windows Vista-Rechners bleiben bereits vorhandene Mitglieder der lokalen Gruppe Administratoren und ggf. die Mitglieder der Gruppe Domänenadministratoren bestehen. 왘 Benutzer

Im Gegensatz zu Administratoren haben Mitglieder der Gruppe Benutzer nur eingeschränkten Zugriff auf das System (beachten Sie hierzu den Abschnitt 5.1.1 ab Seite 228).

252


Benutzer können weder computerweite Registrierungseinstellungen ändern noch Systemdateien oder Programmdateien bearbeiten. Auch können sie keine Anwendungen installieren. Peripheriegeräte, wie beispielsweise Drucker, können sie nur dann einrichten, wenn das Treiberpaket bereits im Treiberspeicher zur Verfügung steht, signiert ist und ohne Benutzerschnittstelle installiert werden kann (beachten Sie hierzu die Ausführungen in Kapitel 3). 왘 Distributed COM-Benutzer

Mitglieder dieser Gruppe können DCOM-Objekte auf einem Computer starten, aktivieren und verwenden. Damit hat er Zugriff auf Anwendungen, die Objekte verteilt im Netzwerk zur Verfügung stellen. Darüber hinaus erhalten Mitglieder dieser Gruppe keine Standardbenutzerrechte. 왘 Ereignisprotokollleser

Standardbenutzer sind nicht zur Anzeige aller Protokolle im Ereignisprotokoll berechtigt. Da dieses Benutzerrecht auch nicht mittels Gruppenrichtlinien zugewiesen werden kann, mussten in früheren WindowsVersionen Benutzer, die das Ereignisprotokoll auswerten sollten, einer administrativen Gruppe hinzugefügt werden. Unter Windows 7 steht hierfür die Gruppe Ereignisprotokollleser zur Verfügung. Mitglieder dieser Gruppe können Leistungszähler, Protokolle und Warnungen auf dem Computer – lokal und über Remoteclients – lesen, ohne Mitglied der Gruppe Administratoren sein zu müssen.

5

왘 Gäste

Bis auf wenige Einschränkungen besitzen die Mitglieder der Gruppe „ Gäste“ die gleichen Zugriffsrechte wie die Mitglieder der Benutzergruppe. Standardmäßig ist nur das Konto „ Gast“ Mitglied dieser Gruppe. Dieses Konto ist geeignet für Benutzer, die sich nur einmal oder gelegentlich an dem Computer anmelden müssen und für die deshalb kein eigenes Konto eingerichtet werden soll. Aus diesem Grund hat das Gastkonto ein leeres Kennwort. Aus Sicherheitsgründen ist das Gastkonto standardmäßig deaktiviert. 왘 Hauptbenutzer

Bei Windows 7 erhalten Mitglieder dieser Gruppe nicht mehr Benutzerrechte als ein Standardbenutzer. Die Gruppe Hauptbenutzer ist hier nur noch aus Kompatibilitätsgründen vorhanden und diente in vorherigen Windows-Versionen dazu, Benutzern ausgewählte Administratorrechte und -berechtigungen zu geben, um allgemeine Systemaufgaben ausführen zu können. Bei Windows 7 können Standardbenutzerkonten ohnehin viele Konfigurationsaufgaben ausführen, wie beispielsweise das Ändern von Zeitzonen, sodass diese Gruppe hier nicht mehr benötigt wird. 왘 IIS_IUSRS

Hierbei handelt es sich um eine integrierte Gruppe, die von den Internetinformationsdiensten (Internet Information Services, IIS) verwendet und beispielsweise bei der Installation eines Webservers benötigt wird.

253

Kapitel 5 Benutzerverwaltung 왘 Kryptografie-Operatoren

Mitglieder dieser Gruppe sind autorisiert, kryptografische Vorgänge auszuführen und den Zertifikat-Manager im administrativen Kontext zu öffnen. 왘 Leistungsprotokollbenutzer

Mitglieder dieser Gruppe können alle Leistungszähler, Protokolle und Warnungen auf dem Computer – lokal und über Remoteclients – verwalten, ohne Mitglied der Gruppe Administratoren sein zu müssen. 왘 Leistungsüberwachungsbenutzer

Im Gegensatz zur vorstehenden Gruppe können die Mitglieder dieser Gruppe ausschließlich – lokal oder remote – auf Leistungszählerdaten zugreifen und diese verwalten. 왘 Netzwerkkonfigurations-Operatoren

Mitglieder dieser Gruppe besitzen eingeschränkte Administratorrechte, die ihnen die Konfiguration von Netzwerkfunktionen gestatten, wie beispielsweise die Konfiguration von TCP/IP-Einstellungen. Sie dürfen jedoch keine andere Hardware konfigurieren. 왘 Remotedesktopbenutzer

Mitglieder dieser Gruppe besitzen das Recht, sich von einem Remotestandort aus über die Remotedesktop-Funktion am Computer anzumelden. Diese Gruppe hat standardmäßig keine Mitglieder. 왘 Replikations-Operator

Mitgliedern dieser Gruppe ist es gestattet, Dateien in einer Domäne zu replizieren. 왘 Sicherungs-Operatoren

Die Mitglieder dieser Gruppe können Verzeichnisse und Dateien auf dem Computer (ohne Berücksichtigung der mit diesen Dateien verbundenen Berechtigungen) sichern und wiederherstellen. Der Zugriff auf die Dateien ist ihnen jedoch nur im Rahmen einer Datensicherungsaktion möglich. Es ist ihnen auch nicht möglich, die Sicherheitseinstellungen von Dateien und Verzeichnissen zu ändern. Sie haben außerdem das Recht, sich lokal am Computer anzumelden und diesen herunterzufahren. Wichtig ist auch die Kenntnis, über welche Benutzerrechte standardmäßig die vordefinierten Gruppen und Benutzer verfügen. Die folgende Tabelle zeigt die Standardbenutzerrechte bei einem neu installierten Windows 7Computer.

254

Verwaltung lokaler Gruppenkonten Benutzerrecht

Gruppenkonto

Ändern der Systemzeit

LOKALER DIENST, Administratoren

Ändern der Zeitzone

LOKALER DIENST, Administratoren, Benutzer

Anheben der Zeitplanungspriorität

Administratoren

Anmelden als Batchauftrag verweigern

Nicht zugewiesen

Anmelden als Dienst

NT SERVICE\ALL SERVICES

Anmelden als Dienst verweigern

Nicht zugewiesen

Anmelden als Stapelverarbeitungsauftrag

Administratoren, Sicherungs-Operatoren, Leistungsprotokollbenutzer

Anmelden über Remotedesktopdienste verweigern

Nicht zugewiesen

Anmelden über Remotedesktopdienste zulassen

Administratoren, Remotedesktopbenutzer

Annehmen der Clientidentität nach Authentifizierung

LOKALER DIENST, NETZWERKDIENST, Administratoren, DIENST

Anpassen von Speicherkontingenten für einen Prozess

LOKALER DIENST, NETZWERKDIENST, Administratoren

Arbeitssatz eines Prozesses vergrößern

Benutzer

Auf Anmeldeinformations-Manager als vertrauenswürdigem Aufrufer zugreifen

Nicht zugewiesen

Auf diesen Computer vom Netzwerk aus zugreifen

Administratoren, Sicherungs-Operatoren, Benutzer, Jeder

Auslassen der durchsuchenden Überprüfung

LOKALER DIENST, NETZWERKDIENST, Administratoren, Sicherungs-Operatoren, Benutzer, Jeder

Debuggen von Programmen

Administratoren

Durchführen von Volumenwartungsaufgaben

Administratoren

Einsetzen als Teil des Betriebssystems

Nicht zugewiesen

Entfernen des Computers von der Dockingstation

Administratoren, Benutzer

Ermöglichen, dass Computer- und Benutzerkonten für Delegierungszwecke vertraut wird

Nicht zugewiesen

Ersetzen eines Tokens auf Prozessebene

LOKALER DIENST, NETZWERKDIENST

Erstellen einer Auslagerungsdatei

Administratoren

Erstellen eines Profils der Systemleistung

Administratoren

Erstellen eines Profils für einen Einzelprozess

Administratoren, NT SERVICE

5

Tabelle 5.1: Standard-Benutzerrechte

255


Benutzerrecht

Gruppenkonto

Erstellen eines Tokenobjekts

Nicht zugewiesen

Erstellen globaler Objekte

LOKALER DIENST, NETZWERKDIENST, Administratoren, DIENST

Erstellen symbolischer Verknüpfungen

Administratoren

Erstellen von dauerhaft freigegebenen Objekten

Nicht zugewiesen

Erzwingen des Herunterfahrens von einem Remotesystem aus

Administratoren

Generieren von Sicherheitsüberwachungen

LOKALER DIENST, NETZWERKDIENST

Herunterfahren des Systems

Administratoren, Sicherungs-Operatoren, Benutzer

Hinzufügen von Arbeitsstationen zur Domäne

Nicht zugewiesen

Laden und Entfernen von Gerätetreibern

Administratoren

Lokal anmelden verweigern

Gast (hat Vorrang vor Lokal anmelden zulassen)

Lokal anmelden zulassen

Administratoren, Sicherungs-Operatoren, Benutzer, Gast

Sichern von Dateien und Verzeichnissen

Administratoren und SicherungsOperatoren

Sperren von Seiten im Speicher

Nicht zugewiesen

Synchronisieren von Verzeichnisdienstdaten

Nicht zugewiesen

Übernehmen des Besitzes von Dateien und Objekten

Administratoren

Verändern der Firmwareumgebungsvariablen

Administratoren

Verändern einer Objektbezeichnung

Administratoren

Verwalten von Überwachungs- und Sicherheitsprotokollen

Administratoren

Wiederherstellen von Dateien und Verzeichnissen

Administratoren, Sicherungs-Operatoren

Zugriff vom Netzwerk auf diesen Computer verweigern

Gast

Tabelle 5.1: Standard-Benutzerrechte (Forts.) Benutzerrechte verwalten

256

Die Konfiguration der Benutzerrechte erfolgt mittels Sicherheitsrichtlinien. Die Sicherheitsrichtlinien bzw. Sicherheitseinstellungen sind ein Bereich im Gruppenrichtlinienobjekt. Zur Konfiguration von lokalen Sicherheitsrichtlinien gehen Sie wie folgt vor:


1. Öffnen Sie durch Eingabe von gpedit.msc im Ausführen-Dialogfeld den Editor für lokale Gruppenrichtlinien. 2. Wählen Sie unter Computerkonfiguration/Windows-Einstellungen den Container Sicherheitseinstellungen. Alternativ können Sie auch im Ausführen-Dialogfeld den Befehl secpol.msc eingeben. Hiermit wird direkt und ausschließlich der Container Sicherheitseinstellungen geöffnet. 3. Wählen Sie Lokale Richtlinien und anschließend Zuweisen von Benutzerrechten.

5.3.3

Lokale Gruppenkonten erstellen, löschen und ändern

Die Verwaltung von Gruppen kann, wie auch die Benutzerverwaltung, mittels der Konsole Lokale Benutzer und Gruppen erfolgen. Alternativ ist die Pflege von Gruppenkonten in der Eingabeaufforderung mit dem Befehl net localgroups möglich.

5

Das Snap-in „Lokale Benutzer und Gruppen“ Die Konsole Lokale Benutzer und Gruppen ist als Snap-in in die Computerverwaltung integriert. Diese kann durch Eingabe von lusrmgr.msc im Suchfeld des Startmenüs geöffnet werden. In dieser Konsole können ausschließlich lokale Gruppen verwaltet werden. Zur Administration anderer Gruppentypen, wie beispielsweise globaler oder domänenlokaler Gruppen, muss das Snap-in Active Directory-Benutzer und -Computer verwendet werden, das standardmäßig nur auf Domänencontrollern verfügbar ist. Wie auch bei den Vorgängerversionen stellt Microsoft die Remoteserver-Verwaltungstools für Windows 7 zum kostenlosen Download bereit [RSAT]. Damit können von Computern unter Windows 7 Rollen und Funktionen auf Remotecomputern mit Windows Server 2008 R2, Windows Server 2008 oder Windows Server 2003 verwaltet werden. Die Remoteserver-Verwaltungstools für Windows 7 können auf Computern mit Windows 7 Enterprise, Professional oder Ultimate installiert werden. Unterstützt werden sowohl die x86- als auch die x64basierten Windows 7-Versionen. Im Container Gruppen werden alle lokalen Gruppenkonten aufgelistet, die Funktionen in der Benutzerdatenbank des Computers gespeichert sind. Hier können neue Gruppenkonten hinzugefügt und bestehende Gruppen gelöscht werden. Außerdem ist die Verwaltung der Mitglieder einer Gruppe möglich. Wird eine neue Gruppe erstellt, können dieser sofort die erforderlichen Mitglieder hinzugefügt werden.

257

Kapitel 5 Benutzerverwaltung Abbildung 5.16 Erstellung eines neuen Gruppenkontos im Snap-in Lokale Benutzer und Gruppen

Der Befehl „net localgroup“ Alle Verwaltungsaufgaben für lokale Gruppen können auch mit dem Befehl net localgroup in der Befehlseingabe erfolgen. Das Befehlszeilenprogramm Net.exe ist in Windows integriert. Syntax

Der Befehl net localgroup hat die folgende Syntax: net localgroup[Gruppenname [/comment:"Text"]][/DOMAIN] Gruppenname {/ADD [/comment:"Text"]|/DELETE} [/DOMAIN] Gruppenname Name [...] {/ADD|/DELETE} [/DOMAIN]

Ohne Angabe von Parametern werden der Servername und die Namen der lokalen Gruppen auf dem Computer angezeigt. Eine Aufstellung aller Optionen mit einer Beschreibung ist abrufbar mit dem Befehl: net help localgroup Beispiele

Die Anzeige aller Mitglieder einer lokalen Gruppe, einschließlich der enthaltenen globalen Gruppen und der Sondergruppen, ist mit dem folgenden Befehl möglich: net localgroup

Um ein neues Gruppenkonto zu erstellen, muss folgender Befehl verwendet werden: net localgroup /add

Auch das Hinzufügen neuer Mitglieder zu einer lokalen Gruppe ist möglich. Bei mehreren Namen müssen die Einträge mit einem Leerzeichen getrennt werden. Als Namen können Benutzer oder globale Gruppen angegeben werden, nicht jedoch andere lokale Gruppen. Ist der Benutzer Mitglied einer anderen Domäne, muss der Domänenname dem Benutzernamen vorangestellt werden. net localgroup /add

Entsprechend können mit der Option /delete Gruppenkonten gelöscht oder Mitglieder aus einer lokalen Gruppe entfernt werden: net localgroup /delete

bzw. net localgroup /delete

258

Benutzerprofile unter Windows 7

5.4


Seit Windows NT werden benutzerspezifische Daten in sogenannten Benutzerprofilen organisiert, deren Aufgabe es ist, die persönlichen und personalisierten Inhalte in einem eigenen Ordner zusammenzufassen. Allerdings haben die Benutzerprofile von Windows 7 kaum noch etwas gemein mit den Profilen früherer Windows-Versionen, bei denen sie vor allem zum Speichern einiger Desktop-Einstellungen für die Benutzer dienten. Denn bereits mit Windows Vista hat Microsoft eine komplett neue Profilstruktur eingeführt, deren Kenntnis insbesondere für die Durchführung von Migrationen wichtig ist.

5.4.1

Verwaltung lokaler Benutzerprofile

5

Für jedes Benutzerkonto wird automatisch vom System ein Benutzerprofil erstellt, das alle persönlichen Daten und Einstellungen des Benutzers enthält. Das Benutzerprofil wird beim ersten Anmelden eines neuen Benutzers angelegt und später automatisch aktualisiert. Grundsätzlich können Benutzerprofile lokal oder auf einem Netzwerkserver gespeichert werden. Entsprechend werden verschiedene Arten von Benutzerprofilen unterschieden. 왘 Lokale Benutzerprofile

BenutzerprofilEin lokales Benutzerprofil wird beim ersten Anmelden an einem Com- arten

puter erstellt. Dieses Profil wird auf der lokalen Festplatte des betreffenden Computers gespeichert. Änderungen am lokalen Benutzerprofil gelten lediglich für den Computer, an dem diese Änderungen vorgenommen wurden. 왘 Servergespeicherte Benutzerprofile Servergespeicherte Benutzerprofile (auch als Roaming Profiles oder mitwandernde Benutzerprofile bezeichnet) werden vom Systemadministrator erstellt und auf einem Server abgelegt. Ein servergespeichertes Profil steht jeweils beim Anmelden des Benutzers an einem Computer im Netzwerk zur Verfügung und wird lokal zwischengespeichert. Änderungen am Benutzerprofil erfolgen zunächst am lokalen Profil. Bei der Abmeldung wird dann das Profil auf dem Server durch das geänderte lokale Profil ersetzt. 왘 Verbindliche Benutzerprofile Ein servergespeichertes Profil kann entweder veränderbar oder verbindlich festgelegt sein. Die veränderbare Variante wird als persönliches Profil bezeichnet, die festgelegte als verbindliches Profil (Mandatory Profile). Ein verbindliches Profil ist nicht durch den Benutzer änderbar. Mit verbindlichen Benutzerprofilen können Einstellungen für einzelne Benutzer oder Benutzergruppen festgelegt werden. Um Änderungen an den verbindlichen Benutzerprofilen durchführen zu können, sind administrative Rechte erforderlich.

259


Speicherort und Inhalt lokaler Benutzerprofile Der Standardspeicherort für lokale Profile ist das Verzeichnis %Systemdrive%\Benutzer. Dieses Verzeichnis wird bei der Installation von Windows 7 angelegt. Die einzelnen Benutzerprofile befinden sich jeweils in Unterverzeichnissen. Benutzerprofile setzen sich aus einem Ordner mit Unterverzeichnissen zur Speicherung von Verknüpfungen und anderer Elemente und einem entsprechenden Unterschlüssel des Registrierungs-Teilbaums HKEY_CURRENT_ USER zusammen, der in der Datei NTuser.dat abgebildet wird. Die Verzeichnisse mit dem kleinen Pfeil sind keine echten Verzeichnisse, sondern Verknüpfungen, die einen virtuellen Ordner darstellen, der in Wirklichkeit auf einen ganz anderen Pfad verweist. Diese Links sind aus Abwärtskompatibilitätsgründen vorhanden. Abbildung 5.17 Struktur eines lokalen Benutzerprofils

260

Versteckte Ordner

Einige Dateien und Verzeichnisse sind als versteckt gekennzeichnet. Sie erscheinen nur dann im Windows-Explorer, wenn die erweiterten Einstellungen für die Ordneransicht unter Organisieren/Ordner- und Suchoptionen/ Ansicht so konfiguriert sind, dass alle Dateien und Ordner angezeigt werden.

NTuser.dat

Im Stammordner jedes Benutzerprofils ist die Datei NTuser.dat gespeichert. Diese enthält die Registrierungseinträge für den benutzerspezifischen Unterschlüssel von HKEY_CURRENT_USER auf dem lokalen Computer, über den die für den momentan angemeldeten Benutzer gültigen Einstellungen abgefragt werden können.


Zusammen mit der Datei NTuser.dat beinhaltet das Benutzerprofil mindestens eine Transaktionsdatei namens NTuser.dat.log, die Veränderungen an NTuser.dat aufzeichnet und die Wiederherstellung erlaubt, wenn die Datei NTuser.dat während einer Aktualisierung beschädigt werden sollte. Sowohl Windows 7 als auch bereits Windows Vista arbeiten intern ausschließlich in englischer Sprache. Viele im Windows-Explorer sichtbare Ordner stellen daher lediglich Verweise in lokalisierter Sprache dar und sind nicht als reale Ordner existent. Aus diesem Grund sollten manuelle Anpassungen an Systemordnern nur in Ausnahmefällen und mit besonderer Umsicht erfolgen. Ein lokales Profil wird immer angelegt, wenn sich ein Benutzer zum ersten Mal am System anmeldet. Wenn der Benutzer Änderungen an seiner Arbeitsumgebung vornimmt, werden diese bei der Abmeldung im Profil eingetragen. Das setzt allerdings voraus, dass dieser Benutzer das Recht hat, lokale Profile zu speichern, bzw. dass es sich nicht um ein verbindliches Profil handelt.

5

Für den Fall, dass ein Benutzer sich schon einmal angemeldet hatte, das lokale Profil aber gelöscht wurde, wird bei der nächsten Anmeldung automatisch ein neues lokales Profil angelegt. Dies gilt auch, wenn sich der Benutzer an einer Active Directory-Domäne anmeldet. Das Löschen eines Benutzerkontos beinhaltet nicht das lokale Profil. Dieses muss manuell entfernt werden. Wird ein Benutzer in Active Directory gelöscht, muss auf jedem Rechner, an dem sich der Benutzer in der Vergangenheit angemeldet hatte, das lokale Profil gelöscht werden. Typischerweise werden in einer Active Directory-Domäne die Profile von Domänenbenutzern zentral als serverbasierte Profile gespeichert. Bei dem Server, auf dem die Profile gespeichert werden, muss es sich nicht um einen Domänencontroller handeln. Um einem Benutzer ein Profil zuzuweisen, ist in den Benutzereigenschaf- Arbeitsweise ten der Pfad des freigegebenen Profilverzeichnisses einzutragen. Bei der serverbasierter Anmeldung an einem zur Domäne gehörenden Rechner wird dieses Profil Profile als Vorlage für das lokale Benutzerprofil verwendet. Dazu wird das servergespeicherte Profil bei der Anmeldung auf die Arbeitsstation übertragen. Änderungen erfolgen während der Arbeitssitzung nur an dem lokal zwischengespeicherten Profil. Erst bei der Abmeldung wird das nun geänderte Profil auf den Server übertragen und überschreibt das dort gespeicherte. Bei der nächsten Anmeldung am gleichen lokalen System wird die lokale Kopie des Benutzerprofils herangezogen, mit dem servergespeicherten Profil verglichen und gegebenenfalls synchronisiert. Mit der lokalen Speicherung wird sichergestellt, dass sich Benutzer auch dann anmelden können, wenn der Domänencontroller bei der Anmeldung nicht verfügbar ist. Ging auf dem System das lokale Profil verloren, wird wiederum auf das zentrale Profil zurückgegriffen.

261

Kapitel 5 Benutzerverwaltung Serverbasierte Profile für lokale Benutzer

Auch lokalen Benutzerkonten können servergespeicherte Profile zugewiesen werden. Hierzu muss in den Benutzereigenschaften unter Profilpfad der UNC-Pfad zum Verzeichnis eines vorher angelegten Benutzerprofils eingetragen werden.

Abbildung 5.18 Konfiguration eines servergespeicherten Benutzerprofils in der Konsole Active Directory-Benutzer und -Computer

Profiltyp ändern

Abbildung 5.19 Nur wenn das Profil als servergespeichertes Profil konfiguriert wird, kann an dieser Stelle der Profiltyp geändert werden.

262

Im Dialogfeld Benutzerprofile kann überprüft werden, ob das serverbasierte Profil verwendet wird. Außerdem ist es möglich, den Anmeldetyp für das Benutzerprofil temporär zu ändern. Gehen Sie dazu folgendermaßen vor: 1. Öffnen Sie die Registerkarte Benutzerprofile. Dies geschieht am schnellsten durch Eingabe von Benutzerkonten im Suchfeld des Startmenüs und anschließende Auswahl der Option Erweiterte Benutzerprofileigenschaften konfigurieren. 2. Klicken Sie auf die Schaltfläche Typ ändern, um den Anmeldetyp für das Profil auszuwählen.


Vordefinierte Profile Neben den Benutzerprofilen für die einzelnen Benutzer existieren auf jedem Windows 7-System mindestens drei weitere Profile: Default, All Users und das Profil Öffentlich. Neue Benutzerprofile werden über eine Kopie des Standardbenutzerpro- Vorlagenprofile fils (Default) erstellt, das auf jedem Windows-System standardmäßig vorhanden ist. Dieses Profil erscheint in der Registrierung unter dem Schlüssel HKEY_USERS\DEFAULT und lässt sich bei Bedarf ändern, um Benutzern eine angepasste Systemumgebung vorzugeben. Alle Einträge, die im Default-Profil erfolgen, werden nur bei der Erstellung eines neuen Profils übernommen. Bei bereits bestehenden Benutzerprofilen greifen diese Änderungen nicht. Das Profil All Users ist ein globales Profil, das Einstellungen für alle jeweils All Users lokal angemeldeten Benutzer zur Verfügung stellt und bei Windows 7 aus einer Reihe von Verweisen auf andere Ordner besteht. Einträge beispielsweise im Ordner Desktop von All Users erscheinen bei allen Benutzern auf dem Desktop. Das Ergebnis ist eine Kombination aus den benutzereigenen Desktop-Einstellungen und dem globalen Desktop. Änderungen am Profil All Users können nur durch Mitglieder der Gruppe der lokalen Administratoren erfolgen.

5

Zusätzlich gibt es mit dem Profil Öffentlich ein weiteres Standardprofil. Die- Öffentliches Proses Profil wird für die in Windows 7 neu eingeführten Bibliotheken benö- fil in Bibliotheken tigt. Bibliotheken (Libraries) erlauben es, Dateien unabhängig von deren verwenden Speicherort zu organisieren und darauf zuzugreifen. Hierzu können in einer Bibliothek Dateien zusammengefasst werden, die in verschiedenen Ordnern gespeichert sind. Diese werden als zentrale Sammlung angezeigt, aber an ihrem jeweiligen Speicherort belassen. Die Aufgabe von Bibliotheken ist es, die Verwaltung von Dateien, die über mehrere Laufwerke verstreut sind, zu vereinfachen. Abbildung 5.20 Bibliotheken beinhalten standardmäßig auch die Ordner des öffentlichen Benutzerprofils.

263


Windows 7 wird mit den Bibliotheken Dokumente, Musik, Bilder und Videos ausgeliefert. Alle Bibliotheken beinhalten einen persönlichen und einen öffentlichen Ordner. Dabei handelt es sich um die im Benutzerprofil beziehungsweise im öffentlichen Profil hinterlegten Pfade.

Benutzerprofile mittels Gruppenrichtlinien verwalten Zur Administration von Benutzerprofilen gibt es einige sehr nützliche Gruppenrichtlinien, mit denen beispielsweise festgelegt werden kann, wie mit dem Profil zu verfahren ist, wenn die Anmeldung remote über eine langsame Netzwerkverbindung erfolgt. Die Richtlinien sind in einer Active Directory-basierten Umgebung im Gruppenrichtlinienobjekt der Domäne zu finden und können dort zur Steuerung von Benutzerprofilen auf der Ebene der gesamten Domäne oder von Standorten bzw. Organisationseinheiten eingesetzt werden. Als lokale Gruppenrichtlinien erlauben sie die Vorgabe von Einstellungen, die auf die lokalen Benutzerprofile Anwendung finden. Lokales Gruppenrichtlinienobjekt

Zur Konfiguration von lokalen Gruppenrichtlinien zur Steuerung von Benutzerprofilen gehen Sie wie folgt vor: 1. Öffnen Sie durch Eingabe von gpedit.msc im Suchfeld des Startmenüs das lokale Gruppenrichtlinienobjekt. Hierzu sind administrative Rechte erforderlich. 2. Wählen Sie unter Computerkonfiguration bzw. Benutzerkonfiguration/ Administrative Vorlagen/System den Container Benutzerprofile. Abhängig von der zu konfigurierenden Richtlinie ist diese entweder im Bereich Computer oder Benutzer zu finden.

Abbildung 5.21: Gruppenrichtlinien zur Verwaltung von Benutzerprofilen

264


5.4.2

Verwaltung serverbasierter Profile in heterogenen Netzwerken

Wie bereits ausgeführt, hat Microsoft mit Windows Vista die Struktur der Benutzerprofile merklich geändert. So wurden zum Beispiel die beiden Ordner Anwendungsdaten und Application Data zum Ordner AppData zusammengefasst, und der Ordner Eigene Dateien wurde in Dokumente umbenannt, aus dem aber die Ordner Musik, Videos u.a. ausgegliedert wurden. Außerdem befinden sich die Ordner an unterschiedlichen Speicherorten: 왘 Windows XP-Neuinstallation %Systemdrive%\Dokumente und Einstellungen\%Username% 왘 Windows Vista und Windows 7 %Systemdrive%\Benutzer\%Username% Dies wirft die Frage auf, was passiert, wenn sich ein Benutzer mit einem serverbasierten Profil abwechselnd an einem Windows XP-Rechner und einem Windows 7-Rechner anmeldet, da die unterschiedliche Struktur eine gemeinsame Nutzung des Profils ausschließt. Frühere WindowsVersionen hatten eine weitgehend gleiche Profilstruktur und konnten sich daher ein gemeinsames Profil teilen, auch wenn dies in der Praxis nicht immer problemlos funktioniert hat.

Profilversionierung bei serverbasierten Profilen

Zur Lösung dieses Problems hat Microsoft eine Versionierung der Profile eingeführt. Alle Profile vor Windows Vista sind Version 1, auf Windows Vista sowie Windows 7 basierende Profile gehören zur Version 2. Damit erhalten alle Windows-Profile automatisch als Ordnernamen den Benutzernamen mit einer angehängten Endung „.v2“. Auf dem Server befinden sich damit für jeden Benutzer zwei Profilpfade. Die Speicherung des Windows 7-basierten Profils auf dem Server erfolgt automatisch, sobald sich ein Benutzer mit einem serverbasierten Profil erstmals an einem Windows 7Rechner anmeldet. Dabei werden alle vorhandenen Einstellungen und Dateien (beispielsweise die Favoriten und die OutlookProfileinstellungen) aus dem vorhandenen Profil in das neue Windows 7-Profil übernommen.

Abbildung 5.22 Servergespeichertes Profil in der Version 1 und der Version 2

Hierbei ist zu beachten, dass der Profilname in den Konteneigenschaften nicht geändert werden muss. Unter Profilpfad ist unabhängig vom verwendeten Clientbetriebssystem der UNC-Pfad für das Profil gemäß nachstehendem Format einzutragen: \\\\%Username%.

265

5

6

Daten, Datenträger und Dateisysteme

Computer sind nicht nur im Laufe der Jahre immer schneller geworden, sie haben auch immer mehr Speicherplatz in Form von permanentem Speicher erhalten. Hatte der erste IBM-PC mit einer Festplatte (IBM PC XT im Jahr 1983) noch einen Speicherplatz von 10 MB, so werden heute Systeme verkauft, deren Speicherplatz um den Faktor 1 Million höher liegt. Parallel zur Entwicklung der Technologie von permanenten Speichermöglichkeiten für Daten entwickelten sich auch Technologien, wie diese Daten auf einem Datenträger organisiert und verwaltet werden können.

6.1

Datenträger aus Sicht der Hardware

Prinzipiell werden in diesem Kapitel nur Datenträger behandelt, die einen Nicht alles, was direkten und wahlfreien Zugriff auf die enthaltenen Informationen erlau- Daten trägt, ist ben. Dies bedeutet, dass es sich hier nur um Festplatten, USB-Speicher, opti- ein Datenträger sche Laufwerke und verschiedene Formen von virtuellen oder netzwerkbasierten Speichern handelt, nicht aber um Massenspeicher wie beispielsweise Bandlaufwerke, weil bei diesen kein direkter Zugriff auf einen bestimmten Bereich des Datenträgers besteht. Die Betrachtung von Disketten unterlassen wir, da die Speicherkapazität heutigen Ansprüchen nicht mehr genügt und zudem viele Systeme meist nicht mehr über ein Diskettenlaufwerk verfügen. Ebenfalls nicht betrachtet werden hier über Netzwerkfreigaben eingebundene Laufwerke, diese werden in Kapitel 8 behandelt. Aus Sicht des Systems wird ein solcher Datenträger durch zwei Eigenschaften charakterisiert, die eine Einordnung gemäß folgender Matrix erlauben:

267

Kapitel 6 Daten, Datenträger und Dateisysteme Tabelle 6.1 Klassifikation von Datenträgern

Löschbar Stationär

Festplatte

Wechselbar

USB-Stick, Speicherkarte USB-Festplatte iSCSI, SAN Virtuelle HD

6.1.1

Nicht löschbar

CD/DVD

HW-Adapter für Datenträger

Parallel mit der Größe der Festplatten entwickelten sich auch die verschiedenen Möglichkeiten, wie eine Festplatte mit dem Computer verbunden werden konnte. Für Windows sind vor allem drei Aspekte bei der Hardware für den Anschluss eines Datenträgers wichtig: 왘 Setup – Unterstützt die Setup-Routine der Windows-Installation und die Ansprache des Datenträgers. Sofern die Setup-CD oder -DVD von Windows den betreffenden Datenträger nicht nativ unterstützt (wie beispielsweise bei XP und SATALaufwerken), so müssen Sie während des Setups manuell einen zusätzlichen Datenträger mit dem passenden Treiber zuführen. 왘 Boot – Unterstützt der Datenträger das initiale Laden des Betriebssystems durch das BIOS beim Systemstart. Sofern das ROM-BIOS des Systems keine Möglichkeit bietet, von dem gewünschten Datenträger zu booten, kann man von einem anderen Datenträger starten und erst später auf diesen Datenträger zugreifen. Aus diesem Grund enthalten beispielsweise separate SCSI-Adapter ein eigenes BIOS, welches das ROM-BIOS ergänzt. 왘 Regelbetrieb – Kann ein installiertes Windows über Treiber auf die Informationen des Datenträgers zugreifen. Nur ein Datenträger, der alle drei Aspekte anbietet, kann vollumfänglich von Windows 7 genutzt werden, dies betrifft sämtliche aktuell verfügbaren Technologien in dem Bereich. Reale und irreale Datenträger

268

Neben realen physischen Datenträgern unterstützt Windows 7 auch drei Formen von mehr oder minder virtuellen Datenträgern: 왘 SAN (Storage Area Network) – Diese ursprünglich aus dem Rechenzentrum und dem Großrechnerbereich stammende Technologie verbindet über spezielle (oftmals optische) Adapter das System mit seinem Datenspeicher (zum Beispiel Fibre Channel). Im SAN-Datenspeicher sitzt meist eine intelligente Verwaltung, die beispielsweise die Abtrennung der einzelnen Datenspeicher für die verschiedenen angeschlossenen Systeme untereinander vornimmt oder die in der Lage ist, die Daten eigenständig auf Archivierungsmedien zu sichern. Bedingt durch den hohen Preis derartiger Lösungen findet man diese eher selten im Desktop-Bereich. 왘 iSCSI – Internet SCSI (Small Computer System Interface) ist angelehnt an die seit langen Jahren bekannte Technologie SCSI, die ursprünglich zum direkten Anschluss von Festplatten und Geräten – wie Scanner,


Bandlaufwerke oder optische Laufwerke – an ein Bussystem vorgesehen war. Der bisher kabelgebundene Datentransfer wird stattdessen in Form von IP-Paketen zwischen den iSCSI-Servern (iSCSI Targets genannt) und den iSCSI-Clients (iSCSI Initiators genannt) vermittelt. Auf diese Weise können die Systeme und ihre Datenträger fast beliebig weit auseinander entfernt aufgestellt werden. Die bisherigen Beschränkungen der maximalen Kabellänge von höchstens einigen Metern bei SCSI werden aufgehoben. Auf welcher Hardware die Daten aufseiten des Targets tatsächlich abgespeichert werden, bleibt dem Initiator verborgen. Prinzipiell unterscheidet es sich in der Funktionsweise nur wenig von großen SAN-Lösungen, ist jedoch durch den geringen Preis deutlich attraktiver auch für den Einsatz auf Desktop-Systemen. 왘 Virtual HD – Ursprünglich aus der Entwicklung von Virtualisierungslösungen kommend, ist es seit Windows 7 auch möglich, .vhd-Dateien auf einer normalen Festplatte als eigenständiges Laufwerk einzubinden. Um erste Experimente mit iSCSI durchzuführen, können Sie unter [STAR] nach Registrierung eine kostenlose Testversion eines iSCSITargets laden. Diese läuft auf allen gängigen Windows-Installationen.

6.1.2

iSCSI im Einsatz

Um mit Windows 7 eine Verbindung mit einem iSCSI-Target herzustellen, RechenzentrumTechnologie im sind zwei Schritte notwendig: Eigenbau 1. Konfiguration des iSCSI-Initiators 2. Herstellung der Verbindung Starten Sie zunächst die Konfiguration des iSCSI-Initiators, indem Sie Systemsteuerung/System und Sicherheit/Verwaltung/iSCSI-Initiator aufrufen. Hierzu ist eine UAC-Abfrage notwendig. Beim ersten Aufruf dieser Funktion wird Ihnen mitgeteilt, dass der iSCSI-Dienst nicht ausgeführt wird. Bestätigen Sie die entsprechende Frage, ob der Dienst künftig automatisch starten soll. Abbildung 6.1 Start des iSCSIDienstes erlauben?

Im nun angezeigten Dialogfeld sind zunächst noch keine Ziele zu sehen. Aktivieren Sie deshalb die Registerkarte Suche. Per Klick auf die Schaltfläche Portal ermitteln können Sie die Verbindung zu einem iSCSI-Target herstellen. Geben Sie zunächst die IP-Adresse oder den Namen des Zielsystems ein. Sofern Ihr Target keine besondere Konfiguration aufweist, belassen Sie die Einstellung für den Port auf dem Standardwert 3260.

269

6

Kapitel 6 Daten, Datenträger und Dateisysteme

Was ist ein iSNS? Ähnlich wie man im DNS nach IP-Adressen suchen kann, gibt es für iSCSI-Systeme eine eigene Verwaltungsstruktur, diese wird iSNS (Internet Storage Name Service) genannt. iSCSI-Targets registrieren sich bei einem iSNS-Server, iSCSI-Initiatoren können einen iSNS-Server nach einem für sie verfügbaren iSCSI-Target befragen. Der Einsatz lohnt sich allerdings eher in größeren Umgebungen, in denen es mehr als ein iSCSI-Target gibt. Wechseln Sie zurück zur Registerkarte Ziele, und in der Liste der erkannten Ziele erscheinen die Datenträger, die das im vorigen Schritt hinzugefügte iSCSI-Target für den Client anbietet. Abbildung 6.2 Ziel erkannt!

Markieren Sie nun das Ziel in der Liste, und klicken Sie auf die Schaltfläche Verbinden. Auf Wunsch können Sie im Dialogfeld markieren, dass das gewählte Ziel ein bevorzugtes Ziel sein soll. Die Verbindung mit einem derartigen Ziel wird automatisch beim Systemstart erneut hergestellt. Im aktuellen Fall hat das iSCSI-Target keine Authentifizierung verlangt. Sofern der iSCSI-Server eine Authentifizierung verlangt, müssen Sie die Schaltfläche Erweitert betätigen und die notwendigen Anmeldedaten eingeben. Aus Gründen der Sicherheit kann man sowohl den Client sich gegenüber dem Server ausweisen lassen als auch zusätzlich den Server gegenüber dem Client (wechselseitige Authentifizierung).

270


So ist sichergestellt, dass kein böswilliger Server die Anmeldeinformationen des Clients abgreift. Welches Anmeldeverfahren genau verwendet wird, muss mit dem Administrator des iSCSI-Targets abgeklärt werden. Abbildung 6.3 Verbinden mit Anmeldung

6 Starten Sie nun die Datenträgerverwaltung über Systemsteuerung/System und Sicherheit/Verwaltung/Datenträgerverwaltung, und Sie werden zunächst gefragt, ob Sie den neuen Datenträger initialisieren möchten. Danach steht Ihnen das iSCSI-Laufwerk als zusätzliches Laufwerk zur Verfügung.

Dreh- und Angelpunkt Datenträgerverwaltung Abbildung 6.4 Ein Netzwerklaufwerk in der Datenträgerverwaltung

Mehr zur Verwendung der Datenträgerverwaltung erfahren Sie in Abschnitt 6.5.2 ab Seite 313.

271


6.1.3

Virtueller Speicher im Einsatz

Wenn man einen sehr großen Datenträger unterteilen will, kann man zum einen natürlich die vorhandene Partition zunächst verkleinern und dann eine neue Partition anlegen (siehe hierzu Abschnitt 6.5.2). Möchte man aber nur temporär für Testzwecke einen separaten Datenträger nutzen, bietet sich mit Windows 7 die Variante Virtuelle Festplatte an. Eine solche Festplatte ist nichts weiter als eine einzelne Datei (Image), die im normalen Dateisystem liegt. Um eine solche Platte anzulegen, wählen Sie in der Datenträgerverwaltung den Befehl Aktion/Virtuelle Festplatte erstellen aus. Im nun erscheinenden Dialogfeld müssen Sie drei Angaben machen: 왘 Ort – In welchem Verzeichnis und mit welchem Namen soll die Imagedatei der neuen Festplatte angelegt werden? Diese Datei hat standardmäßig den Typ .vhd (Virtual Hard Disk). Das Verzeichnis muss bereits existieren. 왘 Größe – Wie groß soll die neue Festplatte sein? Hierzu geben Sie eine Zahl und die gewünschte Maßeinheit (Mega-, Giga- oder Terabyte) an. 왘 Format – Alternativ kann entweder eine dynamische oder eine feste Festplatte angelegt werden. 왘 Dynamisch – Bei der dynamischen Größe wird nur eine maximale Größe festgelegt. Sobald dann tatsächlich Daten auf den Datenträger gespeichert werden, wird Zug um Zug die Imagedatei vergrößert. Dies hat den Vorteil, dass man für Testzwecke einen theoretisch sehr großen Datenspeicher anlegen kann, ohne real viel Platz zu verbrauchen. Im Einsatz steht jedoch der Platz für das virtuelle Laufwerk in Konkurrenz zu dem Platz der anderen Dateien auf dem realen Laufwerk. Zudem benötigt das Erweitern des Speicherplatzes Rechenzeit, die von der Leistung des Computers für die Anwendung, die den Speicherplatz benötigt, abgeht. 왘 Fest – Bei der festen Größe wird sofort nach der Erstellung bereits die Imagedatei mit ihrer maximalen Größe angelegt. Dies hat den Vorteil, dass der Speicherbereich der virtuellen Platte später nicht mehr von Dateien auf dem realen Datenträger belegt werden kann. Zudem muss während der Verwendung des virtuellen Datenträgers nicht noch zusätzlich Zeit für dessen Erweiterung aufgewendet werden. Abbildung 6.5 Anlegen einer »irrealen« realen Platte

272

Partitionen, physische und logische Laufwerke >dir Datenträger in Laufwerk H: ist Huge Volumeseriennummer: 080E-5CBF Verzeichnis von H:\ 13.08.2009 21:42 256 test.txt 1 Datei(en), 256 Bytes 0 Verzeichnis(se), 1.610.333.184.000 Bytes frei

Listing 6.1 Viel hilft viel: virtuelles Laufwerk mit 1,5 TB Speicherplatz

Nachdem das virtuelle Laufwerk angelegt worden ist, kann es wie jedes Angewandter reale Laufwerk verwendet werden, es muss also zunächst initialisiert und Größenwahnsinn es müssen Partitionen angelegt werden, siehe hierzu den Abschnitt 6.2 ab Seite 273. Näheres, um die virtuelle Festplatte wieder zu entfernen, finden Sie im Abschnitt 6.5.1 ab Seite 311. Eine bereits bestehende Datei einer virtuellen Festplatte können Sie über den Befehl Aktion/Virtuelle Festplatte anfügen erneut zum System hinzufügen.

6.2

Partitionen, physische und logische Laufwerke 6

Früher war die Welt noch einfacher: Es gab physische Laufwerke, diese wurden mittels Partitionen unterteilt, und eine Partition entsprach einem Laufwerksbuchstaben. Heute ist das alles etwas komplizierter. Das, was ein Computer als physisches Laufwerk ansieht, können tatsächlich mehrere Laufwerke sein, die der Festplattencontroller dem System gegenüber als ein Laufwerk ausweist. Oder sie sind (wie im obigen iSCSI-Beispiel) ganz woanders oder eine reine Dateilösung. Prinzipiell gilt aber immer noch: Das, was der Computer als physisches Laufwerk sieht, muss auf die eine oder andere Weise aufgeteilt werden.

6.2.1

MBR oder GPT-Datenträger?

Prinzipiell ist eine Partition die Bezeichnung für einen bestimmten, fest definierten Bereich eines physischen Laufwerks. Die Auflistung aller dieser Partitionen nennt man Partitionstabelle. Aktuell gibt es zwei Weisen, wie auf der Festplatte die Information über die vorhandenen Partitionen vermerkt werden kann:

MBR Das erste Format wurde als MBR (Master Boot Record) bezeichnet, weil die Alt und bewährt Partitionsinformationen zusammen mit dem Startcode für den Bootprozess des Systems im ersten Sektor der Festplatte notiert wurden. Weil in dem Sektor außer den Partitionsinformationen zusätzlich auch noch der Programmcode untergebracht werden musste, war im Master-Boot-Sektor nur Platz für die Informationen von vier Partitionen. Eine dieser Partitionen konnte als erweiterte Partition angelegt werden. Diese war eine Kopie des MBR in einem weiteren Sektor der Festplatte mit Platz für vier weitere

273


Partitionen. Dieser Sektor konnte auch eine Kette mit anderen Sektoren bilden, um so eine größere Anzahl von Laufwerken zu definieren. Beim Start des Systems lädt das BIOS den ersten Sektor der Festplatte in den Speicher und überträgt danach die Kontrolle auf den somit geladenen Programmcode. Dieser wertet die Informationen der Partitionstabelle aus und identifiziert die erste Partition, die mit dem Merkmal Aktiv gekennzeichnet ist. Der Code im MBR lädt daraufhin den ersten Sektor dieser Partition in den Speicher und startet den dort enthaltenen Code, der wiederum das Betriebssystem startet. Da die Partitionsinformationen nur einmal auf dem Datenträger abgespeichert werden, war dieses Konzept natürlich fehleranfällig. Informationen zum internen Aufbau der MBR-Partitionstabelle finden sich unter [MBR].

GPT Neu, schick und cool

Zusammen mit dem neuen BIOS-Typ EFI (Extensible Firmware Interface), den Intel und andere Hardwarehersteller als Nachfolger des klassischen IBM PC-BIOS vorgestellt hatten, wurde auch ein neues Format für die Partitionsinformationen eingeführt: GPT (GUID Partition Table). Dieses Format sollte die Nachteile des alten MBR-Format beheben, insbesondere die geringe Anzahl möglicher Partitionen und die Fehleranfälligkeit, da bei einem MBR die Partitionsinformationen nur einmal auf der Platte abgespeichert werden. Auf einer mit GPT partitionierten Festplatte findet sich kein Startcode mehr im MBR, der Code für den Startprozess findet sich alleinig im EFI-BIOS. Windows XP kann in der 32-Bit-Version überhaupt nicht mit GPT-Partitionen umgehen, unter Windows XP in der 64-Bit-Version lassen sich GPT-Partitionen als Datenpartitionen verwenden. Die 32-Bit-Version von Windows Server 2003 kann ab SP 1 auch von GPT-Partitionen starten. Für alle Versionen von Windows Vista, Windows Server 2008 und Windows 7 bestehen keine Einschränkungen mehr.

Doppelt hält besser!

Die Informationen über die vorhandenen Partitionen sind zweimal auf der Platte gespeichert, einmal auf den Sektoren am Anfang der Platte und in einer Kopie in den Sektoren am Ende der Platte. Auf diese Weise erreicht man eine gewisse Toleranz gegenüber Plattenfehlern, die ansonsten die Informationen auf der Platte unzugänglich machen könnten. Damit nicht versehentlich ein Betriebssystem, das nur den MBR-Typ erkennt, auf eine GPT-Platte zugreift, wird auch bei einer GPT-Platte in den ersten Sektor der Platte ein Platzhalter in Form eines MBR geschrieben, der eine Partition definiert, welche die komplette Platte umfasst. Ab dem zweiten Sektor folgt dann der Bereich der Partitionsdaten (siehe [GPT]). Während eine MBR-Platte nur ein Byte für den Typ der Partition unterstützte, dient für diese Kennzeichnung bei einer GPT-Platte gleich eine 16 Byte große GUID-Angabe (deshalb auch der Name). Zusätzlich bekommt jede einzelne Partition auch eine eigene GUID zugewiesen.

274

Partitionen, physische und logische Laufwerke

Früher wurden Bereiche auf einer Platte noch direkt adressiert, indem spezifiziert wurde, auf welcher Spur der Platte (Cylinder) welcher Lesekopf (Head) welchen Sektor zu lesen hatte. Diese sog. CHS-Angabe war aber auch nach mehreren Erweiterungsverfahren auf Festplatten von maximal knapp 8 GB beschränkt. Aus diesem Grund werden moderne Platten direkt über die Angabe der gewünschten Blocknummer (LBA, Logical Block Addressing) angesprochen. Die Umsetzung der LBAAngabe in eine tatsächliche Lokation auf der physischen Platte obliegt nun dem Controller, der direkt in der Festplatte verbaut ist. Während in einem MBR noch beide Angaben vorhanden sind, wird die GPT nur noch mit LBA-Angaben angegeben. Welchen Typ eine Festplatte hat, können Sie ersehen, wenn Sie in der Datenträgerverwaltung in der linken Spalte der Darstellung mit der rechten Maustaste auf den betreffenden Datenträger klicken und dann Eigenschaften auswählen. Den Partitionstyp finden Sie auf der Registerkarte Volumes. Ein Wechsel zwischen den beiden Typen ist möglich, jedoch nur dann, wenn der Datenträger keinerlei Daten mehr enthält. Abbildung 6.6 Partitionstyp eines Datenträgers

6.2.2

Basis oder dynamisch?

Windows kennt zwei Arten von Datenträgern: Basis (Basic) und Dyna- Dynamisch in die misch. Dynamische Datenträger wurden mit Windows 2000 eingeführt und Zukunft bieten die Möglichkeit, mehrere Partitionen zu einem gemeinsamen Datenbereich zusammenzuschließen. Einige ältere Betriebssysteme sind jedoch nicht in der Lage, von einem dynamischen Datenträger zu starten. Während des Setups legt Windows 7 bei der Partitionierung nur Basisdatenträger an. Ein Wechsel von einem Basisdatenträger in einen dynamischen Datenträger ist möglich. Klicken Sie dazu mit der rechten Maustaste auf den Datenträger in der linken Spalte der Datenträgerverwaltung, und wählen Sie In dynamischen Datenträger konvertieren aus.

275

6

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.7 Umwandlung in einen dynamischen Datenträger

Sie werden vor der Umwandlung zur Sicherheit auf die möglichen Konsequenzen hingewiesen. Je nach Anzahl der vorhandenen Partitionen auf dem Datenträger kann der Vorgang auch etwas länger dauern, die Daten auf dem Datenträger bleiben dabei erhalten. Der Weg von einem dynamischen Datenträger zurück zu einem Basisdatenträger ist nur möglich, wenn keine Partitionen mehr auf dem Datenträger vorhanden sind. Ob ein Datenträger vom Typ Basis oder Dynamisch ist, können Sie in der entsprechenden Spalte der Datenträgerverwaltung ersehen (siehe Abbildung 6.10). Daten? Logisch!

Bei einem dynamischen Datenträger werden in der Partitionstabelle keine Informationen mehr gespeichert, die Informationen über die dort als Volume bezeichneten Plattenbereiche werden in einer Art Datenbank mit dem Namen Logical Volume Manager (LVM) oder auch Logical Data Manager (LDM) gespeichert. Bei einem dynamischen Datenträger auf einer MBRPlatte wird nur eine Partition vom Typ 0x42 angelegt, die die komplette Platte belegt. Bei einer GPT-Platte werden zwei Partitionen angelegt, eine vom Typ LDM Metadata Partition, welche die Informationen der einzelnen Volumes enthält, und eine vom Typ LDM Data Partition, welche die tatsächlichen Partitionsdaten der Volumes enthält.

6.2.3 Ausfallschutz und mehr

276

Vom Datenträger zum Laufwerksbuchstaben

Um bei Festplatten eine größere Ausfallsicherheit, Fehlertoleranz und größere Kapazitäten zu erreichen, hat man im Bereich der Hardware die Technologie RAID (Redundant Array of independent Disks – redundanter Stapel unabhängiger Platten) entwickelt, mit der mehrere Festplatten logisch zu einer einzigen kombiniert wurden. Im professionellen Einsatz wird dies durch spezielle Festplattencontroller angeboten, die dafür dann auch entsprechende Steuerprogramme anbieten.

Partitionen, physische und logische Laufwerke

RAID-Level

Name

Funktion

0

Stripeset

Die Daten werden auf zwei oder mehr Datenträger verteilt, quasi werden die Daten streifenweise (stripe) auf verschiedene Datenträger aufgeteilt. Dies bewirkt eine Vergrößerung der Kapazität und eine Erhöhung der Geschwindigkeit, da mehrere Platten parallel arbeiten. Maximal unterstützt Windows hierbei die Koppelung von 32 Datenträgern. Ein Defekt an einer der Platten führt allerdings zum Datenverlust auf allen Platten, es existiert also hier keine Redundanz.

1

Spiegelsatz Mirror

Die Daten werden parallel auf zwei oder mehr Datenträger geschrieben. Solange noch mindestens ein Datenträger funktionstüchtig ist, können die Daten noch gelesen werden.

5

Stripeset mit Parität

Mindestens drei Festplatten werden verwendet. Die Information wird mit einer Paritätsinformation zur Fehlerkorrektur zusammen gleichmäßig auf den Datenträgern abgespeichert. Dies hat zur Folge, dass der Ausfall einer einzelnen Platte noch keinen Datenverlust nach sich zieht. Wird die fehlerhafte Platte ersetzt, kann die komplette Information wieder hergestellt werden. Bedingt durch die Paritätsberechnung und die gleichmäßige Aktion auf allen Platten ist diese Methode die langsamste.

Tabelle 6.2 RAID-Level, die bei Windows verwendet werden

6

Es gibt noch eine Reihe weiterer RAID-Level, die jedoch in der Praxis eher selten zum Einsatz kommen. Viele moderne IDE- und SATA-Adapter unterstützen RAID-1 (Mirroring), wenn zwei gleichartige Platten angeschlossen sind. Dies sollte man aus Gründen der Sicherheit bei Serversystemen unbedingt anwenden. Überprüfen Sie in der Anleitung des Controllers, wie diese Funktion überwacht werden kann. Die Ausfallsicherheit nützt nichts, wenn Sie den Ausfall einer Platte nicht bemerken und darauf reagieren können. Die in Tabelle 6.2 aufgeführten RAID-Level 0 und 1 kann Windows auch Software-RAID, selbst softwaremäßig nachbilden. Dies ist natürlich deutlich langsamer besser als nichts gegenüber einem speziell dafür ausgerichteten Festplattencontroller. Der für sensible Datenbestände ausgerichtete RAID-Level 5 wird von Windows 7 nicht unterstützt, auch wenn die entsprechende Option in der Datenträgerverwaltung vorgesehen ist. Um eine entsprechende Plattenkombination einzurichten, benötigen Sie nur eine entsprechende Anzahl freier Datenträger.

277

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.8 Spiegelung anlegen, ausgehend von Volume G:

Einrichten einer Spiegelung Am einfachsten geht dies bei einer Spiegelung. Sofern auf dem System ein freier Datenträger vorhanden ist, der mindestens so groß ist wie die gewünschte Zielpartition, können Sie einfach die Zielpartition mit der rechten Maustaste anklicken und Spiegelung hinzufügen auswählen. Diese Aktion ist nur auf einem dynamischen Datenträger möglich. Sofern sich die zu spiegelnde Partition auf einem Basisdatenträger befindet, erhalten Sie vorab eine entsprechende Warnung, dass der Datenträger zunächst konvertiert werden muss. Abbildung 6.9 Ziel für die Spiegelung auswählen

Spieglein, Spieglein auf der Platte ...

278

Im nächsten Schritt müssen Sie das Ziel für die Spiegelaktion auswählen, auch wenn nur ein Datenträger als Ziel möglich ist. Der eigentliche Vorgang der Spiegelung läuft automatisch ab und kann anhand einer Prozentanzeige in der Datenträgerverwaltung verfolgt werden. Nach Möglichkeit sollten währenddessen keine Anwendungen auf die zu spiegelnde Platte zugreifen.

Daten und Dateisysteme Abbildung 6.10 Daten werden gespiegelt.

Die weiteren Optionen der Datenträgerverwaltung werden in den entsprechenden Abschnitten 6.5.2 ab Seite 313 und 6.6 ab Seite 317 beschrieben.

6.3

6

Daten und Dateisysteme

Ein Datenträger alleine ist zunächst nichts weiter als eine Ansammlung von Daten mit Speicherplatz ohne jegliche Verwaltungsinformation. Damit man Daten Ordnung bilden und Dateien darauf abspeichern (und wiederfinden) kann, muss ein Daten- ein Dateisystem träger mit einem Dateisystem formatiert werden. Ein Dateisystem erfüllt dabei drei wesentliche Aufgaben: 왘 Benennung von Speicherplatz und Anordnung der Namen in eine Baumstruktur zur Organisation auch größerer Namensräume. 왘 Zuweisung von Speicherplatz, Verhinderung der Doppelvergabe von Speicherplatz und Organisation des nicht zugeordneten Speicherplatzes. 왘 Vergabe und Kontrolle von Berechtigungen, um gezielt den Zugang zu bestimmten Informationen zu erlauben oder zu verweigern. Unter Windows werden heutzutage im Wesentlichen zwei Dateisysteme unterstützt: NTFS und FAT. Unter Windows NT 4.0 war auch noch eine Unterstützung von HPFS (für OS/2) vorhanden, diese wurde zwischenzeitlich entfernt. Eine detaillierte Übersicht über die Unterschiede und Größenrestriktionen bei FAT und NTFS ist im Dokument Local File Systems for Windows unter der Adresse [FSYS] zu erhalten.

279


6.3.1 FAT will never die!

FAT

Die FAT (File Allocation Table) wurde erstmals mit der ersten Version von MS/PC-DOS eingeführt, die zunächst nur Disketten unterstützte. Im Laufe der Jahre hat es verschiedene Varianten von FAT gegeben (FAT-12, FAT-16, FAT32, VFAT, exFAT), die aber alle eines gemeinsam haben: Es gibt kein Berechtigungskonzept, jeder hat Zugriff auf alle Dateien eines Datenträgers. Die FAT selbst ist eine einfache Liste von Clustern (Gruppe von mehreren Sektoren). Sofern eine Datei mehr als einen Cluster benötigt, steht im Eintrag für den ersten Cluster die Nummer des zweiten Clusters, im Eintrag des letzten Clusters steht eine Endmarkierung. Diese Tabelle wird aus Redundanzgründen zweimal auf dem Datenspeicher abgelegt. Eine genauere Erklärung des FAT-Formats findet sich auf der Seite [FAT] und weiteren dort verlinkten Seiten. Im Laufe der Zeit ist FAT immer wieder mit seinen Maximalwerten für Dateigröße und Datenträgergröße an die Grenzen der technischen Entwicklung gestoßen. Die letzte Entwicklungsstufe ist aktuell exFAT, das Anfang 2009 von Microsoft für die Systeme Windows XP SP2, Windows Vista SP1 und Windows 7 eingeführt wurde. Entwickelt wurde exFAT zunächst für Windows CE 6.0 unter besonderer Berücksichtigung der Anforderungen für Flash-Speicher (USB-Sticks). Aktuell wird FAT vorwiegend bei solchen Systemen verwendet, bei denen eine Implementierung von NTFS nicht möglich oder nicht sinnvoll erscheint, beispielsweise bei Digitalkameras oder MP3-Musikgeräten. Auf bestimmten Aspekten der FAT-Implementierung besteht immer noch Patentschutz der Firma Microsoft. Die Verwendung von FAT in anderen Geräten kann deshalb Lizenzzahlungen nach sich ziehen.

6.3.2

NTFS

NTFS wurde von Microsoft erstmals mit Windows NT 3.1 eingeführt und ist inzwischen in der Version 3.1 erschienen, die mit Windows XP vorgestellt wurde. Gegenüber FAT bietet NTFS eine ganze Reihe zusätzlicher Fähigkeiten. Fähigkeit

Funktionsweise

Journal

Sämtliche Operationen im Dateisystem werden in einer Journaldatei protokolliert, bei Fehlern kann nachvollzogen werden, an welcher Stelle ein Abbruch erfolgte, dies erleichtert die Wiederherstellung.

Bereitstellungspunkt Mountpoints

Datenträger können außer als eigenständiger Laufwerksbuchstabe auch unterhalb eines Verzeichniseintrages eingebunden werden, sodass beispielsweise G:\ auf einem anderen physischen Laufwerk liegt als G:\temp.

Verzeichnisse in Baumstruktur

Insbesondere bei größeren Verzeichnissen können die einzelnen Einträge effektiver gefunden werden, da die Einträge in Form eines binären Baums abgespeichert werden.

Tabelle 6.3: Fähigkeiten von NTFS

280


Fähigkeit

Funktionsweise

Optimierter Speicherplatz für kleine Dateien

Sehr kleine Dateien werden gleich im Verzeichniseintrag der Datei abgespeichert und belegen keinen zusätzlichen Platz auf dem Datenträger, der zudem in einer separaten I/O-Operation gelesen werden müsste.

Zugriffsschutz (ACL – Access Control List)

Für Dateien und Verzeichnisse können Zugriffsberechtigungen vergeben werden, um Datenschutz und Datensicherheit zu gewährleisten.

Komprimierung

Daten können komprimiert gespeichert werden, ohne sie zuvor in spezielle Containerdateien zu packen (.zip-Dateien).

Harte Verknüpfungen (Hard Links)

Eine Datei auf einem Datenträger kann unter verschiedenen Namen erreicht werden.

Symbolische Verknüpfungen (Sym Links) auf Verzeichnisse

Der Name eines Verzeichnisses wird beim Zugriff automatisch durch den Namen eines anderen Verzeichnisses ersetzt, dies kann auch auf einem anderen Datenträger liegen.

Verschlüsselung (Encryption)

Dateien können verschlüsselt werden, näher wird dieses Konzept in Kapitel 13 behandelt.

Kontingente (Quotas)

Das System überwacht automatisch die Nutzung des Datenspeichers pro Benutzer, es können Grenzwerte angegeben werden, um die übermäßige Belegung des Datenspeichers zu verhindern.

Dateien mit geringer Datendichte (Sparse Files)

In bestimmten Anwendungsfällen hat man es mit Dateien zu tun, in denen nur sehr wenige Datenwerte stehen. Mit diesen Sparse Files ist es möglich, nur diese Datenwerte und nicht auch den Leerraum dazwischen abzuspeichern.

Alternative Datenströme (Alternate Data Streams)

Es ist möglich, zu einer Datei mehr als nur die reinen Nutzdaten abzuspeichern. Diese ADS-Daten können nur über spezielle Funktionen gelesen werden, sodass sie für normale Dateifunktionen unsichtbar bleiben. Ein Beispiel sind die Links im Favoriten-Ordner des Internet Explorers. Das Symbol einer Webseite ist im ADS der .url-Datei gespeichert.

Unicode-Zeichensatz

Die Namen von Dateien und Verzeichnissen können mit dem UnicodeZeichensatz angegeben werden. Dies hat zur Folge, dass deutsche Umlaute oder andere fremdsprachige Zeichensätze in den Namen verwendet werden können.

Analysepunkte

Anwendungen können gezielt Aktionen im Dateisystem überwachen, und beim Vorliegen bestimmter Rahmenbedingungen werden aus dem Dateisystemtreiber heraus Routinen der Anwendung aufgerufen. Auf diese Weise können einfach zusätzliche Funktionalitäten des Dateisystems implementiert werden.

Tabelle 6.3: Fähigkeiten von NTFS (Forts.)

Die kleinste Verwaltungseinheit eines NTFS-Dateisystems ist der Cluster, eine Folge von Sektoren auf einem Datenträger. Die Größe eines Clusters wird bei der Formatierung festgelegt (siehe den Abschnitt 6.4 ab Seite 309), die Größe eines Sektors ergibt sich aus der verwendeten Hardware des Datenträgers (im Allgemeinen 512 Byte).

281

6


Die Master File Table Alles ist eine Datei

Die Verwaltungsinformationen von NTFS werden selber in Form von Dateien abgespeichert, die sich wiederum auf dem NTFS-Datenträger befinden. Diese Dateien lassen sich von normalen und administrativen Benutzern nicht ansehen oder bearbeiten, man erkennt jedoch, dass bestimmte Dateinamen bereits belegt sind. Dreh- und Angelpunkt aller NTFS-Laufwerke ist die Master File Table (MFT), die unter dem Namen $mft im Wurzelverzeichnis jedes NTFS-Volumes liegt. C:>dir > \$mft Zugriff verweigert

Von der MFT existieren mindestens zwei Exemplare auf dem Datenträger (erkennbar in der Ausgabe von fsutil fsinfo ntfsinfo in Listing 6.2). Die Kopie hat den Namen \$MftMirr (erkennbar an der Ausgabe von fsutil volume querycluster mit den beiden Angaben für MFT-Start-LCN und MFT2-StartLCN). Die Kopie ist nicht vollständig, sondern enthält nur die ersten vier Einträge ($Mft, $MftMirr, $Logfile und $Volume) der MFT. Listing 6.2 Informationen über die MFT

>fsutil fsinfo ntfsinfo c:\ ... MFT-Start-LCN : MFT2-Start-LCN : MFT-Zonenstart : MFT-Zoneende : ... >fsutil volume querycluster Cluster 0x00000000000c0000, >fsutil volume querycluster Cluster 0x0000000000000002,

0x00000000000c0000 0x0000000000000002 0x000000000021aaa0 0x000000000021dc60 c: 0x00000000000c0000 verwendet von -S--D \$Mft::$DATA c: 0x0000000000000002 verwendet von -S--D \$MftMirr::$DATA

Im Gegensatz zur FAT, die immer am Anfang eines Datenträgers gespeichert wird, kann die MFT prinzipiell überall auf der Platte angelegt werden, im Allgemeinen wird sie in der Mitte des Datenträgers angelegt. In früheren Versionen von Windows wurde dafür 12,5 % des Plattenplatzes für die MFT reserviert, seit Windows Vista wird initial eine Größe von 200 MB festgelegt. In diesem reservierten Bereich werden zunächst keine Dateien angelegt, um eine Fragmentierung der MFT bei deren Wachstum zu vermeiden. Dieser Bereich wird als MFT-Zone bezeichnet (siehe Angaben zu Start und Ende in Listing 6.2). Die Größe dieser Zone lässt sich durch den Wert NtfsMftZoneReservations im Schlüssel HKLM\ SYSTEM\CurrentControlSet\Control\FileSystem kontrollieren, siehe hierzu den Artikel [MFT].

Zeitstempel Für jede Datei auf dem System wird ein Eintrag (Record) für die zur Datei gehörigen Verwaltungsinformationen in der MFT angelegt. Sofern die Datei klein genug ist, wird sie direkt in diesem Eintrag mit abgespeichert. Zu den Verwaltungsinformationen gehören unter anderem die Zeitangaben, wobei NTFS hier drei unterschiedliche Zeitstempel verwaltet: Zeit

282


der Erzeugung (create time), Zeit des letzten schreibenden Zugriffs (write time) und Zeit des letzten lesenden Zugriffs (access time). Die drei Zeitangaben kann man beim DIR-Befehl mit den Optionen /TC, /TW und /TA getrennt ausgeben lassen. Ohne Angabe wird immer die write time ausgegeben. C:\Users\adm>dir /tc test.txt 26.08.2009 09:43 1.477 test.txt C:\Users\adm>dir /tw test.txt 26.08.2009 09:44 1.477 test.txt C:\Users\adm>dir /ta test.txt 30.08.2009 00:29 1.477 test.txt

Aus Effizienzgründen ist die Veränderung der Zeit des lesenden Zugriffs deaktiviert. Dies lässt sich mit dem Befehl fsutil behavior query DisableLastAccess ändern. Für gelöschte Dateien wird der betreffende MFT-Record wieder freigegeben, um erneut belegt zu werden. Er wird jedoch nicht von der MFT entfernt, sodass die MFT im Laufe der Zeit immer größer wird.

6

Reicht der Platz innerhalb des MFT-Records nicht für die Nutzdaten der Datei aus (ab circa 1.400 Byte), werden für diese separate Cluster reserviert. In der MFT wird dann ein Zeiger auf die derartig zugeteilten Cluster notiert. Eine derartige Folge von Datenclustern wird auch als »Lauf« (data rum) bezeichnet. Wächst die Datei und müssen weitere Cluster hinzugefügt werden, kann es passieren, dass man den Lauf nicht weiter erweitern kann, weil er auf Cluster stößt, die bereits von anderen Dateien belegt sind. In diesem Fall wird ein neuer Lauf angefangen und in den MFTRecord eingetragen. Man spricht in diesen Fall davon, dass die Datei fragmentiert ist. Werden so viele Läufe angelegt, dass die Informationen über die Läufe nicht mehr in den ursprünglichen MFT-Record passen, wird ein neuer MFT-Record angelegt, der die Informationen aufnimmt. Trotz dieser möglichen Fragmentierung erfolgt der Zugriff auf die Datei trotzdem noch relativ zügig, da ein Zugriff auf ein bestimmtes Element der Datei recht schnell in der Kette der Läufe identifiziert werden kann, ohne – wie bei FAT – die Kette der Cluster schrittweise abarbeiten zu müssen.

Verzeichnisse bei NTFS Ein Verzeichnis ist bei NTFS im Grunde genommen zunächst nur eine Datei mit speziellen Attributen. Auch hier werden kurze Verzeichnisse komplett in ihren zugehörigen MFT-Record gespeichert. In dem Record liegen dann Verweise auf die MFT-Records, die die Informationen über die einzelnen Dateien enthalten. Bei größeren Verzeichnissen mit vielen enthaltenen Dateien werden entsprechend mehr MFT-Records belegt. Durch die Anordnung der einzelnen Dateien innerhalb der jeweiligen MFT-Records ergibt sich eine Baumstruktur der Einträge.

283


Bei NTFS ist auch das Wurzelverzeichnis eines Volumes ein Verzeichnis wie jedes andere auch. Dies bedeutet, dass, im Gegensatz zu FAT12 und FAT-16, die maximale Anzahl der Verzeichniseinträge im Wurzelverzeichnis nicht begrenzt ist. Bei FAT-12 und FAT-16 beträgt die maximale Anzahl von Einträgen ins Wurzelverzeichnis 512 Einträge, wobei Einträge mit langen Namen auch mehr als einen Eintrag verbrauchen können. Weitere Dateien und Verzeichnisse, die NTFS für die eigene Verwaltung verwendet und in den ersten Records der MFT speichert sind: 왘 $logfile – Enthält Logeinträge über alle auf der Platte durchgeführten Aktionen. Kann im Fehlerfall oder bei Systemabstürzen dazu verwendet werden, um entstandene Fehler im Dateisystem zu reparieren. 왘 $volume – Enthält Informationen über den Namen des Datenträgers, die Version des NTFS-Dateisystems und die Information, ob das Volume ordnungsgemäß heruntergefahren wurde. 왘 $AttrDef – Informationen über Attribute des Dateisystems. 왘 . – Der Eintrag . (dot) bildet das Wurzelverzeichnis des Dateisystems. 왘 $Bitmap – Enthält eine Bitmap, die den Belegungsstatus jedes einzelnen Clusters auf dem Datenträger widerspiegelt. 왘 $boot – Enthält auf startfähigen Datenträgern den Bootsektor und den Bootcode zum Start des Betriebssystems. 왘 $BadClus – Enthält Informationen über beschädigte Cluster auf dem Datenträger. Diese werden zukünftig nicht mehr vom System verwendet. 왘 $Secure – Enthält Sicherheitsinformationen. 왘 $Upcase – Enthält zur Generierung der 8.3-Dateinamen eine Umwandlungstabelle, die für die Unicode-Zeichen der NTFS-Dateinamen den entsprechenden DOS-tauglichen Großbuchstaben enthält. 왘 $Extend – Bildet ein Verzeichnis, in dem weitere Verwaltungsinformationen stehen, zum Beispiel die Informationen für die Kontingentverwaltung. Verborgene Informationen

Listing 6.3 Die ersten Einträge in der MFT

284

Einen tieferen Einblick in den Aufbau der MFT kann man mit dem Programm nfi.exe gewinnen, das über die Adresse [OEM] als Bestandteil der OEM Support Tools heruntergeladen werden kann. In der hier gezeigten Form listet es in aufsteigender Reihenfolge die einzelnen Records in der MFT auf. nfi c: NTFS File Sector Information Utility. Copyright (C) Microsoft Corporation 1999. All rights reserved. File 0 Master File Table ($Mft) $STANDARD_INFORMATION (resident) $FILE_NAME (resident) $DATA (nonresident) logical sectors 6291456-6376959 (0x600000-0x614dff) logical sectors 17596352-17651135 (0x10c7fc0-0x10d55bf)

Daten und Dateisysteme $BITMAP (nonresident) logical sectors 6291448-6291455 (0x5ffff8-0x5fffff) logical sectors 2597256-2597279 (0x27a188-0x27a19f) File 1 Master File Table Mirror ($MftMirr) $STANDARD_INFORMATION (resident) $FILE_NAME (resident) $DATA (nonresident) logical sectors 16-23 (0x10-0x17) File 2 Log File ($LogFile) $STANDARD_INFORMATION (resident) $FILE_NAME (resident) $DATA (nonresident) logical sectors 6027928-6158999 (0x5bfa98-0x5dfa97) File 3 DASD ($Volume) $STANDARD_INFORMATION (resident) $FILE_NAME (resident) $OBJECT_ID (resident) $SECURITY_DESCRIPTOR (resident) $VOLUME_NAME (resident) $VOLUME_INFORMATION (resident) $DATA (resident)

6

Plattenplatzüberwachung Auch in der heutigen Zeit haben Festplatten die unangenehme Eigenschaft, Platten sind irgendwann voll zu sein. Insbesondere auf Systemen, die von vielen Benut- immer zu klein zern gleichzeitig verwendet werden, muss ein Administrator immer darauf achten, dass nicht einzelne Benutzer übermäßig viel Platz mit ihren Dateien belegen. Um diesen Prozess zu automatisieren, hat man ein System zur Kontingentverwaltung auf Datenträgern (Quota) eingerichtet. Generell unterscheidet man immer zwischen zwei Grenzen: einer weichen und einer harten Grenze. Die weiche Grenze kennzeichnet einen Wert, ab dem die Plattenbelegung nicht mehr als normal angesehen wird, unter Windows wird dies als Warnstufe bezeichnet. Die harte Grenze ist jene, ab der ein Benutzer damit rechnen muss, dass er keine weiteren Daten mehr abspeichern kann. Ausgangspunkt der Verwaltung ist immer der Datenträger, auf den sich die Kontingentangabe bezieht. Es ist also nicht möglich, die Platzbelegung nur in einem Unterverzeichnis festzulegen. Starten Sie deshalb zunächst über Start/Computer den Blick auf sämtliche Laufwerke des Systems. Dann wählen Sie das gewünschte Laufwerk aus und öffnen die Eigenschaften und dort dann die Registerkarte Kontingent. Alternativ können Sie auch die Eigenschaften über das Kontextmenü des Datenträgers in der Datenträgerverwaltung aufrufen. Für die weiteren Aktionen müssen Sie über administrative Berechtigungen verfügen oder sich diese über die Schaltfläche Kontingenteinstellungen anzeigen zunächst beschaffen.

285


Zunächst werden die Datenträgerkontingente deaktiviert sein. Aktivieren Sie diese, indem Sie das Kontrollkästchen Kontingentverwaltung aktivieren einschalten. Diese Aktion kann insbesondere bei größeren Laufwerken geraume Zeit dauern und muss deshalb separat bestätigt werden. Abbildung 6.11 Kontingentverwaltung wirklich nutzen?

Wie geht man mit DateiMessies um?

Abbildung 6.12 Einstellungen der Kontingentverwaltung

286

Im Dialogfeld können bei aktivierter Kontingentverwaltung nun folgende Einstellungen vorgenommen werden: 왘 Speicherplatz bei Überschreitung der Kontingentgrenze verweigern – Sobald ein Benutzer versucht, mehr Speicher anzufordern, als ihm als Grenzwert zugewiesen wurde, verweigert das System die Zuweisung von mehr Speicher. Das betroffene Anwendungsprogramm erhält eine entsprechende Fehlermeldung. 왘 Speicherplatz beschränken auf – Die Einstellung hier betrifft nur die Aktionen neuer Benutzer, für die noch keine eigene Grenze festgelegt wurde. Sobald ein derartiger Benutzer das erste Mal auf den Datenträger zugreift, bekommt er diese Grenzwerte zugewiesen. Es ist nicht möglich, nur eine Grenze zuzuweisen. 왘 Ereignis bei Überschreitung der Kontingentgrenze protokollieren – Sobald das System feststellt, dass ein Benutzer die jeweilige Grenze überschritten hat, kann eine Meldung in das Ereignisprotokoll geschrieben werden. Auf diese Weise kann ein Administrator schnell einen Überblick über den Zustand der Kontingentverwaltung bekommen.


Über die Schaltfläche Kontingenteinträge erhält man Einblick in die aktuell von den Benutzern belegte Datenmenge und ihre Grenzwerte. Beim Betrachten von Abbildung 6.13 fällt auf, dass aktuell nur der Benutzer user3 ein begrenztes Kontingent zugewiesen bekommen hat. Dies liegt darin begründet, dass die anderen Benutzer bereits Daten auf dem Datenträger abgelegt hatten, bevor die Kontingentverwaltung aktiviert wurde. Der Benutzer user3 hat erst danach erstmalig auf den Datenträger zugegriffen und bekam deshalb die Grenzwerte für neue Benutzer zugewiesen. Abbildung 6.13 Kontingente sind festgelegt.

Per Doppelklick auf einen der Einträge oder die Menüfunktion Kontingent/ Eigenschaften lassen sich die aktuellen Grenzen des betreffenden Benutzers verändern. Auch hier gilt wieder, dass man immer beide Grenzwerte setzen muss. Für Benutzer, die noch nicht auf den Datenträger zugegriffen haben oder die andere Grenzen als die Standardwerte für neue Benutzer zugewiesen bekommen sollen, kann man über das Symbol Neuer Kontingenteintrag oder die entsprechende Funktion aus dem Menü Kontingent auch vorab bereits einen entsprechenden Eintrag anlegen.

6

Abbildung 6.14 Einstellung der Kontingente für einen Benutzer

Durch Markieren einer oder mehrerer Einträge und Ausführen der Funk- Bericht zur Lage tion Bearbeiten/Kopieren kann eine Darstellung der Daten in Textform in der Platte die Zwischenablage übertragen werden, zum Beispiel zur Verwendung in Dokumentationen über das jeweilige System.

287

Kapitel 6 Daten, Datenträger und Dateisysteme Listing 6.4 Kopie der QuotaEinträge in der Zwischenablage

Kontingenteinträge für Volume (I:) Status Name Anmeldename Belegter Speicher (MB) Kontingentgrenze (MB) Warnstufe (MB) Prozent belegt Begrenzung überschritten user2 win7\user2 3,1 2 1 155 Warnung user3 [email protected] 1,83 2 1 91 OK user2 [email protected] 0 3 1,5 0 OK adm [email protected] 0 Unbegrenzt Unbegrenzt Nicht zutreffend

Aus der Aufstellung aus Listing 6.4 lässt sich erkennen, dass Benutzer win7\user2 seine Kontingentgrenze überschritten hat. Dies kann durch zwei Aktionen passieren: Entweder ist das Kontrollkästchen Speicherplatz bei Überschreitung der Kontingentgrenze verweigern nicht aktiviert, oder die Grenze wurde manuell herabgesetzt. Über die Befehle Kontingent/Importieren und Kontingent/Exportieren kann eine maschinenlesbare Darstellung der Kontingenteinträge in einer separaten Datei erzeugt werden, etwa um die Einträge auf einem anderen Laufwerk zu restaurieren. Abbildung 6.15 Kontingentereignisse in der Ereignisanzeige

In der Ereignisanzeige können die Ereignisse der Kontingentverwaltung im Systemprotokoll unter der Ereignisquelle Ntfs angesehen werden. Ein Benutzer, für den ein Kontingent auf einem Laufwerk angelegt wurde, sieht nicht mehr die tatsächliche freie Größe des Laufwerks, sondern nur noch den Platz, der ihm durch sein Kontingent zur Verfügung steht. Es ist nicht möglich, über die GUI einer Gruppe ein Kontingent zuzuweisen, das dann für alle Mitglieder der Gruppe gemeinsam gilt. Man kann jedoch mit dem Befehl fsutil (siehe den Abschnitt 6.6.2 ab Seite 322) ein Kontingent auf eine Gruppe setzen. Dies gilt jedoch dann nur für die Dateien, deren Besitzer die Gruppe direkt ist.

288

Daten und Dateisysteme Abbildung 6.16 Platzbeschränkung durch Kontingente

Alternate Data Streams Als ADS (Alternate Data Stream) bezeichnet man eine Technik, bei der zu einer Datei weitere Daten gespeichert werden, die für die normalen Dateioperationen wie Lesen und Schreiben quasi unsichtbar sind. Gleichzeitig sind sie aber direkt mit der Datei gekoppelt, sodass sie beispielsweise vom Kopieren ebenfalls mit erfasst werden. Möglich ist diese Technik nur bei NTFS, bei FAT wird sie nicht unterstützt. Dies hat auch zur Folge, dass man diese ADS mit Programmen, die nicht speziell für NTFS entwickelt wurden, nicht bearbeiten oder entdecken kann. Gleichfalls müssen diese Programme aber darauf achten, dass sie solche Daten nicht bearbeiten können, wenn sie diese von einem FAT-Datenträger beziehen.

6

Um anzuzeigen, welche Dateien mit derartigen ADS versehen sind, kann Verborgenes man die Option /R des Befehls DIR oder das Programm Streams von Sysin- sichtbar machen ternals (siehe [SYS]) verwenden. Um die Streams zu sehen und ihren Inhalt zu manipulieren oder sie zu löschen, dient das Programm AlternateStreamView von [ASV]. Windows selbst verwendet ADS zum Beispiel im Internet Explorer. Hier werden die Symbole der Favoriten in ADS gespeichert und eine Information über die Herkunft einer heruntergeladenen Datei hinterlegt. >\streams Autoruns.zip Streams v1.56 - Enumerate alternate NTFS data streams Copyright (C) 1999-2007 Mark Russinovich Sysinternals - www.sysinternals.com C:\Users\adm\Downloads\Autoruns.zip: :Zone.Identifier:$DATA 26

Listing 6.5 Geheime Daten in ADS

>more < Autoruns.zip:Zone.Identifier:$DATA [ZoneTransfer] ZoneId=3

289


>dir 26.08.2009 09:43 1.477 test.txt 17.07.2009 10:22 791.393 badapp.exe 0 Verzeichnis(se), 13.211.062.272 Bytes frei >type badapp.exe > test.txt:geheim >dir test.txt 26.08.2009 09:44 1.477 test.txt 0 Verzeichnis(se), 13.210.251.264 Bytes frei > streams test.txt Streams v1.56 - Enumerate alternate NTFS data streams Copyright (C) 1999-2007 Mark Russinovich Sysinternals - www.sysinternals.com C:\Users\adm\test.txt: :geheim:$DATA 791393 C:\Users\adm>dir /r test* 26.08.2009 09:44 1.477 test.txt 791.393 test.txt:geheim:$DATA

In Listing 6.5 können Sie folgende Aktionen sehen: 왘 Mit dem Programm Streams wird überprüft, ob die Datei Autoruns.zip mit ADS versehen ist. Das Programm listet einen gefundenen Stream mit dem Namen Zone.Identifier:$DATA auf. Dieser wird danach über Eingabeumleitung an das Programm more übergeben und ausgegeben. Sie sehen den Inhalt ZoneId=3. 왘 Im zweiten Teil wird die Anwendung badapp.exe über Ausgabeumleitung in den ADS test.txt:geheim der Datei test.txt gespeichert. Die Dateilänge verändert sich dadurch nicht, aber Sie können erkennen, dass der freie Plattenplatz sich von 13.211.062.272 auf 13.210.251.264 Byte verringert, die Differenz von –811.008 Byte entspricht in etwa der Größe der im ADS gespeicherten Daten, zuzüglich etwas Verschnitt durch Clustergrößen. Mit dem Befehl DIR /R können Sie sehen, dass der ADS keinen eigenen Zeitstempel besitzt. 왘 Weder type noch more verstehen ADS-Namen, deshalb wird in den Beispielen jeweils mit der Ein-/Ausgabeumleitung des Kommandoprozessors gearbeitet. Das Problem ist hierbei die Namenskonvention Dateiname Doppelpunkt ADS-Name, da der Doppelpunkt sonst bei Dateinamen nur am Anfang als Kennzeichnung des Laufwerksbuchstaben verwendet wird. Die Datei kommt aus Feindesland

290

Die Zoneninformation verwendet der Explorer zum Beispiel, um zu entscheiden, ob eine Datei sicher ist oder nicht. Eine mit der angegebenen Info ist für ihn nicht sicher, und er zeigt dies entsprechend auch in den Eigenschaften der Datei an. Mit der Schaltfläche Zulassen wird der ADS gelöscht. Eine ausführbare Datei mit einem derartigen ADS führt der Explorer nicht aus, sondern präsentiert eine Warnmeldung, die der Benutzer erst bestätigen muss.

Daten und Dateisysteme Abbildung 6.17 Unsichere Datei dank ADS

6.3.3

NTFS – Berechtigungen

Ändern

Lesen & Ausführen

Verzeichnis auflisten

X

X

X

X

Ordner auflisten/Daten lesen

X

X

X

X

X

Attribute lesen

X

X

X

X

X

Schreiben

Vollzugriff

Ordner durchsuchen/Datei ausführen

Lesen

Erweiterte Berechtigung

Zu jeder Datei und zu jedem Verzeichnis verwaltet NTFS eine Zugriffskon- Wer darf was? trollliste (ACL, Access Control List). In dieser Liste ist vermerkt, welche Benutzer und Gruppen welche Aktionen mit dem betreffenden Objekt ausführen oder nicht ausführen dürfen. Zusätzlich wird auch noch vermerkt, wer der Besitzer der Datei oder des Verzeichnisses ist, im Normalfall ist dies derjenige, der die Datei auch angelegt hat. Beim Anlegen einer neuen Datei erhält diese als Zugriffsrechte zunächst die vererbten Zugriffsrechte des Ordners zugewiesen, in dem die Datei angelegt wird. Die Berechtigungen werden bei NTFS in zwei Stufen dargestellt, eine Basisstufe mit einer eher groben Einteilung der Berechtigungen und einer erweiterten Stufe mit sehr detaillierten Einstellungen. Die einzelnen Basisstufen beinhalten die folgenden erweiterten Stufen:

Tabelle 6.4: Zusammenhang zwischen einfachen und erweiterten Berechtigungen

291

6

Vollzugriff

Ändern

Lesen & Ausführen


Lesen

Erweiterte Attribute lesen

X

X

X

X

X

Dateien erstellen/Daten schreiben

X

X

X

Ordner erstellen/Daten anhängen

X

X

X

Attribute schreiben

X

X

X

Erweiterte Attribute schreiben

X

X

X

Löschen

X

X

Unterordner und Dateien löschen

X

X

Berechtigungen lesen

X

X

Berechtigungen ändern

X

Besitz übernehmen

X

X

X

X

Schreiben



X

Tabelle 6.4: Zusammenhang zwischen einfachen und erweiterten Berechtigungen (Forts.)

Die Berechtigung Lesen & Ausführen beinhaltet die Berechtigung Lesen, die Berechtigung Ändern die Berechtigungen Lesen & Ausführen und Schreiben. Zulassen oder verweigern?

Jede einzelne Berechtigung kann entweder Zugelassen oder Verweigert werden. Hierbei haben Verweigerungen immer Priorität gegenüber Zulassungen. Besitzt ein Benutzer also als Mitglied einer Gruppe das Recht zur Änderung und ist ihm als Benutzer das Recht Attribute schreiben verweigert, besitzt er alle in der Spalte Ändern aufgeführten Rechte mit Ausnahme des einen speziellen Rechts. Sobald man eine entsprechende Berechtigung setzt, wird man auf diesen Umstand extra hingewiesen.

Abbildung 6.18 Zugriffsverweigerungen haben Vorfahrt!

Bestimmte Aktionen können durch mehrere Berechtigungen ermöglicht werden. Um beispielsweise eine Datei zu löschen, muss er entweder für die Datei das Recht Löschen besitzen, oder er benötigt für den Ordner, in dem die Datei liegt, das Recht Unterordner und Dateien löschen.

292


Zu beachten ist der Unterschied zwischen den Aktionen Lesen und Ausführen. Für echte ausführbare Programme (also .com- und .exe-Dateien) besteht ein Unterschied, ob eine Datei vom Datenträger gelesen wird, um ausgeführt zu werden, oder ob eine Kopie der Datei angelegt werden soll. Für Skriptdateien (zum Beispiel .cmd-Dateien) ist jedoch nur die Berechtigung zum Lesen relevant, da diese Dateien nicht zum Ausführen in den Speicher geladen werden. Diese Dateien werden vom Kommandointerpreter (zum Beispiel cmd.exe) als normale Datendatei eingelesen. Den Ablauf einer solchen Skriptdatei kann man also nicht dadurch verhindern, dass man die Berechtigung zur Ausführung entzieht.

Vererbung Um nicht für jede Datei einzeln Berechtigungen vergeben zu müssen, Was du ererbt existiert das Konzept der Vererbung. Hierbei erhalten Objekte in einem hast von deinen Container (ein Verzeichnis) automatisch bestimmte Berechtigungen über- Containern ... tragen, sobald sie dort neu angelegt werden. Möchte man nun ein derartiges ererbtes Recht verändern, hat man nur die Möglichkeit, zusätzliche Berechtigungen zu vergeben, wahlweise als Erlaubnisse oder Verweigerungen. Berechtigungen zu entfernen geht auf diese Weise nicht! Betrachten Sie dazu ein Beispiel: Einem Benutzer A wurde die Berechtigung »Schreiben« auf einem Verzeichnis V1 verweigert. Nun soll ihm das Schreiben auf einem Unterverzeichnis V1\V2 erlaubt werden. Zwar kann man ihm die Berechtigung »Schreiben« auf V1\V2 erteilen, diese steht jedoch im Widerspruch zu der ererbten Berechtigung »Schreiben:verweigert«, und diese hat bekanntermaßen Vorrang. Um dieses Problem zu umgehen, gibt es die Möglichkeit, die Vererbung aufzulösen, womit das Objekt mit einer neuen ACL ohne Altlasten starten kann. Bei dem Vorgang bekommt man die Möglichkeit, die bestehende ACL zu kopieren, um dann einfacher die gewünschten Änderungen durchführen zu können.

6

Berechtigungen kontrollieren und manipulieren In den Eigenschaften einer Datei existieret eine ganze Reihe von Dialog- Vertrauen ist gut, feldern, mit denen die Berechtigungen einer Datei angesehen und mani- Kontrolle ist puliert werden können. Der Einstieg erfolgt immer über die Registerkarte besser! Sicherheit der Dateieigenschaften. Im oberen Teil des Dialogfeldes aus Abbildung 6.19 sieht man alle Benutzer und Gruppen, denen spezielle Berechtigungen auf dem jeweiligen Objekt zugewiesen wurden. Sobald im oberen Teil ein Benutzer oder eine Gruppe selektiert wurde, wird im unteren Teil der Status der einfachen Berechtigungen angezeigt. Sobald die Kombination der erweiterten Berechtigungen nicht mehr zu einer der Basisberechtigungen passt, erscheint ein Häkchen bei Spezielle Berechtigungen. Häkchen, die eher blass dargestellt werden, kennzeichnen ererbte Berechtigungen, eher dunkle Häkchen kennzeichnen direkt zugewiesene Berechtigungen. In der Abbildung 6.19 kann man beispielsweise sehen, dass die Zulassung für die Berechtigung »Schreiben« ererbt, die Verweigerung jedoch direkt zugewiesen wurde.

293

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.19 Kontrolle der Berechtigungen

Durch Betätigung der Schaltfläche Bearbeiten kann man die Basisberechtigungen verändern. Oben im Dialogfeld von Abbildung 6.20 stehen wieder die einzelnen Gruppen oder Benutzernamen. Selektiert man eine davon, werden im unteren Teil die entsprechenden Berechtigungen angezeigt und können mit den Kontrollkästchen verändert werden. Abbildung 6.20 Basisberechtigungen verändern

Hierbei lassen sich aber nicht alle davon bearbeiten. Hier sieht man, dass zum Beispiel das Kästchen Ändern in der Spalte Zulassen einen Haken hat, dieser aber ausgegraut ist und er sich somit nicht entfernen lässt. Dies bedeutet, dass die Berechtigung ererbt ist und deshalb nicht entfernt werden kann. Das Kästchen Vollzugriff ist in beiden Spalten aktivierbar, da dieses Recht nicht vererbt worden ist. Gleiches gilt für die Verweigerungen der übrigen Rechte. Über die Schaltfläche Hinzufügen lassen sich neue Benutzer- und Gruppennamen hinzufügen, wahlweise aus dem lokalen System oder aus dem Active Directory, sofern das System Mitglied einer

294


Domäne ist. Entfernen lassen sich Benutzer, indem sie selektiert werden und danach die Schaltfläche Entfernen betätigt wird. Dies kann allerdings nur erfolgen, sofern der betreffende Benutzer oder die Gruppe nicht über Vererbung auf die ACL gekommen ist. Abbildung 6.21 Vererbte Berechtigungen bleiben erhalten.

Erweiterte Sicherheitseinstellungen Im unteren Teil des Dialogfeldes aus Abbildung 6.19 können Sie durch Betä- Erweiterte tigung der Schaltfläche Erweitert die erweiterten Berechtigungen sowie die Sicherheit Vererbung einstellen. Im Dialogfeld sehen Sie alle Einträge der ACL. Für jeden Eintrag können Sie in den einzelnen Spalten der Anzeige Folgendes erkennen: 왘 Ob es sich um eine Zulassung oder eine Verweigerung handelt. 왘 Auf welchen Benutzer oder welche Gruppe sich die Zeile bezieht. 왘 Welche Berechtigung erteilt wird. Sofern hier wieder die Kombination der erweiterten Berechtigungen nicht zu einer der Basisberechtigungen passt, wird Speziell angezeigt. 왘 Die Angabe Geerbt von gibt an, von welchem Verzeichnis die Einstellung geerbt wurde. Dies muss nicht zwingend das aktuelle Verzeichnis sein, in dem das Objekt liegt, sondern kann auch ein weiter oben im Dateibaum liegendes Verzeichnis sein. Wenn keine Vererbung stattgefunden hat und die Angabe direkt dem Objekt zugewiesen wurde, steht hier .

6

Abbildung 6.22 Erweiterte Berechtigungen

295


Mit der Schaltfläche Berechtigungen ändern gelangt man zu einem Dialogfeld, das dem bisherigen ziemlich ähnlich scheint. Abbildung 6.23 Erweiterte Berechtigungen ändern

Mit den drei Schaltflächen unter der Liste der Einträge in der ACL kann man die Liste manipulieren: 왘 Hinzufügen – Ein neuer Eintrag für einen Benutzer oder eine Gruppe wird hinzugefügt. 왘 Bearbeiten – Der in der Liste markierte Eintrag wird zum Bearbeiten angezeigt. Ein Eintrag, der nicht geerbt wurde, kann komplett bearbeitet werden. Bei einem geerbten Eintrag können prinzipbedingt nur Einträge hinzukommen. Diese werden dann als neue Zeile in die Liste aufgenommen. 왘 Entfernen – Es können nur Einträge entfernt werden, die nicht geerbt wurden. Mit dem Kontrollkästchen Vererbbare Berechtigungen des übergeordneten Objektes einschließen kann eine bestehende Vererbung aufgehoben beziehungsweise eingerichtet werden. Hebt man die Vererbung auf, hat man die Möglichkeit, entweder alle geerbten Berechtigungen zu übernehmen oder sie zu entfernen, sodass nur die aktuell nicht geerbten Berechtigungen erhalten bleiben. Abbildung 6.24 Nicht vererben, sondern behalten?

Wenn Sie das Dialogfeld aus Abbildung 6.23 mit den Schaltflächen OK oder Übernehmen bestätigen, werden die Änderungen sofort durchgeführt, auch wenn Sie danach die Dialogfelder durch Abbrechen beenden.

296


Berechtigungen auf Verzeichnissen Sofern es sich bei dem Objekt, dessen Berechtigungen gerade bearbeitet werden, um ein Verzeichnis handelt, erscheint im Dialogfeld aus Abbildung 6.23 ein weiteres Kontrollkästchen. Abbildung 6.25 Zusatzoption für Verzeichnisse

Mit dem Kontrollkästchen Alle Berechtigungen für untergeordnete Objekte können auf sämtliche in dem Verzeichnis enthaltenen Unterverzeichnisse und Dateien die Berechtigungen angewendet werden, die im aktuellen Verzeichnis als vererbbar gekennzeichnet sind. Hierbei werden sämtliche bislang unterhalb explizit vergebenen Berechtigungen entfernt. Abbildung 6.26 Erben ist nicht problemlos

6

Diese Option, an falscher Stelle gesetzt, kann problemlos ausgefeilte Berechtigungsstrukturen zerstören. Beim Zuweisen von Berechtigungen zu Verzeichnissen kann man sehr detailliert einstellen, wie sich diese Berechtigungen an welche Elemente vererben sollen. Für jede der drei Gruppen (das Verzeichnis selber, Unterverzeichnisse, enthaltene Dateien) kann individuell bestimmt werden, ob die Berechtigung auf das untergeordnete Element wirken sollen oder nicht. Abbildung 6.27 Wer darf erben?

297

Kapitel 6 Daten, Datenträger und Dateisysteme Geschickte Erbschaften

Mit geschickter Vererbung lassen sich einige Aufgabenstellungen automatisieren, die anderweitig manuell von einem Administrator durchgeführt werden müssten. Folgende Aufgabenstellung ist zu erfüllen: 왘 Es gibt einen gemeinsamen Speicherbereich, in dem Benutzer Daten ablegen sollen. 왘 Andere Benutzer sollen keinen Zugriff auf die Daten erhalten. 왘 Es soll den Benutzern aber ermöglicht werden, selbst anderen Benutzern Zugang zu erteilen. Um diese Aufgabe zu erfüllen, befolgen Sie folgende Schritte: 1. Anlage eines neuen Ordners C:\Storage 2. Deaktivierung der Vererbung für den Ordner, Übernahme der bisherigen Berechtigungen 3. Die Berechtigungen für SYSTEM und Administratoren belassen 4. Die Berechtigung für Benutzer abändern auf: 왘 Übernehmen für: Nur diesen Ordner 왘 Berechtigungen: Ordner durchsuchen, Ordner auflisten, Ordner erstellen 5. Berechtigung für ERSTELLER-BESITZER hinzufügen: 왘 Übernehmen für: Nur Unterordner und Dateien 왘 Berechtigungen: Vollzugriff Das Sicherheitsobjekt ERSTELLER-BESITZER ist ein spezieller Benutzer, der bei der Erstellung eines neuen Objektes durch den aktuellen Benutzer ersetzt wird. Die Auswirkungen dieser Einstellungen sind folgende: 왘 Im Ordner C:\Storage können die Benutzer keine Dateien anlegen, sondern nur neue Ordner (Schritt 4). 왘 Auf die neu angelegten Ordner haben zunächst nur Sie selbst Zugriff (Schritt 5). 왘 Sie können jedoch anderen Benutzern den Zugriff gestatten (die Berechtigung Vollzugriff in Schritt 5 beinhaltet auch die Berechtigung Berechtigungen ändern).

Überwachung des Zugriffs Die Möglichkeiten der Registerkarte Überwachung werden in Kapitel 14 erklärt.

Besitzer überprüfen und festlegen Jede Datei und jedes Verzeichnis auf einem NTFS-Datenträger hat einen Besitzer, der in dem Moment festgelegt wird, in dem das betreffende Objekt angelegt wird. Bei einer unbekannten Datei, die Sie irgendwo im Verzeichnis finden, können Sie anhand des Besitzers zumindest eine Ahnung bekommen, wer die Datei dort abgelegt hat. Im Explorer können Sie die

298


Spalte Besitzer zusätzlich einblenden lassen. Über die Befehlszeile lässt sich beim Befehl DIR mit der Option /Q die Anzeige des Benutzers erreichen: C:\Users\Public\Documents>DIR /Q Datenträger in Laufwerk C: ist Volume Volumeseriennummer: 5A53-E976 Verzeichnis von C:\Users\Public\Documents 25.08.2009 15:49 VORDEFINIERT\Administra. 25.08.2009 15:49 VORDEFINIERT\Administra.. 02.08.2009 12:44 509 win7lap\jochenr-admin dir.txt 25.08.2009 15:49 685 win7lap\kind dir2.txt

Listing 6.6 Anzeige des Besitzers mit DIR

Bei der Anzeige von DIR /Q steht nur eine begrenzte Anzahl von Zeichen für die Anzeige zur Verfügung, längere Benutzernamen werden abschnitten. In den erweiterten Eigenschaften des Sicherheitsdialogfeldes im Explorer kann man auf der Registerkarte Besitzer sowohl den aktuellen Besitzer festlegen als auch einen neuen bestimmen. Abbildung 6.28 Besitzer anzeigen und ändern

Durch Betätigung der Schaltfläche Bearbeiten in Abbildung 6.28 gelangt man nach einer UAC-Abfrage zu einem Dialogfeld, mit dem man einen anderen Benutzer des Objektes festlegen kann. Dies geht natürlich nur, wenn der ausführende Benutzer selbst die Berechtigung Besitz übernehmen innehat.

Anzeigen der effektiven Berechtigungen Insbesondere bei ausgefeilten Berechtigungskonzepten, die mit vielen, auch ineinander verschachtelten, Gruppen arbeiten, ist es manchmal schwierig nachvollziehbar, welche Berechtigungen ein Benutzer oder eine Gruppe am Ende tatsächlich hat. Hierbei hilft die Registerkarte Effektive Berechtigungen. Zunächst navigiert man zum fraglichen Objekt, dessen Berechtigungen man überprüfen möchte, und ruft dann das Dialogfeld auf.

299

6

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.29 Anzeige der effektiven Berechtigungen

Wer darf was?

Durch Betätigung der Schaltfläche Auswählen selektiert man den interessierenden Benutzer oder die Gruppe und bekommt dann im Feld Effektive Berechtigungen angezeigt, welche Berechtigungen der gewählte Benutzer bzw. die gewählte Gruppe in Bezug auf das Objekt hat. Sofern bei einer Berechtigung kein Haken angezeigt wird, erhält man allerdings keine Informationen darüber, ob dies durch eine Verweigerung oder durch eine fehlende Erlaubnis passiert ist.

6.3.4

NTFS-Berechtigungen auf der Kommandozeile

Um NTFS-Berechtigungen auf der Kommandozeile zu kontrollieren und zu bearbeiten, diente bis einschließlich Windows Server 2003 SP1 das Programm cacls.exe. Mit Windows Server 2003 SP2 wurde ein erweiterter Nachfolger vorgestellt, das Programm icacls.exe. Das alte Programm ist aber weiterhin in Windows 7 vorhanden, sodass alte Skripte, die Berechtigungen setzen, weiterhin funktionieren. In diesem Buch wird es aber nicht behandelt, es sei hierzu auf die Online-Hilfe cacls.exe /? verwiesen.

Anzeige der Berechtigungen mit icacls.exe Ruft man icacls.exe mit dem Namen einer Datei oder eines Verzeichnisses auf der Kommandozeile auf, erhält man eine Textdarstellung der aktuell vergebenen Berechtigungen. Diese Funktion ist genauso wie in cacls.exe implementiert. Nach Angabe des zu prüfenden Objektes können noch zusätzliche Parameter angegeben werden: 왘 /T – Zeigt nicht nur das Objekt an, sondern auch in dem Objekt enthaltene Unterverzeichnisse. 왘 /C – Arbeitet auch nach Fehlern weiter. Normalerweise wird die Verarbeitung abgebrochen, sobald ein Objekt nicht bearbeitet werden kann.

300

Daten und Dateisysteme 왘 /Q – Am Ende der Verarbeitung wird keine zusammenfassende Statis-

tik der Aktionen ausgegeben. 왘 /L – Es werden auch die Informationen aus symbolischen Verknüp-

fungen ausgegeben. Die Ausgabe von icacls.exe sieht dann wie folgt aus: >icacls c:\storage /t /c c:\storage VORDEFINIERT\Administratoren:(OI)(CI)(F) NT-AUTORITÄT\SYSTEM:(OI)(CI)(F) VORDEFINIERT\Benutzer:(S,RD,AD,X) ERSTELLER-BESITZER:(OI)(CI)(IO)(F)

Listing 6.7 Ausgabe des Kommandos icacls.exe

c:\storage\aclfile.txt VORDEFINIERT\Administratoren:(I)(F) NT-AUTORITÄT\SYSTEM:(I)(F) c:\storage\kind VORDEFINIERT\Administratoren:(I)(OI)(CI)(F) NT-AUTORITÄT\SYSTEM:(I)(OI)(CI)(F) win7lap\kind:(I)(F) ERSTELLER-BESITZER:(I)(OI)(CI)(IO)(F) c:\storage\kind-1 VORDEFINIERT\Administratoren:(I)(OI)(CI)(F) NT-AUTORITÄT\SYSTEM:(I)(OI)(CI)(F) win7lap\kind:(I)(F) ERSTELLER-BESITZER:(I)(OI)(CI)(IO)(F) ... c:\storage\kind\abc VORDEFINIERT\Administratoren:(I)(OI)(CI)(F) NT-AUTORITÄT\SYSTEM:(I)(OI)(CI)(F) win7lap\kind:(I)(F) ERSTELLER-BESITZER:(I)(OI)(CI)(IO)(F) ... 9 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten.

6

Beim Betrachten der Ausgabe in Listing 6.7 fallen zwei Dinge auf: 왘 Bei der Verarbeitung der Baumstruktur durch die Option / T werden nach dem Basiselement (c:\storage) zunächst alle Elemente der oberen Ebene (c:\storage\aclfile.txt, c:\storage\kind, c:\storage\kind-1) bearbeitet, bevor dann in die zweite Ebene (c:\storage\kind\abc) gewechselt wird. 왘 Bei der Auflistung der Berechtigungen werden diese in folgender Reihenfolge angezeigt: die explizit zugewiesenen Verweigerungen, die expliziten Berechtigungen, die erworbenen Verweigerungen und die erworbenen Berechtigungen. Bei einer Berechtigung folgt zuerst der Name des Sicherheitsobjektes, dann ein Doppelpunkt und dahinter eine Folge von in Klammern eingeschlossenen Berechtigungsmasken. Hier ein Beispiel für Verweigerungen (Zeilen 2 und 4) und direkt zuge- Verweigerte wiesene Berechtigungen (Zeilen 2 und 3) und ererbte Berechtigungen Erlaubnisse (Zeilen 3 bis 6).

301

Kapitel 6 Daten, Datenträger und Dateisysteme Listing 6.8 Vererbungen und direkte Zuweisungen

1 >icacls datei.txt 2 datei.txt win7lap\kind3:(DENY)(S,REA,RA) 3 win7lap\kind2:(S,RD,AD) 4 win7lap\kind3:(I)(DENY)(S,AD) 5 win7lap\jochenr-admin:(I)(F) 6 NT-AUTORITÄT\SYSTEM:(I)(F) 7 VORDEFINIERT\Administratoren:(I)(F)

Zeilen mit einem (I) kennzeichnen ererbte Berechtigungen (inherited), die weiteren Klammern mit einem I kennzeichnen die Weise, wie diese vererbt werden: 왘 (OI). – Einstellung wird auf Objekte (Dateien) vererbt. 왘 (CI) – Einstellung wird auf Container (Verzeichnisse) vererbt. 왘 (IO) – Einstellung wird nicht auf das Objekt angewandt, sondern nur vererbt (inherit only). 왘 (NP) – Einstellung wird nur auf das Objekt angewandt und nicht vererbt (no propagation). Zeilen mit (DENY) kennzeichnen Verweigerungen. Die restlichen Klammerpaare beschreiben Berechtigungen, mehrere Berechtigungen können in einem Klammerpaar durch Kommata getrennt zusammengefasst werden. Die einzelnen Berechtigungen können sowohl einfache als auch erweiterte Berechtigungen sein. Tabelle 6.5 Attributbezeichnungen für icacls.exe

302

Basisberechtigung


D

Löschen

AD

Ordner erstellen/Daten anhängen

F

Vollzugriff

AS

Systemsicherheitszugriff

M

Ändern

DC

Unterordner und Dateien löschen

N

Kein Zugriff

DE

Löschen

R

Lesen

GA

Vollzugriff

RX

Lesen & Ausführen

GE

Entspricht den erweiterten Berechtigungen RD, RA und RC

W

Schreiben

GR

Entspricht Basisberechtigung R

GW

Entspricht Basisberechtigung W

MA

Maximal zulässig

RA

Attribute lesen

RC

Berechtigungen Lesen

RD

Ordner auflisten/Daten lesen

REA

Erweiterte Attribute lesen

S

Synchronisieren

WA

Attribute schreiben

WD

Daten schreiben/Datei hinzufügen

WDAC

Berechtigungen schreiben

WEA

Erweiterte Attribute schreiben

WO

Besitz übernehmen

X

Ordner durchsuchen/Datei ausführen


Die Berechtigung Synchronisieren hat nur Einfluss auf das Verhalten von Multithreaded-Programmen auf entsprechenden Systemen mit mehreren Prozessoren. Auf Dateien mit dieser Berechtigung können die Benutzer mit Mitteln der Prozesssynchronisation zugreifen. Im Explorer wird dieses Attribut nicht angezeigt. Die Attribute Systemsicherheitszugriff und Maximal zulässig können zwar gesetzt werden, sind aber weder im Explorer noch bei der Überprüfung mit icacls.exe abrufbar. Ihre Funktion bleibt unklar. Generell ist es nicht schön, dass die Online-Hilfe des Programms die Berechtigungen anders bezeichnet, als dies der Explorer in seinen Dialogfeldern tut.

Aktionen mit icacls.exe Mit verschiedenen Aktionen lassen sich mittels icacls.exe die Berechtigungen einer oder mehrere Dateien und Verzeichnisse manipulieren. Die genaue Syntax der Befehle können Sie der Online-Hilfe icacls.exe /? entnehmen. 왘 /grant und /deny – Mit den Optionen lassen sich Berechtigungen (/grant) und Verweigerungen (/deny) zuweisen. Im Anschluss daran folgen der Name eines Benutzers oder einer Gruppe, ein Doppelpunkt und die betreffende Berechtigung. Das Format entspricht dem Format beim Anzeigen der Berechtigungen. 왘 /remove – Das angeführte Sicherheitsobjekt wird aus der ACL entfernt, durch Hinzufügen von :g oder :d kann das Entfernen auf Erlaubnisse oder Verweigerungen beschränkt werden. 왘 /save – Die bestehenden ACL werden in eine Datei abgespeichert. Zwei Dinge gilt es hierbei zu beachten: 왘 Die Datei wird im Unicode-Format abgespeichert und kann deshalb auch nur mit einem entsprechen Unicode-geeigneten Editor bearbeitet werden. 왘 Die Sicherheitsobjekte werden mit ihrer SID dargestellt und nicht mit ihrem Namen wie bei der Anzeige. Dies hat zur Folge, dass diese Datei nicht so einfach auf anderen Computer importiert werden kann. Die Berechtigungen der in Listing 6.8 dargestellten Datei werden wie folgt abgespeichert:

6

datei.txt D:AI(D;;SWLO;;;S-1-5-21-2096581879-31003820493730528235-1004)(A;;0x100005;;;S-1-5-21-20965818793100382049-3730528235-1003)(D;ID;LC;;;S-1-5-212096581879-3100382049-3730528235-1004)(A;ID;FA;;; S-1-5-21-2096581879-3100382049-37305282351000)(A;ID;FA;;;SY)(A;ID;FA;;;BA)

303


왘 왘

왘 왘

왘 왘

Dieses Format wird SDDL (Security Descriptor Definition Language) genannt und an verschiedenen Stellen von Windows 7 verwandt. Eine genaue Erklärung hierzu findet sich in [SDDL]. Ein Beispiel für ihre Anwendung ist die Datei %windir%\inf\defltbase.inf, mit der die Berechtigungen für das Dateisystem und die Registrierungsdatenbank über den Befehl secedit.exe wieder auf den Installationszustand zurückgestellt werden können. /restore – Eine mit der Option /save erzeugte Datei mit Berechtigungen wird wieder auf die Objekte angewandt. Durch den Parameter /substitute ist es möglich, bestimmte SID aus der Datei durch andere SID zu ersetzen. Dies ist hilfreich, wenn man eine derartige Datei auf einem anderen System oder einer anderen Installation einsetzen will. /setowner – Setzt den Besitzer einer Datei. Leider gibt es keine Option, um den Besitzer anzuzeigen. /findsid – Die angegebenen Dateien werden nach einer Berechtigung (gleich welcher Art) durchsucht, in der die angegebene SID enthalten ist. Hierbei werden nur explizite Erwähnungen angezeigt. Eine Berechtigung für eine Gruppe, in der der angegebene Benutzer Mitglied ist, wird nicht angezeigt. /reset – Bei Dateien, deren Vererbung unterbrochen wurde, wird die Vererbung wieder aktiviert. /inheritance – Für Objekte kann kontrolliert werden, ob sie Eigenschaften vererbt bekommen sollen oder nicht. Zudem kann angegeben werden, ob beim Verlust der Vererbung die bisherigen ACL kopiert werden sollen. /setintegritylevel – Kontrolliert die Verbindlichkeitsstufe (Integritätsniveau) des Objektes. Dieses Konzept wird näher in Kapitel 13 erklärt. /verify – Dient zur Überprüfung der ACL auf mögliche Fehler in den Verwaltungsstrukturen.

Andere Programme zur Anzeige und Manipulation von Berechtigungen Bedingt durch den grundlegenden Charakter der NTFS-Berechtigungen existiert eine ganze Reihe von Programmen, mit denen diese bearbeitet werden können. Beim Programm xcopy.exe kann mit der Option /O erreicht werden, dass die ACL und der Besitzer der zu kopierenden Dateien mit übertragen werden. Ohne diese Option erhalten die kopierten Daten die Berechtigungen, die sie von ihrem Zielordner vererbt bekommen. Aus der Sysinternals-Sammlung (siehe [SYS]) stammt das Programm AccessChk, mit dem die Berechtigungen sowohl auf das Dateisystem als auch auf die Registry oder Windows-Dienste angezeigt werden können.

304


AccessChk liefert einerseits eine kompaktere Darstellung als icacls.exe und andererseits mehr Informationen als icacls.exe /findsid. >accesschk.exe kind d*.txt Accesschk v4.23 - Reports effective permissions for securable objects Copyright (C) 2006-2008 Mark Russinovich Sysinternals - www.sysinternals.com C:\Users\Public\Documents\dir.txt RW C:\Users\Public\Documents\dir2.txt

Listing 6.9 AccessChk im Einsatz

>accesschk.exe d*.txt Accesschk v4.23 - Reports effective permissions for securable objects Copyright (C) 2006-2008 Mark Russinovich Sysinternals - www.sysinternals.com C:\Users\Public\Documents\dir.txt Medium Mandatory Level (Default) [No-Write-Up] RW VORDEFINIERT\Administratoren RW win7lap\jochenr-admin RW NT-AUTORITÄT\SYSTEM RW NT-AUTORITÄT\INTERAKTIV RW NT-AUTORITÄT\DIENST RW NT-AUTORITÄT\BATCH C:\Users\Public\Documents\dir2.txt Medium Mandatory Level (Default) [No-Write-Up] RW VORDEFINIERT\Administratoren RW win7lap\kind RW NT-AUTORITÄT\SYSTEM RW NT-AUTORITÄT\INTERAKTIV RW NT-AUTORITÄT\DIENST RW NT-AUTORITÄT\BATCH

6

Der erste Aufruf des Befehls liefert Informationen über die Berechtigungen des Benutzers kind auf alle Dateien, die durch die Dateimaske erfasst werden. Der zweite Aufruf gibt alle definierten Zugriffsrechte auf die Dateien aus.

6.3.5

Dateiattribute

Eine ganze Reihe von Dateiattributen existiert sowohl unter FAT als auch unter NTFS. Die FAT-Attribute wurden bereits von den ersten DOS-Versionen unterstützt, die NTFS-Attribute kamen erst später hinzu. Die folgende Tabelle listet diese Attribute auf.

305

Kapitel 6 Daten, Datenträger und Dateisysteme Tabelle 6.6 Dateiattribute bei FAT und NTFS

306

Attribut

FAT/NTFS

Bedeutung

Archiv

Beide

Sobald eine Datei gespeichert oder anderweitig manipuliert wurde, wird automatisch dieses Attribut gesetzt. Dies wird vorwiegend zur Datensicherung verwendet, da Backup-Programme Dateien anhand dieses Attributes auswählen können. Ein Beispiel hierfür sind die Optionen /A und /M des Kommandos xcopy.exe. Nähere Informationen hierzu in Kapitel 15.

Schreibgeschützt

Beide

Dateien mit diesem Attribut werden von normalen Systemfunktionen nicht zum Schreiben geöffnet oder gelöscht. Auf diese Weise kann selbst auf FAT ein gewisser Schutz vor ungewollten Veränderungen vorgenommen werden. Dieses Attribut hat keine Relevanz für Verzeichnisse.

Versteckt

Beide

Dateien und Verzeichnisse mit diesem Attribut werden normalerweise vom Kommando DIR, von Anwendungsprogrammen oder dem Explorer nicht angezeigt. Im Explorer und in dem Dateiauswahldialogfeld von Anwendungsprogrammen können diese Dateien über die Einstellung Organisieren/Ordner- und Suchoptionen/Ansicht/Versteckte Dateien und Ordner/Ausgeblendete anzeigen sichtbar gemacht werden, für das Kommando DIR hilft der Parameter /A:H. Das Kommando xcopy.exe kopiert auch versteckte Dateien mit dem Parameter /H.

System

Beide

Dateien mit diesem Attribut werden als Systemdateien angesehen und auch normalerweise nicht angezeigt. Zudem werden bestimmte Aktionen aus Sicherheitsgründen nicht für derartige Dateien durchgeführt (zum Beispiel Defragmentierung). Das Kommando DIR muss mit dem Parameter /A:S versehen werden, um diese Dateien anzuzeigen, das Kommando xcopy.exe mit dem Parameter /H, um die Dateien zu kopieren.

Indizierbar

NTFS

Windows 7 arbeitet standardmäßig mit der integrierten Desktop-Suche. Bei einer Datei mit diesem Attribut werden nicht nur die Verwaltungsinformationen wie etwa der Name in den Index aufgenommen, sondern zusätzlich auch der Inhalt. Besitzt ein Verzeichnis dieses Attribut, so wird es auf alle neu in dem Verzeichnis angelegten Dateien vererbt.


Attribut

FAT/NTFS

Bedeutung

Komprimiert

NTFS

Die Datei wird transparent komprimiert, sodass Anwendungen, die die Datei öffnen wollen, selber keine eigenen Routinen für die Komprimierung enthalten müssen.

Verschlüsselt NTFS

Die Datei wird mit Zertifikaten verschlüsselt, näheres zu diesem Thema in Kapitel 13. Die beiden Attribute Komprimiert und Verschlüsselt können nicht zusammen verwendet werden. Abbildung 6.30 Dateiattribute bei NTFS (links) und FAT (rechts)

6

Abbildung 6.31 Erweiterte Dateiattribute bei NTFS

In den Eigenschaften einer Datei können die Attribute (mit Ausnahme Der Explorer von System) überprüft werden, die erweiterten Attribute bei NTFS-Daten- kann auch mehr trägern durch Betätigen der Schaltfläche Erweitert. Die Anzeige im Explorer kann man um die Darstellung der Attributinformationen erweitern. Klicken Sie hierzu mit der rechten Maustaste in einen der Spaltenköpfe der Explorer-Anzeige. Dort wählen Sie den Befehl Weitere aus und aktivieren im Dialogfeld das Kontrollkästchen Attribute.

307

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.32 Erweitern der Anzeige im Explorer

Die Attribute werden dann als einzelne Buchstaben hinter den restlichen Angaben angezeigt, das Attribut Schreibgeschützt durch den Buchstaben R für Read only. Ein Buchstabe D bedeutet, dass der Eintrag ein Verzeichnis (Directory) ist. Abbildung 6.33 Attribute im Explorer

Attribute auf der Kommandozeile Mit dem Befehl attrib.exe können die Dateiattribute sowohl überprüft als auch manipuliert werden. Beim Aufruf mit einer Dateimaske als Parameter werden alle Dateien angezeigt, die auf die Dateimaske passen, und vor dem Dateinamen die jeweiligen Attribute der Dateien. Das Attribut I kennzeichnet allerdings Dateien, die nicht indiziert werden, die Anzeige ist also genau anders als im Explorer-Fenster von Abbildung 6.31. Durch Ergänzung des Parameters /S zu dem Kommando werden auch alle Dateien in Unterverzeichnissen angezeigt. Wird zusätzlich noch der Parameter /D angegeben, werden auch die Attribute der gefundenen Verzeichnisse aufgeführt.

308

Datenträger erstellen attrib *.txt A I S:\Neues Textdokument.txt . S:\test.txt A S:\test1.txt A H S:\test2.txt A S S:\test3.txt

Eine Sonderbehandlung existiert für Verknüpfungen, siehe hierzu den Abschnitt 6.6.4 ab Seite 329. Einzelne Attribute können durch Voranstellen des jeweiligen Buchsta- Attribute plus bens zusammen mit einem Plus- oder Minuszeichen gesetzt beziehungs- und minus weise gelöscht werden, die Attribute können dabei auch kombiniert werden. Der Befehl attrib.exe +s –h *.txt

setzt also für alle Textdateien im aktuellen Verzeichnis das System- und löscht das Verborgen-Attribut.

6.4

Datenträger erstellen

Beim Formatieren des Datenträgers kann die Größe eines Clusters konfi- Große Platten guriert werden, standardmäßig verwendet Windows folgende Cluster- stückchenweise größen in Abhängigkeit von der Gesamtkapazität des Datenträgers: Gesamtgröße

Clustergröße

Bis 512 MB

512 Byte

Zwischen 512 MB und 1 GB

1 KByte

Zwischen 1 GB und 2 GB

2 KByte

Größer als 2 GB

4 KByte

Tabelle 6.7 Abhängigkeit zwischen Datenträgergröße und Clustergröße bei NTFS

Die maximale Größe eines Clusters beträgt 64 KByte sowohl für FAT als auch NTFS, hier gelten allerdings zwei Einschränkungen: 왘 Bestimmte Programme können bei einer Clustergröße von 64 KByte den freien Platz auf einer Platte nicht mehr korrekt berechnen, dies betrifft insbesondere ältere Setup-Programme. 왘 Die transparente Komprimierung von Dateien kann bei NTFS nur bis zu einer Clustergröße von 4 KByte durchgeführt werden, bei Platten mit einer größeren Clustergröße steht die Möglichkeit der Komprimierung nicht mehr zur Verfügung. Bei der Wahl der Clustergröße muss man immer eine Abwägung treffen zwischen hohem Verwaltungsaufwand durch eine Vielzahl kleiner Cluster und hoher Verschwendung durch nur unzureichend mit Daten gefüllten großen Clustern. Man sollte also immer bedenken, welchen Einsatzzweck das Laufwerk später erfüllen soll. Generell ist es ungünstig, auf einem Datenträger sowohl sehr kleine als auch sehr große Dateien zu mischen.

309

6


Es ist nicht möglich, die Clustergröße eines Datenträgers nachträglich zu ändern. Hierfür müssen alle Daten zunächst gesichert, das Laufwerk danach formatiert und die Daten restauriert werden.

6.5

Konfiguration von Laufwerken in der GUI

Starten Sie nun die Datenträgerverwaltung über Systemsteuerung/System und Sicherheit/Verwaltung/Datenträgerverwaltung, oder geben Sie im Suchfeld des Startmenüs Partition ein und wählen den Eintrag Festplattenpartitionen erstellen und Formatieren aus. Mit der Datenträgerverwaltung lassen sich optische Wechselmedien (CD/DVD), Festplatten, USB-Laufwerke und -Speicher sowie virtuelle Datenträger wie VHD und iSCSI verwalten. Der Aufruf der Anwendung ist nur administrativen Benutzern nach UACAbfrage gestattet. Abbildung 6.34 Datenträgerverwaltung

Ein Anwendung, zwei Teile

310

Der Bildschirm der Anwendung (siehe Abbildung 6.34) ist horizontal in zwei Teile geteilt, für beide Teile lässt sich über die Menüfunktion Ansicht/ Anzeige oben beziehungsweise Ansicht/Anzeige unten bestimmen, welche Daten dort angezeigt werden. Standardmäßig wird oben die Volumenliste und unten die Grafische Ansicht dargestellt. Die Trennlinie zwischen den beiden Bereichen lässt sich mit der Maus verschieben.


In der Volumenliste erscheint eine Auflistung aller aktuell vom System erkannten Laufwerksbuchstaben samt einiger Verwaltungsinformationen über das Laufwerk wie Gesamtgröße oder Größe des freien Speichers. Hier erkennt man auch den Typ des verwendeten Dateisystems (FAT oder NTFS, RAW bedeutet, dass der Datenträger noch nicht formatiert wurde) sowie ob es sich um einen Basisdatenträger oder einen dynamischen Datenträger handelt (siehe den Abschnitt 6.2.2 ab Seite 275). In der grafischen Ansicht sind alle aktuell erkannten Datenträger aufgelistet. In der linken Spalte findet man den Typ (erkannt werden CD/DVD, Basis, Dynamisch oder Wechseldatenträger) sowie die Größe des Datenträgers. In der rechten Spalte findet man für jeden Datenträger eine grafische Darstellung der auf dem Datenträger vorhandenen Partitionen beziehungsweise Volumes. Die Größe der dargestellten Bereiche ist in der Standardansicht weder innerhalb eines Datenträgers noch zwischen unterschiedlichen Datenträgern direkt vergleichbar. In der Abbildung 6.34 ist beispielsweise der Datenträger 2 mit einer Gesamtgröße von 224 MB halb so groß dargestellt wie Datenträger 1, der etwa zehnmal so groß ist. Diese Darstellung kann man über die Funktion Ansicht/Einstellungen/ Skalierung anpassen, im Normalfall ist hier jeweils eine logarithmische Skalierung sowohl für die Datenträger als auch für die Datenträgerbereiche (Partitionen und Volumes) eingestellt. Insbesondere bei sehr großen Unterschieden zwischen den einzelnen dargestellten Elementen ist die lineare Skalierung extrem unpraktisch.

6

In der Statusleiste am unteren Rand der Anwendung findet sich eine Erklärung zu den einzelnen, in verschiedenen Farben dargestellten Datenträgerbereichen. Diese Zuordnung kann über Ansicht/Einstellungen/Darstellung abgeändert werden.

6.5.1

Aktionen auf der Ebene der Datenträger

Sobald ein Datenträger neu in das System integriert wird oder komplett gelöscht wurde, wird er mit dem Status Unbekannt und Nicht initialisiert angezeigt. Entweder durch Klick mit der rechten Maustaste auf den Datenträger in der linken Spalte oder durch Selektierung des Datenträgers und Auswahl der Menüfunktion Aktion/Alle Aufgaben muss nun zunächst die Aktion Datenträgerinitialisierung ausgeführt werden. Bei dieser wird eine Signatur auf die Platte geschrieben, mit dieser merkt Windows, dass die Platte nicht mehr völlig leer ist. Gleichzeitig wird dabei auch festgelegt, ob die Platte im MBR- oder im GPT-Format angelegt werden soll (siehe den Abschnitt 6.2.1 ab Seite 273).

311

Kapitel 6 Daten, Datenträger und Dateisysteme Abbildung 6.35 Auswahl des Partitionsformates

Fertig zum Speichern!

Sobald dieser Vorgang abgeschlossen ist, wechselt der Status des Datenträgers auf Basis und Online. Im gleichen Menü finden sich nun die Funktionen Zu GPT-Datenträger konvertieren und Zu MBR-Datenträger konvertieren, wobei Letzterer nur ausführbar ist, wenn der Datenträger leer ist. Ebenso sind hier auch die Funktionen In einen Basisdatenträger konvertieren und In dynamischen Datenträger konvertieren zu finden (siehe den Abschnitt 6.2.2 ab Seite 275). Für Wechseldatenträger (USB-Stick) sind diese Partitionierungsoptionen nicht verfügbar, da auf diesen keine Partitionen angelegt werden, dies geht nur mit speziellen Programmen. Für Wechseldatenträger wird die Funktion Auswerfen angeboten. Diese bildet die gleiche Funktion wie das Auswerfen-Symbol im Systemtray. Bei einer virtuellen Festplatte (siehe den Abschnitt 6.1.3 ab Seite 272) gibt es die Funktion Virtuelle Festplatte trennen. Diese gibt zusätzlich auch die Möglichkeit, die Datei, auf der der virtuelle Datenträger beruht, zu löschen. Sofern ein Datenträger mit dem Status Fremd angezeigt wird, ist dies ein Datenträger, der zuvor von einem anderen System verwendet wurde. Dieser muss zunächst über die Menüfunktion Fremde Datenträger importieren dem System bekannt gemacht werden. Der Inhalt des Datenträgers wird Ihnen zuvor noch zur Bestätigung angezeigt. Nach erfolgreichem Import steht der Datenträger dann zur Verwendung bereit. Sofern auf dem importierten Datenträger ein unformatierter Datenträgerbereich zu finden ist, werden Sie gefragt, ob Sie diesen formatieren möchten.

Abbildung 6.36 Import bestätigen

312


6.5.2

Verwalten von Datenträgerbereichen

Bei den Datenträgerbereichen muss man unterscheiden zwischen den Erst Platz bereits existierenden Teilen und den noch nicht belegten, freien Bereichen belegen (als Nicht zugeordnet gekennzeichnet). Für jeden Bereich sind entsprechend unterschiedliche Aktionen möglich.

Neuen Datenträgerbereich erstellen Beim Erstellen eines neuen Datenträgers bietet die Datenträgerverwaltung anders als früher FDISK oder jetzt diskpart.exe nur eine sehr eingeschränkte Möglichkeit, genau zu spezifizieren, welcher Typ von Datenträger angelegt werden soll. Generell werden immer drei Schritte nacheinander durchgeführt: 1. Angabe der Größe des gewünschten Bereiches, diese kann entsprechend maximal der Größe des unbelegten Speicherplatzes entsprechen 2. Festlegung, wie der Bereich angesprochen werden soll. Hier kann angegeben werden, ob der Partition ein eigener Laufwerksbuchstabe zugewiesen sein oder ob der Datenträger anstelle eines bereits bestehenden Unterverzeichnisses verwendet werden soll. Die Option, weder Laufwerksbuchstabe noch Pfad zuzuweisen, ist eher für diejenigen interessant, die einen Speicherbereich für ein anderes Betriebssystem einrichten wollen. 3. Angabe des Dateisystems, falls der Datenträger formatiert werden soll. Hierbei können der Typ des Dateisystems (FAT oder NTFS), die Größe der Zuordnungseinheit (Cluster) und eine Volumenbezeichnung angegeben werden. Die Option Schnellformatierung durchführen bedeutet hierbei, dass nicht der komplette Platz des neuen Laufwerks initial mit einem Startwert überschrieben wird, sondern nur ausgewählte Bereiche. Dieses Überschreiben insbesondere bei sehr großen Datenträgern kann enorm Zeit kosten. Die Option Komprimierung aktivieren bedeutet nicht, dass nur damit eine Komprimierung der Inhalte möglich wäre. Bei Aktivierung der Option werden automatisch alle Dateien und Ordner, die auf der Platte neu angelegt werden, komprimiert abgelegt. Geeignet ist dies beispielsweise für Archivierungsfestplatten, auf die eher selten zugegriffen wird.

6

Prinzipiell werden vier unterschiedliche Aktionen angeboten, wenn in einem freien Bereich die rechte Maustaste geklickt oder die Menüfunktion Aktion/Alle Aufgaben ausgewählt wird. Folgende Aktionen sind bei der Anlage eines neuen Datenträgers durchführbar: 왘 Neues einfaches Volume Ein einfaches Volume ist eine Partition oder ein Volume, das allein für sich den kompletten Datenträger bildet. Auf einen Basisdatenträger werden zunächst maximal drei primäre Partitionen angelegt, bevor die vierte mögliche Partition in eine neue erweiterte Partition angelegt wird. Hierdurch kann es zu unerwünschten Effekten kommen, in diesem Fall sollte man die Partitionierung über diskpart.exe vornehmen, weil dort eine genauere Kontrolle über die Art der erstellen Partitionen möglich ist. Auf dynamischen Datenträgern besteht dieses

313


Problem nicht, da dort keine Unterscheidung zwischen primären und erweiterten Partitionen besteht. 왘 Neues übergreifendes Volume Ein übergreifendes Volumen ist ein Datenbereich, der auf mehr als einem Datenträger verteilt angelegt wird. Anders als beim Stripeset müssen diese Bereiche nicht von identischer Größe sein. Dieser Typ kann nur auf einem dynamischen Datenträger angelegt werden, beim Versuch, diesen Typ auf einem Basisdatenträger anzulegen, erhält man die Aufforderung, diesen zum Typ dynamisch umzustellen. Beim Anlegen muss man mindestens zwei Datenträger angeben, auf denen das Volume angelegt wird. In einem Auswahldialogfeld (siehe Abbildung 6.37) werden de möglichen Datenträger angezeigt, die man mit der Schaltfläche Hinzufügen > zum neuen Datenträger hinzufügen kann. Die im rechten Teil des Dialogfeldes hinter dem Datenträgernamen angegebene Zahl bezeichnet die Größe des auf diesem Datenträger angelegten Teils des Gesamtdatenträgers. Selektieren Sie oben den Datenträger, und verändern Sie unten die Größenangabe. Abbildung 6.37 Anlage eines übergreifenden Volumes

왘 Neues Stripesetvolume

Auch Stripesets können nur auf dynamischen Datenträgern angelegt werden. Das Dialogfeld ist identisch mit dem aus Abbildung 6.37, allerdings kann man hier die Größe der beiden Bereiche auf dem Datenträger nicht individuell einrichten, bedingt durch die Konstruktion eines Stripesets müssen beide jeweils die gleiche Größe haben. 왘 Neues gespiegeltes Volume Auch gespiegelte Volumen können nur auf dynamischen Datenträgern angelegt werden. Das Dialogfeld ist identisch mit dem aus Abbildung 6.37, die maximale Größe des gespiegelten Volumens bestimmt sich aus der Größe des kleineren der freien Bereiche auf dem Datenträger.

314


Freie Bereiche auf einem Datenträger werden automatisch mit sich anschließenden freien Bereichen zusammengelegt. Eine Funktion, um ein zwischen zwei freien Bereichen liegendes Volume an den Anfang oder das Ende eines solchen Bereiches zu verschieben, existiert nicht. Hier bleibt nur der Weg über ein Sichern und Wiederherstellen der Daten, während zwischenzeitlich die Partition komplett neu angelegt wird, oder der Einsatz von speziellen Programmen zur Partitionsmanipulation wie etwa Partition Manager der Firma Paragon Software.

Bestehende Datenträgerbereiche manipulieren Nach Auswahl eines bereits bestehenden Datenträgers lassen sich im Kontextmenü oder im Menü über Aktion/Alle Aufgaben verschiedene Aktionen auslösen. 왘 Öffnen und Durchsuchen – Diese beiden Aktionen starten direkt auf dem ausgewählten Laufwerk einen Explorer beziehungsweise seine Suchfunktion darauf. Diese Funktionen werden dann aber nicht mehr wie die Datenträgerverwaltung durch einen Prozess mit hoher Verbindlichkeit ausgeführt. 왘 Partition als aktiv markieren – Diese Funktion steht nur auf MBR-Datenträgern zur Verfügung. Hier hat maximal eine Partition pro Datenträger die Eigenschaft Aktiv, diese wird beim Systemstart dann verwendet, um das Betriebssystem zu laden. Beim Wechsel von einer Partition auf eine andere erhält man eine Warnmeldung, in der darauf hingewiesen wird, dass auf der Partition, die man als aktiv kennzeichnen möchte, ein Betriebssystem vorhanden sein muss. 왘 Laufwerksbuchstaben und -pfade ändern – Mit dieser Aktion kann der Name verändert werden, unter dem der Datenträgerbereich im Dateisystem angesprochen wird. Erstaunlicherweise kann ein Datenträger unter verschiedenen Verzeichnisnamen gleichzeitig erreicht werden, jedoch nur unter einem Laufwerksbuchstaben.

6

Abbildung 6.38 Laufwerksbuchstabe oder -pfad zuweisen

왘 Formatieren – Hiermit kann ein Bereich mit einem neuen Dateisystem

versehen werden. Man hat hierbei die Auswahl zwischen NTFS, FAT und FAT32. Bei einer derartigen Formatierung gehen alle Daten auf dem Volume verloren, deshalb ist diese Option nicht für den Systemdatenträger verfügbar.

315

Kapitel 6 Daten, Datenträger und Dateisysteme 왘 Volume erweitern und Volume verkleinern – Hiermit lässt sich die Größe

eines Datenträgerbereiches verändern. Beim Verkleinern ist dabei zu bedenken, dass ein Datenträger nur so weit verkleinert werden kann, wie sich ein freier, unbenutzter Bereich am Ende des Datenträgers befindet. Diese Funktion ist nicht in der Lage, von sich aus die vorhandenen Dateien auf andere Bereiche der Platte zu verschieben. Bei einem alten, schon länger in Gebrauch befindlichen Volume lässt sich deshalb meist nur wenig Platz gewinnen. Abbildung 6.39 Kleiner geht's nicht.

Wie in der Abbildung 6.39 erkennbar, lassen sich nach Abschluss der Aktion Informationen über sie in der Ereignisanzeige nachsehen, insbesondere kann man hier Informationen erhalten, welche Dateien einer weiteren Verkleinerung im Wege stehen. Protokollname: Application Quelle: Microsoft-Windows-Defrag Datum: 29.08.2009 19:23:42 Ereignis-ID: 259 Aufgabenkategorie:Keine Ebene: Informationen Schlüsselwörter:Klassisch Benutzer: Nicht zutreffend Computer: win7.contoso.com Beschreibung: Für das Volume "VOLUME (H:, S:\temp3)" wurde eine Volumeverkleinerungsanalyse initiiert. Dieser Ereignisprotokolleintrag enthält ausführliche Informationen zur letzten nicht verschiebbaren Datei, von der möglicherweise die maximale Menge freigebbarer Bytes beschränkt wird. Diagnosedetails: - Wahrscheinlich letzte nicht verschiebbare Datei: "\$BitMap::$DATA" - Nicht verschiebbarer Cluster der Datei: "0x5b4f" - Potenzielles Verkleinerungsziel (LCN-Adresse): "0x89e7" - NTFS-Dateikennzeichen: "-S--D" - Verkleinerungsphase: ""

316

Datenträgerverwaltung auf der Kommandozeile

Ausführlichere Informationen zu dieser Datei erhalten Sie durch Ausführen des Befehls "fsutil volume querycluster \\?\Volume{b3a9ee4d-7307-4d70-91e1162cbfd69d14} 0x5b4f".

Die hier erwähnte Datei \$BitMap::$DATA gehört zu den Systemdateien eines NTFS-Dateisystems und lässt sich schwerlich manipulieren. 왘 Volume löschen – Diese Aktion versteht sich von selbst. Zu beachten ist hierbei, dass sie sich nicht auf dem Systemlaufwerk ausführen lässt. 왘 Eigenschaften – Erlaubt den Zugriff auf die Laufwerkseigenschaften. Den gleichen Zugriff erhält man, wenn man über Start/Computer die Eigenschaften der Laufwerke aufruft.

Weitere Aktionen Im Menü Aktion existieren noch weitere Funktionen, die sich auf das System als Ganzes auswirken. Mit Aktualisieren wird einfach die Anzeige erneuert, etwa wenn sich durch Netzwerkzugriffe der Belegungsstand einer Festplatte geändert hat. Diese Funktion kann auch über die Taste (F5) ausgelöst werden. Mit Datenträger neu einlesen kann man eine erneute Hardwareerkennung der angeschlossenen Datenträger erzwingen, etwa wenn ein Datenträger sich im Status Unlesbar befindet.

6

Die Aktionen Virtuelle Festplatte erstellen und Virtuelle Festplatte anfügen dienen dem Umgang mit virtuellen Datenträgern; sie wurden bereits in Abschnitt 6.1.3 behandelt.

6.6


Die Verwaltung der Datenträger in der grafischen Darstellung ist zwar intuitiv, und man kann schnell einen Überblick bekommen, aber sobald man bestimmte Aktionen in ein Skript packen will (etwa um identische Einstellungen auf mehreren Systemen zu erhalten), wählt man besser die Kommandozeile für seine Tätigkeit aus.

6.6.1

Diskpart – FDISK und mehr in neuer Verpackung

Mit dem Erscheinen der ersten DOS-Version, die Festplatten unterstützte, wurde auch das Programm fdisk,exe eingeführt, das die Verwaltung von Partitionen auf einem sehr elementaren Niveau ermöglichte. Wesentlich mehr als Partitionen anzuzeigen, anzulegen und zu löschen war damit nicht möglich. Mit Windows NT wurde dann mit dem Festplattenmanager eine grafische Ausgestaltung des Verwaltungswerkzeugs eingeführt. Dessen Möglichkeiten wurden bei Windows 2000 noch erweitert, aber

317


gleichzeitig wurde auch wieder ein nicht grafisches Tool eingeführt zur Verwaltung: diskpart.exe. Ein grafisches Tool ist gut für die interaktive Verwendung, jedoch eher ungeeignet, wenn es darum geht, auf mehreren Systemen reproduzierbare Aktionsfolgen durchzuführen. Für diesen Zweck wurde diskpart.exe geschaffen. Neben einer Verwendung als interaktives Programm auf der Kommandozeile kann man es auch zusammen mit einer Skriptdatei aufrufen, um komplexe Operationen automatisch ausführen zu lassen. In einer solchen Skriptdatei sind die gleichen Kommandos enthalten, wie man sie auch auf der Eingabeaufforderung angeben würde. Hier ist es also möglich, zunächst an einem Prototypen die Kommandofolgen zu testen, um diese später dann 1:1 in die Skriptdatei zu übernehmen. Bedingt durch die Funktion des Programms muss beim Start zunächst eine UAC-Abfrage bestätigt werden; wurde das Programm von der Kommandozeile aus aufgerufen, läuft es danach in einem eigenen Kommandofenster.

Wo ist der Fokus? Um die Aktionen von Diskpart zu verstehen, muss man das Konzept der Applikation betrachten. Intern führt sie einen Zeiger auf das jeweilige aktuelle Element. Diesen Fokus kann man mit dem Kommando select auf ein anderes Element verschieben. Es gibt jeweils einen aktuellen Datenträger (disk), eine aktuelle Partition und so weiter. Wird mittels select der Datenträger gewechselt, so ist danach zunächst keine Partition mehr aktuell und muss neu mit select ausgewählt werden. Ein kleines Beispiel möge dies verdeutlichen. Die Zeilen mit DISKPART> am Anfang kennzeichnen die jeweils eingegebenen Befehle. Listing 6.10 Fokuswechsel bei diskpart.exe

318

Microsoft DiskPart-Version 6.1.7100 Copyright (C) 1999-2008 Microsoft Corporation. Auf Computer: WIN7 DISKPART> list disk Datenträger ### Status Größe Frei Dyn GPT -------- ------------- ------- ------- --- --Datenträger 0 Online 23 GB 0 B Datenträger 1 Online 24 GB 0 B Datenträger 2 Online 100 MB 1984 KB DISKPART> select disk 0 Datenträger 0 ist jetzt der gewählte Datenträger. DISKPART> list partition Partition ### Typ Größe Offset ------------- ---------------- ------- ------Partition 1 Primär 2048 MB 1024 KB Partition 2 Primär 100 MB 2049 MB Partition 3 Primär 21 GB 2149 MB DISKPART> select partition 3 Partition 3 ist jetzt die gewählte Partition. DISKPART> detail partition

Datenträgerverwaltung auf der Kommandozeile Partition 3 Typ : 07 Versteckt: Nein Aktiv : Nein Offset in Byte: 2253389824 Volume ### Bst Bezeichnung DS Typ Größe Status Info ---------- --- ----------- ----- ---------- --------------- -------* Volume 3 C SysDrive NTFS Partition 21 GB Fehlerfre Startpar DISKPART> select disk 1 Datenträger 1 ist jetzt der gewählte Datenträger. DISKPART> detail partition Es wurde keine Partition ausgewählt. Wählen Sie eine Partition, und wiederholen Sie den Vorgang.

Es werden folgende Kommandos nacheinander ausgeführt: Befehl

Bedeutung

list disk

Es wird die Liste aller dem System bekannten Datenträger ausgegeben.

select disk 0

Der erste Datenträger (= Index 0) wird selektiert.

list partition

Es wird die Liste der Partitionen auf dem aktuell selektierten Datenträger ausgegeben.

select partition 3

Der Fokus wird auf die Partition 3 gesetzt.

detail partition

Es werden Detailinformationen über die aktuelle Partition ausgegeben. Beachten Sie hierbei, dass bei dem Befehl nicht angegeben wird, von welcher Partition man die Daten erhalten will. Dies wurde durch den vorhergehenden select-Befehl bereits festgelegt.

select disc 1

Der Fokus wird auf den Datenträger 1 verschoben.

detail partition

Es erfolgt eine Fehlermeldung, weil mit dem Fokuswechsel auf einen anderen Datenträger zunächst keine Partition mehr aktuell ist.

Tabelle 6.8 Kommandofolge in diskpart.exe

6

Sofern diskpart.exe bei Eingabe eines Befehls noch weitere Eingaben erwartet, gibt es eine Übersicht der möglichen Ergänzungen aus. Die Eingabe des Kommandos help vor den auszuführenden Befehl gibt eine längere Erklärung zu dem Befehl und seinen möglichen Ausgaben aus.

Die wichtigsten Befehle Die wichtigsten und am häufigsten gebrauchten Befehle von diskpart.exe sind: 왘 SELECT DISK – Dient zur Auswahl eines Datenträgers. Wird gefolgt von der Angabe, welcher Datenträger selektiert werden soll. Zudem kann mit der Angabe SYSTEM der Datenträger ausgewählt werden, auf dem Startdateien liegen. Mit der Angabe NEXT wird der nächste

319


왘

왘

왘 왘

왘

왘

왘

왘

왘 왘

왘

320

mögliche Datenträger ausgewählt. Wird keine Angabe über das Ziel getätigt, wird der aktuelle Datenträger ausgegeben. SELECT PARTITION – Dient zur Auswahl einer Partition auf dem gerade aktuellen Datenträger. Während der Parameter disk ab 0 gezählt wird, beginnt die Zählung von partition bei 1, eine Angabe von NEXT ist nicht möglich. SELECT VOLUME – Dient zur Auswahl eines Volumes auf einem Datenträger. Ist der aktuelle Datenträger ein Basisdatenträger, so wird automatisch auch der entsprechende Datenträger und die Partition selektiert. Die Angabe, welche Partition zu selektieren sei, kann über eine Nummer oder den Laufwerksbuchstabens erfolgen. SELECT VDISK – Selektiert eine virtuelle Festplatte, zur Auswahl muss zusätzlich noch die Angabe FILE=Pfad zur vhd-Datei erfolgen. LIST – Benötigt als Parameter noch die Angabe, welcher Typ aufgelistet werden soll, möglich sind die Auflistungen DISK, PARTITION, VOLUME und VDISK. Für die Auflistung der Partitionen muss zuvor ein Datenträger ausgewählt sein. In der Auflistung wird das jeweils aktuelle Element mit einem * in der ersten Spalte ausgezeichnet. DETAIL – Benötigt als Parameter noch die Angabe, welche Detailinformation angezeigt werden soll, möglich sind die Auflistungen disk, partition, volume und vdisk. Zuvor muss mittels select das entsprechende Objekt ausgewählt werden. CREATE PARTITION – Kann eine Vielzahl von Partitionstypen anlegen, insbesondere können die für MBR-Datenträger möglichen Partitionstypen PRIMARY, EXTENDED und LOGICAL explizit ausgewählt werden, was bei Verwendung der Datenträgerverwaltung nicht möglich ist. Außer der Größe der zu erstellenden Partition kann auch angegeben werden, wo sie auf der Platte angelegt werden soll. Eine detaillierte Erklärung der Parameter liefert der Befehl help create partition primary. Dieser Befehl arbeitet nur auf Basisdatenträgern. CREATE VOLUME – Legt außer einfachen Datenträgern auch Stripeund Spiegeldatensätze an (siehe den Abschnitt 6.2.3 ab Seite 276). Die Option RAID wird zwar in der Hilfe angezeigt, ist jedoch unter Windows 7 nicht implementiert. Dieser Befehl arbeitet nur auf dynamischen Datenträgern. CREATE VDISK – Dient zum Anlegen einer virtuellen Festplatte (siehe den Abschnitt 6.1.3 ab Seite 272). Gegenüber der grafischen Oberfläche können hier deutlich mehr Optionen eingestellt werden. ATTACH VDISK – Eine vorher per select vdisk ausgewählte .vhd-Datei wird in das System integriert. DETACH VDISK – Eine vorher per select vdisk ausgewählte .vhd-Datei wird aus dem System wieder entfernt. Die in der GUI angebotene Möglichkeit, die entsprechende .vhd-Datei zu löschen, existiert hier nicht. CONVERT – Wandelt über die Optionen MBR oder GPT den ausgewählten Datenträger in den Partitionstabellentyp MBR oder GPT um. Mit den Optionen BASIC und DYNAMIC wird der Datenträger ent-


왘

왘

왘

왘

왘 왘 왘

sprechend in den jeweiligen Typ umgewandelt, sofern möglich. Gleichzeitig wird ein bislang nicht initialisierter Datenträger initialisiert. IMPORT – Datenträger, die ursprünglich aus einem anderen Computersystem stammen, werden zunächst nicht erkannt, sie werden bei der Anzeige von LIST DISK mit dem Status fremd angezeigt. Mit dem Befehl IMPORT werden diese Datenträger ins System eingebunden. CLEAN – Der aktuelle Datenträger wird gelöscht, selbst wenn sich noch Partitionen oder Volumes darauf befinden. Zudem wird das erste und letzte MB des Datenträgerbereiches mit Nullen überschrieben, um die vorhandenen Partitionsinformationen komplett zu löschen. Wird zusätzlich der Parameter ALL übergeben, so werden auch die restlichen Datenbereiche überschrieben. Dies verhindert recht sicher eine Wiederherstellung von Daten, kann aber bei größeren Datenträgern entsprechend lange dauern. FILESYS – Gibt Informationen über das in der aktuellen Partition verwendete Dateisystem und die auf dieser Partition möglichen Dateisysteme an. DELETE – Löscht das jeweils aktuelle angegebene Objekt DISK, PARTITION oder VOLUME, sofern es gerade nicht verwendet wird. Mit dem zusätzlichen Parameter OVERRIDE kann das Löschen erzwungen werden. ASSIGN LETTER – Dem aktuell gewählten Volume wird ein Laufwerksbuchstabe zugewiesen. EXIT – Beendet das Programm. REM – Dient in Skriptdateien zur Kommentierung.

6

Die Kommandos und Parameter kann man in vielen Fällen auf drei Buchstaben kürzen, insbesondere bei der Gestaltung von Skriptdateien sollte man aber die Kommandos ausschreiben, um die Lesbarkeit zu erhöhen. Sofern man das Kommando mit dem Parameter /s und einem Dateinamen aufruft, liest diskpart.exe die Kommandos aus der Datei ein und beendet sich danach von selbst. CREATE VDISK FILE=S:\myvdisk.vhd MAXIMUM=150 SELECT VDISK FILE=S:\myvdisk.vhd ATTACH VDISK REM die neu angelegte Disk ist die selektierte CONVERT MBR CREATE PARTITION PRIMARY SIZE=50 OFFSET=10240 REM die neue angelegte Partition ist die selektierte FORMAT FS=FAT UNIT=4096 LABEL="50 MB FAT" ASSIGN LETTER=T CREATE PARTITION EXTENDED CREATE PARTITION LOGICAL SIZE=30 FORMAT LABEL="NTFS Part" ASSIGN LETTER=N

Listing 6.11 Steuerdatei für diskpart.exe

321


Die hier in Listing 6.11 gezeigte Kommandofolge erstellt zunächst eine neue virtuelle Festplatte und bindet diese ins System ein. Danach wird diese mit einer MBR-Partitionstabelle angelegt. Im Anschluss werden dann zunächst eine primäre Partition und eine erweiterte Partition angelegt und in der erweiterten Partition ein logisches Laufwerk. Direkt nach dem Anlegen der jeweiligen Partition wird diese formatiert, einmal mit FAT und einmal mit dem Systemstandard, also NTFS. Beiden Laufwerken wird noch ein Laufwerksbuchstabe gegeben.

6.6.2

fsutil – der Alleskönner

Das Programm fsutil.exe bietet allerhand Funktionen rund um die Verwaltung und Manipulation von Dateisystemen und gehört standardmäßig zu Windows 7 dazu. Es benötigt zum Ablaufen administrative Berechtigungen, ist aber im Gegensatz zu diskpart.exe nicht in der Lage, selber eine entsprechende UAC-Abfrage zu erzeugen. Sie müssen also zunächst das Programm cmd.exe mit administrativen Privilegien starten, ehe Sie das Programm fsutil.exe verwenden können. Dieses Programm arbeitet immer nur mit Optionen auf der Kommandozeile, nach dem Befehlsnamen fsutil folgt zunächst die Angabe, in welchem Bereich das Kommando arbeiten soll, danach folgt der Befehl, welcher ausgeführt werden soll, zusammen mit weiteren Optionen. Sofern fsutil ohne die notwendigen Parameter ausgeführt wird, zeigt es einen Hilfetext an, der die nun möglichen Ergänzungen aufführt.

Lange und kurze Dateinamen Lang und kurz gemeinsam

Dateien können unter NTFS einen Namen mit bis zu 255 Zeichen Länge aufweisen. Unter den ersten DOS-Versionen war ein Dateiname noch auf acht Zeichen für den Dateinamen und drei Zeichen für die Dateierweiterung (Extension) beschränkt. Dieses Format wird auch als 8dot3 bezeichnet. Um kompatibel zu alten Programmen zu bleiben, die nur einen derartigen kurzen Dateinamen erwalten, bildet das Dateisystem automatisch für jeden Namen, der länger ist, einen kurzen Namen. Eine solche Datei kann man sowohl über ihren normalen, langen Namen als auch ihren kurzen Namen ansprechen, ansehen kann man diese Namen mit der Option /X des Kommandos DIR.

Listing 6.12 Lange und kurze Namen

C:\Users\adm>DIR /X *.txt 26.07.2009 00:31 15.08.2009 17:55

21.266 small.txt 1.025 TESTDA~1.TXT testdatei.txt

In Listing 6.12 können Sie erkennen, dass für die Datei, deren Name in das 8.3-Schema passt (small.txt), kein separater kurzer Name angelegt wurde, für die Datei, die nicht zum Schema passt (testdatei.txt), ein kurzer Name (TESTDA~1.TXT) angelegt wurde. Die Erzeugung und Speicherung dieser zusätzlichen Einträge verbrauchen sowohl Rechenzeit als auch Speicherplatz. Sofern sichergestellt ist, dass keine alten Anwendungen mehr verwendet werden, die mit den langen Namen nicht umgehen können, kann man die automatische Erzeugung dieser Namen auch abstellen.

322

Datenträgerverwaltung auf der Kommandozeile fsutil behavior query Disable8dot3 Der Registrierungsstatus von "NtfsDisable8dot3NameCreation" ist die Standardeinstellung "2" (Volumeebeneneinstellung).

Dieser Befehl gibt die globale Einstellung für alle Laufwerke aus. Alternativ kann auch das Kommando durch eine Laufwerksbezeichnung am Ende ergänzt werden, um das Verhalten für ein bestimmtes Laufwerk abzufragen. fsutil behavior set Disable8dot3 S: 1 Das Verhalten für "8dot3name" wurde erfolgreich festgelegt.

Nach dieser Einstellung werden für neue Dateien mit langem Namen keine kurzen Namen automatisch angelegt, die bereits bestehenden kurzen Namen bleiben allerdings erhalten. dir /X s:\*.txt 16.08.2009 01:06 28.07.2009 11:00

7 einlanger.txt 19 NEUEST~1.TXT Neues Textdokument.txt

Den kurzen Namen kann man auch manuell einstellen. fsutil behavior set Disable8dot3 S: 0 Das Verhalten für "8dot3name" wurde erfolgreich festgelegt. fsutil file setshortname s:\einlanger.txt kurz.doc dir /X s:\*.txt 16.08.2009 01:06

7 KURZ.DOC

6

einlanger.txt

Zunächst wird die Erzeugung der Kurznamen wieder aktiviert, da ansonsten auch keine Kurznamen manuell angelegt werden können. Im zweiten Schritt wird für die Datei s:\einlanger.txt der kurze Name kurz.doc festgelegt. Eine Angabe von Laufwerk und Pfad kann hierbei unterbleiben, da der Kurzname automatisch im gleichen Verzeichnis wie die Originaldatei angelegt wird. Zum Schluss wird die Aktion mit DIR /X überprüft. Ein derartig manuell vergebener kurzer Name wird automatisch wieder gelöscht bzw. verändert, wenn die originale Datei umbenannt wird. Es gibt eine ganze Reihe von Werten, die mit dem Kommando fsutil behavior abgefragt und manipuliert werden können, die meisten dieser Kommando beeinflussen Werte in der Registry unterhalb des Schlüssels HKLM\ SYSTEM\CurrentControlSet\Control\FileSystem. Oftmals werden die Einstellungen erst nach einem Neustart aktiv. Diese kurzen Dateinamen können zur Tarnung von Schadprogrammen verwendet werden, da sowohl der normale DIR-Befehl als auch der Explorer die kurzen Namen normal nicht anzeigen. Ein ausführbares Programm kann also problemlos als Datendatei getarnt werden und wird als ausführbares Programm dann über den verborgenen kurzen Namen gestartet.

323


Leere Dateien für alle Gelegenheiten Manchmal braucht man für Testzwecke einfach mal schnell eine Datei von fester Größe. Mit dem Befehl fsutil file createnew s:\eindatei.txt 123456 Die Datei s:\eindatei.txt wurde erstellt.

wird eine Datei mit der genau angegebenen Länge erzeugt, die Datei enthält nur Nullbytes (0x00). Mit dem Befehl fsutil file setzerodata offset=123 length=456 s:\eindatei.txt Keine Daten wurden geändert.

werden in der angegebenen Datei ab der mit offset bezeichneten Stelle insgesamt length Bytes mit einem Nullwert überschrieben, auch wenn die Ausgabe des Befehls etwas anderen anzudeuten scheint.

Dateien und Datei-ID Jede Datei hat in NTFS eine eindeutige ID, ähnlich wie die inode-Nummer einer Datei unter Unix. Mit diesem Befehl lassen sich die Zuordnungen zwischen Dateinamen und Datei-ID ausgeben. fsutil file queryfileid c:\Users\adm\testdatei.txt Datei-ID: 0x007e00000000b5e4

Die Datei c:\Users\adm\testdatei.txt hat die Datei-ID 0x007e00000000b5e4. Da eine Datei mehrere Namen besitzen kann (Harte Verknüpfungen, siehe den Abschnitt 6.6.3 ab Seite 328), kann bei der rückwärtigen Zuordnung Datei-ID zu Dateiname nicht garantiert werden, dass ein bestimmter Name zurückgegeben wird. fsutil file queryfilenamebyid c:\ 0x007e00000000b5e4 Beliebiger Linkname zu dieser Datei: \\?\C:\Users\adm\testdatei.txt

Für diese Zuordnung muss zusätzlich noch der Datenträger angegeben werden, da jeder Datenträger über eine eigenständige Sammlung von Datei-IDs verfügt. Die Datei-IDs werden nicht in aufsteigender Folge vergeben, eine Suche von Dateien anhand einer geratenen Datei-ID scheint wenig sinnvoll zu sein.

Schmutzig oder nicht? Plattenputzen notwendig?

324

Für jeden Datenträger verwaltet Windows eine Kennzeichnung, ob der Datenträger ordentlich heruntergefahren wurde oder nicht. Diese Kennzeichnung wird als dirty-Flag bezeichnet. Beim ordnungsgemäßen Herunterfahren eines Systems werden in diesem Prozess alle Datenträger abgemeldet und somit sichergestellt, dass zum Beispiel keine Dateien mehr offen sind. Ein derartiger Datenträger ist dann sauber. Wird das System jedoch wegen einer Fehlfunktion nicht ordnungsgemäß beendet, so verbleiben einige oder alle Datenträger im Status dirty. Beim nächsten Systemstart stellt der Kernel fest, wenn ein Datenträger sich im Status dirty befindet, und startet dann automatisch das Programm chkdsk.exe, um den Datenträger zu überprüfen (siehe den Abschnitt 6.7 ab Seite 331). Mit dem Befehl

Datenträgerverwaltung auf der Kommandozeile fsutil dirty query s: Volume - s: ist NICHT fehlerhaft.

kann der Status eines Laufwerks oder Mountpunkts abgefragt werden, mit dem Befehl fsutil dirty set s: Volume - s: ist jetzt als fehlerhaft markiert

wird die Kennzeichnung gesetzt, einen Befehl, um sie manuell wieder zurückzusetzen, gibt es nicht, dies kann von einem erfolgreichen Durchlauf des Prüfprogramms chkdsk.exe bewerkstelligt werden.

Laufwerksinformationen und -statistik Mit dem Befehl fsutil fsinfo drives Laufwerke: A:\ C:\ D:\ E:\ S:\ W:\ Z:\

erhält man eine Auflistung aller aktuell im System verwendeten Laufwerksbuchstaben. Hierbei werden auch Laufwerke angezeigt, die mit dem Programm subst.exe erzeugt wurden oder die als Netzwerkfreigabe verbunden sind. Mit dem Befehl fsutil fsinfo drivetype c: c: - Eingebautes Laufwerk fsutil fsinfo drivetype e: e: - CD-ROM-Laufwerk fsutil fsinfo drivetype a: a: - Austauschbares Laufwerk fsutil fsinfo drivetype z: z: - Remote-/Netzlaufwerk

6

kann man sich Informationen über den Typ des betreffenden Laufwerks angeben lassen. Detaillierte Informationen über die Fähigkeiten eines Laufwerks erhält man mit dem Befehl: fsutil fsinfo volumeinfo c: Volumename : SysDrive Volumeseriennummer : 0x74759422 Maximale Komponentenlänge : 255 Dateisystemname : NTFS Unterstützt die Groß-/Kleinschreibung von Dateinamen Behält die Groß-/Kleinschreibung von Dateinamen Unterstützt Unicode-Dateinamen Behält und erzwingt Zugriffsteuerungslisten (ACL) Unterstützt dateibasierte Komprimierung Unterstützt Datenträgerkontingente Unterstützt Dateien mit geringer Datendichte Unterstützt Analysepunkte Unterstützt Objektkennungen Unterstützt EFS Unterstützt benannte Streams Unterstützt Transaktionen Unterstützt feste Links.

325

Kapitel 6 Daten, Datenträger und Dateisysteme Unterstützt erweiterte Attribute. Unterstützt das Öffnen nach Datei-ID. Mit USN-Journal-Unterstützung

Einige der angezeigten Werte ergeben sich automatisch aus dem angegebenen Dateisystemtyp, andere (etwa Unterstützt EFS) lassen sich über fsutil behaviour-Befehle einstellen (siehe hierzu Kapitel 13). Bei der Anzeige von Netzwerklaufwerken werden die angezeigten Werte auch immer noch zusätzlich von den Möglichkeiten des Serversystems bestimmt. Mit dem Befehl fsutil fsinfo ntfsinfo c: NTFS-Volumeseriennummer : 0x887475a274759422 Version : 3.1 Anzahl der Sektoren : 0x0000000002aac7ff Gesamtzahl Cluster : 0x00000000005558ff Freie Cluster : 0x000000000030bdf4 Insgesamt reserviert : 0x00000000000007a0 Bytes pro Sektor : 512 Bytes pro Cluster : 4096 Bytes pro Dateidatensatzsegment : 1024 Cluster pro Dateidatensatzsegment : 0 MFT-gültige Datenlänge : 0x00000000043c0000 MFT-Start-LCN : 0x00000000000c0000 MFT2-Start-LCN : 0x0000000000000002 MFT-Zonenstart : 0x000000000022c6e0 MFT-Zoneende : 0x0000000000234cc0 RM-Bezeichner: 978E7CAB-42E3-11DE-965B-D615E89F222A Glaube nur der Statistik ...

lassen sich Informationen über die Organisation des NTFS-Dateisystems auf dem angegebenen Laufwerk ausgeben. Eine ähnliche Ausgabe für Laufwerke mit FAT-Dateisystem existiert nicht. Mit dem Befehl fsutil fsinfo statistics c: Dateisystem : NTFS UserFileReads : UserFileReadBytes : UserDiskReads : UserFileWrites : UserFileWriteBytes : UserDiskWrites : MetaDataReads : MetaDataReadBytes : MetaDataDiskReads : MetaDataWrites : MetaDataWriteBytes : MetaDataDiskWrites :

16133 453742080 15834 1082 18267976 1138 2509 11812864 3215 1237 6225920 1829

MFT-Lesevorgänge: MFT-Lesevorgänge Bytes: MFT-Schreibvorgänge: MFT-Schreibvorgänge Bytes:

326

2154 9187328 957 4558848

Datenträgerverwaltung auf der Kommandozeile MFT2-Schreibvorgänge: 0 MFT2-Schreibvorgänge Bytes: 0 Stammindexlesevorgänge: 0 Stammindexlesevorgänge Byte : 0 Stammindexschreibvorgänge: 0 Stammindexschreibvorgänge Bytes: 0 Bitmaplesevorgänge: 1 Bitmaplesevorgänge Bytes: 1048576 Bitmapschreibvorgänge: 145 Bitmapschreibvorgänge Bytes: 753664 MFT-Bitmaplesevorgänge : 4 MFT-Bitmaplesevorgänge Bytes: 16384 MFT-Bitmapschreibvorgänge: 51 MFT-Bitmapschreibvorgänge Bytes: 278528 Benutzerindexlesevorgänge: 794 Benutzerindexlesevorgänge Bytes: 5070848 Benutzerindexschreibvorgänge: 585 Benutzerindexschreibvorgänge Bytes: 2711552 Protokolldateilesevorgänge: 7 Protokolldateilesevorgänge Bytes: 28672 Protokolldateischreibvorgänge: 2217 Protokolldateischreibvorgänge Bytes: 14753792 Protokolldatei voll: 0

6

lassen sich allerhand statistische Informationen über die Anzahl bestimmter Operationen, die auf einem Laufwerk erfolgt sind, abfragen. Die Zahlen beginnen bei jedem Neustart wieder von 0 an zu zählen.

Kontingentverwaltung Mit dem Befehl fsutil quota lassen sich verschiedene Operationen für die Jede Platte ist Kontingentverwaltung aufrufen. Anstelle der Anzeige Unbegrenzt wie im endlich Explorer wird allerdings eine aberwitzig große Zahl angezeigt. >fsutil quota query c: Kontingente sind auf dem Volume c: nicht aktiviert. >fsutil quota query i: FileSystemControlFlags = 0x00000032 Kontingente werden auf diesem Volume überwacht und erzwungen. Protokollierung für Kontingentgrenzen und -schwellen aktivieren Die Kontingentwerte sind aktuell.

Listing 6.13 Kontingentanzeige auf der Kommandozeile

Standardkontingentschwelle = 0x0000000000100000 Standardkontingentgrenze = 0x0000000000200000 ... SID-Name = CONTOSO\user2 (Benutzer) Änderungszeit = Dienstag, 25. August 2009 Verwendetes Kontingent = 3072 Kontingentschwelle = 1572864 Kontingentgrenze = 3145728

20:22:46

327

Kapitel 6 Daten, Datenträger und Dateisysteme SID-Name = CONTOSO\adm (Benutzer) Änderungszeit = Dienstag, 25. August 2009 Verwendetes Kontingent = 2048 Kontingentschwelle = 18446744073709551615 Kontingentgrenze = 18446744073709551615

18:44:35

Der in der Ausgabe angegebene Schwellwert von 18.446.744.073. 709.551.615 entspricht in hexadezimaler Darstellung 0xFFFFFFFFFFFF FFFF und somit 264–1 oder auch 16 Exabyte. Das sollte für einige Zeit als Größenangabe für Festplatten ausreichend sein. Die Angabe Die Kontingentwerte sind aktuell bezieht sich darauf, dass Windows normalerweise im Stundentakt die Einhaltung der Grenzwerte überprüft, diese Zeitspanne können Sie mit dem Befehl fsutil behavior query quotanotify kontrollieren beziehungsweise mit fsutil behavior set quotanotify abändern. Die Angabe erfolgt hier in Sekunden. Mit dem Befehl fsutil quota modify kann die Kontingentangabe für einen Benutzer (und eine Gruppe) gesetzt werden, die Angabe der Größe erfolgt hierbei in Byte, leider werden Größenangaben wie K (für KByte) oder M (für MByte) nicht unterstützt.

6.6.3

Laufwerksbuchstaben erzeugen – subst.exe

Verzeichnisbäume haben die Eigenschaft, sich bisweilen recht tief zu verschachteln. Damit man nicht immer eine komplette, längliche Pfadangabe eingeben muss, besteht die Möglichkeit, einen Laufwerksbuchstaben quasi als Abkürzung zu einem bestimmten Punkt innerhalb des Baumes zu verwenden. Mit dem Befehl subst x: c:\users\adm\ein\ganz\langer\pfad

wird dynamisch ein neuer Laufwerksbuchstabe x: erzeugt, dessen Wurzelverzeichnis durch das reale Verzeichnis c:\users\adm\ein\ganz\langer\pfad gebildet wird. Der Pfad muss dabei bereits existieren, der Laufwerksbuchstabe darf noch keinem anderen Laufwerk zugeordnet sein. Ruft man das Kommando ohne Parameter auf, erhält man eine Liste aktuell erzeugter Laufwerksbuchstaben: subst X:\: => C:\users\adm\ein\ganz\langer\pfad

Durch Angabe des Parameters /D zusammen mit dem Laufwerksbuchstaben wird die Zuordnung wieder gelöscht. subst /d x:

Den Befehl subst.exe kann man verwenden, um auf einem Serversystem die gleichen Laufwerksbuchstaben wie auf den Clients zu erzeugen, welche die Freigaben zu einem bestimmten Laufwerksbuchstaben verbinden.

328


6.6.4

Verknüpfungen – symbolische und harte

Bei Windows 7 gibt es in der Standardinstallation keine Programme, mit denen man harte oder symbolische Verknüpfungen ähnlich einfach im NTFS-Dateisystem manipulieren kann wie mit dem Programm ln unter Unix-artigen Betriebssystemen: Anzeigen kann man zumindest die symbolischen Links direkt über den DIR-Befehl. Hier ein Beispiel für die automatisch von Windows 7 angelegten Verknüpfungen im Benutzerprofil: Der Befehl DIR /A:L zeigt auch die Verlinkungen an, die mit dem Attribut »Verborgen« (hidden) gekennzeichnet sind. C:\Users\jochenr-admin>DIR /A:L Datenträger in Laufwerk C: ist Volume Volumeseriennummer: 5A53-E976

Listing 6.14 Symbolische Verknüpfungen im Benutzerprofil

Verzeichnis von C:\Users\jochenr-admin 18.07.2009 22:56 Anwendungsdaten [C:\Users\jochenr-admin\AppData\Roaming] 18.07.2009 22:56 Cookies [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\Cookies] 18.07.2009 22:56 Druckumgebung [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\ Printer Shortcuts] 18.07.2009 22:56 Eigene Dateien [C:\Users\jochenr-admin\Documents] 18.07.2009 22:56 Lokale Einstellungen [C:\Users\jochenr-admin\AppData\Local] 18.07.2009 22:56 Netzwerkumgebung [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\ Network Shortcuts] 18.07.2009 22:56 Recent [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\Recent] 18.07.2009 22:56 SendTo [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\SendTo] 18.07.2009 22:56 Startmenü [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\ Windows\Start Menu] 18.07.2009 22:56 Vorlagen [C:\Users\jochenr-admin\AppData\Roaming\Microsoft\Windows\Templates] 0 Datei(en), 0 Bytes 10 Verzeichnis(se), 61.685.010.432 Bytes frei

6

Wie man in Listing 6.14 erkennen kann, wird diese Technik von Windows selbst dazu genutzt, die in die Landessprache übersetzten Namen (zum Beispiel Eigene Dateien) auf ihren realen Namen umzusetzen. Unter Windows XP wurden diese Verzeichnisnamen noch real angelegt, sodass Programme bisweilen Probleme hatten, den verwendeten Namen bei einer anderen Sprachversion herauszufinden.

329


Die Programme attrib.exe (Anzeige und Manipulation von Dateiattributen), icacls.exe und cacls.exe (Anzeige und Manipulation von Dateiberechtigungen) verwenden den Parameter /L, um die Verknüpfung anstelle des Verknüpfungsziels zu bearbeiten. Aus anderen Quellen gibt es einige Programme, mit denen man ebenfalls Verknüpfungen manipulieren kann: 왘 linkd.exe – Das Tool stammt ursprünglich aus den Windows Server 2003 Resource Kit Tools und ist über die Adresse [RES] zu erhalten. Obwohl im Namen »Server« steht, lässt sich die Tool-Sammlung nach Bestätigung einer Warnmeldung über bekannte Kompatibilitätskonflikte auch auf Windows 7 installieren. Das Programm linkd lässt sich nicht dazu verwenden, Verknüpfungen zu bearbeiten, die mit den Attributen Versteckt (Hidden) oder System versehen sind. 왘 junction.exe – Das Programm kommt aus der Softwaresammlung Sysinternals (siehe [SYS]). Im Gegensatz zu linkd.exe kann es auch automatisch alle Unterverzeichnisse durchsuchen, um die symbolischen Verknüpfungen anzuzeigen. Zusätzlich hat es keine Probleme mit der Anzeige von verborgenen Dateien. 왘 hlscan.exe – Das Programm stammt ebenfalls aus den Windows Server 2003 Resource Kit Tools und dient zur Anzeige von harten Verknüpfungen (Hard Links). Wie aus dem Beispiel in Listing 6.15 ersichtlich, verwendet Windows 7 diese Technologie dazu um Systemdateien, die mehrfach benötigt werden (in Common Files für Programme die immer die aktuelle Version einer Datei verwenden möchten, in winsxs für Programme, die eine spezielle Version benötigen), platzsparend zu speichern. Durch den Link zwischen den beiden Dateien wird nur einmal Speicherplatz für den Inhalt reserviert. Mit dem Programm fsutil.exe (das zu Windows 7 gehört) können harte Verknüpfungen auch auf der Kommandozeile erzeugt werden, siehe hierzu den Abschnitt 6.6.2 ab Seite 322. 왘 ln.exe und Ls.exe – Diese beiden Programme stammen aus der Programmsammlung Subsystem für Unix (SFU – Services for Unix), die zunächst über Systemsteuerung/Programme/Programme und Funktionen/ Windows-Funktionen aktivieren und deaktivieren unter der Komponente Subsystem für Unix-basierte Anwendungen installiert werden muss. Im zweiten Schritt muss dann im Startmenü der Eintrag Subsystem für Unix-basierte Anwendungen/Dienstprogramme herunterladen ausgeführt werden, um die Anwendungen aus dem Netz zu laden (~ 400 MB). Mit dem Programm ln.exe können dann Verknüpfungen (harte und symbolische) angelegt werden (erster Befehl in Listing 6.16), mit der Option –l des Kommandos ls.exe wird die Anzahl der Links einer Datei angezeigt (zweiter Befehl in Listing 6.16, die Spalte direkt vor dem Benutzernamen adm). Listing 6.15 >hlscan Verwendung von WARNING !! you don't have the BACKUP privilege, harten Verknüpfun- you may not have access to some files or directories gen durch Windows 7

330

Datenträger überprüfen Hard Links Report for \\WIN7LAP Report Time: 08/15/2009 13:38:14 Scanned Areas: C:\ Hard Links Found in C:\ (recursive search): ID: 0x1000000002613 - Hard Links Count: 2 - Missing: 0 Creation Time: 04/22/2009 05:45:10 Last Access Time: 04/22/2009 05:45:10 C:\Windows\winsxs\x86_microsoft-windows-t..platformcomruntime_31bf3856ad364e35_6.1.7100.0_none_3b83803a8c25331c\ InkDiv.dll C:\Program Files\Common Files\microsoft shared\ink\InkDiv.dll ID: 0x1000000002614 - Hard Links Count: 2 - Missing: 0 Creation Time: 04/22/2009 06:00:45 Last Access Time: 04/22/2009 06:00:45 C:\Windows\winsxs\x86_microsoft-windows-t..platformcomruntime_31bf3856ad364e35_6.1.7100.0_none_3b83803a8c25331c\ InkObj.dll C:\Program Files\Common Files\microsoft shared\ink\InkObj.dll C:\Users\adm>ln diagnostic.txt test2.txt C:\Users\adm>ls -li 46489 -rwx------+ 2 67151 -rwx------+ 1 46489 -rwx------+ 2

6.7

*.txt adm Gruppe adm Gruppe adm Gruppe

2322 Jul 26 00:37 diagnostic.txt 2700 Jul 26 02:40 small.txt 2322 Jul 26 00:37 test2.txt

Listing 6.16 Verwendung der Unix-Tools zur Erzeugung und Anzeige von harten Verknüpfungen


Auch wenn Computer heute eher selten Fehler im Bereich der Hardware Vertrauen ist gut, produzieren, so können sie doch auftreten. Bei der Überprüfung von Daten- Kontrolle ist besser trägern muss man zwei Arten der Überprüfung unterscheiden: 1. Überprüfung auf Fehler des physischen Datenträgers (Fehler 1. Art). 2. Überprüfung auf Fehler in der logischen Konsistenz der abgebildeten Datenstrukturen (Fehler 2. Art). Die Fehler der 1. Art sind heute fast vollständig aus dem Blickfeld entschwunden, da die modernen Festplatten mit ihrer eigenen Intelligenz solche Fehler selber erkennen und fehlerhafte Sektoren von sich aus durch Reservesektoren ersetzen. Dies hat dann allerdings auch zur Folge, dass man als Anwender diese Fehler zunächst nicht bemerkt, bis die Festplatte nicht mehr in der Lage ist, derartige Fehler zu kaschieren. Erkennt also Windows einen solchen Fehler, ist meist die Festplatte bereits kurz vor dem Totalausfall. Für die Abfrage der Diagnoseinformationen der Festplatte muss man dann auf Hilfsprogramme der Hersteller der Festplatten ausweichen, eine Übersicht die Programme verschiedener Hersteller liefert [DIA]. Eventuell liefern auch die Hersteller von Komplettsystemen angepasste Diagnoseprogramme für die von Ihnen eingesetzten Festplatten mit.

331

6


Die Fehler der 2. Art treten demgegenüber häufiger auf, insbesondere dann, wenn entweder Programme fehlerhaft auf die Datenträger zugreifen oder wenn ein Computer in der Mitte einer Operation plötzlich abgeschaltet wird. Das Gute ist, dass diese Fehler prinzipiell reparierbar sind. Beide Arten von Fehlern lassen sich durch die Fehlerüberprüfung von Windows erkennen. Rufen Sie zunächst über Start/Computer die Eigenschaften des betrachteten Laufwerks auf. Die Fehlerüberprüfung findet sich auf der Registerkarte Tools und kann durch Betätigung von Jetzt prüfen gestartet werden. Abbildung 6.40 Fehlerüberprüfung eines Laufwerks

Die Festplattenüberprüfung bietet nur zwei Optionen an (siehe Abbildung 6.41): 왘 Dateisystemfehler automatisch korrigieren – Diese Option ist standardmäßig aktiviert. Sollte die Überprüfung Fehler im Dateisystem feststellen, werden diese direkt korrigiert. Fehlerhafte Sektoren werden nur dann erkannt, wenn sie von Teilen der Verwaltungsinformationen belegt werden. 왘 Fehlerhafte Sektoren suchen/wiederherstellen – Hierbei werden alle Sektoren eines Datenträgers gelesen, egal ob belegt oder frei. Dies kann, insbesondere bei größeren Datenträgern, recht lange dauern. Abbildung 6.41 Optionen der Datenträgerüberprüfung

332


Problematisch bei der Datenträgerüberprüfung ist, dass sie nur auf Daten- Keine Prüfung im trägern durchgeführt werden kann, die gerade nicht von anderen Program- laufenden men verwendet werden. Insbesondere das Systemlaufwerk kann deshalb Verkehr nicht im laufenden Betrieb überprüft werden. Hier wird die Überprüfung dann beim nächsten Systemstart durchgeführt, eine entsprechende Option wird angeboten. Abbildung 6.42 Überprüfung vertagt

Bei Laufwerken, die aktuell nicht verwendet werden, kann die Überprüfung sofort gestartet werden. Eine optische Kontrolle der durchgeführten Aktion ist nur schwer möglich, da die Aktionen zu schnell ablaufen. Die in Abbildung 6.43 ersichtliche Überprüfung der SID bezieht sich übrigens nicht darauf, dass in den ACL vorhandene unbekannte SIDs (zum Beispiel von gelöschten Benutzern) erkannt und korrigiert werden. Abbildung 6.43 Überprüfung läuft

Nach Ende der Überprüfung erscheint eine Zusammenfassung der Ergebnisse, durch Betätigung des Links Details einblenden kann eine ausführlichere Erklärung zu den erfolgten Aktionen und Prüfungen eingesehen werden. Leider ist es nicht möglich, diese Zusammenfassung für ein Protokoll in eine andere Anwendung zu kopieren. Diese Informationen lassen sich aber über die Ereignisanzeige im Anwendungsprotokoll einsehen (siehe Listing 6.17). Für die Prüfung im laufenden System werden die Einträge unter der Quelle Chkdsk abgelegt, für die Prüfung während des Systemstarts unter der Quelle Wininit. Abbildung 6.44 Alles in Butter

333

6

Kapitel 6 Daten, Datenträger und Dateisysteme Listing 6.17 Ergebnis der Datenträgerprüfung

Protokollname: Application Quelle: Chkdsk Datum: 31.08.2009 10:40:08 Ereignis-ID: 26214 Aufgabenkategorie:Keine Ebene: Informationen Schlüsselwörter:Klassisch Benutzer: Nicht zutreffend Computer: win7.contoso.com Beschreibung: Chkdsk wurde im Lesen-/Schreibenmodus ausgeführt. Dateisystem auf S: wird überprüft. Die Volumebezeichnung lautet Save. CHKDSK überprüft Dateien (Phase 1 von 3)... 256 Datensätze verarbeitet. Dateiüberprüfung beendet. 0 große Datensätze verarbeitet. 0 ungültige Datensätze verarbeitet. 0 E/A-Datensätze verarbeitet. 2 Analysedatensätze verarbeitet. CHKDSK überprüft Indizes (Phase 2 von 3)... 348 Indexeinträge verarbeitet. Indexüberprüfung beendet. CHKDSK überprüft Sicherheitsbeschreibungen (Phase 3 von 3)... 256 SDs/SIDs verarbeitet. Überprüfung der Sicherheitsbeschreibungen beendet. 46 Datendateien verarbeitet. Das Dateisystem wurde überprüft. Es wurden keine Probleme festgestellt. 25596927 15503408 116 66999 65536 10026404

KB KB KB KB KB KB

Speicherplatz auf dem Datenträger insgesamt in 119 Dateien in 48 Indizes vom System benutzt von der Protokolldatei belegt auf dem Datenträger verfügbar

4096 Bytes in jeder Zuordnungseinheit 6399231 Zuordnungseinheiten auf dem Datenträger insgesamt 2506601 Zuordnungseinheiten auf dem Datenträger verfügbar

Die Prüfung während des Systemstarts wird durch eine entsprechende Meldung beim Startprozess angekündigt. Da dieser Vorgang recht zeitaufwendig sein kann, hat man die Möglichkeit, den Vorgang durch einen Tastendruck abzubrechen. Nach Abschluss der Prüfung startet das System automatisch neu.

334

Datenträger defragmentieren Abbildung 6.45 Überprüfung während der Startphase

Datenträgerüberprüfung auf der Kommandozeile Die Datenträgerüberprüfung lässt sich auch von der Kommandozeile aus starten. Die Anwendung hierfür heißt chkdsk.exe. Gegenüber der grafischen Version bietet sie einige Parameter mehr. Die wichtigsten hierbei sind: 왘 /F – Veranlasst chkdsk, notwendige Änderungen auch auf den Datenträger zu schreiben. Ohne diesen Parameter führt es nur eine Prüfung durch, repariert aber nicht. Ist dieser Parameter nicht gesetzt, kann es auch auf aktuell verwendeten Datenträger angewendet werden, ohne dass die Prüfung erst beim nächsten Systemstart durchgeführt werden kann. 왘 /V – Schreibt beim Arbeiten den Namen der gerade betrachteten Datei mit. 왘 /R – Überprüft alle Sektoren auf dem Datenträger und versucht, noch lesbare Daten auf zweifelhaften Sektoren in andere Sektoren zu verlagern. Die Sektoren, die nicht mehr gelesen werden können, werden als defekt markiert und somit von der weiteren Belegung ausgesondert. 왘 /X – Sofern sich noch Dateien im Zugriff auf dem Datenträger befinden, werden diese zwangsweise geschlossen, dies kann für die betroffenen Anwendungen unter Umständen problematisch sein. 왘 /B – Nur zusammen mit der Option /R verwendbar. Überprüft als defekt markierte Sektoren erneut.

6.8

6


Im Optimalfall besteht eine Datei auf einem Datenträger aus einer konti- Daten in Brocken nuierlichen Folge von Clustern, sodass sie in einem Rutsch ohne erneute Suchoperation der Festplatte gelesen werden kann. Leider ist dieser optimale Zustand nur sehr selten anzutreffen, meistens verteilen sich die Dateien auf zwei oder sogar noch mehr einzelne Stücke auf der Platte. Warum passiert dies? Bei den allermeisten Dateien ist am Anfang nicht klar, wie groß die Datei später mal werden soll. Wird also das Betriebssystem aufgefordert, eine Datei neu anzulegen, so sucht es sich zunächst mal irgendwo auf dem Datenträger einen freien Platz. Fängt nun die Datei an

335


zu wachsen, kann es vorkommen, dass der verfügbare Platz nicht ausreicht, um genau an die schon bestehenden Daten neue Daten anzuhängen. Das System muss also einen neuen Datenbereich beginnen. Diese Zerstückelung der Datenbereiche wird Fragmentierung genannt. Kann man das verhindern? Eigentlich nicht. Sobald man Dateien hat, deren Größe wächst, wird man immer auch Dateien haben, die über ihren verfügbaren Platz hinauswachsen. Man kann allerdings im Nachgang versuchen, eine derartig in mehrere Teile aufgespaltene Datei auf einen anderen, bislang freien Platz zu verschieben, an dem sie wieder in einem Stück abgespeichert werden kann. Während einer solchen Operation ist natürlich der Zugriff auf diese Datei nur eingeschränkt möglich. Aus diesem Grund wird auch kein System derartige Aufräumarbeiten permanent durchführen, dies wird man immer zu Zeiten durchführen, zu denen möglichst wenige sonstige Aktivitäten stattfinden. Um die Defragmentierung aufzurufen, gibt es mehrere Möglichkeiten; zum einen über die Eigenschaften eines Laufwerks in der Registerkarte Tools oder über Systemsteuerung/System und Sicherheit und dann den Eintrag Festplatte defragmentieren unterhalb von Verwaltung. Abbildung 6.46 Kontrolle der Defragmentierung

Im Gegensatz zu früheren Windows-Versionen wird bei Windows 7 die Defragmentierung automatisch von System durchgeführt, ein manueller Eingriff des Administrators ist somit nicht mehr zwingend erforderlich. Im Dialogfeld in Abbildung 6.46 sieht man im oberen Teil den aktuell für die Defragmentierung eingerichteten Zeitplan und im unteren Teil die Laufwerke, auf denen eine Defragmentierung durchgeführt werden kann, sowie den Zeitpunkt der letzten Durchführung. Durch Betätigung der Schaltfläche Zeitplan konfigurieren hat man die Möglichkeit, die Defragmentierung auf Zeiten zu legen, die besser mit dem persönlichen Arbeitsverhalten übereinstimmen. Die genaueren Optionen der

336


Zeitplanung lassen sich über die Aufgabenplanung in der Systemsteuerung konfigurieren, dort kann man einsehen, dass die Aktion Defragmentierung nur unter folgenden Rahmenbedingungen erfolgt: 왘 Computer befindet sich seit mindestens drei Minuten im Leerlauf. 왘 Aktion wird unterbrochen, falls Leerlauf beendet wird, und startet von Neuem, wenn wieder Leerlauf eintritt. 왘 Aktion startet nur, wenn Computer mit Netzstrom betrieben wird, Aktion wird beendet, wenn Computer in Akkubetrieb wechselt. 왘 Sofern die eingestellte Startzeit verpasst wird, Aktion schnellstmöglich nachholen. Diese Bedingungen sind so gewählt, dass die normale Arbeit mit dem System möglichst wenig gestört wird. Abbildung 6.47 Zeitplanung der Defragmentierung

6 Über die Schaltfläche Datenträger auswählen kann man bestimmen, welche Datenträger für die Defragmentierung vorgesehen sind. Sobald in Abbildung 6.46 eines der Laufwerke ausgewählt wurde, kann man mit der Schaltfläche Datenträger analysieren eine Überprüfung des Datenträgers durchführen lassen. Die Prozentanzeige im Dialogfeld gibt dann die Anzahl der defragmentierten Dateien an, ab einem Wert von etwa 10% sollte man durch die Schaltfläche Datenträger defragmentieren die Defragmentierung starten. Während der Vorgang läuft, wird in der Spalte Status der Ablauf protokolliert. Abbildung 6.48 Wo soll defragmentiert werden?

337

Kapitel 6 Daten, Datenträger und Dateisysteme Fragmente existieren nur lokal

Prinzipiell können nur lokale Datenträger defragmentiert werden, Netzwerklaufwerke müssen auf dem jeweiligen Serversystem defragmentiert werden. Dies gilt allerdings nicht für iSCSI- oder SAN-Laufwerke, da diese als lokal angesehen werden. Sofern das Kontrollkästchen Neue Datenträger automatisch defragmentieren aktiviert ist, werden auch sämtliche Wechselmedien wie beispielsweise USB-Sticks in die Zeitplanung aufgenommen. Wer dies nicht will, muss das Kontrollkästchen entsprechend deaktivieren und die Laufwerke entsprechend einzeln selektieren.

Defragmentierung auf der Kommandozeile Die Defragmentierung lässt sich auch über die Kommandozeile steuern, hierzu dient das Programm defrag.exe. Das Programm lässt sich nur über eine Kommandozeile mit administrativen Berechtigungen ausführen, es kann nicht selber eine entsprechende UAC-Abfrage ausführen. In der einfachsten Ausführung wird nur das zu prüfende Laufwerk als Parameter angegeben: Listing 6.18 Fragmentierung war erfolgreich.

>defrag c: Microsoft Disk Defragmenter Copyright (c) 2007 Microsoft Corp. "Defragmentierung" wird für "SysDrive (C:)" aufgerufen... Vor der Defragmentierung ausgeführter Bericht: Volumeinformationen: Volumegröße = 21,33 GB Freier Speicherplatz = 12,57 GB Fragmentierter Speicherplatz insgesamt = 1% Größter freier Speicherplatz = 9,56 GB Hinweis: Dateifragmente, die größer als 64 MB sind, sind nicht in den Fragmentierungsstatistiken enthalten. Der Vorgang wurde abgeschlossen. Post Defragmentation Report: Volumeinformationen: Volumegröße = 21,33 GB Freier Speicherplatz = 12,57 GB Fragmentierter Speicherplatz insgesamt = 0% Größter freier Speicherplatz = 9,56 GB Hinweis: Dateifragmente, die größer als 64 MB sind, sind nicht in den Fragmentierungsstatistiken enthalten.

Zusätzlich kann noch der Parameter /V angegeben werden. Dann werden noch zusätzliche Informationen über den Zustand des Datenträgers ausgegeben, etwa Details über die MFT: ... Master File Table (MFT): MFT-Größe Anzahl von MFT-Datensätzen MFT-Verwendung MFT-Fragmente insgesamt ...

338

= 70,50 MB = 72191 = 100% = 2


Als weitere Optionen werden erkannt: 왘 /C – Führt die Defragmentierung auf allen vorhandenen Laufwerken durch. 왘 /E – Führt die Defragmentierung auf allen vorhandenen Laufwerken mit Ausnahme der angegebenen durch. 왘 /A – Führt nur eine Analyse der Defragmentierung durch. 왘 /U – Protokolliert den Fortgang der Aktionen auf dem Bildschirm. 왘 /H – Startet das Programm mit hoher Priorität. Normalerweise läuft die Defragmentierung mit niedriger Priorität, um die Arbeit im Vordergrund nicht zu beeinträchtigen. 왘 /X – Es wird nur versucht, die freien Speicherbereiche auf dem Datenträger zu größeren, zusammenhängenden Blöcken zu konsolidieren. >defrag h: /x /v Microsoft Disk Defragmenter Copyright (c) 2007 Microsoft Corp.

Listing 6.19 Zusammenfassung des freien Speicherplatzes

"Konsolidierung des freien Speicherplatzes" wird für "Volume (H:)" aufgerufen... Vor der Defragmentierung ausgeführter Bericht: ... Freier Speicherplatz: Zähler für freien Speicherplatz = 22 Durchschnittlicher freier Speicherplatz = 124,00 KB Größter freier Speicherplatz = 1,43 MB ... Post Defragmentation Report: ... Freier Speicherplatz: Zähler für freien Speicherplatz = 8 Durchschnittlicher freier Speicherplatz = 348,00 KB Größter freier Speicherplatz = 2,69 MB

6

In Listing 6.19 kann man die Auswirkung der Defragmentierung direkt sehen. Wo es vorher noch 22 einzelne freie Bereiche auf dem Datenträger gab, sind es nach der Konsolidierung nur noch acht. Die durchschnittliche Größe eines derartigen freien Bereiches hat sich ebenso verdoppelt wie die Größe des größten freien Bereiches. Mit dem Programm DiskView (siehe SYS) lässt sich eine grafische Darstellung der Belegung eines Datenträgers anzeigen, hierbei kann man auch einzelne Dateien hervorheben lassen.

Defragmentierung in speziellen Fällen Manchmal möchte man nicht gleich die komplette Platte defragmentieren, sondern interessiert sich nur für eine ganz spezielle Datei. Hier hilft das Programm contig.exe (siehe SYS). Mit diesem Programm kann zum einen analysiert werden, aus wie vielen Fragmenten eine Datei besteht, zum anderen kann eine Datei gezielt defragmentiert werden. Im Beispiel

339


in Listing 6.20 wird zusätzlich die Option –V verwendet, um eine ausführlichere Ausgabe zu erhalten. Listing 6.20 Defragmentierung einer einzelnen Datei

>contig -v h:\big.txt Contig v1.55 - Makes files contiguous Copyright (C) 1998-2007 Mark Russinovich Sysinternals - www.sysinternals.com -----------------------Processing h:\big.txt: Scanning file... Scanning disk... File is 22 physical clusters in length. File is in 11 fragments. Found a free disk block at 4455 of length 664 for entire file. Moving 22 clusters at file offset cluster 0 to disk cluster 4455 File size: 90001 bytes Fragments before: 11 Fragments after : 1 -----------------------Summary: Number of files processed : 1 Number of files defragmented: 1 Average fragmentation before: 11 frags/file Average fragmentation after : 1 frags/file

340

7

Netzwerkgrundlagen

Computer können ihre Stärke, das Verarbeiten von Informationen, erst dann wirklich einsetzen, wenn sie nicht alleine sind, sondern Daten mit anderen Systemen austauschen können. Aus diesem Grund wurden Netzwerke entwickelt, mit denen viele Computer untereinander verbunden werden können. Die Geburtsstunde von Netzwerken, wie wir sie heute kennen, wird gemeinhin auf den 29. Oktober 1969 gelegt, als erstmals eine Datenverbindung zwischen zwei entfernten Computersystemen hergestellt wurde. Die erste Verbindung wurde allerdings nach zwei übertragenen Zeichen abrupt beendet, da einer der beiden teilnehmenden Computer abstürzte. Siehe hierzu auch den Geburtstagsgruß auf [GEB].

7.1

Netzwerk theoretisch

Bei der Beschäftigung mit Netzwerktechnologien kommt man immer wieder auf den Begriff des ISO/OSI-Schichtenmodells. Dies ist eine theoretische Betrachtung einer Netzwerkkommunikation, bei der die unterschiedlichen Teilkomponenten abstrakt in Form von Schichten angeordnet werden. Begonnen wurde die Entwicklung an diesem Modell Ende der 70er-Jahre des vergangenen Jahrhunderts, im Jahr 1983 wurde es von der ISO (Internation Standards Organisation, quasi die internationale Version der DINOrganisation) als Standard angenommen und liegt nun als ISO 7498-1 vor. Der Namensbestandteil OSI ergibt sich aus der Anwendung des Standards zur Kommunikation unterschiedlicher Systeme miteinander: Open Systems Interconnection.

341

Kapitel 7 Netzwerkgrundlagen Kommunikation theoretisch

Abbildung 7.1 Das ISO/OSISchichtenmodell

Basis dieses Modells ist die Überlegung, dass Kommunikation auf verschiedenen Ebenen stattfindet. Auf jeder Ebene kommunizieren gleichartige Partner miteinander und bedienen sich dafür der unterliegenden Schichten. Als Beispiel mag man sich zwei Personen vorstellen, die miteinander kommunizieren möchten. Beide verwenden gewisse Kommunikationsmittel, die übereinstimmen müssen, etwa Papier und Bleistift im Gegensatz zu Stimme und Ohr. Beide müssen die gleiche Sprache verwenden, egal welche Kommunikationsmittel sie einsetzen. Und schließlich müssen sie auch noch über das gleiche Thema kommunizieren. Insbesondere IT-affine Menschen haben hierbei gelegentlich Probleme. Sender

Empfänger

Anwendung

Anwendung

Darstellung

Darstellung

Verbindung

Verbindung

Transport

Transport

Netzwerk

Netzwerk

Datenübertragung

Datenübertragung

Hardware

Hardware

Für diejenigen Elemente über einer Schicht sieht es so aus, als ob diese Schicht direkt mit der korrespondierenden Schicht des anderen Kommunikationsteilnehmers kommuniziert. Eine echte Kopplung findet jedoch nur auf der Ebene der untersten Schicht 1, der Hardware (auch Physical Layer genannt), statt, z.B. indem ein Netzwerkkabel direkt zwischen zwei Computern verläuft. Auf der Ebene der Schichten 2 bis 7 sind diese Verbindungen nur noch virtuell. Die eigentlichen Daten, die zu transportieren sind, werden in jeder Schicht in einen Rahmen eingekapselt, der Verwaltungsinformationen für den Transport zwischen den Schichten regelt. Auf der Ebene der Hardware sind beispielsweise Stromspannungen definiert, die auf dem Kabel übertragen werden, auf der Ebene darüber das Format, wie aus der Folge dieser Stromspannungswechsel Anfang und Ende eines einzelnen Datenblocks erkannt werden können. Nummer und Name der Schicht

Funktion

1 Hardware (Physical Layer) 2 Datenübertragung (Data Link Layer), intern unterteilt in LLC (Logical Link Control) und MAC (Media Access Control)

Physikalische Verbindung, Synchronisation der Übertragung zwischen sendender und empfangender Hardware Übergabe der Daten an die physikalische Übertragung, Kontrolle des Zugriffs auf das Übertragungsmedium, Kontrolle der fehlerfreien Übertragung einzelner Datenpakete

Tabelle 7.1: Das ISO/OSI-Schichtenmodell von unten nach oben

342

Netzwerk-Hardware

Nummer und Name der Schicht

Funktion

3 Netzwerk (Network Layer)

Datenkontrolle innerhalb eines Netzsegments; Aufteilung von großen Datenblöcken in für das Medium passende Teilstücke; Weiterleiten von Daten an entfernte Empfänger (Routing) Erkennung von fehlenden oder doppelten Datenblöcken; Sortierung der Datenblöcke; Sammlung der Daten von mehreren Sendern, Verteilung ankommender Daten an mehrere Empfänger Aufbau, Kontrolle und Abbau von Verbindungen; Ablauf von Kommunikation in Form von festgelegten Frage-/Antwortsequenzen (Challenge/Response) Umsetzung von Datenformaten; Möglichkeit zur Komprimierung oder Verschlüsselung der Daten Schnittstelle zur Benutzeroberfläche

4 Transport (Transport Layer) 5 Verbindung (Session Layer) 6 Darstellung (Presentation Layer) 7 Anwendung (Application Layer)

Tabelle 7.1: Das ISO/OSI-Schichtenmodell von unten nach oben

Es wird scherzhaft oft auch von einem Fehler auf ISO-Layer 8 gesprochen, hierbei meint man die Ebene, die noch über der Anwendung liegt, also den Benutzer selbst.

7

Sobald man auf einer Ebene eine Verbindung mit zwei ungleichen Partnern herstellen will, muss man eine Wandlung auf einer höheren Ebene durchführen.

7.2

Netzwerk-Hardware

Netzwerk-Hardware besteht im Prinzip aus drei unterschiedlichen Typen von Elementen: 왘 Netzwerk-Adapter, die einen Computer mit dem Netzwerk verbinden, indem sie einen physikalischen Kontakt zum Netzwerk herstellen. 왘 Aktive Netzwerkkomponenten, die dazu dienen, unterschiedliche Netzwerkbestandteile zu koppeln. Ein solches Gerät wird deshalb aktiv genannt, weil es über ein gewisses Maß an Eigenintelligenz verfügt, um den Datenverkehr nach gewissen Regeln zu kontrollieren. Ein typisches Beispiel einer aktiven Komponente ist ein Hub, Switch oder Router. 왘 Passive Netzwerkkomponenten, die den unintelligenten Teil des Netzwerks bilden. Hierzu gehören Kabel, Patchfelder zur Herstellung einer Verbindung oder auch Antennen bei einer Funkübertragung.

343

Kapitel 7 Netzwerkgrundlagen

Da die Intelligenz der aktiven Netzwerkkomponenten in Form von Programmen (Software) vorliegt, können diese Aufgaben von einem Computer übernommen werden; so kann man beispielsweise einen Computer mit mehreren Netzwerkadaptern auch als Router einsetzen. Bei den passiven Komponenten wird oftmals nach den verwendeten Kabeltypen und den erreichbaren Geschwindigkeiten unterschieden, meistens werden die Namen für Netzwerkkomponenten nach den zugrunde liegenden Normen und Standards für die Datenübertragung gewählt. Während Hauptspeicher oder Datenträger immer mit Größenangaben in Byte bezeichnet werden, hat sich im Bereich der Netzwerke bedingt durch die ursprünglich serielle Übertragung der einzelnen Bits die Größenangabe in Bit pro Sekunde (Bit/s) durchgesetzt. Typische Beispiele für passive Komponenten sind: 왘 CAT-5/CAT-7 (Kategorie 5 beziehungsweise 7) – Bezeichnung für Ethernetkabel mit verdrillten Adern (Twisted Pair), bei den Kabeln wird oft auch nach Ausführung der Schirmung im Kabel unterschieden (mit Schirmung: STP – Shielded Twisted Pair und ohne Schirmung: UTP – Unshielded Twisted Pair). Kabel im Standard CAT-5 eignen sich bis zur Übertragung von 1 GBit/s (1000BASE-T), bei CAT-7 bis zu 10 GBit/s. Diese Technologie wird überwiegend beim Aufbau einer strukturierten Verkabelung innerhalb eines Gebäudes eingesetzt. 왘 Glasfaser, FDDI (Fiber Distributed Data Interface). Bei dieser Technologie werden die Daten in Form von Lichtimpulsen durch eine optische Verbindung geleitet. Der Vorteil liegt hierbei darin, dass diese Verbindungen unanfällig gegenüber elektrischen Beeinflussungen sind und auch keine elektromagnetischen Felder ausstrahlen, an denen man Informationen abgreifen könnte. Die Technologie existiert sowohl für die lokale Anwendung als auch für den Datentransport über große Entfernungen, da die einzelnen Stationen auch viele km voneinander entfern liegen können. Die möglichen Geschwindigkeiten lagen früher deutlich über den damaligen Möglichkeiten der Kupferkabel, heute hat sich der Abstand relativiert. Drei Begriffe, die man in diesem Bereich immer wieder hört, sind: 왘 Dark Fiber – Lichtwellenleiter, die zwischen zwei Punkten verlegt ist, auf denen aber keine Daten übertragen werden und die vom Kabeleigner ohne jegliches Anschaltequipment verkauft oder vermietet wird. 왘 FTTH (Fiber-to-the-Home) – Der Anschluss von Gebäuden mit Glasfasern im Gegensatz zur herkömmlichen Technik, bei der die Hauszuleitung mit Kupferkabel erfolgt. 왘 FTTD (Fiber-to-the-Desk) – Die gebäudeinterne Verkabelung führt Glasfaser bis zum Arbeitsplatz auf dem Schreibtisch. Hatte frühe Geschwindigkeitsvorteile gegenüber Kupferkabel, ist aber im Vergleich dazu deutlich teurer. 왘 ADSL/SDSL – Asymmetrical und Symmetrical Digital Subscriber Line (englisch für Digitaler Teilnehmeranschluss) beschreibt eine Technologie, bei der

344

Netzwerk-Hardware

digitale Daten mit hoher Geschwindigkeit über normale Telefonkabel übertragen werden. Man unterscheidet hierbei zwischen Upload (Transport von Daten vom Teilnehmer zum Anschlusspunkt) und Download (Transport von Daten zum Teilnehmer vom Anschlusspunkt). Sind hierbei beide möglichen Geschwindigkeiten gleich, spricht man von einem symmetrischen Anschluss, ist die Download-Geschwindigkeit höher als die des Uploads, spricht man von einem asymmetrischen Anschluss. Da für den Privatbereich fast ausschließlich ADSL-Anschlüsse angeboten werden, spricht man im Allgemeinen von DSL, wenn man eigentlich ADSL meint. Oftmals wird die Bezeichnung DSL noch um die maximale Geschwindigkeit ergänzt, wobei hier immer die Download-Geschwindigkeit angegeben wird. Gängige Bauformen sind hier DSL-1000 (1 MBit/s), DSL2000 (2 MBit/s), DSL-6000 (6 MBit/s) oder DSL-16000 (16 MBit(s). Inzwischen werden unter der Bezeichnung VDSL auch Anschlüsse mit einer Download-Geschwindigkeit von 50 MBit/s angeboten. Die UploadGeschwindigkeit ist meist um den Faktor 10 kleiner. 왘 WLAN – Wireless LAN beschreibt eine Technologie, bei der die Systeme statt mit Kabeln über Funkverbindungen angeschlossen werden. Die Reichweite einer derartigen Verbindung ist stark von der Umgebung (Gebäudebauform) abhängig und deshalb nur innerhalb einer engen Umgebung nutzbar. Im Laufe der technischen Entwicklung haben sich verschiedene Übertragungsstandards mit unterschiedlichen maximalen Datenraten entwickelt: 왘 IEEE 802.11b – 11 MBit/s 왘 IEEE 802.11g – 54 MBit/s 왘 IEEE 802.11n – 600 MBit/s. Dieser Standard wurde erst im September 2009 verabschiedet, es gibt eine ganze Reihe von Geräten auf dem Markt, die bereits nach einer Vorabversion der Spezifikation IEEE 802.11 Draft n erstellt wurden. Prinzipiell lassen sich WLAN-Adapter entweder im Betrieb mit einer designierten Basisstation betreiben (Infrastruktur-Modus), oder zwei WLAN-Geräte können miteinander eine direkte Verbindung herstellen (Ad-hoc-Modus). 왘 GPRS, HSDPA Beschreiben Technologien zur Datenübertragung in Mobilfunknetzen, je nach Empfangslage sind dabei Geschwindigkeiten von 53,6 KBit/s (GPRS, General Packet Radio Service im normalen GSM-Netz) bis 7,2 MBit/s (HSDPA, High Speed Downlink Packet Access im UMTS-Netz) möglich. Mit diesen Techniken kann man quasi an jedem Ort, an dem man auch mit seinem Mobiltelefon telefonieren kann, eine Verbindung zum Internet aufbauen. 왘 POTS und ISDN – Beschreiben das herkömmliche analoge Telefonnetz (Plain Old Telephone System) beziehungsweise dessen digitalen Nachfahren (Integrated Services Digital Network). Da diese Netze nicht speziell für die Datenübertragung entwickelt wurden, ist eine maximale Datenübertragungsrate von 56 KBit/s (analog) beziehungsweise 128 KBit/s (ISDN mit Zweikanalbetrieb) möglich. Da bei diesen Verbindungsarten zunächst eine Anwahl der Gegenstelle erfolgen muss, werden diese

7

345


auch als Dial Up-Verbindungen bezeichnet. Die geringe Geschwindigkeit der Datenübertragung lässt diese Verbindungen heute den gängigen Anforderungen nicht mehr genügen, ist aber im ländlichen Raum ohne DSL-Versorgung meist die einzige Möglichkeit, eine Verbindung zum Internet herzustellen. 왘 Weitere Bauformen – Es gibt noch ganze Reihe weiterer Bauformen von Netzanschlüssen, die jeweils besondere Einsatzbereiche haben. Zu nennen wären hier noch Power Line (Nutzung des heimischen Stromnetzes anstelle normaler LAN-Verkabelung), Kabelmodem (Datentransfer über das Fernseh-Antennenkabel eines Kabelfernsehbetreibers) oder Satelliten-DSL (Download über geostationäre Satelliten, Upload über klassisches Telefonnetz). Abbildung 7.2 Ein Netzwerk einrichten

Windows unterscheidet bei Netzwerken zunächst danach, ob die Verbindung mit dem Netzwerk permanent besteht oder ob sie erst hergestellt werden muss (Wählverbindung). Weiterhin ist von Interesse, ob das Netzwerk, mit dem sich das System verbinden soll, das Internet oder ein privates Netzwerk ist. Als zusätzliche Option besteht auch die Möglichkeit, eine Verbindung zu einem privaten Netzwerk über einen Tunnel durch ein öffentliches Netzwerk hindurch (VPN – Virtual Private Network) herzustellen.

7.2.1

Netzwerkadapter für lokale Verbindungen

Als lokale Verbindungen sieht Windows 7 alle Netzwerkadapter an, die direkt eine Verbindung mit dem Netzwerk herstellen. Insbesondere sind dies Ethernet-Karten, fest eingebaut oder in Form von Steckkarten mit USB-Anschluss oder PCMCIA-Adapterkarten. Hierbei sollte man darauf achten, dass zum verwendeten Netzwerkadapter auch der passende Treiber vorliegt. Ist ein Treiber für Windows 7 noch nicht verfügbar, kann auch versucht werden, einen Treiber für Windows Vista zu verwenden.

346

Netzwerk-Hardware Abbildung 7.3 Netzwerkkarte mit und ohne Verbindung zum Internet

Abbildung 7.4 Netzwerkkarte ohne Kabelanschluss

Im Systemtray-Bereich wird für den Netzwerkadapter ein Symbol angezeigt. Dieses ändert seine Darstellung je nachdem, ob der Adapter auch tatsächlich eine Verbindung zum Netzwerk aufbauen kann oder nicht. Die noch bei Windows Vista vorhandene Möglichkeit, auf dem Symbol in der Leiste eine grafische Darstellung des Datenverkehrs einzurichten (Animation bei Aktivität), besteht nicht mehr.

7.2.2

Drahtlose Netzwerke

Eine drahtlose Verbindung per WLAN ist zwar auch eine lokale Verbindung über einen im Computer eingebauten Adapter, hier muss das System sich aber meist erst über ein Kennwort mit dem Gegenstück der Funkverbindung verbinden, um neben der physikalischen Verbindung auch einen Datentransport zuzulassen. Auch Verbindungen über das Mobilfunknetz sind zwar drahtlos, werden für Windows aber als eine Verbindung, die erst durch einen Wahlvorgang hergestellt werden muss, angesehen.

7

Ein drahtloses Netzwerk wird im Systemtray-Bereich mit einer Darstellung der aktuellen Feldstärke des Funkempfangs dargestellt. Auf das Thema WLAN wird ausführlicher in Kapitel 8 eingegangen. Abbildung 7.5 Funkempfang beim WLAN

7.2.3

Netzwerke für Punkt-zu-PunktVerbindungen

Verbindungen, die den Computer zu einem ganz bestimmten, angeb- Kein Netz unter baren Zugangspunkt im Netzwerk verbinden, werden Wählverbindun- dieser Nummer? gen genannt. Hierbei wird noch unterschieden, ob die Verbindung zum Internet hergestellt wird oder zu einem privaten Netzwerk. Zwei Sonderformen gilt er hier zu beachten:

347

Kapitel 7 Netzwerkgrundlagen 왘 VPN-Verbindung – Hier wird über eine bereits bestehende Verbindung

ein Tunnel zu einer Gegenstelle in einem privaten Netzwerk hergestellt. Der lokale Computer wird dadurch zu einer Außenstelle des entfernten Netzwerkes, die Kommunikation zwischen diesem Netz und dem lokalen System wird durch Verschlüsselung vor dem Netz, durch das der Tunnel verläuft, verborgen. 왘 Breitband-Verbindung (DSL) – Hier nimmt das System über eine bestehende Ethernet-Verbindung Kontakt mit einem DSL-Modem auf und stellt so eine Verbindung mit dem Internet her. Die Verbindung zwischen DSL-Modem und lokalem Netzwerkadapter arbeitet dabei mit dem Protokoll PPPoE (Point-to-Point-Protocol over Ethernet) im Gegensatz zur Verbindung mit einem DSL-Router, bei dem zwischen DSL-Router und lokalem Netzwerkadapter mit dem IP-Protokoll gearbeitet wird. Erkennbar ist der Unterscheid auch daran, dass die DSL-Zugangsdaten auf dem Computer und nicht auf dem DSL-Router gespeichert werden.

7.2.4

WAN-Netzwerke und die Anbindung ganzer lokaler Netzwerke

Sobald eine größere Anzahl von Systemen an einem Standort gemeinsam auf das Internet zugreifen wollen, wird man dieses Netzwerk mit einem Router und/oder einer Firewall versehen. Die Kommunikation mit dem Internet wird dann nur über diese eine Komponente durchgeführt. So kann an dieser einen Stelle auch die Kontrolle über die entsprechenden Datenströme erfolgen. Das lokale System im Netzwerk weiß dann selber nichts darüber, wie die Anbindung real durchgeführt ist, und hat auch keinen Status darüber, ob aktuell eine Verbindung besteht oder nicht. Die einfachste und kleinste Form dieser Anbindung ist die Verwendung eines üblichen DSL-Routers, mit oder ohne WLAN-Anbindung. Zu beachten ist hierbei, dass die Erstinstallation eines solchen Gerätes meist nur über eine kabelgebundene Verbindung möglich ist. In dem DSL-Router existieren dann mehrere Kabelanschlüsse für lokale Geräte und einer zum Anschluss an das Telefonnetz.

7.3 Immer nach Protokoll verfahren!

348

Netzwerkprotokolle

Die Bezeichnung Netzwerkprotokoll wird in durchaus verschiedenen Bereichen gebraucht, obwohl sich die einzelnen Protokolle auf völlig unterschiedlichen Ebenen des ISO-Schichtenmodells bewegen. Als Beispiel mag hier die Kommunikation zwischen Webserver und Browser dienen, diese wird über das Protokoll HTTP (Hypertext Transfer Protocol, ISO-Schicht 7) abgewickelt. Die einzelnen Datenpakete dieses Protokolls werden über TCP (Transmission Control Protocol, ISO-Schicht 4) übertragen. Und die Pakete des TCP wiederum bestehen aus IP-Paketen (Internet Protocol, ISO-Schicht 3). Die Protokolle bauen also aufeinander auf. Nicht zu vergessen natürlich, dass die IPPakete selber wiederum mit einem Protokoll der physikalischen Datenübertragung (etwa Ethernet-Frames, ISO-Schicht 2) transportiert werden.

Netzwerkprotokolle

In diesem Abschnitt betrachten wir die Protokolle der unteren Schichten (ISO-Schicht 4 und abwärts).

7.3.1

Alte Bekannte und Exoten

Verschiedene Protokolle, die früher in Verwendung waren, werden inzwischen nicht mehr unterstützt: 왘 NetBEUI – Das Protokoll (NetBIOS extended User Interface) war das Standardprotokoll von Windows bis einschließlich der Version Windows 2000. Für Windows XP und Windows Server 2003 konnte das Protokoll noch manuell nachinstalliert werden, für die späteren Versionen wurde das Protokoll nicht mehr angeboten. Das Protokoll selbst ist nur für kleine Netzsegmente geeignet und bedarf keines Konfigurationsaufwandes. 왘 IPX/SPX – Die Protokolle (Internetwork Packet Exchange/Sequenced Packet Exchange) wurden ursprünglich von der Firma Novell für ihre NetWareSysteme verwendet. Im Gegensatz zu NetBEUI konnte ein IPX/SPXNetz auch aus mehreren Teilnetzen bestehen, was es auch für größere Installationen verwendbar machte. Nachdem aber Novell selbst seine NetWare-Systeme auf die Verwendung von TCP/IP umgestellt hatte, begann das Interesse an IPX/SPX nachzulassen. Windows XP war das letzte System, für das Microsoft das Protokoll noch anbot. 왘 AppleTalk – Diese Protokoll wurde ursprünglich von der Firma Apple für die Systeme der Macintosh-Reihe entwickelt, inzwischen aber auch von Apple selbst für TCP/IP aufgegeben. Von Microsoft wurde dieses Protokoll noch bis einschließlich Windows 2000 unterstützt.

7.3.2

Das IP-Protokoll – Version 4

7

Das Internet-Protokoll (IP-Protokoll ist eigentlich eine sprachlich unzulässige Verdoppelung) bildet die Grundlage des Datentransports im Internet. Entwickelt wurde das Protokoll ursprünglich für das amerikanische Forschungsund Militärnetzwerk ARPANet. Bedingt durch die zeitliche Entwicklung wird heute der Begriff IP meist mit der vierten Version des Protokolls (IPv4) gleichgesetzt, das 1981 im Dokument [RFC791] festgelegt wurde. RFC bedeutet ausgeschrieben Request for Comment (Aufforderung zum Kommentieren) und beschreibt ein Dokument, in dem grundlegende Vorschriften über die Implementation bestimmter Aspekte der Netzwerkkommunikation festgelegt werden. Das Besondere an den RFC ist, dass ihr Inhalt nach der Veröffentlichung nicht mehr verändert wird. Werden Fehler in einem RFC festgestellt oder möchte man Erweiterungen zu einem bestehenden RFC publizieren, wird ein neuer RFC aufgelegt und der alte als eben das bezeichnet: veraltet (obsolated). Die RFC werden dabei aufsteigend numerisch bezeichnet. Der ganze Prozess wird dabei durchaus auch mit einer Prise technischem Humor gewürzt. So ist in [RFC1149] (A Standard for the Transmission of IP Datagrams on Avian Carriers) beschrieben, wie man IP-Pakete mit Brieftauben transportieren kann. Veröffentlicht wurde der RFC am 1. April 1990 und befindet sich immer noch im Status Experimental.

349


Basis des Protokolls ist die IP-Adresse, mit der jedes Gerät, das mit dem Netzwerk verbunden ist, bezeichnet wird. Diese Adresse wird aus 32 Bits dargestellt, diese werden üblicherweise in der Form von vier Dezimalzahlen dargestellt, die mit Punkten verbunden werden. Jede einzelne der vier Zahlen wird somit durch 8 Bits dargestellt, dies erlaubt die Werte von 0 bis 255 einschließlich. Somit ergeben sich insgesamt maximal 4.294.967.296 unterschiedliche IP-Adressen. Dies erschien in der Anfangszeit des Internets, als es wenige Tausend Systeme gab, noch relativ viel zu sein. Inzwischen prognostiziert man jedoch, dass es in wenigen Jahren keine IPAdressen mehr zur Verteilung gäbe. Das Netz sind Netze und Hosts

Tabelle 7.2 Zusammenhang zwischen IP-Adresse, Subnetzmaske und Netzwerkadresse

Um eine sinnvolle Strukturierung des Adressraums zu erreichen, teilt man die IP-Adresse logisch in zwei Teile auf: 왘 Netzwerkadresse – Steht immer am Anfang der IP-Adresse. Mit einer sogenannten Subnetzmaske wird der Teil der Netzadresse aus der IPAdresse ausmaskiert. dezimal

Binär

IP-Adresse

201.193.233.137 11001001 11000001 11101001 10001001

Subnetzmaske

255.255.255.0

11111111 11111111 11111111 00000000

Netzwerkadresse

201.193.233.0

11001001 11000001 11101001 00000000

Möchte man eine IP-Adresse zusammen mit ihrer Subnetzmaske angeben, schreibt man entweder die dezimale Darstellung durch einen Schrägstrich getrennt dahinter (201.193.233.137/255.255.255.0) oder gibt an, wie viele mit 1 gesetzte Bits am Anfang der Subnetzmaske stehen (201.193.233.137/24). 왘 Hostadresse (Systemadresse) – Beinhaltet die Bits der IP-Adresse, die nicht zur Netzwerkadresse gehören, im obigen Beispiel also137.

Routing Möchte nun ein System mit einem anderen System kommunizieren, so errechnet der Sender seine Netzadresse aus seiner eigenen IP-Adresse und eigenen Subnetzmaske und vergleicht dies mit der Netzwerkadresse, die er aus der IP-Adresse des Empfängers und seiner eigenen Subnetzmaske erhält (die Subnetzmaske des Empfängers ist unbekannt). Stellt es dabei fest, dass das Zielsystem die gleiche Netzwerkadresse hat, so geht es davon aus, dass es dieses System auch direkt erreichen kann. Stimmen die Netzwerkadressen nicht überein, muss das sendende System ein System finden, das in der Lage ist, das Datenpaket in Richtung zum Zielsystem weiter zu leiten. Im einfachsten Fall kennt das System nur einen einzigen Kontaktpunkt (auch Router genannt) für diese Aufgabe, dieser wird Standardgateway (Default Gateway) genannt. In einem Netzwerk mit mehreren Routern müssen vom Administrator Routen konfiguriert werden. Diese enthalten prinzipiell die folgenden Angaben: Welche Netzwerk-

350

Netzwerkprotokolle

adresse kann erreicht werden? Über welche IP-Adresse kann der Router erreicht werden? Welcher lokale Adapter soll für die Route verwendet werden? Wie teuer ist diese Verbindung? Die letzten beiden Angaben sind optional, die Angabe des Adapters ist nur von Interesse, wenn an einem Netzwerk mehrere Adapter parallel angeschlossen sind. Die Angabe der Kosten (Metric) ist dann interessant, wenn ein Zielnetzwerk über mehrere Routen erreichbar ist. Das System kann dann den Datenverkehr über die günstigste Strecke leiten. Ist die beste Route nicht verfügbar, versucht das System automatisch, den Datenverkehr über einen Umweg zu leiten, ohne dass der Administrator manuell eingreifen müsste.

Datentransportprotokolle Zum eigentlichen Transport der Daten dienen die beiden Protokolle TCP (Transmission Control Protocol) und UDP (User Datagram Protocol). Der Unterschied zwischen beiden Protokollen besteht darin, dass bei TCP eine feste Verbindung zwischen Sender und Empfänger aufgebaut wird. Schon auf Protokollebene wird dafür gesorgt, dass alle Datenpakete der Verbindung in der richtigen Reihenfolge und ohne Auslassungen ausgetauscht werden. Gehen während der Übertragung Pakete verloren oder werden verstümmelt, so fordert der jeweilige Empfänger automatisch eine erneuete Sendung des Pakets an. Bei UDP findet ein derartiger Verbindungsaufbau nicht statt. Der Sender sendet sofort seine Daten an den Empfänger, ohne zu wissen, ob dieser die Daten überhaupt empfangen kann. Auf gleichem Wege verläuft die Übertragung von Rückmeldungen. Das Programm, das UDP verwendet, muss selbst dafür sorgen, dass doppelte oder fehlende Pakete erkannt werden, und dementsprechend reagieren. Der Vorteil von UDP gegenüber TCP besteht darin, dass die Datenübertragung schneller stattfinden kann, da kein umständlicher Verbindungsaufbau und -abbau zu Beginn und Ende der Datenübertragung stattfinden muss.

Was wäre ein Netz ohne Daten, die es transportiert?

7

Um auf einem System mehrere parallele Datenübertragungen zu ermöglichen, werden bei TCP und UDP die Verbindungen auf einem System über Portnummern adressiert. Eine Verbindung auf dem System wird somit immer über vier Zahlenangaben in einem Tupel unterschieden: IPAdresse Empfänger, Portnummer Empfänger, IP-Adresse Sender, Portnummer Sender. Für bestimmte Dienste sind bestimmte Portnummern beim Empfänger vorab definiert, zum Beispiel HTTP (Verbindungen mit einem Webserver) auf Nummer 80. Möchte nun ein Client eine Datenübertragung aufbauen, so wählt er eine bei ihm nicht vergebene Portnummer (Quellport) und sendet die Nachricht an den bekannten Port des Serversystems (Zielport) auf dem empfangenden System. Der Server sendet dann seine Rückantwort an diese vom Client gewählte Portnummer zurück. Baut der Client nun gleichzeitig eine zweite Verbindung zum Server auf, wählt er beim Verbindungsaufbau eine andere Portnummer aus, da die erste verwendete Nummer ja nun von der ersten Verbindung bereits belegt ist. Auf diese Weise kann der Server die beiden Verbindungen unterscheiden. Eine solche Kombination aus den vier Parametern der Verbindung wird auch Socket genannt.

351

Kapitel 7 Netzwerkgrundlagen Listing 7.1 Mehrere Verbindungen zu einem Zielport nutzen unterschiedliche Quellports.

>netstat Proto TCP TCP TCP TCP TCP TCP TCP

–n Lokale Adresse 192.168.0.99:49168 192.168.0.99:49169 192.168.0.99:49170 192.168.0.99:49171 192.168.0.99:49172 192.168.0.99:49173 192.168.0.99:49175

Remoteadresse 62.245.190.22:80 62.245.190.22:80 62.245.190.22:80 62.245.190.22:80 62.245.190.22:80 62.245.190.22:80 74.125.47.147:80

Status HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT

Der Befehl netstat gibt eine Liste der aktiven Netzwerkverbindungen aus, das Argument –n sorgt dafür, dass die IP-Adressen und Portnummer nicht in Namen übersetzt werden. Die IP-Adresse 192.168.0.99 ist die lokale Adresse des Systems, die IP-Adresse 62.245.190.22 entspricht dem Webserver www.addison-wesley.de, die Adresse 74.125.47.147 gehört zu Google.

Namensfragen IP-Adressen sind für Computer sehr praktisch, weil diese gut mit Zahlen umgehen können. Für Menschen trifft dies nur bedingt zu. Menschen können besser mit Namen umgehen, zu denen sie eine gedankliche Verbindung aufbauen können. Aus diesem Grund wurde DNS (Domain Name System) entwickelt, ein System, um Namen zu IP-Adressen und umgekehrt zuordnen zu können. Im obigen Beispiel mit dem Befehl netstat haben wir extra angefordert, dass diese Übersetzung unterbleiben soll. Das System ist hierbei mehrstufig aufgebaut. Abbildung 7.6 Struktur des DNSNamensraum

. (root)

com

de

biz

pearson Q=A

addison-wesley Pedsmtpgw 62.245.190.19

352

Q=MX

Q=A

pedsmtpgw. pearson.de

www 62.245.190.22

Netzwerkprotokolle

An oberster Stelle steht die sogenannte rootzone (Wurzelzone), die als Namen sind Namen einen einzelnen Punkt besitzt und von einer Ansammlung von 13 Schall und Rauch sogenannten Rootservern vorgehalten wird, die unter der Verwaltung einer Organisation mit Namen ICANN (Internet Corporation for assigned Names und Numbers – Internet-Vereinigung für zugewiesene Namen und Nummern) stehen. Diese Vereinigung entscheidet über die Zulassung der Domänen der obersten Ebene (TLD – Top Level Domain), hier gibt es die klassischen generischen TLD (gTLD) wie beispielsweise com für kommerzielle Angebote, länderspezifische TLD (ccTLD, country code TLD) wie etwa de für Angebote aus Deutschland und eine ganze Reihe von neuen Domänen wie etwa biz für Business. Die einzelnen Namensbestandteile einer Adresse werden dabei durch Punkte voneinander abgetrennt. Eine Liste aller aktuell vorhandenen TLD kann unter der Adresse [TLD] abgefragt werden. Diese Liste reicht bei den ccTLD aktuell von ac für Ascension Island (eine Inselgruppe zwischen Afrika und Südamerika) bis zw für Zimbabwe (Simbabwe). Aktuell ist im Kreis der ICANN eine Diskussion im Gange, ob die ccTLD auch mit länderspezifischen Zeichen geschrieben werden können, etwa in einem kyrillischen oder ostasiatischen Zeichensatz. Möchte man zu einem DNS-Namen (im Beispiel www.addison-wesley.de) die IP-Adresse herausfinden, wird dieser Name von rechts nach links analysiert. Die erste Domäne, die dabei gefunden wird, ist de. Nun werden die Rootserver befragt, welcher Server für de zuständig ist. Dieser Server wird dann gefragt, wer für die Domäne addison-wesley innerhalb der Domäne de zuständig ist. Dies kann durchaus ein anderer Server sein, wenn man die Domäne addison-wesley innerhalb der Domäne com betrachtet.

7

Hat man nun erfahren, welcher Server für die Domäne addison-wesley.de zuständig ist, kann man diesen Server nach der gewünschten Information fragen. Hier kann man nun nach verschiedenen Informationen fragen, beispielsweise eine Abfrage nach der Adresse des Systems (querytype = A) mit dem Namen www innerhalb der Domäne, wenn man die Webseite der Domäne betrachten will. Möchte man hingegen an die Domäne eine E-Mail schicken, so wird man den Server nach dem zuständigen Mailaustauschsystem (querytype = MX. Mail Exchanger) befragen. In diesem Fall erhält man aber vom DNS keine IP-Adresse zurück, sondern nur die Information, dass dieses System den Namen pedsmtpgw.pearson.de trägt. Der Vorgang der Namensauflösung beginnt also mit dem neuen Namen von vorne. Damit der Vorgang der Namensauflösung möglichst rasch geschieht, werden die Informationen im DNS in den einzelnen Servern automatisch zwischengespeichert. Für jeden Eintrag existiert dabei eine Zeitspanne, wie lange dieser Eintrag im Zwischenspeicher vorgehalten werden soll. Dies hat andererseits auch zur Folge, dass Änderungen in den Einträgen des DNS eine gewisse Zeit benötigen, wie sie allgemein bekannt sind, da es keine Möglichkeit gibt, die zwischengespeicherten Einträge vorzeitig zu erneuern.

353

Kapitel 7 Netzwerkgrundlagen Listing 7.2 Beispiel für DNSAbfragen mit nslookup

>nslookup -q=ns de. Nicht autorisierte Antwort: de nameserver = a.nic.de ... de nameserver = z.nic.de >nslookup -q=ns addison-wesley.de z.nic.de addison-wesley.de nameserver = ns1.m-online.net addison-wesley.de nameserver = ns2.m-online.net >nslookup -q=a www.addison-wesley.de ns1.m-online.net Server: ns1.m-online.net Address: 212.18.0.8 Name: www.addison-wesley.de Address: 62.245.190.22

Im Beispiel in Listing 7.2 werden insgesamt drei DNS-Abfragen mit dem Programm nslookup.exe durchgeführt. Bei der ersten Abfrage (nslookup – q=ns de.) wird der Standard-Nameserver nach der Adresse (querytype = ns) des Nameservers für die TLD de. gefragt. Als Antwort kommt eine ganze Reihe von zuständigen Systemen zurück, aus der Antwort wählen wir einen Server aus. Die Antwort wird gekennzeichnet als Nicht autorisierte Antwort, weil wir einen DNS gefragt haben, der die Informationen nur anhand seiner zwischengespeicherten Ergebnisse gegeben hat. Dieser Zwischenspeicher ist aber nicht befugt, eine finale Antwort zu geben, dies könnten nur die Rootserver machen. Bei der zweiten Abfrage (nslookup – q=ns addison-wesley.de z.nic.de) wird nun einer der Server aus der ersten Antwort (hier z.nic.de) gefragt, wer ein Nameserver (querytype = ns) für die Domäne addison-wesley.de ist. Als Antwort erhält man nun zwei Servernamen, von denen man für die dritte Abfrage einen auswählt. In dieser dritten Abfrage (nslookup –q=a www.addison-wesley.de ns1.m-online.net) wird nun tatsächlich nach der Adresse für den Servernamen www.addisonwesley.de gefragt. Was bei der ganzen Betrachtung unterschlagen wurde, ist noch eine ganze Reihe weiterer DNS-Abfragen, ohne welche die hier dargestellten Abfragen nicht funktionieren würden. Beispielsweise muss ja für die zweite Abfrage zunächst mal die Adresse z.nic.de in eine IP-Adresse gewandelt werden. Aus diesem Beispiel mag man ersehen, dass ein störungsfreies Funktionieren der DNS-Abfragen eine wesentliche Grundvoraussetzung für das Funktionieren der Netzwerkfunktionalitäten ist. Üblicherweise werden einem System zwei oder mehr DNS genannt, an die es seine Anfragen zur Namensauflösung schicken kann. Hierbei sollte aber darauf geachtet werden, dass beide DNS über den gleichen Datenbestand verfügen. Der zweite DNS wird nur dann angefragt, wenn der erste DNS keine Antwort liefert. Liefert er eine negative Antwort (diese Anfrage ergibt kein Resultat), wird Windows nie den zweiten DNS fragen. Es bringt also nichts, einem System zwei DNS zu benennen, wobei der

354

Netzwerkprotokolle

erste für die Adressen im Internet und der zweite für die Adressen im Intranet zuständig sein soll.

Besondere IP-Adressen und automatische Adresszuweisung Es gibt eine Reihe von IP-Adressen mit besonderer Bedeutung. Diese werden speziell behandelt und sind zum Beispiel nicht für die Verwendung im Internet nutzbar: 왘 10.x.y.zEin privates Netzwerk. Diese IP-Adressen werden von einem Router weder als Sender noch als Empfängeradresse verwendet. Sie dienen dazu, ein lokales, abgeschlossenes Netzwerk mit IP-Adressen zu versehen. Die Standardsubnetzmaske in diesem Netz ist 255.0.0.0. 왘 172.16.x.y – 172.31.x.y – Ein privates Netzwerk. Die Standardsubnetzmaske in diesem Netz ist 255.255.0.0. 왘 192.168.x.y – Ein privates Netzwerk. Die Standardsubnetzmaske in diesem Netz ist 255.255.255.0. 왘 0.0.0.0 – Bezeichnet eine nicht zugewiesene IP-Adresse, die beispielsweise nicht konfiguriert wurde. 왘 127.0.0.1 – Diese Adresse kennzeichnet das System selbst (localhost). 왘 255.255.255.255 – Diese Adresse ist die generelle Rundsende-Adresse. Pakete, die an diese Adresse gesendet werden, können prinzipiell von jedem System im jeweiligen Netzsegment gelesen werden. 왘 168.254.x.y – Sobald ein System seine IP-Adresse von einem DHCP-Server beziehen sollte, dieser Prozess aber nicht zum Erfolg führt, wird dem System eine Adresse aus dem Bereich zugewiesen. Dieser Prozess wird auch als APIPA (Automatic Private IP Addressing) bezeichnet.

7

In vielen Fällen möchte man nicht jedes System im Netzwerk manuell mit einer IP-Adresse konfigurieren. Hierfür wurde ein automatisches Verfahren mit Namen DHCP (Dynamic Host Configuration Protocol) entwickelt, das diese Adressvergabe automatisch durchführt. Hierfür wird auf einem DHCP-Server ein Pool von IP-Adressen angelegt (DHCP-Scope), die zur Verteilung zur Verfügung stehen. Ein als DHCP-Client konfiguriertes System fragt per Rundsendung in das Netz, ob es dort einen DHCP-Server gibt, der ihm eine Adresse zuteilen möchte. Der DHCP-Server erkennt diese Rundsendungen und teilt dem DHCP-Client eine Adresse aus seinem Pool zu. Man spricht davon, dass der Client ein Lease erhalten hat. >ipconfig /all Windows-IP-Konfiguration Hostname . . . . . . Primäres DNS-Suffix . Knotentyp . . . . . . IP-Routing aktiviert WINS-Proxy aktiviert DNS-Suffixsuchliste .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

: : : : : :

win7lap

Listing 7.3 Überprüfung der IP-Adressen mittels ipconfig

Hybrid Nein Nein rid

Drahtlos-LAN-Adapter Drahtlosnetzwerkverbindung:

355

Kapitel 7 Netzwerkgrundlagen Verbindungsspezifisches DNS-Suffix: rid Beschreibung. . . . . . . . . . . : Atheros AR5007EG Wireless Network Adapter Physikalische Adresse . . . . . . : 00-24-D2-2C-88-1F DHCP aktiviert. . . . . . . . . . : Ja Autokonfiguration aktiviert . . . : Ja IPv4-Adresse . . . . . . . . . . : 192.168.0.99(Bevorzugt) Subnetzmaske . . . . . . . . . . : 255.255.255.0 Lease erhalten. . . . . . . . . . : Mittwoch, 4. November 2009 08:13:18 Lease läuft ab. . . . . . . . . . : Donnerstag, 5. November 2009 08:13:18 Standardgateway . . . . . . . . . : 192.168.0.254 DHCP-Server . . . . . . . . . . . : 192.168.0.254 DNS-Server . . . . . . . . . . . : 192.168.0.254 NetBIOS über TCP/IP . . . . . . . : Aktiviert Verwaltung automatisch

Zusammen mit dieser Adresszuweisung kann dem Client auch noch eine ganze Reihe von Verwaltungsinformationen mit übertragen werden, sodass an der Netzwerkkonfiguration des Clients keinerlei manuelle Eingaben mehr erforderlich sind, auch wenn der Client plötzlich an einen anderen Netzwerkstandort wechselt. Der DHCP-Server kontrolliert, wie lange ein Client seine IP-Adresse behalten darf; diese Zeitspanne wird auch als Leasedauer bezeichnet. Im obigen Beispiel in Listing 7.3 beträgt diese Zeitspanne genau einen Tag. Noch vor Ablauf dieser Zeitspanne muss sich der Client an den Server wenden, der die Adresse ursprünglich zugeteilt hatte (hier 192.168.0.254), und versuchen, eine Verlängerung der Zeitspanne zu erreichen. Einige Dienste laufen nur im TCP, andere nur mit UDP, und manche verwenden beide Protokolle. Einen Einblick in die möglichen Dienste bekommt man mit der Datei %windor%\system32\drivers\etc\services, in der die Zuordnung zwischen Dienstname, verwendetem Protokoll und Portnummer einsehbar ist. An gleicher Stelle findet sich auch die Datei protocol, in der man erkennen kann, welche Transferprotokolle es außer TCP und UDP noch gibt.

Netzwerkmultiplikatoren In den meisten Fällen bekommt man bei der Verbindung mit seinem Provider genau eine öffentliche IP-Adresse zugewiesen, möchte aber mehr als ein System in seinem lokalen Netzwerk betreiben. Für diesen Anwendungsfall wurde das Prinzip NAT (Network Address Translation) entwickelt. Hier nimmt ein sogenannter NAT-Router die IP-Pakete mit einer netzinternen Adresse (typischerweise aus dem Bereich 192.168.x.y) entgegen und gibt diese nach außen mit seiner öffentlichen IP-Adresse weiter. Kommt dann eine Rückantwort von außen zurück so tauscht er wieder die ursprüngliche Zieladresse gegen die interne IP-Adresse des ursprünglichen Clients aus.

356

Netzwerkprotokolle

Möchte man auf einem System im inneren Netzwerk einen Dienst nach außen anbieten, so muss man dies dem NAT-Router separat konfigurieren, damit er weiß, welche Verbindungen zu welchem Port er zu welchem System im inneren Netz weiterleiten soll. Dies hat andererseits aber auch zur Folge, dass so ein NAT-Router einen gewissen Schutz für die internen Systeme darstellt, da es nicht möglich ist, von außen direkt Kontakt mit den internen Systemen aufzunehmen.

Ein Netzwerk ohne Betriebssystem Man kann ein Netzwerk auch dazu verwenden, um einen Computer neu zu installieren. Das Verfahren beruht darauf, dass auf dem Computer (im BIOS oder auf dem Netzwerkadapter) ein Modul beim Start des Systems versucht, einen Server zu finden, von dem es ein Installationsimage erhalten kann. Abbildung 7.7 Rechnerstart ohne Betriebssystem

In Abbildung 7.7 sieht man einen Rechner, auf dessen Datenträger sich kein Betriebssystem befindet. In diesem Falle versucht das BIOS, einen Systemstart über PXE (Preboot Execution Environment – Laufzeitumgebung für den Systemstart) durchzuführen. Hierbei wird zunächst per DHCP eine IP-Adresse gesucht. Der DHCP-Server muss bei der Zuteilung der IP-Adresse zugleich auch dem Client mitteilen, welche PXE-Server zur Verfügung stehen. Von diesem Server wird dann per TFTP (Trivial FTP – Einfaches Protokoll zur Transfer von Dateien) ein Startprogramm bezogen. Je nach Konfiguration wird dem Client vom TFTP-Server entweder ein komplettes Abbild zum direkten Ausführen aus dem RAM übertragen oder zunächst ein Abbild zur Installation des Betriebssystems auf einem lokalen Datenträger. Auf diese Weise kann in einer Firmenumgebung die Installation eines neuen Systems direkt am Arbeitsplatz ohne manuellen Eingriff eines Administrators erfolgen. Die hier angerissene Methode wird ausführlich in Kapitel 4 besprochen.

7.3.3

7

Das IP-Protokoll – Version 6

Schon recht früh begann sich abzuzeichnen, dass der Adressraum des Protokolls IPv4 irgendwann erschöpft sein würde. Deshalb begann man im Jahr 1995 mit Überlegungen zu einem Nachfolgeprotokoll, das diese Probleme des kleinen Adressraums nicht mehr haben sollte. In 1998 wurde im RFC 2460 die Konzeption des Nachfolgers IPv6 vorgestellt. In die Entwicklung des Protokolls flossen auch viele Erfahrungen ein, die man mit IPv4 erst im Laufe seiner Anwendung gesammelt hatte.

357


Aufbau der IPv6-Adresse Viel hilft viel

Basis des Protokolls ist die Erweiterung der IP-Adresse von 32 auf 128 Bits, was zu einer Gesamtzahl von etwa 3,4 * 1038 IP-Adressen führt. Um sich diese Zahl vorzustellen, mag folgende Rechnung dienen. Die Erdoberfläche beträgt etwa 510*106 km2, das sind 5,1*1020 mm2. Möchte man nun jeden Quadratmillimeter der Erdoberfläche gleichmäßig mit IP-Adressen belegen, so bleiben pro mm2 immer noch 6,6 * 1017 IP-Adressen übrig, also gut 600 Billiarden. Das sollte also zunächst für das weitere Wachstum des Internets ausreichend sein. Während bei IPv4 die Adressen in Form von vier dezimalen Zahlen notiert werden, hat man für IPv6 ein Format mit acht Adressblöcken aus jeweils vier hexadezimalen Ziffern (0123456789abcedf) gewählt, die durch einen Doppelpunkt voneinander angetrennt werden. Stehen in einem dieser 4erBlöcke vorne eine oder mehrere Nullen, können diese auch weggelassen werden. Kommen in einem oder mehreren dieser 4er-Blöcke hintereinander nur Nullen vor, können diese Blöcke komplett gestrichen und durch zwei aufeinanderfolgende Doppelpunkte dargestellt werden. Eine mehrfache Verwendung dieser Verkürzung ist nicht möglich. Standardmäßig sind jedem Adapter gleich mehrere IPv6-Adressen zugeordnet, eine davon ist die LinkLocal-Adresse. Dies ist eine Adresse zur Verwendung im lokalen Netzwerk, wobei die tatsächlich verwendete Adresse unter anderem von der Hardware-Adresse des Netzwerkadapters abhängt (MAC-Adresse). Diese Adressen werden im Bereich der Autokonfiguration verwendet, ähnlich wie die APIPA-Adressen bei IPv4. Bedingt durch die konzeptionelle Ähnlichkeit von IPv4 und IPv6 ergeben sich in der Anwendung von IPv6 viele Ähnlichkeiten mit bereits bekannten Verfahren und Einstellungen. Die großen Änderungen liegen eher im Bereich des Netzwerkaufbaus und seiner Strukturierung. Eine genaue Einführung in dieses Thema bietet das Buch Understanding IPv6, Second Edition von Joseph Davies, Microsoft Press, ISBN-10: 0735624461, oder die Website [IPV6].

Koexistenz Das größte Problem bei IPv6 besteht in seiner Einführung in ein bestehendes Netzwerk auf Basis von IPv4. Zum einen müssen alle Anwendungen auf die Verwendung der neuen, größeren IP-Adressen vorgesehen werden, zum anderen müssen die aktiven Netzwerkkomponenten für den Betrieb mit IPv6 vorbereitet sein. In den wenigsten Fällen wird man von seinem Provider auch eine IPv6-Adresse bekommen. Hier zeigt sich ein klassisches Henne-Ei-Problem: Die Provider bieten kein IPv6 an, weil die Kunden kein IPv6 anfordern, die Kunden fordern kein IPv6 an, weil es keine per IPv6 erreichbaren Dienste gibt, es werden keine Dienste per IPv6 angeboten, weil die Kunden kein IPv6 nutzen können.

358

Netzwerkanwendungen – Server und Client

Um den Flaschenhals IPv6-Provider zu umgehen, gibt es eine ganze Reihe von Verfahren, mit denen IPv6-Pakete über bestehende IPv4-Verbindungen übertragen werden (Tunnel-Protokolle). Auf diese Weise kann man in seinem lokalen Netzwerk schon IPv6 verwenden und trotzdem auch Kontakt mit bereits auf IPv6 basierenden Diensten (http://ipv6.google.com oder http:// www.six.heise.de) aufnehmen. Im folgenden Kapitel 8 wird der Aufbau eines IPv6-Tunnels detailliert besprochen.

7.4


Bei der Datenkommunikation unterscheidet man zum einen nach der Richtung des Datentransfers (Sender und Empfänger) und zum anderen danach, wer die Kommunikation initial angestoßen hat, hier unterscheidet man zwischen Client und Server. Der Client ist immer das System, das den Datenverkehr initial startet, der Server ist der, der diese erste Nachricht des Clients entgegennimmt und danach eine Rückantwort sendet. In der Folge werden die Rollen von Sender und Empfänger immer abwechselnd eingenommen.

7.4.1

Web – Internetinformationsdienste (IIS) und IE

Das WWW (World Wide Web) ist für die meisten Nutzer eigentlich iden- Das Internet ist tisch mit dem Internet, obwohl dieses noch einige weitere Dienste bietet. mehr als bloß Der Client für das WWW ist der Browser, bislang bedeutet dies eigentlich das Web immer Internet Explorer. Bei Windows 7 hat sich allerdings im Bereich der EU die Justiz in diesen Bereich eingemischt. Nach einer Beschwerde eines anderen Browserherstellers sah es zeitweise sogar so aus, als ob Windows 7 von Microsoft völlig ohne Browser ausgeliefert werden müsste. Die aktuelle Lage im Streitfall sieht so aus, dass Windows 7 zwar mit dem Internet Explorer ausgeliefert wird, beim ersten Start durch den Benutzer dieser aber eine Auswahlseite zu sehen bekommt, über die er auch andere Browser installieren kann. Windows 7 kann jedoch nicht nur als Client im WWW agieren, es gibt auch einen Webserver IIS (Internet Information Services), den man installieren kann. Rufen Sie hierzu Systemsteuerung/Programme/Programme und Funktionen/Windows-Funktionen aktivieren oder deaktivieren auf. Per Klick auf das Kontrollkästchen Internetinformationsdienste wird eine Auswahl der dazu gehörigen Unterkomponenten angeboten. Diese Komponente ist in allen Editionen von Windows 7 verfügbar.

359

7

Kapitel 7 Netzwerkgrundlagen Abbildung 7.8 IIS-Komponenten

Insbesondere werden zunächst nur statische Seiten unterstützt, die Verwendung von dynamischen Seiten mit ASP (Active Server Pages) wird aus Sicherheitsgründen standardmäßig nicht aktiviert. Vom Funktionsumfang unterscheidet sich IIS 7.5 in Windows 7 nicht von der Version, die mit Windows Server 2008 ausgeliefert wird. Insbesondere ist es nun, im Gegensatz zu IIS unter Windows XP, auch möglich, mehr als einen Webserver auf einem System zu betreiben. Unter Windows Vista war die Anzahl gleichzeitig zu verarbeitender Clientanfragen begrenzt. Zusätzliche wurden in eine Warteschlange eingereiht, was somit faktisch die Leistung von IIS limitierte. Informationen, ob derartige Drosselungen auch unter Windows 7 existierten, stehen derzeit noch nicht zur Verfügung. IIS 7.5 unter Windows 7 ist nicht dafür gedacht, als Ersatz für einen produktiven Webserver zu dienen. Der Einsatzzweck dürfte eher ein Entwicklungs- und Testsystem für Entwickler und Webdesigner sein.

7.4.2

Fernarbeit – Telnet, Remotedesktop und Remoteunterstützung

Die Idee, an seinem Schreibtisch zu sitzen und mit einem Computer zu arbeiten, ist ja nicht neu. Das gab es eigentlich schon, seit es Computer überhaupt gibt. In der Anfangszeit nutzte man Terminals, die über eine serielle Leitung mit dem Computer verbunden waren. Mit der Einführung von Computernetzwerken wurde damit als einer der ersten Dienste ein netzwerkfähiges Terminal eingeführt, für das sich der Name Telnet durchgesetzt hat. In den bisherigen Versionen von Windows waren sowohl ein Programm für die Verwendung über eine serielle Leitung (Hyper Terminal) als auch

360


für die Verbindung über das Netzwerk (telnet.exe) mitinstalliert worden. Die Unterstützung für Hyper Terminal wurde mit Windows Vista komplett eingestellt, der Telnet-Client muss über die Windows-Funktionen separat installiert werden. Während die Telnet-Server-Funktion (also anderen Benutzern erlauben, sich über das Netzwerk anzumelden und Kommandos auf dem lokalen System auszuführen) früher nur für die Server-Editionen von Windows angeboten wurde, ist diese Funktionalität auch für Windows 7 verfügbar. Die Installation erfolgt über die Auswahl der Windows-Komponenten in der Systemsteuerung. Abbildung 7.9 Der Telnet-Server ist zwar installiert, aber noch nicht aktiviert.

7 Nachdem der Telnet-Server installiert ist, muss der Dienst noch manuell aktiviert werden. Zudem wird auf dem System eine lokale Gruppe TelnetClients eingerichtet. Nur Benutzer, die Mitglied dieser Gruppe sind, erhalten das Recht, sich über Telnet an diesem Rechner anzumelden, dies gilt auch für Administratoren. Eine Regel für den Zugriff auf den Server wird automatisch in die Firewall eingetragen. >telnet.exe win7lap *=============================================================== Microsoft Telnet Server. *=============================================================== C:\Users\user1.win7lap>set c CommonProgramFiles=C:\Program Files\Common Files COMPUTERNAME=WIN7LAP ComSpec=C:\Windows\system32\cmd.exe

Listing 7.4 Verbindungsaufbau mittels telnet.exe

C:\Users\user1.win7lap>dir /w Volume in Laufwerk C: hat keine Bezeichnung. Volumeseriennummer: 8895-41F4 Verzeichnis von C:\Users\user1.win7lap

361

Kapitel 7 Netzwerkgrundlagen [.] [..] [Contacts] [Desktop] [Documents] [Downloads] [Favorites] [Links] [Music] [Pictures] [Saved Games] [Searches] [Videos] 0 Datei(en), 0 Bytes 13 Verzeichnis(se), 52.887.928.832 Bytes frei C:\Users\user1.win7lap>exit Verbindung zu Host verloren. Multiuser für geringe Ansprüche Listing 7.5 Multiuser nur eingeschränkt

Es ist allerdings nicht möglich, mehr als zwei Verbindungen zu einem Telnet-Server unter Windows 7 aufzubauen. Zudem kann man zwar auch grafische Programme starten, diese werden aber nicht auf der Oberfläche angezeigt. C:\Dokumente und Einstellungen\jochenr>telnet.exe win7lap Welcome to Microsoft Telnet Service login: user1 password: Neue Verbindung aufgrund von Beschränkung der Anzahl der Verbindungen verweigert . Verbindung zu Host verloren.

Deutlich mehr Möglichkeiten bieten die unter dem Oberbegriff Remotedesktop eingeführten Dienste. Hierbei besteht die Möglichkeit, die komplette Oberfläche des Systems inklusive grafischer Ausgabe und Mausbedienung auf einem anderen System zu übertragen. Bei Windows 7 gibt es diese Dienste in zwei Ausführungen: 왘 Remoteunterstützung – Bei der Remoteunterstützung fordert der Benutzer, der gerade vor dem Computer sitzt, die Unterstützung zum Beispiel eines Supportmitarbeiters an. Hierbei können beide Benutzer den Bildschirm des Anfordernden sehen und sich über eine Chat-Funktionalität auch austauschen. Auf Wunsch kann der Support-Mitarbeiter auch Aktionen auf dem fremden System durchführen. 왘 Remotedesktop – Beim Remotedesktop wird während der Verbindung mit dem Remotedesktopclient der Bildschirm der ursprünglichen Systems abgeschaltet, der Benutzer, der vor dem System sitzt, kann also nicht sehen, was über die Netzverbindung tatsächlich ausgeführt wird. Diese Beschränkung ist allerdings rein lizenztechnischer Natur, bei gleicher Technik können auf einem Windows (Terminal) Server auch viele Benutzer gleichzeitig arbeiten. Meldet man sich über das Netzwerk mit dem Benutzer an, der aktuell lokal angemeldet ist, erhält man seinen Bildschirm mit allen laufenden Applikationen angezeigt. Meldet man sich mit einem anderen Benutzer an, wird dessen Sitzung (nach Nachfrage) gesperrt. Standardmäßig können sich nur Administratoren per Remotedesktop anmelden, weiteren Benutzern kann diese Möglichkeit durch Aufnahme in die lokale Gruppe Remotedesktopbenutzer erlaubt werden.

362


Gesteuert werden beide Möglichkeiten über den Link Remoteeinstellungen in den Systemeigenschaften des Computers. In Kapitel 8 wird dieses Thema ausführlicher behandelt. Eine weitere Möglichkeit zur Zusammenarbeit bietet das Programm SharedView, dieses wird in Kapitel 16 vorgestellt. Abbildung 7.10 Steuerung des Remotezugriffs

7.4.3

Datei- und Druckerfreigabe – SMB, CIFS und NFS

7

Für den Zugriff auf Dateien eines fremden Systems haben sich zwei unterschiedliche Verfahren am Markt durchgesetzt, das aus dem Unix-Bereich bekannte NFS (Network File System) und die Datei- und Druckfreigabe unter Windows, die unter den Bezeichnungen SMB (Server Message Block) und CIFS (Common Internet File System) bekannt wurde. SMB wurde dabei erstmals von den Produkten LAN Manager (Microsoft) und LAN Server (IBM) unter OS/2 1.x verwendet. Auf Clientseite wurde es mit Windows für Workgroups erstmals auch für einen Betrieb ohne dezidierte Serversysteme eingeführt. Während die Datei- und Druckfreigabe Bestandteil von Windows 7 ist, muss man die Unterstützung für den Zugriff auf NFS-Server zunächst als zusätzliche Windows-Komponente installieren. Hat man die Komponente Client für NFS installiert, steht der Befehl mount.exe zur Verfügung, mit dem man eine Verbindung zu einem freigegebenen Mountpoint eines NFS-Servers herstellen kann. >mount -u:jochen -p:XXXX \\192.168.0.97\home * Z: ist jetzt erfolgreich mit "\\192.168.0.97\home" verbunden. Der Befehl wurde erfolgreich ausgeführt.

Listing 7.6 Herstellen einer Verbindung zu einer NFS-Freigabe

>dir z: Volume in Laufwerk Z: hat keine Bezeichnung.

363

Kapitel 7 Netzwerkgrundlagen Volumeseriennummer: CE24-632E Verzeichnis von Z:\ 28.08.2008 12.08.2009 28.08.2008 28.08.2008

Wer bin ich, wer will ich sein?

20:11 . 21:22 jochen 19:52 lost+found 20:11 .. 0 Datei(en), 28.672 Bytes 4 Verzeichnis(se), 1.939.226.624 Bytes frei

Versucht man nun auf Dateien auf die Freigabe zuzugreifen, wird man schnell feststellen, dass man nicht die Berechtigungen auf dem System hat, die man eigentlich nach dem gewählten Benutzernamen erwarten würde. Dies liegt daran, dass die NFS-Server intern nicht mit Benutzernamen arbeiten, sondern mit Benutzernummern. Da Windows 7 nicht feststellen kann, welche Benutzernummer zu einem bestimmten Benutzer gehört, wird eine sogenannte anonyme Benutzernummer verwendet. Diese kann man sich auch über den Befehl mount.exe anzeigen lassen.

Listing 7.7 Optionen einer NFS-Verbindung

>mount

Mein Name ist Nobody

Interessant sind hierbei die Angaben UID=–2 und GID=–2. Diese weisen den verbundenen NFS-Server an, die Verbindung mit sehr geringen Zugriffsrechten (der Benutzer nobody) auszustatten. Um dieses Problem zu umgehen, gibt es zwei Möglichkeiten: 1. In der Registry im Schlüssel HKLM\SOFTWARE\Microsoft\ ClientforNFS\CurrentVersion\Default die beiden DWORD-Werte AnonymousUID und AnonymousGID anlegen und mit den gewünschten Werten versehen. Dann erhalten allerdings alle Benutzer, die auf diesem System den NFS-Client verwenden, bei ihren Verbindungen die Berechtigungen dieses Benutzers. 2. Sie können den NFS-Client so konfigurieren, dass er für die Zuordnung von Benutzernamen unter Windows und Benutzernummer auf dem NFS-Server Active Directory oder einen anderen Verzeichnisdienst wie beispielsweise NIS befragt.

Lokal Remote Eigenschaften ------------------------------------------------------------------Z: \\192.168.0.97\home UID=-2, GID=-2 rsize=32768, wsize=32768 mount=soft, timeout=0.8 retry=1, locking=yes fileaccess=755, lang=ANSI casesensitive=no s=sys

Die Einbindung von Windows 7 an NFS-Server kann sicherlich noch nicht als optimal bezeichnet werden. Hier ist der umgekehrte Weg, auf dem Unix-artigen System einen Dienst für Datei- und Druckerfreigabe zu betreiben (Samba), der komfortablere Weg.

364

8

Erweiterte Netzwerkfunktionen

Während im vorigen Kapitel ein eher genereller Überblick gegeben und einige Spezialthemen kurz angerissen wurden, werde ich hier die Netzwerkfunktionen in Windows 7 tiefgehender behandeln.

8.1

Netzwerkeinstellungen

Die zentrale Anlaufstelle für die Netzwerkeinstellungen bei Windows 7 ist das Netzwerk- und Freigabecenter. Sie erreichen es unter Systemsteuerung/Netzwerk und Internet/Netzwerk- und Freigabecenter. Abbildung 8.1 Netzwerk- und Freigabecenter

365

Kapitel 8 Erweiterte Netzwerkfunktionen Der zentrale Dreh- und Angelpunkt

Der tatsächliche Anblick des Fensters kann variieren, je nach Anzahl der vorhandenen Netzwerkschnittstellen. Im oberen Teil sehen Sie eine schematische Darstellung des gesamten Netzwerkes, darunter eine Auflistung aller auf dem System erkannten Netzwerke, wobei zu jedem Netzwerk auch mehr als ein Netzwerkadapter gehören kann. Zu jedem dieser Netzwerke wird eine ganze Reihe von Daten angezeigt: 왘 Name des Netzwerkes – Dient zur Identifikation 왘 Art des Netzwerkes (Netzwerkprofil) – Möglich sind hier die Optionen Heimnetzwerk, Arbeitsplatznetzwerk, Domänennetzwerk und Öffentliches Netzwerk 왘 Zugriffstyp – Gibt an, ob hier Verbindung mit dem Internet hergestellt werden kann oder nicht 왘 Verbindungen – Gibt an, über welche Netzwerkadapter die Verbindung hergestellt wird

8.1.1

Status eines Netzwerkadapters

Der Name des Netzwerkadapters am rechten Rand ist anklickbar, es erscheint ein Statusfenster für den Adapter. Das gleiche Fenster erhält man, wenn man im Netzwerkcenter links in der Leiste auf Adaptereinstellungen ändern klickt und dann den gewünschten Adapter doppelt anklickt. Abbildung 8.2 Status eines Netzwerkadapters

Adapterstatus

366

Getrennt für die Protokolle IPv4 und IPv6 wird angegeben, ob der Adapter eine Verbindung zum Internet herstellen kann oder nicht. Der Medienstatus beschreibt (beispielsweise bei einem Ethernetadapter), ob das Netzwerkkabel eingesteckt ist. Ist es nicht angeschlossen, so kann die Statusanzeige nicht angezeigt werden, wird das Kabel entfernt, während der Dialog geöffnet ist, wird dieser automatisch geschlossen. Die Übertragungsrate gibt die nominale Geschwindigkeit der Karte an. Dieser Wert hat jedoch nichts mit der tatsächlich erreichten Übertragungsgeschwindigkeit zu tun. Bei einem WLAN-Adapter wird an dieser Stelle zusätzlich auch noch die Qualität des Funksignals angezeigt. Die Angabe zur Aktivität im unteren Teil wird je nach Adapter in Bytes oder Paketen angegeben, dies hängt nicht von Win-


dows 7, sondern vom verwendeten Netzwerktreiber ab. Genauere Informationen erhält man durch die Schaltfläche Details. Die angezeigten Informationen beziehen sich im Wesentlichen auf die Konfiguration für IPv4 und IPv6. Für jedes Protokoll wird angegeben, welche IP-Adresse dem Adapter zugeteilt wurde, zusammen mit der entsprechenden Subnetzmaske. Sind einem Adapter mehrere IP-Adressen zugeordnet, so erscheinen auch mehrere Einträge untereinander. Ist die IP-Adresse per DHCP bezogen, so werden der jeweilige DHCP-Server und die Zeit, zu der die IP-Adresse bezogen wurde und zu der die Adresse abläuft, angegeben. Für die Namensauflösung werden die eventuell gesetzten DNS-Server (siehe Kapitel 8) und WINS-Server (Windows Internet Naming Service, ein Dienst zur Namensauflösung, der vorwiegend für Windows NT benötigt wurde) in heutigen Netzen eigentlich nicht mehr verwendet. Abbildung 8.3 Detailinformationen über einen Adapter

Mit der Schaltfläche Eigenschaften lassen sich die Eigenschaften der einzelnen Protokolle und Dienste ändern (siehe hierzu den Abschnitt 8.1.2 ab Seite 367). Mit der Schaltfläche Deaktivieren lässt sich ein Netzwerkadapter komplett ausschalten, dann sind keinerlei Datenübertragungen mehr möglich. Diese Funktion erreichen Sie auch über die Seite Adaptereinstellungen ändern mit der dortigen Funktion Netzwerkgerät deaktivieren.

8

Mit der Schaltfläche Diagnose versucht das System festzustellen, welche möglichen Probleme bei einem Netzwerkadapter aufgetreten sind, und gibt dann Hinweise auf Fehlerursachen, die man überprüfen möge.

8.1.2

Netzwerkadapter, Protokolle und Dienste

Im vorigen Kapitel haben Sie die theoretische Schichtung der einzelnen Kommunikationsebenen kennengelernt, hier können Sie diese jetzt in der Realität von Windows 7 sehen. Rufen Sie zunächst die Schaltfläche Eigenschaften im Status-Dialogfeld eines Netzwerkadapters auf. Im oberen Teil sehen Sie die physikalische Netzwerkkarte, über die Schaltflä- Netzwerk zum che Konfigurieren können Sie deren Eigenschaften festlegen. Diese Einstel- Anfassen lungen können Sie auch erreichen, wenn Sie im Geräte-Manager der Compu-

367

Kapitel 8 Erweiterte Netzwerkfunktionen

terverwaltung die dortigen Eigenschaften des Netzwerkadapters aufrufen. Zu den dort zugänglichen Informationen gehören beispielsweise Informationen über Hardware-Ressourcen oder wie der Adapter von der Energieverwaltung behandelt werden soll. Nähere Informationen hierzu finden Sie in Kapitel 2. In der Liste der Elemente sehen Sie anhand der Symbole vor der Beschreibung, um was für Elemente es sich handelt. Die T-förmigen Kabelabschnitte (in Abbildung 8.4 unten) kennzeichnen Protokolle, diejenigen mit dem Computersymbol auf einer Hand kennzeichnen Dienste und solche mit einem Computer am Kabel Klienten. Abbildung 8.4 Eigenschaften einer Netzwerkkarte

Sie können sich den Unterscheid zwischen Protokoll, Dienst und Klient ganz einfach merken: Ein Klient fragt über ein Protokoll einen Dienst an, und dieser sendet die Antwort über das gleiche Protokoll wieder zurück.

Protokolle Nur Protokolle, bei denen ein Haken im entsprechenden Kontrollkästchen gesetzt ist, können über diesen Adapter auch verwendet werden. Die beiden Einträge Interprotokoll Version 4 und Internetprotokoll Version 6 können hierbei über die Schaltfläche Eigenschaften auch konfiguriert werden (siehe den Abschnitt 8.2 ab Seite 374), dafür ist dort die Deinstallation nicht möglich. Die beiden Protokolle E/A-Treiber für Verbindungsschicht-Topologieerkennungszuordnung und Antwort für Verbindungsschicht-Topologieerkennung gehören logisch zusammen und bilden zusammen das Link Layer Topology Discovery Protocol (LLTP). Diese beiden Teilprotokolle werden von Windows Vista und Windows 7 verwendet, um Computer im lokalen Netzwerk zu finden und sie in einem Netzwerkdiagramm anordnen zu können. Sind diese beiden Protokolle nicht aktiviert, so wird der betreffende Computer nicht in der Netzwerkübersicht angezeigt beziehungsweise kann er selber diese Übersicht nicht aufbauen und anzeigen. Dies ist auch der Grund, warum Systeme mit Windows XP nicht in dieser Übersicht erscheinen, weil sie dieses Protokoll standardmäßig nicht unterstützen.

368


Das LLTP-Protokoll lässt sich für Windows XP nachrüsten, siehe hierzu [LLTP].

Dienste Dienste stellen Informationen für andere Teilnehmer im Netzwerk zur Verfügung, hier sind zwei gelistet: 왘 Datei- und Druckfreigabe für Microsoft-Netzwerke – Nur wenn dieser Dienst aktiviert ist, kann das System seine Drucker oder Datenträger anderen Systemen zur Verfügung stellen. Ist dieser Dienst nicht aktiviert, so ist dies nicht möglich (siehe hierzu den Abschnitt 8.7 ab Seite 428). 왘 QoS-Paketplaner – Quality of Service beschreibt ein Verfahren, mit dem auf Anforderung einer Anwendung ein bestimmter Anteil der Bandbreite einer Verbindung für diese Anwendung reserviert werden kann. Diese Beschränkung der verfügbaren Bandbreite wird aber nur durchgeführt, wenn tatsächlich eine Anwendung diese Reservierung anfordert. Man gewinnt also keinerlei zusätzliche Bandbreite, wenn man den Dienst deaktiviert.

Klienten Als einziger Klient wird der Client für Microsoft-Netzwerke installiert. Nur Fremde Netze mit diesem ist es möglich, auf Ressourcen (freigegebene Datenträger und Drucker) von anderen Systemen zuzugreifen. Über die Schaltfläche Installieren kann man zusätzliche Protokolle, Dienste und Klienten hinzufügen, zum Beispiel einen Klienten für den Zugriff auf Server unter Novell NetWare. Hierzu muss dann der entsprechende Datenträger dem System verfügbar gemacht werden.

8.1.3

Unterschiedliche Netzwerkprofile und die Kopplung zwischen Protokollen und Diensten

8

Im Netzwerk- und Freigabecenter wird für jedes Netzwerk angezeigt, welches Profil (auch Netzwerkstandort) auf dieser Netzwerkkarte aktiviert ist. Die vier möglichen Profile sind: 왘 Heimnetzwerk – Der Computer steht in einem privaten Netzwerk, jeder kennt jeden und vertraut ihm. Als Zusatzfunktion können sie eine Heimnetzwerkgruppe bilden (siehe den Abschnitt 8.9 ab Seite 447). 왘 Arbeitsplatznetzwerk – Auch hier steht der Computer in einer vertrauten Umgebung, die Funktionalität Heimnetzgruppe ist allerdings nicht vorhanden. 왘 Domänennetzwerk – Das Netzwerk wird über die Einstellungen der Domänencontroller gesteuert, lokale Einstellungen sind nicht möglich. 왘 Öffentliches Netzwerk – Die Umgebung des Computers ist potenziell gefährlich, fremde Systeme können versuchen, das System über das Netzwerk anzugreifen.

369


Im Netzwerkcenter wird zu jedem Adapter angezeigt, zu welchem Netzwerkprofil Windows den Adapter zuordnet, durch Klick auf die Bezeichnung des Adapters erhält man die Möglichkeit, das Profil selber auszuwählen. Abbildung 8.5 Netzwerkprofil manuell auswählen

Nicht jedes Profil kann man frei wählen

Die Einstellung Domänennetzwerk kann man nicht manuell auswählen, diese wird automatisch gewählt, sobald der Computer über dieses Netzwerk Kontakt mit seinem Domänencontroller aufnehmen kann. Die Erklärungen zu den einzelnen Auswahlpunkten erläutern die Auswirkungen der Einstellung nochmals. Um festzustellen, in welchem Netzwerk sich das System aufhält, verwendet Windows eine Funktion mit Namen Netzwerkerkennung (Network Location Awareness, NLA), diese bestimmt verschiedene Parameter und entscheidet danach, ob das aktuelle Netzwerk ein bereits bekanntes ist oder ein neues.

Der Netzwerktyp lässt sich nicht einstellen Bisweilen kommt es vor, dass sich der Netzwerktyp nicht einstellen lässt und fest auf Öffentliches Netzwerk bleibt. Dies ist insofern schlecht, als dass somit die Firewall auf dem maximalen Schutz steht und die Nutzbarkeit des Adapters im lokalen Netzwerk stark eingeschränkt ist. Abbildung 8.6 Unbekanntes Netzwerk, keine Änderung des Typs möglich

Starten Sie in diesem Fall den Editor für die lokale Sicherheitsrichtlinie (secpol.msc), und navigieren Sie zum Knoten Sicherheitseinstellungen/Netz-

370


werklisten-Manager-Richtlinien. Dort auf dem Knoten die rechte Maustaste klicken und Alle Netzwerke anzeigen auswählen. Abbildung 8.7 Richtlinien für den Netzwerkmanager

Im rechten Teil des Fensters sehen Sie dann alle aktuell bekannten Netzwerke, das erste in der Liste ist das Netzwerk, das aktuell im Netzwerkcenter angezeigt wird. Durch einen Doppelklick auf den Netzwerknamen im rechten Feld lässt sich dann einstellen, was der Benutzer mit dem Netzwerk tun darf und ob dieses ein privates oder öffentliches Netzwerk ist. Abbildung 8.8 Typ des Netzwerks einstellen

8

Die Erkennung des Netzwerkes arbeitet dabei im Wesentlichen mit zwei Daten: dem DNS-Suffix der IP-Adresse des Netzwerks und der MACAdresse (Hardwareadresse) des zu diesem Adapter gehörigen Standardgateways. Dies erklärt auch, warum ein Netzwerk, in dem kein Gateway zugewiesen ist und das kein DNS-Suffix setzt, zunächst nicht erkannt wird. Bei derartig erkannten Netzwerken können in der Richtlinie auch der Name und das angezeigte Bild konfiguriert werden.

371


Diese Netzwerke merkt sich Windows 7 alle, und für jedes kann beziehungsweise muss der Benutzer einstellen, ob es sich dabei um ein privates oder ein öffentliches Netzwerk handelt. Allerdings ist die Anzahl der privaten Netzwerke, mit denen man sich verbindet, doch eher begrenzt. Deshalb kann man in Abbildung 8.5 auch das Kontrollkästchen Zukünftige Netzwerke als öffentliche Netzwerke behandeln markieren und wird nicht weiter mit Nachfragen gestört. Klickt man im Netzwerk- und Freigabecenter doppelt auf das Bild neben einem der Netzwerknamen, so erhält man (sofern man die Berechtigungen dazu hat) die Möglichkeit, den angezeigten Namen und das Bild zu ändern. Über die Schaltfläche Ändern kann man unter einer Reihe von Bildern auswählen, auf Wunsch kann man auch eigene Bilder erstellen und diese dann über die Schaltfläche Durchsuchen aus einer Bilddatei oder einer Programmdatei laden. Insbesondere für Systeme, die oft zwischen unterschiedlichen Netzwerken wechseln, ist der Link Netzwerkadressen zusammenführen oder löschen interessant. Abbildung 8.9 Bild eines Netzwerks ändern

Ein Netzwerk wird als verwaltet bezeichnet, wenn es sich in einer Domäne befindet, wobei diese Zuordnung (wie man am Beispiel bei rid Netzwerk sehen kann) nicht immer stimmt. Das Netzwerk contoso.com erscheint in dieser Liste, weil das System früher Bestandteil dieser Domäne war. Die noch nicht erkannten Netzwerke werden in dieser Liste nicht aufgeführt. Die hier aufgeführten Netzwerke entsprechen in der Registry den Daten in den Schlüsseln Managed beziehungsweise Unmanaged unterhalb von HKLM\Software\Microsoft\Windows NT\CurrentVersion\ NetworkList\Signatures. Man kann Netzwerke, deren Daten man nicht mehr benötigt, über die Schaltfläche Löschen entfernen. Sobald mehrere Netzwerke markiert sind, können diese mit der entsprechenden Schaltfläche zusammengeführt werden.

372

Netzwerkeinstellungen Abbildung 8.10 Verwaltete und nicht verwaltete Netzwerke

Netzwerkprofile und ihre Auswirkungen auf Dienste Betätigt man im Netzwerk- und Freigabecenter im linken Aktionsbereich den Link Erweiterte Freigabeeinstellungen ändern, so gelangt man auf eine Seite, auf der man den Zusammenhang zwischen Netzwerkprofil und Netzwerkdiensten erkennen kann. In Abbildung 8.4 hatten Sie gesehen, dass es eine Bindung zwischen den Netzwerkdiensten (etwa Datei- und Druckfreigabe) und einzelnen Adaptern gibt. Hier nun lassen sich diese Bindungen getrennt für das jeweilige Netzwerkprofil einstellen, dies ist besonders dann wichtig, wenn ein Netzwerkadapter in unterschiedlichen Umgebungen verwendet wird (etwa WLAN im Firmennetz versus WLAN am Hotspot im Café an der Ecke). Abbildung 8.11 Bindungen und Netzwerkprofile

8

373


Zunächst muss man die Einstellungen des gewünschten Netzwerkstandortes erweitern, am Anfang ist immer der Standort erweitert, in dem sich der Computer aktuell befindet. Hier ist dies Privat oder Arbeitsplatz (siehe hierzu die Erklärung unter dem Netzwerknamen Nicht erkanntes Netzwerk in Abbildung 8.6). Für die folgenden Netzwerkdienste kann jetzt angegeben werden, ob diese bei diesem Netzwerkprofil aktiviert oder nicht aktiviert sein sollen: 왘 Netzwerkerkennung 왘 Datei- und Druckfreigabe 왘 Freigabe des öffentlichen Ordners 왘 Medienstreaming 왘 Dateifreigabeverbindungen 왘 Kennwortgeschütztes Freigeben 왘 Heimgruppenverbindungen Zu den einzelnen Diensten werden in dem Fenster entsprechende Hilfestellungen und Erklärungen angeboten.

8.2

TCP/IP-Einstellungen

Für jeden Adapter, für den eines der TCP/IP-Protokolle aktiviert ist, können über die Schaltfläche Eigenschaften in Abbildung 8.4 die Eigenschaften dieses Protokolls festgelegt werden. Die Einstellungen sind auf zwei Bereiche aufgeteilt, zunächst kann man die Basisdaten ändern, die weiteren Einstellungen sind jeweils über die Schaltfläche Erweitert verfügbar.

Abbildung 8.12: TCP/IP-Einstellungen in IPv4 und IPv6

Für die Bereiche IP-Adresse und DNS-Server muss jeweils getrennt entschieden werden, ob man die Informationen von einem DHCP-Server automatisch beziehen will oder ob man die Daten manuell eingeben möchte. In einer vollständig verwalteten Umgebung werden beide Daten von einem DHCP-

374


Server bereitgehalten, deshalb ist die Standardeinstellung auch jeweils ... automatisch beziehen. Es ist nicht möglich, die DNS-Adressen per DHCP zu beziehen und die IP-Adressen manuell einzustellen. Umgekehrt ist dies jedoch möglich. Sofern die Daten manuell eingestellt sind, ist das Kontrollkästchen Einstellungen beim Beenden überprüfen aktiv. Dies hat allerdings keine Auswirkung auf typische Fehlkonfigurationen wie unerreichbares Gateway oder falscher DNS-Server. Sobald bei IPv4 auf automatische Adresszuweisung eingestellt wurde, ist dort eine weitere Registerkarte Alternative Konfiguration erreichbar. Diese Informationen dienen zur Behandlung des Falls, dass der Computer keinen DHCP-Server findet, etwa weil er momentan in einem Netzwerk betrieben wird, in dem kein derartiger zur Verfügung steht. Abbildung 8.13 Alternative IPv4Konfiguration

8 Wahlweise kann entweder eine Adresse aus dem APIPA-Adressbereich Von der verwendet werden (169.254.x.y), oder es wird eine manuell eingetragene Entwicklung Adresse verwendet. Im Hilfetext zu dieser Funktion wird als Beispiel das überholt Netzwerk zu Hause angeführt, in dem nicht wie im Büro ein DHCP-Server zur Verfügung steht. Ein Beweis dafür, dass die technische Entwicklung auch im Bereich der häuslichen Technik nicht stehen geblieben ist, dort hat man heute fast immer einen DSL-Router, der auch die DHCPFunktion übernimmt.

8.2.1

Erweiterte TCP/IP-Einstellungen

Im Bereich der erweiterten TCP/IP-Einstellungen stehen weitere Registerkarten zur Verfügung, mit denen spezielle Aspekte des Protokolls eingestellt werden können.

375


Registerkarte IP-Einstellungen Ein Netzwerkadapter kann mehr als eine IP-Adresse besitzen, über die Schaltflächen Hinzufügen, Bearbeiten, und Entfernen lassen sich diese manipulieren. Mehrere IP-Adressen werden beispielsweise benötigt, wenn man unterschiedliche Serverdienste auf dem gleichen Port anbieten will. Eine andere Einsatzmöglichkeit besteht darin, in einem gemeinsamen physikalischen Netzwerk für bestimmte Systeme einen eigenen, von den anderen Systemen getrennten Adressraum zu schaffen, etwa für Testsysteme. Sofern die IP-Adressen per DHCP bezogen werden, können hier keine weiteren IPAdressen manuell hinzugefügt werden. Abbildung 8.14 Erweiterte TCP/IPEinstellungen

Mehr als ein Standard?

Im unteren Teil des Dialogfeldes kann mehr als ein Standardgateway angegeben werden. Hierbei sollte aber darauf geachtet werden, dass dies wirklich ein Gateway für alle möglichen Zieladressen ist. Der Versuch, getrennte Subnetze über getrennte Gateways zu adressieren, führt nur zu Chaos auf der Netzwerkebene. Sofern mehrere Gateways existieren, kann man über die Metrikwerte jedem Gateway eine spezielle Präferenz zuweisen, um den Datenverkehr zu kanalisieren.

Registerkarte DNS Auf der Registerkarte DNS lassen sich alle Einstellungen rund um DNS für die Namensauflösung einstellen. Während auf der Hauptseite der TCP/IPEinstellungen nur maximal zwei DNS angegeben werden konnten, sind hier über die Schaltflächen Hinzufügen, Bearbeiten und Entfernen auch mehr als zwei möglich. Mit den Schaltflächen (½) und (¼) am Rand kann die Reihenfolge der Abfrage verändert werden. Sofern man mehrere DNS verwendet, sollte derjenige, der am schnellsten reagiert, in der Liste ganz oben stehen.

376

TCP/IP-Einstellungen Abbildung 8.15 Registerkarte DNS

Hier kommt der Begriff des FQDN (Fully Qualified Domain Name – Vollständig qualifizierter Domänenname) ins Spiel. Ein solcher Name besteht aus dem Rechnernamen und der zugehörigen Domäne, bis hinauf zur TLD. Bei einem Rechner admin-pc, der in der Domänen contoso.com steht, ist der FQDN somit admin-pc.contoso.com. Sowohl der Rechnername als auch die Domänenangabe (auch primäres DNS-Suffix genannt) werden über die Eigenschaften des Computer-Eintrags im Startmenü ausgewählt. Wenn nun der Computer admin-pc die Adresse eines Rechners xyz herausfinden möchte, so muss er hierfür eine Abfrage an den DNS stellen. In dieser Abfrage muss er aber einen FQDN abfragen, braucht also eine Domäne, die er mit dem gesuchten Rechnernamen verbinden kann.

8

Zusätzlich zum primären DNS-Suffix (das über die Computereigenschaften gesetzt wird) kann man auch noch jedem Netzwerkadapter einzeln ein verbindungsspezifisches DNS-Suffix anheften. So kann beispielsweise die Hauptadresse des Systems admin-pc.conto.com lauten, während die Adresse für einen speziellen Netzwerkadapter durch die Verwendung eines verbindungsspezifischen DNS-Suffixes by.testumgebung-contoso.com nun adminpc.by.testumgebung-contoso.com lautet. Sofern gewünscht, muss man diese Suffixe in das entsprechende Eingabefeld eintragen. Mit der Option Primäre und verbindungsspezifische DNS-Suffixe anhängen kann nur erreichet werden, dass bei der Suche nach dem Rechner xyz zunächst versucht wird, das primäre DNS-Suffix anzuhängen (Suche nach xyz.contoso.com) und danach das verbindungsspezifische (Suche nach xyz.by.testumgebung-contoso.com). Ist zudem noch das Kontrollkästchen Übergeordnete Suffixe des primären DNSSuffixes anhängen gesetzt, würde zusätzlich auch noch nach der Adresse xyz.com gesucht (weil com das übergeordnete Suffix von contoso.com ist).

377

Kapitel 8 Erweiterte Netzwerkfunktionen Suchradius bestimmen

Aktiviert man stattdessen die Option Diese DNS-Suffixe anhängen (in Reihenfolge), so werden nur die hier aufgelisteten DNS-Suffixe zur Bildung eines FQDN herangezogen. Diese Methode kann man beispielsweise verwenden, wenn man schnell Zugriff auf eine Reihe von unterschiedlichen DNS-Namensräumen benötigt. Mit dem Kontrollkästchen Adressen dieser Verbindung i DNS registrieren kann im Zusammenarbeit mit einem dDNS (dynamic DNS), der dynamische Eintragungen unterstützt, erreicht werden, dass die IP-Adressen, die zu dieser speziellen Verbindung gehören, mit dem FQDN aus dem primären DNSSuffix dort in der Datenbasis des DNS eingetragen werden. Auf diese Weise erspart man sich das manuelle Pflegen der Einträge im DNS. Sofern dieses Kästchen aktiviert ist, kann zusätzlich auch noch das Kontrollkästchen DNSSuffix dieser Verbindung in DNS-Registrierung verwenden aktiviert werden, dann werden die Eintragungen sowohl mit dem primären DNS-Suffix als auch mit dem für diese Verbindung definierten vorgenommen. Sofern der im Netzwerk verwendete DNS keine automatische Registrierung unterstützt, sollte diese Funktion abgeschaltet werden, damit Windows beim Start nicht vergeblich auf das Ergebnis der Eintragung wartet. Bei einem System mit mehreren Netzwerkadaptern sollte die Einstellung auch nur auf einem Adapter aktiviert sein. Alle diese Einstellungen im Bereich DNS können in einer Active DirectoryUmgebung auch per Gruppenrichtlinie unter dem Pfad Computerkonfiguration/Netzwerk/DNS-Client konfiguriert werden, insbesondere ist es dort auch möglich, die automatische Registrierung genau zu kontrollieren. Im Bereich der DNS-Auflösung gibt es noch einen Spezialfall, die Datei %windir%\System32\drivers\etc\hosts (ohne Erweiterung). Bevor Windows auf der Suche nach einem Namen eine Abfrage an DNS richtet, wird zunächst diese Datei durchsucht. Bei der Installation wird bereits eine Vorlage angelegt, aus der man das Format der Einträge ersehen kann. Sobald eine Rechneradresse (die kann auch ein vollständiger FQDN sein) in dieser Datei zu einer IP-Adresse zugeordnet ist, wird das System immer diese IP verwenden und nicht mehr im DNS danach suchen. Für dieses Verhalten gibt es zwei populäre Einsatzzwecke: 1) Die Adressen bekannter Werbeserver im Internet werden auf eine nicht existente lokale Adresse umgelenkt, um die Werbeflut beim Surfen zu dämmen. 2) Schadprogramme lenken die Namen bekannter AV-Hersteller um, sodass deren Produkte keine neuen Updates mehr erhalten können. Es kommt sogar vor, dass sie zur Verschleierung ihrer Aktion die Datei hosts an eine andere Stelle legen, zwar lässt sich der Name nicht verändern, aber das Verzeichnis ist im Wert DataBasePath im Schlüssel HKLM\SYSTEM\CurrentControlSet\services\Tcpip\Parameters abgelegt. Sofern sich also bestimmte Webseiten nicht mehr finden lassen, sollte an dieser Stelle nachgesehen werden.

378


Registerkarte WINS Diese Registerkarte behandelt die Konfiguration der Namensauflösung Netzwerkfür die Datei- und Druckfreigabe auf Basis von NetBIOS over TCP/IP Altlasten (NetBT). NetBIOS war vor Windows 2000 die Programmschnittstelle für Netzwerkapplikationen und arbeitete damals noch mit dem NetBEUIProtokoll zusammen. Mit dem Erscheinen von Windows 2000 wurde das Protokoll auf TCP/IP umgesetzt und NetBT genannt. Die Auflösung der Namen zur Netzwerkadresse wurde ab da über DNS durchgeführt, es gibt jedoch noch alte Programme, die damit nicht zurechtkommen. Abbildung 8.16 WINS-Einstellungen

Vor Windows 2000 gab es für die Systeme mit Windows NT keine DNSNamen, die in einer hierarchischen Struktur angeordnet waren, jedes System hatte nur einen NetBIOS-Namen. Dies erkennt man heute noch daran, dass beim Anmelden in einer Active Directory-Domäne vor den Benutzernamen noch der NetBIOS-Name der Domäne und ein \ geschrieben werden.

8

Für die Zuordnung von NetBIOS-Namen zu IP-Adressen gibt es auf den Serverversionen von Windows einen speziellen Dienst mit Namen WINS (Windows Internet Naming Service). Diese WINS-Server bilden untereinander ein Netz und teilen die erhaltenen Informationen miteinander. Die Informationen über die Zuordnung von Namen zu IP-Adressen erhalten sie dabei über direkte Meldungen der Clients an einen konfigurierten WINS als auch über die Auswertung von Rundsendungen (Broadcast) auf dem Netz. Die WINS-Server werden hier genauso verwaltet wie die DNS-Einträge. Genau wie es für die Namensauflösung bei IP die Datei hosts gibt, so existiert eine entsprechende Datei auch für die Windows-Namensauflösung. Hier heißt die Datei lmhosts und wird im gleichen Verzeichnis gesucht wie die Datei hosts. Hier wird allerdings bei der Installation keine Datei ange-

379


legt, stattdessen wird eine Beispieldatei mit Namen lmhosts.sam angelegt. Möchte man diese Datei nicht verwenden, sollte das Kontrollkästchen entsprechend deaktiviert werden. Die Aktivierung schadet aber auch nichts, weil anfänglich die Datei nicht existiert. Bei der Schaltfläche LMHOSTS importieren würde man eigentlich erwarten, dass die Einträge einer neuen Datei zu den bestehenden hinzugefügt werden, stattdessen wird aber eine bereits bestehende Datei komplett mit der zu importierenden Datei überschrieben. Im Bereich NetBIOS kann man generell einstellen, ob man noch die alten Programmfunktionen von NetBIOS anbieten will oder nicht. Sofern keine Systeme mehr verwendet werden, die älter als Windows 2000 sind, braucht man NetBT nicht mehr unbedingt zu aktivieren. Durch die drei Optionen kann man das gewünschte Verhalten einstellen: NetBT aktivieren, NetBT deaktivieren oder die Einstellung den vom DHCP-Server mitgelieferten DHCP-Optionen überlassen. Bedingt durch das Alter des NetBT-Protokolls steht die Registerkarte WINS im Bereich von IPv6 nicht mehr zur Verfügung, die entsprechenden Funktionen werden von diesem Protokoll nicht mehr unterstützt.

8.2.2

Gesichertes TCP/IP – IPsec

In der Anfangszeit der Entwicklung von TCP/IP war Sicherheit eigentlich kein Thema. Zwar wurden beispielsweise für Anmeldungen an einem anderen System Benutzername und Kennwort abgefragt, aber beide wurden unverschlüsselt und für jeden sichtbar über das Netzwerk übertragen. Bei einer Netzwerkverbindung bestand auch keine Kontrolle darüber, ob die beiden Kommunikationspartner auch tatsächlich die waren, die sie vorgaben zu sein. IPsec (Internet Protocol Security) soll diese Probleme lösen. Zum einen dient es dazu, die beiden Kommunikationspartner gegeneinander zu authentifizieren, zum anderen dient es dazu, die Informationen zwischen den beiden Partnern transparent für die Anwendung zu verschlüsseln. IPsec kann dabei sowohl die Kommunikation direkt zwischen zwei IPsecfähigen Systemen (Transparent Mode) als auch die Kopplung zweier Subnetze durch die Verbindung mittels IPsec-Gateways (Tunnel Mode) über ein ungesichertes Netzwerk schützen. Die Authentifizierung und Verschlüsselung kann dabei sowohl über vordefinierte Schlüssel (prinzipiell unsicher) als auch mittels Zertifikaten oder Kerberos-Authentifizierung in einer Domäne erfolgen. Das ganze Thema ist jedoch komplex und kann in diesem Buch nicht in der dazu notwendigen Tiefe behandelt werden. Als erster Einstieg in das Thema IPsec kann der Artikel unter [IPSEC] dienen, in Buchform beispielsweise der Titel VPN – Virtuelle Private Netzwerke: Aufbau und Sicherheit von Manfred Lipp, Addison-Wesley, ISBN-13: 9783827326478.

380


8.2.3

TCP/IP-Prüfprogramme auf der Kommandozeile

Um die Funktion von TCP/IP zu testen und die Funktion zu kontrollieren, gibt es eine ganze Reihe von Programmen, die aber alle ohne grafische Oberfläche kommen.

Erreichbarkeit testen – ping.exe und tracert.exe Mit dem Programm ping.exe kann man ein Datenpaket an einen anderen Rechner schicken und dabei messen, wie lange man warten muss, bis die Antwort zurückkommt. Filmfans werden sich an die Anweisung »Bitte nur ein Ping« von Sean Connery als Kapitän Ramius im Film Jagd auf Roter Oktober erinnern. Dies erläutert, wie das Programm zu seinem Namen kam, es imitiert in Computernetzwerken die Funktion des Echolots, bei dem ein Signal ausgesendet und auf die Reflexion beim angepeilten Ziel gewartet wird. Als Parameter übernimmt ping.exe zwingend die Adresse des anzupingenden Rechners, optional kann man angeben, wie viele Pakete man senden will und wie groß diese sein sollen. Ohne weitere Angaben werden vier Pakete mit je 32 Byte Daten gesendet. >ping www.pearson.de Ping wird ausgeführt für www.pearson.de [62.245.190.128] mit 32 Bytes Daten: Antwort von 62.245.190.128: Bytes=32 Zeit=34ms TTL=121 Antwort von 62.245.190.128: Bytes=32 Zeit=48ms TTL=121 Antwort von 62.245.190.128: Bytes=32 Zeit=33ms TTL=121 Antwort von 62.245.190.128: Bytes=32 Zeit=33ms TTL=121

Listing 8.1 ping.exe mit Standardangaben

8

Ping-Statistik für 62.245.190.128: Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 33ms, Maximum = 48ms, Mittelwert = 37ms

Das Ziel für ping wird hierbei als DNS-Name eingegeben, auf diese Weise kann gleichzeitig überprüft werden, ob der Name zu einer Adresse aufgelöst werden kann. Für jedes ausgesendete Datenpaket wird angegeben, wie lange die Datenübertragung gedauert hat, in der Zusammenfassung am Ende werden Minimum, Maximum und Mittelwert der Zeiten angegeben. Zudem wird eine Statistik ausgegeben, wie viele der gesendeten Pakete auch wieder angekommen sind. Die Pakete, die ping verwendet, werden mit dem Protokoll ICMP (Internet Control Message Protocol) ausgesendet, dies ist auf der gleichen Ebene von TCP oder UDP angesiedelt. Allerdings sind viele Systeme im Internet so konfiguriert, dass auf derartige Pakete keine Antwort gegeben wird. Windows 7 ist dabei selbst so ein System, auf ICMP-Pakete, die über einen Adapter ankommen, der als Öffentlich gekenn-

Alles, was nicht 0 % Verlust hat, sollte man prüfen

381


zeichnet wird, gibt es keine Antwort. Die Angabe TTL (Time to Live) hat hierbei die Rolle eines Streckenzählers. Jedes IP-Paket wird mit einem TTLWert versehen auf seine Reise zum Ziel geschickt. Jede Station, die dieses Paket in ein anderes Netz vermittelt (Router), vermindert dabei den TTLWert um 1. Erreicht irgendwann ein Paket einen Router und hat das Paket dann einen TTL-Wert von 0, so verwirft der Router das Paket und sendet eine entsprechende Meldung an den ursprünglichen Absender zurück. Eben dieses Verhalten, dass bei Erreichen des TTL-Wertes 0 eine Fehlermeldung erscheint, macht sich das Programm tracert.exe (verkürzt für Traceroute) zunutze. Hier werden Pakete mit stark verkürztem TTL-Wert ausgesendet und dann notiert, von welchem System die entsprechende Fehlermeldung zurückkommt. Das erste Paket wird dabei mit einem TTL-Wert von 1 ausgesendet und somit bereits beim ersten Router auf dem Weg zum Ziel verworfen, das nächste mit einem Wert von 2, das dann beim zweiten Router verworfen wird und so weiter. Listing 8.2 tracert.exe im Einsatz

Spurensuche im Netz

382

>tracert www.pearson.de Routenverfolgung zu www.pearson.de [62.245.190.128] über maximal 30 Abschnitte: 1 43 ms 24 ms 28 ms lo1.br12.muc.de.hansenet.net [213.191.64.41] 2 24 ms 24 ms 25 ms ae0-101.cr01.muc.de.hansenet.net [213.191.88.93] 3 32 ms 31 ms 31 ms so-0-0-0-0.cr01.fra.de.hansenet.net [213.191.87.165] 4 30 ms 31 ms 31 ms ae1-0.pr03.decix.de.hansenet.net [62.109.109.236] 5 32 ms 32 ms 35 ms rt-decix-2.m-online.net [80.81.193.7] 6 33 ms 33 ms 65 ms xe-2-2-0.rt-decix-1.m-online.net [82.135.16.137] 7 33 ms 33 ms 32 ms ten1-2.r2.muc2.m-online.net [212.18.6.161] 8 35 ms 33 ms 34 ms te1-3.r2.muc1.m-online.net [212.18.6.57] 9 32 ms 33 ms 32 ms gi1-0-4.rs2.muc1.m-online.net [88.217.206.22] 10 33 ms 33 ms 35 ms host-62-245-191-26.customer. m-online.net [62.245.191.26] 11 34 ms 33 ms 33 ms host-62-245-190-1.customer. m-online.net [62.245.190.1] 12 33 ms 33 ms 33 ms host-62-245-190-128.customer. m-online.net [62.245.190.128] Ablaufverfolgung beendet.

Anhand der Stationen, die mit dem Befehl tracert.exe aufgezeichnet wurden, kann man nachverfolgen, wie die Pakete von einem zum anderen Rechner transportiert wurden. Jedes System auf der Strecke wird dreimal getestet, und die Zeitangaben werden jeweils am Anfang der Zeile notiert. Da der Befehl ohne den Parameter –d gegeben wurde, werden die IP-Adressen


auch per DNS in Namen aufgelöst und angezeigt. Der erste Rechner in der Kette hat den Namen lo1.br12.muc.de.hansenet.net, dies bedeutet, dass er zum Provider Hansenet (auch bekannt unter Alice) gehört. Die Vermutung, dass es sich dort um einen Rechner handelt, der in München (muc) in Deutschland (de) steht, ist nicht ganz von der Hand zu weisen da die meisten Netzwerkbetreiber sinnvolle Namen für ihre Systeme verwenden. Der folgende Rechner (ae0-101.cr01.muc.de.hansenet.net) scheint auch noch in München zu stehen, während der dritte wohl in Frankfurt stationiert ist (so-0-0-0-0.cr01.fra.de.hansenet.net). Bei den Rechnern an Position 4 und 5 erkennen Sie den Namensbestandteil decix, dieser steht für DE-CIX (German Commercial Internet Exchange), die gemeinsame Kopplungsstelle, an der (fast) alle deutschen Internet-Provider ihre Daten untereinander austauschen. Ab da geht dann der Datenverkehr im Netz des Providers M-Net weiter, bei dem der angefragte Server betrieben wird.

Namesauflösung per nslookup.exe DNS enthält deutlich mehr Informationen als die bloße Zuordnung von Namen zu IP-Adressen und zurück. Zur Abfrage dieser Informationen dient das Programm nslookup.exe. Im einfachsten Fall ruft man es einfach mit dem Namen eines Rechners oder einer IP-Adresse auf und bekommt die IPAdresse beziehungsweise den Namen zurück. Der Vorgang der Auflösung von Name zu IP-Adresse wird Forward Lookup genannt, die Auflösung der IP-Adresse zum Namen entsprechend Reverse Lookup. Abbildung 8.17 DNS-Verwaltung bei Windows Server 2008

8

In Abbildung 8.17 können Sie sehen, dass die Informationen im DNS in Form von einzelnen Lookup-Zonen angelegt sind, in der Verwaltungsoberfläche aufgeteilt in Forward- und Reverse-Zonen. In jeder Zone stehen Einträge, die aus drei Werten bestehen: einem Namen, einem Typ und den Nutzdaten. So gibt es beispielsweise einen Eintrag mit dem Namen bebox, dem Typ Host (A) und der IP-Adresse 192.168.0.50. Da sich der Eintrag in der Zone für contoso.com befindet, lautet der FQDN des Rechners also bebox.contoso.com. Dies wäre die Forward-Abfrage. Aus dieser Information lässt sich aber nicht die

383


Rückwärtsabfrage, welcher Name gehört zu 192.168.0.50, beantworten. Diese Information wird nicht der Zone contoso.com entnommen, sondern stammt aus der Reverse-Zone 0.168.192.in-addr.arpa. Es bleibt dem Administrator des DNS überlassen, dafür zu sorgen, dass die Inhalte dieser Zonen miteinander im Einklang bleiben. Von den vielen verschiedenen Typen im DNS sind eigentlich nur ein paar wirklich praxisrelevant: 왘 A – Eintrag eines einzelnen Namens zu einer IPv4-Adresse. Existieren mehrere Einträge, die einen Namen unterschiedlichen Adressen zuordnen, liefert der DNS bei einer einfachen Abfrage immer einen wechselnden Wert (DNS Round Robin). 왘 AAAA – Wie Typ A, aber für IPv6-Adressen. 왘 PTR – Dient in einer Reverse-Zone dazu, IP-Adressen einen Namen zuzuordnen (Pointer-Eintrag). 왘 NS – Gibt die Namen der DNS an (Nameserver), die Informationen über die Zone aus erster Hand vorhalten (also keine zwischengespeicherten Informationen). 왘 MX – Gibt den Namen des Systems an, das E-Mails für diese Zone entgegennimmt (Mail Exchanger). Bei mehreren Einträgen entscheidet ein Sender anhand der Priorität (im Bild der Eintrag 10 in eckigen Klammern), zu welchem System die Zustellung versucht wird, kleinere Zahlen werden hierbei bevorzugt. 왘 SOA – Gibt den Namen des Systems an, das die letztendliche Kontrolle über den Inhalt der Zone hat (Start of Authority). Alle anderen Nameserver der Zone beziehen ihre Information von diesem Server und entscheiden anhand der Information im serial-Feld, ob die eigenen Daten veraltet sind. 왘 CNAME – Beschreiben einen Alias (Canonical Name) für einen bereits bestehenden Namen. Kann dazu genutzt werden, um ein System unter unterschiedlichen Namen erreichbar zu machen. Das Programm nslookup.exe kann man auf zwei Weisen verwenden. Entweder man startet es ohne alle Parameter und kann dann in einer eigenen Eingabeaufforderung seine Abfragen stellen (zum Beenden exit eingeben), oder man stellt die Abfrage komplett auf der Kommandozeile: Listing 8.3 Abfrage mit nslookup

384

>nslookup -q=SOA contoso.com 192.168.0.200 Server: win2008.contoso.com Address: 192.168.0.200 contoso.com primary name server = win2008.contoso.com responsible mail addr = hostmaster.contoso.com serial = 424 refresh = 900 (15 mins) retry = 600 (10 mins) expire = 86400 (1 day) default TTL = 3600 (1 hour) win2008.contoso.com internet address = 192.168.0.200


In Listing 8.3 wird nslookup mit drei Parametern aufgerufen. Der erste Parameter gibt den Typ an, den man abfragen will. Fehlt dieser Parameter, wird nach Adresseinträgen gesucht, wird als Typ ANY eingegeben, werden die vorhandenen Einträge aller Typen zurückgegeben. Der zweite Parameter gibt das an, was eigentlich gesucht wird, der dritte bezeichnet optional einen speziellen Server, der abgefragt wird. Fehlt dieser Parameter, wird der DNS verwendet, der in den TCP/IP-Einstellungen konfiguriert ist.

IP-Alleskönner – ipconfig.exe Mit dem Programm ipconfig.exe können zunächst Informationen über den Status des IP-Protokolls auf allen im System vorhandenen Adaptern angezeigt werden. Ohne jeglichen Parameter werden nur die IP-Adressen, Subnetzmasken und Gatewayadressen ausgegeben, mit dem Parameter /all zusammen auch Informationen über DNS und DHCP. >ipconfig /all Windows-IP-Konfiguration Hostname . . . . . . Primäres DNS-Suffix . Knotentyp . . . . . . IP-Routing aktiviert WINS-Proxy aktiviert DNS-Suffixsuchliste .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

: : : : : :

ADMIN-PC

Listing 8.4 Ausgabe von ipconfig /all

Hybrid Nein Nein rid

Ethernet-Adapter LAN-Verbindung 2: Verbindungsspezifisches DNS-Suffix: Beschreibung. . . . . . . . . . . : Intel(R) PRO/1000 MT-Netzwerkverbindung #2 Physikalische Adresse . . . . . . : 00-0C-29-B8-BC-2A DHCP aktiviert. . . . . . . . . . : Nein Autokonfiguration aktiviert . . . : Ja Verbindungslokale IPv6-Adresse . : fe80::11e:77af:d282:1d40%14(Bevorzugt) IPv4-Adresse . . . . . . . . . . : 192.168.88.88(Bevorzugt) Subnetzmaske . . . . . . . . . . : 255.255.255.0 IPv4-Adresse . . . . . . . . . . : 192.168.88.92(Bevorzugt) Subnetzmaske . . . . . . . . . . : 255.255.255.0 Standardgateway . . . . . . . . . : DHCPv6-IAID . . . . . . . . . . . : 318770217 DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-12-7C-AE-A800-0C-29-B8-BC-20 DNS-Server . . . . . . . . . . . : 192.176.1.45 NetBIOS über TCP/IP . . . . . . . : Aktiviert

8

Ethernet-Adapter LAN-Verbindung: Verbindungsspezifisches DNS-Suffix: rid Beschreibung. . . . . . . . . . . : Intel(R) PRO/1000 MT-Netzwerkverbindung

385

Kapitel 8 Erweiterte Netzwerkfunktionen Physikalische Adresse . . . . . . : 00-0C-29-B8-BC-20 DHCP aktiviert. . . . . . . . . . : Ja Autokonfiguration aktiviert . . . : Ja Verbindungslokale IPv6-Adresse . : fe80::6884:fc47:a22f:5d08%11(Bevorzugt) IPv4-Adresse . . . . . . . . . . : 192.168.0.96(Bevorzugt) Subnetzmaske . . . . . . . . . . : 255.255.255.0 Lease erhalten. . . . . . . . . . : Dienstag, 10. November 2009 10:54:46 Lease läuft ab. . . . . . . . . . : Freitag, 13. November 2009 01:40:31 Standardgateway . . . . . . . . . : 192.168.0.254 DHCP-Server . . . . . . . . . . . : 192.168.0.254 DHCPv6-IAID . . . . . . . . . . . : 234884137 DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-12-7C-AE-A800-0C-29-B8-BC-20 DNS-Server . . . . . . . . . . . : 192.168.0.254 NetBIOS über TCP/IP . . . . . . . : Aktiviert ...

Unter all den Informationen, die hier in Listing 8.4 verkürzt ausgegeben sind, fallen einige besonders auf: 왘 Für das System ist kein primäres DNS-Suffix gesetzt, allerdings besitzt der erste Adapter ein verbindungsspezifisches Suffix. 왘 Jeder Adapter hat eine unterschiedliche physikalische Adresse, dies ist die MAC-Adresse der Netzwerkkarte. 왘 Während der Adapter LAN-Verbindung 2 eine statische IP-Adresse hat, bekommt der andere Adapter seine IP-Adresse von einem DHCP-Server. Im Bereich IPv6 sind nur die lokalen Adressen zu sehen, also sind dort keine separat konfiguriert worden. 왘 Es ist zwar zu sehen, welche DNS verwendet werden soll, nicht aber, ob diese Daten auch per DHCP oder manuell gesetzt sind. Netzdiagnose

Sofern man Probleme im Netzwerkbereich hat, sollte man sich immer die Ausgabe von ipconfig /all ansehen und dort nach Auffälligkeiten suchen. Mit dem Parameter /renew kann man das System veranlassen, die aktuelle DHCP-Lease zu erneuern, auch wenn die Leasezeit noch nicht abgelaufen ist. Mit dem Parameter /release kann eine erhaltene Lease wieder zurückgegeben werden. Bei beiden Parametern kann noch der Name einer Verbindung als zusätzlicher Parameter angegeben werden. Werden die Optionen mit einer 6 am Ende geschrieben (/renew6 und /release6), so beziehen sich die Aktionen auf IPv6-Adressen. Außer den DNS im lokalen Netz oder im Internet führt auch jedes einzelne System mit Windows 7 (wie auch XP oder Vista) noch einen lokalen Zwischenspeicher für DNS-Daten, um DNS-Abfragen schnell durchführen zu können. Diesen kann man mit dem Parameter /displaydns anzeigen lassen und mit /flushdns komplett löschen.

386

TCP/IP-Einstellungen Windows-IP-Konfiguration

Listing 8.5 Lokaler DNS-Cache

22.206.217.88.in-addr.arpa ---------------------------------------Eintragsname . . . . . : 22.206.217.88.in-addr.arpa Eintragstyp . . . . . : 12 Gültigkeitsdauer . . . : 65804 Datenlänge . . . . . . : 4 Abschnitt. . . . . . . : Antwort PTR-Eintrag . . . . . : gi1-0-4.rs2.muc1.m-online.net asn.advolution.de ---------------------------------------Eintragsname . . . . . : asn.advolution.de Eintragstyp . . . . . : 1 Gültigkeitsdauer . . . : 2413 Datenlänge . . . . . . : 4 Abschnitt. . . . . . . : Antwort (Host-)A-Eintrag . . : 213.9.41.203 Eintragsname . . Eintragstyp . . Gültigkeitsdauer Datenlänge . . . Abschnitt. . . . (Host-)A-Eintrag

. . . . .

. . . . .

. . . . .

: : : : :

asn.advolution.de 1 2413 4 Antwort . . : 213.9.41.202

... 105.47.125.74.in-addr.arpa ---------------------------------------Eintragsname . . . . . : 105.47.125.74.in-addr.arpa Eintragstyp . . . . . : 12 Gültigkeitsdauer . . . : 83019 Datenlänge . . . . . . : 4 Abschnitt. . . . . . . : Antwort PTR-Eintrag . . . . . : yw-in-f105.1e100.net

8

Für jeden Eintrag im Cache gibt es eine Angabe zur Gültigkeitsdauer, diese wird in Sekunden angegeben und automatisch verringert. Hat ein Eintrag die Gültigkeit 0, wird er aus dem Speicher entfernt. Im Zwischenspeicher stehen für den Eintrag asn.advolution.de zwei Datensätze, da diesem FQDN auch zwei IP-Adressen zugeordnet sind. Mit dem Parameter /registerdns kann man zwangsweise die aktuellen IPAdressen erneut in einem dafür konfigurierten dDNS registrieren lassen.

IP und Hardware – arp.exe Auf unterster Ebene der Datenübertragung gibt es auf der einen Seite IPPakete mit Quell- und Zieladresse und auf der anderen Seite Datenpakete in Form von Ethernet-Frames. Diese Pakete werden über die physikalische Adresse der jeweiligen Netzwerkkarte (die MAC-Adresse, eine Folge von sechs Bytes) adressiert (siehe hierzu die entsprechende Zeile in Listing 8.4). Die Zuordnung zwischen den beiden Adressräumen erfolgt über ARP

387


(Address Resolution Protocol) und kann mit dem Programm arp.exe kontrolliert werden. Listing 8.6 Ausgabe von arp.exe

C:\Users\admin>arp -a Schnittstelle: 192.168.0.96 --- 0xb Internetadresse Physische Adresse 192.168.0.50 00-14-c2-5a-a3-ad 192.168.0.200 00-03-ff-5e-a3-ad 192.168.0.254 00-1c-f0-70-b4-70 192.168.0.255 ff-ff-ff-ff-ff-ff 224.0.0.22 01-00-5e-00-00-16 224.0.0.252 01-00-5e-00-00-fc 239.255.255.250 01-00-5e-7f-ff-fa 255.255.255.255 ff-ff-ff-ff-ff-ff

Typ dynamisch dynamisch dynamisch statisch statisch statisch statisch statisch

Schnittstelle: 192.168.88.88 --- 0xe Internetadresse Physische Adresse 192.168.88.90 00-0c-29-3c-90-59 192.168.88.255 ff-ff-ff-ff-ff-ff 224.0.0.22 01-00-5e-00-00-16 224.0.0.252 01-00-5e-00-00-fc 239.255.255.250 01-00-5e-7f-ff-fa

Typ dynamisch statisch statisch statisch statisch

Zunächst fällt auf, dass hier nur IPv4-Adressen angegeben sind; dies liegt daran, dass ARP nur mit diesen Adressen arbeitet, bei IPv6 wurde ARP durch NDP (Neighbour Discovery Protocol) abgelöst. Für jeden Adapter wird bei arp –a angezeigt, welche anderen Adapter auf diesem Netzwerksegment bekannt sind. Die Einträge sind dabei wahlweise als statisch oder dynamisch gekennzeichnet. Die statischen Einträge sind hierbei die Rundsendeeinträge (Broadcast), die dynamischen diejenigen, die ARP durch Anfragen über das Netzwerk gelernt hat. Dieses Protokoll kann auch als Angriffsvektor verwendet werden. Bei der ARP Spoofing (to spoof – verschleiern) oder ARP Posioning (to poison – vergiften) genannten Methode werden dem angegriffenen System massenweise falsche ARP-Pakete zugesendet, die von diesem in seine ARP-Tabellen eingearbeitet werden. Auf diese Weise kann das System davon überzeugt werden, IP-Pakete für ein bestimmten System ganz woanders hinzusenden. Diese Methode funktioniert allerdings nur in einem lokalen Netzwerk.

Netzwerkkontrolle – netstat.exe und andere Programme Oftmals möchte man wissen, welche Aktionen auf dem Netzwerk gerade stattfinden und was dabei für Daten übertragen werden. Die erste Information ist hierbei, welche Kommunikation aktuell gerade stattfindet, wer mit wem redet und wer auf Kommunikation wartet. Dies lässt sich mit dem Programm netstat.exe abklären.

388

Netzwerkschutz – die Firewall >netstat Aktive Verbindungen Proto Lokale Adresse TCP 192.168.0.240:50035 TCP 192.168.0.240:50046 TCP 192.168.0.240:50047 TCP 192.168.0.240:50048 TCP 192.168.0.240:50049 TCP 192.168.0.240:50050 TCP 192.168.0.240:50051 TCP 192.168.0.240:50052 TCP 192.168.0.240:50053

Remoteadresse bebox:microsoft-ds oe-test:http oe-test:http 63.97.123.10:http 63.97.123.10:http 63.97.123.10:http 63.97.123.10:http 63.97.123.10:http 63.97.123.10:http

Status HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT HERGESTELLT

Listing 8.7 Ausgabe von netstat.exe

In dieser Auflistung werden nur die Verbindungen aufgeführt, die aktuell auch tatsächlich bestehen. Zu sehen sind die lokale IP-Adresse und die Adresse des Kommunikationspartners, jeweils ergänzt durch die Portnummer der Verbindung. Wird die Option –n gesetzt, so werden die IP-Adresse und Portnummer nicht durch Namen ersetzt. Durch Angabe der Option –a können zusätzlich noch jene Ports angezeigt werden, die für einen Datenverkehr offen stehen. Mit der Option –o wird zu jeder Verbindung angegeben, welcher Prozess für diese Verbindung verantwortlich ist, weitere Informationen lassen sich dann beispielsweise über den Task-Manager (siehe Kapitel 14) herausfinden. Der Befehl hat noch einige weitere Einsatzmöglichkeiten, siehe hierzu die Online-Hilfe über den Parameter /?. Aus der Sammlung von Sysinternals kommt das Programm TCPView, das die Funktionen von netstat.exe in einer grafischen Oberfläche anbietet. Zudem ist es in der Lage, nicht bloß eine Momentaufnahme der Daten darzustellen, sondern die Informationen permanent zu erneuern. Will man genauer nachverfolgen, was bei einer Netzwerkkommunikation abläuft, so muss man die übertragenen Datenpakete analysieren. Programme, die dieses können, werden gemeinhin Sniffer genannt. Für Windows bietet Microsoft selbst ein solches Programm an, Microsoft Network Monitor, aktuell in Version 3.3. Zu bekommen ist das Programm unter [DOWN]. Andere Programme in diesem Segment sind beispielsweise der Netzwerkanalysator WireShark (siehe [WIRE]).

8.3

8

Netzwerkschutz – die Firewall

Im Bereich des Bauwesens bezeichnet eine Brandmauer eine sehr stabile Trennwand zwischen Gebäude oder Gebäudeabschnitten, die verhindern soll, dass Feuer in einem der Teile auf den anderen übertreten kann. Sie hat im Regelfall keine oder nur besonders gesicherte Öffnungen. Diese Funktion erfüllt im Bereich der Netzwerke die Firewall, sie trennt Netzwerke voneinander, um unerlaubte Zugriffe zwischen Bereichen zu ver-

389


hindern. Die Windows-Firewall, als direkt auf dem System laufende Firewall, kennt dabei nur zwei Bereiche: den Computer selbst (Innenwelt) und das restliche Netzwerk (die Außenwelt).

8.3.1

Status der Firewall

Die Firewall kann getrennt für jede Netzwerklokation aktiviert beziehungsweise deaktiviert werden. Im Netzwerk- und Freigabecenter finden Sie den Link Windows-Firewall in der linken unteren Ecke oder über Systemsteuerung/System und Sicherheit/Windows-Firewall. Abbildung 8.18 Status der Firewall

Kann es im PC brennen?

Per Klick auf die Pfeilsymbole am rechten Rand ((½) und (¼)) können Sie die einzelnen Profile erweitern oder zusammenklappen, das Domänenprofil ist hierbei nicht zu sehen, da das System nicht Mitglied einer Domäne ist. Für jede Lokation wird angezeigt, ob die Firewall aktiviert ist, was mit eingehenden Verbindungen passiert, für welche Netzwerke diese Einstellung gilt und was passiert, wenn ein bislang unbekanntes Programm versucht, einen Serverdienst zu etablieren. Mit einem Klick auf die Links Benachrichtigungseinstellungen ändern und Windows-Firewall ein- oder ausschalten kann in einem weiteren Dialogfeld eingestellt werden, ob die Firewall in den einzelnen Profilen aktiviert sein und ob eine Benachrichtigung erfolgen soll.

390

Netzwerkschutz – die Firewall Abbildung 8.19 Firewalleinstellungen

8.3.2

Neue Serverprogramme blocken

Sofern die Firewall entsprechend konfiguriert ist, wird dem Benutzer automatisch eine Meldung angezeigt, sobald eine Anwendung versucht, einen Port für eingehende Verbindungen zu starten. Abbildung 8.20 Ein Programm will einen Port öffnen

8

Leider ist aus der Mitteilung nicht zu ersehen, welche Verbindung dieses Programm genau öffnen will. Diese Meldung erhalten auch nichtadministrative Benutzer, diese benötigen allerdings eine administrative Kennung, um den Zugriff zuzulassen. Wird dieser Zugriff durch die entsprechende Schaltfläche erlaubt, wird eine entsprechende Regel automatisch in die Firewall eingetragen. Wird das Dialogfeld durch die Schaltfläche Abbrechen beendet oder ist die Firewall so konfiguriert, dass die Abfrage nicht erfolgt, kann das Programm zwar die Verbindung öffnen, Zugriffe sind dann aber nur vom lokalen System aus möglich.

391


8.3.3

Firewallprofile

Analog zu den Netzwerkprofilen bietet auch die Firewall dem Administrator verschiedene Profile an. Diese lassen sich kontrollieren, indem man im Firewall-Dialogfeld (siehe Abbildung 8.21) auf den Link Erweiterte Einstellungen klickt, alternativ können Sie auch im Suchfeld des Startmenüs den Begriff Firewall eintippen und anschließend auf den Eintrag WindowsFirewall mit erweiterter Sicherheit klicken. Abbildung 8.21 Erweiterte Einstellungen der Firewall

In der Mitte des Bildschirms sieht man die beiden Gruppen Übersicht und Erste Schritte, diese kann man jeweils durch einen Klick auf die Dreiecke am rechten Rand auf- beziehungsweise einklappen. Im Bereich Übersicht sind die drei möglichen Profile zu sehen und die dort jeweils gültigen Firewalleinstellungen: 왘 Ist die Firewall aktiv oder nicht aktiv? 왘 Werden eingehende Verbindungen standardmäßig geblockt oder nicht? 왘 Werden ausgehende Verbindungen standardmäßig geblockt oder nicht? Möchte man eine dieser Einstellungen ändern, klickt man auf den Link Windows-Firewalleigenschaften am unteren Ende der Gruppe. Sicherheit mit Profil

392

Für jedes der drei möglichen Netzwerkprofile (das Profil Arbeitsplatznetzwerk ist identisch mit dem privaten Profil) sind gesonderte Einstellungen auf der jeweiligen Registerkarte verfügbar. Über das Listenfeld Firewallstatus kann die Firewall deaktiviert werden, allerdings wird für jedes Profil die Aktivierung empfohlen.

Netzwerkschutz – die Firewall Abbildung 8.22 Firewalleinstellungen für das private Profil

Für eingehende Verbindungen (also Verbindungen, die von einem externen System her aufgebaut werden) sind drei mögliche Einstellungen vorhanden: 1. Blockieren (Standard) – Eingehende Verbindungen werden blockiert, es sei denn, es gibt eine Regel, welche die Verbindung erlaubt. 2. Alle blockieren – Alle eingehenden Verbindungen werden blockiert, egal ob es dafür eine Regel gibt oder nicht. 3. Zulassen – Sämtliche eingehenden Verbindungen werden erlaubt, es sei denn, es existiert eine Regel, welche die Verbindung explizit verbietet. Für die ausgehenden Verbindungen (also Verbindungen, die zu einem externen System vom lokalen System aus aufgebaut werden) sind nur die beiden Optionen Blockieren (Standard) und Zulassen möglich, da ein System, das generell keine ausgehenden Verbindungen zulässt, wenig sinnvoll erscheint.

8

Mit der Schaltfläche Geschütze Netzwerkverbindungen: Anpassen können Sie einstellen, welche Netzwerkadapter von dem aktuellen Firewallprofil erfasst werden. Standardmäßig sind hier alle Adapter selektiert. Wird ein Adapter abgewählt und befindet sich der Adapter in dem entsprechenden Netzwerkprofil, so werden die Verbindungen nicht mehr überwacht. Mit der Schaltfläche Einstellungen: Anpassen kann die Einstellung der Benachrichtigung kontrolliert werden (siehe die entsprechenden Kontrollkästchen in Abbildung 8.19). Die nächste Einstellung bezieht sich auf das Zusammenspiel von Multicast-Sendungen des Computers (also Sendungen, die explizit an mehr als einen Empfänger gesendet werden) und ob dort auch Unicast-Antworten (die also direkt an dieses System geschickt werden) zugelassen werden. Die Einstellungen im Bereich Regelzusammenführung beziehen sich auf das Zusammenspiel lokaler Einstellungen und Gruppenrichtlinien (siehe Kapitel 11). Dort lassen sich im Bereich Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Windows-Fire-

393


wall mit erweiterter Sicherheit auch Regeln für die Firewall zuweisen. Dort kann dann eingestellt werden, ob zusätzlich zu den vordefinierten Regeln auch noch lokale eigene Regeln eingestellt werden können. Die dort getroffenen Einstellungen können hier gesehen werden. Abbildung 8.23 Weitere Einstellungen

Interessiert das Protokoll jemanden?

Listing 8.8 Protokoll des erfolgreichen Zugriffs auf eine Website

Mit der Schaltfläche Protokollierung: Anpassen kann eingestellt werden, ob verworfene oder erfolgreiche Pakete in einer Logdatei mitgeschrieben werden sollen, normal wird keines der Ereignisse protokolliert. Um nicht die komplette Festplatte mit diesen Firewall-Logs vollzuschreiben, muss eine maximale Größe der Datei angegeben werden (Standard ist 4 MB). Wird diese Größe von dem Protokoll erreicht, so wird die bisherige Logdatei umbenannt mit der Erweiterung .old und eine neue Datei begonnen. Eine bereits bestehende Datei mit der Erweiterung .old wird gelöscht, sodass maximal zwei Dateien gleichzeitig existieren. #Version: 1.5 #Software: Microsoft Windows Firewall #Time Format: Local #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path 2009-11-14 22:27:58 ALLOW 0 - - - - - - - SEND 2009-11-14 22:28:01 ALLOW 0 - - - - - - - SEND 2009-11-14 22:28:01 ALLOW 80 0 - 0 0 0 - - - SEND 2009-11-14 22:28:03 ALLOW 0 - - - - - - - SEND 2009-11-14 22:28:03 ALLOW 0 - - - - - - - SEND 2009-11-14 22:28:03 ALLOW 0 - - - - - - - SEND 2009-11-14 22:28:03 ALLOW

394

UDP 192.168.137.219 192.168.137.1 63775 53 UDP 192.168.137.219 192.168.137.1 53318 53 TCP 192.168.137.219 213.199.164.111 51494 UDP 192.168.137.219 192.168.137.1 51959 53 UDP 192.168.137.219 192.168.137.1 51568 53 UDP 192.168.137.219 192.168.137.1 64008 53 UDP 192.168.137.219 192.168.137.1 51463 53

Netzwerkschutz – die Firewall 0 - - - - - - - SEND 2009-11-14 22:28:03 ALLOW UDP 192.168.137.219 192.168.137.1 59053 53 0 - - - - - - - SEND 2009-11-14 22:28:03 ALLOW TCP 192.168.137.219 66.235.139.152 51495 80 0 - 0 0 0 - - - SEND

Im Firewallprotokoll in Listing 8.8 kann man dem Webbrowser beim Arbeiten zusehen (aufgerufen wurde als Startseite die Adresse http:// de.msn.com). Die Adresse 192.168.137.219 ist hierbei immer der lokale Client. Zunächst erfolgen zwei DNS-Abfragen (Protokoll UDP, Port 53) auf den DNS-Server 192.168.137.1, dann der Zugriff auf den http-Port (TCP, Port 80) des Webservers an der Adresse 213.199.164.111. Dann folgen fünf weitere DNS-Abfragen, bis eine Webabfrage auf den Server 66.235.139.152 erfolgt. Der komplette Aufbau der Seite produzierte etwa 6 KByte an Logdateien. Anhand eines solchen Protokolls kann man beispielsweise Probleme in einer Netzwerkapplikation nachverfolgen.

Registerkarte IPsec-Einstellungen Auf der Registerkarte IPsec-Einstellungen können verschiedene Aspekte des Protokolls eingestellt werden, zum Beispiel welche Authentifizierungsoder Verschlüsselungsverfahren verwendet werden sollen und mit welchen Systemen IPsec-Tunnel aufgebaut werden dürfen.

8.3.4

Firewallregeln

In der Baumstruktur auf der linken Seite des Fensters Windows-Firewall mit erweiterter Sicherheit sind drei Gruppen von Regeln zu erkennen: 왘 Eingehende Regeln 왘 Ausgehende Regeln 왘 Verbindungssicherheitsregeln Die ersten beiden Einträge behandeln Regeln, die für eine bestimmte Kombination von Netzwerkparametern und Netzwerkprofilen angeben, ob eine Verbindung zugelassen oder geblockt wird. Der Eintrag Verbindungssicherheitsregeln beschreibt, zwischen welchen Kommunikationspartnern gesicherte Verbindungen per IPsec aufgebaut werden können.

8

Eingehende und ausgehende Regeln Etwas weiter oben hatten wir ja in Abbildung 8.20 gesehen, wie die Firewall auf den Versuch einer Anwendung reagierte, die einen Port aufmachen will. Aus der Dokumentation des betreffenden Programms (die Fernsteuersoftware TightVNC, siehe [VNC]) wissen wir, dass es sich hierbei um die Ports 5800/tcp und 5900/tcp handelt. Wenn wir damals auf Zulassen geklickt haben, wurde automatisch eine entsprechende Regel in der Firewall angelegt. Diese wollen wir nun kontrollieren. Es handelt sich um eine Regel, die Verbindungen betrifft, die zu dem Computer hin aufgebaut werden, klicken Sie also links auf den Knoten Eingehende Regeln.

395

Kapitel 8 Erweiterte Netzwerkfunktionen Abbildung 8.24 Regeln in der Firewall

Viele Regeln regeln den Verkehr

Hier im Beispiel in Abbildung 8.24 sehen Sie die beiden Regeln direkt oben in der Liste, falls Sie die gewünschte Regel nicht sofort sehen, können Sie über das Kontextmenü des Knotens links oder über die drei Aktionseinträge (Nach Profil filtern, Nach Status filtern und Nach Gruppe filtern) die Auflistung einschränken. In diesem Beispiel könnte man also sowohl nach Profil: privates Profil als auch nach Status: Aktiviert filtern. Rufen Sie nun die Eigenschaften der ersten gefundenen Regel mit einem Doppelklick auf.

Abbildung 8.25 Firewallregel: Registerkarte Allgemein

Auf der Registerkarte Allgemein stehen zunächst außer dem Namen die beiden wichtigsten Angaben zur Regel: Ist sie generell aktiv oder nicht, nur eine aktive Regel kann den Verkehr kontrollieren. Außer den beiden Optio-

396


nen Verbindung zulassen und Verbindung blockieren gibt es noch eine dritte Option, die in der Mitte zwischen beiden Optionen liegt: Verbindung zulassen, wenn sie sicher ist. Diese Option wirkt zusammen mit der Herstellung einer gesicherten Verbindung über IPsec. Besonders heikle Dienste, etwa solche, die Kennwörter im Klartext übertragen (Telnet oder FTP), kann man damit absichern, indem eine Verbindung nur zugelassen wird, wenn diese selbst verschlüsselt wird. Auf der Registerkarte Programme und Dienste können Sie kontrollieren, welches Anwendungsprogramm von der Regel betroffen sein soll. Im Normalfall können Sie hier einfach den Pfad zur entsprechenden .exe-Datei setzen. Problematisch wird dies dann, wenn die ausgewählte Datei als Containerapplikation (zum Beispiel svchost.exe) für viele verschiedene Funktionen genutzt wird, in diesem Fall können Sie dort über die Schaltfläche Einstellungen den Dienst angeben, der mit dem betreffenden Programm verbunden ist. Die Einstellung Alle Programme sollten Sie nicht verwenden, da es dann möglich wäre, dass ein Angreifer die Anwendung, für die eigentlich die Ausnahme geschaffen wurde, beendet und durch eine eigene ersetzt. Die beiden Registerkarten Computer und Benutzer haben einzig mit dem Schutz durch IPsec zu tun. Da bei IPsec die Computer und Benutzer am anderen Ende der Verbindung autorisiert sind, können hier beispielsweise Active Directory-gestützte Gruppen angegeben werden. Sofern auf der Registerkarte Allgemein nicht die Option Verbindung zulassen, wenn sie sicher ist aktiviert ist, können auf diesen Registerkarten keine Einstellungen vorgenommen werden. Abbildung 8.26 Firewallregel: Registerkarte Bereich

8

Auf der Registerkarte Bereich können sowohl lokale als auch entfernte IPAdressen in einer Vielzahl von Angaben eingetragen werden, die Auswahl

397


lokaler Adressen ist natürlich nur sinnvoll, wenn das System davon mehrere besitzt. Zusätzlich zu festen Angaben können auch dynamische Werte wie etwa DNS-Server in Abbildung 8.26 eingetragen werden. Diese werden dann zur Laufzeit durch die jeweils aktuellen Daten ersetzt. Sie sollten dem Schutz auf Basis von IP-Adressen nicht zu sehr vertrauen, da Sie jederzeit damit rechnen müssen, dass ein Angreifer ein eigentlich zugelassenes Gerät deaktiviert und sein eigenes System unter dessen IP-Adresse ins Netz stellt. Auf der Registerkarte Protokoll und Ports kann die Art des Netzwerkverkehrs genauer spezifiziert werden. Um dieses Dialogfeld zu verstehen, muss man sich erinnern, dass die beiden Protokolle TCP und UDP auf dem IP-Protokoll aufbauen. Um in einem IP-Paket zu unterscheiden, ob es sich um ein TCP- oder um ein UDP-Paket handelt, existiert dort ein Feld mit einer Protokollnummer, diese ist für TCP 6 und für UDP 17, daneben gibt es aber noch eine ganze Reihe weiterer Protokolle, diese können mit der Einstellung Protokolltyp ausgewählt werden, der Eintrag Protokollnummer wird entsprechend gesetzt. Für Protokolle, die nicht in der Liste aufgeführt sind, kann der Eintrag Benutzerdefiniert gewählt und die Protokollnummer manuell in das entsprechende Feld eingetragen werden. Abbildung 8.27 Firewallregel: Registerkarte Protokoll und Ports

Sofern als Protokoll TCP oder UDP gewählt wurde, sind zusätzliche Einstellungen in den Feldern Lokaler Port und Remoteport möglich. Über diese Felder lässt sich exakt bestimmen, welche Verbindungen zu welchen Ports zugelassen werden sollen. An dieser Stelle können leider keine Portnamen verwendet werden (etwa HTTP für 80). Eine Besonderheit ergibt sich hier

398


für Verbindungen über RPC-Aufrufe (Remote Procedure Call), da diese immer dynamisch wechselnde Portnummern verwenden. Zu diesem Problem finden Sie einige Erklärungen in der Online-Hilfe unter dem Link Weitere Informationen über Protokolle und Ports. Für die Protokolle ICMPv4 und ICMPv6 (Internet Control Message Protocol) Netzwerkkann über die dann aktivierte Schaltfläche Anpassen angegeben werden, diagnose mit ICMP erlauben auf welche ICMP-Nachrichten das System reagieren soll. Auf der Registerkarte Erweitert kann schließlich angegeben werden, in welchem Netzwerkprofil diese Regel gültig sein soll. Über die Schaltfläche Schnittstellentypen: Anpassen kann ausgewählt werden, für welche Arten von Netzwerkverbindungen die Regel gelten soll, zur Auswahl stehen hier LAN, Remotezugriff und Drahtlos. Remotezugriff beinhaltet dabei sowohl VPN-Verbindungen als auch Einwählverbindungen. Diese Auswahl kann man beispielsweise nutzen, ein öffentliches Profil, das eh schon fast alles blockt, noch restriktiver zu gestalten, sobald eine WLAN-Verbindung verwendet wird. Zu der Einstellmöglichkeit im Bereich Edgeausnahmen (Edge Traversal) fin- Digitale den sich im Internet Kommentare wie Ich verstehe nicht, was das sein soll bis Verwirrung hin zu Der, von dem der Hilfetext ist, hat es auch nicht verstanden. Allgemein ist die hierfür verfügbare Information sehr dünn, es scheint sich jedoch um das Problem zu handeln, dass die Veröffentlichung eines Dienstes hinter einer NAT-Firewall immer auch eine Konfiguration auf der Firewall bedarf, um zu funktionieren. Diese Einstellung scheint jetzt damit zu tun zu haben, dass entsprechende Veröffentlichungen in der Firewall automatisch auf dem vorgelagerten NAT-Router auch erfolgen, ähnlich wie die Remoteunterstützung ja auch eine entsprechende NAT-Konfiguration aufbaut (siehe den Abschnitt 8.6.1 ab Seite 415).

8.3.5

Firewallregeln bearbeiten

Über das Kontextmenü einer einzelnen Regel oder die Aktionen in der rechten Spalte kann die Regel gelöscht oder in die Zwischenablage gelegt werden, von dort ist zwar kein Einfügen in eine Textverarbeitung möglich, aber ein Einfügen in die Firewallverwaltung als Kopie der bestehenden Regel. Auf diese Weise kann man beispielsweise eine einmal konfigurierte Regel für ein anderes Netzwerkprofil kopieren, um dort anschließend nur noch Änderungen vornehmen zu müssen.

8

Mit der Funktion Liste exportieren kann eine textliche Darstellung der Regeln gespeichert werden, beispielsweise zur Dokumentation. Es ist aber nicht möglich, diese Liste zum Import in ein anderes System zu verwenden.

8.3.6

Die Firewall und die Kommandozeile

Zur Kontrolle und Überwachung der Firewall kann man das Programm netsh.exe verwenden. Der von Windows XP her bekannte Kontext netsh firewall wurde allerdings aufgrund der erweiterten Möglichkeiten durch den neuen Kontext netsh advfirewall abgelöst. Im Folgenden nun einige Befehls-

399


kombinationen, die im Zusammenhang mit der neuen Firewall stehen. Mit Ausnahme der Befehle, die einen Status lediglich anzeigen, müssen diese Befehle alle in einem administrativen Kontext ausgeführt werden. 왘 Feststellen, welches das aktuelle Firewallprofil ist netsh advfirewall show currentprofile 왘 Firewall aus- beziehungsweise einschalten

netsh advfirewall set currentprofile state off netsh advfirewall set currentprofile state on 왘 Protokollierung geblockter Verbindungen ein-/ausschalten

netsh advfirewall set currentprofile logging droppedconnections enable netsh advfirewall set currentprofile logging droppedconnections disable 왘 Liste sämtlicher Regeln ausgeben

netsh advfirewall firewall show rule all 왘 Eine Regel anlegen oder löschen

netsh advfirewall firewall add rule netsh advfirewall firewall delete rule

Die beiden Befehle unterstützen eine Vielzahl von Parametern, die Online-Hilfe, die erscheint, wenn sie ohne weitere Parameter eingegeben werden, bietet eine ganze Reihe von Beispielen.

8.4

Netzwerkkopplung

Netzwerke bestehen meist aus mehr als nur einem einzigen Netzwerksegment, für diese Probleme bietet Windows 7 verschiedene Lösungswege an. Im Folgenden betrachten wir einen Teil eines größeren Netzwerks, das nach folgendem Schema aufgebaut ist: Abbildung 8.28 Netzwerk aus zwei Teilsegmenten

Ethernet A

Ethernet B

Internet PC1 Netzwerkadapter A

PC2 Netzwerkadapter B

Das hier betrachtete Teilnetz besteht aus zwei physikalisch voneinander getrennten Netzwerksegmenten Ethernet A und Ethernet B. Das System PC1 besitzt zwei Netzwerkadapter, die an den jeweiligen Netzwerksegmenten angeschlossen sind.

400

Netzwerkkopplung

8.4.1

Netzwerkrouten

Im einfachsten Fall wird das System PC1 als Router konfiguriert. Hierzu sind folgende Adressvergaben notwendig: Die Systeme in Ethernet B bekommen IP-Adressen aus einem anderen Subnetz zugewiesen, als sie in Ethernet A verwendet werden. Hier im Beispiel verwenden wir das Netz 192.168.88.0 für Ethernet B und vergeben dort die IP-Adressen 192.168.88.88 für Netzwerkadapter B in PC1 und 192.168.88.90 für PC2. Auf PC2 wird als Standardgateway die IP-Adresse von PC1 im dortigen Segment (192.168.88.88) eingetragen. Sobald für den Adapter in PC2 das Standardgateway festgelegt wird, erkennt das System, dass es sich in einem unbekannten Netzwerk befindet, und fordert zur Einstellung des Netzwerkprofils auf. Hier wählen Sie Heimnetzwerk aus. Als dritten Schritt müssen Sie den Systemen im Netzwerk Ethernet A mitteilen, wie diese die Systeme im Ethernet B erreichen können. Diese Information wird in Form einer Route angelegt und mit dem Programm route.exe eingetragen: Auf PC1 muss dieser Befehl nicht gegeben werden, dieser kennt das andere Netzwerk bereits durch seine zweite Netzwerkkarte. >route add 192.168.88.0 mask 255.255.255.0 192.168.0.240 metric 2 OK!

Im Einsatz in einer produktiven Umgebung würde man den Aufruf noch mit dem Parameter –p versehen, um diese Route permanent im System zu konfigurieren, damit sie auch nach einem Neustart wieder zur Verfügung steht. Am einfachsten richten Sie diese Route auf dem System ein, das die anderen Systeme im Ethernet A als Gateway verwenden. Den Systemen in Ethernet B muss keine separate Route eingetragen werden, da für diese sämtliche Verbindungen über Netzwerkadapter B laufen, der als Standardgateway konfiguriert ist.

8

Als letzten Schritt muss dem TCP/IP auf dem System PC1 noch mitgeteilt werden, dass es ab sofort dafür vorgesehen ist, IP-Pakete zwischen den beiden Netzwerkadaptern weiterzuleiten. Hierfür gibt es keine Funktion in der Oberfläche, diese Einstellung muss über die Registry durchgeführt werden. Setzen Sie dazu im Schlüssel HKLM\SYSTEM\CurrentControlSet\ Services\Tcpip\Parameters den Wert IPEnableRouter von 0 auf 1, und starten Sie das System neu. Den Erfolg der Konfiguration erkennen Sie in der Ausgabe von ipconfig /all durch die angezeigte Zeile IP-Routing aktiviert: Ja. Windows-IP-Konfiguration Hostname . . . . . . Primäres DNS-Suffix . Knotentyp . . . . . . IP-Routing aktiviert WINS-Proxy aktiviert DNS-Suffixsuchliste .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

: : : : : :

ADMIN-PC Hybrid Ja Nein rid

...

401


Nach dem Neustart können Sie von dem System PC2 aus alle Systeme im Ethernet A erreichen, sofern diese über eine Route zurück zum Ethernet B verfügen. Routen müssen immer in Hin- und Rückrichtung konfiguriert sein, da über die eine Richtung die Anfragen der Clients an die Server und in der anderen Richtung die Antworten der Server an die Clients erfolgen.

8.4.2

Netzwerkbrücken

Während ein Router auf der Ebene des IP-Protokolls arbeitet, funktioniert eine Netzwerkbrücke (Network Bridge) auf einer der weiter unten liegenden ISO-Ebenen. Die Brücke verbindet zwei physikalisch getrennte Netzsegment, sodass diese für die oberen Protokolle wie ein einziges Aussehen. Starten Sie hierzu das Netzwerk- und Freigabecenter und klicken dort auf Adaptereinstellungen ändern. Sie sehen eine Auflistung aller aktuell vorhandenen Netzwerkadapter. Abbildung 8.29 Netzwerkadapter anzeigen

Klicken Sie jetzt zunächst den ersten Adapter an und halten dann die (Strg)-Taste gedrückt, während Sie den zweiten Adapter anklicken. Alternativ können Sie auch, wie in einem Zeichenprogramm, um beide Adapter mit gedrückter Maustaste einen Rahmen ziehen. Klicken Sie nun mit der rechten Maustaste auf einen der markierten Adapter, und wählen Sie im Kontextmenü den Befehl Verbindungen überbrücken aus. Nach Abschluss des Vorgangs sehen Sie in der Adapterübersicht einen neuen Adapter.

402

Netzwerkkopplung Abbildung 8.30 Eine neue Netzwerkbrücke

Wenn Sie versuchen, die Eigenschaften der einzelnen Adapter anzusehen, werden Sie feststellen, dass sie zwar noch die Hardware-Eigenschaften des Netzwerkadapters einstellen können, die Einstellmöglichkeiten für die Protokolle und Dienste aber nicht mehr angezeigt werden. Diese Einstellungen sind jetzt ausschließlich über die Eigenschaften der Netzwerkbrücke erreichbar. Abbildung 8.31 Eigenschaften der Netzwerkbrücke

8

Standardmäßig sind die IP-Einstellungen auf den Betrieb mit einem DHCP- Über sieben Server eingestellt, sodass in unserem Beispiel keine weiteren Einstellungen Brücken musst mehr auf PC1 vorgenommen werden müssen (der Adapter LAN-Verbin- du gehen ... dung in Listing 8.4 verwendete auch DHCP). Während im Beispiel mit dem

403


Routing auf PC2 noch eine separate IP-Adresse fest vergeben werden musste, ist dies hier nicht notwendig. Über die Netzwerkbrücke erreicht auch PC2 den DHCP-Server in Ethernet A, sodass auch hier die Einstellung DHCP verwenden eingestellt werden kann.

Brücke verändern oder wieder entfernen In der Übersicht der einzelnen Netzwerkadapter können Sie einen der separaten Netzwerkadapter über sein Kontextmenü mit der Funktion Von der Brücke entfernen aus einer bestehenden Brücke herausnehmen, entsprechend einen nicht zur Brücke gehörigen Adapter mit der Funktion Zu Brücke hinzufügen einfügen. Die gleiche Funktion können Sie auch in den Eigenschaften der Brücke über die Kontrollkästchen der einzelnen Netzwerkadapter im oberen Teil von Abbildung 8.31 erreichen. Es ist sogar möglich, eine Brücke als Netzwerkadapter zu haben, der keinerlei Adapter zugeordnet sind. In diesem Fall sollten Sie die Brücke dann über ihr Kontextmenü auch löschen. Ein Netzwerkadapter, der aus einer Brücke entfernt wird, erhält wieder seine vorherige IP-Konfiguration.

8.4.3

Gemeinsame Nutzung der Internetverbindung

Ähnlich wie ein heutiger DSL-Router einen einzigen Internetanschluss für mehrere Rechner zur Verfügung stellt, kann diese Funktion auch ein System mit Windows 7 übernehmen. Das Verfahren nennt sich Gemeinsame Nutzung der Internetverbindung. Eingeführt wurde diese Funktion bei Windows XP, war damals aber nur für Wählverbindungen verfügbar. Abbildung 8.32 Gemeinsame Nutzung

404

Netzwerkkopplung

Nur auf einem System, das über mehr als einen Netzwerkadapter ver- Nur wer viel hat, fügt, steht die Registerkarte Freigabe in den Eigenschaften der Netzwerk- kann teilen adapter zur Verfügung. In unserem Beispielnetzwerk aus Abbildung 8.28 sollen die Systeme in Netzsegment Ethernet B den Anschluss von PC1 an Ethernet A nutzen. Demzufolge müssen wir Netzwerkadapter A freigeben. Das Kontrollkästchen Anderen Benutzer im Netzwerk gestatten zu verwenden müssen Sie dort aktivieren, das Kontrollkästchen Anderen Benutzer im Netzwerk gestatten ... zu steuern ist nur für Wählverbindungen relevant und kann in diesem Beispiel ignoriert werden. Nach Betätigen der Schaltfläche OK erscheint ein Warnhinweis, dass diese Aktion die IP-Adresse der anderen LAN-Verbindung abändern wird, die Adresse wird dabei auf ein noch freies Subnetz im privaten IP-Bereich (192.168.x.1) gelegt. Abbildung 8.33 Verbindungsfreigabe fordert andere IP-Adressen.

Unter Windows XP wurde diese Adresse noch fest auf 192.168.0.1 eingestellt. Durch die Aktivierung der gemeinsamen Nutzung wurde auf dem System automatisch ein kleiner eigener DHCP-Server aktiviert, der nun für die Clients am zweiten Netzwerkadapter (Ethernet B) zur Verfügung steht. Stellen Sie also das System PC2 auf die Adressvergabe durch DHCP um, beziehungsweise führen Sie die Kommandos ipconfig /release und ipconfig /renew dort aus, um eine neue Zuweisung einer IP-Adresse zu erzwingen.

8

Nun hat das System PC2 eine IP-Adresse aus dem Netz 192.168.137.0 Netzwerkbekommen, als DNS und Standardgateway werden die IP 192.168.137.1 maskerade verwendet. Greift man jetzt mit diesem System auf einen Server zu, der im Ethernet A steht, so wird dort der Zugriff nicht mit der IP-Adresse von PC2 registriert, sondern mit der IP-Adresse von Netzwerkadapter A von PC1. Das komplette Subnetz, in dem sich PC2 befindet, existiert für das restliche Netzwerk nicht. Auf diese Weise besteht natürlich auch ein gewisser Schutz für die Systeme in Ethernet B, da diese nicht von außen erreicht werden können. Dieses Verfahren der Netzwerkkopplung wird auch als NATRouter (Network Address Translation) bezeichnet.

Dienste veröffentlichen Es ist allerdings möglich, gezielt einige Dienste von Systemen aus Ethernet B auch für Systeme in Ethernet A verfügbar zu machen. Hierzu klicken Sie auf die Schaltfläche Einstellungen der Freigabesteuerung.

405

Kapitel 8 Erweiterte Netzwerkfunktionen Abbildung 8.34 Veröffentlichung einer Anwendung

Hier finden Sie bereits einige vordefinierte Dienste, die Sie veröffentlichen können. Aktivieren Sie einen der vordefinierten Dienste, so müssen Sie angeben, zu welchem System im Inneren (also in Ethernet B) eine Verbindung von außen verbunden werden soll. Die Angaben für die Portnummern lassen sich dabei nicht verändern. Möchte man einen eigenen Dienst veröffentlichen oder benötigt man eine spezielle Zuordnung der Ports, so kann man diese Daten über die Schaltfläche Hinzufügen auch einzeln festlegen. Abbildung 8.35 Einen eigenen Dienst anbieten

Im Beispiel in Abbildung 8.35 läuft beispielsweise ein Dienst auf dem Port 23456/tcp auf dem System mit dem Namen WIN-RVOJVLD55U6. Von außerhalb soll das System jedoch über den Port 12345 zu erreichen sein. Derartige Portumschreibungen sind zum Beispiel notwendig, wenn man auf zwei Systemen im Netzwerk jeweils den gleichen Dienst auf identischen Portnummern anbieten will. Eine Liste aller Systeme, die aktuell die Freigabe verwenden, findet sich in der Datei hosts.ics, die im gleichen Verzeichnis wie die Datei hosts liegt. Man sollte jedoch den Inhalt dieser Datei nicht manuell ändern. Welche der drei Möglichkeiten der Netzwerkkopplung für den spezifischen Einsatzzweck die passende ist, lässt sich nicht allgemein sagen, jede Variante hat ihre Vor- und Nachteile.

406

Domänenmitgliedschaft und Funktionen in Active Directory

8.5


Die Windows 7 Editionen Professional, Ultimate und Enterprise können Mitglied einer Domäne werden, die Home-Versionen unterstützten diese Funktion nicht. Eine Domäne ist dabei als eine Verwaltungseinheit zu sehen, die sowohl Benutzer als auch Computer beinhaltet. Um die Funktionen einer Domäne nutzen zu können, muss sowohl der Benutzer als auch der Computer in der Domäne angemeldet sein. Diese Anmeldungen werden in der Domäne von sogenannten Domänencontrollern (DC, Domain Controller) durchgeführt, auf denen auch die Verwaltungsinformationen über die Domänen gespeichert werden. Nur Systeme mit einer Serverversion von Windows können diese Rolle übernehmen. Der erste Schritt auf diesem Weg ist deshalb die Aufnahme des Computers in die Domäne. Auch wenn die Hauptverwaltungseinheit zunächst eine Active Directory-Gesamtstruktur (Forest) ist, zu der dann mehrere Active DirectoryDomänen gehören können, wollen wir im Folgenden nur eine einzelne Domäne betrachten, die mit ihrem Forest identisch ist.

8.5.1

Einer Domäne beitreten

Um einen Computer in eine Domäne aufzunehmen, sind zwei Vorraussetzungen zu erfüllen: 1. Der Computer muss in der Lage sein, DNS-Informationen über die Active Directory-Domäne erhalten zu können. 2. Der Computer muss eine Netzwerkverbindung zu einem der Active Directory-Domänencontroller aufbauen können. Beide Anforderungen lassen sich am einfachsten erfüllen, wenn sowohl die Clients als auch die Domänencontroller im gleichen LAN installiert sind. Am einfachsten sollte der Client einen der Domänencontroller als DNS verwenden, dann ist automatisch die erste Voraussetzung erfüllt. Befinden sich zwischen dem Client und dem Domänencontroller eine Firewall (oder auch mehrere), muss eine ganze Reihe von Regeln in der Firewall eingetragen werden, um dem Client den notwendigen Kontakt zu ermöglichen. Bei Microsoft gibt es unter [ADFW] einen KB-Artikel, der die dazu notwendigen Regeln beschreibt.

8

Vorbereitungen für den Beitritt Um der Domäne beizutreten, muss das System in der Lage sein, die Domänencontroller der Domäne zu identifizieren. Dies lässt sich mit einer DNSAbfrage feststellen: >nslookup -q=ANY _LDAP._TCP.dc._msdcs.contoso.com Server: win2008.contoso.com Address: 192.168.0.200

Listing 8.9 Identifikation eines Domänencontrollers

407

Kapitel 8 Erweiterte Netzwerkfunktionen _LDAP._TCP.dc._msdcs.contoso.com SRV service location: priority = 0 weight = 100 port = 389 svr hostname = win2008.contoso.com win2008.contoso.com internet address = 192.168.0.200

Mit dieser Abfrage über nslookup wird nach der oder den Adressen für die Domänencontroller der Domäne contoso.com gefragt, diese sind im aktuellen Beispiel identisch mit dem gerade verwendeten DNS. Sofern bei diesem Prozess der DC nicht gefunden wird, gibt der Artikel unter [ADDNS] Hilfen zur Fehlersuche. Ist sichergestellt, dass das System die DC der Domäne erreichen kann, kann der zweite Schritt durchgeführt werden, Um das System in die Domäne aufzunehmen, öffnen Sie die Eigenschaften des Computer-Eintrags im Startmenü oder Systemsteuerung/System und Sicherheit/System. Dort wählen Sie dann den Link Einstellungen ändern im Bereich Einstellungen für Computernamen, Domäne und Arbeitsgruppe aus. Um diese Aktion durchzuführen, müssen Sie über Administratorrechte verfügen. Abbildung 8.36 Änderungen zur Aufnahme in die Domäne

In diesem Dialogfeld können Sie zwischen zwei Vorgehensweisen wählen: 왘 Schaltfläche Netzwerk-ID – Die Aufnahme in die Domäne wird durch einen Assistenten durchgeführt, der einige einfache Fragen stellt, anhand derer der Domänenname oder Rechnername ausgewählt werden kann. Zum Abschluss des Assistenten bekommt man noch die Möglichkeit, einen Domänenbenutzer als Administrator des lokalen Rechners einzutragen, etwa wenn ein Benutzer der Domäne besondere Berechtigungen auf dem System braucht. 왘 Schaltfläche Ändern – Der Administrator kann direkt in einem Dialogfeld auswählen, dass das System statt in einer Arbeitsgruppe nun in einer Domäne Mitglied sein soll. Für den Namen der Domäne kann

408


wahlweise der NetBIOS-Name oder der DNS-Name eingegeben werden, wobei die Variante mit DNS schneller ist. Abbildung 8.37 Änderung der Domänenmitgliedschaft

Um ein System in eine Domäne aufzunehmen, muss dieser Vorgang autorisiert sein. Oftmals wird behauptet, dass dieser Vorgang zwangsläufig von einem Domänenadministrator durchgeführt werden muss. Das ist nicht in jedem Fall richtig. Abbildung 8.38 Wer nimmt auf?

8 Die Kontrolle darüber, wer ein System in eine Domäne aufnehmen darf, wird durch eine Sicherheitsrichtlinie auf dem Domänencontroller gesteuert. Unter Lokale Richtlinien/Zuweisen von Benutzerrechten findet sich der Eintrag Hinzufügen von Arbeitsstationen zur Domäne und steht im Normalfall auf Authentifizierte Benutzer. Somit kann faktisch jeder Benutzer einer Domäne neue Computer zur Domäne hinzufügen. Dieser Vorgang funktioniert allerdings nur maximal zehn Mal. Ein Domänenadministrator kann natürlich beliebig viele Systeme in die Domäne aufnehmen. Abbildung 8.39 Willkommen!

409


Nachdem der Prozess erfolgreich verlaufen ist, wird dies mit einer entsprechenden Meldung angezeigt. Damit der Vorgang abgeschlossen werden kann, muss das System neu gestartet werden. Nach dem Neustart bleibt zwar weiterhin der Willkommenbildschirm erhalten, hier werden aber nicht mehr wie bislang sämtliche auf dem Rechner angelegten Benutzer im Auswahlbildschirm präsentiert. Bei der Aufnahme des Systems in die Domäne wird dort ein Konto für das System erstellt (Computerkonto). Dieses wird standardmäßig im Container Computers angelegt, falls man dies nicht möchte, muss man entweder das Konto nachträglich in den passenden Container verschieben oder dort das Konto schon vorab anlegen. Über die Lage des Computerobjektes im entsprechenden Container von Active Directory ergeben sich auch die Verwaltungsmöglichkeiten mittels Gruppenrichtlinien, siehe hierzu Kapitel 11. Abbildung 8.40 Eigenschaften des Computerobjektes in Active Directory

In diesem Computerobjekt wird eine ganze Reihe von Verwaltungsinformationen über das System gespeichert, in Abbildung 8.40 kann man zum Beispiel die Edition des Betriebssystems und dessen genaue Versionsnummer erkennen.

Folgen des Beitritts für lokale Benutzer und Gruppen Sobald ein System einer Domäne beitritt, ergeben sich auch Änderungen bei den lokalen Benutzern und Gruppen. Die zunächst augenfälligste Änderung betrifft den Bereich der Benutzerkonten in der Systemsteuerung. Die Einträge zum Hinzufügen oder Ändern der lokalen Benutzerkonten werden nicht mehr angezeigt. Die noch existierenden lokalen Benutzer und Gruppen kann man über den Link Benutzerkonten verwalten auf der Registerkarte Erweitert und mit anschließendem Klick auf die Schaltfläche Erweitert im Bereich Erweiterte Benutzerverwaltung oder über den Aufruf von lusrmgr.msc erreichen.

410

Domänenmitgliedschaft und Funktionen in Active Directory >net localgroup Administratoren Aliasname Administratoren Beschreibung Administratoren haben uneingeschränkten Vollzugriff auf den Computer bzw. die Domäne.

Listing 8.10 Änderungen an lokalen Gruppen

Mitglieder -----------------------------------------------------------------admin Administrator CONTOSO\Domänen-Admins Der Befehl wurde erfolgreich ausgeführt. >net localgroup Benutzer Aliasname Benutzer Beschreibung Benutzer können keine zufälligen oder beabsichtigten Änderungen am System durchführen und dürfen die meisten herkömmlichen Anwendungen ausführen. Mitglieder -----------------------------------------------------------------CONTOSO\Domänen-Benutzer NT-AUTORITÄT\Authentifizierte Benutzer NT-AUTORITÄT\INTERAKTIV Der Befehl wurde erfolgreich ausgeführt.

Dem Listing 8.10 können Sie entnehmen, dass die beiden globalen Gruppen der Domäne (CONTOSO\Domänen-Admins und CONTOSO\DomänenBenutzer) Mitglied der entsprechenden lokalen Gruppen geworden sind. Somit hat jeder Benutzer, der ein Konto in der Domäne hat, automatisch auch die Rechte eines Benutzers auf dem lokalen System.

Einer Domäne offline beitreten Für Windows 7 ist es auch möglich, einer Domäne beizutreten, wenn zu dem Zeitpunkt keine Netzwerkverbindung zwischen Client und Domänencontroller besteht. Für diesen Zweck wurde das Programm djoin.exe entwickelt, das sowohl den Serverpart (Erstellung des Computerkontos in der Domäne) als auch den Clientpart (Integration in die Domäne) vornimmt. Dieses Tool existiert auf Serverseite erst ab Windows Server 2008R2, man kann jedoch das Programm auch auf einem Windows 7-System ausführen, das bereits Mitglied der Domäne ist. Der angemeldete Benutzer muss hierbei über die Berechtigung verfügen, ein neues Computerkonto erstellen zu dürfen. >djoin /provision /domain contoso.com /machine admin-pc /savefile domain.data /downlevel Das Computerkonto wird bereitgestellt... [admin-pc] wurde erfolgreich in der Domäne [contoso.com] bereitgestellt. Die Bereitstellungsdaten wurden erfolgreich in [domain.data] gespeichert.

8

Listing 8.11 Erstellung eines Computerkontos im Offline-Verfahren

411

Kapitel 8 Erweiterte Netzwerkfunktionen Die Computerkontobereitstellung wurde erfolgreich abgeschlossen. Der Vorgang wurde erfolgreich beendet.

Die bei dem Verfahren erstellte Datei ist nicht wirklich sehr aussagekräftig, enthält aber trotzdem sensible Informationen. Sie enthält in der Kodierung Base64 Daten über Ihre Domäne, unter anderen das Systemkennwort für das neu zu erstellende Computerobjekt. Bewahren Sie die Datei unbedingt an einem geschützten Platz gesichert vor unbefugtem Zugriff auf. Listing 8.12 Datendatei, um ein System offline einer Domäne hinzuzufügen

C:\Users\adm>type domain.data ARAIAMzMzMyQAwAAAAAAAAAAAgABAAAAAQAAAAQAAgABAAAAAQAAAGgDAAAIAAIAa AMAAAEQCADMzMzMWAMAAAAAAAAAAAIABAACAAgAAgAMAAIADgAQABAAAgAWABgAFA ... AAtAEYAaQByAHMAdAAtAFMAaQB0AGUALQBOAGEAbQBlAAAAGAAAAAAAAAAYAAAARA BlAGYAYQB1AGwAdAAtAEYAaQByAHMAdAAtAFMAaQB0AGUALQBOAGEAbQBlAAAAAAA AAA==

Nach der Vorbereitung der Domäne und Erstellung der Beitrittsdatei muss die Datei zum aufzunehmenden System transportiert werden. Nachdem die Datei dort abgekommen ist, kann die Aufnahme in die Domäne über ein administratives Kommandofenster erfolgen: Listing 8.13 Ein System wird per Kommandozeile in die Domäne aufgenommen.

>djoin /requestodj /loadfile domain.data /windowspath c:\Windows /localos Die Bereitstellungsdaten werden aus der folgenden Datei geladen: [domain.data]. Die Anforderung zum Offline-Domänenbeitritt wurde erfolgreich abgeschlossen. Ein Neustart ist erforderlich, damit die Änderungen wirksam werden. Der Vorgang wurde erfolgreich beendet.

Auf diese Weise wird zwar das System in die Domäne integriert, es werden jedoch keinerlei Benutzeraccounts übertragen. Dies hat zur Folge, dass das System ohne Netzverbindung keinem Benutzer der Domäne das Anmelden erlaubt, da noch keinerlei zwischengespeicherte Benutzeraccounts vorhanden sind. Dieses Verfahren zum Beitritt eignet sich somit eher für die Vorbereitung von automatisch ablaufenden Installationen, bei denen man schon vorab die Systeme an einer bestimmten Stelle in die Domäne aufnehmen will. Unter der Adresse [DJOIN] sind einige Anwendungsbeispiele beschrieben.

8.5.2 Sag' beim Abschied leise Server

412

Eine Domäne verlassen

Einer Domäne kann man nicht nur beitreten, man kann sie auch wieder verlassen. Um die Domäne zu verlassen, rufen Sie die Eigenschaftsseite des Computereintrags im Startmenü auf. Etwa in der Mitte des Fensters sehen Sie auf der rechten Seite die Information über den Computernamen und den Namen der Domäne, in der der Computer Mitglied ist. Klicken Sie dort auf Einstellungen ändern und im neuen Dialogfeld auf die Schaltfläche Ändern. Im nun erscheinenden Dialogfeld ändern Sie die Einstellung Mitglied von Domäne um in Mitglied von Arbeitsgruppe, und wählen Sie einen Namen der gewünschten Arbeitsgruppe aus. Nach Betätigung


der Schaltfläche OK erscheint ein Dialogfeld, das Sie daran erinnert, dass nach Abschluss der Aktion auf dem System keine Benutzer aus der Domäne mehr existieren, Sie also das Kennwort eines lokal auf dem System vorhandenen Benutzerkontos benötigen. Abbildung 8.41 Lokale Benutzer werden benötigt.

Nachdem Sie einige Male mit OK die verschiedenen Dialogfelder bestätigt haben, erhalten Sie am Schluss die Mitteilung, dass der Vorgang erst nach einem Neustart abgeschlossen werden kann. Sie erhalten hier die Möglichkeit, diesen Neustart auch sofort auszuführen.

Aufräumarbeiten Die bei der Aufnahme in die Domäne zu den lokalen Gruppen hinzugefügten Domänengruppen werden bei dem Prozess automatisch wieder entfernt. Eventuell manuell zu den lokalen Gruppen hinzugefügte Elemente der Domäne bleiben davon unberührt, hier muss man diese selber auch manuell wieder entfernen. Erkennbar ist so ein Überbleibsel daran, dass kein Benutzername, sondern die SID angezeigt wird. Abbildung 8.42 Ein Domänenbenutzer blieb übrig.

8

Selbstverständlich bleiben auch die lokalen Arbeitsverzeichnisse all jener Domänenmitglieder übrig, die sich im Laufe der Zeit auf dem System angemeldet hatten. Diese Profile können über die Eigenschaften des Computer-Eintrags im Startmenü, Link Erweiterte Systemeinstellungen, Registerkarte Erweitert und Schaltfläche Einstellungen im Bereich Benutzerprofile gelöscht werden. In der Liste, die im Dialogfeld erscheint, erkennen Sie eine Reihe von Profilen, für die Konto unbekannt angezeigt wird. Markieren Sie diese, und entfernen Sie sie mit der Schaltfläche Löschen.

413


In der Domäne verbleibt das Computerkonto des Systems in Active Directory zurück. Dieses sollte man auch dort manuell löschen.

8.6

Fernbedienung

Sofern man mit einem Computerproblem als Anwender nicht weiterkommt, wird man sich an jemanden wenden, der sich mit dem Problem (hoffentlich) auskennt, am einfachsten geht dies, wenn der Supporter die Möglichkeit hat, das Gleiche auf dem Bildschirm zu sehen wie derjenige, der die Hilfe benötigt. Für diesen Einsatzzweck existiert eine ganze Reihe von Anwendungen von Drittanbietern, hier konzentrieren wir uns aber auf die bei Windows 7 mitgelieferten Möglichkeiten der Remoteunterstützung und des Remotedesktops. Es existiert noch eine weitere Möglichkeit in Form des Programms SharedView, dies wird in Kapitel 16 kurz vorgestellt. Abbildung 8.43 Remoteeinstellungen

Nach der Installation ist die Remoteunterstützung aktiviert und der Remotedesktop deaktiviert, dies können Sie über die Systemsteuerung/ System und Sicherheit/System und den Link Remoteeinstellungen im linken Teil des Dialogfeldes ändern. Obwohl beide technisch ähnlich sind, unterscheiden sie sich im Wesentlichen durch die Art und Weise, wie die Verbindung initiiert wird. Während bei der Remoteunterstützung die Anfrage vom Benutzer des Computers ausgeht, der eine Anforderung an einen Support herausgibt, um dann mit diesem gemeinsam das Problem zu lösen, geht Remotedesktop den umgekehrten Weg. Die Anforderung kommt von außen, und der Supporter löst das Problem alleine, egal ob aktuell ein Benutzer angemeldet ist oder nicht.

414

Fernbedienung

8.6.1

Nach Hilfe fragen

Bei der Remoteunterstützung stellt der Hilfesuchende eine Anfrage an den Support, auf die dieser reagieren muss. Die Hilfe kann hierbei auf zwei Weisen erfolgen: 1. Passiv – Der Support sieht nur, was auf dem Bildschirm passiert, und kann Kommentare über eine Chat-Funktion geben. 2. Aktiv – Der Support kann die Tastatur und Maus übernehmen und selbst Aktionen durchführen. Über die Schaltfläche Erweitert in Abbildung 8.43 kann eingestellt werden, ob generell nur der passive Modus zugelassen werden soll. Weiterhin kann auch die Zeitdauer eingestellt werden, für welche die Einladung noch gültig sein soll, der Standardwert von sechs Stunden kann hier möglicherweise zu hoch sein. Zudem kann kontrolliert werden, ob der Zugang nur Systemen erlaubt sein soll, die mindestens Windows Vista ausführen. Die Zeitangabe ist wichtig, weil mit dem Senden der Anfrage zur Remoteunterstützung ein Serverdienst auf dem System gestartet wird, der auf die ankommende Verbindung des Helfers wartet. Durch die Zeitbeschränkung wird sichergestellt, dass diese Funktion nicht unnötig lange zur Verfügung gestellt wird. Um die Hilfe anzufordern, können Sie entweder im Startmenü Hilfe und Support aufrufen, dort dann im Hilfecenter unten auf den Link Mehr Supportoptionen anklicken. Dort findet sich unter der Überschrift Fragen Sie eine Person nach Hilfe ein Link Windows-Remoteunterstützung. Zweite Möglichkeit: Sie gehen in die Systemsteuerung, suchen dort nach Problem und klicken links in der Leiste auf Einen Freund fragen. Schneller geht es vermutlich, wenn Sie im Startmenü nach Remote suchen, der Eintrag Windows-Remoteunterstützung ist der zweite in der Liste. Abbildung 8.44 Hilfe anfordern oder Hilfe geben?

415

8

Kapitel 8 Erweiterte Netzwerkfunktionen Hilfst du mir?

Zunächst kommt die generelle Frage, ob Sie Hilfe erwarten oder Hilfe geben möchten, klicken Sie hier auf das obere Feld. Dann müssen Sie entscheiden, auf welche Weise Sie die Einladung übermitteln wollen.

Abbildung 8.45 Wie soll die Anfrage übermittelt werden?

Sofern Sie die Einladung als Datei speichern, müssen Sie diese auf irgendeine Weise zum PC desjenigen bringen, der Ihnen helfen soll. Falls auf Ihrem System ein unterstütztes E-Mail-Programm installiert ist, können Sie diese Datei direkt von diesem Dialogfeld aus versenden, ansonsten können Sie die Datei beispielsweise über eine Dateifreigabe zu Ihrem Supporter übermitteln.

Hilfe im Internet und Probleme mit dem Netz Das Problem bei diesem Prozess ist, dass der Helfende eine direkte Verbindung von seinem Rechner zum Rechner des um Hilfe Bittenden herstellen muss. In einer LAN-Umgebung ist dies meist kein Problem, sofern aber dieser in einem abgeschlossenen Netzwerk hinter einem NAT-Router steht, wird dies problematisch. Schon bei Windows XP bestand das Problem darin, dass der Client nicht in jedem Fall wusste, welche externe IP-Adresse ihm zugeteilt war, er kannte nur seine eigene und schrieb diese in die Anforderungsdatei hinein. Beim Betrieb hinter einem NAT-Router musste dann eine entsprechende Regel für den Zugriff auf Port 3389 von außen auf den Port des anfordernden Rechnern von innen im Router eingetragen werden. Mit Windows Vista (und somit auch mit Windows 7) wurde eine weitere Schwierigkeit eingebaut. Während bei XP noch ein statischer Port verwendet wurde, um die Verbindung aufzubauen, ist dieser nun dynamisch, was es faktisch unmöglich macht, den Port vorab in einem NAT-Router zu konfigurieren. Um dieses Problem zu lösen, wurde bei Windows 7 eine neue Version der Übertragung der Einladungsdaten mit dem Namen Easy Connect entwickelt. Diese Variante stellt allerdings gewisse Anforderungen an das Netzwerk, dass nämlich ein Router verwendet wird, der das sogenannte Peer Name Resolution Protocol (PNRP – siehe PNRP) unterstützt. Das gesamte Protokoll arbeitet auf Basis von IPv6, was seine heutigen Einsatzmöglichkei-

416

Fernbedienung

ten doch stark schrumpfen lässt. Bis auf Weiteres wird man also bei der Remoteunterstützung auf herkömmliche Einladungsdateien ausweichen.

Listing 8.14 Einladungsdatei Einladung. msrcIncident

In der Einladungsdatei in Listing 8.14 erkennt man am Ende die IPAdresse des Systems (192.168.0.98) und den aktuell verwendeten Port (49226). Die restlichen Daten enthalten in verschlüsselter Form das Kennwort, welches das System generiert, wenn es die Datei erstellt. Hat man das System so konfiguriert, dass Einladungen nur von Systemen mit mindestens Windows Vista empfangen werden können, so sind diese Informationen nicht mehr im Klartext in der Datei lesbar, sie kann auch von einem System mit Windows XP nicht mehr geöffnet werden. Sendet ein System hinter einem NAT-Router auf Basis der Verbindungsfreigabe (siehe den Abschnitt 8.4.3 ab Seite 404), so erkennt die Remoteunterstützung automatisch die Topologie des Netzwerkes und passt die Einladungsdatei entsprechend an:

Listing 8.15 Einladungsdatei hinter einem NATRouter

8

Sie können hier in der Datei sehen, dass sowohl die IP-Adresse des anfragenden Systems (192.168.137.219) mit seiner Portnummer (49835) als auch die externe IP-Adresse des NAT-Routers (192.168.0.97) mit einer dort gültigen Portnummer (56628) eingetragen ist. Parallel dazu wird auf dem NAT-Router automatisch eine entsprechende Veröffentlichungsregel eingetragen. Diese Regel wird nach Beendigung der Remoteunterstützung auch automatisch wieder ausgetragen.

417

Kapitel 8 Erweiterte Netzwerkfunktionen Abbildung 8.46 Veröffentlichung der Remoteunterstützung

Nachdem also die Einladungsdatei (mit der Erweiterung msrcIncident) unter einem frei wählbaren Namen gespeichert wurde, erscheint ein Fenster mit dem für diese Einladung geltenden Kennwort, und der Computer wartet auf den Verbindungsversuch des Unterstützers. Abbildung 8.47 Kennwort für die Unterstützungsanfrage

Mittels Rechtsklick auf das Kennwort lässt sich eine Kopie in die Zwischenablage übernehmen. Wird das Fenster geschlossen, wird die Einladungsdatei nutzlos und kann nicht erneut verwendet werden. Auf dem Computer, von dem aus die Hilfe erfolgen soll, muss die empfangene Einladungsdatei gestartet werden, es erfolgt dann die Abfrage des Kennworts. Abbildung 8.48 Kennwortabfrage bei der Einladung (Windows XP links, Windows 7 rechts)

Sofern das Kennwort korrekt ist, wird die Verbindung mit dem Computer des Hilfesuchenden aufgebaut, der dortige Benutzer muss diesen Vorgang allerdings bestätigen. In einer Firmenumgebung kann man den Prozess auch über ein Skript automatisieren, speichern Sie einfach den folgenden Befehl in einer Datei hilfe.cmd ab, und stellen Sie diese Datei Ihren Benutzern zur Verfügung:

418

Fernbedienung

msra /saveasfile \\server\ra\%COMPUTERNAME%.msrcIncident 12345678

Der Befehl msra.exe startet die Remoteunterstützung, die Freigabe \\server\ra ist ein Bereich auf einem Dateiserver, wo die Anfrage abgelegt werden soll, der Name der Anfrage wird über die Variable %COMPUTERNAME% aus dem Rechnernamen gebildet, und das Kennwort für die Anfrage wird fest auf 12345678 gesetzt. Es ist natürlich vom Sicherheitsstandpunkt aus nicht gut, ein festes und allgemein bekanntes Kennwort zu verwenden, aber die Berechtigungen des Verzeichnisses können ja so gesetzt werden, dass dort von den Benutzern die Dateien nur geschrieben und nicht gelesen werden können. Benötigt nun einer der Benutzer Hilfe, so startet er die Datei hilfe.cmd, und die Hilfeanforderung wird automatisch auf einen Server im Bereich des Supportdienstleisters abgelegt. Abbildung 8.49 Hilfe annehmen?

Nachdem die Verbindung steht, erscheint der Hilfebildschirm auf dem Computer des Unterstützers, hierbei läuft dort die Anwendung helpctr.exe. Abbildung 8.50 Remoteunterstützung von Windows XP aus

8

419


Abbildung 8.51: Remoteunterstützung von Windows 7 aus

Die Ansicht der Remoteunterstützung ähnelt sich bei Windows XP und Windows 7, jedoch sind einige Bedienelemente anders angeordnet. Am linken Rand findet sich ein Textbereich, in dem die Kommunikation zwischen den beiden Teilnehmern aufgezeichnet wird, eingeleitet wird die Kommunikation, indem der Helfer unten links seinen Text eingibt und auf die Schaltfläche Senden (bzw. die grüne Pfeiltaste) klickt. Der Hilfeempfänger kann die Kommunikation starten, indem er in dem kleinen Kontrollfenster auf den Menübefehl Chat klickt. Beim Betrachten der beiden Oberflächen in Abbildung 8.50 und Abbildung 8.51 fällt auf, dass kein Bildschirmhintergrund angezeigt wird, die Desktopoberfläche ist einfarbig weiß beziehungsweise schwarz. Dies liegt daran, dass die Verbindung zunächst auf niedrige Bandbreite optimiert wurde. Über den Menüeintrag Einstellungen auf dem System des Hilfesuchenden kann dies aber geändert werden: Abbildung 8.52 Einstellungen für die Übertragung

420

Fernbedienung

Über den Schieberegler Bandbreitenverwendung kann in vier Stufen die Nutzung der Verbindung eingestellt werden, im Erklärungstext rechts davon wird entsprechend angezeigt, welche Bildschirmelemente nicht beziehungsweise nur eingeschränkt übertragen werden. Auf der Helferseite kann über die Schaltflächen Fenster anpassen und Tatsächliche Größe (bei Windows XP rechts über dem Fenster, bei Windows 7 links in der Menüleiste) kontrolliert werden, wie die Darstellung erfolgen soll. Entweder wird das entfernte Bild in den Darstellungsbereich eingepasst, oder die Darstellung erfolgt 1:1, und es werden (sofern der Bildschirmbereich des Helfers nicht groß genug ist) Bildlaufleisten verwendet, um den ganzen Bildschirm zugänglich zu machen. Die Remoteunterstützung unter Windows XP bietet die Funktion Datei senden an, dies führt zwar dazu, dass aufseiten von Windows 7 diese Anfrage ankommt, jedoch bricht der Prozess dann auf Seite von XP mit einer Fehlermeldung ab. Unter Windows 7 ist diese Funktion nicht mehr verfügbar.

Schutz der Privatsphäre Oftmals hat man auf dem Bildschirm Daten stehen, die man einem Supporter nicht zugänglich machen will. Oder man möchte Aktionen ausführen, die dieser nicht sehen soll. Hierfür kann man in der Kontrollanwendung über den Menüeintrag Anhalten beziehungsweise Fortsetzen temporär die Übertragung der Bildschirmansicht unterbrechen, Der Helfer sieht während der Zeit einen komplett schwarzen Bildschirm, eine Kommunikation per Chat ist aber weiterhin möglich.

Kontrolle übernehmen Zunächst kann der Helfer nur beobachten und per Chat kommunizieren, eine Eingriffsmöglichkeit hat er nicht. Sofern er selbst auch Aktionen auf dem fremden System durchführen will, muss er die Kontrolle zunächst anfordern (Schaltfläche Steuerung übernehmen beziehungsweise Steuerung anfordern), der andere kann ihm diese nach Nachfrage dann gestatten oder eben nicht.

8 Abbildung 8.53 Geben Sie die Kontrolle ab?

Das Kontrollkästchen Antwort auf ... Benutzerkontensteuerung zulassen bezieht sich auf den Umgang im UAC-Abfragen bei bestimmten administrativen Aufgaben. Ist dieses Kontrollkästchen nicht aktiviert, so ist der Helfer nicht in der Lage, eine derartige UAC-Abfrage zu beantworten. Kommt eine

421


Abfrage, so wird der Bildschirm des Helfers dunkel, und nur der Anwender vor dem lokalen Bildschirm kann das Dialogfeld bedienen. Ist das Kontrollkästchen aktiviert, kann der Helfer die Abfrage wie jedes andere Dialogfeld bedienen. Zum Beenden der Kontrolle kann einer der beiden Teilnehmer die entsprechende Schaltfläche Freigabe beenden bestätigen, die komplette Verbindung wird getrennt, indem entweder der Helfer bei seinem System die Schaltfläche Verbindung trennen betätigt oder die Kontrollapplikation auf dem anderen System geschlossen wird.

Hörspiel und großes Kino Sofern die entsprechende Option (siehe Abbildung 8.52) gesetzt ist, werden die Aktionen während der Remoteunterstützung protokolliert. Hierbei werden aber nicht die Aktionen protokolliert, die zum Beispiel der Helfer auf dem System ausführt, sondern es werden die Aktionen in Bezug auf die Remoteunterstützung und somit insbesondere die Kommunikation im Chat mitgeschrieben. Die Dateien hierzu finden sich im Verzeichnis Remote Assistance Logs unterhalb des Dokumente-Verzeichnisses im Datenbereich des Benutzers. Film ab? Kamera läuft!

Oftmals hat man das Problem, dass man ein Problem nur sehr schlecht in Worte fassen kann, hier ist es hilfreich, wenn man das Problem in Form einer Bilderfolge illustrieren kann. Hierfür existiert bei Windows 7 ein Programm, mit dem man derartige kommentierte Bilderfolgen erstellen kann. Die Funktion kann über die Systemsteuerung im Bereich System und Sicherheit/Wartungscenter gestartet werden. Dann am unteren Ende auf Problembehandlung und in der linken Leiste auf Einen Freund fragen klicken. Im unteren Teil des Fensters wählen Sie darauf Problemaufzeichnung aus. Schneller geht es, wenn einfach das Programm psr.exe (Problemaufzeichnung) gestartet wird.

Abbildung 8.54 Probleme aufzeichnen

Das Programm muss zunächst über die Schaltfläche Aufzeichnung starten aktiviert werden, ab da werden alle Aktionen mitnotiert. Bei Mausaktionen mag es etwas irritieren, dass bei einem Mausklick an der Stelle des Mauscursors ein roter Ball erscheint, der langsam ausgeblendet wird. Über die Schaltfläche Kommentar einfügen kann man die Aufzeichnung mit Text versehen, um die aktuelle Aktion näher zu erläutern. Ein Klick auf die Schaltfläche Aufzeichnung beenden stoppt alles, und die gespeicherten Daten werden in Form eines Zip-Archivs abgelegt. Abbildung 8.55 Das Problemarchiv wird erstellt.

422

Fernbedienung

In dem Archiv liegt eine einzige Datei mit dem Typ MHTML-Dokument (Erweiterung .mht), diese lässt sich beispielsweise mit dem Internet Explorer öffnen, wenn die Archivdatei zu einem Supporter übermittelt wurde, der dann die aufgezeichneten Aktionen analysieren soll. Abbildung 8.56 Ansicht des Problemberichtes

In der Datei sieht man dann die einzelnen Bildschirmfotos gegebenenfalls zusammen mit den Kommentaren. Sofern der Benutzer bestimmte Elemente der Oberfläche bedient, werden diese Aktionen auch automatisch mit entsprechenden Kommentaren versehen: Problemaufzeichnung 16: (08.11.2009 11:05:24) Klick mit der linken Maustaste durch Benutzer auf "Dateityp: (Kombinationsfeld)" in "Speichern unter"

8.6.2

8

Fernsteuerung ohne Zuschauer – Remotedesktop

Im Gegensatz zur Remoteunterstützung, bei der die beiden Teilnehmer zusammen einen Computer bedienen, arbeitet beim Remotedesktop nur derjenige, der sich aus der Ferne mit dem Computer verbindet. Aus Lizenzgründen kann dabei immer nur ein Benutzer mit dem Desktop am System arbeiten. Bei Systemen mit einer Version von Windows Server beträgt dieses Limit drei Benutzer (einer an der lokalen Konsole, zwei per Remotedesktop) im sogenannten Administrationsmodus. Im Terminalservermodus können beliebig viele dort arbeiten, dies muss allerdings separat lizenziert werden.

423


Nachdem Remotedesktop aktiviert wurde (siehe Abbildung 8.43, unterer Teil), kann man sich von einem anderen System aus mit der Remotedesktopverbindung (mstsc.exe) an dem System anmelden, diese Anwendung ist unter gleichem Namen auch auf Windows XP verfügbar. Für noch ältere Systeme wie Windows 2000, Windows NT 4.0 oder Windows 95/98 kann die Anwendung unter [DOWN] geladen werden. Abbildung 8.57 Remotedesktopverbindung

Wen soll ich kontrollieren?

424

Im Normalfall müssen Sie einfach nur dem Namen oder die IP-Adresse des gewünschten Computers eingeben und die Schaltfläche Verbinden klicken. Über den Link Optionen kann die Verbindung gesondert konfiguriert werden, hierbei sind die folgenden Einstellungen auf den dann sichtbaren Registerkarten möglich: 왘 Allgemein – Sie können einen Benutzername angeben, der für die Anmeldung am anderen System verwendet werden soll. Zudem können Sie die kompletten Verbindungsinformation (auf Wunsch auch inklusive Kennwort) in einer .rdp-Datei speichern. Wollen Sie später die Verbindung erneut aufbauen, reicht der Aufruf dieser Datei aus. Dies empfiehlt sich beispielsweise für Administratoren, die regelmäßig auf bestimmte Systeme zugreifen müssen. 왘 Anzeige – Hier können Sie kontrollieren, mit welcher Auflösung und Farbtiefe Sie arbeiten wollen. Für rein administrative Aufgaben kann man hier Bandbreite sparen und Geschwindigkeit gewinnen, wenn man von den maximalen Werten Abstand nimmt. 왘 Lokale Ressourcen – Eine Besonderheit beim Remotedesktop besteht darin, dass Geräte, die am lokalen Arbeitsplatz vorhanden sind, auch auf dem kontaktierten Gerät zur Verfügung stehen, etwa Drucker oder lokale Laufwerke. Hier kann kontrolliert werden, welche tatsächlich verfügbar gemacht werden. 왘 Programme – Hier kann ein Programm angegeben werden, das automatisch nach Aufbau der Verbindung startet. Diese Funktionalität ist allerdings nur verfügbar bei Verbindung mit einem Terminalserver. 왘 Erweitert – In Abhängigkeit von der Bandbreite der Verbindung können verschiedene Elemente der Darstellung unterdrückt werden, die Einstellmöglichkeiten reichen dabei von Verbindungen über Modem mit 56 KBit/s bis bin zu LAN mit 10 MBit/s oder höher. Die einzelnen Bildelemente können auch separat ausgewählt werden. Zudem kann angegeben werden, ob bei einem Verbindungsabbruch die Verbindung erneut hergestellt werden soll.

Fernbedienung 왘 Leistung – Der Name ist ziemlich unpassend gewählt. Tatsächlich geht

es hier um Sicherheit. Mit der Einstellung Serverauthentifizierung kann kontrolliert werden, ob sich auch der angefragte Server gegenüber dem Client ausweisen muss, etwa um zu verhindern, dass ein falscher Server versehentlich die Anmeldedaten entgegennimmt. Bei Verbindung mit einem System mit Windows 7 oder Windows Server 2008 präsentiert der Server ein Zertifikat, in dem der Name des Servers steht. Dieser Name sollte übereinstimmen mit der Adresse, die im Remotedesktopclient zum Verbindungsaufbau verwendet wird (analog einer SSL-Verbindung zu einer HTTPS-Seite im Web). Ist dies nicht der Fall, so erscheint, je nach gewählter Einstellung, entweder eine Warnung (siehe Abbildung 8.58), oder die Verbindung wird nicht zugelassen. Im Bereich Verbindung von überall aus herstellen können Sie die Verbindung über einen Gatewayserver konfigurieren. Mit einem solchen Server kann in einer Firmenumgebung die Verbindung zu einem Remotedesktop im Inneren des LAN von außen über eine HTTPS-Verbindung hergestellt werden. Abbildung 8.58 Falsche Identität beim Remotedesktop?

8

Nachdem der gewünschte Benutzername und das Kennwort eingegeben sind und gegebenenfalls die Zertifikatswarnung bestätigt wurde, hängt der weitere Ablauf davon ab, mit welchem System man sich verbindet und wer dort aktuell angemeldet ist. 왘 Anmelden an Windows Server 2008, verwendeter Benutzer ist lokal an Konsole angemeldet – Benutzer an Konsole wird abgemeldet, kompletter Desktop erscheint auf Remotedesktop. 왘 Anmelden an Windows Server 2008, verwendeter Benutzer ist nicht lokal angemeldet – Die lokale Anmeldung am Server bleibt bestehen, die Anmeldung per Remotedesktop arbeitet als zusätzlicher Benutzer parallel. 왘 Anmelden an Windows 7, verwendeter Benutzer lokal an Konsole angemeldet – Benutzer an Konsole wird abgemeldet, kompletter Desktop erscheint auf Remotedesktop. 왘 Anmelden an Windows 7, verwendeter Benutzer ist nicht lokal angemeldet – Zunächst erhält der Remotebenutzer eine Mitteilung, dass lokal bereits ein Benutzer arbeitet, er muss bestätigen, dass er dessen

425


Arbeit abbrechen will (siehe Abbildung 8.59), er bekommt dabei nicht angezeigt, wer gerade lokal am System arbeitet. Hat er diese Meldung bestätigt, wird der lokale Benutzer darüber informiert, dass ein anderer Benutzer die Kontrolle über das System übernehmen will (siehe Abbildung 8.60), dies kann er entweder bestätigen oder ablehnen. Tut er nichts, so geht die Kontrolle nach 30 Sekunden automatisch auf den Remotebenutzer über. Abbildung 8.59 Eine Anmeldemeldung: Arbeit unterbrechen?

Abbildung 8.60 Lassen wir uns unterbrechen?

Abbildung 8.61 Nein, lassen wir nicht!

Lehnt der Benutzer ab, so erhält man eine entsprechende Nachricht. Der gleiche Prozess läuft auch, wenn sich ein Benutzer lokal anmelden will, während ein anderer Benutzer remote auf das System zugreift.

8.6.3

Gastarbeiter – RemoteApp

In Zusammenarbeit mit einem Windows Server 2008 als Terminalserver ist eine besondere Form der Fernarbeit möglich: RemoteApp. Hierbei werden einzelne Anwendungen auf dem Terminalserver publiziert, sodass ein Benutzer über das Netzwerk nicht mehr den kompletten Desktop, sondern nur noch die einzelne Anwendung auf seinem lokalen Bild-

426

Fernbedienung

schirm sieht. Die derartig publizierten Anwendungen können dann beispielsweise in Form einer .rdp-Datei gespeichert werden, die zu den jeweiligen Clientrechnern übertragen werden. Startet ein Benutzer auf seinem System eine dieser .rdp-Dateien, wird automatisch die betreffende Anwendung auf dem Server gestartet, aber wie eine lokale Anwendung auf dem eigenen System dargestellt.

Abbildung 8.62: Zweimal calc.exe

Im Beispiel in Abbildung 8.62 wurde von dem Server die Anwendung „Wichtige“ calc.exe publiziert und über die entsprechende .rdp-Datei auch gestartet Programme (links). Parallel dazu wurde auch die lokale Anwendung calc.exe gestartet überall verfügbar (rechts). Der linke Taschenrechner wird im Task-Manager als (remote) gekennzeichnet, wird aber tatsächlich vom Programm mstsc.exe dargestellt. Im Info-Bildschirm erkennt man die Herkunft der beiden Anwendungen. Zudem ist klar, dass der linke Taschenrechner nicht direkt auf dem lokalen System läuft, da die angegebene Größe des physikalischen Speichers nicht für Windows 7 ausreichend wäre. Die Anzeige dieser RemoteApps kann auch auf Windows XP erfolgen.

Wofür kann man RemoteApp einsetzen? Generell eignen sich die Terminalservices dann, wenn man Applikationen nicht mehr auf einer Vielzahl von Systemen installieren und pflegen möchte oder wenn die Anforderungen der Anwendung an das System zu hoch für den Client am Arbeitsplatz sind. Das Problem besteht aber darin, dem Anwendern klarzumachen, dass sie dann quasi zwei Bildschirme (einen lokal, einen remote) vor sich haben und wie sie jeweils zwischen denen wechseln können und müssen. Mit den RemoteApps verschwindet der zusätzliche Desktop, alle laufenden Anwendungen des Benutzers sehen wie ganz normale Fenster aus und können auch entsprechend behandelt werden.

427

8


8.7

Datei- und Druckfreigabe

Die gemeinsame Nutzung von Dateien (und Druckern) durch verschiedene Geräte über ein Netzwerk wurde von Microsoft erstmals mit MSDOS 3.0 eingeführt, indem für Anwendungsprogramme eine Programmierschnittselle (API) angeboten wurde, die es zuließ, den Zugriff auf Daten einer Datei über ein Netzwerk umzuleiten. Die Anwendungsprogramme mussten dabei nicht verändert werden und erfahren im Allgemeinen nicht, dass die Datei, die sie gerade bearbeiten, nicht auf dem lokalen System liegt.

8.7.1

Dateien und Drucker freigeben

Um Dateien und Drucker freigeben zu können, müssen zunächst einige Voraussetzungen erfüllt sein: 왘 Der entsprechende Dienst muss aktiviert sein – Der Dienst heißt Server und hat den Kurznamen LanmanServer. 왘 Der Dienst muss an einem oder mehrere Netzwerkadapter gebunden sein (siehe Abbildung 8.4). 왘 Der Dienst muss in dem aktuellen Netzwerkprofil aktiviert sein (siehe Abbildung 8.11). 왘 Der Zugriff auf den Dienst muss in der Firewall ermöglicht sein (siehe den Abschnitt 8.3 ab Seite 389). Erst dann kann der Benutzer eine Freigabe eines Objektes aktivieren. Prinzipiell werden bei einer Freigabe (etwa eines Ordners) immer auch sämtliche in diesem Ordner enthaltenen Elemente (Unterordner und Dateien) mit freigegeben. Für den Zugriff auf die Elemente in der Freigabe wird der Zugriff des externen Benutzers durch den Benutzeraccount ersetzt, mit dem sich der Benutzer am freigegebenen System anmeldet. Welche Berechtigungen dann möglich sind, ergibt sich nicht allein aus den Berechtigungen im Dateisystem (NTFS-Berechtigungen, siehe Kapitel 6), sondern zusätzlich auch über die Freigabeberechtigungen. Die tatsächlichen Berechtigungen ergeben sich dann immer aus der Kombination der beiden Berechtigungen, eine Berechtigung wird also nur erteilt, wenn sie sowohl von den NTFS-Berechtigungen als auch von den Freigabeberechtigungen gestattet wird. Sofern ein Bereich auf einem Datenträger freigegeben wird, der mit FAT formatiert wurde, gelten nur die Freigabeberechtigungen. Während die NTFS-Berechtigungen bis auf die Ebene einer einzelnen Datei separat eingestellt werden können, gelten die Freigabeberechtigungen immer für die komplette Freigabe. Ebenso können die NTFS-Berechtigungen sehr granular eingestellt werden, bei den Freigabeberechtigungen sind nur drei Optionen möglich:

428


Freigabeberechtigung

Auswirkung

Vollzugriff

Enthält die Berechtigungen Ändern und Lesen und zusätzlich noch das Recht über die Netzwerkverbindung, auch die NTFS-Berechtigungen auf dem Datenträger zu ändern.

Ändern

Dateien können geschrieben und verändert werden.

Lesen

Dateien können gelesen, Verzeichnisse können angezeigt werden, Programme können ausgeführt werden.

Tabelle 8.1 Freigabeberechtigungen

Abbildung 8.63 Freigabeberechtigungen

Es ist durchaus möglich, dass ein Benutzer, der über das Netzwerk auf eine Datei zugreift, weniger Berechtigungen hat, als wenn er direkt lokal am System sitzen würde.

8

Gedanken zur Auswahl der Freigabeberechtigungen Wenn eine Freigabe neu eingerichtet wird, legt das System diese meist mit der Berechtigung Jeder: Vollzugriff an und überlässt es den NTFS-Berechtigungen, auf Dateiebene für den Zugriffsschutz zu sorgen. Dieses Verfahren ist meiner Meinung nach zwar bequem, sollte aber trotzdem nicht so angewendet werden. Bei der Gestaltung der Freigaben und der Freigabeberechtigungen sollten folgende Punkte beachtet werden: 왘 Möglichst für getrennte Benutzergruppen auch getrennte Freigaben einrichten. 왘 Zugriff auf die Freigabe nur für diejenigen Gruppen und Benutzer einrichten, die prinzipiell Bedarf an dem Zugriff haben, nach Möglichkeit keine Berechtigung für Jeder. 왘 Nach Möglichkeit auch nicht die Berechtigung Vollzugriff verwenden, damit die Benutzer über das Netzwerk nicht versehentlich die NTFSBerechtigungen setzen können.

429


Eine Freigabe einrichten Um eine Freigabe einzurichten, sind verschiedene Verfahrensweisen möglich. 왘 Über den Explorer – Navigieren Sie im Explorer zu dem Verzeichnis, welches das freizugebende Verzeichnis enthält. Dann wählen Sie aus dem Kontextmenü des Verzeichnisses oder der Menüleiste des Explorers den Eintrag Freigeben für und dann die gewünschte Aktion aus. 왘 Über den Explorer – Navigieren Sie im Explorer zu dem Verzeichnis, welches das freizugebende Verzeichnis enthält. Dann wählen Sie aus den Eigenschaften des Ordners die Registerkarte Freigabe und darin die Schaltfläche Freigabe. Abbildung 8.64 Registerkarte Freigabe

Diese beiden Verfahren arbeiten mit der sogenannten einfachen Freigabe. Hierbei werden in einem Schritt sowohl die Berechtigungen der Freigabe als auch die dazu passenden NTFS-Berechtigungen gesetzt. Ein zusätzlicher Effekt tritt ein, wenn der jeweilige Ordner Unterordner eines bereits freigegebenen Ordners ist, in diesem Fall wird keine neue Freigabe erstellt, sondern dem Benutzer einfach der entsprechend längere Netzwerkpfad (Zugriffspfad) auf die Freigabe angezeigt. Listing 8.16 Verzeichnis vor der Freigabe ...

>cacls \verzeichnis C:\verzeichnis WIN-RVOJVLD55U6\jochenr-admin:(OI)(CI)F VORDEFINIERT\Administratoren:F VORDEFINIERT\Administratoren:(OI)(CI)(IO)F NT-AUTORITÄT\SYSTEM:F NT-AUTORITÄT\SYSTEM:(OI)(CI)(IO)F >cacls \verzeichnis C:\verzeichnis WIN-RVOJVLD55U6\jochenr-admin:(OI)(CI)F VORDEFINIERT\Administratoren:F VORDEFINIERT\Administratoren:(OI)(CI)(IO)F

430

Datei- und Druckfreigabe NT-AUTORITÄT\SYSTEM:F NT-AUTORITÄT\SYSTEM:(OI)(CI)(IO)F WIN-RVOJVLD55U6\HomeUsers:(OI)(CI)F

Im Vergleich von Listing 8.16 und Listing 8.17 erkennt man die Berechtigungen eines Verzeichnisses der Hauptebene vor und nachdem es mit der Funktion Freigeben für/Heimnetzgruppe (Lesen/Schreiben) bearbeitet wurde. Die Heimnetzgruppe wird hierbei durch die lokale Gruppe HomeUsers dargestellt. Wird diese Freigabe über die Funktion Freigeben für/Niemand wieder entfernt, so werden die Berechtigungen für diese Gruppe ebenfalls entfernt.

Listing 8.17 ... und nach der Freigabe für die Heimnetzgruppe

Wird die Funktion Freigeben für/Bestimmte Personen ausgewählt beziehungsweise die Schaltfläche Freigabe, so erhält man die Möglichkeit, gezielt einzelnen Benutzern Freigabeberechtigungen zu erteilen. Abbildung 8.65 Gezielte Auswahl von Benutzern und deren Berechtigungen

Im oberen Listenfeld links neben der Schaltfläche Hinzufügen können Sie die lokal auf dem System vorhandenen Benutzer hinzufügen. Mit dem Dreieckssymbol in der Spalte Berechtigungsebene können Sie für den jeweiligen Benutzer die gewünschte Berechtigung einstellen beziehungsweise den Benutzer wieder von den Berechtigungen entfernen, Nach einem Klick auf die Schaltfläche Freigabe werden die entsprechenden Änderungen auch in den NTFS-Berechtigungen im Dateisystem durchgeführt.

8

Die erweiterte Freigabe Mit der Schaltfläche Erweiterte Freigabe in Abbildung 8.66 können weitere Einstellungen im Bereich der Freigaben erstellt werden. Mit dem Kontrollkästchen Diesen Ordner freigeben kann generell die Freigabe aktiviert beziehungsweise deaktiviert werden. Wird hierdurch eine Freigabe beendet, die zuvor mit der einfachen Freigabe freigegeben wurde, so bleiben die damals gesetzten NTFS-Berechtigungen erhalten.

431

Kapitel 8 Erweiterte Netzwerkfunktionen Abbildung 8.66 Erweiterte Freigaben

Mit den Schaltflächen Hinzufügen und Entfernen können zusätzliche Namen für die Freigabe vergeben werden, die dann auch jeweils unterschiedliche Freigabeberechtigungen erhalten können. Diese Funktion kann man beispielsweise verwenden, wenn man die Dateien einer Freigabe auf unterschiedliche Datenträger verlagern will. Hierbei legt man zunächst eine zweite Freigabe an und stellt alle Klienten auf die Verwendung des neuen Freigabenamens um. Erst wenn dieser Schritt vollzogen ist, trennt man die jeweiligen Verzeichnisse auch physisch. Wird der Freigabename mit einem $-Zeichen beendet, wird die Freigabe nicht beim Durchsuchen des Computers im Netzwerk angezeigt. Üblicherweise hat jedes System, bei dem die Datei- und Druckfreigabe aktiviert ist, auch automatisch sogenannte Administrative Freigaben eingerichtet. Diese sind sämtliche lokale Datenträger (zum Beispiel C$ für Laufwerk C:) sowie das Windows-Systemverzeichnis unter dem Namen ADMIN$. Möchte man diese Freigaben verhindern, so muss man dies über die Registry ausführen, allerdings kann dies ungewollt andere Probleme verursachen. Generell sind diese Freigaben kein Risiko, da nur ein Benutzer mit administrativen Rechten auf sie zugreifen kann; hat allerdings ein Angreifer bereits administrative Berechtigungen auf einem System, so hat man noch ganz andere Probleme als nur die administrativen Freigaben. Eine detaillierte Auflistung von möglichern Problemen bei der Abschaltung der Freigaben ist unter [ADMIN] zu erhalten. Mit der Einstellung Zugelassene Benutzeranzahl kann man die Anzahl der gleichzeitigen Verbindungen beschränken, die hier gezeigte Anzahl von 20 entspricht der maximalen Anzahl gleichzeitiger Verbindungen, die gemäß der Lizenz für dieses Betriebssystem zugelassen sind. Wichtiger ist diese Einstellung bei den Serverversionen, die keine derartige Limitierung kennen. In das Kommentarfeld kann ein Text eingegeben werden, dieser ist sichtbar, wenn man die Freigaben lokal (siehe Listing 8.19) oder remote (siehe Listing 8.20) auflistet. Mit der Schaltfläche Berechtigungen erhält man die Möglichkeit, die Freigabeberechtigungen einzustellen (siehe Abbildung 8.63), hierbei hat man

432


Zugriff auf alle vorhandenen Benutzer und Gruppen zur Rechtevergabe und nicht nur auf die eingeschränkte Auswahl wie im entsprechenden Dialogfeld der einfachen Freigabe. Mit der Schaltfläche Zwischenspeichern kann man kontrollieren, ob und wie Dateien in dieser Freigabe auf Clients verfügbar gemacht werden, wenn das freigebende System nicht verfügbar ist (siehe hierzu den Abschnitt 8.8 ab Seite 442).

Freigabe auf der Kommandozeile einrichten Mit dem Befehl net share lassen sich Freigaben sowohl erstellen als auch wieder entfernen, erstaunlicherweise können normale Benutzer zwar eine Freigabe erstellen, zum Beenden der Freigabe müssen sie aber über administrative Berechtigungen verfügen. >net share verzeichnis=c:\verzeichnis verzeichnis wurde erfolgreich freigegeben. >net share verzeichnis=c:\verzeichnis /grant:user,read /grant:jochenr-admin,change verzeichnis wurde erfolgreich freigegeben.

Listing 8.18 Freigaben erstellen und löschen mit net share

>net share verzeichnis /delete verzeichnis wurde erfolgreich gelöscht.

Bei der ersten Freigabe in Listing 8.18 werden keine Angaben über die Freigabeberechtigungen gemacht, die Freigabe wird somit mit Leseberechtigung für Jeder angelegt. Bei der zweiten Freigabe werden die Berechtigungen entsprechend der Argumente gesetzt.

8.7.2

Der öffentliche Ordner und der Gast

Im Bereich der Erweiterten Freigabeeinstellungen im Netzwerk- und Freigabecenter gibt es zwei Einstellungen, die sich speziell auf die öffentlichen Ordner und den Umgang mit dem Benutzer Gast beziehen.

8

Die eine Einstellung ist Freigabe des öffentlichen Ordners. Wird diese bei einem der Netzwerkprofile aktiviert, so werden die NTFS-Berechtigungen des Ordners \users\public mit der Berechtigung Jeder:Full versehen. Die zweite Einstellung ist Kennwortgeschütztes Freigeben. Ist diese Einstellung ausgeschaltet, wird der Benutzer Gast aktiviert, alle Zugriffe, die über das Netz erfolgen, werden dann auf dem System mit dem Benutzer Gast durchgeführt. Die Kombination der beiden Einstellungen Keine Freigabe des öffentlichen Ordners und Kein kennwortgeschütztes Freigeben bereiten hierbei Probleme, weil die erste Einstellung die Berechtigung für Jeder (die Gruppe, die auch Gast enthält) entfernt und die zweite jede Anmeldung eines Benutzers (auch wenn er mit gleichem Kennwort lokal existiert) durch den Benutzer Gast ersetzt. In Kombination bedeutet dies, dass sich fremde System zwar mit dem Rechner verbinden dürfen, dort jedoch aufgrund mangelnder Berechtigungen nicht zugreifen können.

433


8.7.3

Freigaben nutzen

Während lokale Dateien aus einem Laufwerksbuchstaben, einer Reihe von Verzeichnisnamen und einem Dateinamen bestehen, reicht diese Namensgebung für Zugriffe auf ein Netzwerk nicht mehr aus. Hier wird der Pfad zur Datei mit der Angabe des Rechnernamens und der dortigen Freigabe begonnen, beispielsweise \\server\freigabe\verzeichnis\datei.txt. Die Angabe server kann dabei sowohl ein NetBIOS-Kurzname, ein DNS-Name (FQDN) als auch eine IP-Adresse sein. Der Zugriff auf das Netzwerk erfolgt am einfachsten über den Eintrag Netzwerk in der linken Spalte der Computer-Anzeige aus dem Startmenü. Nach dem Klick auf den Eintrag baut sich im Hauptfenster eine Übersicht über alle aktuell im Netz gefundenen Computer auf. Diese Systeme werden aber nur erkannt, wenn im aktuellen Netzwerkprofil die Einstellung Netzwerkerkennung einschalten aktiviert ist (siehe Abbildung 8.11). Wenn Sie häufiger das Netzwerk durchsuchen müssen, können Sie mit der Funktion Desktopsymbole in der Systemsteuerung auch dafür sorgen, dass das Netzwerk-Symbol direkt auf dem Desktop angezeigt wird. Abbildung 8.67 Das Netzwerk durchsuchen

Im Bereich Multimedia werden die Geräte angezeigt, die Multimediadaten zur Verfügung stellen, wahlweise als Freigabe oder als Stream (Übertragung der Dateiinhalte als kontinuierliche Bytefolge). Im Bereich Netzwerkinfrastruktur werden Geräte angezeigt, die aufgrund von UPnP (Universal Plug and Play) erkannt werden. Sobald man doppelt auf eines der Computersymbole klickt, bekommt man alle Freigaben angezeigt, die dieser Computer anbietet, mit Ausnahme der Freigaben, die durch ein $-Zeichen am Ende des Namens als verborgen markiert wurden.

Netzfreigaben mit Laufwerksbuchstaben verknüpfen Greift man häufiger auf eine bestimmte Freigabe zu, kann man der Kombination aus Servername und Freigabename (eventuell ergänzt durch weitere Verzeichnisse) einen eigenen Laufwerksbuchstaben zuordnen.

434


Auf Wunsch kann diese Zuordnung auch automatisch nach einem Neustart erneut vorgenommen werden. Den Zusammenhang zwischen lokaler Datei auf dem Server und Datei auf dem Client erläutert die folgende Abbildung 8.68. Auf dem Server wird das Verzeichnis D:\verz1\verz2\ verz3 unter dem Namen freigabe freigegeben. Der Client verbindet das Laufwerk X: mit dem Netzwerkpfad \\server\freigabe\verz4. Somit greift der Client, der die Datei X:\verz5\datei.txt öffnet, tatsächlich auf die Datei D:\verz1\verz2\verz3\verz4\verz5\datei.txt auf dem Server zu. Bei der Freigabe von tief verschachtelten Ordnern müssen Sie aufpassen, dass Sie dann auf der Server-Seite nicht versehentlich Pfadnamen erzeugen, die länger als 255 Zeichen sind, da diese von den Systemfunktionen nicht mehr bearbeitet werden können. Der Artikel unter [MAXPATH] zeigt hierzu verschiedene Verfahren zur Umgehung des Problems.

Server

D:\verz1\verz2\verz3\verz4\verz5\datei.txt \\server\freigabe \\server\freigabe\verz4\verz5\datei.txt

Abbildung 8.68 Zuordnung zwischen Dateinamen lokal und remote

X: = \\server\freigabe\verz4

Client

X:\verz5\datei.txt

Öffnet man den Eintrag Computer im Startmenü, erkennt man die verbundenen Netzlaufwerke daran, dass sie mit einem anderen Symbol dargestellt werden und in einer separaten Gruppe zusammengefasst sind. Abbildung 8.69 Lokale und Netzwerkdatenträger

Über das Kontextmenü eines derartigen Laufwerkes kann mit der Funktion Trennen die Verbindung wieder unterbrochen werden.

435

8


Um die Verbindung herzustellen, gibt es prinzipiell zwei Möglichkeiten: 1. Man weiß sowohl den Namen des Servers als auch den der Freigaben. 2. Man weiß es nicht und muss danach im Netzwerk erst suchen. Die Verbindung Rufen Sie zunächst die Funktion Netzlaufwerk verbinden auf, diese befindet ist vielleicht sich rechts vom Eintrag Programm deinstallieren oder ändern in der Menüverborgen? leiste, möglicherweise müssen Sie dort zunächst auf >> klicken. Das Her-

stellen der Verbindung wird dann über einen Assistenten durchgeführt.

Abbildung 8.70 Suchen einer Freigabe im Netzwerk

Im Feld Laufwerk wird der nächste verfügbare Laufwerksbuchstabe angezeigt, für Netzwerke werden die Buchstaben dabei von Z: an abwärts vergeben, um nicht mit den lokalen Buchstaben, die von C: an aufwärts vergeben werden, zu kollidieren. Falls Sie einen bestimmten Buchstaben verwenden möchten (etwa P: für ein Projektverzeichnis), so können Sie dies entsprechend abändern. In das Feld Ordner können Sie den Namen der Freigabe direkt eintragen, wenn Sie ihn kennen, ansonsten können Sie über die Schaltfläche Durchsuchen die Systeme und deren Freigaben anzeigen lassen (in der Abbildung 8.70 sehen Sie beispielsweise, dass auf dem Rechner ADMIN-PC eine Freigabe Users existiert, unter der verschiedene Unterverzeichnisse vorhanden sind). Mit dem Kontrollkästchen Verbindung bei Anmeldung wiederherstellen können Sie festlegen, ob die Laufwerksverbindung automatisch beim erneuten Anmelden wieder eingetragen werden soll. Diese Einstellung sollten Sie nur für die Verbindungen setzen, die Sie tatsächlich dauerhaft benötigen. Ist das Kontrollkästchen aktiviert, verzögert sich die Anmeldung so lange, bis die Laufwerke tatsächlich verbunden sind. Das Kontrollkästchen Verbindung mit anderen Anmeldeinformationen herstellen müssen Sie verwenden, falls Ihr lokaler Benutzeraccount auf dem anderen Server nicht bekannt ist. Diese Einstellung wird allerdings nicht beim Durchsuchen der Freigaben verwendet. Dies findet immer mit dem aktuellen Benutzerkonto und Kennwort statt.

436

Datei- und Druckfreigabe Abbildung 8.71 Einen anderen Benutzer verwenden

Mit dem Kontrollkästchen Anmeldedaten speichern kann man die hier festgelegten Einstellungen für weitere Verbindungen zu dem Server erneut nutzen, ansonsten muss man für jede Verbindung die Daten erneut eingeben.

Gespeicherte Kennwörter verwalten Die derartig verwendeten Kennwörter können über Systemsteuerung/ Benutzerkonten und Jugendschutz/Anmeldeinformationsverwaltung kontrolliert werden. Alternativ können Sie auch nach dem Eintrag Netzwerkkennwörter verwalten suchen. Diese Kennwörter werden in einem als Tresor bezeichneten Element gespeichert. Über die Links Tresor sichern und Tresor wiederherstellen kann eine Sicherungsdatei dieser Daten (Dateityp .crd) erstellt beziehungsweise restauriert werden. Aus Sicherheitsgründen muss diese Datei natürlich mit einem Kennwort gesichert werden. Damit dieses Kennwort nicht kompromittiert werden kann, muss es dabei über einen sicheren Desktop (analog einer UAC-Abfrage) eingegeben werden. Abbildung 8.72 Gespeicherte Kennwörter

8

437


Im Bereich Windows-Anmeldeinformationen sehen Sie sämtliche Systeme, für die Sie Kontoinformationen gespeichert haben und wann dies erfolgt ist. Mit den Symbolen (½) und (¼) können Sie die Details jeweils aus- und einblenden. Zu jedem System können Sie dann sehen, mit welchem Benutzernamen Sie sich an dem dortigen System angemeldet haben, mit den beiden Links direkt darunter können die Daten abgeändert (wenn sich beispielsweise das Kennwort auf dem Server geändert hat) oder entfernt werden. Auf Wunsch können Sie auch bereits vorab über den Link Windows-Anmeldeinformationen hinzufügen für einen Computer diese Daten festlegen. Wenn aus Sicherheitsgründen eine derartige Speicherung der Kennwörter verhindert werden soll, kann dies über eine Gruppenrichtlinie im Bereich Windows-Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien/Sicherheitsoptionen/Netzwerkzugriff: Speicherung von Kennwörtern nicht zulassen untersagt werden.

Freigaben per Kommandozeile verbinden Über die Kommandozeile kann mit dem Befehl net use sowohl eine Auflistung der vorhandenen Verbindungen angezeigt als auch eine neue hergestellt werden. Ohne jeglichen Parameter werden alle Laufwerke angezeigt, die über eine Netzwerkverbindung angebunden sind. Möchte man eine Verbindung herstellen, so gibt man im einfachsten Fall einfach den Befehl net use * \\server\freigabe an. Der Parameter * gibt hierbei an, dass der nächste freie Laufwerksbuchstabe verwendet wird, ansonsten muss man einen expliziten Buchstaben angeben, die Verbindung wird hierbei mit dem aktuellen Benutzernamen hergestellt. Mit weiteren Parametern kann man den Benutzernamen bestimmen, der verwendet werden soll, die genaue Erläuterung finden Sie in der Online-Hilfe mit net use /?.

Probleme beim Verbinden Generell ist es nicht möglich, mit einem Serversystem zwei Verbindungen aufzubauen, die jeweils getrennte Benutzer zur Verbindung verwenden. Versucht man eine solche zweite Verbindung herzustellen, erhält man folgende Fehlermeldung: Abbildung 8.73 Doppelte Namen sind untersagt.

Es gibt jedoch eine Möglichkeit, diese Beschränkung zu umgehen: Verbinden Sie anstelle mit dem Namen mit der IP-Adresse des Rechners.

438

Datei- und Druckfreigabe >net use * \\WIN-RVOJVLD55U6\verzeichnis /user:user Systemfehler 1219 aufgetreten. Mehrfache Verbindungen zu einem Server oder einer freigegebenen Ressource von demselben Benutzer unter Verwendung mehrerer Benutzernamen sind nicht zulässig. Trennen Sie alle früheren Verbindungen zu dem Server bzw. der freigegebenen Ressource, und versuchen Sie es erneut. >net use * \\192.168.137.219\verzeichnis /user:user Geben Sie das Kennwort für "user" ein, um eine Verbindung mit "192.168.137.219" herzustellen: Laufwerk Z: ist jetzt mit \\192.168.137.219\verzeichnis verbunden. Der Befehl wurde erfolgreich ausgeführt.

8.7.4

Freigaben kontrollieren

Es gibt verschiedene Befehle, um den Status der Freigaben zu kontrollieren beziehungsweise anzuzeigen, welche Freigaben und Dateien genutzt werden.

Freigabekontrolle mittels Computerverwatung Wenn Sie die Funktion Verwalten aus dem Kontextmenü des Computer-Eintrags im Startmenü aufrufen, können Sie unter System/Freigegebene Ordner in den drei Unterordnern die folgenden Funktionen ausführen: 왘 Freigaben – Listet die aktuell eingerichteten Freigaben auf, über das Kontextmenü lässt sich die Freigabe beenden, lassen sich die Freigabeberechtigungen einstellen und ein Explorer in dem freigegebenen Verzeichnis starten. In der Übersicht wird angezeigt, wie viele Klienten aktuell mit der Freigabe verbunden sind. Über das Kontextmenü des freien Bereiches kann auch eine neue Freigabe über einen Assistenten eingerichtet werden. Abbildung 8.74 Freigabe-Assistent

439

8

Kapitel 8 Erweiterte Netzwerkfunktionen 왘 Sitzungen – Für jede Verbindung wird angezeigt, welcher Nutzer von

welchem System aus mit einer Freigabe verbunden ist. Zudem wird angezeigt, wie viele Dateien der Benutzer geöffnet hat, wann die Verbindung hergestellt wurde und wie viel Zeit seit der letzten Aktion (Leerlaufzeit) vergangen ist. Über das Kontextmenü der Verbindung kann diese zwangsweise geschlossen werden. 왘 Geöffnete Dateien – Alle geöffneten Dateien werden angezeigt, zudem wird angegeben, in welchem Modus diese geöffnet und ob Sperren auf der Datei eingetragen sind. In Abbildung 8.75 können Sie sehen, dass nicht nur einzelne Dateien als geöffnet angezeigt werden, sondern auch die Verzeichnisse, in denen diese Dateien liegen. Abbildung 8.75 Geöffnete Dateien in der Computerverwaltung

Auflisten, welche Freigaben lokal auf dem System existieren Der Befehl net share gibt an, welche Freigaben eingerichtet sind. In der Auflistung sehen Sie den Namen der Freigabe, den die Clients verwenden, um sich zu verbinden, welche lokale Ressource freigegeben ist und einen optionalen Kommentar. Listing 8.19 Auflisten der Freigaben mit net share

>net share Name Ressource Beschreibung --------------------------------------------------------------C$ C:\ Standardfreigabe IPC$ Remote-IPC ADMIN$ C:\Windows Remoteverwaltung testdaten C:\testdaten Users C:\Users verzeichnis C:\verzeichnis Eine Freigabe Der Befehl wurde erfolgreich ausgeführt.

Ruft man den Befehl mit dem Namen einer Freigabe als Parameter auf, erhält man eine Auflistung der Freigabeberechtigungen.

440


Auflisten, welche Freigaben auf einem entfernten System existieren Mit dem Befehl net view kann angezeigt werden, welche Freigaben auf einem entfernten System existieren. Diese Angabe besagt allerdings noch nicht, dass man sich auch mit diesen Freigaben verbinden kann. >net view \\WIN-RVOJVLD55U6.mshome.net Freigegebene Ressourcen auf \\WIN-RVOJVLD55U6.mshome.net Freigabename Typ Verwendet als Kommentar --------------------------------------------------------------testdaten Platte Z: Users Platte verzeichnis Platte Eine Freigabe Der Befehl wurde erfolgreich ausgeführt.

Listing 8.20 Auflisten der Freigaben eines entfernten Systems

Im Vergleich von Listing 8.19 mit Listing 8.20 fällt auf, dass die Freigaben, deren Namen mit einem $-Zeichen enden (C$, IPC$, ADMIN$), auf dem anderen System nicht gesehen werden. Das $-Zeichen am Ende des Freigabenamens kennzeichnet eine verborgene Freigabe.

Anzeige der aktiven Verbindungen und offenen Dateien Mit den beiden Befehlen net session und net files kann angezeigt werden, welche Verbindungen zu einem System hergestellt und welche Dateien dabei geöffnet sind. Beide Befehle können nur mit administrativen Berechtigungen ausgeführt werden. >net session Computer Benutzername Clienttyp Öffn. Ruhezeit -----------------------------------------------------------------\\192.168.137.1 user 4 00:10:27

Listing 8.21 Die Befehle net files und net session

>net files ID Pfad Benutzername Anz. der Sperrungen -------------------------------------------------------------------54 C:\testdaten\ user 0 74 C:\testdaten\ user 0 150 C:\verzeichnis\ user 0 155 C:\verzeichnis\ user 0 252 C:\verzeichnis\ver1\ver2\ver3\date2.odt user 0 Der Befehl wurde erfolgreich ausgeführt.

8

Freigaben im Netz überprüfen Mit dem Programm ShareEnum aus der Sammlung von Sysinternals kann man sein komplettes Netzwerk durchsuchen und sowohl Systeme als auch die darauf freigegebenen Ordner anzeigen. Für jeden Rechner, auf dem der ausführende Benutzer administrative Berechtigungen hat, werden die Freigaben und die dafür eingetragenen Freigabeberechtigungen angezeigt. Am besten lässt es sich deswegen in einer Domäne unter dem Account eines Domänen-Administrators einsetzen.

441

Kapitel 8 Erweiterte Netzwerkfunktionen Abbildung 8.76 ShareEnum zur Netzwerkkontrolle

8.8

Offlinedateien und BranchCache

Freigaben im Netzwerk sind naturgemäß nur dann nützlich, wenn der Server, von dem man die Freigabe bezieht, auch verfügbar ist. Insbesondere Nutzer, die häufig mit einem Laptop mobil unterwegs sind, haben deshalb oft das Problem, dass sie unterwegs keinen Zugriff auf die Serverlaufwerke in der Firma haben. Bislang bestand die Lösung darin, dass man die Daten, die man unterwegs nutzen wollte, auf die lokale Platte kopierte und somit auch remote im Zugriff hatte. Das führte in der Folge zu zwei Problemen: 1. Man musste immer daran denken, die Daten lokal zu kopieren, bevor man den Laptop vom Firmennetz trennte. Vergaß man dies, hatte man unter Umständen veraltete Daten auf seinem System. 2. Sobald man Daten auf dem lokalen System bearbeitet hat, musste man bei der erneuten Verbindung mit dem Firmennetz daran denken, die geänderten Daten auch wieder in das Firmennetz zu kopieren.

8.8.1

Offlinedateien

Der erste Lösungsansatz zu diesem Problem waren die Offlinedateien. Hierbei wird für einen Teil einer Freigabe automatisch eine lokale Kopie der Dateien angelegt, die sich automatisch mit dem Original auf dem Server synchronisiert. Hierzu wird aus dem Kontextmenü eines Ordners in einer Freigabe die Aktion Immer offline verfügbar ausgewählt. Je nach Umfang der ausgewählten Dateien benötigt das System dann einige Zeit, um die lokale Kopie der Daten anzulegen. Abbildung 8.77 Eine lokale Kopie wird angelegt.

442


In der Anzeige des Explorers erkennt man den Offlinestatus am unteren Rand, wenn ein Objekt markiert ist. Zugleich gibt es am oberen Rand die Schalfläche Offlinebetrieb, mit der man die Verbindung zum Server zwangsweise unterbrechen kann. Abbildung 8.78 Offlinestatus in der Statusleiste

Betrachtet man die Eigenschaften einer Datei, die als Offline markiert wurde, erkennt man eine neue Registerkarte Offlinedateien. Auf dieser Datei kann man im oberen Teil ersehen, ob die Datei aktuell online, offline ohne Änderungen oder offline mit nicht synchronisierten Änderungen ist. Sofern die Datei online ist, kann man über das Kontrollkästchen Immer offline verfügbar das Element auch zurück in den Nur-Online-Status setzen. Normalerweise erbt ein Element automatisch den Offlinestatus seines ihn enthaltenden Containers. Abbildung 8.79 Status einer Offlineund einer Onlinedatei

8

Kontrolle der Synchronisation Kontrolliert wird der Status der Offlinedateien über das Synchronisierungscenter der Systemsteuerung (im Startmenü nach sync suchen). Im Synchronisierungscenter sieht man zunächst nur den Eintrag Offlinedateien.

443


An dieser Stelle sollen zukünftig auch Mediengeräte wie etwa ein MP3Player oder ein Smartphone erscheinen, die dann über die in Windows eingebaute Synchronisierung mit Daten versorgt werden, anstatt wie bisher eigene Software für diesen Zweck vorzuhalten. Diese Variante wird von Microsoft in Zusammenarbeit mit dem Hardware-Herstellern unter dem Namen Device Stage entwickelt, es bleibt abzuwarten, bis die ersten Geräte mit dieser Ausstattung auf dem Markt sind. Klickt man auf den Eintrag doppelt, so sieht man alle externen Systeme, von denen Offlinedateien auf dem System vorhanden sind. Für jede Freigabe können Sie sehen, wann die Synchronisation zuletzt erfolgt ist, beziehungsweise einen Fortschrittsbalken, wenn sie gerade durchgeführt wird. Positioniert man die Maus über einen der angezeigten Einträge, werden zusätzlich mögliche Fehler und Konflikte der letzten Synchronisation angezeigt. Abbildung 8.80 Status der Offlinedateien

Über die Schaltfläche Alle synchronisieren kann eine zwangsweise Synchronisation aller aufgelisteten Synchronisationspartner erreicht werden. Über das Kontextmenü eines Eintrags lässt sich dieser gezielt synchronisieren. Per Klick auf die Schaltfläche Zeitplan können Sie zusätzliche Zeitpläne für die Synchronisation der Offlinedateien festlegen. In der Aufgabenplanung (Aufgabenplanungsbibliothek/Microsoft/Windows/Offline Files, siehe den Abschnitt 15.4) können Sie nachsehen, dass es zunächst zwei Zeitpläne gibt: einer, der im Hintergrund alle sechs Stunden startet, und einer, der nach dem Anmelden eines Benutzers startet. Zunächst müssen Sie bei einem neuen Zeitplan angeben, für welchen der Synchronisationspartner der Zeitplan gelten soll. Im nächsten Schritt müssen Sie auswählen, ob Sie die Synchronisation nach Zeitplan oder nach einem Ereignis auslösen möchten. Zum Schluss müssen Sie dem Zeitplan einen Namen geben, unter dem Sie ihn später identifizieren können. Zu den hierbei möglichen Zeitplanungsoptionen lesen Sie bitte im Abschnitt 15.4 nach. Sobald der erste benutzerdefinierte Zeitplan eingetragen wurde, können Sie über die Schaltfläche Zeitplan zwischen den Aktionen Einen neuen Plan erstellen, Einen vorhandenen Plan anzeigen und bearbeiten und Einen Plan

444


löschen auswählen. Auch diese Aufgaben werden über die Aufgabenplanung ausgeführt. Allerdings werden diese Zeitpläne in einem Unterordner von Aufgabenplanungsbibliothek/Microsoft/Windows/SyncCenter gespeichert.

Probleme bei der Synchronisation Probleme treten dann auf, wenn eine Datei sowohl lokal auf dem Server als auch in den Offlinedateien auf dem Client bearbeitet wurde, während die beiden Systeme keine Netzwerkverbindung miteinander hatten. Ein derartiges Problem wird als Konflikt bezeichnet und muss vom Benutzer gelöst werden. Das System bietet hierbei eine Hilfestellung, indem es die beiden Daten gegenüberstellt, sodass man entscheiden kann, welche Version der Datei man behalten möchte. Es ist auch möglich, beide zu behalten, um dann manuell zu versuchen, die Inhalte zu kombinieren. Abbildung 8.81 Konflikte bei der Synchronisation

In der Synchronisationsübersicht (siehe Abbildung 8.80) wird entsprechend unter dem jeweiligen Partner angezeigt, ob dort Konflikte aufgetreten sind. Klickt man dort auf den entsprechenden Link oder im Synchronisationscenter links auf den Eintrag Synchronisationskonflikte anzeigen, so erhält man eine Auflistung der betroffenen Dateien und kann dort über das Kontextmenü für jede Datei versuchen, den Konflikt zu lösen (siehe Abbildung 8.81). Als Alternative kann auch die Datei zukünftig ignoriert werden.

8

Abbildung 8.82 Konflikte im Synchronisationscenter

445


Offlinedateien verwalten Über den Link Offlinedateien verwalten im Synchronisationscenter erhält man die Möglichkeit, die Verwendung zu kontrollieren. Insbesondere kann man den Platz kontrollieren, der von den Offlinedateien auf der lokalen Festplatte belegt wird. Hier wird vom System ein Limit von 20 % der Größe des Datenträgers vorgesehen. Je nach Umfang des Arbeitens mit Offlinedateien kann man dieses Limit verändern. Um die Sicherheit zu erhöhen, können die Offlinedateien auch lokal (mit EFS, siehe Kapitel 13) verschlüsselt werden, da ansonsten Dateien aus dem Netzwerk ungesichert auf einem Client liegen würden.

8.8.2

BranchCache

Während Offlinedateien immer eine lokale Angelegenheit des einzelnen Rechners sind, ist BranchCache die Fortsetzung des Prinzips auf ganze Netzwerkstandorte (etwa in einem Außenbüro), die nur eine schwache oder störungsanfällige Anbindung zu einem zentralen Firmenserver haben. BranchCache unterstützt dabei zwei Betriebsarten: 왘 Verteilter Zwischenspeicher (Distributed Cache) – Alle im lokalen Netzwerk vorhandenen Systeme mit Windows 7 speichern Daten, die über die WAN-Anbindung geladen werden müssen, zwischen und tauschen sich untereinander aus, um gegebenenfalls Daten (sowohl Dateiserver als auch Webseiten) aus dem Zwischenspeicher eines lokalen Systems anstatt über die WAN-Leitung zu laden. 왘 Serverbasierter Zwischenspeicher (Hosted Cache) – Ein System auf Basis Windows Server 2008R2 bildet den zentralen Zwischenspeicher für die Zweigstelle. Alle Clients auf Windows 7-Basis fragen bei Anforderung externer Daten zunächst den Server, ob dieser die geforderten Daten zur Verfügung hat. In beiden Fällen werden nur Leseoperationen durch den Zwischenspeicher behandelt, für Schreiboperationen findet immer ein Zugriff auf die originale Datenquelle statt. Im Gegensatz zu den Offlinedateien, bei denen immer sofort eine lokale Kopie der angeforderten Daten angelegt wird, werden im BranchCache nur Dateien abgelegt, die auch tatsächlich genutzt werden. Dies verringert die Nutzung der WAN-Leitung. Technisch gesehen werden größere Inhaltsdateien (ab 64 KByte Größe) zunächst auf Serverseite ersetzt durch eine Folge von Hash-Werten für einzelne Teilbereiche der Datei. Dies wird als Content Metadata bezeichnet. Diese Hash-Werte werden an den anfragenden Klienten übertragen. Findet dieser die entsprechenden Hash-Werte in seinem BranchCache, so verzichtet er auf die Übertragung der kompletten Datei und verwendet stattdessen die lokale Kopie. Die Server, auf die zugegriffen werden kann, müssen sowohl als Webserver als auch als Dateiserver unter Windows Server 2008R2 betrieben werden. Außerdem ist dort die Generierung dieser Metadaten zu aktivieren. Nur an Clients, die in ihrer Anfrage an den Server bekannt geben, dass sie BranchCache verstehen (also Systeme mit Windows 7 oder Windows Server 2008R2), werden zunächst die Metadaten gesendet. Alle ande-

446

Heimnetzgruppe

ren Systeme bekommen sofort die Daten. Aktiviert wird der BranchCache entweder per netsh oder über eine Gruppenrichtlinie. Die Standardeinstellung ist, die Funktion nicht zu nutzen. Um das Modell des verteilten Zwischenspeichers zu verwenden, dürfen sich maximal 50 Systeme an dem Zwischenspeicher beteiligen, und diese dürfen sich auch nur in einem Subnetz befinden.

8.9

Heimnetzgruppe

Bislang mussten Benutzer zum Zugriff auf Ressourcen eines anderen Systems immer dort auch über Benutzername und Kennwort verfügen. Dies erforderte bei vielen verschiedenen Benutzern in einer Arbeitsgruppe auch entsprechend viel Aufwand, wenn eines dieser Kennwörter geändert werden musste. Um in diesem Fall den Aufbau eines Netzwerks zu vereinfachen, hat Microsoft in Windows 7 das Konzept der Heimnetzgruppe (Home Group) eingeführt. Diese Funktion ist in allen Editionen verfügbar, wobei es unter Windows 7 Starter und Windows 7 Home Basic nur möglich ist, einer bestehenden Heimnetzgruppe beizutreten, selbst aber keine aufstellen können. Systeme mit Windows Vista oder älter können nicht Mitglied einer Heimnetzgruppe sein, hier muss auf die klassische Dateifreigabe zurückgegriffen werden. Problem bei der Vernetzung im Heimbereich sind zwei sich eigentlich widersprechende Tatsachen: 1. Auf den lokalen Systemen existiert meist nur ein lokaler Benutzer, dem meist kein Kennwort zugewiesen ist. 2. Die Netzwerkfunktionen von Windows verlangen die Angabe eines Benutzers mit Kennwort, wenn über das Netzwerk zugegriffen werden soll. Um beide Voraussetzungen zu erfüllen, wurde folgende Lösung implemen- Kenn' ich dich? tiert: Grundlage des Sicherheitsmodells sind der verborgene Nutzer HomeGroupUser$ und dessen Gruppe HomeUsers. Bei der Gründung einer Heimgruppe werden sowohl der Benutzer als auch die Gruppe eingerichtet, zudem wird ein gemeinsames Kennwort der Heimnetzgruppe bestimmt. Ab dann kann jeder Computer, der dieses Kennwort kennt, in die Heimgruppe aufgenommen werden. Dieses Kennwort wird initial beim ersten System, das eine neue Heimnetzgruppe begründet, automatisch generiert und dem Begründer der Gruppe angezeigt. Alle Computer, die danach das Steuerelement der Heimnetzgruppe aufrufen, bekommen sofort angezeigt, dass bereits eine Heimnetzgruppe existiert, und werden gefragt, ob sie beitreten möchten. Die Gründung einer zweiten Heimnetzgruppe im gleichen Subnetz ist nicht möglich. Sobald dann ein System in der Heimnetzgruppe auf die Ressource eines anderen Systems zugreifen will und der lokale Benutzer des ersten Systems auf dem zweiten System nicht bekannt ist, wird die Verbindung über den Benutzer HomeGroupUser$ hergestellt.

447

8

Kapitel 8 Erweiterte Netzwerkfunktionen Listing 8.22 Verbindung über den unbekannten Benutzer

>net session Computer Benutzername Clienttyp Öffn. Ruhezeit -------------------------------------------------------------------\\192.168.0.97 HomeGroupUser$ 5 00:00:08 Der Befehl wurde erfolgreich ausgeführt.

Abbildung 8.83 Eine Heimnetzgruppe existiert. Wollen Sie beitreten?

Auch später noch kann dieses angezeigt werden, indem man dazu auf den Link Heimnetzgruppen- und Freigabeoptionen im Netzwerk- und Freigabecenter klickt und dann den Eintrag Kennwort ... anzeigen oder drucken auswählt. An gleicher Stelle kann auch ein neues Kennwort vergeben werden. Abbildung 8.84 Das Kennwort der Heimnetzgruppe

Sofern bei einem Computer der Heimnetzgruppe dieses Kennwort geändert wird, müssen die anderen Systeme in der Gruppe diese Änderung manuell nachträglich durchführen. In der Statusanzeige der Heimnetzgruppe bekommen diese eine entsprechende Mitteilung angezeigt. Dies unterscheidet die Heimnetzgruppe von der Domäne, in der Kennwortänderungen automatisch verbreitet werden.

448

Heimnetzgruppe Abbildung 8.85 Das Kennwort der Heimnetzgruppe wurde geändert.

An gleicher Stelle können die Benutzer auch angeben, welche ihrer Bibliotheken standardmäßig für die Heimnetzgruppe freigegeben werden sollen. Dies zeigt auch, dass mit einer Heimnetzgruppe die Sicherheit eines Systems recht stark aufgeweicht wird, da mit dieser Einstellung die NTFS-Berechtigungen auf allen angegebenen Bibliotheken für die Gruppe HomeUsers auf Lesen gesetzt werden. In dieser Gruppe sind aber nicht nur die über das Netz zugreifenden Benutzer enthalten, sondern auch alle lokal auf dem System angelegten Benutzer. Dieses Dialogfeld der Heimnetzwerkfreigabe müssen alle Benutzer aufrufen, die ihre Bibliotheken freigeben wollen. Am Anfang werden nur die Bibliotheken des Benutzers, der die Gruppe einrichtet, mit Ausnahme seiner Dokumente, freigegeben. Standardmäßig erfolgt die Freigabe schreibgeschützt. Möchten Sie die Daten auch zum Schreiben freigeben, müssen Sie dies über die bekannten Freigabemechanismen durchführen (siehe den Abschnitt 8.7.1 ab Seite 428). Diese Freigabepolitik hat Ähnlichkeit mit einer Privatwohnung, in der die einzelnen Mitglieder untereinander die Zimmertüren nicht abschließen. Jeder kann sich der Mediensammlung der anderen bedienen, der private Schriftverkehr wird aber trotzdem abgeschlossen aufbewahrt.

8.9.1

8

Keine Heimnetzgruppe möglich

Eine Heimnetzgruppe kann nur eingerichtet werden, wenn die Netzwerklokation auf Privat eingestellt ist. In den anderen Profilen ist diese Möglichkeit nicht gegeben. Das Kennwort der Heimnetzgruppe ist nicht identisch mit dem Kennwort des Benutzers HomeGroupUser$. Ein Versuch, sich mit diesem Benutzernamen und Kennwort von einem Windows XP- oder Windows Vista-System aus an einer Freigabe anzumelden, gelingt nicht. Mit diesen Systemen muss man also mit der klassischen Freigabe und einem vorhandene lokalen Benutzer arbeiten.

449


8.10 Netzwerkdrucker Ab einer bestimmten Größe werden Drucker nicht mehr lokal an einem Computer angeschlossen, sondern verfügen über einen direkten Netzanschluss. Für kleinere Modelle gibt es auch sogenannte Druckserver, die die Kopplung zwischen dem Druckeranschluss (parallel oder USB) und dem Netzwerk herstellen. Zur Kommunikation mit dem Netzwerk unterstützten diese Systeme meist viele unterschiedliche Protokolle. Die wichtigsten abseits der üblichen Freigabemechanismen sind LPR/LDP (Line Printer Remote Protocol/Line Printer Daemon Protocol) und IPP (Internet Printing Protocol), wobei LPR das ältere der beiden ist. Abbildung 8.86 Ein Druckserver mit Weboberfläche

Auf der Kontrolloberfläche des Druckservers in Abbildung 8.86 können Sie sehen, dass das Gerät sowohl LPR als auch IPP unterstützt, während die Druckmethoden AppleTalk und NetWare deaktiviert wurden. Zusätzlich ist auch noch das Drucken über die Windows Datei- und Druckerfreigabe (SMB) möglich. Eine ähnliche Möglichkeit zur Konfiguration bieten heute eigentlich alle netzwerkfähigen Drucker und Druckserver, weil die Konfiguration über die wenigen Bedienelemente des Druckers für die vielfältigen Möglichkeiten nicht möglich beziehungsweise nur umständlich durchzuführen ist. Um mit einem derartigen Drucker zu arbeiten, müssen Sie ihn speziell hinzufügen, da diese Netzwerkdrucker nicht über die normalen Suchoperationen im Netzwerk gefunden werden. Klicken Sie dazu im Assistenten Drucker hinzufügen zunächst auf die Option Einen Netzwerk-, Drahtlos- oder Bluetoothdrucker hinzufügen und dann auf die Schaltfläche Beenden, um die erfolglose Suche abzubrechen, und schließlich auf Der gesuchte Drucker ist nicht aufgeführt.

450

Netzwerkdrucker Abbildung 8.87 Netzwerkdrucker anschließen

왘 IPP – Für einen Anschluss per IPP geben Sie im Feld Freigegebenen Dru-

cker über den Namen auswählen die Konfiguration ein, wie sie vom Netzwerkdrucker vorgegeben ist. Für den hier verwendeten Druckserver wäre dies http://192.168.0.220:631/lpt1. Nähere Angaben entnehmen Sie bitte dem Handbuch zum Drucker oder Druckserver. 왘 LPR – Für diese Variante müssen Sie zunächst nur die IP-Adresse oder den Namen des Druckservers angeben, Windows 7 versucht dann festzustellen, von welchem Typ das Gerät ist. Für eine ganze Reihe von Typen bietet es bereits fertige Einstellungen und gegebenenfalls auch besondere Konfigurationsoptionen. Im Zweifelsfall verwenden Sie einfach die Option Generic Network Card.

8

Abbildung 8.88 Welcher Druckserver kann es denn sein?

451


Sobald die Verbindung mit dem Drucker hergestellt wurde, erscheint das übliche Auswahldialogfeld für den passenden Druckertreiber. Zum Abschluss kann eine Testseite gedruckt werden. Auf dieser sind auch die Einstellungen des Druckeranschlusses ersichtlich. Abbildung 8.89 Testseite des Netzwerkdruckers

Wie wird gedruckt?

Den Unterschied zwischen LPR und IPP sieht man bei den Eigenschaften des jeweiligen Druckeranschlusses. Während sich bei LPR nur der Druckmodus auswählen lässt (RAW oder LPR), mit dem sich das System mit dem Drucker verbindet, kann man bei IPP auch (sofern vom IPP-Gerät gefordert) eine Anmeldung mittels Benutzername und Kennwort vornehmen.

Abbildung 8.90 Eigenschaften eines IPP-Anschlusses

Die Anbindung des Druckers per LPR bietet die Möglichkeit, diesen Drucker, der sich im Netzwerk befindet, genauso wie einen lokalen Drucker freizugeben, sodass auch für andere Systeme, die nicht mit LPR drucken können, der Drucker benutzbar ist. Bei IPP ist dies nicht möglich. Auch wenn LPR keine Authentisierung auf Benutzerebene unterstützt, so bieten die Druckserver doch meist eine Möglichkeit, das Drucken auf verschiedene IP-Adressbereiche einzuschränken. Dies können Sie dazu nutzen, um den LPR-Drucker nur für ein System anzubieten und dort dann eine Freigabe nur für spezielle Benutzer einzurichten.

452

Netzwerkdrucker Abbildung 8.91 Einen Netzwerkdrucker freigeben

8.10.1

Zusätzliche Netzwerkdruckdienste

Über die Systemsteuerung können Sie die beiden Windows-Funktionen Druck- und Dokumentendienste/LPD-Druckdienst und Druck- und Dokumentendienste/LPR-Anschlussmonitor hinzufügen. Damit erhalten Sie folgende zusätzliche Funktionen: 왘 LPD-Druckdienst – Sämtliche aktuell vorhandenen Drucker werden über das LPR-Protokoll freigegeben. Andere Systeme können so auf die angeschlossenen Drucker zugreifen, auch ohne dass diese explizit freigegeben werden. In die Firewall wird bei der Installation automatisch eine entsprechende Regel eingetragen. Diese sollte man anpassen, da sie zunächst keinerlei Einschränkungen beinhaltet. 왘 LPR-Anschlussmonitor – Die von Unix her bekannten Anwendungen lpr.exe (Ausdruck einer Datei auf einen LPR-Drucker) und lpq.exe (Statusabfrage eines LPR-Druckers) werden installiert. >lpr -S admin-pc -P bro test.txt >lpq -S admin-pc -P bro -lst.txt Windows LPD-Server Drucker \\192.168.137.1\bro

Listing 8.23 Ausdruck mit lpr, Statusabfrage mit lpq

Besitzer Status Auftragsname Auftragk. Größe Seiten Priorität ------------------------------------------------------------------jochenr-adm Warten test.txt 4 843 0 1

Zwar kann Windows 7 auch ohne die Komponente LPR-Anschlussmonitor auf LPR-Druckern drucken, jedoch kann man die Programme lpr.exe und lpq.exe einfacher in eigene Skripte einbauen.

453

8


8.11 WLAN sicher konfigurieren WLAN hat sich in den vergangenen Jahren zur Boomtechnik im Netzwerkbereich überhaupt entwickelt. Und dies insbesondere im privaten Umfeld, in dem die Versorgung von Wohnungen mit Kabelkanälen und doppelten Böden mit Bodentanks zur verdeckten Verlegung der notwendigen Kabel eher selten ist. Die Möglichkeit, auf Kabel zu verzichten, birgt allerdings auch die Gefahr, dass sich über die Funkübertragung auch ungebetene Gäste mit dem eigenen Netzwerk verbinden.

8.11.1

Was keine WLAN-Sicherheit ist

Das folgende Teilkapitel ist angelehnt an den Text The six dumbest ways to secure a wireless LAN (Die sechs dümmsten Wege, ein WLAN zu sichern) von George Ou (siehe Google). Der Text ist zwar schon vier Jahre alt, aber was damals geschrieben wurde, gilt heute immer noch. 1. MAC-Filterung – Jede Netzwerkkarte wird bei ihrer Produktion mit einer eindeutigen Kennung versehen, genannt MAC-Adresse (siehe das Programm arp in Abschnitt 8.2.3 ab Seite 381). Bei einem WLANZugangspunkt kann man nun eine Liste all derjenigen MAC-Adressen hinterlegen, denen man Zugang gewähren will. Das Problem hierbei ist, dass man zum einen diese Kennung bei den meisten Adaptern auch per Software setzen und sich andererseits die Adressen, die zugelassene Adapter verwenden, per Funk auslesen lassen kann. Jemand, der in das WLAN eindringen möchte, muss also zunächst nur ein Weilchen den Funkverkehr belauschen, um eine gültige MAC-Adresse zu finden. 2. SSID verstecken – Jeder WLAN-Zugangspunkt sendet eine Kennung aus. Diese Kennung ist quasi dessen Name und wird als SSID (Service Set Identifier) bezeichnet. Sucht man mit einem normalen Rechner mit WLAN-Karte im Umfeld nach Netzwerken, wird diese SSID angezeigt, damit man das gewünschte Netzwerk auswählen kann (siehe Abbildung 8.94). Diese Kennung wird allerdings vom WLAN auf insgesamt fünf verschiedene Weisen ausgesendet (beacon, probe request, probe response, association request und reassociation request). Nur die erste Methode wird bei der Unterdrückung der SSID tatsächlich ausgeschaltet. Mit spezieller WLAN-Prüfsoftware (WLAN-Sniffer) kann man problemlos auch derartige verstecke Funkzellen aufspüren. 3. LEAP und EAP-FAST – Diese beiden Protokolle wurden von Cisco entwickelt, um eine stärkere Verschlüsselung für den Zugang zu ihren WLAN-Produkten zu erreichen. Leider sind aber sowohl LEAP (Lightweight Extensible Authentification Protocol) als auch dessen Nachfolger EAP-FAST (Extensible Authentication Protocol – Flexible Authentication via Secure Tunneling) zum einen auf Cisco-Produkte beschränkt und zum anderen auch nicht sicher vor kryptografischen Angriffen. Die verwendeten Kennwörter können heutzutage relativ einfach errechnet werden. 4. DHCP abschalten – DHCP dient dazu, einem Client eine dynamische IP-Adresse zusammen mit Verwaltungsinformationen zu übermitteln. Indem man den DHCP-Server abschaltet, versucht man, diese Informa-

454

WLAN sicher konfigurieren

tion vor einem Angreifer zu verbergen. Dieser kann sich diese Information allerdings leicht aus abgefangenen Funksendungen zusammensuchen oder einfach erraten. 5. Antenne umbauen – Funkwellen werden über eine Antenne abgestrahlt. Erreichen die Funkwellen den Empfänger nicht, kann dieser nicht das Netz angreifen. Es hat nun allerdings wenig Zweck, die Antenne des WLAN möglichst zentral zu setzen und die Sendeleistung zu reduzieren, um einem Angreifer von außen den Zugriff zu verwehren. Der Angreifer hat immer noch eine stärkere Antenne, die er nutzen kann. Der Weltrekord für eine WLAN-Verbindung liegt momentan bei 382 km. 6. 803.11a oder Bluetooth verwenden – Hat nichts mit Sicherheit zu tun, sondern beschreibt nur andere Funkübertragungsvarianten, die sich im Protokoll und in den verwendeten Frequenzen vom normalen WLAN unterscheiden.

8.11.2

Wie man ein WLAN sichern kann

Die einzige Möglichkeit, ein WLAN abzusichern, besteht darin, dass der Funkverkehr verschlüsselt wird und sich die Clients am System anmelden müssen. Das erste dieser Verfahren war WEP (Wired Equivalent Privacy – Privatsphäre wie bei Drahtverbindungen). Der Datenverkehr wurde zwischen Client und Zugangspunkt mit einem Kennwort verschlüsselt. Nur ein Client mit dem richtigen Kennwort ist in der Lage, eine Datenverbindung aufzubauen. Allerdings kann dieser Schlüssel inzwischen sehr leicht aus aufgefangenen Datenpaketen errechnet werden. Bei einem normal genutzten Netzwerk ist dies inzwischen in wenigen Minuten möglich. Der Nachfolger von WEP war WPA (Wi-Fi Protected Access). Hierbei wurden zum einen kryptografisch stärkere Verfahren verwendet (dynamisches Wechseln der Schlüssel), zum anderen konnte man sowohl direkt einen festen Schlüssel definieren, den alle Clients gleichzeitig verwenden (PSK, Pre Shared Key – Vorab verteilter Schlüssel), zum anderen konnte man einen externen Server mit der Überprüfung der Kennwörter beauftragen (RADIUS-Server, Remote Authentication Dial-In User Service – Authentifizierungsdienst für sich einwählende entfernte Benutzer). Auf diese Weise war es möglich, dass jeder Benutzer eines Accesspoints seinen eigenen Schlüssel verwenden konnte. Der Nachfolger von WPA war dann WPA2, bei dem nochmals stärkere Verschlüsselungsverfahren verwendet wurden.

8

Jede Verschlüsselung ist nur so gut wie das Kennwort, das dafür verwendet wird. Gerade WLAN-Kennwörter, die man nicht permanent eingeben muss, sollten somit bei einem PSK-gestützten Verfahren nicht zu einfach sein. Immerhin erlauben WPA und WPA2 eine Länge von bis zu 63 Zeichen. Es gibt im WWW eine ganze Reihe von Seiten, die Kennwörter beliebiger Länge generieren, zudem bieten viele WLAN-Router die Option, ein sicheres Kennwort automatisch zu generieren.

455


8.11.3

Eigenschaften eines WLAN-Adapters

Ruft man über das Netzwerk- und Freigabecenter die Eigenschaften eines WLAN-Adapters auf, erkennt man im Vergleich mit einem kabelgebundenen Adapter sowohl eine Anzeige der aktuellen Signalqualität als auch eine Schaltfläche Drahtloseigenschaften.

Abbildung 8.92: Eigenschaften eines WLAN-Adapters

Die angezeigten Werte bei der Schaltfläche Drahtloseigenschaften beziehen sich immer auf das jeweils aktive Funknetzwerk, das auf dem linken Dialogfeld in Abbildung 8.92 unter dem Eintrag Kennung (SSID) vermerkt ist. Für jedes erkannte Netzwerk, mit dem sich das System verbindet, können also die Einstellungen getrennt vergeben werden. Auf der Registerkarte Verbindung können Sie angeben, ob Sie sich mit dem aktuellen Netzwerk automatisch verbinden möchten, sobald dieses Netzwerk in Reichweite ist. Diese Einstellung empfiehlt sich für Netzwerke, mit denen man häufiger in Kontakt steht, etwa dem WLAN im Büro oder zu Hause. Falls das Netzwerk keine Kennung sendet, können Sie trotzdem die Verbindung erzwingen. Mit dem Link Dieses Netzwerkprofil auf ein USBFlashlaufwerk kopieren können Sie auf einfache Weise weitere Systeme (ab Windows XP) mit den gleichen Zugangsdaten konfigurieren. Die Daten werden dabei zusammen mit einem Setup-Programm auf einen USB-Stick kopiert, sodass beim nächsten System die Daten automatisch per Autostart integriert werden. Auf diese Weise können auch beispielsweise WLANDrucker mit dem Netz verbunden werden. Auf der Registerkarte Sicherheit können Sie das zu verwendende Protokoll zur Anmeldung an den Accesspoint einstellen. Windows 7 unterstützt hier alle gebräuchlichen Methoden. Sie sollten immer WPA2 in Ihrem WLAN verwenden. Viele WLANGeräte bieten auch einen Modus an, in dem sowohl WPA als auch WPA2 unterstützt werden. Sofern Sie keine Systeme einsetzen, die nur WPA unterstützten, sollten Sie hier einstellen, dass ausschließlich WPA2 verwendet wird.

456

WLAN sicher konfigurieren

Abhängig vom eingestellten Sicherheitstyp stehen nur bestimmte Verschlüsselungstypen zur Auswahl, was hier gewählt wird, richtet sich nach den Einstellungen des WLAN-Zugangspunktes. Auf Wunsch kann das eingegebene Kennwort bei PSK (Personal-Verfahren) im Klartext angezeigt werden. Bei den Enterprise-Verfahren ist eine ganze Reihe weiterer Konfigurationsdaten anzugeben. Die genauen Werte ergeben sich hierbei aus dem Aufbau des jeweiligen Netzwerkes. Abbildung 8.93 Erweiterte Einstellungen der EnterpriseAuthentisierungen

8.11.4

Mit einem WLAN Verbindung aufnehmen

Sofern man mit einem Netzwerk einen Kontakt herstellen möchte, mit dem Funk finden man bislang noch keine Verbindung hatte, muss man zunächst im Netzwerk- und Freigabecenter den Link Neue Verbindung oder neues Netzwerk einrichten aufrufen. Sofern das Netzwerk seine SSID sendet, wählen Sie Verbindung mit dem Internet herstellen, ansonsten wählen Sie Manuell mit einem Drahtlosnetzwerk verbinden aus und klicken auf Weiter. Im zweiten Schritt wählen Sie dann Drahtlosverbindung aus. Sie bekommen nun eine Liste sämtlicher Netzwerke angezeigt, die aktuell von Ihrem System empfangen werden. Wenn Sie mit der Maus über die einzelnen Netzwerksymbole fahren, werden in einem Popup-Fenster weitere Informationen über den Verschlüsselungstyp angezeigt. Sobald Sie eines der Netzwerke mit der Maus anklicken, bekommen Sie die Schaltfläche Verbinden angezeigt und ein Kontrollkästchen, das Ihnen anbietet, die Verbindung mit diesem Netzwerk in Zukunft automatisch wieder herzustellen. Sobald Sie auf die Schaltfläche Verbinden klicken, bekommen Sie, je nach Sicherheitseinstellung des Netzwerkes, noch ein Dialogfeld zur Eingabe des Kennworts angezeigt.

8

457


Möchten Sie sich mit einem Netzwerk verbinden, das bereits bekannt ist, wählen Sie im Netzwerk- und Freigabecenter die Option Verbindung mit einem Netzwerk herstellen aus. Sie bekommen wieder die Liste der empfangenen Netzwerke angezeigt. Ist ein Netzwerk mit der Einstellung Automatisch verbinden dabei, wird die Verbindung automatisch hergestellt. Abbildung 8.94 Unverbundene (links) und bekannte (rechts) WLAN

Sofern das dann verbundene Netzwerk noch nicht bekannt ist, erscheint das Dialogfeld zur Auswahl des Netzwerkstandortes.

458

9

Drucken und Faxen

Das Thema „Drucken“ gehört in jedem Netzwerk zu den zentralsten Themen. Und auch das Thema „Faxen“ spielt in den meisten Unternehmen noch eine wichtige Rolle, selbst wenn heute der Versand von Faxen zugunsten des Versands von E-Mails immer weiter zurückgeht. Dieses Kapitel beschreibt neben den technischen Grundlagen die Möglichkeiten, die es unter Windows 7 zur Einrichtung und zur Konfiguration lokaler Drucker gibt. Erleichtert wird die Verwaltung von Druckern bei Windows 7 durch die Druckverwaltungskonsole. Dabei werden auch die Einsatzmöglichkeiten von Windows 7 als Druckserver vorgestellt. Anschließend lernen Sie in einem eigenen Abschnitt die Faxfunktion von Windows 7 kennen.

9.1

Grundlagen und Terminologie des Druckens

Wenn ein Benutzer einem Administrator mitteilt, dass sein „Drucker“ nicht funktioniert, meint er damit das Gerät, das vor ihm steht und aus dem zu diesem Zeitpunkt kein Papier herauskommt. Für den Administrator ist dies jedoch längst nicht so eindeutig, denn dieser unterscheidet bei der Druckansteuerung zwischen logischen und physischen Druckern. Wichtig für das Verständnis ist es, wie das kleine Beispiel zeigt, sich zunächst mit der Terminologie und den grundlegenden Mechanismen des Druckens vertraut zu machen.

459

Kapitel 9 Drucken und Faxen

9.1.1

Wichtige Komponenten und Begriffe

Bei allen aktuellen Windows-Betriebssystemen werden die folgenden Begriffe verwendet: Logische und physische Drucker Das Hardwaregerät, das zur Druckausgabe dient, wird als physischer Drucker oder auch als Druckgerät bezeichnet. Drucker und Druckgeräte

Der Begriff Drucker oder logischer Drucker steht hingegen für die Software-Schnittstelle zwischen dem Betriebssystem und dem Druckgerät. Diese Schnittstelle legt die Druckparameter fest und bestimmt, wie ein Dokument zu einem Druckgerät gelangt (über einen lokalen Port oder über Netzwerkverbindungen). Logische Drucker werden unter Windows mit der Installation eines Druckertreibers eingerichtet. Ein einzelner logischer Drucker kann mehrere Druckjobs auf verschiedene physische Drucker verteilen. Umgekehrt ist es auch möglich, dass mehrere logische Drucker letztendlich ein einziges Druckgerät benutzen. Unter Novell NetWare und Unix werden derartige logische Drucker als Drucker-Warteschlangen bezeichnet. In der Terminologie von Windows bezeichnet eine Warteschlange hingegen eine Gruppe von Dokumenten, die auf den Ausdruck warten.

Druckausgabe in Datei

Die Trennung zwischen physischen und logischen Druckern schafft eine hohe Flexibilität, da es damit möglich ist, einen logischen Drucker für die Druckausgabe zu verwenden, ohne dass ein physischer Drucker angeschlossen ist, beispielsweise bei offline geschalteten Druckgeräten. Anwendung findet dieses Verfahren auch bei der Druckausgabe in eine Datei. Druckertreiber Druckertreiber sind Programme, die eine Software-Schnittstelle zwischen den Anwendungen und dem Betriebssystem auf der einen Seite und der (spezifischen) Sprache des Druckgeräts andererseits definieren. Sie übersetzen die Informationen, die vom Computer gesendet werden, in für den Drucker verständliche Befehle. Jedes Druckgerät benötigt einen eigenen Druckertreiber. Dieser ist erforderlich, da jeder Drucker über eigene Besonderheiten, wie beispielsweise doppelseitige Druckausgabe, spezielle Papierformate oder Optimierungen, verfügt.

DruckertreiberDateien

460

Druckertreiber sind jedoch keine einzelnen Dateien, sondern ein ganzes Paket von Dateien, das mindestens die folgenden Dateitypen beinhaltet: 왘 Konfigurationsdatei Sie dient zur Anzeige der Dialogfelder Eigenschaften und Einstellungen beim Konfigurieren eines Druckers. Diese Datei hat die Dateinamenerweiterung .dll. 왘 Datendatei Diese Datei liefert Informationen über die Leistungsdaten, wie Auflösung, Unterstützung von beidseitigem Druck, Papierformate u.a. Diese Datei hat die Datennamenerweiterung .dll, .pcd, .gpd oder .ppd.

Grundlagen und Terminologie des Druckens 왘 Treiberdatei

Diese Datei übersetzt DDI-Befehle (Device Driver Interface) in für den Drucker verständliche Befehle. Jeder Treiber ist für die Übersetzung einer anderen Druckersprache zuständig. Die Datei Pscript.dll beispielsweise übersetzt in die Druckersprache PostScript. Diese Datei hat die Dateinamenerweiterung .dll. Diese Dateien arbeiten zusammen. Wird ein neuer Drucker eingerichtet, durchsucht die Konfigurationsdatei die Datendatei und zeigt die verfügbaren Druckeroptionen an. Beim Drucken durchsucht dann die Grafiktreiberdatei die Konfigurationsdatei nach den gesetzten Einstellungen, um die entsprechenden Druckerkommandos zu erstellen. Druckspooler Spooling bedeutet, dass der Inhalt eines Druckauftrags als Datei auf die Festplatte geschrieben wird und dort bis zum Ende der Druckausgabe erhalten bleibt. Auf diese Weise wird sichergestellt, dass Druckvorgänge auch dann gespeichert und gedruckt werden, wenn der physische Drucker nicht verfügbar ist oder es zu Strom- und/oder Hardware-Ausfällen kommt. Diese Datei wird als Spool-Datei bezeichnet. Beim Despooling wird die SpoolDatei gelesen und ihr Inhalt an den physischen Drucker gesendet. Standardmäßig werden die Spool-Dateien im Verzeichnis %Systemroot%\System32\ Spool\Printers gespeichert. Die Aufgabe des Spoolers besteht darin, Druckaufträge entgegenzunehmen, zu verarbeiten, die zeitliche Steuerung dafür zu übernehmen und sie zu verteilen. Der Druckspooler selbst besteht wiederum aus einer Reihe Komponenten und dynamischer Bibliotheken (.dll-Dateien), u.a. dem Druckrouter, dem lokalen Druckanbieter, dem Remotedruckanbieter und dem Sprachund Anschlussmonitor. Druckmonitore Der Ausdruck Druckmonitor wird für die Beschreibung von zwei Arten von Druckmonitoren verwendet: Sprachmonitor und Anschluss- bzw. Portmonitor. Ein Sprachmonitor wird benötigt, wenn der Drucker bidirektionales Dru- Sprachmonitor cken unterstützt, d.h., eine beidseitige Kommunikation zwischen dem Drucker und dem Spooler auf dem Druckserver existiert. Der Spooler kann dann auf die Konfigurations- und Statusinformationen des Druckers zugreifen. Der wichtigere Monitor ist der Anschlussmonitor, der den E/A-Anschluss Anschlusszum Drucker steuert. Ein Druckeranschluss ist eine Schnittstelle, über die ein monitor Drucker mit einem Computer kommuniziert. Die Auswahl eines Anschlusses hängt davon ab, wie der Drucker an den Computer oder das Netzwerk angeschlossen ist. Ist der Drucker physisch an den Computer angeschlossen, sind die entsprechenden lokalen Anschlüsse (LPT1 bis LPT3 für parallele und COM1 bis COM4 für serielle Anschlüsse) zu wählen. Wenn ein Client auf einem Druckeranschluss File druckt, wird nach dem Dateinamen gefragt, und die Ausgabedatei wird auf dem Client-Computer gespeichert.

461

9


Druckjobs/Druckaufträge Druckjobs oder Druckaufträge stellen Quelltexte für den Drucker dar. Sie enthalten sowohl die auszugebenden Daten als auch Befehle für ihre Verarbeitung im Rahmen dieser Ausgabe. Sie werden nach Datentypen klassifiziert. Einige Datentypen legen fest, dass der Spooler den Druckauftrag modifiziert, beispielsweise durch das Anhängen einer Trennseite, bei anderen Datentypen bleibt der ursprüngliche Auftrag unverändert. GDI

Rendering und Graphical Device Interface Rendering bezeichnet die Umsetzung von Druckbefehlen einer Anwendung in Befehle, die der physische Drucker verstehen und direkt verarbeiten kann. Die grafische Geräteschnittstelle von Windows (GDI: Graphical Device Interface) für die Ausgabe von Anwendungsdaten auf dem Bildschirm oder einem Druckgerät übernimmt die von einer Anwendung gesendeten Dokumentinformationen, ruft den für das Druckgerät zuständigen Druckertreiber auf und erzeugt auf diese Weise einen Druckauftrag in der Druckersprache des Geräts. Dieser wird dann an den Druckspooler weitergeleitet.

9.1.2

Der Druckprozess im Überblick

Der Druckprozess unter Windows ist ein modularer Prozess, der die folgenden Schritte umfasst: Clientvorgänge

1. Ein Benutzer veranlasst in einer Anwendung die Druckausgabe eines Dokuments. Im ersten Schritt ruft die Anwendung die Funktionen der grafischen Geräteschnittstelle (GDI) auf, die ihrerseits den für den physischen Zieldrucker zuständigen Druckertreiber abfragt. Mithilfe der von der Anwendung stammenden Dokumentinformationen führen die GDI und der Treiber einen Datenaustausch durch und übertragen so den Druckauftrag in die Druckersprache des Druckers. Spoolprozess 2. Die GDI-Schnittstelle leitet den Druckauftrag an den Spooler weiter. Dieser ruft seinerseits den Druckrouter Spoolss.dll auf. Der Router übergibt den Druckauftrag der lokalen Druckunterstützung (Localspl.dll), die ihrerseits für das eigentliche Spooling, d.h. das Zwischenspeichern der Druckdaten auf der Festplatte, sorgt. 3. Der Druckauftrag wird bei Bedarf modifiziert. Die lokale Druckunterstützung fragt die installierten Druckprozessoren ab und übergibt den Auftrag an den ersten Druckprozessor, der sich für den Datentyp des Druckauftrags zuständig erklärt. Dieser nimmt gegebenenfalls Anpassungen, wie beispielsweise das Anhängen eines Seitenvorschubs oder das Erzeugen einer Bitmap, vor. 4. Der Trennseiten-Prozessor bekommt den Druckauftrag übergeben und stellt den Daten eine Trennseite voran (falls angegeben). Druckervorgänge 5. Der Druckauftrag wird an den Druckmonitor weitergegeben. Der Auftrag wird an einen geeigneten Druckeranschlussmonitor gesendet. Wenn das Druckgerät mit bidirektionaler Kommunikation arbeitet, kommt hier zuerst ein Sprachmonitor zum Einsatz, der die Kommunika-

462

Drucker installieren und im Netzwerk bereitstellen

tion mit dem Druckgerät abwickelt und dann den Druckauftrag einem Portmonitor übergibt. Bei physischen Druckern mit unidirektionaler Kommunikation geht der Druckauftrag dagegen direkt an den Portmonitor, der für die Übertragung der Daten an den physischen Drucker oder an einen anderen Server sorgt. 6. Das Druckgerät erhält die Daten in seiner Druckersprache, generiert daraus eine Bitmap und gibt diese auf Papier (oder ein anderes Medium) aus.

9.2


Frühere Windows-Versionen enthalten einen Ordner Drucker, der die zentrale Verwaltungsschnittstelle für Drucker und Faxgeräte darstellt. In Windows 7 wurde der Ordner Drucker durch den Ordner Geräte und Drucker ersetzt. Hiermit können alle an den PC angeschlossenen Peripheriegeräte verwaltet werden. Abbildung 9.1 Zentrale Verwaltung aller Peripheriegeräte im Dialogfeld Geräte und Drucker

9

Das Aussehen und die Funktionsweise der neuen Option Geräte und Drucker ist zwar unterschiedlich, aber es werden auch weiterhin alle wichtigen

463


Aufgaben im Zusammenhang mit dem Drucken ausgeführt, für die früher der Ordner Drucker verwendet wurde. Hier sind zum einen alle im System registrierten Drucker und Faxgeräte (lokale Drucker und Netzwerkdrucker) zu finden, und zum anderen können u.a. Drucker hinzugefügt bzw. Drucker und Druckaufträge verwaltet werden. Am schnellsten erfolgt der Zugriff auf das Dialogfeld Geräte und Drucker durch Auswahl der entsprechenden Option im Startmenü oder durch Eingabe des Begriffs Drucker im Suchfeld des Startmenüs und anschließende Auswahl der Option Geräte und Drucker.

9.2.1

Installation lokaler Drucker

Aktuelle Druckgeräte mit USB-, FireWire- oder Infrarot-Anschluss, die während des laufenden Betriebs an den Rechner angeschlossen werden können, erkennt Windows 7 automatisch. Dank dieser Plug&Play-Unterstützung erweist sich die Einrichtung eines lokalen Druckers in der Regel als einfacher Vorgang, der keinerlei Benutzereingriff erfordert. Drucker manuell installieren

In Einzelfällen kann es erforderlich sein, einen Drucker manuell einzurichten, beispielsweise wenn Windows 7 keinen Treiber für den Drucker findet oder das Druckgerät am parallelen Port angeschlossen ist, der kein Plug&Play unterstützt. Ausführliche Erläuterungen zur Installation von Geräten und Treibern sowie Hinweise zum Umgang mit Treiberproblemen finden Sie in Kapitel 3. Einen lokalen Drucker installieren Sie wie folgt: 1. Wählen Sie im Systemsteuerungsbereich Hardware und Sound/Geräte und Drucker die Option Drucker hinzufügen. 2. Um einen lokalen Drucker zu installieren, ist in dem ersten Dialogfeld die Option Einen lokalen Drucker hinzufügen zu wählen.

Abbildung 9.2 Installation eines lokalen Druckers mithilfe des Druckerinstallations-Assistenten

464


3. Im nächsten Schritt ist der Port auszuwählen, an den das Druckgerät angeschlossen ist. Mit dem Druckerport, den Sie während der Installation oder später dem Drucker zuordnen, legen Sie fest, wie Druckdaten aus dem logischen Drucker weiterverarbeitet werden: ob sie zur Ausgabe an einen physischen Drucker weitergeleitet oder ob sie in eine Datei oder an ein Fax weitergegeben werden. Lokal angeschlossene Druckgeräte verwenden meist den LPT1-Port. Bei Windows 7 steht darüber hinaus mit dem XPSPort ein zusätzlicher lokaler Anschluss zur Verfügung (siehe dazu den Abschnitt 9.3.3 ab Seite 459). Abbildung 9.3 Auswahl des Anschlusses bei Installation eines lokalen Druckers

Soll die Druckausgabe in eine Datei erfolgen, müssen Sie den Anschlussport FILE: auswählen. Bei installiertem Microsoft Office 2007 ist auch die Ausgabe als PDF-Dokument oder in OneNote möglich. Bei der Druckausgabe erhält der Benutzer in diesem Fall die Aufforderung, einen Pfad und Dateinamen anzugeben. Bei Auswahl des Anschlussports zur Ausgabe in eine Datei ist zu beachten, dass die Datei mit dem für den Port definierten Druckertreiber generiert wird. Der Drucker, auf dem die Datei letztendlich gedruckt wird, sollte deshalb zum gewählten Treiber kompatibel sein. Im Übrigen ist es meist einfacher, aus der Anwendung heraus in eine Datei zu drucken. Dies wird von den meisten Anwendungen unterstützt.

9

4. Nach der Festlegung des Anschlusses muss das Druckermodell bzw. der Hersteller ausgewählt werden. In der angezeigten Liste finden Sie die von Windows 7 standardmäßig unterstützten Druckertreiber, welche die Informationen zur Hardware und zu der internen Sprache eines bestimmten Druckers enthalten, sowie alle bis zu diesem Zeitpunkt installierten Druckertreiber. Falls das verwendete Druckermodell in der Liste fehlt, können Sie den passenden Treiber auch von einem Datenträger installieren, mit Win-

465


dows Update über das Internet nach neuen Treibern suchen oder einen Treiber von der Website des Herstellers herunterladen. In diesem Fall ist die Option Datenträger zu wählen, um den Speicherort für die Druckertreiberdatei anzugeben. Standardmäßig signierte Treiber

Abbildung 9.4 Auswahl des Druckerherstellers und -modells

Treiber auswählen

Bei den im Lieferumfang von Windows 7 enthaltenen Treibern handelt es sich ausschließlich um signierte Treiber. Versuchen Sie, den unsignierten Treiber eines Herstellers zu installieren, müssen Sie dies zusätzlich bestätigen. p

5. Ist ein Druckertreiber für das Modell bereits installiert, erfolgt eine Rückfrage, ob der momentan verwendete Treiber beibehalten oder ein neuer Treiber installiert werden soll. Liegt ein aktuellerer Treiber vor, können Sie diesen wählen. 6. Geben Sie anschließend einen Namen ein, unter dem der Drucker gefunden werden soll. Außerdem kann bereits hier der Drucker als Standarddrucker festgelegt werden.

Abbildung 9.5 Festlegung des Druckernamens

7. Damit sind alle Informationen vollständig, und Windows 7 installiert den Drucker.

466


8. Damit aber ist der Assistent zur Druckerinstallation noch nicht abgeschlossen. In weiteren Dialogfeldern besteht die Möglichkeit, den Drucker im Netzwerk zur gemeinsamen Verwendung freizugeben und eine Testseite zu drucken. o

Abbildung 9.6 Drucker im Netzwerk freigeben

Nicht immer wird die Installation eines Druckers problemlos möglich sein. Treiberprobleme Kann Windows 7 ein Gerät nicht erkennen oder treten Probleme mit der beheben Installation des Treibers auf, wird das Gerät im Geräte-Manager als Problemgerät unter Andere Geräte aufgeführt und mit einem Ausrufezeichen gekennzeichnet. Der Gerätestatus liefert dabei eine Beschreibung des Problems und einen Fehlercode. In der Mehrzahl der Fälle liegt ein Problem mit dem Treiber vor, beispielsweise weil kein Treiber gefunden werden konnte oder weil ein Treiber installiert wurde, der für eine frühere Windows-Version entwickelt wurde. Versuchen Sie in diesem Fall zunächst, einen aktuellen Treiber über Windows Update zu laden. Hierzu kann im Kontextmenü des Gerätes die Option Treibersoftware aktualisieren auf der Registerkarte Treiber verwendet werden. Bei der automatischen Suche durchsucht Windows auch das Windows Update-Treiberrepository im Internet, sofern die entsprechende Funktion in den Geräteinstallationseinstellungen aktiviert wurde. In einigen Fällen kann es erforderlich sein, den Aktualisierungsprozess mehrfach durchzuführen. Die Aktualisierung eines Treibers ist auch erforderlich, wenn ein Treiber akzeptiert und installiert wurde, das Gerät aber nur eingeschränkt mit diesem Treiber funktioniert. Bleibt die Suche erfolglos, sollte versucht werden, vom Hersteller einen kompatiblen Treiber oder Software zu erhalten. Steht für ein Problemgerät kein neuer Treiber zur Verfügung, bleibt noch die Möglichkeit, einen Windows XP-, bzw. Windows Vista-Treiber im Kompatibilitätsmodus zu installieren. Hierbei handelt es sich um eine spezielle Funktion, die es ermöglicht, Anwendungen, d.h. in diesem Fall dem Treiberinstallationsprogramm ein anderes Windows-Betriebssystem vorzugaukeln, als tatsächlich installiert ist. Für die Anwendung verhält sich Windows 7 dann so wie ein älteres Windows-Betriebssystem, d.h. wie beispielsweise Windows XP oder Windows Vista. Nähere Informationen zum Umgang mit Problemen bei der Installation von Geräten finden Sie in Kapitel 2.

467

9


9.2.2

Mit einem Netzwerkdrucker verbinden

In einem Unternehmensnetzwerk spielt der Einsatz lokaler Drucker eine meist untergeordnete Rolle. Stattdessen werden die Druckgeräte gemeinsam im Netzwerk genutzt. Zu den häufigsten Aufgaben gehört deshalb die Herstellung einer Einbindung zu einem im Netzwerk freigegebenen Drucker. Die Verbindungsherstellung kann auf unterschiedliche Art und Weise erfolgen. Die wichtigsten Möglichkeiten werden im Folgenden erläutert.

Einrichtung in der Netzwerkumgebung im Windows-Explorer Sehr einfach kann eine Verbindung zu einem Netzwerkdrucker in der Netzwerkumgebung im Windows-Explorer hergestellt werden, vorausgesetzt der Name des Druckservers ist bekannt. Nach Auswahl des Servers, der den gewünschten Drucker verwaltet, werden mithilfe der Option Remotedrucker anzeigen alle verfügbaren Drucker des gewählten Druckservers angezeigt. Um einen Drucker einzubinden, genügt es, die Option Verbinden im Kontextmenü zu wählen. Treiber automatisch übernommen

Falls auf dem Clientrechner noch kein Druckertreiber vorhanden ist, bezieht er ihn direkt vom Druckserver, vorausgesetzt der passende Treiber für das Clientsystem wurde dort bereitgestellt. Die Installation eines neuen Treibers erfordert hingegen erhöhte Rechte und muss daher bestätigt werden, was an dem Sicherheitssymbol erkennbar ist.

Abbildung 9.7 Die Installation des Druckertreibers muss bestätigt werden.

Netzwerkdrucker mithilfe des Assistenten installieren Da in Unternehmensnetzwerken für Benutzer meist der Zugriff auf die Netzwerkumgebung gesperrt ist, entfällt zumindest für diese häufig die erste Möglichkeit. Arbeitsschritte

468

Alternativ kann der Druckerinstallations-Assistent verwendet werden: 1. Wählen Sie beispielsweise im Windows-Explorer oder in dem Dialogfeld Geräte und Drucker die Option Drucker hinzufügen. 2. Um eine Verbindung mit einem Netzwerkdrucker herzustellen, muss die zweite Option Einen Netzwerk-, Drahtlos- oder Bluetooth-Drucker hinzufügen gewählt werden.


3. Das System durchsucht dann das Netzwerk nach freigegebenen Druckern und listet diese auf. 4. Ist der gesuchte Drucker nicht in der Liste enthalten, sollte die Option Der gesuchte Drucker ist nicht aufgeführt verwendet werden. Im folgenden Dialogfeld kann der Drucker anhand unterschiedlicher Kriterien (Freigabename, IP-Adresse u.a.) ermittelt werden. Ist der Rechner Teil einer Domäne, kann der Drucker auch in Active Directory mit der Option Einen Drucker im Verzeichnis anhand des Standorts oder der Druckerfunktion suchen gesucht werden. Die Suche kann nicht mit verschiedenen Kriterien eingegrenzt werden. 5. Ist der Drucker in der Liste vorhanden, genügt es, den Druckernamen zu bestätigen und anzugeben, ob der Drucker als Standarddrucker verwendet werden soll. 6. Falls auf dem Clientrechner noch kein Druckertreiber vorhanden ist, bezieht er ihn direkt vom Druckserver, vorausgesetzt der passende Treiber für das Clientsystem wurde dort bereitgestellt (beachten Sie hierzu die Ausführungen in Kapitel 3).

Abbildung 9.8 Auswahl des gewünschten Netzwerkdruckers im Druckerinstallations-Assistenten

9

469


Standarddrucker festlegen Die Möglichkeit, einen Standarddrucker festzulegen, ist nicht neu. Bereits in früheren Windows-Versionen kann ein Drucker als bevorzugter Drucker ausgewählt werden. Dieser wird dann immer automatisch verwendet, wenn kein anderer Drucker gewählt wird, und ist in allen Anwendungen die Standardeinstellung. Im Ordner Geräte und Drucker ist der Standarddrucker mit einem grünen Symbol gekennzeichnet. Soll der Standarddrucker geändert werden, ist dies jederzeit durch Aktivierung der entsprechenden Option im Kontextmenü des gewünschten Druckers möglich. Drucken am Aufenthaltsort

Windows 7 bietet nun mit der neuen Funktion Drucken an Aufenthaltsort die Möglichkeit, den Standarddrucker automatisch umzustellen, wenn festgestellt wird, dass der Rechner sich in einem anderen Netzwerk befindet. Möglich wird dies mithilfe eines Dienstes namens NLA – Network Location Awareness. Dieser sammelt und speichert Konfigurationsinformationen für das Netzwerk und benachrichtigt Programme, wenn diese Informationen geändert werden. Für jedes Netzwerk kann deshalb ein eigener Standarddrucker festgelegt werden, und wenn sich das Netzwerk ändert, ändert Windows den Standarddrucker. Für die Verwendung dieser Funktion kann die Option Standarddrucker verwalten im Kontextmenü eines beliebigen Druckers verwendet werden. Nach Aktivierung der Option Beim Ändern des Netzwerks den Standarddrucker ändern kann für jedes aufgelistete Netzwerk ein gesonderter Standarddrucker konfiguriert werden. Aufgelistet wird hier jedes Netzwerk, zu dem mindestens einmal eine Verbindung hergestellt worden ist.

Steht nur auf mobilen Rechnern zur Verfügung

Allerdings gibt es einige Einschränkungen. Zum einen steht die Funktion nur in den Premium-Editionen von Windows 7 zur Verfügung, und zum anderen muss es sich bei dem Rechner um ein Notebook oder ein anderes tragbares Gerät mit einem Akku handeln. Auf Desktoprechnern fehlt die genannte Option.

9.2.3

Windows 7-Client als Druckserver einrichten

Auch wenn Windows 7 als Druckserver in Unternehmensnetzen nur selten genutzt wird, darf das Thema an dieser Stelle nicht fehlen. Es gibt grundsätzlich zwei Möglichkeiten, Drucker in einem Netzwerk für die gemeinsame Nutzung bereitzustellen: 왘 Ein lokal an einem Rechner (Arbeitsplatzrechner oder Server) angeschlossener Drucker kann über das Netzwerk freigegeben werden, um anderen Benutzern den Zugriff zu ermöglichen. 왘 Ein Netzwerkdrucker wird mit einer eigenen Netzwerkkarte direkt ans Netzwerk angeschlossen und ist dort für alle erreichbar. Diese Druckgeräte müssen nicht physisch an einen Druckserver angeschlossen sein, können aber ebenfalls von diesem verwaltet werden. Der Aufstellungsort spielt in diesem Fall keine Rolle, sofern das Druckgerät netzwerktechnisch erreichbar ist.

470


Windows 7 unterstützt beide Möglichkeiten. Lokal an einen Windows 7Rechner angeschlossene Druckgeräte können im Netzwerk freigegeben werden. In diesem Fall fungiert der Windows 7-Rechner als Druckserver und verwaltet eine gemeinsam genutzte Druckerwarteschlange für alle Rechner, die auf den am Druckserver installierten Drucker zugreifen dürfen. Zusätzlich können Drucker mit eigenem Netzanschluss über eine Druckerwarteschlange auf einem als Druckserver fungierenden Windows 7Rechner freigegeben werden.

Drucker auf einem Windows 7-Rechner freigeben Die einfachste Variante, einen Drucker im Netzwerk zu nutzen, ist die Freigabe eines an einen Rechner angeschlossenen Druckers nach Abschluss von dessen Installation. 1. Öffnen Sie im Systemsteuerungsbereich Geräte und Drucker, und wählen Sie im Kontextmenü des Druckers, den Sie freigeben wollen, die Option Druckereigenschaften und anschließend die Registerkarte Freigabe. 2. Für die Verwaltung von Druckerfreigaben sind administrative Rechte erforderlich, daher müssen nach Auswahl der Option ggf. noch der Name und das Kennwort eines berechtigten Benutzers angegeben bzw. der Vorgang bestätigt werden. 3. Aktivieren Sie auf der Registerkarte Freigabe das Kontrollkästchen Drucker freigeben, und tragen Sie einen Freigabenamen ein. Werden im Netzwerk noch ältere Betriebssysteme genutzt, sollten Sie den Freigabenamen aus Gründen der Kompatibilität auf acht Zeichen beschränken und auch keine Leer- und Sonderzeichen verwenden. 4. Ist der Computer Teil einer Active Directory-Domäne, ist zusätzlich Drucker veröfdas Kontrollkästchen Im Verzeichnis anzeigen verfügbar. Damit kann fentlichen der Drucker in Active Directory veröffentlicht werden. Abbildung 9.9 Drucker auf einem Windows 7-Rechner freigeben

9

471


Freigegebene Drucker werden mit einem Freigabe-Gruppensymbol in der Liste der Drucker gekennzeichnet.

Netzwerkdrucker einrichten Windows 7 kann alternativ auch für Drucker, die nicht an einen Rechner, sondern mit eigener Netzwerkkarte direkt ans Netz angeschlossen sind, als Druckserver fungieren. Diese Möglichkeit bietet sich für kleinere Netzwerke an, die mehrere physische Drucker, aber keinen Server im Einsatz haben. LPR

Für die Einbindung von Netzwerkdruckern über das TCP/IP-Protokoll bietet Windows 7 (wie auch die Vorgängerversionen) Unterstützung für LPRAnschlüsse. LPR (Line Printer Remote-Dienst) ist ein Protokoll der TCP/ IP-Protokollfamilie und wurde ursprünglich als Standard für die Übertragung von Druckaufträgen zwischen Computern unter Berkeley Unix entwickelt. Der LPR-Anschlussmonitor dient in erster Linie zum Einbinden von Druckern, die auf Unix-Druckservern bereitgestellt werden. Standard-TCP/IP-Port einrichten Windows 7 bietet jedoch noch eine Alternative zu LPR-Anschlüssen. Der zusätzliche Portmonitor, der seit der Version Windows 2000 verfügbar ist, wird als Standard-Portmonitor (SPM) bezeichnet. SPM wird standardmäßig zusammen mit TCP/IP installiert.

Standard-Portmonitor (SPM) Mithilfe des Standardmonitors (SPM) können Drucker, die über das TCP/IP-Protokoll im Netzwerk erreichbar sind und die Standards gemäß RFC 1759 einhalten, auf einem Druckserver verwaltet werden. Dieser auch als Simple Network Management Protocol (SNMP) bezeichnete Standard definiert, wie entsprechende Drucker im Netzwerk miteinander kommunizieren. Der Standardmonitor ist leistungsfähiger und besser konfigurierbar als der LPR-Anschlussmonitor, u.a. weil er SNMP einsetzt, um die Konfiguration des Zieldruckers zu lesen und dessen Status zu ermitteln. Nach Angabe der erforderlichen IP-Adresse oder des Namens des Druckservers kann die weitere Installation meist automatisch vonstatten gehen. Insofern zeichnet sich SPM auch durch eine einfache Einbindung auf Clientseite und eine vereinfachte Administration aus. Falls der SPM den Zieldrucker nicht mit den standardmäßigen TCP-Anschlüssen des SPM und SNMP konfigurieren kann, verwendet er das LPR-Protokoll, sofern dieses von dem Druckgerät unterstützt wird. Im Gegensatz zu LPR verwendet SPM standardmäßig den Anschluss 9100 als Zielanschluss und wählt nach dem Zufallsprinzip einen offenen Quellanschluss größer als 1023 aus. SPM-Drucker einrichten

472

Um einen TCP/IP-Drucker über einen Standard-TCP/IP-Port auf einem Windows 7-Rechner, der als Druckserver fungiert, einzurichten, gehen Sie folgendermaßen vor:


1. Wählen Sie im Systemsteuerungsbereich Hardware und Sound/Geräte und Drucker die Option Drucker hinzufügen. 2. Wählen Sie in dem ersten Dialogfeld die Option Einen lokalen Drucker hinzufügen. 3. Im nächsten Fenster aktivieren Sie die Option Neuen Anschluss erstellen und wählen in der Auswahlliste den Eintrag Standard-TCP/IP-Port aus. Abbildung 9.10 Einrichtung eines neuen StandardTCP/IP-Ports

4. Anschließend ist die IP-Adresse (oder der Hostname) des physischen Druckgeräts einzutragen. Der Anschlussname wird automatisch generiert, Sie können diesen jedoch ändern. Abbildung 9.11 Konfiguration eines SPM-Anschlusses

9

5. Falls ausgewählt, versucht der SPM, den Drucker abzufragen und den Treiber auf der Grundlage der von SNMP übermittelten Antworten automatisch auszuwählen. Werden das Druckermodell und verfügbare Optionen über SNMP ermittelt, erfolgt die weitere Konfiguration automatisch. Kann das ermittelte Gerät jedoch nicht bestimmt werden, fragt der Assistent die zusätzlich benötigten Informationen ab.

473

Kapitel 9 Drucken und Faxen LPR-Drucker einrichten

LPR-Port einrichten Alternativ können die beide Anschlussarten LPR Port und Standard TCP/IP Port verwendet werden. Gegenüber SMP ist deren Einrichtung aber weniger komfortabel. Damit der LPR-Port überhaupt genutzt werden kann, müssen die Druckdienste, wie nachstehend beschrieben, aktiviert werden. Andernfalls steht kein LPR-Port zur Verfügung.

Während jedoch in früheren Windows-Versionen die in Windows integrierten Programme und Funktionen installiert bzw. zum Deaktivieren auf dem Computer vollständig deinstalliert werden mussten, sind unter Windows 7 alle Funktionen auf der Festplatte gespeichert. Damit entfällt auch die Notwendigkeit für den Zugriff auf das Installationsmedium. Beim Deaktivieren wird die Funktion nicht deinstalliert, sodass sich auch der verwendete Festplattenspeicher nicht verringert. Damit ist es aber möglich, die Funktion bei Bedarf jederzeit wieder zu aktivieren. 1. Die erforderliche Option Windows-Funktionen aktivieren oder deaktivieren ist zu finden in der Systemsteuerung unter Programme und Programme und Funktionen. 2. Wählen Sie hier Druckdienste, und aktivieren Sie den LPD-Druckdienst. Wird auch die Option LPR-Anschlussmonitor aktiviert, sind automatisch auch alle freigegebenen Drucker unter Windows 7 über LPR von anderen Computern über das Netzwerk erreichbar. Als Druckername wird jeweils der Name der entsprechenden Druckerfreigabe verwendet. Abbildung 9.12 Für die Verwendung von LPR-Ports ist die Aktivierung des LPD-Druckdienstes erforderlich.

Nachdem die erforderlichen Arbeitsschritte eines der beiden zuvor beschriebenen Verfahren durchgeführt wurden, fungiert das System ganz automatisch als Druckserver. Es ist nicht erforderlich, Windows 7 explizit als Druckserver zu konfigurieren.

9.3

Druckserver, Drucker und Druckaufträge verwalten

Die im Folgenden beschriebenen Konfigurationsmöglichkeiten gelten sowohl für lokal eingerichtete Drucker als auch für Netzwerkdrucker.

474


Vorgestellt werden im Folgenden sowohl die Verwaltungsmöglichkeiten im „ klassischen“ Druckerverwaltungsdialogfeld als auch die Möglichkeiten der integrierten Druckverwaltungskonsole.

9.3.1

Druckereigenschaften konfigurieren

Im Bereich Geräte und Drucker werden alle installierten Drucker aufgeführt und können hier auch verwaltet werden. Zugriff auf die Verwaltungsoptionen der aufgelisteten Drucker ist u.a. über das Kontextmenü des betreffenden Druckers und die Option Druckereigenschaften (nicht zu verwechseln mit der Option Eigenschaften) möglich. Hier stehen umfangreiche Konfigurationsoptionen zur Verfügung, allerdings hängen die tatsächlich verfügbaren Konfigurationsmöglichkeiten vom gewählten Drucker ab. In der Regel sind die folgenden Registerkarten vorhanden: Registerkarte Allgemein Auf der Registerkarte Allgemein kann u.a. für Die Registerkareinen lokal installierten Drucker der Name geändert sowie der Standort ten im Überblick

und ein Kommentar können eingetragen werden. Weiterhin können mittels der Schaltfläche Einstellungen Feineinstellungen zu Papierformat, Papierund Druckqualität vorgenommen werden. Außerdem ist von hier aus das Drucken einer Testseite möglich. Registerkarte Freigabe Auf der Registerkarte Freigabe kann der Drucker für

die Benutzung durch andere Rechner im Netzwerk freigegeben werden. Registerkarte Anschlüsse Den Anschluss, mit dem der Drucker verbun-

den ist, konfigurieren Sie auf der Registerkarte Anschlüsse. Hier können auch neue Anschlüsse definiert bzw. vorhandene Anschlüsse gelöscht werden. Genaue Erläuterungen zur Freigabe von Druckern und zur Konfiguration neuer Anschlüsse finden Sie im Abschnitt 9.2.3 ab Seite 470. Registerkarte Geräteeinstellungen Auf der Registerkarte Geräteeinstellungen können die Standardvorgaben für bestimmte Einstellungen am Druckgerät vorgenommen werden. Abhängig vom Druckertyp können hier das Papierformat und die Papierzufuhr konfiguriert werden. Bei Farb- oder PostScript-Druckern stehen zusätzliche Optionen zur Verfügung. Registerkarte Erweitert Interessante Möglichkeiten bietet die Register-

9

karte Erweitert. Hier kann beispielsweise festgelegt werden, ob der Drucker immer oder nur zu eingeschränkten Zeiten zur Verfügung steht. Auch die Festlegung der Druckerpriorität ist möglich. Die Druckerpriorität Druckerpriorität legt die Reihenfolge fest, in der ein bestimmter Drucker im Vergleich zu anderen verfügbaren Druckern ausgewählt wird. Die Druckerpriorität legt jedoch nur die Reihenfolge fest, in der ein Drucker mehrere Druckaufträge ausführt. Ein Drucker wird die Verarbeitung eines bereits begonnenen Druckauftrags nicht unterbrechen, selbst wenn der Spooler einen Druckauftrag mit einer höheren Priorität empfängt, der für einen Drucker mit einer höheren Priorität am gleichen Anschluss bestimmt ist.

475


Die Konfiguration der Druckerpriorität ist sinnvoll, wenn mehrere logische Drucker für einen physischen Drucker definiert sind. In Zusammenhang mit unterschiedlichen Zugriffsberechtigungen kann einzelnen Benutzern damit ein bevorzugter Zugriff auf ein Druckgerät ermöglicht werden. Neuer Treiber

Weiterhin ist auf dieser Registerkarte die Installation eines neuen Druckertreibers möglich. Hierzu steht die Schaltfläche Neuer Treiber zur Verfügung.

SpoolerEinstellungen

Benutzer, die über Administratorrechte verfügen, können außerdem das Spoolen von Druckaufträgen über die Registerkarte Erweitert konfigurieren. Ein Druckauftrag kann entweder an den Spooler oder direkt an den Drucker gesendet werden. Der Spooler ist ein temporärer Speicherort auf der Festplatte, an dem der Druckauftrag so lange gespeichert wird, bis er an den Drucker abgegeben werden kann. Dadurch kann eine Anwendung einen Druckauftrag schneller abwickeln und muss nicht erst auf die Fertigstellung des Druckauftrags warten. Dies ist die Standardeinstellung. Der einzige Grund, den Spooler nicht zu verwenden, wäre Platzmangel auf der Festplatte, was bei den heutigen Festplattenkapazitäten aber kaum zum Problem werden dürfte. Druckaufträge, die an den Spooler gesendet werden, können so konfiguriert werden, dass der Drucker entweder mit dem Drucken beginnt, sobald dies möglich ist oder nachdem die letzte Seite des Druckauftrags an den Spooler gesendet worden ist. Wenn der Druckserver mit dem Spooler nicht zur Verfügung steht, kann der Druckauftrag nicht abgewickelt werden. In diesem Fall muss gewartet werden, bis der Spooler wieder verfügbar ist.

Abbildung 9.13 Konfiguration der erweiterten Druckereigenschaften

Druckprozessor und Datentypen

476

Wie die vorstehende Abbildung zeigt, können außerdem der Druckprozessor und der zu verwendende Datentyp ausgewählt werden. Der Druckprozessor übergibt den Druckauftrag an den Spooler entsprechend dem aus-


gewählten Datentyp. Beim Drucken unter Windows werden in der Regel fünf Standard-Datentypen unterstützt. Die beiden am häufigsten verwendeten Datentypen sind hierbei EMF und RAW. Gelegentlich kommt auch der Datentyp Text zum Einsatz. 왘 EMF (Enhanced Meta File) EMF ist das standardmäßig verwendete Format. Hierbei wird der Druckauftrag vom Client vor dem Spoolen vom GDI (Graphical Device Interface) und nicht wie bei RAW-Druckerdaten vom Druckertreiber erstellt. Nach dem Erstellen von EMF-Dateien wird die Steuerung an den Benutzer zurückgegeben, und die EMF-Datei im Hintergrund werden interpretiert und an den Druckertreiber übergeben. Die eigentliche Verarbeitung erfolgt damit im Spooler. Wenn der Spooler auf einem Druckserver im Netzwerk läuft, wird der lokale Client erheblich entlastet. EMF-Dateien sind besser übertragbar als RAW-Dateien. Eine EMFDatei kann auf jedem Druckgerät ausgegeben werden, wohingegen eine RAW-Datei nur auf einem Druckgerätemodell gedruckt werden kann. Darüber hinaus ist der Satz der EMF-Dateien, der alle Seiten eines Druckauftrags umfasst, kleiner als eine RAW-Datei, die denselben Druckauftrag beinhaltet. Außerdem stellt das EMF-Format sicher, dass die auf dem Client angegebenen Schriftarten den vom Druckserver verwendeten entsprechen. 왘 RAW RAW ist das Standardformat für alle Clients, die nicht unter Windows laufen. Die Daten werden nicht im Spooler geändert, sondern direkt an den Drucker übergeben. Der RAW-Datentyp teilt dem Spooler mit, dass der Druckauftrag in keiner Weise geändert werden darf und in der vorliegenden Form druckbereit vorliegt. Es werden zwei verschiedene RAW-Datentypen unterschieden: 왘 RAW [FF appended] Dieser Datentyp teilt dem Spooler mit, dass der Druckauftrag von einer Anwendung stammt, die dem Ende des Druckauftrags kein Seitenvorschubzeichen hinzufügt. Ohne einen SeitenvorschubNachspann würde die letzte Seite des Druckauftrags bei PCLDruckgeräten (PCL – Die Printer Command Language ist eine von Hewlett-Packard entwickelte Befehlssprache zum Steuern von Druckern) nicht ausgegeben werden. Der Spooler fügt dem Ende des Druckauftrags ein Seitenvorschubzeichen hinzu, führt jedoch keine weiteren Änderungen durch. Bricht ein Programm den Druckprozess ab, ohne die Seite zu füllen, wartet der Drucker auf den Abschluss. Mit dieser Option erzwingen Sie den abschließenden Umbruch. 왘 RAW [FF auto] Dieser Datentyp ähnelt dem RAW [FF appended]-Datentyp, jedoch weist der RAW [FF auto]-Datentyp den Spooler an, den Druckauftrag auf ein Seitenvorschubzeichen am Ende des Auftrags hin zu überprüfen. Ist das der Fall, unternimmt der Spooler nichts, andernfalls wird der Seitenumbruch angehängt.

9

477

Kapitel 9 Drucken und Faxen 왘 TEXT

Mit der Einstellung TEXT werden reine ANSI-Daten gesendet, die nicht vom Spooler modifiziert werden. Der Drucker gibt diese in seiner Standardschriftart aus. Dies eignet sich besonders, wenn der Druckauftrag aus einfachem Text besteht und das Druckgerät (beispielsweise ein PostScript-Drucker) Aufträge mit einfachem Text nicht interpretieren kann. Registerkarte Sicherheit Windows 7 wendet auch beim Drucken diffe-

renzierte Zugriffsrechte an, die auf der Registerkarte Sicherheit geändert werden können. Dies umfasst die Festlegung von Berechtigungen für das Drucken, das Verwalten des Druckers und das Verwalten von Dokumenten. Zusätzlich können spezielle Berechtigungen konfiguriert werden. Die hier konfigurierten Sicherheitseinstellungen gelten auch für die Nutzung des Druckers über das Netzwerk. Es gibt drei Ebenen von Druckerberechtigungen: Drucken, Dokumente verwalten und Drucker verwalten. Mit diesen drei Berechtigungsstufen sind die folgenden Rechte verbunden: Tabelle 9.1 Berechtigungsebenen für die Druckerverwaltung

Beinhaltet Berechtigung für:

Drucken Dokumente verwalten

Drucker verwalten

Dokumente drucken

Ja

Ja

Ja

Herstellen der Verbindung zu einem Netzwerkdrucker

Ja

Ja

Ja

Eigene Druckaufträge anhalten, abbrechen, erneut planen

Ja

Ja

Ja

Alle Druckaufträge anhalten, abbrechen, erneut planen oder umleiten

Nein

Ja

Ja

Verwalten von Druckern (Freigeben eines Druckers, Ändern der Druckereigenschaften u.a.)

Nein

Nein

Ja

Standardmäßig besitzen alle Benutzer als Mitglieder der Gruppe Jeder die Berechtigung Drucken. Administratoren verfügen über die Berechtigung Drucken, Drucker verwalten und Dokumente verwalten. Außerdem ermöglicht die Standardberechtigung Dokumente verwalten für die Gruppe Ersteller/Besitzer, dass Benutzer ihre eigenen Druckaufträge verwalten können. Berechtigungen zuweisen

Um den Zugriff auf einen Drucker einzuschränken, müssen die Einstellungen der Druckerberechtigungen für die ausgewählte Gruppe oder einen Benutzer geändert werden. Wenn ein Benutzer Mitglied in mehreren Gruppen ist und einer Gruppe der Zugriff auf den Drucker verweigert wird, überschreibt diese Einstellung unter Verweigern die Einstellung unter Zulassen.

478

Druckserver, Drucker und Druckaufträge verwalten Abbildung 9.14 Konfiguration von Druckerberechtigungen

Registerkarte Farbverwaltung Die Registerkarte Farbverwaltung ermöglicht die Konfiguration von Farbprofilen. Windows 7 unterstützt wie schon seine Vorgänger den ICC-Farbmanagementstandard und bietet mit dem Image Color Management (ICM) eine Schnittstelle, die dabei hilft, eine genaue und konsistente Farbdarstellung auf allen Ausgabegeräten sicherzustellen.

In der Regel unterscheidet sich die Farbausgabe zwischen Scannern, Bildschirmen, Druckern oder Anwendungen. Ohne ein Standard-Farbverwaltungssystem würden die Ergebnisse hinsichtlich der Farbdarstellung zwischen Programmen und der Ausgabe auf den verschiedenen Hardwarekomponenten sehr unterschiedlich ausfallen. Ein Farbverwaltungssystem hilft dabei, diese Schwierigkeiten zu umgehen, indem es standardisierte Farbprofile bereitstellt und die Erstellung zusätzlicher Farbprofile ermöglicht. Bei jedem Hinzufügen eines neuen Geräts zum Computer wird ein Farbpro- Farbprofile fil installiert, das bei allen Scan-, Anzeige- oder Druckvorgängen für Farben verwendet wird. Farbprofile übermitteln die Farbeigenschaften eines Geräts an das Farbverwaltungssystem. Die Farbverwaltung läuft standardmäßig automatisch ab, kann bei besonderen Anforderungen aber manuell konfiguriert werden, indem angegeben wird, welches Farbprofil für einen Scanner, Bildschirm oder Drucker verwendet wird. Hierfür stellt ICM eine Methode zur Auswahl alternativer Profile bereit.

9

479

Kapitel 9 Drucken und Faxen Abbildung 9.15 Konfiguration der FarbmanagementEinstellungen in den Druckereigenschaften

Weitere Registerkarten Bei einigen Druckermodellen werden weitere

Registerkarten verwendet. Abhängig vom verwendeten Drucker kann beispielsweise eine Registerkarte zur Wartung von Tintenpatronen vorhanden sein. Ein Doppelklick auf den gewünschten Drucker im Dialogfeld Geräte und Drucker öffnet das nachstehend gezeigte Dialogfeld. Mithilfe der hier verfügbaren Optionen können ebenfalls die zuvor beschriebenen Registerkarten erreicht werden. Abbildung 9.16 Verwaltungsdialogfeld eines ausgewählten Druckers

480


9.3.2

Druckaufträge verwalten

Neben der Verwaltung von Druckern und Druckservern gehört die Verwaltung der Dokumente in einer Druckerwarteschlange zu den wichtigsten Aufgaben im Druckerumfeld. Sobald ein Druckauftrag abgeschickt ist, erscheint so lange ein kleines Dru- Druckerwarteckersymbol im Infobereich der Taskleiste, bis der Druckauftrag an den schlange verwalSpooler weitergeleitet wurde. Gibt es dabei Probleme, wird dem Symbol ten ein rotes Fragezeichen hinzugefügt. Mit einem Doppelklick auf das Symbol kann die Druckerwarteschlange geöffnet werden. Alternativ kann die Druckerwarteschlange auch durch Auswahl von Geräte und Drucker im Startmenü und Auswahl der Option Druckaufträge anzeigen geöffnet werden. Im Kontextmenü jedes zu druckenden Dokuments befinden sich Optionen, mit denen der Druckvorgang für das einzelne Dokumente angehalten, fortgesetzt oder abgebrochen werden kann. Zusätzlich können im Eigenschaftendialogfeld des Druckauftrags die Priorität und dessen Zeitplan modifiziert werden. Andere Eigenschaften können zwar eingesehen, aber nicht bearbeitet werden. Abbildung 9.17 Optionen zur Verwaltung eines in der Druckerwarteschlange stehenden Dokuments

Darüber hinaus können druckerbezogene Aufgaben durchgeführt werden. So ist es u.a. möglich, alle Druckaufträge gleichzeitig zu löschen oder den Drucker als Standarddrucker festzulegen.

9.3.3

XPS-Datenaustauschformat

Die XML Paper Specification (XPS) ist ein plattformübergreifendes Daten- Was ist XPS? austauschformat, das Microsoft als direktes Konkurrenzprodukt zum PDFDateiformat von Adobe platzieren möchte. XPS ist wie PDF eine Seitenbeschreibungssprache, die es erlaubt, alle für das Erscheinungsbild eines Dokumentes relevanten Komponenten in eine einzige Datei verpackt zu transportieren. Dazu werden alle Komponenten des XPS-Dokuments, d.h. die Inhalte Grafiken, Farbe und Schriftarten, getrennt in Form eines ZipArchivs verwaltet. Alle neuen Office-Formate sind nach demselben Prinzip organisiert.

9

Aus diesem Grund genügt es, bei einem XPS-Dokument den Dateinamen von .xps in .zip zu ändern, um direkten Zugriff auf alle Komponenten des Dokumentes zu haben. Die im Dokument enthaltenen Bilder befinden sich zum Beispiel im Verzeichnis Resources.

481

Kapitel 9 Drucken und Faxen Abbildung 9.18 Inhalt einer XPS-Datei

XPS-Dokumente erstellen Bereits seit Windows Vista stellt Microsoft die Werkzeuge zur Erstellung von XPS-Dokumenten kostenfrei zur Verfügung. So lassen sich XPS-Dokumente sehr einfach aus jeder Anwendung über den mit Windows 7 mitgelieferten Druckertreiber oder direkt aus einer Office 2007-Anwendung mithilfe der Option Speichern unter erstellen. XPS-Drucker

Der XPS-Drucker (auch als XPS-Dokument-Generator bezeichnet) wird standardmäßig unter Windows 7 eingerichtet und steht wie jeder andere Drucker in den Anwendungen zur Verfügung. Der Vorgang der Erstellung entspricht dem Drucken in eine Datei, es muss lediglich ein Speicherort angegeben werden.

XPS-Viewer

Zur Anzeige von XPS-Dokumenten ist ein XPS-Viewer erforderlich. Dieser arbeitet mit dem Internet Explorer zusammen und wird bei Windows 7 automatisch eingerichtet.

Abbildung 9.19 Der XPS-Drucker ist bei Windows 7 standardmäßig installiert.

Microsoft XPS Essentials Pack

482

Bei Windows XP und Windows Server 2003 kann die XPS-Tauglichkeit durch die Installation von .NET Framework 3.0 nachgerüstet werden. Alternativ zu .NET Framework gibt es auch die Möglichkeit, mittels des Microsoft XPS Essentials Packs nur die XPS-Funktionen nachzurüsten [XPS-VIEW].


Das Microsoft XPS Essentials Pack Version 1.1 unterstützt die Anzeige, Erstellung und Indizierung von XLM-Dateien. Enthalten sind der XPSViewer zum Anzeigen von XPS-Dokumenten und der Microsoft XPS Document Writer zum Erstellen von Dokumenten im XPS-Format. Die Version 1.1 kann unter Windows XP, Windows Server 2003 und Windows Vista installiert werden. Abbildung 9.20 Beispieldokument im XPS-Viewer von Windows 7

Zwei Optionen innerhalb des Viewers verdienen besondere Aufmerksamkeit: Digitale Signaturen und Berechtigungen.

XPS-Dokumente digital signieren Mithilfe einer digitalen Signatur wird die Integrität eines Dokuments sichergestellt und gewährleistet, dass das Dokument nach dem Signieren nicht geändert wurde. Zum digitalen Signieren eines Dokuments ist ein digitales Zertifikat erforderlich.

9 Abbildung 9.21 Signieren eines XPS-Dokuments bestätigen

483


Festlegen von Berechtigungen für ein XPS-Dokument Mittels der Option Berechtigungen im XPS-Viewer kann festgelegt werden, wer ein XPS-Dokument anzeigen, drucken, kopieren oder digital signieren kann. Um die Sicherheit zu verbessern, lässt sich zudem festlegen, wie lange jede Person das Dokument anzeigen oder ändern kann. Der XPS-Viewer wendet Dokumentberechtigungen mithilfe der WindowsTechnologie der Rechteverwaltungsdienste (RMS) an. RMS-basierte Berechtigungen werden zusammen mit dem Dokument gespeichert und sind immer wirksam, unabhängig davon, wo das Dokument gespeichert oder angezeigt und für wen es freigegeben wird. Zum Festlegen von Berechtigungen für ein XPS-Dokument muss zusätzlich ein WindowsRechtekontozertifikat (RAC) auf den Computer heruntergeladen werden. Über die Verwaltung von Informationsrechten (Information Rights Management: IRM) und die Möglichkeit zur Vergabe von Bearbeitungsrechten innerhalb des Dokuments kann der Ersteller eines solchen festlegen, ob andere Benutzer es lesen, bearbeiten oder nur kommentieren dürfen. Hierbei können auch einzelne Bereiche freigegeben und nur bestimmten Benutzern oder Gruppen Rechte eingeräumt werden. IRM basiert auf Zertifikaten, die entweder von einem Zertifikatserver oder vom Microsoft Passport-Dienst zur Verfügung gestellt werden können.

9.3.4

Zentrale Druckerverwaltung mit der Druckverwaltungskonsole

Bereits mit der in Windows Server 2003 R2 eingeführten Print Management Console (PMC) hat Microsoft ein Management-Konsolen-Snap-in für die zentrale Verwaltung von Druckern und Druckservern eingeführt. In Windows 7 ist diese Konsole unter dem Namen Druckverwaltung zu finden. Die erforderlichen administrativen Berechtigungen vorausgesetzt, können mit der Druckverwaltung alle Druckserver und Drucker von zentraler Stelle aus verwaltet werden. Die Konsole bietet Zugriff auf alle installierten Drucker, die auf Druckservern mit Windows 2000 oder höher ausgeführt werden. Zentrale Verwaltung aller Druckserver

484

Administratoren können damit u.a. zentral neue Drucker und Druckertreiber hinzufügen und vorhandene Drucker löschen. Neue Drucker können unter Verwendung der automatischen Erkennungsfunktion von entfernten Systemen aus installiert werden. Diese Funktion ermittelt Drucker im lokalen Subnetz und installiert Drucker auf dem lokalen Druckserver. Wenn ein Druckermodell ein Webinterface zur Verwaltung zur Verfügung stellt, können erweiterte Informationen zur Fehlerbehebung bereitgestellt und Fehler eingegrenzt werden.

Druckserver, Drucker und Druckaufträge verwalten Abbildung 9.22 Die Konsole Druckverwaltung ermöglicht die zentrale Verwaltung von Druckservern, Druckern und Druckaufträgen.

Druckserver verwalten Standardmäßig wird der lokale Rechner als Druckserver eingefügt, weitere können jederzeit der Druckverwaltungskonsole mithilfe der Option Server hinzuzufügen/entfernen im Kontextmenü zum Eintrag Druckverwaltung hinzugefügt werden. Jedem Druckserver werden automatisch vier Objekte zugeteilt, die als Filter für Informationen über den Drucker dienen: 왘 Treiber 왘 Formulare 왘 Anschlüsse 왘 Drucker Alternativ können zur Verwaltung von Treibern, Formularen und Anschlüssen, wie auch bei den Vorgängerversionen, die jeweiligen Registerkarten im Eigenschaftendialogfeld des Druckservers verwendet werden. Abbildung 9.23 Druckserver verwalten

9

485


Anpassungen sind vor allem bei auftretenden Problemen erforderlich. Hierbei zählen Probleme mit der Spooldatei oder mit der Formularverwaltung zu den häufigsten. In vielen dieser Fälle können Änderungen in der Konfiguration des Druckservers helfen. Registerkarte Formulare Auf der Registerkarte Formulare befinden sich alle Papierformate, die der Druckserver generell über seine freigegebenen Drucker anbieten kann. Zu den standardmäßig vorhandenen Formularen können mithilfe der Option Neues Formular eigene Formulare definiert werden, die dann von den Benutzern des freigegebenen Druckers im Netzwerk verwendet werden können. Dabei besteht die Möglichkeit, nicht nur die Papiergröße, sondern auch den bedruckbaren Bereich festzulegen. Wegen dieser Möglichkeit der Angabe eines nicht bedruckbaren Randes (neben der eigentlichen Bogengröße) werden diese Papierformate als Formulare bezeichnet. Abbildung 9.24 Erstellung eines neuen Formulars in den DruckserverEigenschaften

Registerkarte Anschlüsse Die Registerkarte Anschlüsse ermöglicht die zentrale Verwaltung aller verfügbaren Anschlüsse. Neben der Verwaltung der lokalen Schnittstellen eignet sich dieses Dialogfeld vor allem zum Einrichten weiterer Netzwerkverbindungen, wie beispielsweise Ports zu TCP/IPDruckern. Hier können sowohl neue Anschlussports hinzugefügt als auch vorhandene gelöscht werden.

486

Druckserver, Drucker und Druckaufträge verwalten Abbildung 9.25 Verwaltung von Anschlüssen in den Druckserver-Eigenschaften

Registerkarte Treiber Auf der Registerkarte Treiber werden alle Treiber

aufgelistet, die bislang auf dem Rechner installiert wurden, auch wenn der zugehörige logische Drucker im Netzwerk wieder gelöscht wurde. Dabei werden neben dem Druckermodell und dem Typ auch verschiedene Treiber für unterschiedliche Windows-Versionen angeboten, falls ältere Rechner auch auf den Druckserver zugreifen. Abbildung 9.26 Verwaltung installierter Druckertreiber in den Druckserver-Eigenschaften

9

487


Hilfreich ist diese Funktion, um Treiber zu löschen, die nicht richtig funktionieren oder fehlerhaft installiert wurden, zumal mit dieser Funktion auch die Treiberpakete aus dem Driver Store entfernt werden können (ausführliche Erläuterungen zum Treiberspeicher finden Sie in Kapitel 3). Leider werden nämlich Drucker im Geräte-Manager nicht angezeigt, sodass die Deinstallation der Treiberdateien dort nicht möglich ist. Registerkarte Erweiterte Optionen Einige wichtige Funktionen befinden

sich auf der Registerkarte Erweiterte Optionen. So kann hier beispielsweise der Speicherort für die Spooldatei festgelegt werden. Die Druckdaten werden über den Druckspooler in Spooldateien standardmäßig im Verzeichnis %Systemroot%\system32\Spool\Printers zwischengespeichert. Außerdem kann festgelegt werden, welche Vorgänge protokolliert werden, ob bei Fehlern von Remoteaufträgen ein Signalton ausgegeben und ob Benachrichtigungen über das Beenden eines Druckauftrags für lokale und/oder Netzwerkdrucker angezeigt werden sollen. Die erste Option Informative Benachrichtigungen für lokale Drucker anzeigen zeigt ein Hinweisfenster am Bildschirm des Druckservers, die zweite Option, Informative Benachrichtigungen für Netzwerkdrucker anzeigen, zeigt ein Hinweisfenster am Bildschirm des Clients, der den Druckauftrag abgegeben hat. Abbildung 9.27 Verwaltung der Spooldatei in den DruckserverEigenschaften

Drucker und Druckaufträge verwalten Nachdem die Möglichkeiten zur Verwaltung von Druckern und Druckaufträgen bereits in Abschnitt 9.3.1 (ab Seite 475) sowie in Abschnitt 9.3.2 (ab Seite 481) vorgestellt wurden, werden an dieser Stelle ausschließlich die ergänzenden Möglichkeiten der Druckverwaltungs-Konsole vorgestellt. In der Struktur der Druckverwaltung gibt es drei Positionen, an denen Informationen zu Druckern gespeichert werden: Benutzerdefinierte Filter, Druckserver und Bereitgestellte Drucker.

488


Über die Kontextmenüs der Drucker kann auf alle Verwaltungsfunktionen zugegriffen werden. So lassen sich beispielsweise Drucker zur Veröffentlichung in Active Directory hinzufügen bzw. entfernen und Drucker freigeben. Abbildung 9.28 Druckerverwaltungsoptionen im Kontextmenü zum Drucker

Mithilfe des Befehls Aktion/Erweiterte Ansicht einblenden können zusätz- Druckaufträge lich im unteren Bereich des Fensters bei einem Drucker die jeweils aktuel- verwalten len Druckaufträge verwaltet werden. Abbildung 9.29 In der erweiterten Ansicht können auch Druckaufträge verwaltet werden.

9 Hervorzuheben sind die Filterfunktionen. Damit können benutzerdefi- Benutzerdefinierte Ansichten für Drucker und Treiber erstellt werden. Insbesondere nierte Filter wenn sehr viele Drucker zu verwalten sind, ist die Verwendung von gefil- definieren terten Anzeigen hilfreich. So ist es beispielsweise möglich, Drucker mit bestimmten Fehlerzuständen oder Drucker in ausgewählten Gebäuden unabhängig vom verwendeten Druckserver herauszufiltern. Alle Ansichten sind dynamisch, d.h., die Daten sind immer aktuell.

489


Mit der Druckverwaltung werden einige Standardfilter zur Verfügung gestellt: Alle Drucker, Alle Treiber, Drucker mit Aufträgen und Drucker nicht bereit. Abbildung 9.30 Standardmäßig vorhandene Filter

Zusätzlich können eigene Filter definiert werden. Um eine gefilterte Ansicht einzurichten, wählen Sie im Kontextmenü von Benutzerdefinierter Filter entweder die Option Neue Druckerfilter hinzufügen oder Neue Treiberfilter hinzufügen. Im entsprechenden Assistenten müssen Sie im ersten Schritt einen Namen für den Filter eingeben. Im nächsten Schritt sind die Filterkriterien festzulegen. Für jeden Filter, den Sie erstellen, können Sie festlegen, dass bei Erfüllen der Filterkriterien eine E-Mail-Benachrichtigung gesendet oder ein Skript ausgeführt wird. Dies ist hilfreich, wenn Sie über Druckerprobleme benachrichtigt werden möchten, insbesondere in einer Organisation mit mehreren Gebäuden und Administratoren. Zum Weiterleiten der Nachricht muss ein SMTP-Server angegeben werden. Sie können damit beispielsweise eine Ansicht für alle Drucker einrichten, die von einem bestimmten Druckserver verwaltet werden und deren Druckstatus Nicht bereit lautet. Wenn der Status eines Druckers von Bereit zu einem anderen Status wechselt, könnte der Administrator in diesem Fall eine Benachrichtigungs-E-Mail von der Druckverwaltung erhalten. Abbildung 9.31 Konfiguration benutzerdefinierter Filter

490


Drucker mit Gruppenrichtlinien bereitstellen Neben grundlegenden Druckermanagement-Funktionen bietet die Konsole die Möglichkeit festzulegen, welche Drucker über Gruppenrichtlinien für Benutzer oder Computer bereitgestellt werden. Damit ist es möglich, zentral zu steuern, welche Drucker auf welchen Clientsystemen eingerichtet werden dürfen. Mithilfe der Option Mit Gruppenrichtlinie bereitstellen im Kontextmenü der Vorgehensweise jeweiligen Drucker kann einem vorhandenen Gruppenrichtlinienobjekt in Active Directory eine Druckerverbindungseinstellung hinzugefügt werden. Bevor Sie Drucker mithilfe der Gruppenrichtlinie installieren können, muss für die Druckerverbindungseinstellungen ein Gruppenrichtlinienobjekt vorhanden sein, das den entsprechenden Benutzern und Computern zugewiesen wurde. Um das Gruppenrichtlinienobjekt zum Verwalten von Druckern verwenden zu können, benötigen Sie Schreibzugriff auf das Objekt. Zum Erstellen eines Gruppenrichtlinienobjekts können Sie den Editor für lokale Gruppenrichtlinien oder das Snap-in Active DirectoryBenutzer und -Computer bzw. die Gruppenrichtlinienverwaltungskonsole (GPMC) verwenden. Um einem Gruppenrichtlinienobjekt die Druckerverbindungseinstellung zuzuweisen, führen Sie einen oder beide der folgenden Schritte aus: 왘 Aktivieren Sie für eine Einzelbenutzereinstellung das Kontrollkästchen Die Benutzer, auf die dieses Gruppenrichtlinienobjekt angewendet wird (pro Benutzer). 왘 Aktivieren Sie für eine Einzelcomputereinstellung das Kontrollkästchen Die Computer, auf die dieses Gruppenrichtlinienobjekt angewendet wird (pro Computer). Abbildung 9.32 Drucker mithilfe von Gruppenrichtlinien bereitstellen

9

491


Zu beachten ist, dass ein Drucker, der mithilfe einer benutzerspezifischen Verbindung installiert wurde, für diesen Benutzer immer verfügbar ist, unabhängig davon, auf welchem Computer innerhalb des Netzwerks er sich anmeldet. Eine Druckerverbindung, die mit einer computerspezifischen Verbindung installiert wurde, wird hingegen im Druckerordner angezeigt und kann von allen Benutzern dieses Computers verwendet werden. Auf Computern unter Windows 2000 werden nur Druckerverbindungen für Benutzer unterstützt. Für Computerdruckerverbindungen ist eine Version von Windows XP bzw. Windows Server 2003 oder höher erforderlich. Wenn die Verarbeitung der Gruppenrichtlinien auf Client-Computern ausgeführt wird, werden die Druckerverbindungseinstellungen auf die mit dem Gruppenrichtlinienobjekt verknüpften Benutzer bzw. Computer angewendet. Die so bereitgestellten Drucker werden in der Druckverwaltung unter Bereitgestellte Drucker angezeigt, wenn der mit ihnen verbundene Druckserver überwacht wird. Die Funktion zur Bereitstellung von Druckern mittels Gruppenrichtlinien verwendet das Dienstprogramm PushPrinterConnections.exe. Dieses liest die im Gruppenrichtlinienobjekt vorgenommenen Druckerverbindungseinstellungen und fügt den Benutzern bzw. Computern, auf die das Gruppenrichtlinienobjekt angewendet wird, die bereitgestellten Druckerverbindungen hinzu. Computer unter Windows 7 und Windows Server 2008 verfügen über eine integrierte Unterstützung für über Gruppenrichtlinien bereitgestellte Druckerverbindungen. Auf Computern, auf denen eine frühere Windows-Version ausgeführt wird, muss in einem Startskript (bei computerabhängigen Verbindungen) oder in einem Anmeldeskript (bei benutzerabhängigen Verbindungen) das Tool PushPrinterConnections.exe ausgeführt werden.

9.4

Die Faxfunktionen von Windows 7

Mit Windows-Fax und -Scan bringt Windows 7 ein Programm mit, das alle erforderlichen Funktionen zum Faxen und Scannen in einer Benutzerschnittstelle vereinigt. Windows-Fax und -Scan ist nach einer Standardinstallation von Windows 7 im Startmenü unter Alle Programme zu finden. Am einfachsten kann das Programm durch Eingabe von Fax im Suchfeld des Startmenüs aufgerufen werden. Nach dem Start präsentiert sich das Programm mit der nachstehend gezeigten Begrüßungsseite.

492

Die Faxfunktionen von Windows 7 Abbildung 9.33 Begrüßungsseite von Windows-Fax und -Scan

9.4.1

Konfiguration der Faxfunktion

Grundsätzlich ist das Versenden und Empfangen von Faxnachrichten auf zwei Wegen möglich, die beide von Windows 7 unterstützt werden: 왘 Über einen Faxserver im Netzwerk 왘 Über ein lokales Faxmodem Bei einem Faxserver handelt es sich um einen Rechner mit entsprechender Hardware für den Anschluss an das Telefonnetz und einer entsprechenden Software (zum Beispiel einem Unified-Messaging-Programm) für den Versand bzw. den Empfang von Faxen. Im einfachsten Fall wird ein spezieller Druckertreiber eingerichtet, der es aus jeder beliebigen Anwendung (aus der gedruckt werden kann) ermöglicht, Faxe zu versenden. Alternativ kann ein analoges internes bzw. extern angeschlossenes Modem verwendet werden. Verfügt der Computer über ein integriertes Faxmodem, wird es von Windows automatisch während der Einrichtung erkannt. Wird ein ISDN-Modem verwendet, muss dieses in der Lage sein, mithilfe eines entsprechenden CAPI-Port-Treibers ein Modem zu emulieren. CAPI (Common ISDN Application Programming Interface) ist eine standardisierte Schnittstelle, mit deren Hilfe ein Computer Zugriff auf ISDN-Hardware bereitstellen kann, ohne dass Kenntnisse der eingesetzten, herstellerspezifischen ISDN-Karte notwendig sind.

9

Telefon- und Modemoptionen konfigurieren Bevor mit Windows-Fax und -Scan Faxe versendet bzw. empfangen werden können, müssen die Telefon- und Modemoptionen mithilfe der gleichnamigen Option im Systemsteuerungsbereich Hardware und Sound konfiguriert werden. Das nachfolgend dargestellte Dialogfeld wird geöffnet, nachdem mindestens die Ortskennzahl eingetragen wurde.

493

Kapitel 9 Drucken und Faxen Abbildung 9.34 Konfigurationsmöglichkeiten für Telefon- und Modemoptionen

Hier können zum einen die Wählregeln angepasst werden, wozu auch die Auswahl des Wählverfahrens (Ton- oder Impulswahl) zählt. TAPI-Anbieter konfigurieren

Zum anderen können die Einstellungen der auf der Registerkarte Erweitert aufgeführten Telefonanbieter angepasst oder neue TAPI-Anbieter hinzugefügt werden. TAPI (Telephony Application Programming Interface) ist eine Schnittstelle, die Anwendern die Nutzung von Modems oder ISDN ermöglicht.

Faxkonten einrichten Nachdem die erforderliche Hardware eingerichtet wurde, muss in der Anwendung Windows-Fax und -Scan mindestens ein Faxkonto für den jeweils angemeldeten Benutzer eingerichtet werden. Am einfachsten ist es, hierfür den Anweisungen im Begrüßungsfenster zu folgen und die Option Neues Fax zu wählen. Wird diese Option das erste Mal gewählt, startet automatisch der Fax-Setup-Assistent, der die Einrichtung eines neuen Faxkontos unterstützt. Die Einrichtung weiterer Faxkonten ist später jederzeit mithilfe der Option Faxkonten im Menü Extras möglich. Im Assistenten ist zunächst auszuwählen, ob ein Faxmodem oder ein Faxserver verwendet wird. Wurde bereits ein Faxkonto mit einer Verbindung eingerichtet, ist die erste Option nicht wählbar. Dies ist darin begründet, dass eine Verbindung nur zu einem lokalen Faxmodem, nicht aber zu mehreren Faxservern oder -geräten in einem Netzwerk hergestellt werden kann. Im nächsten Schritt ist ein Name für das Faxkonto zu vergeben. Anschließend kann festgelegt werden, ob mit diesem Konto auch Faxe empfangen werden sollen und wie die Benachrichtigung erfolgen soll.

494

Die Faxfunktionen von Windows 7 Abbildung 9.35 Auswahl der Faxverbindung im Fax-Setup-Assistenten

Abbildung 9.36 Einrichtung eines Faxkontos für den Faxempfang

Zur Einrichtung der beiden ersten Optionen sind Administratorrechte erforderlich, da diese die Faxeinstellungen ändern, die global für alle Benutzer gelten. Standardbenutzer ohne entsprechende Rechte müssen daher zwingend die Option Später auswählen; Fax jetzt erstellen auswählen. Hiermit wird der Computer nur für den Faxversand eingerichtet, d.h., es können Faxe gesendet, aber nicht empfangen werden, solange der Computer nicht von einem Administrator auch für den Faxempfang konfiguriert wurde. Eingerichtete Faxkonten können jederzeit mit der Option Faxkonten im Menü Extras angezeigt, bearbeitet und gelöscht werden.

9 Abbildung 9.37 Einrichtung eines Faxkontos für den Faxempfang

495


Faxeinstellungen anpassen Im Menü Extras der Faxkonsole von Windows-Fax und -Scan ist die Option Faxeinstellungen zu finden, die eine Anpassung der global für alle geltenden Faxeinstellungen ermöglicht und daher administrative Rechte erfordert. Außerdem kann hier der Rechner auch für den Faxempfang konfiguriert werden, sofern dies nicht bereits während der Einrichtung des Faxkontos geschehen ist. Abbildung 9.38 Faxeinstellungen anpassen in der Faxkonsole von Windows-Fax und -Scan

왘 Registerkarte Allgemein

Sind mehrere Modemgeräte angeschlossen, kann hier ausgewählt werden, mit welchem Modem Faxe gesendet werden sollen. Hier kann außerdem das Senden und/oder der Empfang von Faxen aktiviert werden. Für den Empfang ist anzugeben, ob der Faxanruf manuell oder automatisch entgegengenommen wird. 왘 Registerkarte Nachverfolgung Über die Registerkarte Nachverfolgung kann eingestellt werden, für welche Faxereignisse Benachrichtigungen auf dem Bildschirm ausgegeben werden sollen: 왘 Fortschritt beim Senden oder Empfangen von Faxen 왘 Erfolg oder Fehler bei ein- und ausgehenden Faxen Hier kann auch festgelegt werden, wann der Faxmonitor automatisch eingeblendet wird (beim Senden und/oder beim Empfangen von Faxen). Zusätzlich können akustische Benachrichtigungen aktiviert oder deaktiviert werden. 왘 Registerkarte Erweitert Auf dieser Registerkarte kann u.a. der Speicherort für eingehende und für verschickte Faxe festgelegt werden. Standardmäßig erfolgt die Ablage in den folgenden Ordnern:

496

Die Faxfunktionen von Windows 7

Eingehende Faxe: C:\ProgramData\Microsoft\Windows NT\MSFax\ Inbox Ausgehende Faxe: C:\ProgramData\Microsoft\Windows NT\MSFax\ SentItems 왘 Registerkarte Sicherheit Die Registerkarte Sicherheit ermöglicht es, Berechtigungen für das Versenden von Faxen sowie für die Verwaltung von Faxdokumenten und der Konfiguration vorzunehmen. Standardmäßig dürfen lokal angemeldete Benutzer, d.h. Mitglieder der Gruppe INTERAKTIV, Faxe senden und empfangen. Die Faxkonfiguration ändern und Faxdokumente verwalten dürfen nur Administratoren. Abbildung 9.39 Sicherheitseinstellungen für die Faxfunktion

9.4.2

Faxe versenden und empfangen

Einfache Faxe, die nur aus einem Deckblatt bestehen, können direkt in der Faxkonsole von Windows-Fax und -Scan erstellt und versendet werden. Dokumente, die beispielsweise in Word oder Excel erstellt wurden, können auch aus der jeweiligen Anwendung heraus verschickt werden. Im zweiten Fall erscheint das Dokument als beigefügte Datei.

9

In beiden Fällen öffnet sich das nachstehend gezeigte Dialogfeld zum Fax senden Senden von Faxen. Hier sind die folgenden Informationen festzulegen: 왘 Geben Sie den bzw. die Empfänger und die Faxnummer des bzw. der Empfänger ein. Sie können an dieser Stelle auf Ihr Outlook-Adressbuch zugreifen. Falls das Adressbuch Faxnummern enthält, können Sie mit der Schaltfläche Adressbuch daraus die gewünschten Adressen auswählen.

497

Kapitel 9 Drucken und Faxen 왘 Legen Sie fest, ob ein Deckblatt verwendet werden soll. In der Auswahl-

liste Deckblatt erscheinen vier vorgefertigte Deckblätter sowie gegebenenfalls weitere selbst gestaltete Deckblätter zur Auswahl. 왘 Geben Sie eine Betreffzeile an. 왘 Fügen Sie ggf. ein Dokument, ein Bild oder ein eingescanntes Dokument ein. 왘 Unter Optionen können Sie u.a. festlegen, ob das Fax sofort oder zu einer bestimmten Zeit, in der verbilligte Tarife gelten, verschickt werden soll, und eine Übermittlungsbestätigung anfordern. Abbildung 9.40 Festlegen der Optionen für den Faxversand

Faxe empfangen

Nach Auswahl von Senden zeigt der Faxmonitor Informationen über den Stand des Versands auf dem Bildschirm an. Die Art des Faxempfangs hängt davon ab, ob der Computer an einen Faxserver oder an ein Faxmodem angeschlossen ist. Besteht eine Verbindung zu einem Faxserver, sind lokal keine weiteren Einstellungen erforderlich. Bei jeder Verbindungsherstellung zum Netzwerk werden neue Faxnachrichten automatisch an den Posteingang von Windows-Fax und -Scan übermittelt. Bei Verwendung eines integrierten oder externen Faxmodems muss die Art des Faxempfangs in den Faxeinstellungen festgelegt werden. Eingehende Faxe werden standardmäßig im Posteingang von Windows-Fax und -Scan gespeichert. Wurde der Computer für den Faxempfang eingerichtet, benachrichtigt Windows über eingehende Anrufe. Werden Faxnachrichten nicht automatisch empfangen, muss der Empfang manuell bestätigt werden.

498

10

Virtuelle Netzwerke

Oftmals hat man das Problem, dass sich ein System nicht direkt über das Internet mit dem gewünschten Netzwerk verbinden kann oder sich zwar verbinden könnte, aber der Weg dahin über viele ungesicherte oder ungeeignete Stationen erfolgen würde. An dieser Stelle kommen Virtuelle Netzwerke ins Spiel. Dies sind allgemein gesehen Netzwerke, die ihren Datenverkehr über ein anderes Netzwerk hindurch transportieren, sodass dieses äußere Netzwerk den Datenverkehr im inneren Netzwerk nicht mitverfolgen oder stören kann.

10.1 Ein fast virtuelles Netzwerk Auch wenn diese Lösung in der heutigen Zeit eher altmodisch wirkt, ist es auch mit Windows 7 immer noch möglich, eine direkte Wählverbindung zu einem Netzwerk einzurichten, das für diesen Zweck etwa eine Rufnummer mit einem analogen Modem oder einer ISDN-Karte vorsieht.

499

Kapitel 10 Virtuelle Netzwerke Abbildung 10.1 Wählverbindung zum Firmennetzwerk

Technik des vorigen Jahrtausends

Derartige Verbindungen erfüllen natürlich die heutigen Anforderungen an Bandbreite nicht mehr. Es sind aber Einsatzzwecke denkbar, etwa bei ansonsten hermetisch abgeschotteten Netzwerken, bei denen ein derartiger direkter Zugang zu Wartungszwecken eingerichtet werden kann. Sobald eine solche Verbindung eingerichtet wurde, steht sie auch im Netzwerkund Freigabecenter unter dem Punkt Verbindung mit einem Netzwerk herstellen zur Verfügung, sofern denn die benötigte Hardware einsatzbereit wäre.

Abbildung 10.2 Wählverbindung ohne Modem?

Die derart eingerichteten Verbindungen können über die Funktion Netzwerkverbindungen anzeigen bearbeitet beziehungsweise gelöscht werden.

500

IPv6-Tunneltechniken

10.2 IPv6-Tunneltechniken Die Entwicklung von IPv6 wird zum großen Teil dadurch gebremst, dass keine IPv6-Anschlüsse von den Internetprovidern zur Verfügung gestellt werden. Um dieses Problem zu umgehen und generell die Koexistenz zwischen IPv4 und IPv6 zu ermöglichen, hat man Tunneltechniken entwickelt, mit denen IPv6-Daten durch ein IPv4-basiertes Netzwerk übertragen werden können. IPv6-Paket

IPv6 Header

IPv4 Header

Extension Header

Abbildung 10.3 IPv6 in IPv4 IPv6-Daten

IPv4-Daten

IPv4-Paket

Das IPv4-Paket wird hierbei zwischen den Endpunkten des Tunnels verschickt. Auf der Strecke dazwischen ist nichts über seinen Inhalt bekannt. Am jeweiligen Endpunkt des Tunnels, der sowohl eine IPv4- als auch eine IPv6-Adresse hat, wird der Rahmen um das IPv6-Paket herum entfernt und das somit erhaltene IPv6-Paket weitergeleitet, in der weiteren Kette ist dann nicht mehr ersichtlich, dass das Paket ursprünglich mal in einem IPv4-Paket enthalten war. Diese Tunneltechniken sind in [RFC2893] beschrieben: 왘 Router-zu-Router – Zwei Teilnetze auf IPv6-Basis werden jeweils über zwei IPv4-Adressen gekoppelt. 왘 Host-zu-Router oder Router-zu-Host – Ein einzelner Host auf IPv6Basis und ein Teilnetz auf IPv6-Basis werden miteinander verbunden. Das Netzwerk zwischen den beiden versteht nur IPv4. 왘 Host-zu-Host – Zwei Systeme, die eigentlich im IPv4-Netzwerk stehen, sollen trotzdem untereinander mit IPv6 kommunizieren können Diese Tunnel können entweder manuell konfiguriert werden oder automatisch entstehen. Beispiele für diese automatischen Tunnel, bei denen die jeweiligen Endpunkte automatisch festgelegt werden, sind ISATAP, 6to4 und Teredo. Ein Protokoll für einen statischen Tunnel ist zum Beispiel 6in4.

10

501

Kapitel 10 Virtuelle Netzwerke

10.3 Statische Tunnel mit 6in4 Ein statischer Tunnel zeichnet sich dadurch aus, dass die beteiligten IPAdressen und hierbei insbesondere die IPv6-Adressen statisch sind. Demzufolge kann man einen derartigen Tunnel auch verwenden, um auf einem derartigen System einen IPv6-basierten Server zu betreiben. Für einen derartigen Tunnel benötigt man im Prinzip zwei Internetprovider: einen, der die Verbindung ins IPv4 herstellt, und einen, der darüber dann die Verbindung ins IPv6 herstellt. Den ersten wird man gewöhnlich bereits haben, den zweiten bekommt man heutzutage netterweise auch kostenlos. Im Folgenden zeigen wir den Aufbau eines 6in4-Tunnels (siehe [RFC4213]) mithilfe des IPv6-Providers Hurricane Electric. Rufen Sie zunächst die Adresse [TUNNEL] auf, und registrieren Sie sich. Die Zugangsdaten bekommen Sie per E-Mail an die angegebene Adresse gesendet. Nachdem Sie die Bestätigungsmail erhalten haben, können Sie sich auf der Seite anmelden und dann am linken Rand über den Link Create Regular Tunnel den gewünschten Tunnel erstellen. Abbildung 10.4 Wo soll der Tunnel enden?

Als Erstes müssen Sie den IPv4-Endpunkt des Tunnels auf Ihrer Seite angeben. Insbesondere wenn Sie sich hinter einem NAT-Router befinden, haben Sie eventuell Probleme herauszufinden, welches Ihre öffentliche IP-Adresse ist. Die Seite zeigt Ihnen allerdings an, von welcher IP-Adresse aus Sie sich aktuell mit dem Server verbinden. Kopieren Sie also einfach diese IP-Adresse in das jeweilige Feld. In dem Feld darunter wurde bereits der netztopologisch günstigste andere Endpunkt des Tunnels ausgewählt. Diesen Wert sollten Sie nach Möglichkeit nicht verändern. Klicken Sie dann auf Submit. Gehen Sie nun zurück zur Hauptseite (Main Page). Am Ende der Seite finden Sie eine Auflistung aller von Ihnen definierten Tunnel.

502

Statische Tunnel mit 6in4 Abbildung 10.5 Definierte IPv6-Tunnel

Die angezeigten Namen der Tunnel sind gleichzeitig die FQDN der Ihnen nun zugeteilten IPv6-Adressen: >nslookup jochenmuenchen-1.tunnel.tserv6.fra1.ipv6.he.net Name: jochenmuenchen-1.tunnel.tserv6.fra1.ipv6.he.net Address: 2001:470:1f0a:a4d::1

10.3.1

Lokales System und NAT-Router konfigurieren

Klicken Sie nun auf den Link zum Tunnel am Ende der Seite, und Sie sehen die Konfigurationsparameter des Tunnels. Am Ende der Seite sehen Sie eine Schaltfläche Show Config, mit der Sie sich für verschiedene Betriebssysteme Beispielkonfigurationen anzeigen lassen können. Wählen Sie hier Windows Vista/2008 aus, und Sie erhalten folgende Zeilen: netsh interface ipv6 add v6v4tunnel IP6Tunnel 78.53.231.151 216.66.80.30 netsh interface ipv6 add address IP6Tunnel 2001:470:1f0a:a4d::2 netsh interface ipv6 add route ::/0 IP6Tunnel 2001:470:1f0a:a4d::1

Mit diesen Zeilen können Sie allerdings nicht direkt arbeiten, da diese Befehle davon ausgehen, dass das System selbst die IP-Adresse 78.53.231.151 besitzt. An dieser Stelle müssen Sie die lokale IP-Adresse des Systems (hier 192.168.0.99) einsetzen. 왘 Die erste Zeile erzeugt einen neuen IPv6-IPv4-Tunnel und legt die beiden Endpunkte des Tunnels fest. Der Name lautet IP6Tunnel. 왘 Die zweite Zeile vergibt die IPv6-Adresse für das lokale System. 왘 Die dritte Zeile legt für den kompletten IPv6-Bereich das Standardgateway fest.

10

503


Mit ipconfig sieht man den Erfolg der Befehle: Tunneladapter IP6Tunnel: Verbindungsspezifisches DNS-Suffix: IPv6-Adresse. . . . . . . . . . . : Verbindungslokale IPv6-Adresse . : Standardgateway . . . . . . . . . :

rid.local 2001:470:1f0a:a4d::2 fe80::2c71:f16e:8317:2735%29 2001:470:1f0a:a4d::1

Nun weiß zwar das lokale System, wie es mit IPv6 umgehen soll, aber die Konfiguration auf dem Router fehlt noch. Die Pakete werden im Tunnel in Form von IPv4-Paketen mit der Protokollnummer 41 übertragen. Auf dem Router muss also für dieses Protokoll eine Weiterleitung eingetragen werden, hier beispielhaft gezeigt an einem Router von D-Link: Abbildung 10.6 Portweiterleitung im NAT-Router

Die IPv6-Verbindung kann man neben bekannten Adressen wie http:// ipv6.google.com oder http://www.six.heise.de auch mit einem von Tunnelbroker angebotenen IPv6-Portscan überprüfen. Der Link hierzu findet sich in der linken Leiste der Seite. Listing 10.1 IPv6-Portscan

Starting Nmap 5.00 ( http://nmap.org ) at 2009-11-23 02:40 PST Interesting ports on jochenmuenchen-1-pt.tunnel. tserv6.fra1.ipv6.he.net (2001:470:1f0a:a4d::2): Not shown: 997 filtered ports PORT STATE SERVICE 23/tcp open telnet 515/tcp open printer 3389/tcp open ms-term-serv Nmap done: 1 IP address (1 host up) scanned in 13.43 seconds

Die drei als offen angezeigten Dienste sind der Telnet-Server, der LPRDruckserver und der Remotedesktop, für die entsprechende Ausnahmen in der Firewall existieren.

Probleme beim statischen Tunnel Ein Problem gibt es allerdings. Bedingt durch die IPv4-Anbindung ist natürlich der lokale Endpunkt des Tunnels nicht statisch, sondern wechselt bei jeder neuen Verbindung des NAT-Routers seine Adresse. Dies muss dann der Tunnelkonfiguration entsprechend mitgeteilt werden. Zum Glück lässt sich dieser Prozess automatisieren.

504

Dynamische Tunnel REM https://ipv4.tunnelbroker.net/ipv4_end.php?ipv4b=$IPV4ADDR& pass=$MD5PASS&user_id=$USERID&tunnel_id=$GTUNID rem $IPV4ADDR = The new IPv4 Endpoint (AUTO to use the requesting client's IP address) set IPV4ADDR=AUTO

Listing 10.2 Batchdatei zum Setzen der Tunnelparameter

rem $MD5PASS = The MD5 Hash of your password set MD5PASS=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX rem $USERID = The UserID from the main page of the tunnelbroker (not your username) set USERID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX rem $GTUNID = The Global Tunnel ID from the tunnel_details page set GTUNID=XXXXX wget --no-check-certificate "https://ipv4.tunnelbroker.net/ ipv4_end.php?ipv4b=%IPV4ADDR%&pass=%MD5PASS%& user_id=%USERID%&tunnel_id=%GTUNID%"

Die Batchdatei aus Listing 10.2 müssen Sie mit den für Ihren Tunnel gülti- Automatisches gen Parametern versehen. Der Wert AUTO für IPV4ADDR gibt an, dass Tunnelbohren die Adresse als Tunnelendpunkt konfiguriert werden soll, von der der Zugriff erfolgt, die Werte von USERID und GTUNID können Sie direkt aus der Tunnelkonfigurationsseite ablesen. Der Wert MD5PASS ist das Kennwort, das Ihnen anfänglich per E-Mail zugesendet wurde, allerdings in einem MD5-Hash umgewandelt. Es gibt im Netz eine ganze Reihe von Seiten, bei denen Sie online diesen Wert berechnen lassen können. Das Programm wget.exe ist ebenfalls im Internet zu finden.

10.4 Dynamische Tunnel Dynamische Tunnel zeichnen sich dadurch aus, dass die verwendeten Adressen nicht vorab festgelegt werden. Insbesondere die IPv6-Adressen der beteiligten Systeme sind hierbei nicht fest einem bestimmten System zuzuordnen. Dies schränkt natürlich die Verwendung dieser Tunneltechniken für IPv6-basierte Serversysteme erheblich ein.

10.4.1

ISATAP

ISATAP (Intra-Site Automatic Tunnel Addressing Protocol) beschreibt ein Verfahren, mit dem Systeme automatisch aus ihrer IPv4-Adresse eine IPv6Adresse generieren und zudem automatisch eigenständige IPv6-Teilnetze über das IPv4-Netzwerk adressieren können. Die Definition des Protokolls findet sich in [RFC4214].

10

505

Kapitel 10 Virtuelle Netzwerke Adressen aufpumpen

Die Systeme, die dieses Protokoll verwenden, erzeugen aus den 32 Bit ihrer IPv4-Adresse automatisch eine 128-Bit-IPv6-Adresse, indem sie zunächst die Adresse mit der Bytefolge 0000:5efe auf 64 Bit erweitern. Die weiteren 64 Bit werden dann aus einem netzspezifischen 64-Bit-Vorsatz gebildet, etwa dem Link local-Präfix (fe80:0) oder einem global eindeutigen Site-Identifier. Auf diese Weise kann ein ISATAP-Host jeden anderen ISATAP-Host im gleichen lokalen Netz erreichen, indem er einfach aus der gewünschten IPv6-Adresse die IPv4-Adresse des Hosts extrahiert, um zu wissen, zu welchem IPv4-Host er seine eingekapselten IPv6-Pakete senden muss. Die dabei zwischendrin beteiligten Router brauchen selbst kein IPv6 zu verstehen, da diese nie ein IPv6-Datenpaket als solches sehen. Um nun unterschiedliche IPv6-ISATAP-Netz zu verbinden, muss es in dem Netzwerk mindestens einen ISATAP-fähigen Router geben, auf dem die entsprechenden Routen zu den anderen IPv6-Teilnetzen konfiguriert werden. Dieser ISATAP-Router führt neben der Routingfunktion auch die Bekanntgabe der für dieses Netz gültigen Site-Identifier durch, sodass die angeschlossenen Clients neben der Link local-Adresse auch eine globale IPv6-Adresse erzeugen können. Die Clients finden diesen ISATAP-Router im lokalen Netzwerk, indem sie auf unterschiedliche Arten versuchen, dem Namen isatap eine IPv4-Adresse zuzuordnen.

Listing 10.3 Adressgenerierung am ISATAPAdapter

Tunneladapter isatap.rid.local: Verbindungsspezifisches DNS-Suffix: rid.local IPv6-Adresse. . . . . . . . . : 2001::1f0a:a4d:0:5efe:192.168.0.99 Verbindungslokale IPv6-Adresse: fe80::5efe:192.168.0.99%18 Standardgateway . . . . . :

In Listing 10.3 können Sie sehen, wie dem Tunneladapter sowohl eine Link local (verbindungslokale) IPv6-Adresse als auch eine mit der globalen Netz-ID 2001::1f0a:a4d:0 zugewiesen wurde. Unter [ISATAP] wird beschrieben, wie man mittels ISATAP schrittweise ein Intranet von IPv4 auf IPv6 umstellen kann, wobei Windows Server 2008 die Rolle des ISATAP-Routers übernimmt.

10.4.2

6to4

Beim Protokoll 6to4 wird das komplette IPv4-Internet als Subnetz des IPv6Adressraums betrachtet. Die IPv6-Adresse wird gebildet, indem zunächst ein 16-Bit-Präfix mit dem Wert 2002 (dezimal 8194) vorangestellt wird. Dann folgen die 32 Bit der IPv4-Adresse, und der Rest der Adresse wird typischerweise mit Nullen gefüllt. Die Kopplungsglieder zwischen IPv4 und IPv6 werden hierbei 6to4 Relay genannt. Dieses Protokoll ist nur zur Verwendung in einer Übergangsphase gedacht und nicht geeignet, um Datenverbindungen zwischen IPv4- und IPv6-Adressen aufzubauen.

506

Dynamische Tunnel

10.4.3

Teredo

Bei den obigen beiden Tunnelverfahren werden IPv6-Pakete in IPv4-Pakete eingepackt und mit der Protokollnummer 41 verschickt. Dies geht so lange gut, bis der Host, der die Pakete empfangen soll, hinter einem NAT-Router in einem privaten Netz steht, das nicht dafür eingerichtet ist, diese Pakete auch nach innen weiterzuleiten. Für diese Einsatzzwecke wurde Teredo entwickelt, Das Verfahren wird unterstützt von allen Versionen von Windows Vista, Windows Server 2008 und Windows 7 sowie den Systemen Windows Server 2003 ab SP1, Windows XP ab SP2 und Windows XP mit SP1 und dem Advanced Networking Pack. Computerspezialisten und Namen, ein neuer Abschnitt in einem endlosen Thema: Der Entwickler des Protokolls (Christian Huitema) wählte ursprünglich den Namen Shipworm (Schiffsbohrwurm) für sein Protokoll, da es, ähnlich wie der Bohrwurm durch hölzerne Schiffsplanken, Löcher durch die normalerweise geschlossenen Wände eines NAT-Routers bohren konnte. Bald allerdings entschied er sich zur Umbenennung, um Verwechselungen mit den Computerwürmern (Schadprogramme, die sich selbst über Netzwerke verbreiten) zu umgehen. Er wählte Teredo in Anlehnung an Teredo Navalis, dem lateinischen Namen einer weit verbreiteten Art der Bohrwürmer. In der Welt von Teredo existiert eine Reihe von unterschiedlichen Systemtypen, die alle jeweils verschiedene Aufgaben erfüllen: 왘 Teredo-Client – Ein System, das hinter einem NAT-Router eine Verbindung zum IPv4-Internet aufbauen kann. 왘 Teredo-Server – Ein System, das den Teredo-Client initial Informationen über die Verwaltung der Teredo-Verbindungen mitteilt. Diese Server leiten selbst keine Daten weiter, sodass sie nur eine geringe Anforderung an notwendiger Bandbreite haben. 왘 Teredo-Relay – Ein System, das tatsächlich den Datentransfer zwischen IPv4 und IPv6 übernimmt. Die von diesem System verwendete Bandbreite ist abhängig von der Anzahl der Teredo-Clients, die sich mit dem Relay verbinden. 왘 Host-spezifisches Teredo-Relay – Leitet den empfangenen IPv6-Verkehr nicht zu anderen Systemen im IPv6-Internet weiter, sondern nur zu eigenen IPv6-Adressen. Systeme mit Windows Vista, Windows 7 oder Windows Server 2008 können sowohl als Teredo-Client als auch als host-spezifisches Teredo-Relay agieren. In der IPv6-Adresse, die einem Teredo-Client zugeordnet wird, sind verschiedene Informationen über seine aktuelle Netzkonfiguration enthalten: Abbildung 10.7 Aufbau einer Teredo-Adresse

507

10


Das Teredo-Präfix lautet gemäß [RFC4380] 2001::/32; in den ersten TeredoImplementierungen von Windows XP vor SP3 wurde noch 3ffe:8317 verwendet. In der Konstruktion der IPv6-Adresse werden sowohl die externe Adresse des NAT-Routers als auch der dort verwendete UDP-Port verwendet, beide Angaben werden invertiert dort eingetragen. Dies hat natürlich zur Folge, dass der Teredo-Client keine feste IPv6-Adresse bekommt, da diese immer auch von der öffentlichen IP-Adresse seines IPv4-NAT-Routers anhängt.

Teredo-Tunnel aufbauen Im Folgenden haben wir ein System mit Windows 7, das mit der IPAdresse 192.168.0.99 hinter einem NAT-Router mit der öffentlichen IPAdresse 78.53.231.151 sitzt. Zunächst muss der Status des Teredo-Protokolls festgestellt werden: >netsh interface ipv6 show teredo Teredo-Parameter --------------------------------------------Typ : disabled Servername : teredo.ipv6.microsoft.com. Clientaktual.-intervall : 30 Sekunden Clientport : unspecified Status : offline Fehler : Client befindet sich in einem verwalteten Netzwerk

Aus dieser Angabe kann man ersehen, dass die Teredo-Verbindungsparameter von dem System teredo.ipv6.microsoft.com geliefert werden und aktuell das Teredo-Protokoll nicht aktiv ist (Typ: disabled). Aus der letzten Zeile kann man ersehen, dass das Netzwerk als verwaltet erkannt wird, es sich also in einer Domäne befindet. Somit muss das Protokoll mit dem Befehl >netsh interface ipv6 set teredo enterpriseclient OK.

aktiviert werden. Bei einem unverwalteten Netzwerk würde der letzte Parameter client statt enterpriseclient lauten. Dieser Befehl muss mit administrativen Berechtigungen ausgeführt werden. Danach ist das Protokoll zwar aktiv, hat aber noch keine Verbindung mit dem IPv6-Relay aufgenommen (Status: dormant). >netsh interface ipv6 show teredo Teredo-Parameter --------------------------------------------Typ : enterpriseclient Servername : teredo.ipv6.microsoft.com. Clientaktual.-intervall : 30 Sekunden Clientport : unspecified Status : dormant

Erst wenn der Client von sich aus Verbindung mit dem IPv6 aufnimmt, etwa durch ping –6 iv6.google.com, wechselt das Protokoll in den aktiven Status.

508

Dynamische Tunnel C:\Users\jochenr-admin>netsh interface ipv6 show teredo Teredo-Parameter --------------------------------------------Typ : enterpriseclient Servername : teredo.ipv6.microsoft.com. Clientaktual.-intervall : 30 Sekunden Clientport : unspecified Status : qualified Clienttyp : Teredo client Netzwerk : managed NAT : restricted NAT-spezifisches Verhalten : UPNP: Ja, Portbeibehaltung: Ja Lokale Zuordnung : 192.168.0.99:59712 Externe NAT-Zuordnung : 78.53.231.151:59712

Die Angabe NAT-spezifisches Verhalten gibt an, auf welche Weise der Client den NAT-Router kontrollieren kann und wie dieser die Verbindungen nach außen aufbaut. Nun ist auch dem IPv6-Netzwerkadapter eine IPv6Netzwerkadresse zugewiesen worden: Tunneladapter Teredo Tunneling Pseudo-Interface: Verbindungsspezifisches DNS-Suffix: IPv6-Adresse. . . . . . . . : 2001:0:d5c7:a2d6:8d0:16bf:b1ca:1868 Verbindungslokale IPv6-Adresse: fe80::8d0:16bf:b1ca:1868%13 Standardgateway . . . . . . . . . : ::

Die erhaltene IPv6-Adresse 2001:0:d5c7:a2d6:8d0:16bf:b1ca:1868 lässt sich wie folgt analysieren: Tabelle 10.1 Analyse einer Teredo-Adresse

IPv6-Daten

Bedeutung

2001:0

Teredo-Präfix

d5c7:a2d6

Adresse des Teredo-Servers teredo.ipv6.microsoft.com entspricht 213.199.162.214

8d0

Flags

16bf

Externe Portnummer, entspricht invertiert 59712

b1ca:1868

Externe IP, entspricht invertiert 78.53.231.151

Betrachtet man nun auf dem vorgeschalteten NAT-Router den Datenverkehr zwischen Internet und lokalem Teredo-Client, so erkennt man folgende Verbindungen: Local 192.168.0.99:59712 192.168.0.99:59712 192.168.0.99:59712

Internet 216.66.80.30:3545 213.199.162.214:3544 *.*.*.*:*

Protocol Dir UDP Out UDP Out UDP

Listing 10.4 Teredo-Verbindungen auf dem NATRouter

Aus Listing 10.4 können Sie ersehen, dass der NAT-Router von dem IPv6Verkehr nichts erkennt, er sieht nur den IPv4-Datenverkehr zu dem Teredo-Relay tserv6.fra1.ipv6.he.net (216.66.80.30) und dem Teredo-Server.

509

10

Kapitel 10 Virtuelle Netzwerke Listing 10.5 Traceroute im IPv6

>tracert -6 ipv6.google.com Routenverfolgung zu ipv6.l.google.com [2001:4860:a003::68] über maximal 30 Abschnitte: 1 455 ms 41 ms 40 ms teredo.bit.nl [2001:7b8:3:27:87:251:43:68] 2 42 ms 41 ms 41 ms teredo-gw.jun1.kelvin.network.bit.nl [2001:7b8:3:27::2] 3 250 ms 41 ms 47 ms pr61.ams04.net.google.com [2001:7f8:1::a501:5169:1] 4 * * * Zeitüberschreitung der Anforderung. 5 * * * Zeitüberschreitung der Anforderung. 6 61 ms 49 ms 50 ms fx-in-x68.1e100.net [2001:4860:a003::68] Ablaufverfolgung beendet.

Beim Traceroute in Listing 10.5 wird über den Parameter –6 die Verwendung von IPv6-Adressen erzwungen. Ansonsten würde der tracert-Befehl versuchen, den Namen ipv6.google.com zu einer IPv4-Adresse aufzulösen, was nicht gelingt. Anhand der aufgezeichneten Zwischenstationen können Sie erkennen, dass der Datentransport zwischen NAT-Router und Teredo-Relay für das IPv6-Protokoll unsichtbar bleibt. Möchten Sie die Teredo-Verbindung wieder beenden, können Sie dies mit dem Befehl netsh interface ipv6 set teredo disable tun.

Teredo-Tunnel im Einsatz Sobald man den Tunnel wie oben beschrieben konfiguriert hat, will man natürlich auch ausprobieren, wie eine Website über IPv6 aussieht. Die Antwort ist ziemlich kurz und ernüchternd: gar nicht. Jedenfalls nicht, wenn man versucht, sie über den Namen anzusprechen. Ein Satz mit X

510

Der Grund liegt hierbei weniger an IPv6 als an einer Optimierung, die Microsoft mit Windows Vista eingeführt hat. Unter [IPV6OPT] ist dies genau erklärt. Die Kurzform lautet: Wenn Vista (und somit auch Windows 7) feststellt, dass es selbst nur IPv6-Adressen aus dem Bereich der Link local- oder Teredo-Adressen hat, ist es der festen Meinung, dass es sinnlos ist, nach IPv6Adressen (AAAA-Record) im DNS zu suchen, und sucht demzufolge nur nach IPv4-Adressen (A.Record). Demzufolge findet er für Adressen wie http://ipv6.google.com keinen IPv4-Eintrag und stellt die Seite demzufolge nicht dar. Ruft man die Seite jedoch direkt mit der IPv6-Adresse als Adresse auf, wird der Inhalt angezeigt.

VPN Abbildung 10.8 Google in IPv6

Es bleibt zu hoffen, dass dieses Verhalten sich in Zukunft konfigurierbar gestalten lässt.

10.5 VPN Als VPN (Virtual Private Network) bezeichnet man Verfahren, mit denen einzelne Systeme oder komplette Teilnetze miteinander über ein offenes Netzwerk gekoppelt werden, ohne dass andere Teilnehmer in diesem Außennetz den Datenverkehr innerhalb des VPN abhören oder stören können. Ein VPN ist somit mit den IPv6-Tunnenlösungen verwandt, allerdings werden hierbei üblicherweise IPv4-Pakete über IPv4-Pakete getunnelt. Für ein VPN sind dabei immer zwei Komponenten wichtig: 왘 Im Firmennetzwerk der VPN-Server, mit dem sich die VPN-Clients von außen verbinden. 왘 Auf dem VPN-Client die Komponenten, die dafür sorgen, dass Datenverkehr von und zu dem Firmennetzwerk nicht über das öffentliche Internet übertragen wird, sondern über den VPN-Tunnel. Die Rolle des VPN-Servers übernehmen hierbei klassischerweise Firewallsysteme der großen Anbieter von Netzwerkkomponenten wie etwa Cisco, Juniper oder Checkpoint. Diese stellen dann gewöhnlich auch die Clientkomponenten. Das Problem vieler dieser Lösungen ist allerdings, dass bestimmte Anforderungen an die Netzanbindung der jeweiligen Clients bestehen. Bisweilen werden dabei Protokolle verwendet, die nur schwer durch übliche Netzanschlüsse durchgeführt werden können. Zudem unterstützten viele dieser Lösungen bislang einzig IPv4-Verbindungen.

10

511


Von Microsoft wurde für diesen Zweck mit Windows Server 2008R2 DirectAccess eingeführt, ein Verfahren, mit dem Systeme unter Windows 7 über diesen Server eine Verbindung ins Intranet der Firma herstellen können. Grundvoraussetzung ist hierbei die Existenz von Active Directory, in dem sowohl der DirectAccess-Server als auch die Clients Mitglied sind. Möchte man zudem noch die Tunnelverbindungen zwischen den beiden Endpunkten absichern, benötigt man zusätzlich noch eine PKI (Public Key Infrastructure), um die Verbindungen zwischen den Systemen mittels IPsec abzusichern. Auf diesen Verbindungen verläuft dann der Datenverkehr mit IPv6. Eine Einführung in das Thema DirectAccess ist unter der Adresse [DAW2008] zu finden.

512

11

Lokale Richtlinien und Gruppenrichtlinien

Sobald ein Netzwerk wächst, stellt sich das Problem, dass man nicht mehr jedes System einzeln manuell konfigurieren möchte und kann, und es werden vom Administrator Lösungen gesucht, wie sich diese Aufgabe zentralisieren und vereinheitlichen lassen kann.

11.1 Was sind Richtlinien? Richtlinien sind dem Wortsinn nach Vorschriften, wie man sich zu verhalten hat. Im Computerbereich beschreiben Richtlinien ein gewünschtes Verhalten eines Systems. Im Bereich von Windows in seinen verschiedenen Varianten sind dies zum einen vorab festgelegte Konfigurationswerte und zum anderen Privilegien, die bestimmten Benutzern und Gruppen erlaubt oder verweigert werden.

11.2 Unterschiede zwischen lokalen und Gruppenrichtlinien Prinzipiell kann man diese Richtlinien sowohl auf einem Einzelplatzsystem als auch in einer Domänenumgebung verwenden. Bei der Anwendung in einer Domäne wird auch von Gruppenrichtlinien gesprochen, in Abgrenzung zu den lokalen Richtlinien, die sich immer nur auf ein System beziehen. Im ersten Fall wird die einzelne Richtlinie auch als Gruppenrichtlinienobjekt (Group Policy Object, GPO) bezeichnet. Basis einer Gruppenrichtlinie ist immer das Computer- beziehungsweise Richtlinien im Benutzerobjekt in Active Directory. Dieses ist in eine Baumstruktur ein- größeren sortiert, wobei der Container, in dem das Objekt liegt, als Organisations- Rahmen 513

Kapitel 11 Lokale Richtlinien und Gruppenrichtlinien

einheit (englisch Organisational Unit – OU) bezeichnet wird. Jeder derartige Container ist wiederum in einen weiter oben liegenden Container eingebettet beziehungsweise ist direkt Mitglied der Hauptebene, also der Domäne selber. Abbildung 11.1 Baumstruktur in Active Directory

In Abbildung 11.1 kann man erkennen, dass die OU Aussen in der OU Vertrieb enthalten ist. Diese wiederum gehört zur OU Benutzer, und die ist schlussendlich nur noch Mitglied der Domänenebene. Neben diesen Containern gibt es dann die Gruppenrichtlinien, die einem oder mehreren dieser Container zugeordnet sind. Eine derartig zugeordnete Richtlinie wirkt dann auf alle in der jeweiligen OU enthaltenen Objekte (und damit auch auf alle Objekte in darin enthaltenen OUs). Wird also eine Richtlinie dem Container Aussen zugeordnet, wirkt diese auf alle Benutzer- und Computerobjekte in diesem Container, nicht jedoch auf jene im Container Innen. Abbildung 11.2 Lage der Gruppenrichtlinienobjekte in Active Directory

Das besondere ist jetzt, dass diese Richtlinie nicht fest mit den jeweiligen Objekten verbunden ist. Wird also zum Beispiel ein Benutzer aus der OU Aussen in die OU Innen verschoben, werden die Einstellungen, die über die GPO der OU Aussen auf ihn wirkten, automatisch wieder entfernt.

514

Unterschiede zwischen lokalen und Gruppenrichtlinien

Insbesondere in größeren Active Directory-Umgebungen kann ein Administrator somit durch geschickte Anordnung der Organisationseinheiten und entsprechende Platzierung von Benutzern und Computern viele Konfigurationsaufgaben automatisieren. Im Folgenden beschränkt sich die Darstellung auf die Anwendung lokaler Richtlinien. Die Arbeit mit Gruppenrichtlinien in einer Active Directory-Umgebung finden Sie thematisch eher in Büchern über Windows Server 2008 und Windows Server 2003. Im Gegensatz zu Gruppenrichtlinien wirken lokale Richtlinien immer nur auf dem jeweiligen System, auf dem sie festgelegt wurden. Auch ist hier nur sehr begrenzt ein Einsatz von verschiedenen Richtlinien für unterschiedliche Benutzergruppen möglich. Generell gilt bei Richtlinien immer, dass die Änderungen, die ein Administrator in einer Richtlinie vorgegeben hat, von einem normalen Benutzer nicht abgeändert werden können. Aus diesem Grund bieten viele Einstellungen auch drei Konfigurationsmöglichkeiten: Aktiviert, Deaktiviert und Nicht konfiguriert.

11.2.1

Wann werden die Richtlinien angewendet?

Richtlinien werden in der Registry abgespeichert, wobei lokale Richtlinien sofort dort eingetragen werden, sobald sie gesetzt werden. Es hängt dann von der jeweiligen Anwendung ab, ob diese die Werte auch im laufenden Betrieb kontrolliert und dann ihr Verhalten ändert. Spätestens bei einem Neustart (Computerrichtlinien) oder einer Benutzeranmeldung (Benutzerrichtlinien) werden die Einstellungen übernommen. Bei Gruppenrichtlinien ist es etwas problematischer. Diese werden auf einem Domänencontroller definiert und müssen dann zunächst per Replikation auf alle anderen Domänencontroller übertragen werden. Erst dann kann man bei einem Neustart oder einer Anmeldung sicher sein, dass die Richtlinie angewendet wird. Vorab kann nicht garantiert werden, welcher Domänencontroller für die Bereitstellung der Richtlinien angefragt wird. Möchte man eine sofortige Anwendung der Richtlinien erzwingen, kann man das Programm gpupdate.exe verwenden.

Tätowierungen Unter Windows NT gab es bereits eine Vorform der Richtlinien, damals Manche Systemrichtlinien genannt. Diese hatten allerdings das Problem, dass Ände- Erinnerung rungen, die über eine derartige Richtlinie gesetzt wurden, auch noch vor- bleibt ewig handen waren, nachdem die Richtlinie entfernt wurde. Diese Arbeitsweise wurde Tätowierung (englisch Tattoo) genannt. Diese Einstellungen blieben so lange erhalten, bis sie entweder durch eine neue Anwendung der Richtlinie explizit anders gesetzt oder die Daten manuell aus der Registrierung entfernt wurden.

11 515


Mit Windows 2000 wurde dieses Problem angegangen, indem für die neuen Gruppenrichtlinien eine Reihe von Schlüsseln in der Registrierung festgelegt wurde, an denen eine derartige permanente Speicherung verhindert wird. Diese Schlüssel sind: HKLM\SOFTWARE\Policies HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies HKCU\Software\Policies HKCU\Software\Microsoft\Windows\CurrentVersion\Policies

Alle Daten, die unter diesen Schlüsseln abgespeichert werden, entfernt das Betriebssystem automatisch, sobald die entsprechende Richtlinie nicht mehr aktiv ist. Mit der Einführung dieses Konzepts hat Microsoft auch gleichzeitig dafür gesorgt, dass die meisten seiner Programme ebendort nach ihren Einstellungen suchen. Anders sieht das allerdings bei eigenen Richtlinien aus, die man selber entwirft. Bei der Entwicklung eigener Applikationen sollte man darauf achten, dass man Einstellungen, die ein Administrator per Gruppenrichtlinien setzen möchte, in den angesprochenen Bereichen sucht. Windows bezeichnet die Richtlinien, die wieder entfernt werden können, als Verwaltete Richtlinien, die anderen dementsprechend als Nicht verwaltet. Diese Unterscheidung lässt sich für die Filterung von Richtlinien (siehe den Abschnitt 11.4.2 ab Seite 525) einsetzen.

11.3 Administrative Vorlagen Richtlinien werden auf Basis von Vorlagen verwendet. Diese Vorlangen enthalten die Angaben, welche Daten in der Registrierung gesetzt werden können, welche möglichen Werte diese annehmen können sowie noch weitere Informationen. Dazu gehört beispielsweise eine Erklärung für die Werte und deren Bedeutung oder eine Angabe, welche Betriebssysteme diese Daten verwenden, die über die Richtlinie gesteuert werden können. Neues System, neues Format

516

Bis Windows 2003 gab es diese Vorlagen mit der Erweiterung .adm, mit Windows Vista wurde ein neues Format mit den Erweiterungen .admx und .adml eingeführt. Der Unterschied zwischen den beiden Versionen besteht darin, dass .adm-Dateien einfache Textdateien waren, die alle Informationen über die Richtlinien enthielten. Da auch die Erklärungen enthalten waren, hatte dies zur Folge, dass diese Dateien sprachspezifisch angelegt waren. Bei den .admx- und .adml-Dateien hat man die Richtlinie (.admx) von den erklärenden Texten (.adml) getrennt und beide in ein XML-Format überführt. Damit einher geht auch eine Verlagerung der betreffenden Dateien. Unter Windows 2003 lagen diese noch in %Systemroot%\inf, nun liegen sie unter %Systemroot%\PolicyDefinitions. Die sprachspezifischen .adml-Dateien liegen dabei in einem Unterverzeichnis entsprechend der jeweiligen Sprache, die deutschen Dateien also in %Systemroot%\PolicyDefinitions\de-DE. Auf diese Verzeichnisse haben normale Benutzer nur lesenden Zugriff. Ein schreibender Zugriff erfordert administrative Berech-

Administrative Vorlagen

tigungen. Die Unterschiede zwischen dem alten und dem neuen Format können Sie am folgenden Beispiel sehen, bei dem die gleiche Einstellung einmal in der Datei system.adm unter Windows 2003 und einmal in WindowsExplorer.admx unter Windows 7 zu finden ist. KEYNAME "Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer" POLICY !!NoViewOnDrive #if version >= 4 SUPPORTED !!SUPPORTED_Win2k #endif EXPLAIN !!NoViewOnDrive_Help PART !!NoDrivesDropdown DROPDOWNLIST NOSORT REQUIRED VALUENAME "NoViewOnDrive" ITEMLIST NAME !!ABOnly VALUE NUMERIC 3 NAME !!COnly VALUE NUMERIC 4 NAME !!DOnly VALUE NUMERIC 8 NAME !!ABConly VALUE NUMERIC 7 NAME !!ABCDOnly VALUE NUMERIC 15 NAME !!ALLDrives VALUE NUMERIC 67108863 DEFAULT ; low 26 bits on (1 bit per drive) NAME !!RestNoDrives VALUE NUMERIC 0 END ITEMLIST END PART END POLICY NoViewOnDrive="Zugriff auf Laufwerke vom Arbeitsplatz nicht zulassen" SUPPORTED_Win2k="Mindestens Microsoft Windows 2000" NoViewOnDrive_Help="Verhindert, dass Benutzer über "Arbeitsplatz" Zugang zu Inhalten ausgewählter Laufwerke erhalten.\n\nWenn Sie die ... ABOnly="Nur Laufwerke A und B beschränken" ...

Listing 11.1 system.adm unter Windows 2003

Listing 11.2 WindowsExplorer .admx unter Windows 7

11 517

Kapitel 11 Lokale Richtlinien und Gruppenrichtlinien Listing 11.3 WindowsExplorer.adml unter Windows 7

Nur Laufwerke A, B, C und D beschränken Nur Laufwerke A, B und C beschränken ...

Im Vergleich der beiden Versionen fallen einige Gemeinsamkeiten auf. Schon bei Windows 2003 waren die Erklärungen der Einstellungen nicht direkt in den einzelnen Elementen enthalten, sondern wurden über das Symbol !! referenziert und erst später definiert. Abbildung 11.3 Darstellung der Richtlinie

518


Einmal in der Zeile KEYNAME und einmal im Wert Key wird auf den Teil der Registrierung Bezug genommen, in dem der Wert angelegt wird: Software\Microsoft\Windows\CurrentVersion\Policies\Explorer. Der dort angelegte Wert ist NoViewOnDrive. Aus der Gestaltung des Listenfeldes erkennt man, dass dieser Wert numerisch ist. Die im Listenfeld in Abbildung 11.3 dargestellten Auswahlwerte entsprechen den Werten, die in der ITEMLIST beziehungsweise NoDrivesDropdown aufgeführt wurden. Der entsprechende Registrierungswert erlaubt allerdings deutlich mehr Optionen, als hier angeboten werden. Um diese Werte zu setzen, müsste man entweder die Vorlage erweitern oder den Wert manuell setzen. Die Einstellungen sind inzwischen auf mehr Dateien verteilt; dies macht Teile und den Support der Vorlagen deutlich einfacher. Während unter Windows herrsche 2003 noch zehn Dateien mit 2,3 MB Daten vorlagen, existieren unter Windows 7 148 Dateien mit 4,3 MB Daten sowie 148 Dateien mit weiteren 2,4 MB im Sprachverzeichnis. Unter Windows 7 kann man also auch deutlich mehr Richtlinien setzen als unter seinen Vorgängerversionen.

11.3.1

Weitere administrative Vorlagen

Bei der Administration sind Sie nicht beschränkt auf die im System bereits vorhandenen Vorlagen. Die Sammlung an Vorlagen kann auch erweitert und an eigene Bedürfnisse angepasst werden. Sie können jederzeit für eigene Zwecke auch eigene Vorlagen entwickeln. Alle notwendigen Daten erhalten Sie unter DOWN, wenn Sie nach dem Suchbegriff administrative template suchen. An dieser Stelle finden Sie für viele Anwendungen fertige Richtlinienvorlagen insbesondere für die Produkte aus der Office-Reihe. Gerade im Firmeneinsatz kann man hiermit sehr viele Aspekte der Benutzung von Word oder Excel schon vorab festlegen. Abbildung 11.4 Fehlende Sprachdatei für eine Vorlage

Die Installation neuer Vorlagen erfolgt auf denkbar einfache Weise. Man muss lediglich die betreffende .admx-Datei in das PolicyDefinitions-Verzeichnis abspeichern und die .adml-Datei in das Sprachverzeichnis. Sofern Sie keine deutsche Sprachversion der .adml-Datei erhalten haben, bleiben Ihnen zwei Möglichkeiten: 1. Die vorhandene (vermutlich englische) .adml-Datei übersetzen. In Listing 11.3 können Sie sehen, dass Sie einfach nur Texte austauschen müssen. 2. Die vorhandene (vermutlich englische) .adml-Datei einfach in das passende Sprachverzeichnis kopieren. Dann allerdings erscheinen die Texte der Richtlinie in der eigentlich falschen Sprache, siehe Abbildung 11.5 mit den englischen Bezeichnungen.

11 519

Kapitel 11 Lokale Richtlinien und Gruppenrichtlinien Fremdsprachen gefordert

Es ist nicht möglich, eine .admx-Datei ohne die zur Sprache gehörige .admlDatei zu verwenden. Dieser Versuch wird mit einer Fehlermeldung quittiert (siehe Abbildung 11.4), Windows verlangt zwingend das Vorhandensein einer zur aktuellen Sprache passenden Datei mit den notwendigen Texten.

Abbildung 11.5 Eine eigene .admxDatei wird angezeigt.

Die Richtlinie aus Abbildung 11.5 ist dem Paket Group Policy Sample ADMX Files (über die Download-Seite DOWN von Microsoft zu beziehen) entnommen. Eigene Richtlinien kann man mit dem ADMX Migrator (auch über DOWN zu finden) in einer grafischen Oberfläche bearbeiten. Dies ist somit auch Administratoren möglich, die sich vorher nicht intensiv mit der Syntax der Dateiformate beschäftigen möchten. Dieses Tool kann man auch dazu verwenden, um bestehende Richtlinien zu überarbeiten. Abbildung 11.6 Erstellung einer eigenen Richtlinie im ADMX Migrator

520


Nachdem die erstellten Dateien manuell in das Systemverzeichnis der Installation noch Richtlinien kopiert wurden, kann die Richtlinie im Editor für lokale Gruppen- manuell richtlinien bearbeitet werden. Abbildung 11.7 Der Wert der Richtlinie wird gesetzt.

Sobald der Wert in der Gruppenrichtlinie definiert ist, kann man den Erfolg der Aktion auch im Registrierungs-Editor erkennen: Abbildung 11.8 Der Wert im Registrierungs-Editor

Bedingt durch die Lage des gesetzten Wertes in der Registrierung (HKCU\ Software\Meine Firma\Meine Software) tritt hier das Problem der Tätowierung auf. Hat man den Wert einmal gesetzt und löscht dann die zugehörige administrative Vorlage, bleibt der Wert erhalten.

11.3.2

Verwendung alter .adm-Dateien

Auch wenn sich das Format der administrativen Vorlagen geändert hat, kann man diese trotzdem weiterhin unter Windows 7 verwenden. Entweder werden diese in den Editor für lokale Gruppenrichtlinien importiert, oder man verwendet ein Tool wie den ADMX Migrator zur Konvertierung. Möchte man die Richtlinien nur in den Editor importieren, ruft man ihn auf, selektiert den Knoten Administrative Vorlagen wahlweise im Knoten

11 521


Computerkonfiguration oder in Benutzerkonfiguration und ruft im zugehörigen Kontextmenü den Befehl Vorlagen hinzufügen/entfernen auf. Abhängig vom Inhalt der .adm-Datei werden die Richtlinien gegebenenfalls auch in den anderen Zweig importiert. Abbildung 11.9 Alte .adm-Dateien verwenden

Digitale Altlasten

In dem nun folgenden Dialogfeld sieht man die aktuell geladenen .admDateien samt Angabe von Größe und Datum. Über die Schaltfläche Hinzufügen lassen sich dann weitere Dateien aufrufen. Das Listenfeld startet direkt im Verzeichnis %systemroot%\inf, in dem die alten Vorlagen bislang gespeichert wurden. Nicht mehr benötigte Vorlagen können markiert und über die Schaltfläche Entfernen entladen werden. Die hier durchgeführte Einstellung ist persistent. Mit Schließen kann das Dialogfeld beendet werden. Die geladenen Vorlagen sind anschließend unter Administrative Vorlagen\Klassische administrative Vorlage (ADM) zu finden.

11.4 Richtlinien setzen und bearbeiten Bearbeitet werden die Richtlinien über den Editor für lokale Gruppenrichtlinien. Dieser wird über die Eingabe von gpedit.msc oder Gruppenrichtlinie in das Suchfeld des Startmenüs gestartet. Eine beschränkte Auswahl der möglichen Richtlinien lässt sich auch über den Weg Systemsteuerung/System und Sicherheit/Verwaltung/Lokale Sicherheitsrichtlinie (secpol.msc) aufrufen. Als dritte Möglichkeit kann man noch das Gruppenrichtlinien-Objekt zur Microsoft Management Console mmc.exe hinzufügen (siehe hierzu den Abschnitt 11.4.3 ab Seite 527). Richtlinien beziehen sich entweder auf den Computer oder auf den Benutzer. Dementsprechend sind im Editor auch die beiden Bereiche Computerkonfiguration und Benutzerkonfiguration getrennt dargestellt. Im Bereich der Administrativen Vorlagen finden Sie all jene Einstellungen, die von den Dateien im PolicyDefinitions-Ordner festgelegt werden. Einige Einstellungen können sowohl im Bereich Computer als auch im Bereich Benutzer eingestellt werden, sodass man je nach Anwendungszweck wahlweise eine Einstellung einem Benutzer auf allen von ihm verwendeten Systemen oder etwa allen Benutzern auf einem System zuordnen kann. Angegeben wird dies bei der Festlegung der betreffenden Vorlagendatei. Im Beispiel aus Listing 11.2 ergibt die Angabe

522

Richtlinien setzen und bearbeiten . 4. Im nun folgenden Dialogfeld werden Sie gefragt, welches Gruppenrichtlinienobjekt Sie bearbeiten möchten. Dort steht aktuell Lokaler Computer. Klicken Sie nun auf die Schaltfläche Durchsuchen. 5. Wählen Sie das gewünschte Objekt aus. Aktuell ist die Registerkarte Computer aktiv und dort der Eintrag Dieser Computer. Klicken Sie auf die Registerkarte Benutzer. 6. Im nun folgenden Dialogfeld sehen Sie zum einen eine Liste aller aktuell auf dem System vorhandenen Benutzer und zum anderen die beiden Gruppen Administratoren und Nicht-Administratoren. Hinter dem Namen folgt noch die Angabe, ob für diesen Benutzer oder diese Gruppe bereits ein Gruppenrichtlinienobjekt vorhanden ist oder nicht. Selektieren Sie den Namen, für den Sie die Gruppenrichtlinie bearbeiten wollen, und klicken Sie die Schaltfläche OK. Benutzer, die auf dem System zwar angelegt sind, sich aber noch nicht erstmalig angemeldet haben, tauchen noch nicht in der Liste auf. Abbildung 11.14 Gruppenrichtlinienobjekte für Benutzer und Gruppen

11 527

Kapitel 11 Lokale Richtlinien und Gruppenrichtlinien Maßarbeit in der Verwaltung

Diesen Vorgang können Sie auch mehrfach wiederholen, um sich eine Management Console mit unterschiedlichen Benutzern und Gruppen zusammenzustellen, indem sie diese dann abspeichern. Im Auswahldialogfeld aus Abbildung 11.14 können Sie auch über das Kontextmenü der rechten Maustaste eine bereits vorhandene Richtlinie wieder löschen. Brechen Sie dann den Vorgang des Hinzufügens eines Snap-Ins einfach mit der Schaltfläche Abbrechen ab.

Abbildung 11.15 Benutzerkonfiguration für unterschiedliche Gruppen

Wenn lokale Richtlinien für einen Benutzer gleich mehrfach zutreffen können, gilt immer die Richtlinie, die am spezifischsten für den jeweiligen Benutzer ist. Eine Richtlinie nur für ihn hat Vorrang vor einer Richtlinie, die nur für eine Gruppe oder für alle Benutzer angelegt wurde. Es ist nicht möglich, einem neuen Benutzer bereits vorab eine Richtlinie zuzuordnen. Ein neuer Benutzer wird zunächst nur jene Richtlinie zugeordnet, die ihm aufgrund seiner Mitgliedschaft oder eben Nichtmitgliedschaft in der Gruppe der Administratoren zugewiesen wird.

11.5 Richtlinien überprüfen und dokumentieren Um angewendete Richtlinien zu kontrollieren und zu dokumentieren, ist der Editor für lokale Gruppenrichtlinien ein eher ungeeignetes Werkzeug. Für diese Aufgabe dienen zwei andere Programme.

11.5.1

Das Snap-In Richtlinienergebnissatz

Fügt man der Microsoft Management Console mmc.exe das Snap-In Richtlinienergebnissatz hinzu, erhält man die Möglichkeit, sich die Auswirkungen der Richtlinien auf bestimmte Objekte anzeigen zu lassen. Nachdem das Snap-In hinzugefügt wurde, wählt man aus dem Menü Aktion den Eintrag

528

Richtlinien überprüfen und dokumentieren

RSoP-Daten generieren (Resultant Set of Policies, Sammlung von Ergebnissen zur Richtlinienanwendung) aus. In dem nun folgenden Assistenten müssen Sie einige Seiten durchklicken, bis Sie zur Auswahl des zu kontrollierenden Objektes gelangen. Hier können Sie den Report wahlweise für den eigenen Benutzer, einen anderen Benutzer oder den ausgewählten Computer abfragen. Wird das Snap-In von einem nicht administrativen Benutzer aufgerufen, kann dieser nur seine eigenen Einstellungen überprüfen. Zudem kann er keine Einstellungen auf Computerebene einsehen. Abbildung 11.16 Welche Richtlinie soll abgefragt werden?

Nachdem der Assistent abgeschlossen wurde, kann man in der Baumstruktur der administrativen Vorlagen alle jene Knoten sehen, in denen konfigurierte Werte enthalten sind. Klickt man auf einen dieser Knoten, sieht man in der rechten Auflistung der Richtlinienobjekte sowohl deren Status (nicht aber weitere Daten) und eine Angabe, wo diese Richtlinie definiert wurde. Abbildung 11.17 Wo werden welche Richtlinien festgelegt?

Im Beispiel in Abbildung 11.17 kann man sehen, dass die Richtlinie Menüoption "Kommentare" aus der Richtlinie für alle Benutzer kommt, während die Menüoption "Tour" durch eine Richtlinie für die lokale Administratorengruppe kommt. Klickt man eine der Richtlinien doppelt an, erhält man die Möglichkeit, auf der Registerkarte Einstellung den konfigurierten Wert zu kontrollieren. Auf der Registerkarte Erklärung findet sich die gleiche Erklärung, die man auch im Editor sieht. Am interessantesten ist allerdings die

11 529


Registerkarte Rangfolge. Hier kann man erkennen, ob eine bestimmte Einstellung eventuell von mehreren Richtlinien gesetzt wird und in welcher Reihenfolge diese ausgewertet werden. Abbildung 11.18 Einmal hü, einmal hott: Richtlinien im Wettstreit

Im Beispiel in Abbildung 11.18 kann man sehen, dass die gewählte Einstellung von zwei Richtlinien gesetzt wird. Da allerdings die Richtlinie für die Gruppenmitgliedschaft größeren Einfluss als die Richtlinie für alle Benutzer hat, gilt deren Wert. Über das Kontextmenü des obersten Knotens kann man die Abfrage aktualisieren lassen, etwa wenn man in einer Active DirectoryUmgebung zwischenzeitlich die Gruppenrichtlinien angepasst oder den Benutzer in einen anderen Container verschoben hat. Abbildung 11.19 Gruppenrichtlinienstapel in einer Active DirectoryUmgebung

Gestapelte Richtlinien

530

Beim Betrachten der Gruppenrichtlinien in Abbildung 11.19 kann man sehr genau die Anwendung der Richtlinien in der Reihenfolge ihrer Festlegung in der Baumstruktur des Active Directory aus Abbildung 11.2 sehen.

Richtlinien überprüfen und dokumentieren

11.5.2

Richtlinienanwendung planen

In einer Active Directory-Umgebung bietet der Richtlinienergebnissatz noch eine zusätzliche Funktion: Anstelle des Protokollierungsmodus, in dem die Anwendung der aktuellen Richtlinien beschrieben wird, kann der Planungsmodus aufgerufen werden. In diesem Modus kann simuliert werden, was passieren würde, wenn das aktuelle Benutzer- und Computerobjekt in einem anderen Active Directory-Container gespeichert wäre. Abbildung 11.20 Wo könnte das Objekt liegen?

Weiterhin kann der Effekt einer langsamen Netzwerkanbindung simuliert werden, da dies ebenfalls Auswirkungen auf die Anwendung von Gruppenrichtlinien haben kann. Auch der Standort in Active Directory kann simuliert werden, da es möglich ist, Richtlinien in Abhängigkeit vom IP-Subnetz des Systems festzulegen. Auf diese Weise lassen sich in größeren Umgebungen sehr genau die Auswirkungen der Gruppenrichtlinien auf Benutzer und Computer vorab testen, ohne die Änderungen tatsächlich durchführen zu müssen.

11.5.3

Richtlinien dokumentieren mit gpresult.exe

Das Programm gpresult.exe wurde zusammen mit der Einführung von Gruppenrichtlinien bei Windows 2000 vorgestellt und kann dazu verwendet werden, eine Dokumentation der erfolgten Richtlinien zu erstellen. Mit Windows Vista SP1 und Windows Server 2008 wurde eine neue Version dieses Programms eingeführt, mit dem auch optisch ansprechende Reports der Gruppenrichtlinien erzeugt werden können, ähnlich wie es auch die Gruppenrichtlinienverwaltung bei Windows Server 2008 vorführt.

11 531

Kapitel 11 Lokale Richtlinien und Gruppenrichtlinien Abbildung 11.21 Protokollierung der Gruppenrichtlinien unter Windows Server 2008

Dokumentation in „hübsch“

Listing 11.4 Ausgabe einer Richtlinie als XML-Datei

Die beiden neuen Optionen von gpresult.exe sind /x zur Erstellung eines XML-Berichtes und /h zur Erstellung einer HTML-Seite mit den Richtlinieninformationen. Die XML-Ausgabe kann man zum Beispiel verwenden, um die Daten in eine Datenbank zu importieren. Die HTML-Daten kann als lesbare Dokumentation aufbewahrt werden. >gpresult /scope user /x test.xml Bericht wird erstellt ... >type trst.xml 2009-10-25T18:19:01.4835683Z LoggedData 2228228 CONTOSO\user5 contoso.com contoso.com/Benutzer/Vertrieb/Innen Default-First-Site-Name ...

Bei der Produktion einer HTML-Datei ist beim Anzeigen der Datei zu beachten, dass die Datei Skriptanteile enthält, um ein dynamisches Aufund Zuklappen der einzelnen Abschnitte zu erreichen. Dies führt bei der Anzeige zu einer Warnmeldung im Internet Explorer, die zunächst bestätigt werden muss, um die volle Funktionalität der Seite zu erhalten. Zu jeder Einstellung wird der Pfad zur Richtlinie dokumentiert und welches Gruppenrichtlinienobjekt letztendlich für den Wert verantwortlich ist.

532

Ausgewählte Anwendungsbeispiele Abbildung 11.22 HTML-Ansicht auf eine Gruppenrichtlinie

11.6 Ausgewählte Anwendungsbeispiele Leider lässt sich hier im Buch nicht für jede der mehrere Tausenden Einstellungen umfassende Liste der Richtlinien ein Anwendungsbeispiel anführen. Die hier präsentierten Beispiele sollen nur ein Hinweis für eigene Erkundungen sein.

11.6.1

Internet Explorer konfigurieren

Jeder Benutzer, der zum ersten Mal den Internet Explorer startet, wird von Willkommen einem Startdialog genervt, in dem bestimmte Einstellungen abgefragt wer- bei ... den. Dieses Dialogfeld kann man seinen Benutzern ersparen. Setzen Sie die folgenden Werte in einer Richtlinie: 왘 Benutzerkonfiguration/Administrative Vorlagen/Windows Komponenten/Internet Explorer 왘 Anzeige von "Einstellung anpassen" beim ersten Programmstart verhindern 왘Aktiviert: Direkt zur Startseite springen 왘 Änderungen am Standardsuchanbieter einschränken 왘Aktiviert 왘 Benutzerkonfiguration/Windows-Einstellungen/Internet Explorer-Wartung/ URLs 왘 Wichtige URLs 왘URL der Startseite: about:blank

11 533


Mit diesen Einstellungen erhält ein neuer Benutzer einen sofort einsetzbaren Internet Explorer, ohne sich zunächst mit einer Konfiguration des Suchanbieters oder der MSN-Startseite beschäftigen zu müssen. Theoretisch wäre auch eine Konfiguration des Suchanbieters möglich, hierzu ist allerdings eine eigene ADMX-Vorlage notwendig, eine Beschreibung des Vorgangs findet sich in der Erklärung zur obigen Einstellung. Wahlweise können Sie natürlich auch statt der leeren Seite about:blank die Adresse der Firmenhomepage eintragen. An dieser Stelle ist es auch möglich, dem Internet Explorer gleich eine Liste mit Eintragungen für die Favoriten mitzugeben.

11.6.2

USB-Geräte kontrollieren

In der heutigen Zeit hat man oftmals die Anforderung, die Verwendung von USB-Massenspeichern zu verhindern, um den Abfluss von Daten zu unterbinden. In früheren Versionen von Windows bedeutete dies, dass man die USB-Anschlüsse komplett sperren musste. Ein etwas problematischer Ansatz, wenn man den USB-Anschluss für Maus und Tastatur verwendet. Um diesem Problem zu begegnen, können Sie an zwei Stellen das System entsprechend konfigurieren.

Geräteinstallation verbieten Kein Treiber, keine Nutzung

Zum Zugriff auf ein Gerät (egal ob USB oder ein anderer Typ) braucht Windows einen zu dem Gerät passenden Treiber. Normalerweise wird dieser Treiber geladen, sobald das entsprechende Gerät zum ersten Mal mit dem System verbunden wird, im Systray kann man die entsprechenden Meldungen erkennen. Mit den Gruppenrichtlinien im Bereich Computerkonfiguration/Administrative Vorlagen/System/Geräteinstallation/Einschränkungen bei der Geräteinstallation kann konfiguriert werden, welche Geräte installiert werden dürfen und welche nicht. Die Einstellungen in diesem Bereich arbeiten eng mit der Hardwareerkennung von Windows 7 zusammen. Wichtig sind hierbei Geräteklassen und Geräte-ID (siehe Kapitel 2). Beide Angaben lassen sich im Geräte-Manager der Computerverwaltung einsehen, wenn Sie die Registerkarte Details eines installieren Gerätes öffnen. Sofern Sie hier nicht sehr diffizil vorgehen wollen, gibt es auch die Richtlinie Installation von Wechselgeräten verhindern. Diese kann allerdings auch ungewollt mehr sperren, als ursprünglich gedacht. In diesem Bereich ist vieles nur durch Ausprobieren und Testen zu erreichen.

Aktionen auf USB-Geräten verbieten Deutlich granularer lassen sich Richtlinien einsetzen, die angeben, welche Aktionen ein Benutzer mit bestimmten Typen von Datenspeichern durchführen kann. Die folgenden Richtlinien existieren sowohl im Bereich der Computer- als auch im Bereich der Benutzerkonfiguration, sodass diese auch selektiv nur für bestimmte Anwender verwendet werden können. Die Richtlinien finden Sie im Bereich Computerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff und im Bereich Benutzerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff. Für die Geräte-

534

Ausgewählte Anwendungsbeispiele

klassen CD und DVD, Diskettenlaufwerke, Wechseldatenträger, Bandlaufwerke und Mediageräte (MP3-Player, Mobiltelefone) kann jeweils getrennt festgelegt werden, ob ein lesender, schreibender oder ausführender Zugriff erlaubt oder verboten ist. Auf diese Weise könnte man beispielsweise dafür sorgen, dass zwar Daten eines USB-Sticks gelesen, jedoch keine Daten darauf gespeichert werden können. Im Zusammenhang mit der BitLocker-Verschlüsselung (siehe Kapitel 13) kann über die Richtlinien in Computerkonfiguration/Administrative Vorlagen/ Windows-Komponenten/BitLocker-Laufwerkverschlüsselung/Wechseldatenträger festgelegt werden, dass ein schreibender Zugriff auf einen Wechseldatenträger nur erlaubt wird, wenn dieser auch verschlüsselt wurde. Zudem können über eine weitere Richtlinie Vorschriften für das zu verwendende Kennwort definiert werden. Diese Einstellungen lassen sich nur auf Ebene der Computerkonfiguration festlegen.

11.6.3

Sicherheit erhöhen

Um die Sicherheit eines System zu erhöhen, sind (neben vielen anderen Vertrauen ist gut, Einstellungen) zwei Dinge wichtig: die eigenen Benutzer zur Verwendung Kontrolle ist von guten Kennwörtern anzuleiten und festzustellen, ob jemand versucht, besser in das System einzubrechen. Beide Ziele lassen sich mittels Gruppenrichtlinien erreichen.

Kennwörter ändern 왘 Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/

Kontorichtlinien/Kennwortrichtlinien 왘 Kennwort muss Komplexitätsvoraussetzungen entsprechen 왘Aktiviert 왘 Kennwortchronik erzwingen 왘vier gespeicherte Kennwörter 왘 Maximales Kennwortalter 왘Aktiviert: 42 Tage 왘 Minimale Kennwortlänge 왘acht Zeichen 왘 Minimales Kennwortalter 왘ein Tag Welche Auswirkungen haben diese Einstellungen? Zunächst wird verhindert, dass ein Benutzer Trivialkennwörter wie etwa 12345678 verwendet. Zudem wird festgelegt, dass ein Kennwort mindestens acht Zeichen lang sein muss. Spätestens alle 42 Tage muss sich der Benutzer ein neues Kennwort ausdenken, und er darf dabei keines seiner bisherigen vier letzten Kennwörter verwenden. Um zu verhindern, dass der Benutzer einfach in schneller Folge zwischen Kennwort1, Kennwort2, Kennwort3 und Kennwort4 wechselt, muss er jedes Kennwort mindestens einen Tag lang verwenden. In den Einstellungen des Benutzers im Bereich Lokale Benutzer und Gruppen im Bereich der Computerverwaltung kann für einen Benutzer die Option

11 535


Kennwort läuft nie ab gesetzt werden, womit die Aufforderung zum Ändern des Kennworts für diesen Benutzer unterbleibt. Ansonsten erhält ein Benutzer mit abgelaufenem Kennwort beim Anmelden eine entsprechende Meldung und die Aufforderung zum Ändern desselben. Diese Einstellung eignet sich besonders für Dienst-Accounts, die speziell nur für die Verwendung bei einer nicht interaktiven Anmeldung gedacht sind. Diese Einstellung kann in einer Active Directory-Domäne für die Domänenaccounts nur in der Domain Policy festgelegt werden und gilt dann gleichermaßen für alle Benutzeraccounts. Erst mit Windows Server 2008 kann man hierbei unterschiedliche Richtlinien für einzelne Teile des Active Directory festlegen.

Konten bei Missbrauchsverdacht sperren 왘 Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/

Kontorichtlinien/Kontosperrungsrichtlinie 왘 Kontensperrungsschwelle – drei ungültige Anmeldeversuche 왘 Kontosperrdauer – 30 Minuten 왘 Zurücksetzungsdauer des Kontosperrungszählers – 30 Minuten Mit diesen Einstellungen kann man ein System gegenüber einem Einbruchsversuch durch Ausprobieren möglicher Kennwörter schützen. Werden bei einem Benutzerkonto innerhalb von 30 Minuten mehr als drei fehlerhafte Kennworteingaben festgestellt, wird das Konto automatisch für 30 Minuten gesperrt. Nach Ablauf dieser 30 Minuten wird die Sperre automatisch wieder aufgehoben, auch ohne manuellen Eingriff eines Administrators. Wird die Sperrdauer auf 0 gesetzt, findet keine automatische Entsperrung statt.

Anmeldungen überwachen 왘 Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/

Lokale Richtlinien/Überwachungsrichtlinie 왘 Anmeldeergebnisse überwachen – Fehler 왘 Anmeldeversuche überwachen – Fehler 왘 Systemereignisse überwachen – Fehler Durch diese Einstellungen werden Versuche, auf geschützte Bereiche des Systems zuzugreifen, im Sicherheitsprotokoll mitnotiert. Findet man dort beispielsweise massenhaft fehlgeschlagene Zugriffsversuche von einem System aus, sollte man dieses System auf das Vorkommen einer Schadsoftware überprüfen, die versucht, andere Systeme über erratene Kennwörter zu infizieren.

536

12

Die Registrierungsdatenbank

Zur Speicherung von Konfigurations- und anderen Informationen bietet Windows 7 wie auch schon die Vorgängersysteme eine Registrierungsdatenbank an, oft auch kürzer mit dem englischen Ausdruck Registry benannt. Erstmals wurde die Registry mit Windows 95 vorgestellt, war damals allerdings noch nicht so umfangreich wie heute. Da frühere Windows-Versionen (bis 3.11) die Konfigurationsinformationen in einzelnen Dateien ansammelten (config.sys und autoexec.bat für den Systemstart, win.ini und system.ini für Windows selber und weitere .ini-Dateien für andere Anwendungen), ergab dies eine wilde, undurchsichtige Mischung, in der es durchaus vorkommen konnte, dass zwei Anwendungen die gleiche Konfigurationsdatei verwenden wollten. Zudem ergab sich die Frage, wo man die Dateien abspeichern sollte. Für Programmierer, die diese Konfigurationsdateien in eigenen Anwendungen verwenden wollten, ergab sich zudem noch das Problem, dass sie in ihren Programmen jeweils Routinen einbauen mussten, die zum Beispiel Zahlen in Textdarstellung aus der Datei lesen und dann zur Verarbeitung umwandeln mussten. Ein weiteres Problem bei Konfigurationsdateien betrifft die Berechtigung, Probleme bei auf bestimmte Werte zuzugreifen können. Dies kann immer nur auf der einfachen Ebene der kompletten Konfigurationsdatei geschehen, eine Unterteilung auf Dateien einzelne Werte wäre nur möglich, wenn die Konfigurationsdateien in einzelne Dateien aufgeteilt würden. Aus diesem Grund würde für die Registry ein datenbankähnlicher Aufbau gewählt. Für die Programmierer wurden spezielle API-Funktionen zur Verfügung gestellt, mit denen auf die Werte der Registry zugegriffen werden kann. Diese Funktionen beachten dabei die Zugriffsrechte auf die einzelnen Elemente. Diese Datenbankstruktur schuf aber gleichzeitig auch Probleme. Bei einer Konfigurationsdatei kann man leicht eine Kopie der Datei zur Seite legen

537

Kapitel 12 Die Registrierungsdatenbank

und nach einer Änderung durch einen einfachen Textvergleich feststellen, welche Änderungen erfolgt sind. Man kann auf diese Weise viele verschiedene Generationen solcher Dateien archivieren und so die Entwicklung eines Systems über lange Zeit verfolgen. Bei der Registry ist dies nicht so einfach möglich, hierzu benötigt man Zusatzprogramme (siehe den Abschnitt 12.9.2 ab Seite 578). Zudem kann man bei Änderungen in einer Textdatei sich vor dem Speichern immer noch überlegen, ob man diese Änderungen wirklich durchführen will. Anders als in einem Texteditor werden Änderungen, die zum Beispiel mit dem RegistrierungsEditor (siehe den Abschnitt 12.3 ab Seite 558) durchgeführt werden, sofort im System aktiv, eine Rückgängig-Funktion existiert nicht. In den Artikeln der Microsoft Knowledge Base steht bei jeder Aktion, welche die Registry betrifft, ein Warnhinweis, dass diese Änderungen ungeahnte Folgen haben können. Nehmen Sie diese Warnungen ernst! Eine Rücksicherung eines vorigen Backups der Registry hilft ihnen erst einmal nichts, wenn nach der Änderung das Betriebssystem nicht mehr startet.

12.1 Der Aufbau der Registry Bäume, Schlüssel und Werte

Ähnlich dem Dateisystem bildet auch die Registry eine Baumstruktur aus Schlüsseln und Unterschlüsseln, in der Werte die Rolle der Dateien übernehmen. Für einen ersten Blick auf die Registry verwenden Sie den Registrierungs-Editor. Diese Anwendung ist nicht im Startmenü von Windows 7 verlinkt, sondern muss direkt über den Programmnamen regedit.exe aufgerufen werden. Klicken Sie auf die Start-Schaltfläche, und schreiben Sie in das Suchfeld das Wort regedit. Das gefundene Programm wird oben in der Liste angezeigt und kann durch einen Doppelklick oder durch Drücken der Taste (¢) gestartet werden.

Abbildung 12.1 UAC-Abfrage beim Start von regedit.exe

Regedit nur nach UAC-Abfrage

538

Sofern Sie mit einem Konto mit administrativen Berechtigungen angemeldet sind, müssen Sie den Aufruf durch eine UAC-Abfrage bestätigen. Als normaler Standardnutzer erfolgt diese Abfrage nicht, allerdings haben Sie dann auch nur sehr eingeschränkte Zugriffsrechte auf bestimmte Teile der Registry. Dies gilt auch, wenn in einer Active Directory-Umgebung ein Benutzer Mitglied der Gruppe der Domänen-Administratoren ist.

Der Aufbau der Registry

Im linken Fenster sehen Sie eine Baumstruktur, die Sie beim Klick auf das weiße Dreieck vor einem Schlüsselnamen aufund beim Klick auf das schwarze Dreieck vor dem Schlüsselnamen wieder zuklappen können. Im rechten Fenster sehen Sie dann alle Werte, die unter dem links markierten Schlüssel liegen. Hier im Beispiel sehen Sie den Wert InstallRoot im Pfad HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework, unter dem die Zeichenkette C:\Windows\... abgespeichert ist. Abbildung 12.2 Ein erster Blick auf die Registry mit Schlüsseln und Unterschlüsseln

Genau wie im Explorer können Sie die Zweige der Baumstruktur mit den Cursortasten auf- beziehungsweise zuklappen und durch Eingabe von Buchstabenfolgen zum nächsten passenden Eintrag springen. Mit der Taste (ÿ) wechseln Sie zwischen der linken und rechten Hälfte des Fensters. Die Schlüsselnamen der obersten Ebene (also direkt unterhalb von Com- Hauptschlüssel puter) sind bei allen Systemen identisch und haben bestimmte vordefi- der Registry nierte Namen, die auch bei allen Versionen von Windows gleich sind. Dies sorgt für die Kompatibilität von Programmen. Im Englischen werden diese Schlüssel der obersten Ebene auch als Hive (Haufen) bezeichnet und meistens mit ihrer in der folgenden Tabelle in Klammern stehenden Kurzform angesprochen. Im Folgenden wird aus Gründen der Lesbarkeit im Fließtext immer die verkürzte Form verwendet. Schlüssel

Verwendung

HKEY_CLASSES_ ROOT (HKCR)

In diesem Schlüssel verwaltet Windows 7 alle Einstellungen zum Thema Dateitypen, also zum Beispiel welche Dateitypen es gibt, welche Dateinamenserweiterungen zu einem Dateityp gehören und welche Aktionen mit einer derartigen Datei möglich sind. Der Schlüssel ist hierbei tatsächlich eine Kombination der Informationen aus HKLM\SOFTWARE\ Classes und HKCU\Software\Classes.

Tabelle 12.1: Übersicht über die Schlüssel der obersten Ebene

539

12


Schlüssel

Verwendung

HKEY_CURRENT_ USER (HKCU)

In diesem Schlüssel liegen alle benutzerbezogenen Daten, die Windows 7 für den aktuell angemeldeten Benutzer vorhält. Dieser Schlüssel wird beim Anmelden geladen und beim Abmelden wieder entfernt.

HKEY_LOCAL_ MACHINE (HKLM)

In diesem Schlüssel liegen alle maschinenbezogenen Daten, zum Beispiel die Informationen über die installierten Programme.

HKEY_USERS (HKU) In diesem Schlüssel sind all die einzelnen HKCU-Schlüssel der aktuell am System aktiven Benutzer gesammelt. HKEY_CURRENT_ CONFIG (HKCC)

In diesem Schlüssel finden sich alle Informationen über das beim Systemstart verwendete Hardwareprofil.

Tabelle 12.1: Übersicht über die Schlüssel der obersten Ebene (Forts.)

12.1.1

Sonderfälle in der Registry

Mit dem Aufkommen von 64-Bit-Systemen und Windows Vista ergaben sich einige Spezialfälle, die im Bereich der Registry zu besonderen Effekten führen.

64-Bit-Systeme Mit der Vorstellung der 64-Bit-Systeme bei Windows XP, Windows Vista und jetzt Windows 7 hat Microsoft eine weitere Komplikation in die Registry eingebaut. Damit die Möglichkeit besteht, einer 32-Bit-Applikation, die auf einem 64-Bit-System läuft, eine andere Konfiguration zu geben als der gleichen 64-Bit-Applikation, wurde eine Spezialbehandlung für den Schlüssel HKLM\SOFTWARE eingeführt. Sofern ein 32-Bit-Programm auf einer 64-BitPlattform auf den Schlüssel HKLM\SOFTWARE zugreift, wird in Wirklichkeit ein Zugriff auf den Schlüssel HKLM\SOFTWARE\Wow6432Node durchgeführt. Listing 12.1 Unterschiede zwischen 32-Bitund 64-BitApplikationen

\>regxp32 query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion /v ProgramFilesDir ! REG.EXE VERSION 3.0 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ProgramFilesDir REG_SZ C:\Program Files (x86) \>reg query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion /v ProgramFilesDir HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ProgramFilesDir REG_SZ C:\Program Files C:\>reg query HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ Windows\CurrentVersion /v ProgramFilesDir HKEY_LOCAL_MACHINE\SOFTWARE\WoWMicrosoft\Windows\CurrentVersion ProgramFilesDir REG_SZ C:\Program Files (x86)

Im Beispiel in Listing 12.1 wurde auf einer 64-Bit-Installation von Windows 7 die Anwendung reg.exe einer 32-Bit-Installation von Windows XP (mit dem Namen regxp32) ausgeführt. Man kann hierbei sehen, dass 32-Bit- und 64-

540


Bit-Applikationen jeweils eine unterschiedliche Angabe für die Lage des Installationsverzeichnisses für neue Anwendungen (der Eintrag ProgramFilesDir) bekommen.

Reflector und Redirector In Windows Vista und Windows Server 2008 wurde eine Technik mit der Bezeichnung Registry Reflection verwendet, die automatisch Informationen zwischen bestimmten Teilen der Registry kopiert hat. Dieses Verfahren wurde mit Windows 7 und Windows Server 2008 R2 wieder eingestellt. Mit Windows 7 und Windows Server 2008 R2 wurde jetzt neu die Funktion des Registry Redirectors eingeführt. Hierbei greifen Programme auf den Pfad unterhalb von HLKM\SOFTWARE zu und werden automatisch auf den jeweiligen Key im passenden Teil der Registry ungeleitet. Dies geschieht transparent für die jeweilige Anwendung. Bei manchen Unterschlüsseln findet jedoch keine Umleitung statt, da diese sowohl für 32-Bit- als auch für 64-Bit-Anwendungen den gleichen Inhalt präsentieren müssen. Die genaue Funktionsweise dieses System können Sie auf der Seite [REGRED1] nachlesen. Unter [REGRED2] finden Sie eine Auflistung aller Schlüssel, die vom Registry Redirector speziell behandelt werden.

Virtualisierung Mit Windows Vista wurde zudem eine Technik mit dem Namen Registry Virtualisierung eingeführt. Diese richtet sich speziell an ältere (32-Bit-) Anwendungen, die für frühere Versionen von Windows erstellt wurden. Bei diesen Programmen erwarteten die Programmierer oftmals, dass ihre Anwendung vollen Zugriff auf alle Bereich des Systems hatte. Dies führte insbesondere dazu, dass diese Programme schreibend auf Bereiche im System zugegriffen haben, in denen normale Benutzer keinen Zugriff erhalten sollen. Unter Windows XP hatte man dann die Wahl, entweder den Benutzer zum Administrator des Computers zu erheben oder erweiterte Berechtigungen auf bestimmte Teile des Systems zu vergeben. Beides ist vom Standpunkt der Systemsicherheit her nicht optimal. Mit der Virtualisierung hat Microsoft eine Möglichkeit geschaffen, bei der Hilfe für schreibende Zugriffe einer Anwendung auf eigentlich geschützte Bereiche Altprogramme des Systems (Registry und Dateisystem) auf einen dem Benutzer zugeordneten Teil des System umgeleitet werden. Für die Anwendung sieht es weiterhin so aus, als ob sie schreibend auf den geschützten Bereich zugreifen könnte. Tatsächlich wird der Zugriff aber auch in einen anderen Bereich umgeleitet. Näher wird dieses Konzept auf [REGVIR] von Mark Russinovich (dem Schöpfer von Sysinternals) erläutert.

12.1.2

Registry und Dateisystem

Die einzelnen Schlüssel der Registry werden in Dateien im Dateisystem abgespeichert. Für den Zugriff auf diese Dateien hat Windows 7 (wie auch schon Windows Vista) einige Hürden eingebaut, selbst für Benutzer

541

12


mit administrativen Rechten. Zunächst stellt sich das Problem, dass der Zugriff auf das Verzeichnis %SystemRoot%\System32\config (also typischerweise C:\Windows\System32\config) von den NTFS-Berechtigungen im Dateisystem unterbunden wird. Beim Versuch des Zugriffs mit dem Explorer erscheint eine Fehlermeldung. Abbildung 12.3 Zugriffsversuch auf den Ordner config

Sobald Sie den Zugriff mit Fortsetzen erlauben, werden die NTFS-Berechtigungen des Ordners erweitert, um Ihrem Benutzeraccount (der natürlich über administrative Berechtigungen verfügen muss) den Zugriff auf den Ordner und die enthaltenen Dateien zu gestatten. Unter Windows XP und Windows 2003 Server war normalen Benutzern der lesende Zugriff auf diesen Ordner noch erlaubt. Die Erweiterung der Zugriffsberechtigungen sollten Sie allerdings besser nur auf einem Testsystem durchführen, da diese Änderung zum einen die Sicherheit des Systems schwächt und zum anderen nicht wieder rückgängig gemacht werden kann. Einige der Dateien selbst sind nicht direkt lesbar und werden von Windows 7 auch im Explorer üblicherweise nicht dargestellt; sie sind mit dem Attribut Hidden (Verborgen) versehen (siehe Kapitel 6). Um die Dateien anzuzeigen, müssen Sie im Explorer folgende Einstellung ändern: Organisieren/Ordner- und Suchoptionen/Ansicht und dann unter Erweiterte Einstellungen das Kontrollkästchen Geschütze Systemdateien ausblenden (empfohlen) deaktivieren sowie die Einstellung Versteckte Dateien und Ordner umstellen auf Ausgeblendete Dateien, Ordner und Laufwerke anzeigen. Diese Einstellung müssen Sie über ein Dialogfeld bestätigen. Abbildung 12.4 Sicherheitsabfrage im Explorer

Registry in Registry

542

Die einzelnen Dateien können Sie nach der Änderung der Einstellungen im genannten Verzeichnis %SystemRoot%\System32\config vorfinden. Die genaue Liste, welche Dateien aktuell an welcher Position in der Registry verbunden sind, steht selbst wiederum in der Registry an HKLM\ SYSTEM\CurrentControlSet\Control\hivelist. In Listing 12.2 können Sie sehen, welche Dateien aktuell an welcher Stelle in der Registry geladen sind.

Der Aufbau der Registry C:\>reg query HKLM\SYSTEM\CurrentControlSet\Control\hivelist HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist \REGISTRY\MACHINE\HARDWARE REG_SZ \REGISTRY\MACHINE\BCD00000000 REG_SZ \Device\HarddiskVolume2\Boot\BCD \REGISTRY\MACHINE\SOFTWARE REG_SZ \Device\HarddiskVolume3\Windows\System32\config\software \REGISTRY\MACHINE\SYSTEM REG_SZ \Device\HarddiskVolume3\Windows\System32\config\system \REGISTRY\USER\.DEFAULT REG_SZ \Device\HarddiskVolume3\Windows\System32\config\default \REGISTRY\MACHINE\SECURITY REG_SZ \Device\HarddiskVolume3\Windows\System32\config\security \REGISTRY\MACHINE\SAM REG_SZ \Device\HarddiskVolume3\Windows\System32\config\sam \REGISTRY\USER\S-1-5-20 REG_SZ \Device\HarddiskVolume3\Windows\ServiceProfiles\ NetworkService\ntuser.dat \REGISTRY\USER\S-1-5-19 REG_SZ \Device\HarddiskVolume3\Windows\ServiceProfiles\ LocalService\ntuser.dat \Registry\User\S-1-5-21-...-1001 REG_SZ \Device\HarddiskVolume3\Users\jochenr\ntuser.dat \Registry\User\S-1-5-21-...1001_Classes REG_SZ \Device\HarddiskVolume3\Users\jochenr\ AppData\Local\Microsoft\Windows\UsrClass.dat \REGISTRY\MACHINE\COMPONENTS REG_SZ \Device\HarddiskVolume3\Windows\System32\config\components

Listing 12.2 Dateien der Registry in der Registry

Der Pfad zu den Dateien wird nicht mit Laufwerksbuchstaben gekennzeichnet, sondern die einzelnen Laufwerke im System werden mit einer Bezeichnung HarddiskVolume3 benannt. Dies ist deshalb notwendig, weil sich ja die Laufwerksbuchstaben auch ändern lassen. Den aktuellen Laufwerksbuchstaben können Sie sich mittels Systemsteuerung/System und Sicherheit/Verwaltung/Computerverwaltung/Datenträgerverwaltung (oder einfach part in das Suchfeld der Systemsteuerung eingeben) ansehen. Abbildung 12.5 Auflistung der Laufwerke in der Datenträgerverwaltung

In Abbildung 12.5 erkennen Sie, dass das in der Registry vermerkte HardDiskVoume3 tatsächlich den Laufwerksbuchstaben C (dritter Block in der Zeile Datenträger 0) besitzt. Die Dateien der Registry, die dort als \Device\ HarddiskVolume3\Windows\System32\config\software vermerkt sind, liegen also tatsächlich in C:\Windows\System32\config\software. Zu jeder dieser Dateien führt Windows 7 zusätzlich noch eine Reihe von Logdateien. Diese sind aber nur für die interne Verarbeitung von Windows relevant. Unterhalb des Verzeichnisses config existiert seit Windows Vista noch ein Eingebautes Verzeichnis RegBack, in dem automatisch von einem Systemprozess ein Backup Backup der Registry kopiert wird. Diesen Prozess können Sie über die

543

12


Aufgabenplanung kontrollieren (siehe Kapitel 14): Systemsteuerung/System und Sicherheit/Verwaltung/Aufgabenplanung. Im linken Fenster der Aufgabenplanung navigieren Sie zu Aufgabenplanung (Lokal)/Aufgabenplanungsbibliothek/Microsoft/Registry (siehe Abbildung 12.6). Wenn Sie dann im rechten Fenster unten auf Eigenschaften klicken, können Sie beispielsweise auf der Registerkarte Trigger den Zeitplan abändern oder auf der Registerkarte Bedingungen angeben, dass die Aufgabe nur ausgeführt werden soll, wenn der Computer mit Netzteil betrieben wird. Abbildung 12.6 Registry-Backup als definierte Aufgabe

Bei den auf diese Weise erzeugten Sicherungskopien wird allerdings immer nur die letzte Version aufbewahrt, und zur Rücksicherung kann man nicht das aktuell laufende Betriebssystem verwenden. Die typische Vorgehensweise beim Rücksichern derartiger Sicherungsdateien ist deshalb das Booten mit der Windows 7-Installations-DVD und der Auswahl der Sicherungskonsole (siehe den Abschnitt 12.8.1 ab Seite 574). Von den fünf Hauptschlüsseln der Registry finden wir allerdings keinen, der alleinig aus einer Datei besteht. Aus der Übersicht (Listing 12.2) lässt sich erkennen, dass der Zweig HKLM aus insgesamt sieben Dateien zusammengesetzt ist, die jede einen einzelnen Unterschlüssel von HKLM abdeckt. Gleiches gilt für den Zweig HKU, hier sind im aktuellen Beispiel fünf Unterschlüssel geladen. Die Hauptschlüssel HKCR, HKCU und HKCC tauchen überhaupt nicht in der Liste auf. Im Abschnitt 12.2 ab Seite 550 werden die einzelnen Unterschlüssel genauer erläutert.

12.1.3

Datentypen in der Registry

Die Registry ist in der Lage, sehr unterschiedliche Typen von Daten aufzunehmen, eine vollständige Auflistung aller Typen findet sich bei Microsoft auf der Seite [REGDAT]. Hier werden nur die für die praktische Arbeit wichtigsten Typen vorgestellt. Zudem können auch nicht alle möglichen

544


Werte mit den Programmen regedit.exe (siehe den Abschnitt 12.3 ab Seite 558) oder reg.exe (siehe den Abschnitt 12.4 ab Seite 569) erzeugt werden. Datentyp Verwendung REG_ BINARY

Enthält unstrukturierte Binärdaten. Die Applikation, die diese Daten verwendet, bestimmt den genaueren Inhalt. Beim Editieren von Binärdaten sollte man besonders vorsichtig sein. Im Eingabedialog von regedit.exe für Binärdaten ist es nicht möglich, einzelne Bytes zu entfernen oder hinzuzufügen. Hierfür müssen Sie den Umweg über den Export und Import einer Registry-Datei gehen (siehe den Abschnitt 12.3.5 ab Seite 564).

REG_ DWORD

Eine Zahl zwischen 0 und 232–1 = 4.294.967.295 (32 Bit Wort, 4 Byte). Die Varianten _LITTLE_ENDIAN und _BIG_ENDIAN beschreiben, wie die einzelnen Byte mit welcher Wertigkeit in den Daten angeordnet sind. Bei Prozessoren vom Pentium-Typ wird hier immer die LITTLE-ENDIAN-Reihenfolge angewendet. Näher wird dieses Prinzip unter [ENDIAN] erklärt.

REG_SZ

Eine Zeichenkette, die (je nach verwendeter Zugriffsfunktion) ANSI- oder Unicode-codierte Zeichen enthält. Wichtig, wenn Sie mit einem Programm, das in C geschrieben ist, auf diese Werte zugreifen wollen. Das abschließende Nullbyte (0x0) wird nicht in der Registry abgespeichert.

REG_ EXPAND_ SZ

Im Prinzip wie REG_SZ, allerdings können in der Zeichenkette Verweise auf Umgebungsvariablen eingefügt sein, die automatisch beim Auslesen ersetzt werden. Damit kann man zum Beispiel Pfadgaben flexibel gestalten, also %USERPROFILE%\ Desktop verwenden, statt der festen Angabe C:\Users\ \Desktop. Wird dann das Benutzerprofil verschoben, zum Beispiel auf ein anderes Laufwerk, enthält die Zeichenkette automatisch den korrekten Wert.

REG_ MULTI_SZ

Eine Ansammlung von mehrzeiligen Zeichenketten. Die einzelnen Zeilen werden durch Nullbytes (0x0) voneinander abgetrennt, Ein doppeltes Nullbyte (0x0 0x0) kennzeichnet das Ende des Wertes.

REG_LINK

Dieser Wert bezeichnet einen Verweis innerhalb der Registry. Damit lassen sich spezielle Registry-Pfadangaben erzeugen. Microsoft empfiehlt, diesen Datentyp nur dann zu verwenden, falls dies für bestimmte Applikationen unbedingt notwendig sein sollte.

REG_ QWORD

Bezeichnet einen Zahlenwert, der 64 Bit enthält, also doppelt so viele Daten wie ein REG_DWORD. Dieser Datentyp wurde erstmal in Windows 2000 verwendet, damals noch als spezielle Form von REG_BINARY. Erst seit Windows Vista steht dieser Datentyp auch in regedit.exe zur Verfügung.

Tabelle 12.2 Datentypen der Werte in der Registry

Zwar können theoretisch auch sehr große Datenwerte in der Registry gespeichert werden (ein REG_BINARY-Wert von knapp 1 MB Größe ist problemlos möglich), aber Microsoft selbst empfiehlt, keine einzelnen Datenfelder in der Registry abzuspeichern, die größer als 2.048 Byte sind. Muss man

545

12


größere Werte speichern, sollte man diese in einer separaten Datei ablegen und in der Registry einen Verweis auf den Dateinamen abspeichern.

12.1.4 Schlüssel sind wie Dateien

Berechtigungen in der Registry

Genauso wie bei Dateien in einem NTFS-Dateisystem verwaltet Windows 7 auch bei Schlüsseln und Werten in der Registry Berechtigungen, wer die Daten lesen oder wer sie verändern darf. Wählen Sie im RegistrierungsEditor im linken Fenster einen Schlüssel oder im rechten Fenster einen Wert aus, und klicken Sie im Menü auf Bearbeiten/Berechtigungen. Bei einem Schlüssel können Sie auch mit der rechten Maustaste das Kontextmenü des Schlüssels aufrufen und dort den Befehl Berechtigungen auswählen. In beiden Fällen sind allerdings die Berechtigungen des Schlüssels als kleinste adressierbare Einheit anzugeben. Es ist nicht möglich, die Berechtigungen auf einzelne Werte unabhängig von ihrem sie enthaltenden Schlüssel zu vergeben.

Abbildung 12.7 Kontextmenü eines Schlüssels

Abbildung 12.8 Berechtigungen eines Schlüssels

Analog zum Dateisystem werden auch in der Registry die Berechtigungen vererbt, sodass es zum Beispiel ausreicht, die Berechtigungen auf einem Schlüssel abzuändern, um die Berechtigungen bei allen enthaltenen Werten

546


und Unterschlüsseln ebenfalls zu ändern. Wenn Sie im Dialogfeld oben im Feld Gruppen- oder Benutzernamen einen Namen auswählen, können Sie an dem Status der Kontrollkästchen unten ersehen, welche Berechtigungen der gewählte Benutzer oder die gewählte Gruppe haben. Per Klick auf Hinzufügen können Sie zusätzliche Namen in die Liste aufnehmen, um weiteren Benutzern Zugriffsrechte zuzuweisen oder zu versagen. Ebenso wie im Dateisystem gilt auch hier, dass das Versagen eines Zugriffsrechts immer Vorrang gegenüber dem Erlauben besitzt. Wird einem Benutzer also zum Beispiel das Recht zum Lesen versagt und bekommt er gleichzeitig vollen Zugriff als Mitglied einer Gruppe zugeteilt, so hat er trotzdem keinen Zugriff. Abbildung 12.9 Hinzufügen von Benutzern zu den Berechtigungen

Sie können den Namen eines Benutzers oder einer Gruppe entweder direkt in das Feld Objektnamen eintippen, oder Sie können über die Schaltfläche Erweitert eine Suchfunktion aufrufen. Die Funktion werden Sie insbesondere in einer Active Directory-Umgebung mit vielen Benutzern und Gruppen verwenden. In diesem eher schlichten Dialogfeld hat man nur die Möglichkeit, die Berechtigungen Vollzugriff und Lesen zu vergeben. Wenn diese Berechtigungen nicht fein genug unterteilt sind, lassen sich durch die Schaltfläche Erweitert in Abbildung 12.8 genauer gegliederte Berechtigungen vergeben. Abbildung 12.10 Detailansicht auf Berechtigungen

547

12


Für jeden Benutzer und jede Gruppe, denen Zugriffsrechte zugewiesen sind, erkennt man: 왘 ob eine Berechtigung zugelassen oder verweigert wird 왘 welche Berechtigung vergeben wurde 왘 ob die Berechtigung aus einer übergeordneten Ebene vererbt wurde 왘 ob die Berechtigung an Unterschlüssel bzw. Werte im Schlüssel weiter vererbt werden sollen Erben ohne Erbschaftssteuer

Mit dem Kontrollkästchen Vererbbare Berechtigungen einschließen kann man steuern, ob die Berechtigungen des übergeordneten Schlüssels auf den aktuellen Schlüssel übertragen werden sollen oder nicht. Deaktiviert man das Kontrollkästchen, hat man die Wahl, ob man die bisherigen Berechtigungen belassen will (Schaltfläche Hinzufügen) oder ob man mit einer komplett leeren Berechtigungsliste beginnen möchte (Schaltfläche Entfernen). Mit dem Kontrollkästchen Alle Berechtigungen ersetzen kann man diese Änderung quasi wieder auf oberer Ebene zurücksetzen. Hierdurch werden alle Berechtigungen der aktuellen Ebene auf die darunter liegenden Schlüssel vererbt und dort sämtliche separat vergebenen Berechtigungen entfernt. Insbesondere auf den oberen Ebenen der Registry sollte man diese beiden Funktionen mit Vorsicht verwenden.

Abbildung 12.11 Abschalten der Vererbung

Insbesondere wenn es darum geht, einer (schlecht programmierten) Applikation Zugriffrechte auf einen Teil der Registry zu geben, kann man hier die Berechtigungen passend einstellen. Beachten muss man dabei, dass man nicht die Sicherheit eines Systems unnötig weit lockert. Als Alternative kann man auch mit der Registry-Virtualisierung (siehe den Abschnitt 12.1.1 ab Seite 540) arbeiten. Informationen, wie sich erkennen lässt, auf welche Teile der Registry man welchen Zugriff gestatten muss, finden Sie in Abschnitt 12.9.3 ab Seite 582. Spezielle Berechtigungen

548

Über das Listenfeld Übernehmen für können Sie bestimmen, inwieweit die gewählte Einstellung auch für Unterschlüssel oder Werte im aktuellen Schlüssel übernommen werden soll. Die meisten dieser Berechtigungen sind vom Namen her selbsterklärend, einige spezielle sollen trotzdem erläutert werden.

Der Aufbau der Registry Abbildung 12.12 Detaillierte Zugriffsrechte vergeben

Berechtigung

Funktion

Benachrichtigen

Erlaubt, Mitteilungen über Zugriffe auf diesen Schlüssel zu erhalten.

Verknüpfung erstellen

Erlaubt, eine Verknüpfung auf diesen Schlüssel zu erstellen (siehe den Datentyp REG_LINK im Abschnitt 12.1.3 ab Seite 544)

DAC schreiben

Erlaubt, die Zugriffsberechtigungen (DAC, Discretionary Access Control) auf den Schlüssel zu verändern

Besitzer festlegen

Erlaubt, den Besitzer des Schlüssels (siehe Registerkarte Besitzer in Abbildung 12.10) zu ändern

Lesekontrolle

Erlaubt das Anzeigen der Zugriffsberechtigungen

Tabelle 12.3 Spezielle RegistryBerechtigungen

Die Kontrolle der aktuell gesetzten Berechtigungen erfolgt über die Registerkarte Effektive Berechtigungen. Zunächst klicken Sie die Schaltfläche Auswählen an und geben dort den Namen eines Benutzers oder einer Gruppe ein. Dann können Sie im Feld Effektive Berechtigungen für die einzelnen Berechtigungen sehen, ob diese erlaubt sind oder nicht.

549

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.13 Berechtigungen, die für einen Benutzer vergeben sind

12.2 Die Schlüssel der Registry Eines der größten Probleme im Umgang mit der Registry ist ihre Komplexität und dabei insbesondere die Antwort auf die Frage: Welche Auswirkung hat die Änderung dieses Wertes auf mein System? Bei einer separaten Konfigurationsdatei kann man ja derartige Informationen in Form eines Kommentars innerhalb der Datei unterbringen, bei der Registry bleibt einem als eingeschränkte Kommentarfunktion nur der Name der Schlüssel und Werte. Im Folgenden werden wir deshalb nur einen groben Überblick über die Hauptzweige der Registry und über das, was man dort für Informationen vorfinden kann, geben. Für detaillierte Informationen, welche Schlüssel und Werte mit einem gegebenen Problem zusammenhängen, ist man auf Nachschlagewerke angewiesen. Für Applikationen und Betriebssystem von Microsoft sind hier insbesondere Microsoft TechNet (siehe [TECHNET]) und das Microsoft Developer Network (siehe [MSDN]) zu nennen. Auch wenn viele Inhalte dieser beiden Seiten inzwischen auch auf Deutsch vorliegen, empfiehlt es sich, immer nach englischen Suchbegriffen zu suchen. Gehen Sie zum Beispiel zur TechNet-Seite, und geben Sie oben in das Suchfeld TCP/IP registry settings ein. Eventuell müssen Sie den Suchvorgang wiederholen und zusätzlich das Kontrollkästchen Englische Ergebnisse einbeziehen aktivieren. Sofern Sie bei den Ergebnissen keine Resultate finden, die direkt zu Windows 7 passen, kann es sich lohnen, innerhalb der technisch ähnlichen Systeme Windows Vista oder Windows Server 2008 zu suchen.

12.2.1 Der aktuelle Benutzer

550

HKEY_CLASSES_ROOT (HKCR)

Der Schlüssel HKEY_CLASSES_ROOT dient als Sammelstelle für Informationen über Dateitypen, COM-Objekte und ActiveX-Controls. Insbe-

Die Schlüssel der Registry

sondere der Explorer verwendet die Informationen aus HKCR, um zu entscheiden, was er mit einer vom Benutzer angeklickten Datei machen soll. In der folgenden Abbildung wird dieser Vorgang erklärt. Datei.txt

HKCR\.txt

Standardname txtfile

HKCR\txtfile

HKCR\txtfile\shell

HKCR\txtfile\shell\ open\command

%SystemRoot%\ system32\ NOTEPAD.EXE

Abbildung 12.14 Verarbeitung von Dateien im Explorer

Beim Klick auf die Datei (im Beispiel Datei.txt) stellt der Explorer zunächst die Dateierweiterung fest. Diese sucht er (mit vorangestelltem Punkt) als Schlüssel direkt unterhalb von HKCR. Typischerweise findet er dort zunächst eine längere, ausgeschriebene Bezeichnung für den Dateitypen (hier .txtfile). Diesen wiederum sucht er als Schlüssel unterhalb von HKCR. Unterhalb dieses Schlüssels liegt der Schlüssel shell. Die Unterschlüssel von shell wiederum beschreiben alle Aktionen, die der Explorer mit dieser Datei durchführen kann. Diese Schlüssel werden angezeigt, wenn man die Datei im Explorer mit der rechten Maustaste anklickt. Abbildung 12.15 Aktionen im Explorer

In Abschnitt 12.1.1 ab Seite 540 konnten Sie sehen, dass für den Schlüssel HKCR kein Verweis auf eine Datei mit den Daten im Zweig existiert. Tatsächlich ist der Schlüssel HKCR nur virtuell vorhanden und wird programmatisch aus den Bereichen HKLM\SOFTWARE\Classes und HKCU\Software\ Classes zusammengesetzt. Diese Methode wird seit Windows 2000 einge-

551

12


setzt, bei NT4 gab es den Bereich HKCU\Software\Classes noch nicht. Wird ein Schlüssel oder Wert aus HKCR abgefragt, so wird zunächst überprüft, ob dieser unterhalb von HKCU\Software\Classes existiert. Falls ja, wird der dortige Wert zurückgegeben, andernfalls der Wert unter HKLM\SOFTWARE\ Classes. Existiert der Wert sowohl unter HKCU\... als auch unter HKLM\..., wird nur der Wert unter HKCU\... zurückgegeben. Ein zusammengesetzter Schlüssel

Beim schreibenden Zugriff wird es komplizierter. Zunächst gilt zu beachten, dass der schreibende Zugriff sowohl auf HKCR als auch auf HKLM nur Administratoren gestattet ist und dort auch nur, sofern die UAC aktiviert wurde. Somit kann ein administrativer Benutzer trotzdem nicht schreibend auf HKCR zugreifen, wenn das Programm, mit dem er arbeitet, keine UACAbfrage durchführt. Dies betrifft zum Beispiel auch das Programm reg.exe (siehe den Abschnitt 12.4 ab Seite 569). Sofern allerdings ein Schlüssel zuvor unter HKCU angelegt wurde, sind danach auch schreibende Zugriffe auf HKCR möglich, selbst für normale Benutzer ohne administrative Berechtigungen.

Welchen Zweck verfolgt diese Aufspaltung? Microsoft verfolgt mit diesem Ansatz den Zweck, sowohl kompatibel mit alten Programmen zu bleiben als auch neue Möglichkeiten zu erlauben. 왘 Unterschiedliche Benutzer können unterschiedliche Programme zur Bearbeitung bestimmter Dateitypen einstellen. Insbesondere bei der Bearbeitung von Quelltexten hat jeder Programmierer so seine persönlichen Vorlieben. 왘 Die Abfrage des Schlüssels HKCR bleibt auch für alte Programme erhalten. Diese müssen nicht auf die neue, getrennte Lage der Schlüssel angepasst werden.

12.2.2

HKEY_CURRENT_USER (HKCU)

In diesem Zweig der Registry finden sich alle benutzerbezogenen Einstellungen. Diese Daten werden im lokalen Profil des Benutzers in der Datei ntuser.dat direkt im Profilverzeichnis gespeichert, die mit den Attributen System und Hidden (Verborgen) gekennzeichnet wird. Der Subschlüssel HKCU\Software\Classes liegt in der Datei UsrClass.dat, die sich in dem Unterverzeichnis AppData\Local\Microsoft\Windows des Profils befindet (unter XP wurde dieser Pfad noch eingedeutscht). In Active DirectoryUmgebungen ist es auch möglich, dass diese Profildaten beim Anmelden des Benutzers von einem zentralen Server geladen werden und nicht allein auf der lokalen Arbeitsstation liegen (sog. Roaming Profile). Sofern zwei Anwendungen unter unterschiedlichen Benutzern auf einem System laufen, sehen diese auch jeweils unterschiedliche Inhalte unter dem Schlüssel HKCU. Die wichtigsten Unterschlüssel von HKCU sind in Tabelle 12.4 aufgeführt.

552


Schlüssel

Verwendung

Console

Einstellungen für das Aussehen des Kommandozeilenfensters cmd.exe.

Control Panel

Einstellungen, die üblicherweise über die Systemsteuerung vorgenommen werden. Die einzelnen Unterschlüssel entsprechen jeweils den einzelnen Systemsteuerungskomponenten.

Tabelle 12.4 Unterschlüssel von HKCU

Environment Entsprechen den Umgebungsvariablen, die für den Benutzer definiert sind. Entspricht dem Dialogfeld Systemsteuerung/System und Sicherheit/System/Erweiterte Systemeinstellungen/Erweitert/Umgebungsvariablen. Software

Der Platz, an dem Anwendungen ihre Konfigurationsdaten abspeichern können. Der Bereich sollte so organisiert sein wie der korrespondierende Bereich unter HKLM\SOFTWARE.

Volatile Dieser Bereich enthält Umgebungsvariablen (siehe Schlüssel Environment Environment), die vom System dynamisch gesetzt werden, zum Beispiel %USERNAME%.

Auf diesen Schlüssel haben nur der jeweilige Benutzer und die Administratoren vollen Zugriff, andere Benutzer haben keinen Zugriff auf diesen Schlüssel.

12.2.3

HKEY_USERS (HKU)

Der Schlüssel HKEY_USERS ist die Ansammlung der Registry aller aktiven Benutzer auf einem Computer. Sobald ein Prozess unter einem bestimmten Benutzernamen gestartet wird, lädt Windows 7 die Registrierungsdatenbank des Benutzers als Unterschlüssel von HKU. Als Schlüsselname wird dabei nicht der Benutzername, sondern die SID des Benutzers verwendet. In der Literatur findet man manchmal die Aussage HKU enthalte die Profile aller vorhandenen Benutzer. Dies ist allerdings falsch. Vorhandene Benutzerkonten, mit denen kein Prozess im System läuft, finden sich nicht in HKU. Abbildung 12.16 Angemeldete Benutzer und ihre SID

553

12


In Abbildung 12.1 lässt sich erkennen, dass es auch auf einem Einzelplatzsystem mehr als einen angemeldeten Benutzer gibt und es für den einen Benutzer mit einer längeren SID zwei Unterschlüssel gibt. Die kurzen SID (S-1-5-18, S-1-5-19 und S-1-5-20) gehören zu den sogenannten well-known Security Identifiers (gut bekannte Sicherheitsidentitäten). Diese SID sind auf allen Windows-Systemen gleich, während die SID der normalen Benutzer (eigentlich) eindeutig sind und bei der Generierung des Benutzerkontos dynamisch erzeugt werden. Eine Auflistung über alle diese bekannten SID finden Sie unter [SID]. Die hier aufgeführten sind die SID für Local System (eigene Prozesse des Betriebssystems), Local Service (deutsch: Lokaler Dienst, spezielle Benutzerkennung für lokale Dienste) und Network Service (deutsch: Netzwerkdienst, spezielle Benutzerkennung für netzwerkbasierte Dienste). In der Abbildung 12.17 können Sie im Task-Manager die einzelnen Prozesse der jeweiligen Benutzer erkennen. Abbildung 12.17 Unterschiedliche Benutzer und ihre Prozesse

Wenn Sie jetzt das Listing 12.2 mit der Abbildung 12.16 vergleichen, werden Sie sehen, dass es zwar einen Eintrag für den Schlüssel HKU\.DEFAULT, aber nicht für HKU\S-1-5-18. Die Erklärung ist einfach, aber nicht besonders einleuchtend: Die beiden Schlüssel sind identisch, und HKU\S-1-5-18 ist nur ein Alias von HKU\.DEFAULT. Oft wird behauptet, im Schlüssel HKU\.DEFAULT lägen die Einstellungen, die neuen Benutzern initial zugewiesen würden. Dies ist falsch! In den beiden Einträgen, die mit der längeren SID gekennzeichnet sind, finden sich die beiden Bestandteile der Benutzerregistrierung, die in Abschnitt 12.2.2 ab Seite 552 vorgestellt wurden.

554


Ein Template für neue Benutzer Es gibt eine Vorlage, die Windows 7 verwendet, wenn neue Benutzer angelegt werden, aber diese ist nicht HKU\.DEFAULT, sondern die Datei ntuser.dat (typischerweise) im Verzeichnis C:\Benutzer\Default. Diese Datei ist jedoch nicht permanent in der Registry geladen und muss zum Bearbeiten manuell als Struktur geladen werden (siehe den Abschnitt 12.3.6 ab Seite 568). Leider ist der Umgang mit diesem Template nicht ganz so einfach. Zunächst ist die direkte Manipulation dieser Datei keine von Microsoft offiziell unterstütze Vorgehensweise. Weiterhin werden auch nicht alle dort vorgenommenen Änderungen auch tatsächlich in das Profil eines neuen Benutzers übernommen. So kann man zwar Schlüssel und Werte zum Beispiel in den Schlüsseln Software oder Environment einbauen, die auch übernommen werden. Eintragungen im Bereich Control Panel\Desktop werden jedoch nicht übernommen.

12.2.4

HKEY_LOCAL_MACHINE (HKLM)

Dieser Schlüssel enthält alle Einstellungen, die für die betreffende Maschine zuständig sind und nicht vom aktuellen Benutzer abhängen. In diesem Schlüssel existieren verschiedene Unterschlüssel.

BCD00000000 Während Windows XP seinen Startprozess noch über die Datei C:\boot.ini Auswahl beim gesteuert hat, wurde dieser Prozess mit Windows Vista durch die Boot Con- Systemstart figuration Data abgelöst. In diesem Zweig der Registry sind die einzelnen Konfigurationsdaten dafür zu finden. Man sollte jedoch keine manuellen Änderungen dort vornehmen, sondern hierzu Programme wie etwa bcdedit.exe verwenden. Sofern auf einem System Windows Vista und Windows 7 parallel installiert sind, teilen sich beide Programme diesen Speicherbereich.

HARDWARE Der Schlüssel HKLM\HARDWARE wird vom System beim Start dynamisch mit Informationen über die aktuell vorhandene Hardware gefüllt, dieser Schlüssel wird nicht in einer Datei gespeichert. Unter dem Schlüssel HKLM\ HARDWARE\DESCRIPTION\System können beispielsweise die Informationen über die aktuell im System installieren Prozessoren eingesehen werden.

SAM und SECURITY In diesen beiden Schlüsseln speichert Windows 7 die sicherheitsrelevanten Informationen über Benutzer, Gruppen und weitere Informationen. Der Zugriff auf diese beiden Schlüssel ist deshalb auch besonders abgesichert. Normale Benutzer dürfen die beiden Schlüssel nicht ansehen, Administratoren dürfen sie sehen, bekommen jedoch keine Inhalte präsentiert. Nur der lokale Systembenutzer SYSTEM hat Zugriff auf die dort enthaltenen Daten. Mit der folgenden Anleitung können Sie trotzdem Zugriff erlangen, es wäre deshalb eine Untertreibung zu behaupten, der Zugriff auf beide Schlüssel wäre kompliziert.

555

12


1. Laden Sie aus der Sammlung von SysInternals das Tool PsExec.exe herunter, Sie finden es unter Utilities/Process Utilities. 2. Starten Sie über cmd.exe eine Eingabeaufforderung mit Administratorrechten. Tippen Sie hierzu cmd in das Suchfeld des Startmenüs ein, klicken Sie den anschließend gezeigten Link mit der rechten Maustaste an, und wählen Sie im Kontextmenü den Eintrag Als Administrator aus. 3. Im daraufhin geöffneten Befehlsfenster geben Sie die Anweisung PsExec –i –s regedit.exe ein. Nun startet der Registrierungs-Editor unter dem Account des lokalen SYSTEM-Benutzers, und Sie können die beiden Schlüssel erkunden. Abbildung 12.18 Sicherheitsinformationen in der Registry

Generell sind keine Informationen über den internen Aufbau dieser beiden Zweige der Registry verfügbar, weder über die enthaltenen Schlüssel und Werte noch über den Aufbau der dortigen REG_BINARY-Daten. Aus Abbildung 12.18 kann man jedoch ersehen, dass der dort abgebildete Eintrag wohl das Benutzerkonto Administrator beschreibt, man erkennt den Benutzernamen und im Anschluss die Benutzerbeschreibung.

SOFTWARE Der Zweig HKLM\SOFTWARE ist der wohl umfangreichste Zweig der Registry. Er enthält Informationen über die installierte Software auf einem System und deren Konfigurationsdaten. Selbst auf einem frisch installieren System ohne weitere installierte Anwendungen enthält dieser Zweig bereits über 20 MB an Daten. Generell sollten die Zweige innerhalb dieser Struktur dem folgenden Schema folgen: HKLM\SOFTWARE\ Firma\Produkt\Versionsnummer. Auf diese Weise wäre sichergestellt, dass sich einzelne Anwendungen nicht gegenseitig stören und auch unterschiedliche Versionen einer Anwendung getrennt voneinander konfiguriert wären. Leider halten sich nicht alle Anwendungsprogrammierer an dieses Schema.

556


SYSTEM Die wichtigsten Schlüssel unterhalb von HKLM\SYSTEM nennen sich CurrentControlSet und ControlSet???, wobei die ??? eine dreistellige Nummer am Ende bilden. Jeder dieser Schlüssel beinhaltet jeweils ein komplettes Abbild der Konfigurationsinformationen über den Systemstatus (Status der Dienste und Gerätetreiber). Diese Informationen werden über den Schlüssel HKLM\SYSTEM\Select kontrolliert. Wert

Bedeutung

Current

Dieser Wert gibt an, welcher der Schlüssel ControlSet??? der aktuell aktiven Konfiguration entspricht. Der Schlüssel HKLM\SYSTEM\CurrentControlSet zeigt dann auf diesen Schlüssel.

Default

Dieser Wert entspricht typischerweise dem Wert Current.

Failed

Dieser Wert gibt an, bei welchem der Schlüssel ControlSet??? beim Systemstart eine Fehlfunktion aufgetreten ist.

LastKnownGood

Dieser Wert gibt an, bei welchem der Schlüssel ControlSet??? zuletzt ein erfolgreicher Systemstart durchgeführt werden konnte.

Tabelle 12.5 Werte in HKLM\ SYSTEM\Select

Wenn Sie bei einer Fehlfunktion (System startet nicht mehr) feststellen wollen, woran es gelegen haben könnte, bietet sich folgendes Verfahren an. Man kann zwar versuchen, einen derartigens Fehler mit der Systemstartreparatur zu umgehen, jedoch erfährt man hierbei nicht, woran der Fehler gelegen hat. 1. Starten Sie das System mit der Option Letzte als funktionierend bekannte Konfiguration (erweitert). Drücken Sie hierzu während des Bootvorgangs die Taste (F8). 2. Kontrollieren Sie den Schlüssel HKLM\SYSTEM\Select. Merken Sie sich die Werte Current und Failed. 3. Exportieren Sie die beiden Schlüssel HKLM\SYSTEM\ControlSet??? als .reg-Datei. Die ??? entsprechen dabei den beiden im vorigen Schritt gemerkten Nummern. 4. Ersetzen Sie in den beiden .reg-Dateien alle Vorkommen von ControlSet??? durch einen Fülltext, beispielsweise sowohl ControlSet001 als auch ControlSet002 durch ControlSetXXX. 5. Vergleichen Sie die beiden Dateien zeilenweise miteinander. Wenn das Programm, das Sie für das Vergleichen verwenden, keine Unterstützung für Unicode bietet, müssen Sie im vorigen Schritt darauf achten, die Datei als ANSI-codiert abzuspeichern (siehe den Abschnitt 12.3.5 ab Seite 564). Dieses Verfahren ist nur etwas für Leute, die sehr viel Zeit haben. Die Suche nach den Unterschieden ist sehr langwierig und wird Ihnen auch nichts bringen, wenn zum Beispiel die Konfiguration eines Dienstes gleich geblieben ist, aber die verwendete Treiberdatei geändert wurde.

557

12


Bei fast allen Änderungen im Schlüssel CurrentControlSet können Sie davon ausgehen, dass die Änderungen erst nach einem Neustart des Systems oder zumindest des betreffenden Dienstes aktiv werden.

CurrentControlSet\services In diesem Schlüssel finden Sie alle Gerätetreiber und Dienste, die Windows 7 kennt. Für jeden Treiber und jeden Dienst existiert ein eigener Schlüssel. Der Name des Schlüssels ist nicht identisch mit dem Namen, der in dem Dienste-Applet der Systemsteuerung angezeigt wird. Abbildung 12.19 Ein Dienst im Dienste-Applet und im RegistrierungsEditor

In Abbildung 12.19 kann man den Dienst DNS-Client sowohl im Dialogfeld des Dienste-Applets der Systemsteuerung als auch in der Registry sehen. Der Eintrag Dnscache als Dienstname im Dialogfeld bezeichnet den Schlüssel, unter dem der Dienst unter HKLM\SYSTEM\CurrentControlSet\services in der Registry zu finden ist. Während der Eintrag Pfad zur EXE-Datei im Dialogfeld statisch ist, könnte man diesen Eintrag als Wert ImagePath in der Registry ändern.

12.2.5 Alte Altlasten

HKEY_CURRENT_CONFIG

Dieser Schlüssel stammt ursprünglich aus Windows 95 und enthält Informationen über das aktuell verwendete Hardware-Profil des Systems. Mit Windows NT wurde dieser Schlüssel ersetzt durch einen Verweis auf HKLM\ SYSTEM\CurrentControlSet\Hardware Profiles\Current.

12.3 Bearbeiten der Registry mit dem Registrierungs-Editor Das Hauptwerkzeug zum interaktiven Arbeiten mit der Registry ist der Registrierungs-Editor, auch als regedit.exe bekannt. Alternativ kann man das

558

Bearbeiten der Registry mit dem Registrierungs-Editor

Programm auch über regedt32.exe aufrufen. Unter Windows NT war das noch ein separates Programm mit etwas anderer Funktionsweise. Heutzutage sind die beiden früheren Programme zur Bearbeitung der Registry in einem Programm zusammengefasst. Das Aussehen und die Bedienung von regedit.exe (siehe Abbildung 12.2) ähneln dem Programm explorer.exe, mit dem man sich in den Verzeichnisstrukturen bewegen kann. Sofern Sie als Benutzer mit administrativen Berechtigungen angemeldet sind, müssen Sie zum Start von regedit.exe eine UAC-Abfrage bestätigen.

12.3.1

Navigation in der Registry

Zwar kann man sich auch gut mit der Maus in der Registry bewegen, schneller ist man jedoch eindeutig mit der Tastatur, da man dort einen bestimmten Eintrag auch direkt ansteuern kann, indem man einfach anfängt, den Namen des Schlüssels einzutippen. Probieren Sie es einfach aus: 1. Klicken Sie im Registrierungs-Editor auf den Eintrag HKLM\SYSTEM\ CurrentControlSet\services. 2. Drücken Sie nun (Æ), der Schlüssel services wird aufgeklappt, und dessen Unterschlüssel werden angezeigt. 3. Drücken Sie nun in schneller Folge die Tasten (D), (N) und (S). 4. Sie erreichen den Schlüssel Dnscache. Haben Sie zu langsam gedrückt, betrachtet Windows 7 den letzten Buchstaben als Beginn eines neuen Wortes, und Sie landen an der falschen Stelle. Einfach (æ) drücken und von Neuem probieren. Diese Schnellnavigationsmethode funktioniert in fast allen Applikationen.

In der Registry suchen Manchmal weiß man zwar, welchen Wert man ändern will, aber nicht, in welchem Schlüssel dieser Wert liegt. Oder man sucht bestimmte Daten, weiß aber nicht, in welchem Wert diese Daten liegen. Hier hilft die Suchfunktion von regedit.exe: 1. Wählen Sie zunächst den Startpunkt aus, von dem ab Sie suchen möchten. Wissen Sie gar nicht, wo der gesuchte Wert oder Schlüssel liegen könnte, starten Sie in der obersten Ebene, ausgehend von Computer. Ansonsten wählen Sie den passenden Schlüssel aus. 2. Rufen Sie den Menübefehl Bearbeiten/Suchen auf, oder drücken Sie (Strg)+(F). 3. Geben Sie im Feld Suchen nach ein, wonach Sie suchen wollen. 4. Legen Sie über das Kontrollkästchen Suchoptionen fest, wo Sie suchen möchten. Sofern Sie den Inhalt von Werten suchen wollen, also das Kontrollkästchen Daten aktiviert haben, dauert die Suche deutlich länger.

559

12


5. Aktivieren Sie den Kontrollkästchen Ganze Zeichenfolge vergleichen, sofern der Suchausdruck nicht als Teil eines Suchergebnisses vorkommen soll. 6. Klicken Sie auf Weitersuchen, um die Suche zu starten. 7. Sofern das Suchergebnis noch nicht das passende Suchergebnis anzeigt, klicken Sie auf Bearbeiten/Weitersuchen oder drücken (F3), um den Suchvorgang fortzusetzen. Die Suche unterscheidet nicht zwischen Groß- und Kleinbuchstaben. Sie können nur nach Zeichenketten suchen. Eine Suche nach Zahlen (REG_DWORD) oder Binärdaten (REG_BINARY) ist nicht möglich. Abbildung 12.20 Dialogfeld Suchen im RegistrierungsEditor

12.3.2

Favoriten in der Registry

Um bestimmte Stellen in der Registry leichter erreichbar zu machen, kann man diese (ähnlich wie Webseiten im Browser) als Favoriten abspeichern. Sobald Sie zum gewünschten Schlüssel navigiert sind, speichern Sie mit dem Menübefehl Favoriten/Zu Favoriten hinzufügen den aktuellen Schlüssel unter einem frei wählbaren Namen ab. Abbildung 12.21 Favoriten festlegen

Favoriten favorisieren

Die bereits gewählten Favoriten können Sie über den Menübefehl Favoriten/Favoriten entfernen aus der Liste wieder entfernen. Alle bereits festgelegten Favoriten finden Sie im Menü Favoriten und können von dort aus direkt angesprungen werden.

Abbildung 12.22 Favoriten entfernen

Die Favoriten selbst sind (wo auch sonst?) in der Registry gespeichert unter HKCU\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit\ Favorites.

560


12.3.3

Werte in der Registry ändern

Die bereits vorhandenen Werte kann man per Doppelklick auf den Wertenamen ändern. Je nach Typ des Wertes erscheint ein entsprechendes Dialogfeld, in dem sich der Wert ändern lässt. Über das Kontextmenü der rechten Maustaste oder den Befehl Bearbeiten/Binärdaten ändern kann man aber auch gezielt eine Byte-Darstellung des Wertes aufrufen, etwa wenn in einer Zeichenkette nicht mit ANSI-kompatible Zeichensätze verwendet werden. Abbildung 12.23 Gezielt die binäre Darstellung aufrufen

Zeichenketten Für einzeilige Zeichenketten (REG_SZ und REG_EXPAND_SZ) wird ein gemeinsames Dialogfeld verwendet. Abbildung 12.24 Einzeilige Zeichenketten

Für mehrteilige Zeichenketten (REG_MULTI_SZ, typischerweise Zeichenketten, die aus mehreren Zeilen bestehen) dient ein eigenes Dialogfeld. Die Zeilenvorschübe im Eingabefeld werden automatisch durch die zur Trennung verwendeten Nullbytes ersetzt. Abbildung 12.25 Mehrteilige Zeichenkette in mehreren Zeilen

561

12


Die in der Registry abgespeicherten Zeichenketten werden prinzipiell als Unicode-Zeichen abgespeichert. Jeder Buchstabe belegt also mindestens zwei Byte Speicherplatz.

Zahlen Zahlen (REG_DWORD und REG_QWORD) können in der Registry sowohl als Dezimalzahlen als auch als Hexadezimalzahlen eingegeben werden. Achten Sie bei der Anwendung von Registry-Ratschlägen immer darauf, wie die Zahlenwerte eingegeben werden sollen. Abbildung 12.26 Zahleneingabe in der Registry

Binäre Werte Die Eingabe von binären Feldern ähnelt der Arbeit mit einem Debugger. Abbildung 12.27 Binärdaten in der Registry

Sie können sich mit der Einfügemarke in der Liste der Binärdaten frei bewegen und auch mitten hinein Bytes eingeben oder löschen. Hierbei müssen Sie allerdings aufpassen, da diese REG_BINARY-Daten meist ein direktes Abbild bestimmter, von einer Applikation verwendeter Datenstrukturen sind.

Sonderdatentypen Im Bereich der Hardware-Ressourcen enthält die Registry einige besondere Datentypen. Für diese hält der Registrierungs-Editor keine Funktionen zum Verändern der Werte vor, diese können nur in speziellen Dialogfeldern angesehen werden. Auch können über die Oberfläche keine neuen Werte dieser Typen angelegt werden.

562

Bearbeiten der Registry mit dem Registrierungs-Editor Abbildung 12.28 Datentyp REG_ RESOURCE_LIST

Abbildung 12.29 Datentyp REG_FULL_ RESOURCE_ DESCRIPTOR

12.3.4

Werte und Schlüssel anlegen, löschen und umbenennen

Sofern man die entsprechenden Berechtigungen auf einen Schlüssel besitzt, kann man weitere Unterschlüssel anlegen oder in den aktuellen Schlüssel neue Werte eintragen. Rufen Sie hierzu entweder den Menübefehl Bearbeiten/Neu auf, oder wählen Sie im Kontextmenü zum Schlüssel den entsprechenden Eintrag aus, Wert der erweiterbaren Zeichenfolge entspricht hierbei dem Datentyp REG_EXPAND_SZ.

563

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.30 Neuen Wert oder neuen Schlüssel anlegen

Achten Sie beim Anlegen eines neuen Wertes darauf, den richtigen Datentyp zu wählen. Es ist nicht möglich, hinterher den Typ eines Wertes abzuändern. Die Schlüssel und Werte in der Registry sind, wie auch im Dateisystem, case-insensitiv, aber case-preserving. Es ist also egal, ob Sie einen Wert oder Schlüssel mit Groß- oder Kleinbuchstaben ansprechen. Die einmal gewählte Folge von Groß- und Kleinbuchstaben bleibt allerdings erhalten. Beim Anlegen eines neuen Wertes oder Schlüssels bekommt dieser zunächst den generischen Name Neuer Wert #1. Dieser kann im gleichen Schritt durch einen neuen Namen überschrieben werden. Hierbei ist es nicht möglich, einen bereits vorhandenen Namen zu wählen, auch wenn dieser einen anderen Datentyp besitzt. Einen bereits bestehenden Namen kann man über den Menübefehl Bearbeiten/Umbenennen oder das zugehörige Kontextmenü umbenennen. Über den Menübefehl Bearbeiten/Schlüsselnamen kopieren können Sie den vollständigen Namen des Schlüssels, ausgehend vom Namen des obersten Schlüssels, in die Zwischenablage kopieren. Dies ist insbesondere praktisch beim Verfassen von Dokumentationen oder beim Programmieren von Anwendungen, die Informationen aus der Registry verarbeiten sollen. Weg damit!

Das Löschen eines Schlüssels oder Wertes erfolgt über das Kontextmenü, die Menüfunktion Bearbeiten/Löschen oder die Taste (Entf). Sie müssen diese Aktion sicherheitshalber bestätigen. Im Gegensatz zu normalen Texteditoren gibt es keine Funktion, um die Löschung rückgängig zu machen. Beim Löschen eines Schlüssels werden automatisch auch alle enthaltenen Unterschlüssel und Werte gelöscht.

12.3.5

Export, Import und Drucken von Daten

Die Daten, die in der Registry gespeichert sind, können auf mehrere Weisen aus oder in andere Darstellungsformen überführt werden.

564


Import Neben den binären Rohdaten der Registry (siehe den Abschnitt 12.1.1) unterstützt Windows 7 auch eine für Menschen lesbare Form der Datenspeicherung in Form von .reg-Dateien. Importieren können Sie eine .reg-Datei auf zwei Arten, entweder im Registrierungs-Editor selber über die Menüfunktion Datei/Importieren oder indem Sie im Explorer doppelt auf eine .reg-Datei klicken. Abbildung 12.31 Importieren einer .reg-Datei

Sofern Sie den Weg über den Explorer wählen, müssen Sie als administrativer Benutzer zunächst eine UAC-Abfrage beantworten. In jedem Fall ist jedoch eine Sicherheitsabfrage vor dem Import zu bestätigen. Abbildung 12.32 Sicherheitsabfrage vor dem Import einer .reg-Datei

Wenn Sie in eine Batchdatei eine .reg-Datei durch den Aufruf von regedit.exe importieren wollen, können Sie durch den Parameter /s (silent) verhindern, dass diese Sicherheitsabfrage erscheint. Geben Sie in jedem Fall aber den vollständigen Pfad zur .reg-Datei an, regedit.exe sucht nicht immer im aktuellen Verzeichnis nach der Datei. Neben .reg-Dateien können Sie mit dem Menübefehl Datei/Importieren auch komplette Strukturdateien (siehe den Abschnitt 12.3.6 ab Seite 568) importieren. Diese Funktion sollten Sie allerdings nur mit größter Vorsicht verwenden, da hierbei die aktuell geladene Strukturdatei durch die neue Datei ersetzt wird. Diese Funktionalität wird jedoch nur in sehr seltenen Fällen die gewünschte sein.

565

12


Export Über das Kontextmenü oder den Menübefehl Datei/Exportieren können Sie den aktuellen Schlüssel in eine .reg-Datei exportieren lassen. Abbildung 12.33 Exportieren eines Registry-Zweiges

Formatwahl

Tabelle 12.6 Exportformate

Standardmäßig ist die Option aktiviert, dass nur der gewählte Schlüssel mit allen Unterschlüsseln und Werten exportiert wird. Wollen Sie die komplette Registry exportieren, können Sie den Exportbereich im Dialogfeld auf Alles umstellen. Bei Dateityp können Sie verschiedene Optionen einstellen, die bestimmen, wie Sie die erzeugte Datei verwenden können. Format

Verwendung

Registrierungsdateien (*.reg)

Erzeugt Unicode-codierte .reg-Dateien, die in allen Systemen ab Windows 2000 importiert werden können.

Registrierungsstrukturdateien (*.*)

Erzeugt binäre Strukturdateien (siehe den Abschnitt 12.3.6 ab Seite 568)

Textdateien (*.txt)

Gibt eine Unicode-codierte Darstellung des Zweigs in lesbarer Form aus. Diese Datei kann nicht wieder importiert werden.

Win9x/NT4 Registrierungsdateien (*.reg)

Erzeugt ANSI-codierte .reg-Dateien, die auch mit Windows 9x oder Windows NT4 importiert werden können.

Format der .reg-Dateien Das Format der Registry-Dateien ist von Microsoft in [REGFRM] dokumentiert. Prinzipiell muss zwischen den beiden Formaten Windows 2000 und Windows 9x/NT4 unterschieden werden, die jeweils eine unterschiedliche Startzeile besitzen.

566


Sofern keine besonderen Umstände dafür sprechen, sollten .reg-Dateien nur noch im Windows 2000-Format erstellt werden. Die .reg-Dateien, die Sie über die Export-Funktion von regedit.exe im Windows 2000-Format erstellen lassen, werden im Unicode-Format abgespeichert. Sofern Sie diese Dateien mit einem Programm bearbeiten wollen, das keinen Unicode-Zeichensatz unterstützt, müssen Sie die Datei zunächst konvertieren. Öffnen Sie dazu die Datei mit dem Editor (notepad.exe), und ändern Sie dann im Dialogfeld Speichern unter die Codierung von Unicode auf ANSI ab. Beachten Sie dabei aber, dass dann Informationen verloren gehen können, zum Beispiel Zeichenketten, die tatsächlich Unicode-Zeichen enthalten.

Löschen von Schlüsseln und Werte per .reg-Datei Die über den Export erzeugten Dateien enthalten immer nur Informationen, wie man Daten zur Registrierung hinzufügen kann. Manchmal möchte man jedoch auch gezielt Werte oder Schlüssel aus der Registry wieder entfernen. Um einen Schlüssel samt Unterschlüsseln und Werten zu löschen, setzt man in der .reg-Datei vor den Namen des Schlüssels ein Minuszeichen. Um einen Wert zu löschen, setzt man hinter das Gleichheitszeichen ein Minuszeichen. Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\testwerte] "valueREG_SZ"=-

Listing 12.3 .reg-Datei mit Löschanweisungen

[-HKEY_CURRENT_USER\testwerte\Unterschlüssel]

Mit der .reg-Datei aus Listing 12.3 werden zwei Aktionen durchgeführt: 1. Der komplette Schlüssel HKEY_CURRENT_USER\testwerte\Unterschlüssel wird samt aller Werte und Unterschlüssel gelöscht. 2. Der Wert valueREG_SZ wird gelöscht. Dies ist eine andere Aktion, als wenn dem Wert mit der Anweisung valueREG_SZ="" eine leere Zeichenkette zugewiesen worden wäre. Sie können problemlos in einer einzigen .reg-Datei sowohl Anweisungen zum Einfügen oder Ändern von Werten und Schlüsseln als auch welche zum Löschen eintragen.

Drucken Über die Funktion Datei/Drucken oder die Tastenkombination (Strg)+(P) können Sie einen Ausdruck des aktuellen Schlüssels oder der kompletten Registry anfertigen.

567

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.34 Ausdruck der Registrierungsdatenbank

Die Druckausgabe ähnelt hierbei dem Format des Exports in eine Textdatei.

12.3.6

Arbeit mit kompletten Strukturen

Eine binäre Datei, in der Inhalte der Registry abgespeichert sind, wird auch als Struktur bezeichnet. Während in .reg-Dateien nur Inhalte, aber keine Berechtigungen gespeichert sind, enthalten Strukturdateien auch die kompletten Informationen über die Berechtigungen, die für die einzelnen Schlüssel vergeben wurden. Erzeugen kann man Strukturdateien, die keine festgelegte Erweiterung besitzen, zum Beispiel mit der Exportfunktion von regedit.exe, oder man lädt vorhandene Strukturdateien, die aktuell nicht aktiv verwendet werden, zum Beispiel Benutzerprofile von aktuell nicht angemeldeten Benutzern. Abbildung 12.35 Auswahl der zu ladenden Strukturdatei

568

Arbeit mit dem Programm reg.exe

Über den Menübefehl Datei/Struktur laden können Sie nur Strukturen als Unterschlüssel von HKLM und HKU laden. Sofern die Schlüssel HKLM oder HKU selektiert sind, steht Ihnen der Befehl Datei/Struktur laden zur Verfügung. Mit diesem Befehl fügen Sie eine Strukturdatei als Unterschlüssel des aktiven Schlüssels ein. Nachdem die Strukturdatei ausgewählt wurde, muss noch ein Name angegeben werden. Dieser Name wird dann als Schlüssel verwendet, unter dem die geladene Struktur als Unterschlüssel von HKLM oder HKU angezeigt wird. Abbildung 12.36 Name für den neu zu ladenden Schlüssel

Ein auf diese Weise geladener Schlüssel kann über die Funktion Datei/ Struktur entfernen auch wieder entladen werden, zudem wird ein derartig manuell geladener Schlüssel auch bei einem Neustart des System nicht erneut geladen. Solange eine derartige Struktur geladen ist, kann kein weiterer Zugriff auf die zugrunde liegende Strukturdatei erfolgen. Mittels dieser Methode können Sie Informationen aus einer nicht mehr startenden Windows-Installation retten. Kopieren Sie die alten Strukturdateien von der Festplatte, laden Sie diese in einer anderen Windows-Installation ein und exportieren dann die Daten in eine .regDatei. In dieser Datei müssen Sie dann die Schlüsselnamen im Editor durch ihren originalen Namen ersetzen.

12.4 Arbeit mit dem Programm reg.exe Oftmals möchte man in Batchdateien automatisiert Registrywerte ausgeben oder setzen. Hierfür eignet sich regedit.exe als interaktives Programm nicht. Für diese Aufgabe stellt Windows 7 das Programm reg.exe bereit. Als echtes Befehlszeilenprogramm sollte man reg.exe nur im Fenster der Eingabeaufforderung cmd.exe starten, da man ansonsten die Ausgaben des Programms nicht verfolgen kann. Das Programm bietet eine ganze Reihe von Funktionen an, die in Tabelle 12.7 aufgeführt sind. Die Adressierung eines Schlüssels erfolgt dabei immer nach dem Schema \\Computername\Hauptschlüssel\ Unterschlüssel1\Unterschlüssel2\. Sofern der Befehl den eigenen Computer bearbeiten soll, kann der Teil \\Computername\ weggelassen werden. Die Hauptschlüssel kann sowohl ausgeschrieben als auch abgekürzt (siehe Tabelle 12.7) angegeben werden.

569

12

Kapitel 12 Die Registrierungsdatenbank Tabelle 12.7 Befehle für das Programm reg.exe

Befehl

Funktion

ADD

Legt Werte und Schlüssel an.

COMPARE

Vergleicht Werte oder Schlüssel mit anderen Teilen der Registry.

COPY

Kopiert einen Schlüssel (auf Wunsch samt Unterschlüsseln) zu einem anderen Schlüssel.

DELETE

Löscht Werte oder Schlüssel.

EXPORT

Exportiert die Registry als .reg-Datei im Windows 2000Format als Unicode-Datei.

FLAGS

Setzt oder fragt Markierungen ab, die im Zusammenhang mit der Registry-Virtualisierung stehen. Dieser Befehl steht erst seit Windows Vista zur Verfügung.

IMPORT

Import eine .reg-Datei. Dieser Befehl wirkt nur auf dem eigenen Computer.

LOAD

Lädt eine binäre Strukturdatei als Unterschlüssel zu HKLM oder HKU. Wirkt nur auf dem eigenen Computer.

QUERY

Fragt Werte oder Schlüssel ab.

RESTORE

Ersetzt einen Schlüssel durch die Informationen aus einer Strukturdatei.

SAVE

Speichert einen Schlüssel als Strukturdatei ab.

UNLOAD

Entfernt eine geladene Strukturdatei wieder aus der Registry.

Zu jedem Befehl liefert reg.exe durch den Parameter /? eine Online-Hilfe, in der auch Beispiele für die Verwendung des Befehls zu sehen sind. Störend bei der Verwendung des reg.exe-Befehls wirkt sich die UAC von Windows 7 aus. Für einige Aktionen reichen die normalen Berechtigungen eines administrativen Benutzers nicht aus. Hier muss man zunächst über cmd.exe eine Eingabeaufforderung als Administrator öffnen, damit man bestimmte Befehle absetzen kann. Das Programm reg.exe ist selbst nicht in der Lage, eine notwendige UAC-Abfrage durchzuführen, es wird einfach mit einem Zugriffsfehler beendet. Die gleichen Befehle in Listing 12.4, als Administrator ausgeführt, funktionieren, obwohl der ursprüngliche Benutzer auch administrative Berechtigungen besitzt. Dies müssen Sie insbesondere bedenken, wenn Sie administrative Skripte ausführen wollen, die ursprünglich für Windows XP gedacht waren.

570

Das Programm regini.exe >reg query "HKLM\SOFTWARE\Microsoft\Windows\ Currentversion\Policies\System" /v EnableLUA HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\ Policies\System EnableLUA REG_DWORD 0x1

Listing 12.4 Auswirkung der fehlenden UACAbfrage auf reg.exe (Zeilenumbrüche zur besseren Lesbarkeit eingefügt)

>reg add "HKLM\SOFTWARE\Microsoft\Windows\ Currentversion\Policies\System" /v EnableLUA /t REG_DWORD /d 1 /f FEHLER: Zugriff verweigert

12.5 Das Programm regini.exe Das Programm regini.exe stammt ursprünglich aus dem Resource Kit von Alt, aber noch Windows NT4, gehört allerdings inzwischen zur Standardinstallation von nutzbar Windows hinzu. Während man beim Import von .reg-Dateien keine Berechtigungen setzen kann, dient das Programm regini.exe sowohl zum Setzen von Berechtigungen als auch von Werten. Ursprünglich arbeitete das Programm mit der Anwendung regdmp.exe (ebenfalls aus dem Resource Kit) zusammen. Letzteres produzierte eine textuelle Darstellung der Registry, die als Eingabe für regini.exe dienen konnte. Dieses Programm ist allerdings nicht Bestandteil einer Windows 7-Installation. In Bezug auf Berechtigungen unterstützt regini.exe nicht die dezidierte Angabe von Benutzern und Gruppen, wie es etwa icacls.exe für das Dateisystem bietet, sondern arbeitet nur mit bestimmten vorgefertigten Standardberechtigungen. Die Online-Hilfe unter regini.exe /? und die Beschreibung unter [REGINI] geben etwas Starthilfe für die Verwendung des Programms. HKEY_CURRENT_USER\reginipath numvalue = REG_DWORD 12345 strvalue = REG_SZ "Ein Text"

Listing 12.5 Beispiel für eine .regini-Steuerdatei

HKEY_CURRENT_USER\reginipath\subpath [1 8 11] numvalue2 = REG_DWORD 45678 HKEY_CURRENT_USER\reginipath [1 8 11]

In dem Beispiel aus Listing 12.5 wird ein Schlüssel HKCU\reginipath mit zwei Werten und einem Unterschlüssel angelegt, und dem Schlüssel werden am Ende dann die Berechtigungen Administratoren: Vollzugriff (1), Jeder: Lesen (8) und Hauptbenutzer: Vollzugriff (11) übergeben.

571

12


12.6 Die Registry über das Netzwerk bearbeiten Die Registry kann auf verschiedene Arten auch von externen Systemen her bearbeitet werden. Das Programm reg.exe unterstützt das Hinzufügen von \\Computername zu Registry-Pfaden, das Programm regedit.exe unterstützt mit dem Befehl Datei/Mit Netzwerkregistrierung verbinden die Verbindung zur Registry eines anderen Systems. Abbildung 12.37 Verbindungsaufbau mit einer externen Registrierungsdatenbank

Sobald die Verbindung hergestellt ist, kann man die beiden Schlüssel HKLM und HKU des anderen Systems parallel zum eigenen Computer sehen. Hierzu muss man sich (in einer Nicht-AD-Umgebung) am jeweiligen Zielcomputer authentisieren. Trotzdem erhält man in einer derartigen Umgebung keinen Zugriff auf den Schlüssel HLKM. Man kann allerdings auf den Benutzerschlüssel des Benutzers, den man zur Anmeldung verwendet hat, sowohl lesend als auch schreibend zugreifen. Abbildung 12.38 Zugriff auf die Registrierungsdatenbank eines Fremdsystems

572

Die Registry mit eigenen Programmen bearbeiten

Netzwerktechnisch erfolgt der Zugriff über eine RPC-Verbindung, also typischerweise Port 445/TCP. Demzufolge muss dieser Port auch in der Firewall erlaubt werden. Zudem muss der Dienst Remoteregistrierung gestartet sein (normalerweise ist dieser Dienst nicht aktiv). In einer Domänenumgebung wird auf Arbeitsstationen zusätzlich die Freigabe von Dateien deaktiviert. Diese muss dann gleichfalls erst aktiviert werden. C:\Users\jochenr>netstat –no Aktive Verbindungen Proto Lokale Adresse Remoteadresse Status PID TCP 192.168.0.98:445 192.168.0.99:49776 HERGESTELLT 4

Sofern man in einer Active Directory-Umgebung auf die Registry eines anderen Rechners mit den Berechtigungen eines Domänen-Administrators zugreift, hat man auch Zugriff auf die HKLM des anderen Computers.

Listing 12.6 Remotezugriff auf die Registry als Netzwerkverbindung

Manuell kann man die Verbindung zur Registry des anderen Computers über den Menübefehl Datei/Von Netzwerkregistrierung trennen oder die Option Trennen im Kontextmenü des obersten Knoten der fremden Registry aufheben. Automatisch wird diese Verbindung nach dem Schließen des Registrierungs-Editors getrennt.

12.7 Die Registry mit eigenen Programmen bearbeiten Jede Programmiersprache bietet Ihnen auch Schnittstellen für den Umgang Do it yourself! mit der Registry. Entweder finden Sie bereits fertige Prozeduren und Funktionen für die verschiedenen Arbeitsbereiche innerhalb der Registry, oder Sie müssen die entsprechenden API-Funktionen von Windows selbst aufrufen. Gerade für Administratoren ist hier die Anbindung an VB-Script wichtig. Deshalb beschränkt sich dieser Abschnitt auf diesen Bereich. Die Adresse [SCRIPT] bietet hierzu den geeigneten Einstieg in das Thema. Insbesondere im (englischsprachigen) Skript Repository finden sich unter Operating System/Registry eine ganze Reihe von Beispielen, die für eigene Anwendungen abgewandelt werden können. Const HKEY_LOCAL_MACHINE = &H80000002 strComputer = "." Set oReg=GetObject("winmgmts:{impersonationLevel=impersonate}!\\"_ & strComputer & "\root\default:StdRegProv") strKeyPath = "SYSTEM\CurrentControlSet\services" oReg.EnumKey HKEY_LOCAL_MACHINE, strKeyPath, arrSubKeys For Each subkey In arrSubKeys Wscript.Echo subkey Next

Listing 12.7 Beispielskript von Microsoft zum Auflisten aller Unterschlüssel von HKLM\SYSTEM\ CurrentControlSet\ services

573

12


12.8 Die Registry offline bearbeiten Einer der größten Kritikpunkte an der Registry ist immer, dass man sie nur bearbeiten kann, wenn Windows auch tatsächlich gestartet werden kann. Dies ist natürlich ein Problem, wenn Windows durch eine fehlerhafte Konfiguration in der Registry nicht mehr startet. Der Weg führt hierbei über eine Zweitinstallation von Windows, sei es mittels eines vom Datenträger gestarteten Minimalsystems (PE-Windows oder Installationsmedium), einer separaten Installation auf einer zweiten Partition oder im schlimmsten Fall den vorübergehenden Einbau der Festplatte in einen weiteren Rechner. In jedem Fall können Sie dann die Werkzeuge des Ersatzsystems nutzen, um die fehlkonfigurierten Strukturdateien der ursprünglichen Registrierung in die aktuelle Registrierung einzubinden und zu bearbeiten. Die Methoden hierzu können Sie in Abschnitt 12.3.6 ab Seite 568 nachlesen.

12.8.1

Durchführen eines Offline-Restore

Durch die Aufgabenplanung legt Windows 7 in regelmäßigen Abständen eine Sicherung der Registry-Dateien im Verzeichnis RegBack an (siehe den Abschnitt 12.1.1 ab Seite 540). Auf dieses Verzeichnis kann allerdings im laufenden Betrieb nicht zugegriffen werden. Hier finden Sie eine Anleitung, wie Sie eine Rücksicherung dieser Dateien mithilfe der Windows 7Installations-DVD durchführen können. Warum man Installationsdatenträger aufbewahren sollte

Legen Sie zunächst die Windows 7-Installations-DVD in Ihr Laufwerk ein, und starten Sie das System. Nach den Startmeldungen des BIOS erscheint eine Abfrage, ob Sie wirklich von der Installations-DVD starten wollen. Drücken Sie einfach eine beliebige Taste.

Abbildung 12.39 Starten von der Installations-DVD

Falls diese Abfrage nicht erscheint, sollten Sie die Einstellungen im BIOS überprüfen, ob der Computer auch tatsächlich von DVD starten darf. Nach der Anzeige des Windows 7-Startlogos erscheint die Abfrage nach der gewünschten Sprachversion. Hier können Sie einfach auf Weiter klicken.

574

Die Registry offline bearbeiten Abbildung 12.40 Auswahl der Sprachversion

Im folgenden Dialogfeld klicken Sie auf Computerreparaturoptionen. Abbildung 12.41 Installieren oder reparieren?

Nun werden alle im System vorhandenen Datenträger nach möglichen Windows-Installationen durchsucht. Dieser Vorgang kann insbesondere bei vielen und großen Festplatten geraume Zeit dauern.

575

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.42 Suche nach Windows-Installationen

Merken Sie sich den in der Spalte Ort angegebenen Laufwerksbuchstaben. Dies ist möglicherweise ein anderer, als er Ihnen von der laufenden Windows-Installation geläufig ist. Wählen Sie dann im Dialogfeld Systemwiederherstellungsoptionen die gefundene Windows-Installation aus, und klicken Sie Weiter. Anschließend werden Ihnen verschiedene Optionen zur Reparatur angeboten. Wählen Sie Eingabeaufforderung aus. Abbildung 12.43 Reparaturoptionen zur Auswahl

In der nun geöffneten Eingabeaufforderung wechseln Sie zunächst zu dem Laufwerksbuchstaben, den Sie sich weiter oben gemerkt hatten (in

576

Die Registry offline bearbeiten

diesem Beispiel E:), und dann in das Verzeichnis Windows\system32\ config (aus Gründen der Lesbarkeit wurden im Listing Leerzeilen entfernt). Microsoft Windows [Version 6.1.7100] X:\Sources>e: E:\>cd windows\system32\config E:\windows\system32\config>dir Volume im Laufwerk E: hat keine Bezeichnung. Volumeseriennummer: 7475-9422 Verzeichnis von E:\windows\system32\config 03.07.2009 15:23 . 03.07.2009 15:23 .. 17.05.2009 14:49 28.672 BCD-Template 03.07.2009 15:23 18.874.368 components 03.07.2009 15:23 262.144 default 22.04.2009 06:58 Journal 03.07.2009 14:33 RegBack 03.07.2009 15:23 262.144 sam 03.07.2009 15:23 262.144 security 04.07.2009 23:33 23.330.816 software 04.07.2009 15:23 9.175.040 system 02.07.2009 23:52 systemprofile 03.07.2009 22:53 TxR 7 Datei(en), 52.195.328 Bytes 6 Verzeichnis(se), 16.030.445.568 Bytes frei

Listing 12.8 Suche nach möglichen defekten Registry-Dateien

Mit dem Befehl dir lassen Sie sich die Dateien anzeigen, aus denen die Registry des Systems besteht. Hier müssen die Dateien default, sam, security, software und system vorhanden sein und eine normale Größe haben. Eine Definition von normal ist natürlich schwierig, aber die Angaben im Listing können Ihnen als Anhaltspunkt dienen. Nun werden Sie zunächst die alten Dateien mit dem Befehl ren umbenennen (zur Sicherheit) und danach die gesicherten Dateien aus dem Verzeichnis RegBack an die Stelle der alten Dateien kopieren. Die Schleife mit dem Befehl for verkürzt hierbei die Tipparbeit. E:\windows\system32\config>for %f in (default sam security software system) do ren %f %f.old E:\windows\system32\config>ren default default.old E:\windows\system32\config>ren sam sam.old E:\windows\system32\config>ren security security.old E:\windows\system32\config>ren software software.old E:\windows\system32\config>ren system system.old E:\windows\system32\config>for %f in (default sam security software system) do copy RegBack\%f . E:\windows\system32\config>copy RegBack\default . 1 Datei(en) kopiert. E:\windows\system32\config>copy RegBack\sam . 1 Datei(en) kopiert. E:\windows\system32\config>copy RegBack\security . 1 Datei(en) kopiert. E:\windows\system32\config>copy RegBack\software . 1 Datei(en) kopiert. E:\windows\system32\config>copy RegBack\system . 1 Datei(en) kopiert.

Listing 12.9 Umbenennen und Kopieren

577

12


Danach beenden Sie die Eingabeaufforderung mit dem Befehl exit und klicken auf Neu starten im Dialogfeld aus Abbildung 12.43.

12.9 Weitere Programme zum Bearbeiten der Registry Es gibt eine ganze Reihe von Programmen, mit denen sich einige oder alle Teile der Registry bearbeiten lassen. Prinzipiell sollte man dazu sagen, dass man immer besser auf Programme des Herstellers zugreift, der den betreffenden Teil der Registry, den man bearbeiten will, auch ursprünglich entworfen hat. Dabei kann man (hoffentlich) sicher sein, dass der dann auch weiß, welche Funktion welcher Schlüssel oder Wert genau hat, insbesondere so mancher »Tuning-Tipp« ist eher fragwürdig zu sehen.

12.9.1 Mehr Unsinn als Sinn

Registry-Cleaner

Seit es die Registry gibt, werden auf dem Markt sogenannte »Registry Cleaner« angeboten. Diese Programme sollen angeblich die Leistung eines PC steigern, indem sie unbenutzte Einträge in der Registry entfernen. Das Problem ist hierbei allerdings: Wer weiß schon, welche Einträge in der Registry unbenutzt sind? Der größte Teil der Registry liegt im Schlüssel HKLM\SOFTWARE, aber selbst da ist das Finden von unbenötigten Einträgen nicht so einfach. Durch die Struktur der Unterteilung in Firmen und Produkte könnte man vermuten, dass man den Schlüssel FirmaA entfernen kann, wenn man keine Anwendungen von Firma A installiert hat. Leider kann es aber sein, dass eine Anwendung von Firma B eine Software-Komponente von Firma A verwendet, die man von außen her gar nicht sieht, die aber den Schlüssel FirmaA verwendet. Oder man verwendet die Applikation X in Version 3, die demzufolge den Schlüssel FirmaA\ApplikationX\3.0 verwendet. Kann man sich sicher sein, dass nicht auch noch Informationen der Vorversion aus Schlüssel FirmaA\ApplikationX\2.0 verwendet werden? Sicherheitshalber sollte man von derartigen Tools Abstand nehmen. Die Gefahr, dass diese mehr schaden als nutzen, ist ziemlich groß. Die beste Methode, um zu verhindern, dass die Registry zu viele Daten enthält, ist Datensparsamkeit. Also auf einem produktiven System nicht wild Programme installieren, zum Testen lieber Testsysteme verwenden. Dies ist heutzutage im Zeitalter von (kostenlosen) Virtualisierungslösungen das Mittel der Wahl.

12.9.2

Registry-Backup und -Restore

Da die Registry wichtige Daten für den Betrieb des Systems speichert, benötigt man auch Methoden, um diese Informationen zu sichern und gegebenenfalls wieder herstellen zu können.

578

Weitere Programme zum Bearbeiten der Registry

Backup und Restore mit Bordmittel Seit Windows XP gibt es die Systemwiederherstellung, die in regelmäßigen Abständen eine Sicherung der Systemeinstellungen vornimmt, etwa bevor Updates eingespielt werden. Dieses Verfahren unterstützt auch Windows 7, jedoch muss es zunächst aktiviert werden. 1. Rufen Sie in der Systemsteuerung den Eintrag System und Sicherheit/ Sichern und Wiederherstellen auf. Sie sehen den Status der Systemwiederherstellung. Abbildung 12.44 Die Sicherung ist nicht konfiguriert.

2. Klicken Sie auf Sicherung einrichten. Es erscheint eine Auflistung möglicher Datenträger, auf denen die Sicherung abgelegt werden kann. Es ist nicht möglich, die Sicherung auf dem Datenträger durchzuführen, auf dem Windows selbst installiert ist. Es ist gleichfalls nicht möglich, einen Datenträger auszuwählen, auf dem eine andere Installation von Windows (bei einem Dualboot-System) liegt. Möglich ist die Ablage der Sicherung auf einer externen Festplatte, auf einer Netzwerkfreigabe eines anderen Systems oder einem CD-/DVD-Brenner. Wählen Sie den gewünschten Datenträger aus, und klicken Sie auf Weiter. Eventuell erscheint eine Warnung, wenn der Datenträger keinen ausreichenden Speicherplatz aufweist oder dieser auf dem gleichen physischen Laufwerk wie der Systemdatenträger liegt (zweite Partition auf einer realen Festplatte). Die Wiederherstellung einer derartigen Sicherung kann über den Bereich Wiederherstellen im Dialogfeld aus Abbildung 12.44 erreicht werden. Während bei einzelnen Dateien oder Ordnern auch eine selektive Wiederherstellung erreicht werden kann, ist die Rücksicherung der Inhalte der Registry nur über eine komplette Systemwiederherstellung zu erreichen. Zwar gehen hierbei keine Benutzerdaten verloren, jedoch werden Programme, die in der Zeit zwischen Erstellung des Wiederherstellungspunktes und dem Restore installiert wurden, nicht mehr funktionieren. Dieses Verfahren eignet sich also nur zur Behebung größerer Probleme, die den Computer als Ganzes betreffen.

579

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.45 Die Sicherung wird durchgeführt.

Abbildung 12.46 Eine komplette Systemwiederherstellung

Abbildung 12.47 Erste Anmeldung nach der Systemwiederherstellung

ERUNT – Emergency Recovery Utility NT Das Programm ERUNT wird hier stellvertretend für eine ganze Reihe sogenannter Registry-Sicherungsprogramme vorgestellt. Das Programm selbst lässt sich unter [ERUNT] herunterladen. Hier stellen wir die Version 1.1j vor.

580


Das Programm ist zwar Freeware, der Autor ist jedoch einer Spende nicht abgeneigt. Details dazu finden Sie in der oben genannten Webseite. Nach dem Laden der Installationsdatei wird diese installiert, Sie können hierbei die Standardoptionen einfach beibehalten. Zunächst müssen Sie eine UAC-Abfrage bestätigen, danach die gewünschte Sprache auswählen. Auf Wunsch legt das Installationsprogramm automatisch eine Verknüpfung im Autostart-Ordner an, sodass beim Anmelden automatisch eine Sicherung angelegt wird. Diese Option sollten Sie nicht aktivieren, da ERUNT nur problemlos läuft, wenn es als Administrator gestartet wurde. Am Schluss der Installation kann sofort eine Sicherung der Registry angelegt werden. Diese läuft unter Administratorrechten, da sie vom Installationsprogramm aus aufgerufen wird. Abbildung 12.48 Anlegen einer Sicherung mit ERUNT

Sofern der gewählte Ordner noch nicht existiert, müssen Sie das Anlegen zunächst bestätigen. Ob Sie die Option Andere geöffnete Benutzerregistrierungen aktivieren oder nicht, hängt davon ab, ob auch andere Benutzer aktuell am System angemeldet sind. Die Registry nicht angemeldeter Benutzer können Sie einfacher sichern, indem Sie deren komplettes Profilverzeichnis sichern. In den gewählten Ordner wird auch gleich das Rücksicherungsprogramm erdnt.exe kopiert. Eine manuelle Sicherung können Sie starten, indem Sie das ERUNT-Symbol im Programmmenü oder auf dem Desktop mit der rechten Maustaste anklicken und auf Als Administrator ausführen klicken. Sofern Sie an einem Tag mehr als eine Sicherung durchführen wollen, müssen Sie das Zielverzeichnis für die Sicherung manuell abändern, etwa durch Hinzufügen eines Buchstabens am Ende. ERUNT ist nicht in der Lage, in einem Zielverzeichnis mehrere Sicherungen aufzubewahren. Zur Rücksicherung müssen Sie zunächst mit dem Explorer zum Verzeichnis C:\Windows\Erdnt (Hauptverzeichnis Ihrer ERUNT-Sicherungen) navigieren. Danach öffnen Sie das Verzeichnis, aus dem Sie die Sicherung wiederherstellen wollen. Die Datei erdnt.exe klicken Sie mit der rechten Maustaste an und wählen Als Administrator ausführen. Nun startet die Rücksicherung nach einer UAC-Abfrage und einer weiteren Sicherungsabfrage. Bei den Optionen wählen Sie aus, ob Sie die Systemregistrierung, die Benutzerregistrierung oder beide zurücksichern wollen. Nach der Rücksicherung müssen Sie den Computer neu starten.

581

12


Beide Programme lassen sich auch in Skriptdateien einbinden. Für weitere Informationen wenden Sie sich bitte an die Webseite des Programmautors.

12.9.3

Zugriff auf die Registry überwachen – RegMon und ProcMon

Zwei der wichtigsten Programme zum Überwachen der Registry waren die Anwendungen Registry Monitor und Process Monitor aus der Sysinternals-Suite. Die Funktionen von RegMon und FileMon wurden inzwischen in das Programm ProcMon überführt, RegMon sollte nur noch für altere Windows-Versionen (Windows 9x und NT4) verwendet werden. Im Folgenden wird ProcMon in der Version 2.04 zugrunde gelegt. Eine Installation des Programms ist nicht notwendig. Sie können entweder die .zipDatei von Microsoft laden und lokal auspacken oder die Live-Version auf der Website ausprobieren. Beim Start von ProcMon.exe erfolgt zunächst eine UAC-Abfrage, da die Informationen, die das Programm anzeigt, nur von Benutzern mit administrativen Berechtigungen angesehen werden können. Beim ersten Start des Programms muss zusätzlich noch ein Lizenzhinweis von Microsoft bestätigt werden.

Analyse des Programms calc.exe Der Taschenrechner calc.exe bei Windows 7 unterstützt vier Anzeigemodi: Standard, Wissenschaftlich, Programmierer und Statistik. Er startet jeweils immer in den Modus, in dem er zuvor beendet wurde. Diese Information wird (wo sonst?) in der Registry abgespeichert, und auf die folgende Weisen können Sie herausfinden, wo diese Informationen genau gespeichert werden: 1. Starten Sie procmon.exe. Es wird eine Vielzahl von Informationen über die aktuell auf dem System laufenden Prozesse angezeigt. Abbildung 12.49 Process Monitor zeigt alles.

2. Rufen Sie im Menü die Funktion Filter/Filter auf. Geben Sie die Filterkriterien gemäß Abbildung 12.50 ein, und klicken Sie auf Add und OK.

582


Die Liste der angezeigten Ereignisse wird leer, weil ja aktuell kein Prozess mit dem Namen calc.exe läuft. Der Process Monitor speichert die zuletzt verwendeten Filter und zeigt dieses Dialogfeld beim erneuten Start an. Abbildung 12.50 Neues Filterkriterium hinzufügen

3. Starten Sie das Programm calc.exe. Sie sehen im Process Monitor, welche Aktionen das System durchführt, um das Programm zu starten. Klicken Sie danach auf die vier in Abbildung 12.51 markierten Symbole rechts vom Registry-Symbol. Dies filtert zusätzlich noch Dateizugriffe, Netzwerkaktivitäten und prozessbezogene Ereignisse aus. Abbildung 12.51 Ausgabe gefiltert auf calc.exe

4. Wenn Sie in der Liste Ereignisse finden, die Sie nicht interessieren, können Sie über das Kontextmenü des Eintrags zusätzliche Filter aktivieren. Sinnvoll wäre hier ein Filter, der den Zugriff auf HKLM ausschließt (wir suchen eine benutzerbezogene Einstellung). Wenn Sie einen vorhandenen Filter abändern wollen, markieren Sie ihn in der Liste der aktiven Filter und klicken dann auf Remove. Der Filter steht dann zum Ändern zur Verfügung und kann mit Add erneut aktiviert werden.

583

12


5. Stellen Sie im Taschenrechner im Menü Ansicht die Anzeigedarstellung um und wechseln dann im Process Monitor ganz ans untere Ende der Auflistung. Dort finden Sie folgendes Ereignis (durch Klick auf Copy All können Sie den Inhalt als Text in die Zwischenablage übernehmen): Date & Time:16.07.2009 14:32:38 Event Class:Registry Operation:RegSetValue Result:SUCCESS Path:HKCU\Software\Microsoft\Calc\layout TID:2568 Duration:0.0000284 Type:REG_DWORD Length:4 Data:0

6. Der Wert layout im Schlüssel HKCU\Software\Microsoft\Calc ist für die Kontrolle des Anzeigemodus der Anwendung zuständig. Durch Wiederholung der Umstellung kann man feststellen, welcher Wert genau für welchen Darstellungsmodus zuständig ist. Dieses kleine und recht triviale Beispiel soll Ihnen verdeutlichen, wie Sie mit dem Process Monitor analysieren können, was genau ein Programm tut und welche Zugriffe es durchführt. Insbesondere bei Problemen mit unsauber erstellen Applikationen als Nichtadministrator kann man somit gut feststellen, wo etwa ein Programm auf Dateien oder Registry-Werte zuzugreifen versucht, wo dies eigentlich nicht gestattet ist.

12.10 Tipps zur Erhöhung der Sicherheit Da die Registry viele systemrelevante Informationen enthält, sollte man nach Möglichkeit versuchen, den Zugriff darauf zusätzlich abzusichern.

12.10.1 .reg-Dateien nicht per Doppelklick installieren Normal wird ja eine .reg-Datei importiert, sobald man sie doppelt anklickt. Zwar erfolgt dann noch eine Sicherheitsabfrage, aber schnell hat man diese fälschlich bejaht und Dinge in die Registry importiert, die man da eigentlich nicht haben wollte, weil man die Datei vorher noch bearbeiten wollte. Leider gibt es bei Windows 7 das noch bei Windows XP vorhandene erweiterte Dialogfeld aus Ordneroptionen/Dateitypen nicht mehr, mit dem man die einzelnen Aktionen, die im Explorer mit einer bestimmten Art von Dateien verbunden waren, kontrollieren konnte. Damit beim Doppelklick auf eine .reg-Datei stattdessen den Editor öffnet, muss die Standardaktion für den Dateityp auf edit gesetzt werden. Dies kann man mit folgender .reg-Datei erreichen.

584

Tipps zur Erhöhung der Sicherheit Windows Registry Editor Version 5.00 [HKEY_CLASSES_ROOT\regfile\shell] @="edit"

Listing 12.10 Neue Standardaktion für .regDateien

Das edit ergibt sich daraus, dass unterhalb von HKCR\regfile\shell ein gleichnamiger Unterschlüssel existiert, in dem die gewünschte Aktion konfiguriert ist.

12.10.2 Aufruf des Registrierungs-Editors verbieten Auch wenn die Schlüssel der Registry bereits durch ihre Zugriffsrechte geschützt werden, will man eventuell einem Benutzer auch verbieten, überhaupt den Registrierungs-Editor zu starten. Das verhindert zwar nicht, dass der Benutzer über andere Applikationen doch Schlüssel der Registry einsehen oder ändern kann, auf die er Zugriff hat, stellt aber eine gewisse Hürde für den unerfahrenen Benutzer dar. Diese Sperrung wird über Gruppenrichtlinien oder direkt in der Registry durchgeführt.

Per Gruppenrichtlinie Um den Aufruf von regedit.exe per Gruppenrichtlinie zu verbieten, führen Sie folgende Schritte durch: 1. Rufen Sie in einer Active Directory-Umgebung den Gruppemrichtlinien-Editor auf, oder starten Sie lokal die Anwendung gpedit.msc. 2. Navigieren Sie zum Punkt Benutzerkonfiguration/Administrative Vorlagen/System. 3. Setzen Sie den Wert Zugriff auf Programme zum Bearbeiten der Registrierung verhindern auf Aktiviert. Abbildung 12.52 Benutzerrichtlinie zur Sperrung der Registry-Tools

585

12

Kapitel 12 Die Registrierungsdatenbank Abbildung 12.53 Die Registry ist gesperrt.

Sofern die lokale Richtlinie verändert wurde, ist die Sperrung sofort aktiv. Bei einer Sperrung über eine Gruppenrichtlinie in Active Directory muss zunächst gewartet werden, bis der Client die Richtlinie vom Server auch aktiviert, hier kann ein Neustart helfen. Die Sperrung wirkt sich auch auf die Programme reg.exe und regini.exe aus. Der erneute Aufruf des Richtlinien-Editors ist davon jedoch nicht betroffen.

Per Registry Um den Zugriff auf die Registry direkt über die Registry zu sperren, erzeugen Sie im Schlüssel HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System einen neuen Wert DisableRegistryTools vom Typ REG_ DWORD und weisen diesem den Wert 1 zu. Auch diese Einstellung wirkt sofort.

586

13

Sicherheit

Sicherheit ist heute bei Computern das große Thema. Das betrifft nicht mehr allein den Schutz vor Abstürzen und Fehlfunktionen sondern erstreckt sich auch auf den Schutz vor unbefugten Zugriffen, Angriffen über angeschlossene Netzwerke und den Schutz vor Datenlecks. Dies ist auch unter dem Gesichtspunkt zu betrachten, dass seit 1.9.2009 in Deutschland über das Bundesdatenschutzgesetz geregelt ist, dass unter Umständen die von einem Datenleck betroffenen Personen sowie die zuständigen Aufsichtsbehörden darüber informiert werden müssen (siehe [BDSG42a]). Ein solches Problem ist somit nicht nur mehr allein ein internes Problem der IT, sondern hat auch eine erhebliche Außenwirkung auf die betroffene Firma oder Behörde.

Gesetzliche Anforderungen an den Computerschutz

13.1 Sichere Entwicklung – SDL Kein Hersteller wird wissentlich unsichere Software produzieren, aber das heißt noch lange nicht, dass er auch tatsächlich sichere Software herstellt. Und leider stehen dann bei der Benutzung der Software auch noch die Interessen der Bequemlichkeit der Anwender in diametraler Richtung zum Wunsch nach Sicherheit vonseiten der Administratoren her. Es ist ja nicht so, als ob die Techniken zum Erstellen sicherer Software nicht bekannt wären, aber es müssen die Entwickler auch dazu gebracht werden, diese Regeln zu befolgen. Nach einigen unerfreulichen Vorfällen sandte deshalb Bill Gates im Januar 2002 eine E-Mail an alle Mitarbeiter, in der er forderte, den Fokus bei der Programmentwicklung deutlicher auf die Sicherheit der erstellten Software zu legen: So now, when we face a choice between adding features and resolving security issues, we need to choose security.1 1

Wenn wir nun die Wahl haben, ob wir Funktionen hinzufügen oder Sicherheitsprobleme lösen, müssen wir die Sicherheit wählen.

587

Kapitel 13 Sicherheit

Zwar ist seitdem noch keine perfekte Software vom Himmel gefallen, aber der Trend geht eindeutig zu mehr Sicherheit. Bei Windows XP konnte ein Administrator noch alles machen, es hielt ihn keiner auch von katastrophalen Aktionen ab. Bei Windows Vista wurde deshalb das Konzept der Benutzerkontensteuerung (siehe den Abschnitt 13.2 ab Seite 588) eingeführt. Hier wurde allerdings wohl etwas übertrieben, sodass viele Anwender den Schutz wieder abschalteten. Aus diesem Grund wurde dies bei Windows 7 wieder etwas zurückgenommen, sodass der Schutz den Benutzer weniger einschränkt. Updates für alle

An anderer Stelle waren die Schutzmaßnahmen erfolgreicher. Während bei Windows 2000 die Verteilung von Software-Updates noch explizit vom Administrator eingeschaltet werden musste, muss er bei der Installation von Windows 7 schon extra die Updates abwählen (siehe Abbildung 13.32). Auch aus diesem Grund haben sich die aktuellen Bedrohungen weg vom direkten Angriff auf das Betriebssystem hin zu Angriffen auf spezielle Anwendungsprogramme (zum Beispiel Anzeigeprogramme für pdfDateien) verlagert. Das Problem sind also inzwischen weniger globale Angriffe auf die Netzwerkstruktur als vielmehr gezielte Angriffe auf einzelne Systeme und Personen. Und dies ist die neue Gefahr. Ein breiter Angriff fällt schnell auf. Es ist zu erwarten, dass das Angriffsmuster auch schnell bei den Herstellern entsprechender Schutzprogramme (Antivirus, Intrusion Detection) auftaucht, sodass diese ihre Schutzfunktionen entsprechend darauf abstimmen können. Ein gezielter Angriff ist eben gezielt und wird deshalb meist außerhalb des Zielgebietes nicht bemerkt. Demzufolge versagen auch die üblichen Schutzmechanismen. Der Computerschutz wird also schwieriger anstatt einfacher.

Sicherheit von Anfang an

Um Probleme schon im Vorfeld der eigentlichen Entwicklung zu verhindern, haben deshalb Microsoft (und viele andere Firmen) das Konzept des Security by Design (Sicherheit durch Gestaltung) entwickelt. Hierbei wird bereits in der Designphase einer Anwendung der Fokus auf Sicherheit gelegt. Der Grundgedanke ist hierbei, dass es leichter ist, Sicherheitslücken zu vermeiden, indem man problematische Teile erst gar nicht einbaut, anstatt im Nachhinein die vorhandenen Lücken separat abzusichern. Im Bereich der Entwicklung wurde von Microsoft der SDL (Security Development Lifecycle – Lebenszyklus der sicheren Entwicklung) eingeführt. Dies ist kein Produkt, mit dem man entwickelt, dies sind Verfahrensschritte, die man in die Entwicklung integriert. In [SDL] wird genauer beschrieben, was Microsoft im Rahmen des SDL an Aktionen durchführt, um eine bessere Qualität der Software zu erreichen. Das Gute daran ist: Viele der verwendeten Tools sind auch für eigene Entwicklungen verwendbar, da sie entweder Bestandteil der aktuellen Entwicklungsumgebungen oder kostenlos verfügbar sind.

13.2

Benutzerkontensteuerung – UAC

Die Benutzerkontensteuerung, auch UAC – User Account Control genannt, wurde erstmals bei Windows Vista eingeführt und beschreibt ein Verfahren, bei dem einem Benutzer mit administrativen Rechten (sei es ein lokaler Administrator oder ein Domänen-Administrator) eben diese Privile-

588

13 Benutzerkontensteuerung – UAC

gien nicht mehr automatisch zustehen. In vielen Fällen muss er den Einsatz dieser Berechtigungen erst noch zusätzlich authentisieren.

13.2.1

Warum diese Einschränkung?

Auch wenn es eine schlechte Angewohnheit ist, so arbeiten doch viele Benut- Der Administrazer auch bei ihrer täglichen Arbeit mit einem administrativen Account. Dies tor ist nicht mehr birgt natürlich Gefahren. Ein normaler Benutzer kann bei einer Fehlbedie- gottgleich nung oder Fehlfunktion seiner Software nur seine eigenen Daten gefährden, ein administrativer Benutzer kann gleich die Sicherheit des kompletten Systems (und damit auch die Daten aller anderen Benutzer) aufs Spiel setzen. Dies umso mehr, als man sich auch beim Surfen auf harmlosen Webseiten Schadprogramme einfangen kann. Möchte jetzt ein Benutzer (oder ein Schadprogramm, das der Benutzer unbeabsichtigt gestartet hat) eine Tätigkeit ausführen, die einen administrativen Zugriff benötigt, wird dem Benutzer eine UAC-Abfrage präsentiert. Ein administrativer Benutzer kann diese direkt bestätigen, ein normaler Benutzer muss Benutzername und Kennwort eines administrativen Benutzers eingeben. In den beiden folgenden Abbildungen wird jeweils versucht, eine Anwendung zu installieren. Abbildung 13.1 UAC-Abfrage eines administrativen Benutzers

Abbildung 13.2 UAC-Abfrage eines nichtadministrativen Benutzers

Sofern das Programm, das installiert werden soll, von einem Herausgeber signiert worden ist, kann über den Link Details anzeigen das Zertifikat des Herausgebers angezeigt werden. Das Besondere an der UAC-Abfrage ist, dass der restliche Bildschirm währenddessen abgedunkelt ist und einfriert

589


(Secure Desktop). Andere laufende Programme laufen zwar weiter, es findet jedoch keine Bildschirmausgabe statt. Gegenüber Windows Vista wurde die Anzahl der Aktionen, die eine UAC erfordern, etwas zurück genommen, sodass beim normalen Arbeiten die UAC weniger häufig erscheint. Wieviel Nerverei soll sein?

Tabelle 13.1 UAC-Sicherheitsstufen

Über Systemsteuerung/System und Sicherheit/Wartungscenter/Einstellungen der Benutzerkontensteuerung ändern oder Eingabe von UAC in das Suchfeld der Systemsteuerung kann man in vier Stufen festlegen, wie die UAC auf bestimmte Ereignisse reagieren soll. Stufe

Meldung erfolgt, wenn ...

Immer benachrichtigen

Programme versuchen, Änderungen am System vorzunehmen oder Software zu installieren, Benutzer ändert Windows-Einstellungen Standard Programme versuchen, Änderungen am System vorzunehmen oder Software zu installieren Wenige Benach- Gleiche Einstellung wie bei Standard, allerdings wird die richtigungen UAC-Abfrage auf dem normalen, nicht abgedunkelten Desktop dargestellt. Nie benachVerhalten wie bei Windows XP. Ein Administrator hat richtigen volle Kontrolle ohne weitere Abfragen, ein normaler Benutzer erhält keine Möglichkeit, eine privilegierte Funktion durch Angabe eines administrativen Kontos doch zu erlauben. Diese Einstellung erfordert einen Neustart.

Abbildung 13.3 UAC-Möglichkeiten für Administratoren

Unter Windows Vista konnte man die UAC nur entweder ein- oder ausschalten. Hier bietet Windows 7 eine feinere Abstufung. Neben der Einstellung der Stufen kann auch über Gruppenrichtlinien oder lokale Sicherheitsrichtlinien mittels gpedit.msc (siehe Kapitel 11) das Verhalten des UAC gesteuert werden. So kann beispielsweise unter Computerkonfiguration/Windows-Einstellungen/Lokale Richtlinien/Sicherheitsoptionen eingestellt werden, welche Optionen einem Administrator oder einem normalen Benutzer bei der UAC-Abfrage angeboten werden.

590

13 Integrität von Objekten

13.2.2

Wie funktioniert UAC?

Sobald sich ein Benutzer am System anmeldet, wird ihm ein sogenanntes Zugriff per Token Access-Token vom System zugeteilt. Dieses Token (englisch für Zeichen oder Merkmal) enthält seine SID, Informationen über Gruppenmitgliedschaften und erteilte Privilegien. Sobald der Benutzer eine Aktion im System durchführen will, z.B. eine Datei lesen, wird anhand seines AccessTokens geprüft, ob dieses ausreicht, um die Aktion durchzuführen. Sollte die Berechtigung nicht ausreichen, wird zunächst ein Zugriffsfehler gemeldet, das Programm kann dann versuchen, über eine UAC-Abfrage ein Access-Token mit höheren Zugriffsberechtigungen zu erhalten. Meldet sich ein Administrator an, werden vom System zwei Access-Token erzeugt. Eines, bei dem alle Informationen enthalten sind, und eines, bei dem alle administrativen Inhalte (zum Beispiel Mitgliedschaft in der Gruppe der Administratoren) entfernt wurden. Mit diesem Standard-Token arbeitet der Administrator im Normalfall, sodass er dann nicht mehr Aktionen ausführen kann als ein normaler Benutzer. Benötigt der administrative Benutzer für eine Aktion mehr Berechtigungen, erfolgt die UAC-Abfrage (sofern die Anwendung diese unterstützt). Wird diese bestätigt, so schaltet das System auf die Verwendung des administrativen Tokens um. Diese Betriebsart wird auch Admin Approval Mode genannt. Es gibt allerdings eine Ausnahme: Der erste Benutzer, der in einem System angelegt wird, läuft ohne diese Zweiteilung seines Access-Tokens. Dieser Account ist typischerweise der Benutzer Administrator. Unter Windows 7 kann man sich allerdings unter normalen Umständen nicht mit diesem Benutzer anmelden, dies ist nur möglich, wenn sonst kein anderer Benutzer mit administrativen Berechtigungen auf dem System mehr verfügbar ist.

13.3 Integrität von Objekten Als weitere Möglichkeit, ein System sicherer zu gestalten, wurde mit Vertrauen ist Windows Vista das Konzept der Verbindlichkeitsstufe (auch Integritätsstufe gut, Kontrolle – Integrity Level genannt) eingeführt. Dieses Konzept geht davon aus, dass ist besser man Dateien und Verzeichnissen mehr oder weniger Vertrauen schenkt, etwa basierend auf der Quelle, aus denen diese Dateien stammen. Dieses Konzept ähnelt dem Zonenkonzept, das der Internet Explorer implementiert, um Webseiten bestimmte Aktionen zu gestatten oder zu versagen. Hier kann man zum Beispiel einer Website, die in der Zone der vertrauenswürdigen Sites aufgeführt ist, mehr Aktionen gestatten als einer, die in der Zone Internet liegt. Zur Verwendung durch Benutzer sind in Windows 7 drei dieser Stufen vorgesehen: 왘 Niedrig 왘 Mittel 왘 Hoch Zusätzlich gibt es noch die Stufen Untrusted, System und Installer. Diese sind aber nur programmiertechnisch erreichbar.

591


Diese Stufen greifen immer dann, wenn entweder schreibend auf ein Objekt zugegriffen oder ein neuer Prozess erzeugt wird. Normal läuft ein Prozess auf der Stufe Mittel. Sofern er nur lesend auf ein Objekt zugreifen will, kann er dies bei allen Objekten tun, für die er durch seinen Benutzer und seine Gruppenmitgliedschaften (sein Standard-Token) entsprechende Berechtigungen besitzt. Will er aber auf ein Objekt schreibend zugreifen (zum Beispiel eine Datei speichern oder neu anlegen), so überprüft das System, ob die Integritätsstufe des Prozesses gleich oder höher als die Stufe des Objektes ist, auf das er zugreifen will. Ist dies nicht der Fall, so wird der Zugriff verweigert. Wird ein neuer Prozess erzeugt (zum Beispiel indem von cmd.exe aus ein Programm gestartet wird), so erhält dieser neue Prozess die geringere der beiden Stufen, die man erhält, wenn man sich die Stufe des aufrufenden Prozesses und die der Datei des aufzurufenden Programms betrachtet.

13.3.1

Verbindlichkeitsstufen – ein Beispiel

Starten Sie zunächst eine Eingabeaufforderung, und führen Sie dort die folgenden Aktionen aus: Listing 13.1 Testumgebung für Verbindlichkeitsstufen

>mkdir low >icacls low /setintegritylevel (OI)(CI)l Bearbeitete Datei: low 1 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten. >icacls low low NT-AUTORITÄT\SYSTEM:(I)(OI)(CI)(F) VORDEFINIERT\Administratoren:(I)(OI)(CI)(F) win7lap\jochenr-admin:(I)(OI)(CI)(F) Verbindliche Beschriftung\Niedrige Verbindlichkeit...:(OI)(CI)(NW) 1 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten. >copy %windir%\system32\notepad.exe lonote.exe 1 Datei(en) kopiert. >icacls lonote.exe /setintegritylevel l Bearbeitete Datei: lonote.exe 1 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten. >icacls lonote.exe lonote.exe NT-AUTORITÄT\SYSTEM:(I)(F) VORDEFINIERT\Administratoren:(I)(F) win7lap\jochenr-admin:(I)(F) Verbindliche Beschriftung\Niedrige Verbindlichkeit...:(NW) 1 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten.

Beim Betrachten der Verbindlichkeitsstufen mit icacls.exe ist zu beachten, dass die Stufe Mittel nicht angezeigt wird. Wird also keine Stufe angezeigt, hat das Objekt den Standardwert.

592

13 Integrität von Objekten 왘 Was ist passiert?

Es wurde ein neues Verzeichnis low angelegt und dieses mit der Verbindlichkeitsstufe Niedrig versehen (der erste icacls-Aufruf setzt den Wert, der zweite Aufruf dient der Kontrolle). Sodann wurde eine Kopie des Editors notepad.exe unter dem Namen lonote.exe angelegt und auch auf die niedrige Verbindlichkeitsstufe gesetzt. 왘 Welcher Effekt wurde damit erreicht? Beim Start des Programms lonote.exe wird dies danach mit niedriger Verbindlichkeitsstufe ausgeführt, weil eben die ausführbare Datei nur dieses Niveau hat. Sie können somit mit diesem Editor zwar alle Dateien sehen, auf die Ihr Benutzer Zugriff hat, können jedoch nur in ein Verzeichnis speichern, das auch auf einem niedrigen Sicherheitsniveau steht, in diesem Fall das Verzeichnis low. Nun wird die Absicherung des Editors sicherlich nicht wesentlich zur Erhö- Selbst ein Editor hung der Sicherheit beitragen. Hier muss man aber bedenken, dass sich kann gefährlich diese Änderung auf alle von der betreffenden Applikation aus gestarteten sein Programme fortsetzt (selbst aus dem Editor heraus lassen sich andere Programme starten!). Dies wird insbesondere interessant, wenn man an Programme denkt, die Daten aus dem Internet entgegennehmen und diese gegebenenfalls auch ausführen (gemeinhin Browser genannt). Der Internet Explorer unterstützt aus diesem Grund seit Version 7 ebenfalls dieses Konzept. Abbildung 13.4 Prozesse und ihre Verbindlichkeiten

In Abbildung 13.4 können Sie zwei interessante Dinge erkennen: 왘 Der Prozess cmd.exe mit der PID 3908 läuft mit Stufe Mittel und hat das Programm lonote.exe mit der PID 2944 gestartet. Dieses läuft auf Stufe Niedrig und hat selber wieder ein Programm gestartet, cmd.exe mit PID 1044. Dieser Prozess hat dann gleichfalls die Stufe Niedrig geerbt.

593

Kapitel 13 Sicherheit 왘 Der Internet Explorer iexplore.exe mit PID 3468 läuft auf Stufe Mittel

und hat sich selber dreimal aufgerufen (PID 940, 952 und 1308). Dies wurde dadurch erreicht, dass drei Webseiten in drei Registerkarten aufgerufen wurden, von denen eine aus der Zone der vertrauenswürdigen Sites stammt. Deshalb läuft nur die PID 1308 auf mittlerer Stufe, die beiden anderen auf niedriger Stufe. Unverbindlich geht’s immer

Wie Sie sehen, kann man problemlos die Verbindlichkeitsstufe reduzieren, entweder durch Zuweisen einer niedrigeren Stufe auf die Programmdatei oder indem ein Programm sich selber einen niedrigeren Wert zuweist. Der umgekehrte Weg geht jedoch nicht so einfach. Um ein Programm mit hoher Verbindlichkeit aufzurufen, muss dieses über die Option Als Administrator ausführen gestartet werden, wofür eine UAC-Abfrage erfolgt.

13.4 Wartungscenter Das, was bei Windows XP noch als Sicherheitscenter bezeichnet wurde, nennt sich bei Windows 7 nun Wartungscenter (Action Center) und wird über Systemsteuerung/System und Sicherheit/Wartungscenter aufgerufen. Es bietet auf einen Blick eine Übersicht über alle für den Bereich der Sicherheit zuständigen Indikatoren. Abbildung 13.5 Das Wartungscenter in Windows 7

594

13 Wartungscenter

Die einzelnen im Wartungscenter dargestellten Sicherheitsindikatoren sind: Sicherheitsindikator

Zeigt an

Virenschutz

Ist ein AV-Programm installiert?

Netzwerkfirewall

Ist die aktive Netzwerkverbindung mit einer Firewall geschützt?

Windows Update

Wird automatisch nach Updates gesucht, werden Updates automatisch installiert.

Spyware

Existiert ein Schutz vor Spyware und ähnlichen unerwünschten Anwendungen?

Internetsicherheitseinstellungen

Sicherheitseinstellungen des Internet Explorers. Es ist zweifelhaft, ob hier auch die Einstellungen anderer Browser überwacht werden (können).

Benutzerkontensteuerung

Status der Benutzerkontensteuerung

Netzwerkzugriffschutz

Zustand der NAP-Steuerung. Dies ist ein Verfahren, mit dem in einer Firmenumgebung Systeme von dem restlichen Netzwerk getrennt werden, solange sie nicht bestimmten Sicherheitsrichtlinien genügen.

Tabelle 13.2 Sicherheitsindikatoren im Wartungscenter

Neben den Indikatoren, die im Wesentlichen überprüfen, ob bestimmte Systemfunktionen vorhanden und aktiviert sind, gibt es noch eine Reihe von Wartungsindikatoren, die ebenfalls für den Status des Systems beachtet werden sollten: Wartungsindikator

Zeigt an

Problemberichte

Wie auch schon bei den vorigen Versionen von Windows besteht auch bei Windows 7 die Möglichkeit, bei aufgetretenen Fehlfunktionen von Systemkomponenten online in einer Problemdatenbank nach Lösungen zu suchen. Hier kann kontrolliert werden, ob und wie oft nach diesen Lösungen gesucht werden soll.

Sicherung

Wird ein regelmäßiges Backup des Systems durchgeführt?

Updates

Müssen bereits geladene Updates noch installiert werden?

Tabelle 13.3 Wartungsindikatoren

Problembehandlung Hat die Problembehandlung im System aktuell einen Fehlerzustand erkannt und muss dieser bearbeitet werden?

Im Normalfall wird man das Wartungscenter weder bemerken noch es aktiv ansteuern. Sobald jedoch ein Zustand eintritt, bei dem einer der Sicherheitsindikatoren des Wartungscenters eine Fehlfunktion feststellt, meldet es sich automatisch mit einem Dialogfeld am Bildschirmrand. In

595


Abbildung 13.6 wurden die Sicherheitseinstellungen des Internet Explorers auf einen sehr unsicheren Level eingestellt. Dies meldet zum einen das Dialogfeld für die Einstellungen des Internet Explorers am oberen Rand, zum anderen erscheint im Infobereich der Taskleiste eine entsprechende Warnmeldung. Abbildung 13.6 Unsichere Interneteinstellungen

Nach dem Neustart des Systems kann es einige Zeit dauern, bis alle Informationen im Wartungscenter angezeigt werden. Sollte dies vorkommen, schließen Sie es einfach und probieren es nach zwei bis drei Minuten erneut. Abbildung 13.7 Einstellungen im Wartungscenter

Die gleiche Meldung bekommt man auch im Wartungscenter angezeigt. Zudem kann man hier auch gleich korrigierend eingreifen. Ein Klick auf die Schaltfläche Einstellungen wiederherstellen setzt die unsicheren Werte wieder auf einen höheren Sicherheitslevel zurück.

596

13 Antivirus-Programme

13.4.1

Action-Center konfigurieren

Es ist zwar sehr hilfreich, dass das Action-Center alle denkbaren Aspekte Zu viel Action der Sicherheit in Windows überwacht, manchmal ist dieser Aufwand jedoch übertrieben. Zum Beispiel, wenn man aus gutem Grund den Internet Explorer in einem unsicheren Modus betreiben muss. Dann wären die andauernden Warnmeldungen des Wartungscenters eher störend. Hier kann für jeden einzelnen Indikator separat eingestellt werden, ob das Wartungscenter diesen Indikator überwachen soll oder nicht. Sie haben zwei Möglichkeiten, diese Änderungen vorzunehmen. Entweder klicken Sie direkt unterhalb der Meldung des Wartungscenters auf den Link Meldungen zu ... deaktivieren, um die aktuelle Meldung und alle weiteren Meldungen der betroffenen Kategorien zu entfernen. Oder Sie klicken im Wartungscenter am linken Rand auf den Link Wartungscentereinstellungen ändern. Abbildung 13.8 Wartungscenter konfigurieren

Über diese Einstellungen können Sie auch vorher ausgeblendete Meldungskategorien wieder aktivieren.

13.5 Antivirus-Programme Wie schon bei Windows XP geht Microsoft davon aus, dass ein Antivirus- Antivirus – eine Programm auf dem System installiert sein sollte. Es gibt für diese Ansicht Glaubensfrage? sowohl Punkte, die für die Installation eines AV-Scanners sprechen, als auch welche, die dagegen sprechen. Im Prinzip muss jeder Administrator selbst entscheiden, ob er eine solche Software einsetzen möchte oder nicht.

597


13.5.1

Für eine AV-Lösung sprechen

Zu dem Gründen, die für den Einsatz einer AV-Lösung sprechen, zählen: 왘 Bekannte Viren werden erkannt, und ihre Ausführung wird unterbunden. 왘 Bein externen Datenträgern kann man nicht sicher sein, was für Daten, Programme und Dokumente gespeichert sind, ein AV-Scanner kann als Prüfinstanz dienen. 왘 Unerwünschte Programmkategorien können geblockt, erkannte Programme gestoppt werden.

13.5.2

Gegen eine AV-Lösung sprechen

Zu dem Gründen, die gegen den Einsatz einer AV-Lösung sprechen, zählen: 왘 Unbekannte Viren werden weder erkannt noch geblockt. 왘 Systemleistung wird unnötig verbraucht, die verfügbare Leistung für Applikationen sinkt. 왘 Fälschlich erkannte Programme werden geblockt oder gelöscht und verursachen dadurch Fehlfunktionen. 왘 Benutzer wiegen sich in falscher Sicherheit und agieren unvorsichtiger. Ob man eine AV-Lösung einsetzt oder nicht, hängt natürlich auch immer von dem Einsatzgebiet des jeweiligen Systems ab.

13.5.3

Prüfung von AV-Programmen durch das Wartungscenter

Das Wartungscenter überprüft, ob ein AV-Programm auf dem System installiert ist. Doch wie kann es das feststellen? Genau genommen überprüft Windows nur, ob sich ein Programm im System als Antivirus-Programm eingetragen hat. Unter Windows XP wurde dies noch mit WMI bewerkstelligt, dieses Verfahren hat Microsoft jedoch mit Windows Vista aufgegeben, die Registrierung der AV-Programme erfolgt jetzt über ein Interface, das Microsoft nur ausgewählten Antivirus-Firmen zur Verfügung stellt. Dies hat leider auch zur Folge, dass Skripte, die unter Windows XP dazu verwendet wurden, um Antivirus-Programme festzustellen, nun nicht mehr funktionieren. Aktuell ist keine Möglichkeit bekannt, wie man selbst das Vorhandensein einer AV-Anwendung feststellen kann. Diese Abfrage kann nur über das Wartungscenter erfolgen. Das Wartungscenter überprüft aber nicht nur, ob ein AV-Programm vorhanden ist, es prüft auch, ob das Programm mit aktuellen Signaturen arbeitet. Sofern das AV-Programm keine aktuellen Signaturen besitzt, wird dies auch entsprechend im Wartungscenter gemeldet.

598

13 Windows Defender und Microsoft Security Essentials Abbildung 13.9 Der AV-Scanner ist nicht aktuell.

Das Wartungscenter meldet auch, wenn die AV-Lösung nicht aktiviert ist, dies scheint insbesondere auch bei Testversionen aufzutreten.

13.6 Windows Defender und Microsoft Security Essentials Während man ein Antivirus-Programm selber beschaffen und installieren muss, ist der Windows Defender standardmäßig bei der Installation dabei. Ähnlich wie ein AV-Scanner richtet sich auch Windows Defender gegen Schadprogramme, allerdings zielt er insbesondere auf Spyware, ähnlich wie beispielsweise Spybot Search&Destroy (siehe unter [SSAD]). Der Windows Defender bietet sowohl einen OnAccess-Modus als auch einen OnDemandScan des Systems an, standardmäßig ist nach der Installation der OnAccessModus aktiv. 왘 OnAccess – Eine Datei wird automatisch gescannt, sobald das System darauf zugreift. 왘 OnDemand – Eine Datei wird nur nach expliziter Aufforderung durch den Anwender gescannt. Abbildung 13.10 Startseite von Windows Defender

599


Gestartet werden kann der Windows Defender nur über die Suchfunktion. Er ist keiner Kategorie in der Systemsteuerung zugeordnet. Auch eine Umstellung der Systemsteuerung auf die Kategorienansicht bringt nichts. Rufen Sie deshalb das Startmenü auf, und tippen Sie in das Suchfeld Defender ein. Auf der Startseite von Windows Defender (siehe Abbildung 13.10) sehen Sie im oberen Teil die Mitteilung, ob aktuell unerwünschte Programme festgestellt wurden oder nicht. Im unteren Teil sehen Sie, wann die letzte Überprüfung des Computers stattgefunden hat, wann die nächste Überprüfung stattfinden soll und welche Art von Überprüfung (Schnellüberprüfung, Vollständige Überprüfung oder Benutzerdefiniert) jeweils stattfindet bzw. stattgefunden hat. Die Angabe Echtzeitschutz gibt an, ob der OnAccess-Scanner von Windows Defender aktiv ist oder nicht. Ohne Echtzeitschutz kann eine mögliche Infektion immer nur im Nachhinein erkannt werden, mit dem Echtzeitschutz besteht die Möglichkeit, dass eine Infektion von vornherein verhindert wird. Aus der letzten Zeile kann man ersehen, wie alt die Signaturdateien sind und wann sie zum letzten Mal geändert wurden. Sofern die Signaturen zu alt sind, erscheint eine entsprechende Meldung im Wartungscenter. Zu dieser Startseite kommen Sie immer durch einen Klick auf das Symbol Startseite in der oberen Befehlsleiste des Programms. Nach dem Neustart des Computers kann es einige Zeit dauern, bis die zum Defender zugehörigen Dienste gestartet sind. Sofern beim Start des Windows Defenders eine entsprechende Meldung erscheint, klicken Sie nach einiger Zeit erneut auf Startseite.

13.6.1

Manuelle Überprüfung anstoßen

Per Klick auf Überprüfung wird eine manuelle Überprüfung des Systems im Schnellüberprüfungsmodus ausgelöst. Möchten Sie eine ausführliche Prüfung starten oder gezielt bestimmte Bereiche der Festplatte durchsuchen, müssen Sie auf den Pfeil rechts von Überprüfung klicken. Dort können Sie auch eine laufende Überprüfung vorzeitig beenden. Abbildung 13.11 Auswahl der Überprüfungsart

Schnellüberprüfung

600

Bei der Schnellüberprüfung werden nur die Teile des Systems überprüft, die am ehesten von Spyware infiziert sein könnten, was immer das im Speziellen auch heißen mag. Zu dieser Überprüfung gehören neben dem Verzeichnis der Systemdateien (Ordner System32) auch bestimmte Bereiche der Registry. Bei der vollständigen Überprüfung werden alle Dateien und Prozesse im System getestet. Bei der benutzerdefinierten Überprüfung kann für einzelne Verzeichnisse ausgewählt werden, ob diese überprüft werden sollen oder nicht.

13 Windows Defender und Microsoft Security Essentials Abbildung 13.12 Auswahl einzelner Verzeichnisse für die Überprüfung

Während eine Überprüfung läuft, kann man mitverfolgen, welche Dateien und Verzeichnisse aktuell gescannt werden. Abbildung 13.13 Ein laufender Scan von Windows Defender

13.6.2

Erkennung von schädlichen Dateien

Sofern der Windows Defender beim Arbeiten eine schädliche Datei ent- Gefahr in Sicht deckt (und ein vorhandener AV-Scanner nicht), so erscheint eine Warnmeldung als Ballonmeldung in der unteren rechten Ecke der Taskleiste (siehe Abbildung 13.14).

601

Kapitel 13 Sicherheit Abbildung 13.14 Meldung des Windows Defenders im Infobereich der Taskleiste

Durch Klick auf die Meldung erscheint ein Dialogfeld, das angibt, welcher Schädling gefunden wurde (in Abbildung 13.15 ist dies der EICARTestvirus von http://www.eicar.org). Unter Aktion kann man dann drei mögliche Reaktionen auswählen: 왘 Entfernen – Die gefundene Datei wird gelöscht. 왘 Quarantäne – Die gefundene Datei wird in den Quarantänespeicher verschoben und kann von dort gegebenenfalls wieder zurückgeholt werden. 왘 Zulassen – Die Datei wird nicht verändert, zudem wird auch automatisch für diese Datei eine Ausnahme zu den Regeln des Windows Defenders hinzugefügt, sodass die Datei bei folgenden Überprüfungen nicht mehr getestet wird. Mit diesem Testvirus können Sie gefahrlos überprüfen, ob Ihre aktuelle Antivirus-Lösung auch tatsächlich funktioniert. Über die Schaltfläche Details anzeigen >> können weitere Daten über das gefundene Schadprogramm angezeigt werden, zum Beispiel die genaue Lage der betreffenden Datei. Abbildung 13.15 Warnmeldung des Windows Defenders

Die Optionen Entfernen und Quarantäne kann jeder Benutzer ausüben, für die Option Zulassen ist die Zustimmung eines administrativen Benutzers durch eine UAC-Abfrage erforderlich. Das gleiche Dialogfeld erscheint auch, wenn während einer manuellen Überprüfung eine schädliche Datei gefunden wird. Nach Abschluss der Aktion Entfernen oder Quarantäne muss die Schaltfläche Schließen angeklickt werden. Sofern unter Extras/Optionen in der Kategorie Standardaktionen eine bestimmte Aktion ausgewählt wurde, kann auch nur diese Aktion ausgewählt werden.

602

13 Windows Defender und Microsoft Security Essentials

13.6.3

Wo ist der Software-Explorer?

Unter Windows Vista gab es als Bestandteil des Windows Defenders die Komponente Software-Explorer, mit der eine Kontrolle über automatisch startende Programme ermöglicht wurde. Diese Komponente ist unter Windows 7 nicht mehr vorhanden. Die Funktionalität wird jetzt mit dem Programm msconfig.exe bereitgestellt (siehe den Abschnitt 13.7 ab Seite 609).

13.6.4

Verlaufskontrolle

Sämtliche Aktionen des Windows Defenders werden protokolliert, sodass Was war später eine Kontrolle darüber erfolgen kann, welche Aktionen der Defender gestern? bzw. sein Anwender veranlasst haben. Ein Klick auf Verlauf zeigt zunächst aus Sicherheitsgründen eine leere Ansicht. Dies dient dem Schutz der Privatsphäre anderer Benutzer auf dem System, da man aus der Liste der Aktionen des Windows Defenders beim Blocken erfahren könnte, welche Dateien die anderen Benutzer aufgerufen haben. Deswegen muss zunächst die Schaltfläche Ansicht bestätigt werden, normale Benutzer müssen hierzu eine UAC-Abfrage beantworten. Abbildung 13.16 Was passierte in der Verteidigung?

Zu jedem Ereignis wird Folgendes aufgezeichnet: 왘 Welcher Schädling war involviert? 왘 Welche Gefährlichkeit hat der gefundene Schädling (nach Meinung von Microsoft)? 왘 Welche Aktion hat der Benutzer daraufhin ergriffen? 왘 An welchem Datum und zu welcher Uhrzeit wurde der Schädling gefunden? 왘 Ist die Aktion erfolgreich verlaufen? Um nicht unnötig Platz für diese Meldungen zu belegen, sollte man von Zeit zu Zeit die aufgelaufenen Meldungen mit der Schaltfläche Verlauf löschen entfernen.

603


Leider gibt es keine Möglichkeit, die Liste der Ereignisse für Dokumentationszwecke direkt zu speichern.

13.6.5

Einstellungen von Windows Defender

Über die Schaltfläche Extras erreicht man weitere Optionen des Programms. Abbildung 13.17 Extras für den Defender

Optionen Die Einstellungen des Windows Defenders können in insgesamt sieben Kategorien eingestellt werden. Abbildung 13.18 Optionen für den Windows Defender

604

13 Windows Defender und Microsoft Security Essentials

Kategorie

Einstellmöglichkeit

Automatische Überprüfung

Sollen automatische Überprüfungen durchgeführt werden? Wann sollen diese stattfinden, und welche Art von Überprüfung soll durchgeführt werden? Zudem kann man einstellen, ob vor dem Suchlauf nach aktualisierten Signaturen überprüft werden soll. Wichtig für Besitzer von schwächeren Computern: die Einstellung nur im Systemleerlauf ausführen.

Standardaktionen

Die einzelnen Schädlinge werden von Microsoft in eine von vier Warnstufen eingeteilt: Schwerwiegend, Hoch, Mittel und Niedrig. Für jede dieser Klassen kann eine von vier unterschiedlichen Aktionen beim Auffinden festgelegt werden: Empfohlene Aktion basierend auf Definitionen, Entfernen, Quarantäne und Zulassen. Die Aktion Zulassen steht nur in den Warnstufen Mittel und Niedrig zur Verfügung. Nähere Informationen über die Warnstufen erhalten Sie per Klick auf den Link Was sind Aktionen und Warnstufen?

Echtzeitschutz

Gibt an, ob der OnAccess-Schutz aktiviert werden soll und, wenn ja, bei welchen Aktionen (heruntergeladene Dateien und ausgeführte Programme) er aktiv sein soll.

Ausgeschlossene Dateien und Ordner

Gibt an, in welchen Verzeichnissen keine Überprüfung stattfinden soll. Dies ist eine andere Einstellung als unter Extras/ Zugelassene Elemente. Hier werden alle Schädlinge in einem bestimmten Bereich des Systems ignoriert. Bei den zugelassenen Elementen wird ein spezifischer Schädling in allen Bereichen des Systems ignoriert. Wählen Sie nach einem Klick auf die Schaltfläche Hinzufügen den gewünschten Pfad im System aus. Einen bereits vorhandenen Pfad können Sie über die Schaltfläche Entfernen wieder löschen.

Tabelle 13.4 Einstellungskategorien des Windows Defenders

Gibt an, für welche Arten von Dateien keine Überprüfung Ausgeschlossene stattfinden soll. Geben Sie die Dateierweiterung (zum Beispiel Dateitypen TXT) ein, und klicken Sie auf die Schaltfläche Hinzufügen. Bereits vorhandene Einträge können über die Schaltfläche Entfernen wieder gelöscht werden. Erweitert

Bietet verschiedene Optionen an, die den Umfang der Überprüfung weiter steuern, zum Beispiel ob Archive (Ja), E-Mail (Nein) oder Wechseldatenträger (Ja) durchsucht werden sollen. Mit Heuristiken (Ja) kann kontrolliert werden, ob nur vollständige Vorkommen der Signaturen beachtet werden sollen oder auch teilweise Treffer. Sofern dieses Kontrollkästchen gesetzt ist, steigert es die Erkennungsrate, aber auch die Möglichkeit eines falschen Treffers. Schließlich kann auch aktiviert werden, dass ein Wiederherstellungspunkt erstellt wird, bevor Dateien vom Defender gelöscht oder in Quarantäne verschoben wird.

Administrator

Hier kann angegeben werden, ob in den Bereichen Verlauf, Quarantäne oder zugelassene Elemente mit der Schaltfläche Ansicht ein Schutz vor unbefugter Einsichtnahme erfolgen sol.

605


Alle vorgenommenen Änderungen werden erst aktiv, nachdem mit der Schaltfläche Speichern bestätigt wurde. Normale Benutzer müssen hierzu eine UAC-Abfrage bestätigen.

Microsoft SpyNet Von Microsoft Defender erkannte Programme können automatisch an Microsoft gemeldet werden. Dies kann dazu führen, dass ähnliche Bedrohungen in Zukunft noch besser erkannt werden können. Allerdings werden dabei auch (teilweise persönliche) Daten an Microsoft übermittelt. Unter dem Link Microsoft SpyNet können Sie einstellen, in welchem Umfang Sie Informationen über die Resultate von Defender übermitteln wollen. Die Beschreibung des Links lautet Treten Sie der Onlinecommunity bei .... Dies deckt sich allerdings nicht mit der Tatsache, dass man nach der Installation bereits automatisch ein einfaches Mitglied ist.

Weblinks im Defender Weiter im Web

Die beiden Links Windows Defender-Website und Microsoft-Center für den Schutz vor schädlicher Software verweisen jeweils auf zusätzliche InternetAngebote von Microsoft zu den betreffenden Themenbereichen.

Unter Quarantäne Programme, die der Windows Defender als Schadprogramme erkennt, werden auf Wunsch nicht sofort gelöscht, sondern zunächst in die Quarantäne verschoben. Aus diesem Grund sollten Sie in regelmäßigen Abständen nachsehen, ob sich dort Dateien befinden. Sobald Sie die Quarantäne über Extras/Unter Quarantäne aufrufen, sehen Sie zunächst nichts. Sie müssen erst die Ansicht der Dateien über die Schaltfläche Ansicht freischalten. Normale Benutzer müssen hierbei in einer UAC-Abfrage eine administrative Kennung eingeben. Im oberen Teil des Dialogfeldes in Abbildung 13.19 werden alle Elemente aufgelistet, die sich aktuell in Quarantäne befinden. Im Feld darunter finden Sie eine kurze Erklärung zu dem jeweils oben markierten Schädling. Sofern mehrere Dateien zum gleichen Schadprogramm gehören, erscheint trotzdem nur eine Zeile in der Ansicht. Am Ende des unteren Dialogfeldes kann man die betreffenden Originaldateinamen erkennen. Zudem finden Sie einen Link Online weitere Informationen , mit dem Sie aus dem Internet weitere Informationen über den Fund abrufen können. Sonderlich hilfreich scheint diese Information allerdings nicht zu sein, da bieten die AV-Hersteller deutlich mehr Informationen. Alle weg!

Zunächst ist nur die Schaltfläche Alle entfernen aktiv. Durch Klick darauf werden sofort alle Elemente, die sich in Quarantäne befinden, gelöscht. Diese Aktion lässt sich nicht wieder rückgängig machen. Sobald in der oberen Zusammenstellung das Kontrollkästchen vor einem der gefundenen Elemente aktiviert wird, können unten zwei weitere Schaltflächen betätigt werden:

606

13 Windows Defender und Microsoft Security Essentials 왘 Entfernen – Das Element wird aus der Quarantäne gelöscht. 왘 Wiederherstellen – Das Element wird in dem Ordner wieder hergestellt,

aus dem er während der Überprüfung entfernt worden war. Abbildung 13.19 EICAR in Quarantäne

Zugelassene Elemente Sobald während einer Überprüfung ein erkanntes Element mit Zulassen markiert wurde, wird es automatisch in die Liste der zugelassenen Elemente aufgenommen. Lässt man sich über Extras/Zugelassene Elemente diese Liste anzeigen, muss man zunächst wie bei der Quarantäne die Ansicht auf die Dateien mit der Schaltfläche Ansicht freischalten. Danach sieht man eine Auflistung aller Dateien, die der Windows Defender zwar erkannt, der Benutzer aber trotzdem zugelassen hat. Abbildung 13.20 Zugelassene Dateien im Window Defender

607


Nun kann man bei jeder Datei einzeln das Kontrollkästchen überprüfen und sie durch Betätigung der Schaltfläche Aus Liste entfernen aus der Liste der Ausnahmen löschen. Hierbei sollte man natürlich darauf achten, dass man keine Datei entfernt, die man tatsächlich behalten will.

13.6.6

Hilfe – neue Definitionen

Über die Funktion ?/Nach Updates suchen kann man auf Wunsch aktuell nach neuen Signaturen für die Erkennung suchen lassen. Dies sollte man regelmäßig tun, wenn man nicht unter Extras/Optionen/Automatische Überprüfung aktiviert hat, dass vor einer Überprüfung nach aktualisierten Signaturen gesucht werden soll.

13.6.7

Microsoft Security Essentials

Unter dem Namen Microsoft Security Essentials wird von Microsoft inzwischen eine eigene AV-Lösung angeboten, diese lässt sich unter der Adresse [MSSE] laden und installieren. Sie beinhaltet dabei auch die Funktionen, die bislang von Windows Defender ausgeübt wurden, sodass dieser nach der Installation der Security Essentials deaktiviert wird. Von der Oberfläche her ähnelt das Programm dem Defender, sodass hier auf eine ausführliche Erklärung verzichtet werden kann. Abbildung 13.21 Microsoft Security Essentials

Gemäß den Lizenzbedingungen ist die Verwendung nur in Privathaushalten und wohnungsbasierten Kleinunternehmen gestattet, für den Einsatz in Unternehmen bietet Microsoft unter dem Namen Forefront Client Security eine kommerzielle Lösung an.

608

13 Systemkonfiguration mit msconfig.exe

13.7 Systemkonfiguration mit msconfig.exe Um eine Übersicht und Kontrolle über all die Programme und Dienste zu haben, die beim Systemstart automatisch gestartet werden, dient das Programm msconfig.exe, auch zu erreichen über Systemsteuerung/System und Sicherheit/Verwaltung/Systemkonfiguration. Prinzipiell gibt es verschiedene Punkte, an denen kontrolliert wird, was beim Systemstart oder beim Anmelden eines Benutzers abläuft: 왘 Gerätetreiber 왘 Dienste 왘 Autostartprogramme des Systems 왘 Autostartprogramme durch Gruppenrichtlinien auf Systemebene 왘 Autostartprogramme im Autostart-Ordner der Oberfläche 왘 Autostartprogramme des Benutzers 왘 Autostartprogramme im Autostart-Ordner des Benutzers

13.7.1

Registerkarte Allgemein

Auf der Startseite Allgemein von msconfig.exe kann zunächst festgelegt wer- Wie soll gestartet den, ob ein normaler oder ein modifizierter Systemstart erfolgen soll. Der werden? Diagnosesystemstart verzichtet auf viele zusätzliche Treiber und Dienste, diesen Starttyp kann man dazu verwenden, um möglicherweise fehlerhafte Komponenten vom Systemstart auszuschließen. Abbildung 13.22 Startseite von msconfig.exe

Während auf einem Testsystem im Normalmodus 56 Treiber und Dienste aktiv sind, bleiben beim Diagnosestart auf dem gleichen System noch sieben übrig. Mit der Option Benutzerdefinierter Systemstart kann detailliert festgelegt werden, welche Systembestandteile beim Start des Systems geladen werden sollen.

609

Kapitel 13 Sicherheit 왘 Systemdienste – Die nicht unbedingt notwendigen Dienste 왘 Systemstartelemente – Programme, die keine Dienste sind, z.B. Autostart-

Elemente 왘 Ursprüngliche Startkonfiguration verwenden – Sofern auf der Register-

karte Start eine manipulierte Startkonfiguration ausgewählt wurde, kann hierdurch diese Änderung zurückgenommen werden Nachdem die Startoption verändert wurde, fordert das Programm über ein Dialogfeld auf, einen Neustart durchzuführen. Auf Wunsch kann man auch bei späteren Aufrufen einen sofortigen Neustart erzwingen, indem man das Kontrollkästchen Diese Meldung nicht mehr anzeigen aktiviert. Abbildung 13.23 Neustart nach Änderung der Startoption

13.7.2

Registerkarte Start

Mit der Registerkarte Start kann Einfluss auf den Bootloader genommen werden. Dieser Bereich ist verwandt mit der Funktion von Tools wie beispielsweise bcdedit.exe. Mit msconfig.exe können nur bereits bestehende Einträge im Bootloader bearbeitet werden, Mit dem Kommando bcdedit /copy {current} /d "Eintragkopie"

in einer administrativen Eingabeaufforderung kann eine Kopie des aktuell aktiven Eintrags erstellt werden. Abbildung 13.24 Kontrolle der Booteigenschaften

Die in der Auflistung erscheinenden Einträge (siehe Abbildung 13.25) sind die gleichen, die in der Startphase von Windows im Auswahlmenü des Bootloaders (siehe Abbildung 13.25) angezeigt werden. Der als Timeout angege-

610

13 Systemkonfiguration mit msconfig.exe

bene Wert bestimmt, wie lange diese Auswahl angezeigt wird. Wenn Sie den Startprozess Ihres Systems beschleunigen wollen, sollten Sie diesen Wert verkleinern. Mit der Schaltfläche Als Standard legen Sie fest, welche Konfiguration Windows 7 startet, wenn Sie in der Timeout-Spanne keine andere Wahl treffen. In dem Dialogfeld wird eine Zeile mit Aktuelles Betriebssystem gekennzeichnet, wenn nicht das als Standardbetriebssystem vermerkte System gestartet wurde. Alle außer dem aktuell aktiven System können über die Schaltfläche Löschen aus der Bootkonfiguration entfernt werden. Abbildung 13.25 Bootloader in der Startphase (zur besseren Lesbarkeit invertiert dargestellt)

Die einzelnen auf der Registerkarte Start aufgeführten Kontrollkästchen haben die in Tabelle 13.5 beschriebenen Auswirkungen. Einstellung

Funktion

Abgesicherter Modus

Anstelle des Desktop-Hintergrundes erscheint eine einheitliche schwarze Fläche mit den Worten Abgesicherter Modus in allen vier Ecken. Beim Start erscheint eine Liste der gestarteten Treiber und Dienste. Nur kritische Dienste werden gestartet.

Minimal

Beim Start wird der Explorer (normaler Desktop) als Benutzeroberfläche gestartet, Netzwerkfunktionen sind nicht verfügbar.

Alternative Shell

Anstelle des Explorers erscheint nur ein Kommandozeilenfenster, Netzwerkfunktionen sind nicht verfügbar.

Active DirectoryReparatur

Beim Start wird der Explorer (normaler Desktop) als Benutzeroberfläche gestartet, Netzwerkfunktionen und Dienste zur Arbeit mit Active Directory sind verfügbar.

Netzwerk

Explorer und Netzwerkfunktionen sind verfügbar.

Tabelle 13.5: Kontrollkästchen der Registerkarte Start

611


Einstellung

Funktion

Kein GUI-Start

Beim Startprozess wird das Windows-Logo (Windows wird gestartet und Windows-Flagge) nicht gezeigt, auf diese Weise können Fehlermeldungen gesehen werden, die anderweitig verdeckt würden.

Startprotokollierung

Die auf dem Bildschirm angezeigten geladenen Treiber werden zusätzlich in der Datei %SystemRoot%\ntbtlog.txt angeführt, siehe auch den Ausschnitt in Listing 13.2.

Basisvideo

Anstelle des konfigurierten Grafiktreibers wird ein Standard-VGA-Treiber mit einer Auflösung von 640*480 Pixel verwendet. Somit können Probleme mit fehlerhaften Grafiktreibern analysiert werden.

BetriebssystemStartinformationen

Die Liste der geladenen Treiber und Dienste wird beim Startprozess angezeigt.

Starteinstellungen sollen immer gelten

Führt dazu, dass vorgenommene Änderungen permanent gespeichert werden. Die hat zur Folge, dass auf der Registerkarte Allgemein die Option Normal nicht mehr automatisch zu einem Standardverhalten des Systems führt.

Tabelle 13.5: Kontrollkästchen der Registerkarte Start (Forts.) Listing 13.2 ntbtlog.txt zur Protokollierung des Startverhaltens

Prozessorschonung

612

Microsoft (R) Windows (R) Version 6.1 (Build 7100) 7 26 2009 13:26:40.489 Loaded driver \SystemRoot\system32\ntoskrnl.exe Loaded driver \SystemRoot\system32\halacpi.dll Loaded driver \SystemRoot\system32\kdcom.dll Loaded driver \SystemRoot\system32\mcupdate_GenuineIntel.dll Loaded driver \SystemRoot\system32\PSHED.dll ...

Über die Schaltfläche Erweiterte Optionen können zusätzliche Einstellungen im Bereich Hardware oder Fehlersuche vorgenommen werden. Auf Multiprozessorsystemen bzw. Einzelprozessorsystemen mit mehreren Kernen kann angegeben werden, wie viele Prozessoren bzw. Kerne aktiv verwendet werden sollen. Zudem kann über Maximaler Speicher die Größe des zu verwendenden Speichers reduziert werden. Dies ist insbesondere für Programmierer wichtig, die testen wollen, wie ihre Anwendungen auf Systemen mit geringen Ressourcen funktionieren. Mit dem Kontrollkästchen PCI Lock kann ein bestimmtes Verhalten des Betriebssystems im Umgang mit Ressourcen auf dem PCI-Bus erzwungen werden. Mit der Option Debug kann eine Verbindung zu einem über die serielle Schnittstelle (COMx:), dem 1394-FireWire-Bus oder einem USB-Port angeschlossenen Kernel-Debugger hergestellt werden. Diese Option ist nur für Entwickler von Treibern interessant.

13 Systemkonfiguration mit msconfig.exe Abbildung 13.26 Zusätzliche Optionen zur Hardware oder zum Debugging

13.7.3

Registerkarte Dienste

Auf der Registerkarte Dienste erkennt man eine Übersicht über (fast) alle derzeit auf dem System konfigurierten Dienste. Zu jedem Dienst wird zudem in der Spalte Status angegeben, in welchem Status sich der Dienst aktuell befindet. Die möglichen Werte sind: Beendet oder Wird ausgeführt. Diese Anzeige unterscheidet sich in einigen Belangen von der Ansicht im Applet services.msc der Systemsteuerung. So sind zum Beispiel nicht alle Dienste in der Liste aufgeführt. Beispielsweise tauchen Dienste, die in der Systemsteuerung deaktiviert wurden, in dieser Liste nicht auf. Wird mit der Systemsteuerung und msconfig.exe parallel gearbeitet, müssen Sie beachten, dass die Liste in msconfig.exe nicht aktualisiert wird, wenn sich die Konfiguration in der Systemsteuerung ändert. Um den aktuellen Stand der Dienste zu erkennen, müssen Sie msconfig.exe neu starten. Abbildung 13.27 Dienste im Sinne von msconfig.exe ...

613

Kapitel 13 Sicherheit Abbildung 13.28 ... und wenn die hauseigenen Dienste gefiltert werden

Da Microsoft davon ausgeht, dass in Programmen von Microsoft keine Fehler vorkommen, kann man mit dem Kontrollkästchen Alle MicrosoftDienste ausblenden diese verbergen und sich somit für die Fehlersuche auf die (angeblich) aussichtsreicheren Kandidaten stürzen. Für jeden der angezeigten Dienste kann man durch das Kontrollkästchen am Anfang der Zeile dafür sorgen, dass der betreffende Dienst deaktiviert wird und somit beim nächsten Systemstart nicht mehr zur Verfügung steht. Dabei wird dann gleichfalls in der letzten Spalte Deaktivierungsdatum der Auflistung der genaue Zeitpunkt dieser Änderung vermerkt. Per Klick auf eine Spaltenüberschrift kann die Auflistung nach dem Inhalt der jeweiligen Spalte sortiert werden. Ein weiterer Klick auf die gleiche Spaltenüberschrift kehrt die Sortierreihenfolge um. Mit den Schaltflächen Alle aktivieren bzw. Alle deaktivieren können gleichzeitig alle oben in der Liste angezeigten Dienste ein- bzw. ausgeschaltet werden. Mit diesen Funktionen sollte man allerdings vorsichtig sein, um nicht Dienste zu deaktivieren, die für den Betrieb des Systems zwingend erforderlich sind.

13.7.4 Vielfältiger Autostart

614

Registerkarte Systemstart

Unter der Registerkarte Systemstart sind alle jene Applikationen zusammengefasst, die entweder über den Registry-Schlüssel Run oder den AutostartOrdner des Desktops aktiviert werden, jeweils für den Benutzer und für das System allgemein. Für jede Anwendung sind die folgenden Daten aufgeführt: Name des Elements, Hersteller (aus der Kennzeichnung des aufzurufenden Programms), welcher Befehl tatsächlich ausgeführt wird, wo der Aufruf gespeichert ist und, sofern der Aufruf deaktiviert wurde, wann die Deaktivierung erfolgte. Wie auch bei den Diensten kann jeder einzelne Aufruf durch das Kontrollkästchen am Beginn der Zeile gezielt verhindert werden. Mit den Schaltflächen Alle aktivieren und Alle deaktivieren kann dies für alle angezeigten Elemente zugleich durchgeführt werden.

13 Systemkonfiguration mit msconfig.exe Abbildung 13.29 Systemstart für Programme

13.7.5

Registerkarte Tools

Auf der Registerkarte Tools findet sich eine umfangreiche Auflistung von Verweisen auf Hilfsprogramme der Systemwartung. Wählen Sie einfach in der Liste die gewünschte Tätigkeit aus, und klicken Sie auf die Schaltfläche Starten. In der Befehlszeile Ausgewählter Befehl können Sie dabei sehen, welche Funktion das System dabei tatsächlich ausführt. Die Befehle sind dabei sowohl eigenständige Programme, Applets der Systemsteuerung oder SnapIns für die Microsoft Management Console mmc.exe. Abbildung 13.30 Verwaltungswerkzeuge en gros

13.7.6

Informationsspeicher

Die Informationen, die msconfig.exe über deaktivierte Dienste oder Startele- Wo steht's? mente abspeichert, werden in der Registry abgelegt. Im Schlüssel HKLM\ SOFTWARE\Microsoft\Shared Tools\MSConfig werden in den entsprechenden Unterschlüsseln services, startupfolder, startupreg und state die gesicherten Informationen gespeichert. Unter bestimmten Umständen kann es vorkommen, dass dort Informationen zurückbleiben.

615


1. Legen Sie in einer administrativen Eingabeaufforderung mit sc create Taschenrechner type= own start= demand binpath= c:\windows\system32\ calc.exe Displayname= "Taschenrechner" einen neuen Dienst Taschenrech-

ner an. 2. Rufen Sie msconfig.exe auf, und deaktivieren Sie den Dienst Taschenrechner. 3. Löschen Sie über die Eingabeaufforderung den Dienst mit sc delete Taschenrechner. 4. Rufen Sie msconfig.exe erneut auf; der Dienst Taschenrechner erscheint nicht mehr in der Liste. 5. Starten Sie den Registrierungs-Editor über regedit.exe. In HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services existiert weiterhin ein Unterschlüssel Taschenrechner, den Sie manuell löschen müssen.

13.8 Startkontrolle mit Autoruns Ein deutlich umfangreicheres Programm zur Kontrolle der automatisch startenden Treiber, Dienste und Anwendungen ist das Programm Autoruns (aktuell in Version 9.56) aus der Sysinternals-Sammlung von Microsoft. Laden Sie einfach die Archivdatei Autoruns.zip herunter, und packen Sie den Inhalt in einen beliebigen Ordner aus. Autoruns.exe ist die grafische Version des Werkzeugs Autorunsc.exe, eine textbasierte Version für die Befehlszeile. Starten Sie einfach Autoruns.exe; beim ersten Start müssen Sie noch den Lizenzbestimmungen zustimmen. Damit Sie von der Masse an Informationen nicht erschlagen werden, sollten Sie im Menü Options die Option Hide Microsoft and Windows Entries setzen. Zu jedem Eintrag, den das Programm anzeigt, können Sie im Menü Entry oder über das Kontextmenü der rechten Maustaste verschiedene Aktionen ausführen. Besonders interessant ist hierbei Jump to ..., mit der die betreffende Stelle angezeigt wird, in der der aktuelle Eintrag festgelegt ist, egal ob es sich dabei um ein Verzeichnis auf der Festplatte oder einen Schlüssel in der Registry handelt. Abbildung 13.31 Automatische Abläufe in Windows 7

616

13 Windows-Firewall

13.9 Windows-Firewall Wie schon bei Windows XP enthält auch Windows 7 eine Firewall zum Schutz der Netzwerkkommunikation. Während die Firewall in Windows XP nur den eingehenden Datenverkehr kontrollierte, überwacht die Firewall in Windows 7 wie auch bei Windows Vista sowohl die eingehenden als auch die ausgehende Daten. Aufgerufen wird die Steuerung der Firewall über die Systemsteuerung im Bereich System und Sicherheit oder indem einfach Firewall in das Suchfeld des Startmenüs eingegeben wird.

13.9.1

Firewall-Konzeption

Prinzipiell sind bei einer zwei Firewall zwei Dinge von Wichtigkeit: 왘 Adapter – Auf welchen Netzwerkadaptern und Wählverbindungen ist die Firewall aktiv und auf welchen nicht? 왘 Regeln – Prinzipiell lässt sich jede Netzwerkverbindung durch drei Parameter charakterisieren: die Adressen der beiden Kommunikationspartner (Sender und Empfänger) und die Art der Verbindung. Für jede Kombination dieser Angaben (und dazu kann auch gehören, dass eine Angabe beliebig wählbar ist) gibt es eine Regel, die besagt, ob diese Verbindung zugelassen oder verboten wird. Damit das Regelwerk nicht zu umfangreich wird, existiert meistens noch eine Generalregel, die besagt, wie alle nicht spezifizierten Verbindungen zu behandeln sind. Das Wartungscenter (siehe den Abschnitt 13.3 ab Seite 591) erwartet, dass die Firewall in jedem Fall aktiviert ist, ansonsten wird eine Warnmeldung ausgegeben. Wegen der inhaltlichen Nähe wird die Firewall in Kapitel 8 näher erläutert.

13.10 Windows Updates Kein Programmierer ist perfekt, und deshalb ist auch kein Programm perfekt. Dies gilt natürlich auch für das Betriebssystem selbst. Aus diesem Grund gibt es mit Windows Update ein Verfahren, wie Korrekturen von solchen Fehlern, Patches (Flicken) genannt, weitestgehend automatisch auf ein System gebracht werden. Dass man solche Updates auch installieren sollte, haben die Wurmwellen der Vergangenheit gezeigt. Die ab August 2003 im Internet grassierende Wurmwelle, die unter dem Namen Blaster oder Lovesan bekannt wurde, richtete sich gegen eine schadhafte Programmroutine, für die bereits seit Juni des gleichen Jahres eine Korrektur bereitstand. Damit in Zukunft derartige Verzögerungen bei der Installation von Updates nicht mehr auftreten, hat Microsoft die Steuerung der Updates geändert. In aktuellen Systemen ist nun die Standardvorgabe, dass Updates sofort installiert werden, sobald diese veröffentlicht sind. Möchte man davon abwei-

617


chen, muss man diese Änderung selbst durchführen. Bereits bei der Installation wird man gefragt, wie man es mit den Updates halten möchte. Die Voreinstellung ist hierbei, alles sofort zu laden und zu installieren. Für ein Desktop-System ist dies wohl die sicherste Einstellung. Abbildung 13.32 Updates während der Installation

Die Einstellungen zu Windows Updates lassen sich über die Systemsteuerung ändern, rufen Sie hierzu Systemsteuerung/System und Sicherheit/ Windows Update auf. In dem Fenster können Sie dann alle wichtigen Informationen über den aktuellen Status von Windows Update sehen. Abbildung 13.33 Kontrolle über Windows Update – es gibt was zu tun.

618

13 Windows Updates

Sofern das System Updates erkannt hat, die installiert werden sollen, wird Ist was zu tun? dies entsprechend angezeigt (siehe Abbildung 13.33). Stehen nur optionale Updates zur Verfügung (siehe Abbildung 13.34 unten), so fordert das System zunächst keine Aktion an, es bleibt dem Benutzer überlassen, ob er diese installieren will oder nicht. Stehen weder wichtige noch optionale Updates zur Verfügung, kann nichts getan werden (siehe Abbildung 13.34 oben). Abbildung 13.34 Kontrolle über Windows Update – alles o.k.

13.10.1 Welche Updates gibt es? Microsoft unterscheidet Updates in drei Klassen, die jeweils unterschied- Mehr oder lich behandelt werden, weil sie unterschiedliche Auswirkungen auf das minder wichtig System haben: 1. Wichtige Updates (Important) – Dies sind Updates, die Probleme beheben, die akut die Sicherheit des Systems beeinträchtigen oder die im besonderen Maß die Stabilität erhöhen. 2. Empfohlene Updates (Recommended) – Bieten neue Funktionen oder verbessern die Informationen, die das System dem Benutzer zur Verfügung stellen. Hierunter fallen auch kleine Probleme im Bereich der Stabilität. 3. Optionale Updates – Bieten zusätzliche Funktionen oder Programme. Treiber von Drittherstellern fallen auch unter diese Kategorie, es sei denn, sie beinhalten einen größeren Funktionsumfang als ein bereits installierter Treiber oder fehlen bislang ganz. In diesem Fall werden sie in die Kategorie 2 eingestuft. Sofern entsprechend konfiguriert, werden Updates der Kategorie 1 automatisch installiert, Updates der Kategorie 2 können automatisch installiert werden, Updates der Kategorie 3 müssen immer manuell installiert werden. Die Einstellungen von Windows Update können über den Link Einstellungen ändern im linken Teil des Dialogfeldes konfiguriert werden. In den Einstellungen lassen sich die folgenden Optionen festlegen.

619

Kapitel 13 Sicherheit Abbildung 13.35 Wann gibt es Updates?

Automatismen im Detail

Wie erfährt das System von neuen Updates, und welche Aktionen führt es danach aus? Hier sind folgende Optionen möglich: 왘 Updates automatisch installieren (empfohlen) – Sobald Windows erkennt, dass ein neues Update verfügbar ist, beginnt es automatisch mit dem Herunterladen der notwendigen Dateien. Nachdem die Datei geladen wurde, beginnt die Installation zum angegebenen Zeitpunkt oder wenn das System heruntergefahren wird. 왘 Updates herunterladen, aber Installation manuell durchführen – Sobald Windows erkennt, dass ein neues Update verfügbar ist, beginnt es automatisch mit dem Herunterladen der notwendigen Dateien. Nachdem die Datei geladen wird, erscheint eine Mitteilung für den Benutzer, und dieser kann bestimmen, wann die Installation stattfinden soll. Diese Einstellung eignet sich besonders für Systeme, auf denen länger laufende Applikationen nur ungern beendet werden können. 왘 Nach Updates suchen, aber Zeitpunkt zum Herunterladen und Installieren manuell festlegen – Diese Einstellung eignet sich besonders für mobile Geräte, bei denen man verhindern will, dass größere Datenmengen über eine kostspielige mobile Verbindung geladen werden. Der Benutzer ist selbst dafür verantwortlich, das Herunterladen der Updates auszulösen, sobald er eine passende Internetverbindung etabliert hat. 왘 Nie nach Updates suchen (nicht empfohlen) – Das System sucht nicht nach Updates, der Benutzer ist völlig auf Eigeninitiative angewiesen. Diese Einstellung eignet sich eigentlich nur für Systeme, die entweder anderweitig mit Updates versorgt werden oder die über keinen Internetanschluss verfügen. Mit dem Kontrollkästchen Empfohlene Updates auf die gleiche Weise ... kann erreicht werden, dass auch Updates der Kategorie 2 automatisch geladen werden. Falls diese Option nicht aktiviert ist, müssen solche Updates genau wie die der Kategorie 3 manuell geladen werden.

620

13 Windows Updates

Das Herunterladen der Updates findet immer dann statt, wenn die Internetanbindung nicht anderweitig verwendet wird. Somit wird nach Möglichkeit eine Beeinträchtigung von Aktivitäten des Benutzers vermieden. Das Kontrollkästchen Allen Benutzern das Installieren ermöglichen ist vorwiegend für die Systeme interessant, die eher selten einen Administrator sehen. Dem nicht administrativen Benutzer wird hierbei die Möglichkeit gegeben, auch ohne Mitwirkung des Administrators die Updates auszuwählen und zu installieren. Die Deinstallation eines bereits installierten Updates ist dabei allerdings nicht möglich, hierzu wird weiterhin ein administrativer Benutzer benötigt.

13.10.2 Updates auswählen und installieren Sobald das System feststellt, dass Updates verfügbar sind und es diese nicht sofort installieren soll, wird eine entsprechende Meldung angezeigt (siehe Abbildung 13.36 oben). Wenn das System so eingestellt ist, dass man Updates zunächst bestätigen muss, erscheint per Klick auf das Symbol im Infobereich der Taskleiste das Dialogfeld von Windows Update (siehe Abbildung 13.33). Dort muss die Installation beziehungsweise das Herunterladen zunächst mit der Schaltfläche Updates installieren aktiviert werden. Das Dialogfeld verschwindet daraufhin, und das System beginnt, im Hintergrund die notwendigen Dateien zu laden. Den Fortgang der Aktion kann man im Infobereich der Taskleiste erkennen (siehe Abbildung 13.36 Mitte). Abbildung 13.36 Updates im Infobereich der Taskleiste

Nachdem die Updates fertig installiert wurden, wird eine entsprechende Alles gut Meldung angezeigt (siehe Abbildung 13.36 unten). Je nach Update kann gegangen? auch ein Neustart des Systems erforderlich sein. Um zu verhindern, dass durch ein fehlerhaftes Update ein System beschädigt wird, erstellt Windows 7 während der Installation automatisch einen Wiederherstellungspunkt, sodass das System notfalls wieder auf den Stand vor der Installation zurückgesetzt werden kann.

621


Sofern man in Abbildung 13.33 auf den dargestellten Link wichtige Updates sind verfügbar oder optionale Updates sind verfügbar klickt, gelangt man zu einer Auswahlseite, auf der man die einzelnen gefundenen Updates ausoder abwählen kann. Abbildung 13.37 Welche Updates sollen es denn sein?

Wie viele sind es?

Die linke Spalte zeigt in einer Zusammenfassung an, wie viele Updates in den jeweiligen Kategorien gefunden wurden, daran anschließend die Liste der einzelnen Updates. Vor jedem Update gibt es ein Kontrollkästchen, mit dem man bestimmen kann, ob dieses Update installiert werden soll oder nicht. Als Standard sind die Updates der 1. Kategorie alle selektiert, die der 3. Kategorie nicht und für die 2. Kategorie entsprechend der Einstellung aus Abbildung 13.35. In der rechten Spalte finden Sie eine Erklärung zu dem gerade selektierten Eintrag, zum Beispiel welchen Fehler das Update behebt oder wann es veröffentlicht wurde. Klickt man mit der rechten Maustaste auf eines der Updates, so erhält man ein kleines Kontextmenü: 왘 Details kopieren – Die Informationen, die in der rechten Spalte stehen, werden in die Zwischenablage übernommen und können so zum Beispiel in eine Systemdokumentation übernommen werden. 왘 Update ausblenden – Das betreffende Update wird nicht mehr als verfügbares Update angezeigt. Dies eignet sich besonders für optionale Updates, bei denen man sicher ist, dass man sie niemals verwenden wird. Ein typisches Beispiel sind hierfür die vielen Sprachpakete, die für die Ultimate-Version angeboten werden.

Listing 13.3 Detailinformationen über ein Update

Update für die Kompatibilitätsansichtsliste für Internet Explorer 8 für Windows 7 (KB973874) Downloadgröße: 39 KB Sie müssen ggf. den Computer neu starten, damit die Änderungen wirksam werden.

622

13 Windows Updates Updatetyp: Empfohlen Mit dem Update für die Kompatibilitätsansichtsliste können für ältere Browser konzipierte Websites im Internet Explorer 8 besser angezeigt werden. Bei der Installation von Internet Explorer 8 haben Benutzer die Möglichkeit, eine Liste von Websites auszuwählen, die in der Kompatibilitätsansicht angezeigt werden sollen. Nach der Installation müssen Sie den Internet Explorer gegebenenfalls neu starten. Weitere Informationen: http://go.microsoft.com/fwlink/?LinkID=139381 Hilfe und Support: http://support.microsoft.com/?kbid=973874

13.10.3 Kontrolle über vorhandene, installierte und unerwünschte Updates Im Dialogfeld von Abbildung 13.33 sieht man im unteren Teil, wann das Update-Historie System zuletzt nach Updates gesucht hat. Möchte man gezielt nach Updates suchen, etwa weil man aktuell eine freie Internetverbindung hat, kann man im linken Fensterbereich auf den Link Nach Updates suchen klicken. Windows 7 nimmt dann sofort Kontakt mit den Update-Servern auf und überprüft, ob Updates vorhanden sind. Dies muss man insbesondere dann durchführen, wenn man das System so konfiguriert hat, dass Windows 7 nicht von sich aus nach Updates sucht. Per Klick auf den Link Updateverlauf anzeigen gelangt man zu einer Übersicht der aktuell auf dem System installierten Updates. Hier werden allerdings auch die Updates aufgeführt, die nach der Installation wieder entfernt wurden. Wird ein derartiges Update danach erneut installiert, erscheint es zweimal in der Liste. Abbildung 13.38 Welche Updates hat es mal gegeben?

Über einen Klick mit der rechten Maustaste auf einen Eintrag kann eine Reihe von Informationen über das jeweilige Update angezeigt werden.

623


Wahlweise können sich die Information auch in die Zwischenablage übernommen werden. In dieser Detailansicht sieht man auch die genaue Zeit der Installation, die man in der Übersicht nicht sieht. Bei Updates, die zwischenzeitlich entfernt wurden, wird dies nicht dargestellt, sie verbleiben weiterhin in der Liste. Erkennbar ist dies in der Abbildung 13.38 an dem doppelten Vorkommen des Updates für KB 973874 an erster und dritter Position der Liste. Abbildung 13.39 Details über ein Update

Aus der Auflistung der Updates heraus ist es nicht möglich, eines der Updates wieder zu deinstallieren. Allerdings wird ein Link zu der entsprechenden allgemeinen Deinstallation von Softwarekomponenten angeboten. Hat man zu einem früheren Zeitpunkt einige Updates ausgeblendet, erreicht man über den Link Ausgeblendete Updates anzeigen eine Übersicht über diese. Hier kann man dann einzelne der Updates wieder aktivieren.

13.10.4 Windows Update im betrieblichen Umfeld In einem Firmen-LAN hat man oft die Anforderung, dass man zum einen genau kontrollieren möchte, welche Updates auf welchem System geladen sind, zum anderen möchte man zur Optimierung der Netzwerkauslastung verhindern, dass jedes System einzeln bei den Servern von Microsoft nach Updates sucht. Für diesen Einsatzzweck hat Microsoft die Serverkomponente Windows Server Update Services (WSUS) entwickelt, die sich auf den Serversystemen von Microsoft ab Version 2003 installieren lassen. Die Software ist kostenlos unter [WSUS] verfügbar. Es ist auch möglich, Anwendungen, die nicht von Microsoft selber kommen, als Update über einen WSUS zur Verfügung zu stellen. Dieser Server arbeitet zum einen als Klient gegenüber den Update-Servern von Microsoft und lädt die Updates nach bestimmten Kriterien auf seine

624

13 Verschlüsselung – Grundlagen

lokale Festplatte. Der Administrator kann hierbei insbesondere angeben, für welche Betriebssysteme (Windows 2000 ab SP4) und Anwendungssoftware (diverse Serverprodukte von Microsoft, Office-Produkte ab Office 2003) und für welche Sprachversionen er die Updates vorhalten will. Je nach Umfang der ausgewählten Updates können dann auch leicht 30 GB oder mehr als Updates zusammenkommen. Der Administrator kann für jedes Update bestimmen, ob es für seine Clients angeboten wird und für welche seiner Clients. Diese werden in Gruppen organisiert. Gegenüber den Clients tritt der WSUS als Server auf, der dem Client die Update-Server Updates anbietet. Gleichzeitig führt der WSUS dabei eine Datenbank, in ganz privat der für jeden Client vermerkt wird, wann er welches Update installiert hat. Auf diese Weise kann man von einer zentralen Stelle aus einen Überblick über die Aktualität seiner Software-Landschaft gewinnen. Für den Client wird dabei keine separate Software benötigt, es muss nur dem bestehenden Update-Modul die Adresse des zuständigen WSUS mitgeteilt werden. Diese Einstellungen lassen sich in Active Directory zentral über Gruppenrichtlinien im Netz verteilen.

13.10.5 Updates ohne Netzwerk Prinzipiell lassen sich sämtliche Updates auch manuell von Microsoft laden und dann manuell installieren. Problematisch ist hierbei, dass man genau wissen muss, welches Update man benötigt und in welcher Version. Abhilfe schafft hier das Projekt WSUS Offline Update (früher bekannt als c’t Offline Update) aus dem heise Verlag (siehe unter [HEISE]), das die Updates für eine bestimmte Systemkonfiguration lokal lädt und dann die Möglichkeit bietet, eine CD oder DVD mit den gesammelten Updates zu produzieren. Mit diesem Datenträger kann man dann automatisch ein System auch dann mit Updates versorgen, wenn dieses keine Möglichkeit hat, über das Netzwerk mit Updates versorgt zu werden. Wenn Sie sich für die Möglichkeit interessieren, sollten Sie auch von Zeit zu Zeit unter der angegebenen Adresse nach einer neueren Version schauen, die mehr Möglichkeiten bietet.

13.11 Verschlüsselung – Grundlagen Die Schutzmechanismen der Berechtigungen auf einem NTFS-Datenträger schützen die Daten nur, solange NTFS auch aktiv ist. Dies hat zur Folge, dass man die Daten ohne Problem lesen kann, wenn man ein anderes Betriebssystem verwendet. Die ultimative Methode ist in diesem Fall der Ausbau des Datenträgers und der Einbau in ein anderes System, das unter der Kontrolle des Angreifers steht. Ist dieses Verfahren noch recht aufwendig, so kann man heute mit einer Live-CD die Daten quasi im Vorbeigehen abgreifen. Vor dieser Sorte von Angriffe schützt nur die Verschlüsselung der Infor- Verschlüsselung mation, sodass man ohne Kenntnis des Schlüssels die Informationen nicht hilft gegen erhalten kann. Das ist keine Erfindung der Neuzeit, schon im Altertum (als Datenverlust kaum ein Mensch schreiben und lesen konnte) gab es Verfahren, mit denen

625


Informationen verschlüsselt wurden. Die ersten Computer im heutigen Sinne wurden dann auch im Bereich der Verschlüsselung eingesetzt. Hier ist insbesondere an Alan Turing und seine Kollegen in Bletchley Park bei der Entschlüsselung geheimer Nachrichten während des Zweiten Weltkrieges zu denken. Für normale Anwender gab es mit dem Aufkommen von PC-Systemen erste Möglichkeiten der Verschlüsselung von Informationen, insbesondere durch die Anwendung von Verschlüsselungsverfahren in Anwendungen wie Microsoft Word oder Hilfsprogrammen wie PKZIP. Diese Methoden hatten aber immer einen Nachteil: In jeder Applikation war eine eigene Verschlüsselung implementiert, ein Austausch der Dokumente zwischen verschiedenen Applikationen wurde behindert und, für Verschlüsselungen besonders wichtig, die verwendeten Kryptoalgorithmen waren meist weder getestet und verifiziert noch öffentlich bekannt. Demzufolge dauerte es meist auch nicht lange, bis entsprechende Programme verfügbar waren, um die Verschlüsselung zu brechen. Generell unterscheidet man im Bereich der Verschlüsselung zwischen symmetrischen und asymmetrischen Verfahren.

13.11.1 Symmetrische Verschlüsselung Es existiert ein Schlüssel, mit dem sowohl eine Ver- als auch Entschlüsselung durchgeführt werden kann. Möchte man Daten von A nach B übersenden, müssen sich Sender A und Empfänger B zuvor auf einen gemeinsamen zu verwendenden Schlüssel einigen. Das Hauptproblem ist dabei die sichere Übertragung des Schlüssels. Diese Verfahren sind im Allgemeinen sehr schnell. Typische Vertreter dieser Verfahren sind DES (Data Encryption Standard; veröffentlicht 1976, der Nachfolger 3DES (triple DES) ist die dreimalige Anwendung mit drei unterschiedlichen Schlüsseln) oder AES (Advanced Encryption Standard; vorgestellt 2000).

13.11.2 Asymmetrische Verschlüsselung Zwei Schlüssel, ein Verfahren

626

Es existieren zwei Schlüssel: einer für die Ver- und ein anderer für die Entschlüsselung, beide bilden zusammen ein Schlüsselpaar. Üblicherweise bezeichnet man den einen Schlüssel als privat (private) und den anderen als öffentlich (public). Das Besondere ist, dass man den öffentlichen Schlüssel problemlos verteilen kann, da aus der Kenntnis des einen Schlüssels der andere Schlüssel nicht bzw. nur mit enorm hohem Aufwand errechnet werden kann. Die beiden Schlüssel lassen sich austauschbar verwenden. Daten, die mit dem privaten Schlüssel verschlüsselt wurden, benötigen den öffentlichen Schlüssel zur Entschlüsselung, Daten, die mit dem öffentlichen Schlüssel verschlüsselt wurden, benötigen den privaten Schlüssel zur Verschlüsselung. Ein geheimer Transfer des Schlüssels zwischen Sender zu Empfänger ist nicht notwenig. Hierbei muss natürlich darauf geachtet werden, dass der private Schlüssel nicht bekannt wird. Mit diesem Verfahren lassen sich gleich zwei Probleme der Geheimhaltung lösen:

13 Verschlüsselung – Grundlagen 왘 Verschlüsselung – Daten werden mit dem öffentlichen Schlüssels des

Empfängers verschlüsselt und zum Empfänger versendet. Nur dieser, mit Kenntnis seines privaten Schlüssels, kann die Daten wieder entschlüsseln. 왘 Signatur – Daten werden mit dem privaten Schlüssels des Absenders verschlüsselt und zum Empfänger versendet. Nur dieser, mit Kenntnis des öffentlichen Schlüssels des Absenders, kann die Daten wieder entschlüsseln und so feststellen, dass die Daten tatsächlich vom angegebenen Absender stammen. Im realen Einsatz wird nur eine konzentrierte Form der Daten (Hash) auf diese Weise verschlüsselt. Auf der Empfängerseite wird die gleiche Funktion zur Erstellung der konzentrierten Form verwendet und dann verglichen. Sind beide Formen identisch, ist zum einen sicher, dass der Hash vom angegebenen Absender stammt, und gleichzeitig ist auch sichergestellt, dass der Inhalt der Nachricht bei der Übertragung nicht verändert wurde. Typische Hash-Verfahren sind MD5 oder SHA-1 bzw. SHA-2, diese werden oft auch verwendet, um die Korrektheit von Downloads zu überprüfen. Insbesondere auf MD5 sind allerdings inzwischen Angriffe bekannt geworden, sodass dieses Verfahren nicht mehr als sicher gelten kann. Für die Nachfolgefunktion SHA-3 sind aktuell mehrere Berechnungsverfahren in der Prüfungsphase. Das erste Verfahren, das öffentlich für eine derartige Verschlüsselung geeig- RSA, der net war, wurde 1977 von den Mathematikern Ronald L. Rivest, Adi Shamir Schlüssel und Leonard Adleman am Massachusetts Institute of Technology (MIT) vor- zum Ziel gestellt. Diese gründeten später die Firma RSA Security. Breite Anwendung fand das Prinzip im Programm PGP (Pretty Good Privacy), das 1991 von Phil Zimmerman vorgestellt wurde. Die Kombination aus einem derartigen Schlüsselpaar mit weiteren Verwaltungsinformationen (wer hat es ausgestellt, für wen wurde es ausgestellt, von wann bis wann ist es gültig) wird auch als Zertifikat bezeichnet. Bedingt durch die verwendeten Rechenoperationen sind diese asymmetrischen Verfahren sehr zeitaufwendig. Man rechnet etwa mit dem Faktor 1.000 gegenüber den üblichen symmetrischen Verfahren. Da bei den asymmetrischen Verfahren einer der beiden Schlüssel in einem öffentlichen Verzeichnis gespeichert werden kann, spricht man oft auch von einer Öffentlichen Schlüsselinfrastruktur (PKI – Public Key Infrastructure).

13.11.3 Schlüssellängen – starke und schwache Verschlüsselung Prinzipiell lässt sich jede Verschlüsselung knacken, also ohne Kenntnis des Schlüssels aus den verschlüsselten Daten den Klartext wieder zurückgewinnen. Man braucht dazu eigentlich nur drei Dinge: die verschlüsselten Daten, das Verfahren zur Entschlüsselung und den Schlüssel. Um den zu bekommen, kann man im einfachsten Fall alle möglichen Schlüsselwerte

627


durchprobieren. Dieser recht brutale Ansatz wird auch als Brute ForceAngriff bezeichnet. Die Sicherheit einer Verschlüsselung hängt also direkt davon ab, wie viele mögliche verschiedene Schlüssel es gibt. Hierbei wird meist die Schlüssellänge in Bit angegeben, weil ein Computer durch Variation aller Bit alle möglichen Schlüssel erzeugen kann. Verwendet man zum Beispiel ein einzelnes Zeichen als Schlüssel, wird dieses Zeichen im Computer aus 8 Bit dargestellt, man sagt also, der Schlüssel hat eine Länge von 8 Bit. Dies bedingt, dass es 28 = 256 mögliche Schlüssel gibt. Kurze Schlüssel Beim DES-Verfahren wurde ursprünglich eine Schlüssellänge von 56 Bit gehen mit verwendet. Zur Zeit seiner Entstehung (1976) war die Anzahl der mögder Zeit lichen Schlüssel (72.057.594.037.927.936) schier unfassbar für die damalige

Technik, aber schon vor zehn Jahren konnte ein Angriff auf DES in drei Tagen durchgeführt werden. Beim Nachfolger AES kann man zwischen den Schlüssellängen 128, 192 und 256 wählen. Im Allgemeinen geht man heute davon aus, dass bei einem symmetrischen Verfahren eine Schlüssellänge von mehr als 256 Bit unnötiger Aufwand ist. Bedingt durch die andere Struktur der verwendeten mathematischen Verfahren sind die Schlüssellängen bei asymmetrischen Verfahren deutlich länger als bei den symmetrischen. Hier arbeitet man im Allgemeinen mit mindestens 1024 Bit langen Schlüsselwerten. Letztlich wurde publiziert (siehe unter [RSA768]), dass ein Angriff auf einen 768 Bit großen Schlüssel nach nur 2,5 Jahren Rechenzeit auf einem Cluster aus mehreren Hundert Rechnern erfolgreich war. Aufgrund der erwarteten Entwicklung der Rechenleistung sollten deshalb bis Ende 2014 keine Schlüssel mehr mit bis zu 1024 Bit Schlüssellänge verwendet werden. Selbst die allerlängsten Schlüssel nutzen jedoch nichts, wenn sie schlecht gewählt werden. Man sollte deshalb darauf achten, dass der gewählte Schlüssel nicht mit dem Nutzer in Beziehung steht (Name der Ehefrau oder des Hundes, Geburtsdatum etc.) oder sich einfach in einem Wörterbuch finden lässt. Eine zusätzliche Gefahr besteht darin, dass das gewählte Verfahren methodische Schwächen aufweist. Aus diesem Grund sollte man nur Verfahren verwenden, deren Methodik öffentlich ist und geprüft wurde.

13.11.4 Zertifikate und Zertifikatshierarchien In einer PKI kann sich niemand selber ein Zertifikat ausstellen, hier führt der Weg immer über Zertifizierungsstellen. Dies ist im realen Leben ja auch so: Man stellt sich seinen Personalausweis auch nicht selbst aus, sondern beantragt ihn bei der zuständigen Verwaltungsbehörde seiner Stadt. Die kann die Ausweise auch nicht selbst ausstellen, sondern sendet den Antrag an eine weitere Stelle. Bei Zertifikaten geht es ähnlich: Man erstellt zunächst sein Zertifikat und legt die Angaben wie beispielsweise den Namen fest, auf den das Zertifikat lauten soll. Dieses Zertifikat übermittelt man an eine Zertifizierungsstelle. Diese überprüft auf geeignete Weise, ob

628

13 EFS – Encrypting File System

der Einreicher des Zertifikats tatsächlich identisch ist mit der Angabe über den Einreicher, wie sie im Zertifikat vermerkt ist. Dann signiert die Zertifizierungsstelle das Zertifikat mit dem eigenen privaten Schlüssel und sendet es an den Einreicher zurück. Dieser hat nun ein Zertifikat, in dem außer seiner eigenen Information Bestätigte auch angegeben ist, dass die Zertifizierungsstelle dieses Zertifikat signiert Existenz hat. Will man das Zertifikat überprüfen, sucht man sich das öffentliche Zertifikat der Zertifizierungsstelle und vergleicht, ob die Information, die im Zertifikat mit der privaten Schlüssel der Zertifizierungsstelle verschlüsselt wurde, sich mit dem öffentlichen Schlüssel entschlüsseln lässt. Die Zertifizierungsstelle selbst kann wiederum von einer weiteren, übergeordneten Zertifizierungsstelle zertifiziert sein (siehe auch Abbildung 13.48). Für eine ganze Reihe von Zertifizierungsstellen auf oberster Ebene (sogenannte Rootzertifikate) wird der Internet Explorer schon vorab mit den entsprechenden öffentlichen Zertifikaten versehen. Diese lassen sich auch über Windows Update erneuern. Zu jedem Zertifikat ist auch angegeben, für welche Zwecke es verwendet werden kann. Typische Verwendungszwecke sind Dateiverschlüsselung, Serverauthentifizierung oder Programmsignaturen. Wichtig zu wissen ist auch, dass die Rootzertifizierungsstellen die Möglichkeit haben, ein Zertifikat von außen für ungültig erklären zu lassen, auch wenn die Gültigkeit des Zertifikats noch nicht abgelaufen ist. Zertifikate, die diesen Mechanismus unterstützen, enthalten deshalb eine Adresse, unter der bei einer Überprüfung nachgesehen werden kann, ob ein Zertifikat noch gültig ist. Derartige Mechanismen werden auch aus CRL (Certificate Revocation Lists Zertifikat Rückrufliste) bezeichnet.

13.12 EFS – Encrypting File System Aus diesem Grund hat Microsoft erstmalig mit Windows 2000 das Encrypting File System (EFS) eingeführt. Mit EFS lassen sich Dokumente völlig transparent für Anwendungsprogramme verschlüsseln, die Ver- und Entschlüsselung findet auf Ebene des Betriebssystems statt. EFS bildet eine Kombination aus einer symmetrischen und einer asymmetrischen Verschlüsselung. EFS lässt sich nur auf Laufwerken mit einem NTFS-Dateisystem einrichten, nicht auf einem Laufwerk, das mit FAT formatiert wurde. EFS lässt sich nur auf Dateien und Ordner anwenden, die nicht zum System gehören, die also weder in oder unterhalb von %SystemRoot% liegen noch das Attribut System besitzen. Zudem ist die Verschlüsselung nicht mit der Komprimierung von Dateien verträglich. Eine Datei kann immer nur entweder verschlüsselt oder komprimiert sein, nicht aber beides. EFS ist verfügbar unter den Windows-Server-Plattformen, Windows XP Professional, den Editionen Business, Enterprise und Ultimate bei Windows Vista und den Editionen Professional, Enterprise und Ultimate bei Windows 7. In den für den privaten Gebrauch vorgesehenen Starter- und Home-Editionen ist EFS nicht verfügbar.

629


Standardmäßig arbeitet EFS immer nur mit lokalen Schlüsseln, die das System sich selber erzeugt. Dies hat zur Folge, dass Dateien, die über das Netzwerk auf einem Dateiserver abgespeichert werden, mit derartigen lokalen Schlüsseln nicht verschlüsselt werden können. Selbst in einer Active Directory-Umgebung wird für jeden Benutzer lokal auf der Arbeitsstation ein separates Schlüsselpaar angelegt. Speichert man eine verschlüsselte Datei auf einem anderen Server, wird die Datei dabei lokal entschlüsselt und auf dem Server mit dem Zertifikat des Benutzers verschlüsselt, mit dem sich der Client mit der Freigabe verbunden hat. Im nachfolgenden Listing 13.4 lässt sich anhand der Ausgabe von cipher /c sehr genau erkennen, dass sich der Fingerabdruck des Zertifikats für user2 nach dem Abspeichern auf der Netzwerkfreigabe geändert hat, während der Fingerabdruck für das Wiederherstellungszertifikat gleich geblieben ist. Der Transfer der Dateien zwischen Server und Client findet unverschlüsselt statt. Um hier Sicherheit zu erreichen, muss auf eine verschlüsselte Netzwerkverbindung wie beispielsweise SSL (Secure Sockets Layer) oder IPsec (Internet Protocol Security) ausgewichen werden. Versucht man, eine verschlüsselte Datei auf einen lokalen Datenträger oder eine Netzwerkfreigabe zu kopieren, bei der das Zielsystem die Verschlüsselung nicht unterstützt (z.B. eine Festplatte mit FAT-Dateisystem), so verweigern die Befehle copy und xcopy.exe das Kopieren der verschlüsselten Dateien ebenso wie der Windows-Explorer. Bei Letzterem kann man das Kopieren durch ein Dialogfeld erzwingen. Für den xcopy-Befehl lässt sich die Option /G verwenden. Abbildung 13.40 Warnung vor Verlust der Sicherheit

Listing 13.4 Umverschlüsselung beim Abspeichern auf einer Netzwerkfreigabe (Ausgabe gekürzt)

630

>cipher /c work.txt C:\Users\Public\Documents\ wird aufgelistet. Zu dem Verzeichnis neu hinzugefügte Dateien werden nicht verschlüsselt. E work.txt Kompatibilitätsgrad: Windows XP/Server 2003 Benutzer, die entschlüsseln können: CONTOSO\user2 [user2([email protected])] Zertifikatfingerabdruck: E46F AAC3 F55D BC4F B2EE 8BAC C8CB 445A 6BE4 F5FD

13 EFS – Encrypting File System Wiederherstellungszertifikate: CONTOSO\Administrator [Administrator] Zertifikatfingerabdruck: 39C8 8BB2 1FA7 A96A 49DB A10D 02C1 34BC 8FE6 74F9 >copy work.txt \\win2008\data 1 Datei(en) kopiert. C:\Users\Public\Documents>cipher /c \\win2008\data\work.txt \\win2008\data\ wird aufgelistet. Zu dem Verzeichnis neu hinzugefügte Dateien werden nicht verschlüsselt. E work.txt Kompatibilitätsgrad: Windows Vista/Server 2008 Benutzer, die entschlüsseln können: CONTOSO\user2 [user2([email protected])] Zertifikatfingerabdruck: 34E9 0768 88F9 E1DA 9797 D1B1 0661 5260 9F36 032F Wiederherstellungszertifikate: CONTOSO\Administrator [Administrator] Zertifikatfingerabdruck: 39C8 8BB2 1FA7 A96A 49DB A10D 02C1 34BC 8FE6 74F9

Möchte man diesen permanenten Schlüsselaustausch vermeiden, benö- Der Schlüsseltigt man eine PKI, die eng mit Active Directory gekoppelt ist. Dies kön- dienst kommt nen zum Beispiel die Windows-Zertifikatsdienste sein. Diese müssen auf einem der Server in einer Active Directory-Gesamtstruktur installiert sein. Allerdings würde dieses Thema den Rahmen dieses Buches sprengen. Einen Einstieg dazu liefert Ihnen ein englischsprachiger Artikel unter [WINPKI]. Abbildung 13.41 Zertifikatdienste werden auf Windows Server 2008 installiert.

631


13.12.1 Ablauf der Verschlüsselung Bei der Verschlüsselung laufen folgende Vorgänge vollständig automatisch ab, ohne dass der Benutzer eingreifen müsste: 1. Die Datei wird zunächst für den Zugriff durch andere Anwendungen gesperrt. 2. Das System generiert einen zufälligen Schlüssel (FEK, File Encryption Key), der zur Ver- und Entschlüsselung der Datei dient. Dieser Schlüssel ist für jede Datei unterschiedlich, damit man nicht über die Kenntnis des Klartextes einer Datei den Schlüssel für eine andere Datei zurückrechnen kann. Seine Länge beträgt im Allgemeinen 128 Bit. 3. Nun wird zu der Datei ein Feld mit Verschlüsselungsinformationen angelegt, ein sogenanntes Data Description Field (DDF). Der FEK wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt und in dem Feld abgelegt. 4. (Ab Windows XP) Dieser Vorgang kann mehrfach wiederholt werden, so kann festgelegt werden, dass mehrere Benutzer in der Lage sind, den FEK aus ihrem jeweiligen DDF zu entschlüsseln, um somit die Daten entschlüsseln zu können. 5. (Optional) Zusätzlich kann für die Datei ein Feld mit Wiederherstellungsinformationen angelegt werden (Data Recovery Field, DRF). Diese Daten werden vom Data Recovery Agent (DRA) geliefert, der als systemweite Instanz auch in der Lage ist, den FEK auf dem DRF zu bestimmen. Nur mit dem DRA ist es möglich, eine Datei zu entschlüsseln, falls der private Schlüssel des Benutzers verloren gegangen ist. 6. Nachdem die Felder DDF und gegebenenfalls DRF angelegt wurden (sie werden in Form von NTFS-Streams unsichtbar für normale Dateioperationen abgespeichert), wird die Datei verschlüsselt und nach Abschluss dieser Operation wieder freigegeben. Sämtliche während der Prozedur angelegten Zwischendateien werden gelöscht. Bei der erstmaligen Verschlüsselung einer Datei wird das Schlüsselpaar aus öffentlichem und privatem Schlüssel angelegt. Aus Sicherheitsgründen sollte man den privaten Schlüssel auf einen separaten Datenträger abspeichern, den man gut und sicher verwahrt.

13.12.2 Verschlüsselung in der Praxis Im folgenden Beispiel wird exemplarisch eine Textdatei verschlüsselt, da die Verschlüsselung transparent für die Anwendungen erfolgt, ist der Typ der Datei allerdings nebensächlich. Zunächst werden die Eigenschaften der zu verschlüsselnden Datei aufgerufen (siehe Abbildung 13.42). Sofern sich die Datei auf einem NTFSDatenträger befindet, ist die Schaltfläche Erweitert aktiv. Nach Betätigen derselben kann das Kontrollkästchen Inhalt verschlüsseln, um Daten zu schützen aktiviert werden. Dabei wird eine aktiviertes Kontrollkästchen Inhalt komprimieren, um Speicherplatz zu sparen gegebenenfalls gelöscht, da nicht beide Funktionen gleichzeitig aktiviert sein können.

632


Abbildung 13.42 Eigenschaften einer Datei, Abteilung Erweitert

Abbildung 13.43 Dateien oder auch Ordner verschlüsseln?

Sofern eine Datei verschlüsselt werden soll, die in einem unverschlüsselten Bitte komplett Verzeichnis liegt, erscheint eine Warnmeldung. Dies hat den Grund, dass verschlüsseln Programme, mit denen man eine Datei bearbeitet, manchmal eine Bearbeitungskopie der Datei im gleichen Verzeichnis anlegen: Diese wäre unverschlüsselt, wenn das Verzeichnis nicht verschlüsselt wäre. Im Dialogfeld können Sie auswählen, ob Sie zusätzlich auch den Ordner, in dem die Datei sich befindet, verschlüsseln wollen. Prinzipiell werden Informationen über ein Verzeichnis nie verschlüsselt, allerdings werden alle Dateien, die in einem verschlüsselten Verzeichnis neu angelegt werden, automatisch verschlüsselt. Dies gilt auch für unverschlüsselte Dateien, die in den verschlüsselten Ordner kopiert werden, nicht jedoch für Dateien, die in den Ordner verschoben werden. Da die Verzeichnisinformationen nicht verschlüsselt werden, kann es sein, dass sensible Informationen über die verwendeten Dateinamen bekannt werden können. Eine verschlüsselte Datei Vertrag-mitMeier.doc verbirgt zwar den Vertragstext, gibt jedoch die Information frei, dass überhaupt ein solcher Vertrag existiert. Abbildung 13.44 Verschlüsselung bei der Arbeit

633


Ja nach Größe und Anzahl der zu verarbeitenden Dateien dauert dieser Vorgang einige Zeit. Eventuell erkennt man ein Dialogfeld ähnlich dem in Abbildung 13.44 gezeigten. Wer soll es noch sehen können?

Sofern man weiteren Benutzern den Zugriff auf die verschlüsselte Datei gestatten will, muss man mit deren öffentlichen Schlüsseln zu den DDF weitere Einträge hinzufügen. Hierzu werden wieder die Eigenschaften der jeweiligen Datei aufgerufen. In den erweiterten Eigenschaften wird dann die Schaltfläche Details betätigt. Hier sieht man zunächst, für welche Benutzer eine Entschlüsselung möglich ist. Mit der Schaltfläche Hinzufügen können dann weitere Benutzer hinzugefügt werden (siehe Abbildung 13.45 bei Betrieb in einer Active Directory-Umgebung).

Abbildung 13.45 Weitere Benutzer hinzufügen

Auf einem Einzelplatzsystem sieht das entsprechende Dialogfeld so aus: Abbildung 13.46 Auswahl weiterer Zertifikate auf einem Einzelplatzsystem

Durch einen Klick auf den Link Klicken Sie hier kann man sich das betreffende Zertifikat näher ansehen. Während auf der Registerkarte Allgemein nur der Name und die Gültigkeit des Zertifikats vermerkt sind, können auf der Registerkarte Details wesentlich mehr Informationen eingesehen werden. Besonders interessant ist hierbei der Wert Fingerabdruck (Hash-Wert),

634


der dieses Zertifikat eindeutig im System identifiziert. Dieser Wert ist auch in der Spalte Zertifikatfingerabdruck im oberen, rechten Dialogfeld in Abbildung 13.45 zu sehen. Bei den Zertifikaten, die ohne eine zentrale Zertifizierungsstelle ausgestellt werden, sind die Angaben Ausgestellt für und Ausgestellt von immer identisch (selbst signierte Zertifikate, self signed certificates). In einer PKI-Struktur kann man die Zertifikate in einer Kette (Zertifizierungspfad) anordnen, die man bis zur obersten Ebene überprüfen kann. Abbildung 13.47 Fingerabdruck eines Zertifikats

In beiden Fällen zeigt das Auswahlfeld nur jene Benutzer an, für die bereits ein Zertifikat auf dem Rechner angelegt worden ist. Dies ist anders, wenn das System in Verbindung mit einer zentralen PKI in Active Directory betrieben wird. Abbildung 13.48 Zertifikate in Kette

635


13.12.3 Schutz der Schlüssel bei EFS Schlüsselschutz

Die Sicherheit der Verschlüsselung hängt natürlich primär daran, den privaten Schlüssel der Benutzer auch wirklich privat zu halten. Alle verwendeten privaten Schlüssel werden von Windows 7 in einem Unterverzeichnis des Benutzerprofils abgespeichert im Verzeichnis %USERPROFILE%\ AppData\Roaming\Microsoft\Crypto\RSA\, wobei die SID des Benutzerkontos ist. Die Zertifikate dort werden durch den Systemdienst Geschützter Speicher (Protected Storage Service) in Form der Datei lsass.exe verschlüsselt abgespeichert. Als Schlüssel dient hierbei der sogenannte Session Key. Dieser wird selbst nicht abgespeichert, sondern bei Bedarf aus dem sogenannten Masterkey errechnet. Dieser Masterkey in einer Länge von 512 Bit wiederum wird durch ein PKCS#5 genanntes Verfahren aus dem Kennwort des betreffenden Benutzers generiert, zusammen mit einigen Zufallsdaten und einem optionalen Systemkey. Das Verfahren ist genauer unter [MKEY] beschrieben. Dieser Masterkey hat eine beschränkte Lebensdauer, er wird alle drei Monate automatisch vom System erneuert. Die abgelaufenen Masterkeys werden jedoch nicht gelöscht, sodass eine Datei, deren DDF mit einem früheren Masterkey verschlüsselt wurde, trotzdem noch entschlüsselt werden kann. Wenn der Benutzer eine Änderung seines Kennwortes durchführt, werden automatisch die Masterkeys neu verschlüsselt. In einer Active Directory-Umgebung wird eine Kopie des Masterkeys auf dem Domaincontroller abgespeichert, in einer Arbeitsgruppe kann eine Sicherung auf einer Kennwortrücksetzdiskette erfolgen.

Kennwortrücksetzdiskette erstellen Mit einer Kennwortrücksetzdiskette (PRD, Password Recovery Disk) kann man sich an einem System anmelden, auch wenn man das aktuelle Kennwort des Benutzers vergessen hat. Hierfür wird ein 2048 Bit großes Schlüsselpaar erzeugt. Mit dem öffentlichen Schlüssel wird das aktuelle Kennwort des Benutzers verschlüsselt und im Benutzerprofil abgelegt, der private Schlüssel wird auf einem externen Datenträger abgespeichert. Jeder, der im Besitz dieser PRD ist, kann sich ohne weitere Nachfragen am System anmelden und für den betreffenden Benutzer ein neues Kennwort vergeben. Aus diesem Grund muss eine solche Diskette (oder USB-Stick) unbedingt gesichert aufbewahrt werden! Die Erstellung einer solchen Diskette wird über Systemsteuerung/Benutzerkonten und Jugendschutz/Benutzerkonten und dann Auswahl von Kennwortrücksetzdiskette erstellen aus der linken Aktionsleiste begonnen.

636

13 EFS – Encrypting File System Abbildung 13.49 Assistent zur Erstellung einer Kennwortrücksetzdiskette

Beim Erstellen der Rücksetzdiskette sind folgende Punkte zu beachten: 왘 Die Diskette kann nur auf einem mobilen Datenträger erstellt werden, also einer Diskette oder einem USB-Stick. Ein Speichern der Information auf einer Festplatte, einem Netzlaufwerk oder einer CD ist nicht möglich, allerdings könnte man die Rücksetzinformationen manuell dorthin kopieren. 왘 Zum Erstellen des Datenträgers muss man das aktuelle Kennwort des Benutzers kennen, es ist also nicht möglich, für einen Benutzer (dessen Kennwort man nicht kennt) einen solchen Datenträger zu erstellen. 왘 Der Datenträger kann nur für ein Benutzerkonto verwendet werden, da der Name der Sicherungsdatei (userkey.psw) nicht frei gewählt werden kann. 왘 Aus dem Datenträger kann man nicht erkennen, für welchen Benutzer der Datenträger erstellt wurde, dies muss man manuell vermerken. 왘 Sobald ein neuer Datenträger erstellt wurde, kann der alte nicht mehr verwendet werden. 왘 Der Datenträger sollte genauso sicher aufbewahrt werden wie ein Zettel, auf dem man das Kennwort des Benutzers im Klartext aufgeschrieben hat.

13.12.4 Datenwiederherstellung bei EFS Wie schon erwähnt, ohne Zugriff auf einen privaten Schlüssel lassen sich Ohne Schlüssel die Informationen in einer verschlüsselten Datei nicht wieder herstellen. geht nichts An dieses Problem wurde bei der Entwicklung von EFS auch gedacht. Prinzipiell können natürlich die Benutzer ihre eigenen Zertifikate sichern, aber das hilft in einer Firma natürlich nicht, wenn der Benutzer ausscheidet und seine Zertifikate mitnimmt. Ein anderes Problem entsteht in einer Arbeitsgruppenumgebung, wenn ein Administrator das Kennwort eines Benutzers zwangsweise verändert.

637

Kapitel 13 Sicherheit Abbildung 13.50 Kennwortänderung bringt Zertifikatsverlust.

Bei einer derartigen zwangsweise vorgenommenen Änderung des Kennwortes werden die sonst bei einer Änderung vorgenommenen Verfahren zur Neucodierung des Masterkeys nicht vorgenommen. Dies hat zur Folge, dass die bisherigen Zertifikate für die Decodierung der Schlüssel nicht mehr gültig sind. Auch wenn der Benutzer weiterhin als Inhaber eines Schlüssels zur Entschlüsselung einer Datei angegeben ist, hat er doch keine Möglichkeit, die Datei zu entschlüsseln. In einer Active Directory-Umgebung passiert dieses Problem nicht, wenn ein Domänen-Administrator das Kennwort eines Benutzers zurücksetzt.

Export und Import der Zertifikate Prinzipiell muss man beim Export zwei Arten des Exports unterscheiden: mit privatem Schlüssel (Dateityp PKCS#12, .pfx) oder ohne privaten Schlüssel (Dateityp X.509, .cer). Bei einem Export mit privatem Schlüssel muss man zur Absicherung der Zertifikatsinformationen ein Kennwort wählen, ohne dieses Kennwort ist ein späterer Import des Zertifikats nicht möglich. Zusätzlich kann man bei einem Zertifikat, das mit privatem Schlüssel exportiert wurde, noch angeben, ob dieser private Schlüssel selber wieder exportiert werden darf. So kann man verhindern, dass ein privater Schlüssel unkontrolliert weiter zirkuliert. Zertifikate, bei denen man den privaten Schlüssel nicht besitzt, kann man nur verwenden, um Informationen für einen bestimmten Empfänger zu versenden. Unter Windows 7 kann man Zertifikate mit einer ganzen Reihe von Anwendungen bearbeiten: 왘 Benutzerkontensteuerung Starten Sie Systemsteuerung/Benutzerkonten und Jugendschutz/Benutzerkonten, und klicken Sie im linken Aktionsbereich auf den Link Dateiverschlüsselungszertifikate verwalten. Auf der zweiten Seite des Dialogfeldes sehen Sie das aktuell für EFS verwendete Zertifikat, durch Betätigen der Schaltfläche Zertifikat anzeigen können Sie alle Daten genau kontrollieren. Sofern mehrere Zertifikate vorhanden sind, können Sie mit der

638


Schaltfläche Zertifikat auswählen ein anderes verwenden. Durch Auswahl der Option Neues Zertifikat erstellen und Betätigen von Weiter kommen Sie zur Auswahl aus Abbildung 13.51. Sofern Ihnen weder ein Smartcard-Leser noch eine Zertifizierungsstelle in Ihrer Active Directory-Domäne zur Verfügung steht, bleibt Ihnen als Auswahl nur die Option Ein selbstsigniertes Zertifikat übrig. Nach Generierung des Zertifikats werden Sie dazu aufgefordert, das Zertifikat zu sichern. Dies können Sie entweder sofort erledigen, oder Sie legen fest, dass Sie nach der nächsten Anmeldung dazu aufgefordert werden möchten. Zum Schluss des Vorgangs kommt die eigentlich bedeutendste Aktion: Sie können sämtliche mit dem bisherigen Zertifikat verschlüsselte Dateien automatisch mit dem neuen Zertifikat verschlüsseln. Dies ist insbesondere dann wichtig, wenn das aktuell verwendete Zertifikat sich dem Ende seiner Gültigkeit nähert, auch wenn das bei einer Gültigkeit der aktuellen Zertifikate für 100 Jahre noch etwas Zeit für diese Aktion lässt. Abbildung 13.51 Verschiedene Möglichkeiten, ein Zertifikat zu erstellen

왘 Internet Explorer

Starten Sie den Internet Explorer, und rufen Sie Extras/Internet-Optionen/Inhalte/Zertifikate auf. Auf der Registerkarte Eigene Zertifikate sehen Sie alle Zertifikate, für die Sie auch im Besitz des privaten Schlüssels sind. Dies können Sie kontrollieren, indem Sie das fragliche Zertifikat anklicken und die Schaltfläche Anzeigen betätigen. Diese Angabe sehen Sie im rechten Dialogfeld in Abbildung 13.52 an der Zeile unterhalb der Gültigkeitsdaten. Mit einem Klick auf die Schaltfläche Exportieren starten Sie den Zertifikatexport-Assistenten.

639

Kapitel 13 Sicherheit Abbildung 13.52 Zertifikate im Internet Explorer, bereit zum Exportieren

왘 Direkt aus dem Windows-Explorer

Öffnen Sie die Eigenschaften einer beliebigen verschlüsselten Datei. Klicken Sie weiter zu Erweitert und Details, Sie sehen das Dialogfeld rechts oben in Abbildung 13.45. Wählen Sie Ihr Zertifikat aus, und klicken Sie dort auf die Schaltfläche Schlüssel sichern, um den Assistenten zu starten. 왘 Über die Microsoft Management Console (MMC) Starten Sie die Microsoft Management Console durch Eingabe von mmc.exe im Suchfeld des Startmenüs. Rufen Sie den Menübefehl Datei/ Snap-In hinzufügen/entfernen auf, oder drücken Sie die Tastenkombination (Strg)+(M). Aus den verfügbaren Snap-Ins wählen Sie das SnapIn Zertifikate aus, klicken auf die Schaltfläche Hinzufügen > und bestätigen mit der Schaltfläche OK. In der nun angezeigten Baumansicht navigieren Sie zu Zertifikate – Aktueller Benutzer/Eigene Zertifikate/Zertifikate. Wählen Sie das gewünschte Zertifikat aus, und rufen Sie im Menü Aktion oder im Kontextmenü die Aktion Alle Aufgaben/Exportieren auf, um den Assistenten zu starten. Wenn Sie häufiger mit dem Snap-In arbeiten, können Sie sich diese MMC-Konsolenkonfiguration auch unter Datei/Speichern als .msc-Datei ablegen und im Folgenden durch einen Doppelklick darauf die Konsole mit dem Snap-In erneut starten. Abbildung 13.53 Zertifikate in der MMC

640


Wenn Sie die Wahl zwischen mehreren Zertifikaten für den gleichen Benutzer haben (Spalte Ausgestellt für), achten Sie auf die Angabe des Verwendungszwecks (Spalte Beabsichtigte Zwecke oder Angabe Dieses Zertifikat schützt wie folgt in der Ansicht des Zertifikats in Abbildung 13.52). Ein Zertifikat, das Sie für die Entschlüsselung einsetzen wollen, muss als Zweck Ermöglicht die Verschlüsselung haben. Der Assistent, der den tatsächlichen Export durchführt, ist in jedem Fall die gleiche Applikation. Die erste Seite des Assistenten bestätigen Sie einfach mit Weiter. Abbildung 13.54 Was soll exportiert werden?

Aus Sicherheitsgründen wird standardmäßig der Export ohne privaten Öffentliche Schlüssel vorgeschlagen. Wenn Sie aber mit dem gespeicherten Zertifikat Schlüssel darf verschlüsselte Dateien wieder entschlüsseln wollen, benötigen Sie unbe- jeder haben dingt den privaten Schlüssel. Klicken Sie also auf Ja, privaten Schlüssel exportieren und dann auf Weiter. Abbildung 13.55 In welchem Format soll exportiert werden?

641


Wenn Ihnen das Dialogfeld in Abbildung 13.55 das Format PKCS#12 nicht anbietet, haben Sie auf der vorigen Seite des Assistenten versehentlich nicht festgelegt, dass Sie den privaten Schlüssel mit exportieren möchten. Die drei Kontrollkästchen im Dialogfeld haben folgende Funktion: 왘 Wenn möglich, alle Zertifikate im Zertifizierungspfad einbeziehen – Ist sinnvoll, wenn es sich um Zertifikate handelt, die von einer Zertifizierungsstelle ausgegeben wurden, und Sie nicht sicher sind, ob der Empfänger des Zertifikats diese Zertifizierungsstellen auch kennt. Unnötig bei selbst signierten Zertifikaten, die von EFS im Einzelplatzbetrieb verwendet werden. 왘 Privaten Schlüssel nach erfolgreichem Export löschen – Ist nur sinnvoll, wenn Sie auf dem Computer zunächst keine Informationen mehr entschlüsseln wollen. Sollte nicht aktiviert sein. 왘 Alle erweiterten Eigenschaften exportieren – Für EFS sind diese erweiterten Eigenschaften nicht notwendig. Abbildung 13.56 Kennwort zum Schutz des exportierten privaten Schlüssels

Private Schlüssel nur an gute Bekannte

Da mit einem privaten Schlüssel Daten entschlüsselt werden können, muss man diese Daten mit einem Kennwort schützen. Bei einem Export ohne privaten Schlüssel findet diese Abfrage nicht statt. Es muss mindestens ein Zeichen eingegeben werden, es findet allerdings keine Kontrolle über die Qualität des verwendeten Kennworts statt. Danach muss noch der Dateiname gewählt werden, unter dem das Zertifikat abgespeichert werden soll. Zum Schluss wird zur Überprüfung noch eine Zusammenfassung der gewählten Optionen ausgegeben. Der Abschluss des Exportvorganges wird mit einem Meldungsfeld bestätigt. An allen Stellen, an denen ein Export eines Zertifikates durchgeführt werden kann, ist es auch möglich, eine Zertifikatsdatei zu importieren. Am einfachsten kann man jedoch die betreffende Datei im Windows-Explorer doppelt anklicken.

642

13 EFS – Encrypting File System Abbildung 13.57 Zertifikatsdatei mit Kontextmenü im Windows-Explorer

Der Assistent zum Import eines Zertifikats startet zunächst mit einer allgemeinen Hinweisseite. Auf der zweiten Seite kann man die zu importierende Zertifikatsdatei auswählen. Sofern man per Doppelklick über den Windows-Explorer importiert, ist hier der Dateiname bereits vorgegeben. Abbildung 13.58 Kennwortabfrage beim Import

Sofern der Assistent erkennt, dass das Zertifikat beim Export mit einem Kennwort geschützt wurde, erfolgt jetzt die Abfrage nach dem Kennwort für den Import. Als zusätzliche Sicherheit kann man verlangen, dass bei jeder Verwendung des privaten Schlüssels erneut dieses Kennwort eingegeben werden muss. Dies kann durch das Kontrollkästchen Hohe Sicherheit erreicht werden. Für die Verwendung bei EFS scheint dies jedoch nicht zu funktionieren; ein derartig importiertes Zertifikat ist nicht zur Entschlüsselung verwendbar. Wenn das Kontrollkästchen Schlüssel als exportierbar markieren nicht aktiviert ist, ist es später nicht möglich, in einem erneuten Exportprozess auch den privaten Schlüssel zu exportieren. Sofern das Kennwort falsch eingegeben wurde, erfolgt eine entsprechende Fehlermeldung, ansonsten erfolgt die Auswahl des Zertifikatsspeichers.

643

Kapitel 13 Sicherheit Abbildung 13.59 Speicherbereich für Zertifikate auswählen

In Abbildung 13.53 ist ersichtlich, dass die verschiedenen Zertifikate auf einem System in unterschiedliche Bereiche einsortiert werden. An dieser Sortierung sollte man nichts ändern und daher die Standardoption Zertifikatsspeicher automatisch auswählen auch nicht abändern. Danach erfolgt wie beim Export eine Zusammenfassung der gewählten Optionen und zum Schluss eine Meldung über den Erfolg der Aktion.

Wiederherstellungs-Agent in einer Active Directory-Domäne verwenden Letzte Rettung

Wie im Abschnitt 13.12.1 ab Seite 632 beschrieben, wird bei der Verschlüsselung einer Datei auch ein Schlüssel für den sogenannten Wiederherstellungs-Agenten (Recovery Agent) angelegt. Dieser ist in einer Domäne automatisch der Domänen-Administrator. Der private Schlüssel des Administrators wird jedoch nicht automatisch auf den Arbeitsstationen in der Domäne gespeichert, sondern bleibt zunächst allein auf dem ersten Domänencontroller und muss von dort manuell zur Entschlüsselung auf die jeweilige Arbeitsstation übertragen werden. Zum Zugriff auf verschlüsselte Dateien ist also immer auch der Domänenadministrator berechtigt. Zusätzlich kann man mit einer Gruppenrichtlinie auf dem Domänencontroller unter Computerkonfiguration/Richtlinien/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für öffentliche Schlüssel/Verschlüsseltes Dateisystem weitere Benutzer hinzufügen, die in der Lage sind, eine derartige Wiederherstellung einer verschlüsselten Datei durchzuführen. Bei Windows 2000 Server war die Kontrolle über EFS darauf beschränkt, eine Wiederherstellung entweder zuzulassen oder zu verweigern. Gab es keinen Recovery Agenten, gab es auch kein EFS. Mit Windows Server 2003 als Domaincontroller wuchsen die Einstellungsmöglichkeiten für EFS; das in Abbildung 13.60 gezeigte Dialogfeld mag einen ersten Eindruck vermitteln. Eine detaillierte Einführung in diesen Themenbereich finden Sie unter [EFSGPO].

644

13 EFS – Encrypting File System Abbildung 13.60 EFS-Kontrolle mit Gruppenrichtlinien unter Windows Server 2008

Wiederherstellungs-Agent in einer Arbeitsgruppenumgebung verwenden In einer Arbeitsgruppenumgebung (also ohne Einbindung in eine Active Directory-Domäne) gibt es zunächst keinen Wiederherstellungs-Agenten, dieser muss erst manuell eingerichtet werden. Wann sollte man das tun, wann kann man darauf verzichten? 왘 Wenn mehr als ein Benutzer auf dem System mit verschlüsselten Dateien arbeitet, sollte man den Agenten einrichten, da man nicht darauf vertrauen kann, dass jeder Benutzer eine Kopie seines privaten Schlüssels anfertigt (und auch im Notfall findet). 왘 Ist nur ein Benutzer auf dem System eingerichtet, ist der Agent überflüssig. Ob man nun eine Sicherheitskopie des privaten Schlüssels des einen Benutzers aufhebt oder die Sicherheitskopie des privaten Schlüssels des Wiederherstellungs-Agenten, ist egal. Zunächst muss auf dem System ein neues Schlüsselpaar für den Agenten eingerichtet werden. Hierfür dient der Befehl cipher.exe /r:dateiname. Dieses Zertifikat ist im Gegensatz zu den Zertifikaten, die mittels cipher.exe /x ausgestellt werden, explizit für die Datenwiederherstellung ausgestellt. Der Befehl legt zwei Dateien an, dateiname.cer mit dem öffentlichen Schlüssel zum Verschlüsseln, und dateiname.pfx mit dem privaten Schlüssel zum Entschlüsseln. Auch hier muss ein Kennwort zum Schutz des privaten Schlüssels angegeben werden. >cipher /r:recovery Geben Sie das Kennwort ein, um die .PFX-Datei zu schützen: Geben Sie das Kennwort zur Bestätigung ein: Die .CER-Datei wurde erstellt. Die .PFX-Datei wurde erstellt.

Listing 13.5 Anlage eines Zertifikats speziell für Datenwiederherstellung

645

Kapitel 13 Sicherheit >dir recovery.* 02.08.2009 12:37 02.08.2009 12:37 Letzte Rettung einrichten

904 recovery.CER 2.702 recovery.PFX

Nachdem die Schlüssel für den Agenten erstellt wurden, wird der Agent mit den Schlüsseln konfiguriert. Starten Sie hierzu Systemsteuerung/ System und Sicherheit/Verwaltung/Lokale Sicherheitsrichtlinie. Hierzu müssen Sie eine UAC-Abfrage beantworten. Im daraufhin startenden Richtlinien-Editor navigieren Sie zu Sicherheitseinstellungen/Richtlinien für öffentliche Schlüssel/Verschlüsselndes Dateisystem. Dort wird Ihnen dann angezeigt, dass aktuell keine Richtlinie (und somit auch kein Wiederherstellungs-Agent) definiert sind. Wählen Sie nun im Menü Aktion/Dateiwiederherstellungs-Agent hinzufügen aus.

Abbildung 13.61 WiederherstellungsAgent auswählen

Das Dialogfeld in Abbildung 13.61 ist identisch mit jenem, das bei der Konfiguration des Recovery-Agenten in der Domäne erscheint. Allerdings ist dort zusätzlich die Schaltfläche Verzeichnis durchsuchen aktiv, mit dem man Active Directory nach einem passenden Zertifikat durchsuchen kann. Im Arbeitsgruppenmodus ist nur die Schaltfläche Ordner durchsuchen aktiv. Nach einem Klick darauf und Auswahl der oben angelegten .cer-Datei erscheint noch eine Warnmeldung, dass Windows nicht feststellen kann, ob dieses Zertifikat noch gültig ist. Dies liegt daran, dass bei den selbst signierten Zertifikaten keine Zertifizierungsstelle eingetragen ist, über die man die Gültigkeit überprüfen könnte. Bestätigen Sie diesen Warnhinweis, und beenden Sie den Assistenten. Aktuell wurde dem System nur der öffentliche Schlüssel des Wiederherstellungszertifikats bekannt gemacht. Den privaten Schlüssel (die .pfx-Datei) könnte (besser sollte) man auch auf einem separaten Datenträger auslagern, den man getrennt vom System aufbewahrt. Ab nun werden alle Dateien, die man neu verschlüsselt, automatisch auch mit dem Zertifikat des Wiederherstellungs-Agenten verschlüsselt. Dies betrifft allerdings nicht die bereits verschlüsselten Dateien, die bislang

646


ohne den Agenten verschlüsselt wurden. Damit die bereits verschlüsselten Dateien mit dem aktuellen Zertifikat des Wiederherstellungs-Agenten versehen werden, kann man wahlweise in der Eingabeaufforderung entweder cipher.exe /u oder cipher.exe /rekey dateimaske aufrufen. Der erste Befehl versieht alle aktuell verschlüsselten Dateien mit dem Zertifikat des RecoveryAgenten, der zweite wirkt sich nur auf die mit dateimaske erfassten Daten aus. Will man eine Datei mithilfe des Wiederherstellungs-Agenten entschlüsseln, muss man die gesicherte .pfx-Datei des recovery-Zertifikates mit ihrem Kennwort importieren.

13.12.5 EFS auf der Befehlszeile und mit anderen Programmen Mit EFS kann man auch in der Eingabeaufforderung arbeiten. Die Hauptarbeit wird hierbei mit dem Programm cipher.exe durchgeführt.

Dateien und Verzeichnisse verschlüsseln Mit dem Befehl cipher.exe /e werden alle Dateien, die zur Dateimaske passen, verschlüsselt (encrypted) und dem Benutzer, der den Befehl ausgeführt hat, die Möglichkeit der Entschlüsselung gegeben. Das Programm weist dabei auf mögliche Sicherheitsprobleme hin. >cipher /e *.* Dateien in C:\Users\user1.CONTOSO\Documents\ werden verschlüsselt test2.txt [OK] 1 Dateien (oder Verzeichnisse) in 1 Verzeichnissen wurden verschlüsselt. Durch die Umwandlung von Dateien von Klartext in verschlüsselten Text verbleiben eventuell Abschnitte von altem Klartext auf den Datenträgern. Es wird empfohlen, den Befehl CIPHER /W:Verzeichnis zu verwenden, um den Datenträger nach Abschluss der Umwandlung zu bereinigen.

Das hier angesprochene Problem betrifft gelöschte Arbeitskopien, die manche Anwendungen von einer Datei anlegen. Der hier angesprochene Befehl cipher /w spürt derartige freie Bereiche des Datenträgers auf und überschreibt sie.

Dateien und Verzeichnisse entschlüsseln Mit dem Befehl cipher.exe /d werden alle Dateien, die zur Dateimaske passen, entschlüsselt (decrypted), sodass sie zukünftig nicht mehr geschützt sind.

647


Neues Zertifikat für einen Benutzer anlegen Soll für einen Benutzer auf einem System ein neues Zertifikat angelegt werden, so kann man dies mit dem Befehl cipher.exe /k durchführen. Als Ausgabe liefert der Befehl den Fingerabdruck (Hash) des Zertifikats. Ein Benutzer kann mehr als nur ein Zertifikat haben, demzufolge kann er auch zum Beispiel im Dialogfeld aus Abbildung 13.46 mehrfach erscheinen.

Zertifikat eines Benutzers sichern Zertifikate sichern

Mit dem Befehl cipher.exe /x wird eine Sicherungskopie des aktuellen Zertifikats des Benutzers in der Datei .pfx angelegt. Die Ausführung des Befehls muss zunächst über ein Dialogfeld bestätigt werden. Danach erfolgt die zweimalige Abfrage eines Kennworts im Konsolenfenster.

Feststellen, welche Dateien verschlüsselt sind und welche nicht Der Aufruf von cipher.exe mit einem Dateinamen oder einer Dateimaske als Parameter gibt für die betreffenden Dateien an, ob diese verschlüsselt (E in 1. Spalte = encrypted) oder unverschlüsselt (U in 1. Spalte = unencrypted) sind. Zudem wird noch der Status des Verzeichnisses angegeben. Gibt man keine Maske an, wird der Status aller Dateien im aktuellen Verzeichnis ausgegeben. >cipher *.* C:\temp\ wird aufgelistet. Zu dem Verzeichnis neu hinzugefügte Dateien werden nicht verschlüsselt. U U E U

do.bat kex.txt Neues Textdokument.txt Textdatei.txt

Aus der Toolsammlung von Sysinternals gibt es das Programm EFSDump.exe, mit dem man den Status der Dateien in einem Verzeichnis auflisten kann. Hierbei werden auch die einzelnen Benutzer mit der Fähigkeit zur Entschlüsselung aufgeführt (siehe cipher /c im nächsten Abschnitt), die Ausgabe erfolgt jedoch ohne den Hash des Zertifikats.

Detailinformationen über die Verschlüsselung einer Datei ausgeben Bei einer Datei ist nicht nur interessant, ob sie verschlüsselt wurde, sondern auch, wer sie entschlüsseln kann. >cipher /c "Neues Textdokument.txt" C:\temp\ wird aufgelistet. Zu dem Verzeichnis neu hinzugefügte Dateien werden nicht verschlüsselt. E Neues Textdokument.txt Kompatibilitätsgrad:

648

13 EFS – Encrypting File System Windows XP/Server 2003 Benutzer, die entschlüsseln können: win7lap\jochenr-admin [admin(admin@win7lap)] Zertifikatfingerabdruck: 2912 E66E 173F 0E27 A490 83C9 D8DA 4537 26E5 7593 kind2(kind2@win7lap) Zertifikatfingerabdruck: ED7B 019B 239A F4AB A87E 0D70 F53B 132E 2655 2F90 Es wurde kein Wiederherstellungszertifikat gefunden. Schlüsselinformationen: Algorithmus: AES Schlüssellänge: 256 Schlüsselentropie: 256

Zunächst wird der Status des Verzeichnisses, in dem sich die Datei befin- Wer darf reindet, ausgegeben. Aus Sicherheitsgründen sollten verschlüsselte Dateien schauen? auch immer nur in verschlüsselten Verzeichnissen abgespeichert werden. Dann wird angegeben, mit welchen Versionen des Betriebssystems die angegebene Verschlüsselung kompatibel ist. Dies ist nur von Interesse, wenn man Datenbestände hat, die noch unter Windows 2000 entschlüsselt wurden. Danach werden alle Benutzer aufgelistet, die in der Lage wären, die Datei zu entschlüsseln. Zum Schluss folgen die Angabe, ob eine Wiederherstellung mit einem Wiederherstellungs-Agenten möglich ist, und einige technische Daten über die verwendete Verschlüsselung. Diese Daten können nur ausgegeben werden, wenn der aktuelle Benutzer auch im Besitz eines gültigen Zertifikats für die Entschlüsselung ist.

Weiteren Benutzer zum Entschlüsseln hinzufügen oder löschen Um einen weiteren Benutzer zum Entschlüsseln einer Datei hinzuzufügen, dient der folgende Befehl: >cipher /adduser /certhash:"ED7B 019B 239A F4AB A87E 0D70 F53B 132E 2655 2F90" NeuesTextdokument.txt Der Benutzer wird den Dateien im Ordner C:\temp\ hinzugefügt NeuesTextdokument.txt [OK] Der Benutzer wurde den 1-Dateien [oder den Verzeichnissen] innerhalb der 1-Verzeichnisse hinzugefügt.

Der Benutzer wird durch den Fingerabdruck (Hash) seines Zertifikates identifiziert. Analog lässt sich mittels cipher /removeuser ein Benutzer von der Liste der Benutzer, die entschlüsseln können, wieder entfernen. Es ist nicht möglich, den letzten Benutzer aus dieser Liste zu entfernen. Selbstverständlich kann nur ein Benutzer, der selbst in der Lage ist, die Datei zu entschlüsseln, einen neuen Benutzer hinzufügen.

649


Verschlüsselung deaktivieren Mit dem Befehl fsutil behavior query DisableEncryption

(siehe Kapitel 6) kann angefragt werden, ob aktuell eine EFS-Verschlüsselung vom System unterstützt wird. Ein Wert von 0 bedeutet hierbei, dass EFS unterstützt wird. Mit dem Befehl fsutil behavior set DisableEncryption 1

kann die EFS-Verschlüsselung ausgeschaltet werden, die Einstellung wird nach einem Neustart wirksam. Mit dem Parameter 0 wird die Verschlüsselung wieder aktiviert. Wenn auf diese Weise die Verschlüsselung ausgeschaltet wird, bleiben alle bereits verschlüsselten Dateien weiterhin verschlüsselt. Die Funktion zur Entschlüsselung ist jedoch gleichfalls deaktiviert, sodass auf diese Dateien dann nicht mehr zugegriffen werden kann.

13.13 Verschlüsselung kompletter Laufwerke – BitLocker Während EFS eine Verschlüsselung auf Ebene einzelner Dateien implementiert, geht BitLocker einen anderen Weg, hier werden komplette Partitionen verschlüsselt. Wie EFS ist auch BitLocker nur in den höherwertigen Editionen von Windows Vista und Windows 7 (Enterprise und Ultimate) vorhanden, in den normalen Geschäftsversionen (Windows Vista Business und Windows 7 Professional) und den Home-Versionen ist BitLocker nicht enthalten. Im Serverbereich ist BitLocker ab Windows Server 2008 verfügbar. Im Gegensatz zu EFS hat BitLocker keine individuelle, benutzerspezifische Komponente. Zielrichtung von BitLocker ist nicht der Schutz der Daten vor dem Zugriff der Benutzer untereinander, es zielt auf die Integritätsprüfung des Computers als Ganzem. Da BitLocker auf Sektorebene arbeitet, ist es anders als EFS auch nicht auf NTFS beschränkt, sondern man kann auch Datenträger mit FAT oder FAT32 verschlüsseln. BitLocker verwendet das AES-Verfahren zur Verschlüsselung der Daten. Welche Variante genau (128 oder 256 Bit, mit oder ohne Diffusor), das lässt sich über eine lokale oder globale Gruppenrichtlinie im Schlüssel Verschlüsselungsmethode und Verschlüsselungsstärke für Laufwerke unter Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/ BitLocker-Laufwerkverschlüsselung wahlweise global für alle Laufwerte oder für System-, Daten- und Wechseldatenträger getrennt einrichten. Wer sich näher für das Verschlüsselungsverfahren interessiert, kann unter [BITL] eine ausführliche Beschreibung finden.

650

13 Verschlüsselung kompletter Laufwerke – BitLocker

Microsoft selbst sieht den primären Einsatzzweck von BitLocker im Problem des Lost Laptops, also des irgendwie verschwundenen tragbaren Computers. Untersuchungen haben ergeben, dass im Allgemeinen 1 bis 2 % aller Firmenlaptops pro Jahr verloren gehen. Das macht bei 1.000 Laptops in etwa jeden Monat ein System. Problematisch ist dabei weniger der monetäre Verlust, da Laptops inzwischen drastisch im Preis gesunken sind, sondern vielmehr der Verlust und insbesondere die Verbreitung sensibler Daten.

Verbesserungen gegenüber Windows Vista Während bei Windows Vista noch die für den Betrieb von BitLocker not- Aus Fehlern wendige unverschlüsselte Startpartition manuell angelegt werden musste gelernt beziehungsweise von Microsoft extra ein Hilfsprogramm (BitLocker Drive Preparation Tool) für diese Aktion angeboten wurde, so wird sie beim Setup von Windows 7 bereits automatisch angelegt. Zudem erhält diese Systempartition auch keinen Laufwerkbuchstaben mehr, ist also von den normalen Benutzern verborgen, damit diese nicht versehentlich Daten auf einem unverschlüsselten Laufwerk abspeichern können. Während Windows Vista nur Festplatten mit BitLocker verschlüsseln konnte, kann Windows 7 dies nun auch für wechselbare Datenträger wie USB-Sticks. Diese Variante wird BitLocker to Go genannt. Zusätzlich kann über eine Gruppenrichtlinie konfiguriert werden, dass Wechseldatenträger, die nicht mit BitLocker To Go geschützt sind, nicht beschrieben werden dürfen.

13.13.1 TPM – Trusted Platform Module Der Grundgedanke bei BitLocker ist der, dass der Datenträger eine gewisse Kontrolle darüber hat, in welchem Computersystem er betrieben wird. Dies soll gegen Angriffe helfen, bei denen zum Beispiel der Datenträger in ein anderes System eingebaut wird, um Sperren des Betriebssystems zu umgehen. Um dies zu erreichen, wird der Computer bei der Herstellung mit einem TPM (Trusted Platform Module) in Form eines speziellen Chips versehen. TPM ist sowohl der Name der Hardware als auch der Spezifikation (aktuell in Version 1.2 aus dem Juli 2007). Diese Spezifikation wurde von der Trusted Computing Group, einer Gruppe von Software- und Hardwareherstellern (siehe [TPM]), herausgegeben und beschreibt ein Verfahren, mit dem auf einem Computer sicher kryptografische Schlüssel erzeugt und gespeichert werden können. Jeder TPM-Chip erhält bei der Fertigung eine eindeutige, nicht veränderbare Kennung in Form eines RSA-Schlüssels. Dieser kann beispielsweise dazu verwendet werden, um einen bestimmten Computer zu identifizieren. Der TPM-Chip kann sich in vier unterschiedlichen Zuständen befinden, die sich aus den beiden Optionen ergeben:

651

Kapitel 13 Sicherheit 왘 TPM-Chip deaktiviert, TPM-Chip nicht konfiguriert 왘 TPM-Chip aktiviert, TPM-Chip konfiguriert (Besitz wurde übernommen) 왘 TPM-Chip deaktiviert, TPM-Chip konfiguriert 왘 TPM-Chip aktiviert, TPM-Chip konfiguriert

Der Zustand TPM-Chip konfiguriert wird auch als TPM owned (Besitzer des TPM festgelegt) bezeichnet. Dies bedeutet nichts anderes, als dass für den TPM-Chip ein Kennwort festgelegt wurde. Wer auch immer das Kennwort kennt, wird vom TPM-Chip als Besitzer anerkannt. Dies ist insbesondere dann wichtig, wenn man Aktionen mit dem TPM-Chip vornehmen will, ohne direkten Zugang zum Gerät zu haben. Zunächst müssen Sie die TPM-Steuerung aktivieren. Starten Sie hierzu Systemsteuerung/System und Sicherheit/BitLocker-Laufwerkverschlüsselung. Der Link TPM-Verwaltung befindet sich unten links. Alternativ können Sie im Suchfeld des Startmenüs tpm.msc eingeben. Abbildung 13.62 Kein TPM gefunden

Falls kein TPM-Chip auf dem lokalen System gefunden wurde, wird eine entsprechende Meldung angezeigt (siehe Abbildung 13.62).

Abbildung 13.63: TPM-Verwaltung

652


Unter dem Eintrag Status können Sie sehen, dass aktuell der TPM-Chip nicht aktiviert ist und auch kein Kennwort festgelegt wurde. Klicken Sie deshalb rechts oben auf den Link TPM initialisieren. Das System informiert Sie, dass Sie einige Dinge nach dem Neustart Ihres Systems außerhalb von Windows konfigurieren müssen. Abbildung 13.64 Aktivierung des TPM-Chips

Die Aktivierung des TPM-Chips muss über die Hardware-Steuerung des Computers vorgenommen werden. Dies erfolgt während der Startphase des Systems durch einen Aufruf des ROM-BIOS. Nach dem Neustart des Systems sollte sich automatisch das Setup des BIOS öffnen, falls dies nicht passiert, müssen Sie es manuell erledigen. Welche Tastenkombination für den Aufruf des BIOS zuständig ist, wird meist während der Startphase auf dem Bildschirm angezeigt, notfalls hilft auch ein Blick ins Handbuch des Computers. Bekannte Tastenkombinationen hierfür sind (F2), (F10) oder (Strg)+(Esc). Nach dem Neustart erkennt Windows 7 den aktivierten TPM-Chip und fordert zur Eingabe eines Kennworts auf. Dieses kann man entweder selber eintragen oder den Computer eines auswählen lassen. Wichtig ist, dass man eine Kopie des Kennworts an einer sicheren Stelle ablegt.

653

Kapitel 13 Sicherheit Abbildung 13.65 Welches Kennwort soll es sein?

Da man das Kennwort für die tägliche Arbeit nicht benötigt, kann man es problemlos vom System generieren lassen. Ein derartiges Kennwort ist im Zweifel deutlich sicherer als eines, das man sich selber ausdenkt. Bei einem eigenen Kennwort verlangt Windows 7 nur eine minimale Länge von acht Zeichen, eine Komplexitätsanforderung (unterschiedliche Zeichenklassen) besteht nicht. Nach der Generierung oder der manuellen Eingabe bietet Windows die Möglichkeit, das Kennwort entweder auf einem Wechseldatenträger zu speichern oder es auszudrucken. Zusätzlich besteht die Möglichkeit, das TPM-Kennwort im Computerkonto des Systems in Active Directory zu speichern. Die Vorgehensweise hierzu wird in der Online-Hilfe der TPM-Verwaltung behandelt. Abbildung 13.66 Ein ausgedrucktes Hochsicherheitskennwort

High Security Area Listing 13.6 Das gleiche Kennwort als .tpm-Datei

654

Benötigt man später das TPM-Kennwort, kann man es entweder manuell eingeben oder es automatisch vom Wechseldatenträger kopieren. yS23ZbUSaX7kLRLZ7/jqooc4EIo=

Es versteht sich von selbst, dass die auf diese Weise gespeicherten Kennwörter an einem sicheren Ort und getrennt vom Computer aufbewahrt werden müssen. Nachdem diese Schritte vollzogen wurden, steht TPM zur Verfügung. Abbildung 13.67 TPM hat fertig.

13.13.2 Operationsmodi von BitLocker BitLocker lässt sich sowohl für Datenlaufwerke als auch für das Systemlaufwerk selbst verwenden. Zudem können auch Wechseldatenträger wie beispielsweise USB-Sticks mit BitLocker verschlüsselt werden (BitLocker to Go). Bei der Verschlüsselung des Systemlaufwerks ist zu beachten, dass in diesem Fall natürlich das Betriebssystem noch nicht zur Verfügung steht, um Kennwörter oder PIN-Nummern abzufragen. Prinzipiell lässt sich BitLocker in drei verschiedenen Betriebsmodi betreiben, die alle unterschiedliche Anforderungen an das Computersystem stellen und verschiedene Sicherheitsstufen ermöglichen.

Transparenter Modus Beim Start des Systems überprüft das BIOS des Computers die Hardware des Computers und den Status verschiedener Systemdateien. Erst wenn

655


diese Informationen mit den im TPM gespeicherten Informationen übereinstimmen, gibt der Chip den Schlüssel zur Entschlüsselung des Betriebssystems frei, der Computer startet normal, und der Benutzer merkt nichts von der erfolgten Verschlüsselung. Vorteile: 왘 Der Benutzer muss keine zusätzlichen Eingaben durchführen. 왘 Das System überwacht die für den Systemstart wichtigen Dateien und stellt Veränderungen fest. Nachteile: 왘 Sobald der Computer läuft, hängt der Schutz des Systems allein von

der Sicherheit des Betriebssystems ab.

Verschlüsselung mit Schlüsseleingabe Der TPM-Chip erfragt vom Benutzer initial ein Kennwort/eine PIN. Mit diesem wird der im TPM gespeicherte Schlüssel zur Entschlüsselung der Festplatten freigegeben. Vorteile: 왘 Der TPM-Chip überprüft den angegebenen Schlüssel, bei fehlerhaf-

tem Schlüssel kann der Startprozess nicht fortgeführt werden. 왘 (Je nach Hardware) Der TPM-Chip merkt sich die Anzahl der Fehlver-

suche und reagiert daraufhin, indem er immer mehr Zeit verbraucht, bis er eine erneute Kennworteingabe zulässt. Der TPM-Chip wird gesperrt. Nachteile: 왘 Es ist kein automatischer, unbeaufsichtigter Start des System mehr möglich.

Verschlüsselung mit externem Schlüssel Entspricht der Variante mit Schlüsseleingabe, allerdings wird der Schlüssel zur Entschlüsselung auf einem externen Datenträger (USB-Stick) gespeichert, der beim Start des Computers angeschlossen sein muss. Vorteile: 왘 Kann auch ohne TPM-Chip verwendet werden. Nachteile: 왘 Wenn der USB-Schlüssel verloren geht, sind die Informationen im Computer zunächst nicht mehr zugreifbar.

13.13.3 Systemlaufwerke und Datenlaufwerke verschlüsseln Starten Sie hierzu Systemsteuerung/System und Sicherheit/BitLocker-Laufwerkverschlüsselung, und betätigen Sie den Link BitLocker aktivieren neben dem Laufwerk, das Sie verschlüsseln wollen.

656

13 Verschlüsselung kompletter Laufwerke – BitLocker Abbildung 13.68 BitLocker-Kontrollpanel

Für das Systemlaufwerk ist dieser Vorgang unabhängig davon möglich, ob Externer Schlüsdas System ein aktiviertes TMP besitzt oder nicht, allerdings muss der sel ist Pflicht Computer für den Betrieb ohne TPM-Modul in der Lage sein, einen angeschlossenen USB-Speicher zu erkennen. Es ist nicht möglich, das Systemlaufwerk nur mit einem Kennwort gesichert zu betreiben, hierfür muss man auf Produkte von Drittherstellen ausweichen. Beispiele hierfür wären [SAFEGUARD] oder [TRUECRYPT]. Abbildung 13.69 Wie soll das Laufwerk entsperrt werden?

Um auf die Daten zugreifen zu können, benötigt BitLocker Zugriff auf den Schlüssel. Dieser kann auf verschiedene Weisen, entweder einzeln oder in Kombination, eingegeben werden:

657

Kapitel 13 Sicherheit 왘 Kennwort verwenden – Beim Zugriff auf das verschlüsselte Laufwerk

erfolgt die Abfrage nach dem Kennwort. Ohne richtiges Kennwort keine Entschlüsselung. 왘 Smartcard verwenden – Sofern der Computer einen Smartcard-Leser besitzt, kann die Verschlüsselung über ein auf der Smartcard gespeichertes Zertifikat und eine zugehörige PIN erfolgen. 왘 Automatisch entsperren – Hierbei wird der Schlüssel für die Entschlüsselung eines Datenlaufwerks auf dem Systemlaufwerk gespeichert. Dieses muss dazu allerdings selbst durch BitLocker verschlüsselt sein. Für ein reines Datenlaufwerk wählen Sie nur das Kontrollkästchen Kennwort zum Entsperren des Laufwerks verwenden aus. Das Kennwort muss wie üblich zweimal eingegeben werden. Auch hier generiert das System einen Wiederherstellungsschlüssel, mit dem die Daten entschlüsselt werden können, falls das Kennwort verloren gehen sollte. Wie beim Kennwort für den TPM-Chip bietet Windows 7 auch hier wieder verschiedene Varianten an, um eine Sicherung dieses Schlüssels durchzuführen. Abbildung 13.70 Wiederherstellungsschlüssel für BitLocker

In allen Fällen wird der Schlüssel als Klartext gespeichert, sodass man die Ergebnisse entsprechend gut gesichert aufheben muss. Listing 13.7 Schlüssel für BitLocker

Wiederherstellungsschlüssel für die BitLockerLaufwerkverschlüsselung Der Wiederherstellungsschlüssel wird dazu verwendet, Daten auf einem Laufwerk mit BitLocker-Schutz wiederherzustellen. Um sicherzustellen, dass dies der richtige Wiederherstellungsschlüssel ist, vergleichen Sie die ID mit der ID, die auf dem Wiederherstellungsbildschirm angezeigt wird. ID des Wiederherstellungsschlüssels: 3B9EB6CE-DF55-41 ID des vollständigen Wiederherstellungsschlüssels: 3B9EB6CE-DF55-4162-97EF-163E2D7D87D5

658


BitLocker-Wiederherstellungsschlüssel: 490303-676775-139964-600072-310684-673277-044715-309243

Zu beachten ist, dass jedes Laufwerk seinen eigenen Wiederherstellungsschlüssel besitzt, bei der Abfrage des Schlüssels wird deshalb die ID des zu verwendenden Schlüssels angezeigt. Wiederherstellungsschlüssel für Windows BitLocker-Verschlüsselung Geben Sie den Wiederherstellungsschlüssel für dieses Laufwerk ein. ______ ______ ______ ______ ______ ______ ______ ______

Listing 13.8 Abfrage des Wiederherstellungsschlüssels in der Startphase

Laufwerksbezeichnung: ACER7RTM C: 04.09.2009 Wiederherstellungsschlüssel-ID 3B9EB6CE-DF55-4162-97EF-163E2D7D87D5 Verwenden Sie die Tasten F1-F9 für die Ziffern 1-9 und F10 für 0. Bewegen Sie den Cursor mit den Tasten TAB, UMSCHALT+TAB, POS1 und ENDE. Ändern Sie bereits eingegebene Ziffern mit der NACH-OBEN- und NACHUNTEN-TASTE. EINGABETASTE=Wiederherstellung

ESC=Beenden

Wenn Sie den Wiederherstellungsschlüssel als Datei speichern wollen, können Sie dies nicht auf dem Laufwerk tun, das mit dem Schlüssel verschlüsselt werden soll. Wenn Sie den Schlüssel auf dem gleichen Computer speichern wollen, werden Sie auf die entsprechenden Sicherheitsprobleme hingewiesen. Optimal wäre die Speicherung auf einem Netzlaufwerk. Abbildung 13.71 Besser nicht lokal speichern

Nachdem der Wiederherstellungsschlüssel gespeichert ist, kann mit der Die Verschlüsseeigentlichen Verschlüsselung begonnen werden. Die Dauer dieses Vorgan- lung dauert ges ist rein von der Größe des Laufwerks abhängig, nicht aber von der lange Menge der darauf enthaltenen Daten, da auch leere Plattenbereiche auf dem Datenträger verschlüsselt werden. Den Fortschritt der Verschlüsselung kann man anhand eines Dialogfeldes kontrollieren.

659

Kapitel 13 Sicherheit Abbildung 13.72 Fortschritt und Ende der Verschlüsselung

Nach Anschluss der Verschlüsselung sieht man in der Ansicht des Computers sofort das verschlüsselte Laufwerk. Abbildung 13.73 Laufwerk F: ist sicher.

In Abbildung 13.73 erkennt man, dass keinerlei Informationen über das verschlüsselte Laufwerk ausgegeben werden, weder seine Größe noch eine Laufwerkkennzeichnung werden angezeigt. Sobald man versucht, auf das Laufwerk zuzugreifen, wird man nach dem gegebenen Kennwort gefragt.

660

13 Verschlüsselung kompletter Laufwerke – BitLocker Abbildung 13.74 Kennworteingabe für BitLocker

Das Kontrollkästchen Kennwortzeichen bei Eingabe anzeigen sollte man nur dann verwenden, wenn sichergestellt ist, dass niemand den Inhalt des Bildschirms erkennen kann, nutzen sollte man das nur, wenn man sich nicht sicher ist, ob man das richtige Kennwort eingetippt hat (beliebter Fehler: Kennwort mit Y oder Z und versehentlich US-Tastaturschema aktiviert). Das Kontrollkästchen Auf diesem Computer ab jetzt automatisch entsperren würde das Kennwort in einen Bereich der Systempartition abspeichern. Dies wird aber nur dann erlaubt, wenn diese wiederum selbst verschlüsselt ist. Nach erfolgter Freigabe des Laufwerks erkennt man anhand des dargestellten Symbols in der Computeransicht, dass es sich um ein verschlüsseltes Laufwerk handelt. Abbildung 13.75 Verschlüsselt mit Schlüssel

13.13.4 Weitere Sicherheitsmöglichkeiten In der Standardeinstellung wird das Systemlaufwerk alleinig durch das Zusätzliche PIN TPM geschützt. Solange dieses keine Veränderung des Betriebssystems feststellt, benötigt man keine weiteren Kenntnisse mehr, um an das Betriebssystem zu gelangen. Der Schutz des Systems hängt dann allein von den Benutzern und deren Kennwörtern ab. Stellt das TPM eine Manipulation des Betriebssystems fest oder wird ein anderes als das erwartete Betriebssystems gestartet, blockiert es den Start des Systems.

661

Kapitel 13 Sicherheit Listing 13.9 BitLocker blockiert die Startphase.

Informationen zur Windows BitLocker-Laufwerkverschlüsselung Die Informationen zum Starten des Betriebssystems wurden seit dem Aktivieren von BitLocker geändert. Sie müssen einen BitLocker-Wiederherstellungsschlüssel angeben, um dieses System zu starten. Bestätigen Sie, dass die Änderungen an den Informationen zum Starten des Betriebssystems autorisiert sind. Wenn die Änderungen der Systemstartinformationen vertrauenswürdig sind, halten Sie BitLocker an, und setzen Sie BitLocker anschliessend fort. Dadurch wird BitLocker für die Verwendung der neuen Startinformationen zurückgesetzt. Stellen Sie andernfalls die Systemstartinformationen wieder her. EINGABE=Weiter

Sofern das TPM den Systemstart blockiert, kann man einfach den USBStick, der beim Anlegen der Laufwerkverschlüsselung benutzt wurde, anschließen und das System neu starten. BitLocker erkennt automatisch den Wiederherstellungsschlüssel und setzt die TPM-Sperre zurück. Um eine zusätzliche Sicherheit einzuführen, kann man den Start zusätzlich noch durch eine PIN-Eingabe oder eine Smartcard absichern. Der Vorteil ist hierbei die zusätzliche Sicherheit. Der Nachteil ist, dass der Benutzer beim Systemstart zusätzliche Aktionen durchführen muss. Um eine PIN-Eingabe zu ermöglichen, müssen einige Schritte durchgeführt werden. Zunächst muss die Verwendung einer PIN erlaubt werden, hierzu dient eine Gruppenrichtlinie. Starten Sie gpedit.msc, und navigieren Sie zu Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/BitLocker-Laufwerkverschlüsselung/Betriebssystemlaufwerke. Dort müssen Sie den Wert Zusätzliche Authentifizierung beim Start anfordern setzen. Es gibt an gleicher Stelle auch den Wert Zusätzliche Authentifizierung beim Start erforderlich. Dieser wird aber nur von Systemen mit Windows Vista oder Windows Server 2008 ausgewertet. Kontrolle über BitLocker

662

Außer, dass Sie generell kontrollieren können, ob BitLocker auch ohne TPM zugelassen werden soll, können Sie für die drei Varianten TPM mit PIN, TPM mit Systemstartschlüssel (auf einem USB-Stick) und TPM mit Systemstartschlüssel und PIN jeweils einstellen, ob diese Möglichkeit verboten, optional erlaubt oder zwingend erforderlich sein soll. Diese Einstellungen sind sofort aktiv. Im Weiteren verwenden wir für jede Option die Standardeinstellung Zulassen.

13 Verschlüsselung kompletter Laufwerke – BitLocker Abbildung 13.76 TPM mit Extra viel Sicherheit

Mit diesem Schritt haben Sie allerdings nur die Möglichkeit geschaffen, eine PIN zu verwenden. Nun muss das Systemlaufwerk noch für die Verwendung der PIN eingerichtet werden. Diese Einrichtung kann nicht über die Benutzeroberfläche vorgenommen werden, hierzu dient das Befehlszeilenprogramm manage-bde.exe (Manage BitLocker Disk Encryption), das von einer administrativen Eingabeaufforderung aus gestartet werden muss. Starten Sie cmd.exe als Administrator, und rufen Sie den folgenden Befehl aus: >manage-bde -protectors -add c: -tp BitLocker-Laufwerkverschlüsselung: Konfigurationstoolversion 6.1.7600 Copyright (C) Microsoft Corporation. Alle Rechte vorbehalten.

Listing 13.10 PIN-Eingabe ermöglichen

Geben Sie die PIN ein, die zum Schützen des Volumes verwendet werden soll:**** Bestätigen Sie die PIN durch erneute Eingabe:**** Hinzugefügte Schlüsselschutzvorrichtungen: TPM und PIN: ID: {2DF0A0B5-12E0-4428-A789-F75918D02C8C} Die Schlüsselschutzvorrichtung mit der ID "{E9D769FB-DDE1-421E-9C63A595D92D0995}" wurde gelöscht.

Erhalten Sie nach dem Befehl die folgende Fehlermeldung angezeigt, müssen Sie die Konfiguration der Gruppenrichtlinie kontrollieren:

663

Kapitel 13 Sicherheit FEHLER: Ein Fehler ist aufgetreten (Code 0x80310060): Die Gruppenrichtlinieneinstellungen lassen nicht die Verwendung einer PIN beim Start zu. Wählen Sie eine andere BitLocker-Startoption.

Mit dem folgenden Befehl kontrollieren Sie den Status der Verschlüsselung für das Laufwerk C:. Listing 13.11 Status der Verschlüsselung

>manage-bde -status c: BitLocker-Laufwerkverschlüsselung: Konfigurationstoolversion 6.1.7600 Copyright (C) Microsoft Corporation. Alle Rechte vorbehalten. Volume "C:" [] [Betriebssystemvolume] Größe: 48,83 GB BitLocker-Version: Windows 7 Konvertierungsstatus: Vollständig verschlüsselt Verschlüsselt (Prozent): 100 % Verschlüsselungsmethode: AES 128 mit Diffuser Schutzstatus: Der Schutz ist aktiviert. Sperrungsstatus: Entsperrt ID-Feld: Kein Schlüsselschutzvorrichtungen: Externer Schlüssel Numerisches Kennwort TPM und PIN

Nachdem jetzt die PIN für das Laufwerk festgelegt wurde, startet Windows 7 auch erst nach erfolgter PIN-Eingabe. Das Eingabeverfahren ähnelt dem für die TPM-Wiederherstellung. Listing 13.12 PIN-Eingabe beim Start

PIN-Eingabe für die Windows BitLocker-Laufwerkverschlüsselung Geben Sie die PIN für dieses Laufwerk ein. **** Laufwerksbezeichnung: ACER7RTM C: 04.09.2009 Verwenden Sie die Funktionstasten F1-F9 für die Ziffern 1-9 und verwenden Sie die Funktionstaste F10 für die Ziffer 0. Löschen Sie falsche Ziffern mit der POS1-Taste und der RÜCKTASTE. Drücken Sie nach der Eingabe der PIN die Eingabetaste. Drücken Sie zur Wiederherstellung die ESC-Taste. EINGABETASTE=Weiter

ESC=Wiederherstellung

13.13.5 BitLocker-Verwaltung In der BitLocker-Verwaltung (siehe Abbildung 13.68) stehen nach der Aktivierung auf einem Laufwerk deutlich mehr Optionen zur Verfügung.

664

13 Verschlüsselung kompletter Laufwerke – BitLocker Abbildung 13.77 BitLocker-Optionen

Die Option BitLocker deaktivieren führt dazu, dass das Laufwerk wieder entschlüsselt wird, dieser Vorgang dauert ähnlich lange wie die ursprüngliche Verschlüsselung. Die Option Schutz anhalten ist nur für Systemlaufwerke verfügbar. Sie bewirkt, dass der Schlüssel zum Systemlaufwerk nicht mehr im TPM gespeichert wird, sondern in Form einer Datei auf dem Laufwerk. Dies ist immer dann notwendig, wenn man das BIOS oder Systemstartdateien verändern oder andere Hardware umbauen will und verhindern möchte, dass das TPM den Systemstart sperrt. Während dieser Zeit wird als Status Angehalten angezeigt. Nachdem die Änderungen durchgeführt sind, kann man dann mit der Option Schutz fortsetzen den Schutz wieder aktivieren. Mit der Option BitLocker verwalten kann man verschiedene Aktionen durchführen. Die jeweils möglichen Optionen ergeben sich unter anderem auch aus den über Gruppenrichtlinien erlaubten Möglichkeiten. Zu den Aktionen gehören beispielsweise: 왘 Wiederherstellungsschlüssel speichern oder drucken 왘 PIN verändern 왘 Kennwort zum Entsperren verändern 왘 Kennwort vom Laufwerk entfernen 왘 Smartcard für Laufwerkzugriff aktivieren 왘 Automatische Entsperrung eines Datenlaufwerks aktivieren oder deaktivieren

13.13.6 BitLocker to Go Wenn schon 1 bis 2 % aller Laptops pro Jahr verloren gehen, möchte man sich überhaupt nicht vorstellen, wie viele USB-Sticks das gleiche Schicksal erleiden. Aus diesem Grund wurde bei Windows 7 auch eine Möglichkeit geschaffen, über die USB-Sticks verschlüsselt werden können. Der Einstieg erfolgt für den Benutzer sehr intuitiv. In das Kontextmenü eines Wechseldatenträgers wurde ein Eintrag BitLocker aktivieren aufgenommen. Auch hier wird wieder jeder Sektor des USB-Sticks verschlüsselt, was bei den heutigen Größen durchaus einige Zeit dauern kann. Es ist nicht möglich, nur einzelne Dateien auf dem Stick zu verschlüsseln. Da ein anderer Computer einen anderen TPM-Chip besitzt, kann die Verschlüsselung hierbei nur über ein Kennwort und/oder über eine Smartcard erfolgen. Über die Gruppenrichtlinien unter Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/BitLocker-Laufwerkverschlüsselung/Wechseldatenträger können verschiedene Aspekte von BitLocker to Go konfiguriert werden:

665

Kapitel 13 Sicherheit 왘 Wird BitLocker to Go überhaupt verwendet? 왘 Werden Wechseldatenträger, die nicht verschlüsselt sind, zum Beschrei-

ben zugelassen? 왘 Darf ein mit BitLocker To Go geschützter Datenträger auch von älte-

ren Windows-Versionen gelesen werden? 왘 Wo werden die Wiederherstellungsoptionen der Wechseldatenträger

gespeichert?

BitLocker to Go auf fremden Systemen BitLocker für Altsysteme

Es ist möglich, derartige USB-Sticks auch auf Systemen zu verwenden, die selbst nicht mit BitLocker umgehen können. Der Stick wird von Windows 7 dazu automatisch mit einem entsprechenden Leseprogramm für die verschlüsselten Daten ausgerüstet. Eine Installation von Zusatzsoftware auf anderen Systemen ist nicht notwendig. Über die Autostart-Funktion des USB-Sticks startet die Lesesoftware automatisch, sobald man den Stick an einem anderen System anschließt.

Abbildung 13.78 BitLocker To Go Lesetool auf XP Home (in klassischer Oberfläche)

Das Leseprogramm fragt das eingestellte Kennwort ab und gibt danach die gespeicherten Daten schreibgeschützt frei. Ein Abspeichern von Fremdsystemen auf den verschlüsselten USB-Stick ist nicht möglich. Abbildung 13.79 Lesender Zugriff auf die verschlüsselten Daten

666

13 Jugendschutzeinstellungen

Technisch gesehen werden auf dem Stick die verschlüsselten Daten, das Leseprogramm und Fülldaten abgespeichert, um zu verhindern, dass von dem Fremdsystem aus unverschlüsselte Daten auf dem Stick abgespeichert werden. Volume in Laufwerk E: hat keine Bezeichnung. Volumeseriennummer: 4AA2-E396 Verzeichnis von E:\ 14.07.2009 02:55 8.704 ar-SA_BitLockerToGo.exe.mui 10.06.2009 23:43 116 autorun.inf 14.07.2009 02:55 8.704 bg-BG_BitLockerToGo.exe.mui 14.07.2009 02:55 8.192 cs-CZ_BitLockerToGo.exe.mui ... 06.09.2009 00:18 0 PAD 0872. NG 06.09.2009 00:18 0 PAD 0873. NG 913 Datei(en) 4.192.503.412 Bytes 0 Verzeichnis(se), 0 Bytes frei

Listing 13.13 Realer Inhalt eines USB-Sticks mit BitLocker to Go

Diese Methode funktioniert nur, wenn der USB-Datenträger mit einem FAT-Dateisystem formatiert wurde. Bei Verwendung von NTFS ist dies nicht möglich.

13.14 Jugendschutzeinstellungen Die Jugendschutzeinstellungen wurden erstmalig bei Windows Vista vorgestellt und haben sich gegenüber Windows 7 in einigen Dingen verändert. Während bei Windows Vista diese Einstellungen nur in den Home- und Ultimate-Editionen vorhanden waren, enthalten jetzt alle Editionen von Windows 7 diese Einstellungen. Die Einstellungen sind allerdings standardmäßig nicht verfügbar, wenn der Computer Mitglied einer Domäne ist. Prinzipiell lassen sich die Jugendschutzeinstellungen nur für einen Benutzer vornehmen, der nicht gleichzeitig administrative Rechte besitzt. Um auch bei einem Domänenmitglied die Jugendschutzeinstellungen verfügbar zu haben, müssen Sie über eine globale oder lokale Gruppenrichtlinie den Wert Computerkonfiguration/Richtlinien/Administrative Vorlagen/Windows-Komponenten/Jugendschutz verändern, evtl. kann der Pfad zu den Einstellungen auch in englischer Sprache (Parental Controls) vorliegen. In jedem Fall wirken die Einstellungen jedoch nur auf lokale Benutzer, nicht auf Domänenmitglieder.

13.14.1 Änderungen gegenüber Windows Vista Im Vergleich zu Windows Vista haben sich einige Änderungen in der Funktion der Jugendschutzeinstellungen ergeben. Die bisher vorhandene Funktion der Blockierung von Webseiten wurde entfernt, ebenso die Aufzeichnung der Aktivitäten eines geschützten Benutzers. Stattdessen wurde eine

667


Schnittstelle für Anwendungen von Drittanbietern eingeführt, mit der diese sich in die Schutzmechanismen einklinken können, um eigene Filterverfahren zu implementieren. Durch diese Einbindung ist es möglich, dass die Fremdsoftware in die gewohnte Systemsteuerung nahtlos integriert wird und die Eltern (oder andere Aufsichtspersonen) mit mehreren Verwaltungsprogrammen hantieren müssen. Unter diesen zusätzlichen Providern befindet sich auch Microsoft selber, sie bieten den Dienst Windows Live Family Safety, an. Diesen gab es bislang für Windows XP und kann in Windows Vista integriert wurde. Für Windows 7 als separates Modul ist es in der Sammlung Windows Live Essentials erhältlich (siehe Kapitel 16).

13.14.2 Steuerungsmöglichkeiten beim Jugendschutz Standardmäßig können bei einem Benutzer drei Bereiche des Jugendschutzes konfiguriert werden: 왘 Zeitlimits Für jede Stunde und jeden Tag kann die Anmeldung am Computer zugelassen bzw. verweigert werden. Auf diese Weise lässt sich zum Beispiel verhindern, dass am Computer nächtelang gespielt oder gesurft wird. Ist der Benutzer angemeldet, während seine Anmeldezeit abläuft, so erhält er in regelmäßigen Abständen vor Ablauf der Frist (15 Minuten, eine Minute) ein Meldungsfeld angezeigt (siehe Abbildung 13.80 unten) beziehungsweise kann über einen Tooltipp des Symbols im Infobereich der Taskleiste die Zeit anzeigen lassen (siehe Abbildung 13.80 oben). Ist die Zeit dann vorbei, wird seine Sitzung getrennt, läuft aber noch im Hintergrund weiter. Dies ist allerdings dann problematisch, wenn der Computer anschließend heruntergefahren werden soll, da dies zu einem Datenverlust führen kann. In diesem Fall sollte statt Herunterfahren die Option Ruhezustand zum Abschalten des Systems genutzt werden. Abbildung 13.80 Ihre Zeit ist um!

왘 Spielfreigaben

Windows 7 unterstützt eine Reihe von Altersfreigabesystemen für Computerspiele, darunter auch die der Unterhaltungssoftware Selbstkontrolle (USK), die in Deutschland Spiele mit einen Prüfsiegel versieht. Die Spiele werden hierbei in Altersklassen eingeteilt. Die Klassen orientieren sich dabei meist an der Einteilung, die auch für Filme im Kino oder Fernsehen vorgenommen werden. Das System der USK ist bei einer deutschen Installation voreingestellt.

668

13 Jugendschutzeinstellungen Abbildung 13.81 Auswahl verschiedener Spielebewertungen (lange Liste optisch verkürzt)

왘 Zugelassene Programme

Während die Spielfreigabe sich nur auf Spiele beschränkte, die von einer externen Bewertungsfunktion klassifiziert wurden, kann mit dieser Option für einzelne Anwendungen festgelegt werden, ob diese aufgerufen werden dürfen oder nicht. Dies kann man zum Beispiel auch zur Absicherung eines Computers im öffentlichen Raum verwenden.

13.14.3 Spielfreigaben Bevor Sie mit dem Jugendschutz beginnen können, müssen drei Voraussetzungen erfüllt sein: 1. Das System darf nicht Mitglied einer Domäne sein, bzw. bei einem System einer Domäne wurde explizit die Jugendschutzeinstellung angefordert. 2. Es muss mindestens einen lokalen Benutzer geben, der nicht gleichzeitig Administrator ist. 3. Die Spiele dürfen nicht auf einer FAT-Partition installiert sein, Spiele können nur reglementiert werden, wenn sie auf NTFS installiert wurden. Abbildung 13.82 Jugendschutz nicht mit FAT

669

Kapitel 13 Sicherheit Nicht jeder darf alles

Starten Sie dann Systemsteuerung/Benutzerkonten und Jugendschutz/Jugendschutz. Sie sehen zunächst eine Liste aller Benutzer auf dem System, in der für jeden Benutzer vermerkt ist, ob für ihn der Jugendschutz aktiviert ist oder nicht. Die einzelnen Einstellungen für den jeweiligen Benutzer sind dort nicht sichtbar. Sofern der Benutzer, dessen Einstellungen Sie ändern wollen, gerade angemeldet ist, erscheint eine Warnmeldung, die Sie darüber informiert, dass die vorgenommenen Einstellungen möglicherweise erst nach einer erneuten Anmeldung greifen.

Abbildung 13.83 Benutzer mit und ohne Jugendschutz

Durch den Link Spielfreigabesysteme in der linken Aktionsleiste gelangt man zu einer Auswahlliste verschiedener Ratingsysteme (siehe Abbildung 13.81). Bei der Wahl richten Sie sich am besten nach den Bewertungen, die für die meisten Ihrer Spiele vergeben sind. Abbildung 13.84 Beispiele für Bewertungen auf einer Spieleverpackung

Wenn Sie das Bewertungssystem ändern, werden alle vorgenommenen Einschränkungen bei Ihren Benutzern zurückgesetzt.

670


Feststellen, ob ein Spiel bewertet ist Nachdem Sie ein Spiel installiert haben, können Sie auch feststellen, ob es von Windows als Spiel erkannt wird und welche Bewertung es hat. Starten Sie dazu den Spieleexplorer, indem Sie auf Start und dann auf Spiele klicken. Falls im Startmenü kein Eintrag Spiele vorhanden ist, müssen Sie die Darstellung des Eintrags zunächst aktivieren. Klicken Sie mit der rechten Maustaste in einen freien Bereich des Startmenüs, und wählen Sie Eigenschaften aus. Auf der Registerkarte Startmenü klicken Sie dann auf die Schaltfläche Anpassen und wählen in der angezeigten Liste den Eintrag Spiele aus. Abbildung 13.85 Spiele und ihre Bewertung

Mit Windows Vista hat Microsoft eine eigene Schnittstelle für derartige Bewertungssysteme eingeführt. Spiele, die installiert werden, registrieren sich auf diese Weise selbst beim System und liefern somit auch Informationen über ihre eigenen Bewertungen mit. Für eine ganze Reihe von aktuell bereits existierenden Spielen (Legacy Games) bringt Windows 7 bereits eine Datenbank mit diesen Bewertungen mit. Jedes Spiel in der Auflistung kann durch direkten Doppelklick gestartet wer- Wer darf was? den, sofern der Benutzer über die Berechtigung zum Spielen verfügt. In der rechten Spalte werden zu jedem Spiel eventuell auch weitere Informationen angezeigt, sofern das Spiel oder die Bewertungsdatenbank diese Informationen liefert: 왘 Bewertungen – Neben Informationen zur Altersfreigabe werden auch Hinweise auf bestimmte Aspekte des Spiels angezeigt, etwa ob es in dem Spiel um Gewalt, Glücksspiel oder Sex geht. Die einzelnen Bewertungssysteme haben hierbei zuweilen sehr detaillierte Einstufungen. 왘 Leistung – Für jedes System bildet Windows 7 einen sogenannten Leistungsindex (Windows Experience Index), der sich aus den Werten für Pro-

671


zessor, Speicher und anderen Hardware-Komponenten bildet (in der Systemsteuerung nach Leistung suchen). Für jedes Spiel kann angegeben werden, welchen Leistungsindex ein Spiel mindestens benötigt und welcher Wert empfohlen wird. Dies wird mit dem aktuellen Leistungsindex zusammen angezeigt. 왘 Statistik – Jedes Spiel kann Informationen über die Zahl der Spiele insgesamt, die Zahl der gewonnenen Spiele etc. abspeichern. Diese Informationen können hier angezeigt werden. Es gibt jedoch keine Möglichkeit, die eigenen Statistiken mit denen anderer Spieler auf dem System zu vergleichen.

Spieleexplorer anpassen Über das Kontextmenü, das erscheint, wenn man im freien Bereich des Spieleexplorers mit der rechten Maustaste klickt, kann man die Sortierung der Spiele verändern. Klickt man im Kontextmenü eines Spiels auf die Menüoption Dieses Spiel ausblenden, wird es aus dem Spielebereich des aktuellen Benutzers entfernt, andere Benutzer können es weiterhin sehen. Über den Befehl Optionen im Hauptmenü und dort die Schaltfläche Alle Elemente einblenden kann diese Aktion rückgängig gemacht werden.

13.14.4 Einstellungen für einen Benutzer vornehmen Sämtliche Einstellungsmöglichkeiten für einen Benutzer werden erst möglich, wenn der Jugendschutz durch die Option Ein – Einstellungen erzwingen aktiviert wird. Im Dialogfeld aus Abbildung 13.86 sehen Sie auf der linken Seite die möglichen Methoden zur Konfiguration und auf der rechten Seite unter dem Bild des Benutzers die Zusammenfassung der aktuell vorgenommenen Einstellungen. Abbildung 13.86 JugendschutzEinstellungen für einen Benutzer

672


Zeitlimits Die Einstellung der Zeitlimits erfolgt ziemlich einleuchtend durch eine Matrix für die sieben Wochentage und die 24 Stunden eines Tages. Für jede Stunde kann separat festgelegt werden, ob zu der Zeit die Benutzung des Computers erlaubt oder nicht erlaubt sein soll. Dies betrifft nicht nur Spiele, sondern jegliche Anwendungen. Es wäre wünschenswert, wenn hier die Möglichkeit gegeben wäre, mehrere Zeitschablonen zu definieren, etwa für Schulzeit und Ferien. Aktuell müsste man manuell die Zeiten ändern, wenn etwa in Ferienzeiten eine laxere Regelung gelten soll.

Spiele Die Einstellungen für Spiele beginnen zunächst mit der globalen Entscheidung, ob überhaupt Spiele gespielt werden dürfen oder nicht, quasi einer Variante des Fernsehverbotes im 21. Jahrhundert. Durch Klick auf den Link Spielfreigaben festlegen können Spiele global über die Einstufungen der gewählten Bewertungsstelle blockiert werden. Über den Link Bestimmte Spiele zulassen oder blockieren können Spiele unabhängig von den vergebenen Ratings blockiert oder zugelassen werden. Abbildung 13.87 Spieleeinstellungen für einen Benutzer

Zunächst müssen Sie entscheiden, ob Spiele, die von dem aktuell gewählten Ratingsystem nicht bewertet wurden, gespielt werden dürfen oder nicht. Dann folgt die Einstellung der gewünschten Altersstufe. Bei Auswahl einer Stufe werden automatisch alle jüngeren Stufen ebenfalls mit ausgewählt.

Auswahl der erlaubten Ratings (optisch verkürzt dargestellt)

673


An dieser Stelle zeigt sich auch, dass das Ratingverfahren noch nicht ganz zu Ende gedacht wurde. Aktuell gibt es von Microsoft keine Möglichkeit, ein noch nicht bewertetes Spiel manuell mit einem Rating zu versehen. Aktuell müssen Sie das Spiel über die Einstellung per Namen jedem Benutzer einzeln erlauben oder verweigern. Gleichfalls gibt es keine Möglichkeit, ein Spiel, das vom Spieleexplorer nicht erkannt wurde, manuell zum System hinzuzufügen. Im Netz gibt es aktuell eine Software mit dem Namen Game Explorer Editor (siehe unter [GEE]), mit dem man diese Einstellungen ändern kann. Außer den generellen Alterseinschränkungen kann im unteren Teil des Dialogfeldes die Auswahl der erlaubten Spiele zusätzlich noch durch die zu einem Spiel angegebenen Beschreibungen eingeschränkt werden. Die in diesem Bereich verfügbaren Einstellmöglichkeiten hängen direkt von den Inhaltsangaben ab, welche die gewählte Ratingagentur anbietet. Damit ein Spiel erlaubt wird, muss es zum einen der oben gewählten Altersstufe entsprechen, und zum anderen darf keine der unten ausgewählten Inhaltsabgaben vermerkt sein. Abbildung 13.88 Kontrolle über einzelne Spiele

Über den Link Bestimmte Spiele zulassen oder blockieren in Abbildung 13.87 gelangt man zu einer Einstellseite, bei der einzelne Spiele gezielt für einen Benutzer zugelassen oder gesperrt werden können. Für jedes vom Spieleexplorer erkannte Spiel hat man die Wahl zwischen drei Optionen:

674

13 Jugendschutzeinstellungen 왘 Benutzerfreigabe – Die Freigabe richtet sich nach der Alterstufe des

Benutzers und seinen Inhaltskategorien. 왘 Immer zulassen – Das Spiel wird zugelassen, auch wenn es nach der

Altersfreigabe eigentlich verboten wäre. 왘 Immer blockieren – Das Spiel wird nicht erlaubt, egal welche Altersfrei-

gabe der Benutzer hat

Jugendschutz in Aktion Sobald für einen Benutzer der Jugendschutz aktiviert und entsprechende Einstellungen vorgenommen wurden, sieht dieser eine entsprechend angepasste Sicht des Spieleexplorers. Spiele, die ihm nicht erlaubt sind, werden entsprechend blockiert dargestellt, und beim Versuch, ein derart blockiertes Spiel zu starten, erhält er eine entsprechende Fehlermeldung. Abbildung 13.89 Spiel blockiert: kein Bild, kein Spaß

Technisch wird die Sperre dadurch implementiert, dass die Zugriffsrechte NTFS muss sein auf die jeweilige ausführbare Datei des Spiels über NTFS-Rechte manipuliert werden, indem den jeweils gesperrten Benutzern sämtliche Rechte versagt werden. Auf diese Weise ist es auch über andere Programme nicht möglich, das Programm zu starten oder zu versuchen, eine nicht gesperrte Kopie des Spiels anzulegen.

13.14.5 Windows-Spieleexplorer intern Die Funktionsweise des Windows-Spieleexplorers ist von Microsoft unter [SPIEL] beschrieben. Die Komponente gehört systematisch zu DirectX, und im zugehörigen DirectX SDK finden Spieleentwickler auch die Hilfsmittel, um für ihre Spiele diese Schnittstelle nutzen zu können. Die Informationen des Spieleexplorers finden Sie in der Registry unter dem Schlüs-

675


sel HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\GameUX. Im Unterschlüssel Games finden sich die Spiele, die sich über die Schnittstelle beim System angemeldet haben. Am Anfang sind dies zunächst die bei Windows vorinstallierten Anwendungen wie Solitär oder Freecell. Zu jedem Spiel werden außer einigen Verwaltungsinformationen auch die Informationen über die Bewertungen im Wert ConfigGDFBinaryPath hinterlegt (GDF = Games Description File). Dieser Wert zeigt aber nicht auf eine simple Textdatei, sondern dient als Verweis auf eine Binärdatei, in der die Informationen über das Rating in Form einer Ressource hinterlegt sind. Dieses Verfahren ähnelt der Methode, wie auch Zeichenketten, Dialogfelder oder Symbolbilder (Icons) in einer .exe- oder .dll-Datei abgespeichert werden. Eine Datenbank mit GDF-Informationen für viele Tausende bereits bestehender Spiele findet sich in der Datei %Systemroot%\system32\ GameUXLegacyGDFs.dll. Für den Fall, dass in der derartig referenzierten Datei keine Ratinginformationen vorhanden sind, wird die Information direkt im Wert RatingsInfo gespeichert. Für alle anderen Spiele, die auf dem System erkannt wurden, werden für den jeweiligen Spieler in einem Unterschlüssel, der einer SID entspricht, Einträge für die Spiele vorgenommen, die er bereits gespielt hat. Listing 13.14 RatingsInfo für das Spiel Freecell

...

Listing 13.15 GDF-Definition für das Spiel Stronghold 2

Stronghold 2 bcdedit ... nx

OptIn

Die Auswirkung dieser Einstellung kann man im Task-Manager kontrollieren, wenn man sich auf der Registerkarte Prozesse nach Aufruf des Menübefehls Ansicht/Spalten auswählen die Spalte Datenausführungsverhinderung anzeigen lässt. Man kann in Abbildung 13.94 erkennen, dass die Windows-eigenen Programme alle mit aktiviertem DEP laufen. Bei den anderen Applikationen hängt es vom jeweiligen Programm ab, ob es DEP anfordert (Sysinternals Process Explorer) oder nicht anfordert (TCP/UDP endpoint viewer).

682

13 Datenausführungsverhinderung Abbildung 13.94 DEP im TaskManager

Die andere Alternative, die sich über das Dialogfeld konfigurieren lässt, ist Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme Hierdurch kann man im Dialogfeld einzelne Programme aufnehmen, die bei aktiviertem DEP Probleme zeigen. Leider wird man nur durch Versuche (oder Google) erfahren können, welche Programme man explizit von der Datenausführungsverhinderung ausnehmen muss. Hier muss man das Programm ausprobieren und bei auftretenden Fehlern entsprechend reagieren.

683

14

Systemüberwachung

Normalerweise tun Computer ja das, was man von ihnen erwartet. Aber zusätzlich tun sie noch mehr, von dem man nicht weiß, dass sie es gerade tun. Und in allen Fällen können Fehler auftreten, auch wenn man diese auf der Oberfläche nicht bemerkt. Hier greift die Systemüberwachung ein, mit der man nachverfolgen kann, was ein Computer gerade tut, und auch entdecken kann, warum er es tut. Um dem Administrator (und in geringerem Maß auch dem Benutzer) Informationen über das System anzuzeigen, gibt es zum einen spezielle Informationsprogramme, die weitere, sonst nicht sichtbare Informationen anzeigen, und zum anderen Protokolle, in denen man auch im Nachhinein Informationen über durchgeführte Aktionen und aufgetretene Ereignisse analysieren kann.

14.1 Was tut das System gerade? Windows 7 ist ein Multitasking-Betriebssystem. Aber was bedeutet das Unter der Haube eigentlich genau? Multitasking bedeutet wörtlich, dass der Computer meh- drehen sich die rere Aufgaben gleichzeitig durchführen kann. Arbeiten tut ein Computer Räder mit seiner CPU (Central Processing Unit – Zentraleinheit), und somit scheint es klar zu sein, dass eine CPU auch immer nur eine Tätigkeit zugleich durchführen kann. In der heutigen Zeit mit Mehrprozessorsystemen und Mehrfachkernen hat sich das mit der einen Tätigkeit etwas relativiert. Aber es bleibt dabei, dass auf dem Computer mehr Tätigkeiten durchgeführt werden sollen, als Verarbeitungseinheiten dafür tatsächlich vorhanden sind. Um dieses Problem zu lösen, werden die einzelnen Tätigkeiten in Form eines Prozesses zusammengepackt. Zu einem Prozess gehören ein abgegrenzter Speicherbereich, der allein für diesen Prozess zuständig ist,

685

Kapitel 14 Systemüberwachung

Sicherheitsinformationen, was dieser Prozess tun kann und darf, und noch einiges mehr an Verwaltungsinformationen, etwa wie wichtig dieser Prozess ist. Zusätzlich gibt es noch einen Prozess, dessen Funktion darin besteht, in regelmäßigen Abständen die Verarbeitungseinheiten von einem laufenden Prozess zu entfernen und einem anderen Prozess zuzuweisen. Da dieser Vorgang sehr schnell passiert, entsteht für den Betrachter der Eindruck, als ob alle vorhandenen Prozesse gleichzeitig laufen würden.

14.1.1

Väter und Söhne

Insbesondere gehört zu einem Prozess auch die Information, wer den Prozess eigentlich erzeugt hat. Programmtechnisch geschieht dies durch den Aufruf einer Funktion des Betriebssystems. Zu den Verwaltungsinformationen des neuen Prozesses gehört dann immer auch die Angabe über die Identität des Prozesses, von dem aus er gestartet wurde. Auf diese Weise bilden die laufenden Prozesse des Systems eine Baumstruktur, deren oberstes Element der Prozess ist, den das System beim Neustart als Erstes ausgeführt hat. Wird ein Prozess beendet, so kann entschieden werden, ob die Prozesse, die er gestartet hat, mit beendet werden sollen oder nicht.

14.1.2 Kleine, nicht kurze Prozesse

Und was ist ein Thread?

Der Wechsel zwischen den einzelnen Prozessen ist zwar (im Vergleich zu manuellen Aktionen eines Benutzers) sehr schnell, verbraucht aber trotzdem noch eines an Verarbeitungskapazität. Aus diesem Grund hat man das Konzept der Threads (englisch für Faden, auch als Lightweight Processes, leichtgewichtige Prozesse bezeichnet) entwickelt. Ein Prozess kann aus mehreren Threads bestehen, die sich alle gemeinsam die dem Prozess zugeteilten Betriebsmittel (etwa Hauptspeicher) teilen. Während bei den Prozessen das Betriebssystem dafür sorgt, dass die einzelnen Prozesse sich nicht gegenseitig stören, müssen Threads dies untereinander selber tun. Der Programmierer einer Anwendung mit Threads erkauft also Schnelligkeit mit einem höheren Aufwand bei der Entwicklung.

14.1.3

Task-Manager

Das Standardwerkzeug von Windows zur Kontrolle der laufenden Prozesse ist seit Windows NT der Task-Manager. Diese Applikation lässt sich auf verschiedene Weisen aufrufen, ist jedoch nicht im Startmenü verlinkt. 왘 Tastenkombination (Strg)+(ª)+(Esc) drücken 왘 Tastenkombination (Strg)+(Alt)+(Entf) drücken und dann in der Liste Task-Manager starten auswählen 왘 Mit der rechten Maustaste in einen freien Bereich der Taskleiste des Bildschirms klicken und Task-Manager starten aus dem Menü auswählen 왘 Im Suchfeld des Startmenüs taskmgr eintippen

686

Was tut das System gerade?

Falls nach dem Aufruf kein Programm erscheint, kann es sein, dass der Task-Manager minimiert im Systemtray läuft. Hier kann er durch einen doppelten Mausklick zur Anzeige gebracht werden.

14 Abbildung 14.1 Task-Manager im Systemtray

In jeder Registerkarte werden am unteren Rand in einer Zusammenfassung die Anzahl der Prozesse, die aktuelle Auslastung der CPU und die des physikalischen Speichers angezeigt. Steigt der Speicherwert in Richtung 100%, sollte man versuchen, entweder laufende, aber nicht benötigte Programme zu schließen oder den Hauptspeicher des Computers zu vergrößern. Geht die CPU-Auslastung in diese Richtung, kann man nur versuchen, nicht benötigte Prozesse zu beenden. Bei den wenigsten Systemen wird es möglich sein, eine weitere oder eine schnellere CPU einzubauen. Sofern der Task-Manager ohne Titelleiste und Menü angezeigt wird, stellt ein Doppelklick in das Fenster auf einen freien Bereich den normalen Zustand wieder her. Ein Doppelklick auf den freien Bereich in Höhe der Laschen der Registerkarten lässt Titelleiste und Menü wieder verschwinden. Es kann auch sein, dass der Task-Manager nicht erscheint beziehungsweise beim Versuch, ihn über seinen Namen zu starten, eine Fehlermeldung erscheint. Abbildung 14.2 Task-Manager deaktiviert?

Dieses Verhalten wird über eine Richtlinie gesteuert. Wahlweise können Sie im Bereich Benutzerkonfiguration/Administrative Vorlagen/System/ STRG+ALT+ENTF (Optionen) den Wert Task-Manager entfernen kontrollieren oder den Wert DisableTaskMgr in der Registry unter HLKM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System beziehungsweise sein Pendant in HKCU überprüfen. Über die Menüfunktion Optionen/Immer im Vordergrund kann erreicht werden, dass der Task-Manager unter allen Umständen vor jedem anderen Fenster auf dem Bildschirm dargestellt wird.

687


Registerkarte Anwendungen Nach dem Aufruf des Task-Managers sind sechs Registerkarten erkennbar. Beim ersten Aufruf wird die Registerkarte Anwendungen angezeigt, ansonsten die zuletzt dargestellte. Abbildung 14.3 Task-Manager – Registerkarte Anwendungen

Auf der Registerkarte Anwendungen werden alle Prozesse des aktuellen Benutzers angezeigt, die auch tatsächlich ein Fenster auf dem Desktop anzeigen. Nicht jedes Fenster bekommt jedoch einen eigenen Eintrag auf dieser Registerkarte. Beispielsweise tauchen alle Minianwendungen nicht auf. In manchen Fällen kann es vorkommen, dass der Prozess, der die Oberfläche des Desktops darstellt, beendet wird oder abstürzt. Erkennbar ist dies daran, dass weder Taskleiste noch Desktop-Symbole angezeigt werden. Rufen Sie in diesem Fall den Task-Manager per Tastenkombination auf, und starten Sie über die Schaltfläche Neuer Task den Prozess explorer.exe neu. Sofern oben in der Auflistung eine Anwendung selektiert wurde, kann mit der Schaltfläche Task beenden die Anwendung zwangsweise beendet oder mit Wechseln zu die Anwendung in den Vordergrund geholt werden. Über das Kontextmenü der einzelnen Anwendungen sind noch mehr Aktionen möglich: 왘 Wechseln zu – Die ausgewählte Anwendung wird zur aktiven Anwendung gemacht. 왘 In den Vordergrund – Die ausgewählte Anwendung wird zur aktiven Anwendung gemacht und über allen anderen Fenstern auf dem Desktop angezeigt. 왘 Minimieren und Maximieren – Das Fenster der Anwendung wird entsprechend behandelt. Dies funktioniert aber nur, wenn die Anwendung auch die betreffende Darstellungsart unterstützt. Eine rein als Dialog konzipierte Anwendung (zum Beispiel calc.exe) wird beispielsweise das Kommando Maximieren nicht umsetzen können.

688

Was tut das System gerade? 왘 Überlappend, Untereinander und Nebeneinander – Selektieren Sie zunächst

14

eine Anwendung und dann weitere Anwendungen dazu, indem Sie dabei die (Strg)-Taste gedrückt halten. Dann können Sie mit diesen Optionen die Fenster wie gewünscht anordnen, sodass sie den kompletten Bildschirm ausfüllen. Werden vier Applikationen auf diese Weise ausgewählt, so werden diese in einem 2*2-Muster angeordnet. Dies funktioniert nur mit Applikationen, die in variabler Fenstergröße dargestellt werden können. 왘 Task beenden – Die Anwendung wird beendet. 왘 Abbilddatei erstellen – Nur für Entwickler interessant. Vom laufenden Programm wird ein Speicherabbild angefertigt, das sich mit einem Debugger analysieren lässt. 왘 Zu Prozess wechseln – Der Task-Manager wechselt zur Registerkarte Prozesse und selektiert dort den zur Anwendung zugehörigen Prozess.

Registerkarte Prozesse Auf der Registerkarte Prozesse erkennt man zum einen mehr laufende Programme als auf der Registerkarte Anwendungen, zum anderen kann man hier auch genauere Informationen über die einzelnen Prozesse bekommen. Abbildung 14.4 Prozesse eines Benutzers

Standardmäßig werden hier nur die Prozesse des jeweils angemeldeten Wer spielt schon Benutzers angezeigt, da die Anzeige von Prozessen anderer Benutzer even- wieder Freecell? tuell ein Sicherheitsrisiko sein könnte. Nur ein administrativer Benutzer kann deshalb über die Schaltfläche Prozesse aller Benutzer anzeigen auch fremde Prozesse sehen. In diesem Fall erscheinen mehr Prozesse im Fenster, und man kann die Einstellung über ein Kontrollkästchen am unteren Rand beeinflussen. Im Vergleich zwischen Abbildung 14.4 und Abbildung 14.5 kann man erkennen, dass es auf dem System außer dem gerade aktiven Benutzer jochenr-admin noch Prozesse gibt, die unter dem SYSTEM-Account oder unter dem Account user1 laufen, manche Programme (etwa cmd.exe) laufen mehrfach, manche (etwa explorer.exe) laufen mehrfach mit unterschiedlichen Benutzernamen.

689

Kapitel 14 Systemüberwachung Abbildung 14.5 Prozesse aller Benutzer

In der Standardeinstellung zeigt der Task-Manager hierbei den Namen des ausgeführten Programms (Abbildname), den Benutzeraccount, mit dem der Prozess läuft, die aktuelle Auslastung des Prozessors für den Prozess, die Größe des vom Programm belegten Arbeitsspeichers (Programmgröße und Datengröße zusammen) sowie eine Beschreibung des Programms an. Der Eintrag Leerlaufprozess bezeichnet keinen realen Prozess, sondern dient nur als Platzhalter dafür, dass die CPU-Auslastung insgesamt auf 100 % kommt. Solange noch Leerkaufzeit angezeigt wird, ist der Computer mit seinen laufenden Programmen nicht ausgelastet. Über das Menü Ansicht kann die Anzeige aktualisiert beziehungsweise die automatische Aktualisierung kontrolliert werden. Mit der Menüfunktion Spalten auswählen können weitere Spalten zur Anzeige hinzugefügt werden, die folgende Tabelle erläutert, welche Informationen angezeigt werden können. Spalte

Bedeutung

PID (Prozess-ID, Process Identifier)

Eine Nummer, die jeden Prozess auf dem System eindeutig identifiziert.

Benutzername (User Name)

Name des Benutzers, unter dessen Kennung der Prozess läuft

Sitzungskennung (Session ID)

Jeder Benutzer, der sich am System anmeldet, erhält eine eindeutige Sitzungskennung.

CPU-Auslastung (CPU Usage)

Prozentualer Anteil an der Auslastung der CPU

CPU-Zeit (CPU Time)

Zeit, die der Prozess seit seinem Start an CPU-Nutzung verbraucht hat, in Sekunden

Arbeitsspeicher – Arbeitssatz (Memory Working Set)

Größe des Speichers bestehend aus privatem Speicher des Prozesses zusammen mit der Größe des Speichers, den der Prozess sich mit anderen Prozessen teilen kann

Arbeitspeicher – Spitzenarbeitssatz Maximalwert, den der obige Wert höchstens während der (Memory Peak Working Set) gesamten Laufzeit erreicht hat. Tabelle 14.1: Spalten im Task-Manager 690


Spalte

Bedeutung

Arbeitsspeicher – Arbeitssatzdelta (Memory Working Set Delta)

Wert, um den sich Arbeitsspeicher – Arbeitssatz seit der letzten Aktualisierung verändert hat

Arbeitsspeicher – Privater Arbeitssatz (Memory Private Working Set)

Größe des privaten Speichers, der nur zur Verwendung dieses Prozesses vorgesehen ist

Arbeitsspeicher – Zugesicherte Größe (Memory Commit Size)

Größe des Arbeitsspeichers, der für diesen Prozess reserviert wird.

Arbeitsspeicher – Ausgelagerter Pool (Memory – Paged Pool)

Größe des zugewiesenen Speichers eines Prozesses, der auf einen virtuellen Speicher (Pagefile) ausgelagert werden kann

Arbeitsspeicher – Nicht ausgelager- Größe des zugewiesenen Speichers eines Prozesses, der nicht ter Pool (Memory – non Paged Pool) auf einen virtuellen Speicher ausgelagert werden kann Seitenfehler (Page Faults)

Zählt seit des Start des Prozesses, wie oft beim Zugriff auf einen Speicherbereich dieser erst aus dem virtuellen Speicher nachgeladen werden musste

Seitenfehlerdelta (Page Fault Delta) Gibt die Differenz des obigen Werts seit der letzten Aktualisierung an Basispriorität (Base Priority)

Gibt die Priorität an, mit der der Prozess ausgeführt wird. Die möglichen Werte sind Echtzeit, Hoch, Höher als Normal, Normal, Niedriger als Normal und Niedrig.

Handles

Die Oberfläche eines Programms besteht aus Objekten wie etwa Dialogfeldern, Schaltflächen oder Bildern. Dieser Zähler gibt an, wie viele solcher Objekte ein Prozess angefordert hat.

Threads

Gibt an, aus wie vielen Threads ein Prozess besteht

BENUTZER-Objekte (USER Objects)

Gibt die Anzahl der vom Prozess angeforderten Benutzerobjekte (Mauszeiger, Symbol, Menüs …) an

GDI-Objekte (GDO Objects)

Gibt die Anzahl der vom Prozess angeforderten GDUI-Objekte (Bitmaps, Zeichenpinsel, Zeichensätze, Farbpaletten …) an

E/A Lesen (I/O Reads), E/A Schreiben (I/O Writes) und E/A Andere (I/O Other)

Gibt die Anzahl der Vorgänge an, bei denen mit Dateien, Netzwerken und Geräten Daten gelesen, geschrieben oder sonstige Aktionen durchgeführt werden. Ein-/Ausgabe auf die Konsole werden nicht gezählt.

E/A-Bytes Lesen (I/O Read Bytes), E/A- Gibt die Summe der Bytes an, die bei den jeweiligen OperaBytes Schreiben (I/O Write Bytes) und tionen verarbeitet wurden E/A-Bytes Andere (I/O Other Bytes) Abbildpfadname (Image Path Name) Gibt den kompletten Pfad zum laufenden Programm auf der Festplatte an Befehlszeile (Command Line)

Gibt die Befehlszeile des Prozesses (Aufrufparameter) an

Virtualisierung der Benutzerkontensteuerung (Virtualization)

Gibt den Status der UAC-Steuerung für diesen Prozess an. Mögliche Werte sind Aktiviert, Deaktiviert und Nicht zugelassen.

Beschreibung (Description)

Gibt eine Beschreibung des laufenden Prozesses an. Der Wert wird aus der Beschreibung der EXE-Datei entnommen.

Datenausführungsverhinderung (Data Execution Prevention)

Gibt an, ob der Prozess mit der Sicherungsmethode DEP abläuft (siehe den Kapitel 13).

Tabelle 14.1: Spalten im Task-Manager (Forts.)

691

14


Wie gewohnt lässt sich die Tabellendarstellung durch einen Klick auf einen Spaltenkopf nach der jeweiligen Spalte sortieren. Ein erneuter Klick kehrt die Sortierung um. Eine detaillierte (englischsprachige) Erklärung zum Themenkreis Handles und Objekte findet Sie unter [HAND]. Über das Kontextmenü der rechten Maustaste lassen sich einzelne auf den jeweiligen Prozess bezogene Aktionen auslösen: 왘 Dateipfad öffnen – Es wird ein Explorer-Fenster geöffnet, das den Ordner anzeigt, in dem die betreffende ausführbare Datei zu finden ist. 왘 Prozess beenden, Prozessstruktur beenden – Der aktuelle Prozess wird beendet, der zweite Befehl beendet sowohl den Prozess als auch alle Prozesse, die von diesem Prozess aus erzeugt wurden. 왘 Debug – Sofern ein Debugger auf dem System installiert wurde, kann dieser die Kontrolle über den Prozess übernehmen. Nur für Entwickler von Interesse. 왘 UAC-Virtualisierung – Erlaubt die Kontrolle über die UAC-Einstellungen. Wird nur für Entwickler empfohlen. 왘 Abbilddatei erstellen – Wie die gleichnamige Funktion auf der Registerkarte Anwendungen. 왘 Priorität festlegen – Gibt die Kontrolle darüber, wie schnell das System einen Prozess bearbeitet. Man wird aber bei der Anwendung davor gewarnt, dass diese nachträgliche Änderung die Systemstabilität beeinflussen kann. Hier sollte man besser im Befehlszeilenfenster den Befehl start mit seinen entsprechenden Optionen verwenden. 왘 Zugehörigkeit festlegen – Auf einem System mit mehreren CPUs kann bestimmt werden, welche CPU diesen Prozess ausführen dürfen. 왘 Eigenschaften – Wechselt zur Eigenschaftsseite der jeweiligen ausführbaren Datei. 왘 Zu Dienst(en) wechseln – Sofern der ausgewählte Prozess einem Windows-Dienst entspricht, wird die Registerkarte Dienste aufgerufen, und die zugehörigen Dienste werden selektiert.

Registerkarte Dienste Auf der Registerkarte Dienste erhält man Informationen über die aktuell auf dem System definierten Dienste und deren aktuellen Status. Über das Kontextmenü kann man die Dienste starten und stoppen sowie auf der Registerkarte Prozesse den zugehörigen Prozess selektieren. Dies ist besonders interessant, weil viele Dienste von dem generischen Programm svchost.exe aus kontrolliert werden. Zudem kann man noch sehen, zu welcher Dienstgruppe ein Dienst gehört. Alle Dienste einer Gruppe werden durch den gleichen Aufruf gestartet.

692

Was tut das System gerade? Abbildung 14.6 Registerkarte Dienste

Mit der Schaltfläche Dienste kann man das zugehörte Applet Dienste der Systemsteuerung aufrufen. Im Task-Manager entspricht die Spalte Beschreibung der Spalte Name in der Systemsteuerung, die Spalte Name des Task-Managers entspricht der Information Dienstname, wenn man in der Systemsteuerung die Eigenschaften eines Dienstes aufruft. Über das Menü Ansicht oder die Taste (F5) kann die Anzeige aktualisiert werden.

Registerkarte Leistung Auf der Registerkarte Leistung sieht man im oberen Teil eine grafische Darstellung der aktuellen Systemaktivität: links die Gesamtdarstellung, rechts die Darstellung der einzelnen Prozessorkerne separat. Je mehr Kerne und Prozessoren das System hat, umso mehr einzelne Fenster werden dargestellt. Interessiert man sich nur für die Gesamtdarstellung, kann man dies über die Menüfunktion Ansicht/CPU-Verlauf einstellen. Dort kann man ebenfalls mit der Einstellung Kernel-Zeiten anzeigen kontrollieren, ob die Zeiten, welche die CPU im eigentlichen Betriebssystemkern verbringen, angezeigt werden sollen oder nicht. Ansonsten beziehen sich die Diagramme nur auf Zeiten, die die CPU für Benutzerprogramme aufwendet. Im unteren Diagramm sieht man die Auslastung des Speichers. Hier kann eine ansteigende Kurve auf ein Problem mit einem Programm hindeuten, das Speicher vom Betriebssystem anfordert, aber nicht wieder freigibt.

693

14

Kapitel 14 Systemüberwachung Abbildung 14.7 Registerkarte Leistung (mit KernelZeiten)

Reale Daten bitte!

Im Gegensatz zum Task-Manager unter Windows XP zeigt er bei Windows Vista und Windows 7 die Auslastung des tatsächlich real vorhandenen (physikalischen) Speichers an, nicht mehr die Nutzung der Summe aus realem und virtuellem Speicher (Pagefile). Im Feld Physikalischer Speicher unterhalb der Diagramme werden vier Werte präsentiert: Alle hier aufgelisteten Speichergrößen verstehen sich als Angabe in MB. 왘 Insgesamt – Die maximale Größe des von Windows 7 nutzbaren Speichers. Dies kann weniger sein als tatsächlich vorhandener Speicher! Im Beispiel hier sind im System zwar 4 GB Speicher eingebaut, davon können jedoch in der 32-Bit-Version des Betriebssystems nur etwas über 3 GB genutzt werden. 왘 Im Cache – Wie viel des belegten Speichers können gegebenenfalls aus dem realen Speicher in den virtuellen Speicher verlagert werden? 왘 Verfügbar – Gibt an, wie viel des vorhandenen physikalischen Speichers noch von Programmen genutzt werden kann. Ergibt zusammen mit dem Wert, der im Feld Arbeitsspeicher unter der Balkenanzeige dargestellt wird, den Wert Insgesamt. 왘 Frei – Gibt an, wie viel vom verwendeten virtuellen Speicher aktuell keine Informationen enthält. Im Feld Kernel-Speicher findet sich die Angabe, wie viel Speicher das Betriebssystem selbst benötigt, aufgeteilt in Speicher, der aktiv genutzt wird (Nicht ausgelagert), und Speicher, der im virtuellen Speicher belegt ist (Ausgelagert).

Was Prozesse so alles brauchen

Auf der rechten Seite im Feld System finden sich Sammelangaben über die Anzahl der genutzten Handles und die Anzahl der aktiven Prozesse und Threads. Aus den Angaben kann man ersehen, dass im Durchschnitt jeder Prozess aus etwa zehn Threads besteht. Die Angabe Zugesichert (englisch Commit) zeigt zwei Werte: wie viel Speicher aktuell real und virtuell zusammen genutzt wird und wie viel Speicher aktuell in realem Speicher und virtuellem Speicher zusammen vorhanden sind. Aus der Differenz der Angaben Zugesichert Gesamt (in der

694


Abbildung 14.7 6.131 MB) und Physikalischer Speicher Insgesamt (3.066 MB) ergibt sich eine aktuelle Größe des virtuellen Speichers (Pagefile) von 3.065 MB.

14

Mit der Schaltfläche Ressourcenmonitor kann die entsprechende Anwendung aufgerufen werden (siehe hierzu den Abschnitt 14.5 ab Seite 720).

Registerkarte Netzwerk Auf der Registerkarte Netzwerk kann man die Auslastung der einzelnen Netzwerkadapter des Systems ersehen. In Abbildung 14.8 kann man ersehen, dass das System zwei Netzwerkadapter enthält (Drahtlosnetzwerkverbindung und LAN-Verbindung), von denen aber nur die WLAN-Verbindung aktuell genutzt wird. Die Darstellung der Graphen wird automatisch skaliert, sodass der maximale Wert optimal dargestellt wird. Als Standard wird die Summe aus gesendeten und empfangenen Daten für die Darstellung genommen. Optional können über das Menü Ansicht/Netzwerkadapterverlauf auch Kurven für beide Datenrichtungen getrennt angezeigt werden. In der Tabelle unter den Kurven können verschiedene statistische Daten über die Netzwerkverbindung angezeigt werden. Auch hier lassen sich über die Menüfunktion Ansicht/Spalten auswählen weitere Spalten hinzufügen. Besonders die Spalten Gesendete Bytes und Empfangene Bytes sind für diejenigen Benutzer interessant, deren System aktuell eine Internetanbindung nutzen, bei der der verbrauchte Datentransfer nach Volumen abgerechnet wird. Abbildung 14.8 Netzwerkauslastung

Über die Menüfunktion Optionen/Zurücksetzen können die Zähler für den Datentransfer wieder auf null gesetzt werden, etwa wenn man nur die Datenmenge einer bestimmten Aktion messen will. Mit der Funktion Option/Kumulative Daten anzeigen lässt sich einstellen, dass die Werte seit dem Start des Systems angezeigt werden. Ansonsten werden die Werte seit Start des Task-Managers angezeigt.

695


Registerkarte Benutzer Auf der Registerkarte Benutzer kann man ersehen, ob sich noch andere Benutzer angemeldet haben, etwa indem man im Startmenü die Aktion Benutzer wechseln ausgeführt hat, um mit einem anderen Benutzerkonto weiterzuarbeiten, ohne sich selbst abzumelden. Abbildung 14.9 Verschiedene Benutzer auf einem einzelnen System

Arbeiten darf hier nur einer!

Auf einem System, auf dem kein Serverbetriebssystem installiert ist, wird immer nur ein Benutzer den Status Aktiv erhalten, die anderen Benutzer werden währenddessen getrennt. Über die Menüfunktion Optionen/Vollständigen Kontonamen anzeigen kann statt des einfachen Benutzernamens der Benutzername zusammen mit der vorangestellten Anmeldedomäne angezeigt werden. Diese Option ist allerdings nur bei Domänennetzwerken sinnvoll verwendbar. Die Spalte Clientname wird nur verwendet, wenn die Sitzung über einen Terminaldienst von einem anderen System aus aufgebaut wurde. In der Spalte Sitzung steht dann nicht mehr Console, sondern RDP (Remote Desktop Protocol), siehe hierzu auch Kapitel 8. Im Kontextmenü der einzelnen Benutzer sind folgende Aktionen möglich: 왘 Nachricht senden – Erlaubt es, ein Popup-Meldungsfenster auf dem

Bildschirm des anderen Benutzers anzuzeigen. 왘 Verbinden – Erlaubt es, eine Verbindung mit der Sitzung des Benutzers

herzustellen. Hierzu wird das Kennwort des jeweiligen Benutzers benötigt, und der Task-Manager muss mit administrativen Berechtigungen gestartet worden sein. 왘 Trennen – Die Sitzung des Benutzers wird getrennt, auf einem Einzelsystem kann sich dann ein anderer Benutzer anmelden. 왘 Abmelden – Alle laufenden Programme des Benutzers werden beendet, seine Sitzung beendet. 왘 Remotesteuerung – Ist nur auf Systemen verfügbar, an denen mehrere Benutzer parallel arbeiten können. Hiermit kann erreicht werden, dass zwei Benutzer den gleichen Desktop kontrollieren können.

696


14.1.4

Process Explorer

14

Das Programm Process Explorer stammt aus der Sammlung von Sysinternals und ist aktuell in Version 11.33 erschienen. Das Programm bietet deutlich detailliertere Informationen über die einzelnen Prozesse auf dem System. Als Erstes fällt auf, dass die einzelnen Prozesse so angeordnet sind, dass klar wird, welcher Prozess welche anderen Prozesse gestartet hat. In Abbildung 14.10 kann man beispielsweise erkennen, dass der Prozess explorer.exe (PID 4092) den Prozess cmd.exe (PID 932) und der wiederum den Prozess calc.exe (PID 2320) gestartet hat. Dies ist ein wesentlicher Unterschied zum Task-Manager, in dem man die PPID (Parent Process-ID, ID des Vaterprozesses) nicht anzeigen lassen kann. Abbildung 14.10 Prozessbäume

Über das Menü View/Select Columns kann man wie im Task-Manager zusätzliche Informationen zu den einzelnen Prozessen anzeigen lassen, wobei hier noch zusätzliche Informationen möglich sind, etwa spezielle Informationen über die Laufzeitumgebung einer .NET Framework-Anwendung. Die Anordnung der Spalten kann man in einer separaten Datei über den Befehl View/Save Column Set abspeichern und so mehrere angepasste Ansichten definieren, zwischen denen man schnell wechseln kann. Über die Menüfunktion View/Show Lower Pane oder die Tastenkombination (Strg)+(L) kann ein zweiter Anzeigebereich zugeschaltet werden, in dem man beispielsweise eine Auflistung über alle vom oben selektierten Prozess geladenen Zusatzmodule (.dll-Dateien) sichtbar machen kann.

697

Kapitel 14 Systemüberwachung Abbildung 14.11 DLLs und andere Komponenten, die von einem Prozess geladen werden

Änderungen an den Prozessen und spezielle Prozesstypen werden farbig codiert angezeigt. Zudem bleiben beispielsweise beendete Prozesse noch eine gewisse Zeit auf dem Bildschirm stehen, bevor sie verschwinden. Alle diese Darstellungsoptionen können über das Menü Options eingestellt werden. Zudem kann dort mit dem Befehl Replace Task Manager nach einer UAC-Abfrage der Process Explorer dauerhaft den eingebauten Task-Manager ersetzen.

Das Menü Process Prozesse manipulieren

Mit dem Menü Process kann man zum einen all jene Aktionen mit einem Prozess durchführen, die man auch im Task-Manager durchführen kann. Zum anderen sind aber noch weitere Aktionen möglich. Mit den Befehlen im Untermenü Window kann das Fenster des Prozesses manipuliert werden. Der Befehl Restart schließt den aktuellen Prozess und startet ihn erneut, wobei sich natürlich die Information über die PPID ändert. Mit dem Befehl Suspend kann man einen laufenden Prozess anhalten, sodass er nicht weiter läuft, ohne ihn gleich zu beenden. Bei einem gestoppten Prozess kann entsprechend der Befehl Resume verwendet werden, um ihn wieder fortzusetzen. Mit dem Befehl Properties oder einem Doppelklick auf den Prozess in der Auflistung erhält man ein Dialogfeld mit weiteren Informationen über den gewählten Prozess angezeigt.

698

Was tut das System gerade? Abbildung 14.12 Details über einen Prozess

Das Menü Find und der Befehl Find Window Im Process Explorer gibt es zwei Möglichkeiten, Informationen suchen zu lassen. Mit dem Menübefehl Find/Find Handle or Dll oder dem FernglasSymbol in der Symbolleiste unterhalb der Menüleiste kann man zu dem Namen einer DLL oder eines Handles alle Prozesse anzeigen lassen, die diese Komponente aktuell verwenden. Mit dem Fadenkreuz-Symbol rechts neben dem Fernglas kann man den Prozess suchen, der für die Darstellung eines Fensters auf dem Bildschirm zuständig ist. Hierzu ziehen Sie einfach das Fadenkreuz mit der gedrückten Maustaste auf das entsprechende Fenster. Sobald die Maus losgelassen wird, ist der entsprechende Prozess im Process Explorer selektiert.

Die Funktion Systeminformationen Am oberen Rand des Fensters werden vier kleine Anzeigen für die CPUAuslastung, die Speichernutzung, den E/A-Datentransfer und den physikalischen Speicher angezeigt. Falls das Fenster nicht groß genug ist, werden sie möglicherweise nur teilweise abgebildet. Per Doppelklick auf die Grafiken, die Tastenkombination (Strg)+(I) oder den Befehl View/ System Information wird eine weitere Gesamtsicht auf die Auslastung des Systems angezeigt. Fährt man mit der Maus über die Graphen für CPU oder I/O, wird in Schwebende einem Popup-Fenster angezeigt, welcher Prozess zurzeit die meisten Res- Zwischeninfos sourcen verbraucht hat.

699

14

Kapitel 14 Systemüberwachung Abbildung 14.13 Systeminformationen im Process Explorer

14.1.5

Prozesse und die Befehlszeile

Die Programme Task-Manager und Process Explorer zeigen immer nur Informationen über das eigene System an. Möchte man aber wissen, welche Prozesse auf einem anderen System laufen, kann man auf Programme in der Eingabeaufforderung ausweichen.

tasklist.exe Das Programm tasklist.exe gehört zu Windows 7 und kann bei der Ausgabe Filter verwenden, um die angezeigten Informationen zu selektieren. Dies erleichtert die Konzentration auf das Wesentliche. Listing 14.1 Anwendung von tasklist.exe

>tasklist /s 192.168.0.200 Geben Sie das Kennwort für Abbildname PID ================= ======== TrustedInstaller.exe 804

/u contoso\adm /FI "MEMUSAGE gt 20048" contoso\adm ein:******** Sitzungsname Sitz.-Nr. Speichernutzung ============ =========== =============== 0 162.876 K

Hier im Beispiel wurde ein anderes System mit der Adresse 192.168.0.200 angefragt. Da das lokale System dort nicht bekannt ist, musste mit dem Parameter /u ein Benutzername contoso\adm mitgegeben werden. Da das Kennwort nicht beim Aufruf übergeben wurde, erfolgte eine Abfrage danach. Als Filter für die Ausgabe wurde festgelegt, dass die Größe des belegten Speichers großer als 20.048 KB sein soll. Der Befehl unterstützt eine ganze Reihe verschiedener Filterkriterien (siehe hierzu die OnlineHilfe des Befehls). Außer der Tabellenform wird auch die Ausgabe in Listenform und als CSV-Datei unterstützt. Letzteres ist besonders dann interessant, wenn man die Ausgabe des Befehls zum Beispiel in Excel weiter verarbeiten will.

700


taskkill.exe Das Programm taskkill.exe dient nicht dazu, ein System zu überwachen, Kurzer Prozess sondern kann mit den gewonnenen Informationen dazu genutzt werden, Prozesse auf eigenen und fremden Systemen zu beenden. Wie sein Partner tasklist.exe unterstützt es auch Filter, sodass im Gegensatz zu den grafischen Tools auch mehrere Prozesse durch einen gemeinsamen Filter zusammen bearbeitet werden können. Klar ist, dass man entsprechende Berechtigungen auf dem Prozess benötigt, sofern man fremde Prozesse beenden will.

pslist.exe und pskill.exe Die Programme pslist.exe und pskill.exe gehören zur Sammlung PsTools von Sysinternals. Ähnlich dem Process Explorer können mit pslist.exe auch sehr detaillierte Informationen über die einzelnen Prozesse dargestellt werden, sowohl auf dem eigenen oder auf fremden Systemen. Hier ist es auch möglich, Informationen zu den einzelnen Threads eines Prozesses anzeigen zu lassen. >pslist -e calc -x pslist v1.28 – Sysinternals PsList Copyright ® 2000-2004 Mark Russinovich Sysinternals Process and thread information for WIN7LAP: Name calc

Tid Pri 3840 10 3580 10 808 15

Listing 14.2 Selbst ein simpler Taschenrechner besteht aus drei Threads.

Pid Pri Thd Hnd Priv CPU Time Elapsed Time 3040 8 3 72 5432 0:00:00.405 69:27:11.612 VM WS Priv Priv Pk Faults NonP Page 72156 5364 5432 5560 4737 6 134 Cswtch State User Time Kernel Time Elapsed Time 179457 Wait:UserReq 0:00:00.124 0:00:00.265 69:27:11.612 5381 Wait:UserReq 0:00:00.000 0:00:00.015 69:27:11.550 43 Wait:UserReq 0:00:00.000 0:00:00.000 69:27:11.519

Im Status des Prozesses calc.exe in Listing 14.2 kann man erkennen, dass dieser vor gut 69 Stunden gestartet wurde, aber bislang gerade einmal 124 Millisekunden im ersten Thread tatsächlich gearbeitet hat (Spalte User Time). In dieser Zeit wurde dem Thread 179457-mal von der Prozesssteuerung des Systems Rechenzeit zugeteilt. Alle drei Threads der Anwendung sind im Status Wait:UserReq, erwarten also eine Eingabe des Benutzers. Mit dem Befehl pskill.exe kann man laufende Prozesse beenden. Hier lässt sich entweder die PID oder der Name des Prozesses angeben. Bei all den Befehlen, die andere Systeme abfragen oder kontrollieren, müssen natürlich die entsprechenden Zugriffswege auf das System offen sein. Möglicherweise muss also vorher die Firewall entsprechend überprüft werden.

701

14


14.2 Ereignisse kontrollieren Sobald im Betrieb eines Computersystems Fehler auftreten, kommt die Frage nach Protokollen des Systems so sicher wie das Amen in der Kirche. Während andere Systeme solche Protokolle in Form von Klartextdateien mehr oder weniger detailliert aufschlüsseln, verwendet Windows 7 ein bereits mit Windows NT eingeführtes System der binären Speicherung von Ereignissen.

14.2.1

Wie charakterisiert man ein Ereignis?

Als Ereignis (englisch Event) bezeichnet man einen zusammengehörigen Satz von Daten, der einen bestimmten Systemzustand bezeichnet. Diese Daten werden gewöhnlich in einem Ereignis gesammelt: 왘 Auf welchem System fand das Ereignis statt? Dies ist dann von Interesse, wenn Ereignisse von mehreren Systemen an einer Stelle gesammelt und ausgewertet werden. 왘 Zu welchem Zeitpunkt (Uhrzeit und Datum) fand es statt? Auf diese Weise kann man Kausalketten von Ereignissen bilden, indem man feststellt, welches von denen zuerst stattfand. 왘 Welche Komponente des Systems hat diesen Zustand festgestellt? Dies ist insbesondere dann wichtig, wenn man bei einer Störung die Ursache beseitigen will. 왘 Welche Schwere hat dieses Ereignis? Hier wird gewöhnlich nach den Zuständen Information, Warnung, Fehler und Kritisch unterschieden. Sofern es sich um Ereignisse mit Bezug zu Sicherheit handelt, können auch die Klassen erfolgreiche und fehlerhafte Sicherheitsüberwachung auftreten. Der Unterschied zwischen Fehler und Kritisch besteht darin, dass ein Fehler noch eine automatische Reaktion ermöglicht, während ein kritisches Ereignis unbedingt den Abbruch der Aktion zur Folge hat. 왘 Welcher Benutzeraccount hat mit dem Ereignis zu tun? 왘 Weitere Informationen wie etwa detaillierte Angaben zu den Komponenten, welche das Ereignis ausgelöst haben. Windows speichert die Ereignisse in unterschiedlichen Protokollen, hier werden Windows-Protokolle und Anwendungs- und Dienstprotokolle unterschieden. Die Windows-Protokolle waren auch schon in den früheren Versionen von Windows (seit Windows NT) vorhanden: 왘 Anwendung – Ereignisse, die von Applikationsprogrammen herrühren, sowohl von Microsoft als auch von Drittanbietern. 왘 Security – Ereignisse, die im Zusammenhang mit Sicherheit stehen. 왘 Installation – Ereignisse im Zusammenhang mit Softwareinstallationen, in früheren Windows-Versionen wurden diese noch im Anwendungsprotokoll gespeichert. 왘 System – Ereignisse im Zusammenhang mit den Kernkomponenten von Windows.

702

Die Ereignisanzeige

Weitergeleitete Ereignisse sind erst seit Windows Vista hinzugekommen und enthalten Ereignisse, die von anderen Systemen zu diesem System umgeleitet wurden.

14

Zusätzlich zu diesen Protokollen existieren noch individuelle Anwendungsund Dienstprotokolle, die nun alle die Einträge ihrer speziellen Anwendung aufnehmen, die sich in den vorigen Versionen von Windows noch im Anwendungs- oder Systemprotokoll fanden und dort oftmals zu einer recht undurchsichtigen Ansammlung von Ereignissen geführt hatten.

14.3 Die Ereignisanzeige Das Hauptwerkzeug zur Arbeit mit Ereignissen ist die Ereignisanzeige. Wer tat was wo warum? Diese lässt sich über verschiedene Wege aufrufen: 왘 Der Eintrag Verwalten im Kontextmenü des Eintrags Computer im Startmenü und ebendort im Baum unter Computerverwaltung/System/Ereignisanzeige. 왘 Der Eintrag Ereignisanzeige unter Systemsteuerung/System und Sicherheit/Verwaltung. 왘 Der Aufruf von eventvwr im Startmenü. Die erste Variante erfordert eine UAC-Abfrage, erlaubt dann aber auch nichtadministrativen Benutzern den Zugriff auf das Protokoll Security. Für normale Benutzer ist der Zugriff auf dieses Protokoll aus Gründen der Sicherheit nicht gestattet. In der Startansicht erhält man eine Zusammenfassung über den Status des Systems: Abbildung 14.14 Startansicht der Ereignisanzeige

703


Im mittleren Teil erkennt man oben eine Übersicht über die einzelnen Protokolle mit einer Zusammenfassung, wie viele Ereignisse der betreffenden Schwere in denen einzelnen Protokollen in der letzten Stunde, in den letzten 24 Stunden und in den letzten sieben Tagen notiert wurden. Im unteren Teil kann man ersehen, wie groß die einzelnen Protokolle sind und wie viel Platz davon aktuell schon belegt ist.

14.3.1 Neues System, neues Format, neuer Ort

Lage und Größe der Protokolle

Bisher lagen die Dateien der Ereignisprotokolle im Verzeichnis %systemroot%\system32\config und hatten die Erweiterung .evt. Bei Windows Vista und Windows 7 wurde die Erweiterung auf .evtx geändert, und die Dateien wurden in das Verzeichnis %systemroot%\system32\winevt\Logs verlegt. Bei einem recht frischen System liegen da dann schon einmal etwa 130 Dateien, der Zugriff auf das Verzeichnis ist nur einem administrativen Benutzer erlaubt. Windows unterscheidet in der Darstellung und Verwendung zwischen den klassischen Verwaltungsprotokollen (Anwendung, Sicherheit, Installation und System) und den Anwendungsprotokollen, die nur für einen speziellen Anwendungszweck geschaffen wurden. Entsprechend werden diese auch in unterschiedlichen Bereichen der Baumstruktur im linken Teil dargestellt.

Abbildung 14.15 Eigenschaften eines Protokolls

704

Die Ereignisanzeige

Zu jedem Protokoll, das Sie in der Baumstruktur auf der linken Seite der Ereignisanzeige finden, können Sie einstellen, wie groß das Protokoll maximal werden kann, was passiert, wenn die maximale Größe erreicht wird, und (bei den nicht systemrelevanten Protokollen) ob das Protokoll überhaupt verwendet werden soll. Rufen Sie dazu einfach das Kontextmenü des betreffenden Protokolls mit der rechten Maustaste oder das Menü Aktionen auf, und wählen Sie den Eintrag Eigenschaften aus.

14

Bei einigen Protokollen ist das Kontrollkästchen Protokollierung aktivieren abgeblendet dargestellt. Diese Protokolle müssen immer vorhanden sein. Die Größe der Protokolle ist inzwischen dem Aufkommen an Ereignissen angemessen, bei älteren Windows-Versionen musste man hier immer noch manuell eine Vergrößerung einstellen. Falls man trotzdem die maximale Größe verändern will, kann man dies über das entsprechende Eingabefeld erledigen. Im oberen Teil des Dialogfeldes sieht man sowohl die aktuelle Lage der Ereignisdatei als auch ihre aktuelle Größe. Eine Größe von 2 MB kann gut 6.000 Einträge enthalten. Dies hängt aber auch stark davon ab, wie viel Text zu einem Ereigniseintrag existiert. Bei der Einstellung Volles Protokoll archivieren wird bei Erreichen der Grenze automatisch ein neues Protokoll angelegt, das alte wird mit dem Vorsatz Archive und einem Zeitstempel versehen im gleichen Verzeichnis wie das originale Protokoll gespeichert. Dies kann dann beispielsweise so aussehen: Archive-Application-2009-10-15-10-43-07-966.evtx

Diese Einstellung ist eigentlich nur für diejenigen von Nutzen, die unbedingt sicherstellen müssen, dass keinesfalls Ereignisse zur späteren Nachverfolgung verloren gehen können. Diese separaten Logdateien kann man dann später importieren, um ihren Inhalt zu prüfen (siehe den Abschnitt 14.3.3 ab Seite 708).

14.3.2

Ereignisse ansehen

Klickt man in der linken Spalte eines der Ereignisprotokolle an, erscheint im mittleren Fensterabschnitt oben einen Auflistung aller in diesem Protokoll vorhandenen Einträge. Standardmäßig werden die Informationen Ebene (Schweregrad der Meldung), Datum und Uhrzeit, Quelle und Aufgabenkategorie angezeigt. Sortiert wird nach dem Zeitstempel, sodass die neuesten Einträge oben in der Liste stehen. Über das Menü Ansicht oder einen Klick der rechten Maustaste in einen der Spaltenköpfe können zusätzliche Spalten zur Anzeige hinzugefügt werden. Sobald man in der oberen Liste einen Eintrag anklickt, sieht man unten die weiteren Informationen, die zu dem Ereignis gehören.

705

Kapitel 14 Systemüberwachung Abbildung 14.16 Übersicht über die Ereignisse

Über den Link Onlinehilfe im unteren Teil der Anzeige kann man weitere Informationen zu diesem Ereignis bei [TECHNET] nachschlagen. Dies hilft natürlich nur bei Ereignissen, die auch von Microsoft-eigenen Programmen stammen. Eine weitere Möglichkeit, Informationen über bestimmte Ereignisse abzurufen, bietet die Seite [EVENTID], bei der auch Ereignisse aus Fremdanwendungen gelistet werden. Durch den Doppelklick auf ein Ereignis wird dieses in einem eigenen Fenster dargestellt. Abbildung 14.17 Ein einzelnes Ereignis

706

Die Ereignisanzeige

Mit den Schaltflächen (½) und (¼) am rechten Rand des Fensters kann Schrittweise man in der Auflistung gemäß der aktuell gewählten Reihenfolge vor und schauen zurückgehen. Mit der Schaltfläche Kopieren kann man den kompletten Inhalt des Dialogfeldes sowohl als normalen Text als auch in XML-Darstellung in die Zwischenablage übernehmen, etwa um damit in einem Supportforum eine Diagnoseinformation zu liefern. Protokollname: System Quelle: Microsoft-Windows-DistributedCOM Datum: 13.10.2009 17:31:02 Ereignis-ID: 10006 Aufgabenkategorie:Keine Ebene: Fehler Schlüsselwörter:Klassisch Benutzer: Nicht zutreffend Computer: win7lap Beschreibung: DCOM hat den Fehler "2147944122" vom Computer "192.168.0.96" erhalten, als versucht wurde, den folgenden Server zu aktivieren: {8BC3F05E-D86B-11D0-A075-00C04FB68820} Ereignis-XML: 10006 0 2 0 0 0x80000000000000 1957 System win7lap 2147944122 192.168.0.96 {8BC3F05E-D86B-11D0-A075-00C04FB68820}

14

Listing 14.3 Ein Ereignis als Text und in XMLAnsicht

707


Beim Posten solcher Informationen in einem öffentlichen SupportForum sollte man darauf achten, dass nicht versehentlich sensible Informationen mit veröffentlicht werden. Hier ist es angebracht, etwa Rechnernamen, Benutzernamen oder IP-Adressen geeignet zu verfremden. In der tabellarischen Auflistung der Ereignisse ist neben dem Befehl Kopieren/Details als Text kopieren im Kontextmenü auch der Befehl Kopieren/Tabelle kopieren möglich. Dieser kopiert nur die Spalten aus der Tabellenanzeige in die Zwischenablage. Bei beiden Befehlen ist es möglich, in der Tabelle mehrere Zeilen gleichzeitig zu selektieren.

14.3.3

Import und Export

Über das Kontextmenü der einzelnen Protokolle lassen sich die Ereignisse in eine externe Datei auslagern, hier sind wahlweise das native Format .evtx als auch XML oder einfache Textformate möglich. Ebenfalls ist es möglich, bestehende Protokolldateien zu importieren. Hier ist neben dem .evtx- auch das bisher bis Windows Server 2003 und Windows XP verwendete .evt-Format (Legacyereignisdateien) möglich, auf diese Weise können auch weiterhin früher erfasste Ereignisprotokolle ausgewertet werden. Beim Öffnen eines derartigen klassischen Ereignisprotokolls erhält man die Möglichkeit, dieses in das neue Format zu kopieren. Beim Export eines Protokolls wird man gefragt, ob man Anzeigeinformationen für eine oder mehrere Sprachen mit hinzufügen will. Dies hat damit zu tun, dass der Text in der Ereignisanzeige aus separaten Quellen bezogen wird, weil in den Ereignisdateien nur Codenummern stehen. Wird nun eine solche Ereignisdatei auf ein anderes System übertragen, das die betreffende Software nicht besitzt, so können auch die Texte nicht dargestellt werden. Um diesem Problem zu begegnen, können die Texte zusätzlich in der Datei gespeichert werden. Abbildung 14.18 Ereignisse und Sprachen

708

Die Ereignisanzeige

Gestartet werden kann dieser Vorgang über den Menübefehl Aktion/Gespei- Import und cherte Protokolldatei öffnen beziehungsweise Aktion/Alle Ereignisse speichern Export unter, sofern aktuell ein Protokoll selektiert ist.

14

Abbildung 14.19 Wo soll das externe Protokoll eingebunden werden?

Die geladenen Protokolldateien bleiben dauerhaft mit dem System verbunden und werden auch nach einem Neustart erneut an der gewählten Stelle in der Baumstruktur angezeigt. Um sie von dort zu entfernen, muss die Funktion Löschen verwendet werden, diese ist nicht mit der Funktion Protokoll löschen bei aktiven Protokollen zu verwechseln. Diese würde dazu führen, dass alle Einträge im betreffenden Protokoll gelöscht würden. Es war zwar möglich, das Systemprotokoll eines Rechners unter Windows XP Home problemlos zu importieren und anzusehen, der gleiche Versuch mit dem Anwendungsprotokoll schlug jedoch fehl.

14.3.4

Ansichten filtern und definieren

Um nicht von der schieren Menge als protokollierten Ereignissen überrollt zu werden, lässt sich ihre Ansicht über Filter geeignet eingrenzen.

Filter Seine besondere Stärke kann die Ereignisanzeige dann ausspielen, wenn nicht einzelne Protokolle einfach angezeigt werden, sondern diese Ansichten kombiniert und gefiltert werden. Im einfachsten Fall wird ein einzelnes Protokoll gefiltert. Selektieren Sie das Protokoll in der linken Spalte, und wählen Sie die Menüfunktion Aktion/Aktuelles Protokoll filtern, oder klicken Sie im rechten Aktionsbereich auf die entsprechende Funktion. Während man bei früheren Windows-Versionen noch eine Filterung nach Datum mühsam über eine genaue Zeitangabe einstellen musste, kann man hier über das Drop-down-Feld Protokolliert schnell interessante Zeitbereiche wie Letzte Stunde oder Letzte 24 Stunden einstellen. Im Bereich Ereignisebene lassen sich die gewünschten Ereignisschweren einstellen, oftmals wird man hier alles außer der Stufe Informationen anhaken.

709

Kapitel 14 Systemüberwachung Abbildung 14.20 Ereignisse filtern

Unter dem Bereich Quellen können die einzelnen Ereignisquellen ausgewählt werden, früher konnte man bei der Filterung immer nur eine Quelle auswählen, nun kann man über die Kontrollkästchen in der Liste auch mehrere Quellen gleichzeitig filtern. Im Bereich darunter können die gewünschten Ereignis-IDs angegeben werden, da die einzelnen IDs aber immer von der jeweiligen Quelle abhängen, wird man hier eher großzügig bei der Auswahl der Filterkriterien sein müssen. Im Bereich Schlüsselwörter kann man keinen eigenen Text eingeben, sondern ist auf eine Auswahl an vorgefertigten Texten angewiesen. Interessant hierbei ist, dass im Auswahlfeld die Texte in Deutsch stehen, in der Statusleiste oberhalb der gefilterten Tabelle aber in Englisch. Betrachtet man sich den Filter in der XML-Form durch Umschalten auf die entsprechende Registerkarte, so erkennt man, dass im Filter diese Schlüsselwörter nicht auftauchen, sondern dort mit Kennzahlen gearbeitet wird. Wer sehr komplexe Filter erstellen will, kann auf der Registerkarte XML das Kontrollkästchen Manuell bearbeiten aktivieren. Ein XML-Filter, der einmal manuell verändert wurde, kann allerdings nicht mehr über die Oberfläche der Registerkarte Filter bearbeitet werden. Will man den eingestellten Filter wieder entfernen, geht dies am schnellsten, wenn im rechten Aktionsbereich auf Filter löschen geklickt wird. Sofern das gefilterte Protokoll in der linken Spalte selektiert ist, lassen sich über die Menüfunktion Aktion/Gefilterte Protokolldatei speichern unter nur die von dem aktuellen Filter angezeigten Ereignisse in eine separate Datei abspeichern. Über die Funktion Aktion/Filter in benutzerdefinierter Ansicht speichern kann aus dem aktuellen Filter eine neue Ansicht erstellt werden.

710

Die Ereignisanzeige

Ansichten

14

Eine Ansicht ist immer eine Kombination aus einer Sammlung von Ereignisquellen und einem Filter. Auf diese Weise kann man beispielsweise parallel Ereignisse aus mehreren Protokolldateien in einer Auflistung kontrollieren. Eine derartige Ansicht wurde schon im vorigen Abschnitt mit dem Menübefehl Aktion/Filter in benutzerdefinierter Ansicht speichern erstellt. Zusätzlich kann man über das Kontextmenü der einzelnen Protokolle oder den rechten Aktionsbereich die Funktion Benutzerdefinierte Ansicht erstellen ausführen. Abbildung 14.21 Benutzerdefinierte Ansicht erstellen

Im Listenfeld Protokolle kann man aus dem dargestellten Baum alle interessanten Protokolle auswählen. Dies ist dann hilfreich, wenn diese Ereignisse etwa in mehreren Protokollen auftauchen können. Eine Kombination dieser Sammlung mit einem Filter nach Quelle innerhalb der Protokolle wird bei der Erstellung der Ansicht nicht unterstützt. Die Filterung nach Zeit und Ereignis-ID wird unterstützt. Einer derartigen Ansicht wird ein eigener Name gegeben, und sie wird unter dem Eintrag Benutzerdefinierte Ansichten oben in der linken Baumansicht dargestellt. Auf diese definierte Ansicht kann man dann wiederum einen benutzerdefinierten Filter hinzufügen, bei dem man dann nach den gewünschten Quellen filtern kann. Die Ansicht Administrative Ereignisse ist bereits vorab definiert. Hier wer- Kurzüberblick für den alle Ereignisse mit den Schwerewerten Warnung, Fehler oder Kritisch Administratoren aus allen vorhandenen Protokollen zusammen dargestellt. Die Ansichten lassen sich über das Kontextmenü oder das Menü Aktion kopieren sowie ex- und importieren. Auf diese Weise lassen sich beispielsweise Ansichten auch auf andere Systeme übertragen.

711


14.3.5

Ereignisse von anderen Systemen sammeln

Um in größeren Netzwerken eine Vielzahl von Systemen zu überwachen, benötigt der Administrator Zugriff auf die Daten dieser Systeme. Früher musste er dazu bei jedem einzelnen System lokal nachsehen oder Programme von Drittherstellen verwenden. Seit Windows Vista ist alles besser. Nun kann das System selber wahlweise Ereignisse von anderen Systemen abfragen oder eigene Ereignisse zu anderen Systemen publizieren. Auf der Seite [COLLECT] ist beschrieben, wie der Windows Event Collector im Zusammenhang mit der Windows Remoteverwaltung arbeitet und wie er zu konfigurieren ist. Das Problem ist dabei nur, dass es nicht so wie beschrieben funktioniert. Ob das am beschriebenen Verfahren oder an Windows 7 liegt, wird sich zeigen. Auch Suchmaschinen bieten zu dem Thema erstaunlich wenige Informationen.

14.3.6

Auf Ereignisse reagieren

Die Protokollierung von Ereignissen ist nutzlos, wenn ein Administrator nicht auf diese Ereignisse reagiert. Hier ist es nun möglich, beim Auftreten bestimmter Ereignisse automatisch eine Reaktion des Systems auszulösen. Eine solche Reaktion wird Aufgabe genannt. Prinzipiell sind drei Arten von Aktionen möglich: 왘 Ein Programm starten 왘 Eine E-Mail senden 왘 Eine Nachricht auf dem Bildschirm anzeigen Im folgenden Beispiel gehen wir davon aus, dass auf dem System für ein Laufwerk die Kontingentverwaltung aktiviert wurde (siehe Kapitel 6) und in der Ereignisanzeige mitnotiert wird, sobald ein Benutzer seine Grenzen überschritten hat. Abbildung 14.22 Ein Benutzer belegt zu viel Platz.

712

Die Ereignisanzeige

Nun selektieren Sie das betreffende Ereignis und wählen im Menü Aktio- Ein Ereignis ohne nen oder im Kontextmenü zum Eintrag den Befehl Aufgabe an dieses Ereig- Reaktion ist nutzlos nis anfügen aus. Es startet ein Assistent für die Erstellung einer Aufgabe. Abbildung 14.23 Eine Aufgabe benennen

Der Name der Aufgabe setzt sich aus dem Protokoll, der Quelle und der Ereignis-ID des Ereignisses zusammen. Dies kann aber beliebig abgeändert werden. Auf der nächsten Seite kann man nichts ändern, da das auslösende Ereignis bereits feststeht. Im dritten Schritt muss ausgewählt werden, welche Aktion durchgeführt werden soll, wenn das Ereignis stattfindet. Abbildung 14.24 Welche Aktion soll ausgeführt werden?

Hier wählen wir die Option Meldung anzeigen aus. Im Weiteren werden dann der Text der Meldung sowie eine Zusammenfassung der Aufgabe eingegeben. Die Möglichkeiten, die das Kontrollkästchen Beim Klicken auf

713

14


"Fertig stellen" die Eigenschaften für diese Aufgabe öffnen bietet, werden in Abschnitt 14.4 ab Seite 714 erläutert. Nach dem Klick auf die Schaltfläche Fertig stellen erscheint eine Bestätigung. Abbildung 14.25 Die Warnmeldung, die in der Aufgabe definiert wurde

Überschreitet nun ein Benutzer seine Kontingentgrenze und wird dies von der Kontingentverwaltung festgestellt, schreibt diese einen Eintrag in das Ereignisprotokoll. Die Aufgabenplanung erkennt dies und löst die voreingestellte Aktion aus. Leider bekommt in diesem Fall nicht der Benutzer die Meldung angezeigt, der das Ereignis verursacht hat (Zeile Benutzer in Abbildung 14.22), sondern die Meldung erhält der, der die Aufgabe erstellt hat.

14.3.7

Ereignisse selbst erzeugen

Mit dem Programm eventcreate.exe kann ein selbst gestalteter Eintrag in eines der Hauptprotokolle eingetragen werden. Die Befehlszeilenoption /? erklärt die Verwendung des Programms, das nur von administrativen Benutzern verwendet werden kann. Mit dem Tool ist es beispielsweise möglich, in Skriptdateien Statusmeldungen in die üblichen Kanäle zu leiten.

14.3.8

Ereignisse und die Befehlszeile

Mit dem Programm wevtutil.exe können Ereignisprotokolle auf der Befehlszeile bearbeitet werden, um beispielsweise Ereignisse anzuzeigen oder ganze Protokolle zu archivieren. Die Befehlszeilenoption /? erklärt die Verwendung des Programms. Hier im Beispiel werden Statusinformationen aus dem System-Ereignisprotokoll angezeigt. Listing 14.4 Informationen über das Systemprotokoll

>wevtutil gli system creationTime: 2009-10-08T09:41:20.606Z lastAccessTime: 2009-10-08T09:41:20.606Z lastWriteTime: 2009-10-16T14:05:59.036Z fileSize: 2166784 attributes: 32 numberOfLogRecords: 2761 oldestRecordNumber: 1

14.4 Aufgabenplanung Computer wurden ja ursprünglich dazu geschaffen, Aufgaben zu erledigen, indem sie dem Benutzer helfen, bestimmte Tätigkeiten durchzuführen. Die Besonderheit bei Aufgaben im Sinne von Windows 7 besteht darin, dass eine Aufgabe vorab definiert und dann vom System selbstständig aus-

714

Aufgabenplanung

geführt wird, ohne dass der Benutzer den Start der Aufgabe explizit anordnen muss. Eine Aufgabe (englisch Task) besteht hierbei aus zwei Hauptkomponenten: 왘 Einem Trigger (Auslöser), der angibt, wann die betreffende Aufgabe gestartet werden soll. In einem Trigger existieren eine oder mehrere Bedingungen, die sich entweder auf einen Zeitpunkt oder einen Systemzustand beziehen. Ist die Bedingung erfüllt, startet die Aufgabe. 왘 Eine oder mehrere Aktionen, die ausgeführt werden. Die Aktionen werden hierbei nacheinander ausgeführt. Die nachfolgende wird erst gestartet, wenn die vorhergehende beendet wurde.

14

Zusätzlich existiert noch eine Reihe weiterer Informationen, zum Beispiel ob eine Aufgabe auch dann ausgeführt werden soll, wenn der Computer mit Akku läuft. Eingeführt wurde die Aufgabenplanung in Version 1.0 (unter Windows XP noch Geplante Tasks) bereits für Windows 98 und Windows 2000. Damals gab es nur ein Interface zur Programmierung in C++. Erst mit Windows Vista und Windows Server 2008 wurde die Version 2.0 eingeführt, die auch eine Programmierung mit Scripting-Möglichkeiten in VBScript erlaubte. Weitere Erklärungen zum Thema Programmierung mit der Aufgabenplanung lassen sich unter [AUFGABE] nachlesen. Ausgeführt werden diese Aufgaben von der Aufgabenplanung (englisch Task Scheduler). Der Einstieg in diese Funktion erfolgt über den Aufruf von Systemsteuerung/System und Sicherheit/Verwaltung/Aufgabenplanung oder die Eingabe von Aufgabenplanung im Suchfeld des Startmenüs. Abbildung 14.26 Aufgabenplanung

Im linken Teil des Fensters findet sich eine Baumstruktur, in der schon eine ganze Reihe von Aufgaben für verschiedene Komponenten von Win-

715


dows 7 vordefiniert ist. In Abbildung 14.26 sehen Sie beispielsweise die jetzt automatisch durchführte Defragmentierung der Datenträger. Über das Kontextmenü des obersten Knotens der Baumanzeige (Aufgabenplanung (Lokal)) kann man mit dem Befehl Verbindung mit anderem Computer herstellen auch fremde Systeme verwalten.

14.4.1

Aufgaben anlegen

Nach Auswahl eines Knotens in der Baumstruktur unterhalb von Aufgabenplanungsbibliothek kann man dort entweder über das Menü Aktion oder den rechten Aktionsbereich eine neue Aufgabe anlegen oder zur besseren Organisation dort zunächst einen neuen Ordner anlegen, in dem man dann seine Aufgaben anlegen will. Die beiden Aktionen Einfache Aufgabe erstellen und Aufgabe erstellen unterscheiden sich nur dadurch, dass bei der einfachen Aufgabe zunächst nur ein Trigger und eine Aktion ausgewählt werden können. Sofern Sie eine Aufgabe versehentlich in einem falschen Ordner erstellt haben, können Sie diese nicht verschieben. Hier bleibt nur der Weg, die Aufgabe zunächst in eine XML-Datei zu exportieren, dann zu löschen und anschließend in den gewünschten Ordner zu importieren.

14.4.2

Aufgaben ändern

In der Mitte der Aufgabenplanung sieht man oben alle Aufgaben, die im links ausgewählten Knoten vorhanden sind, im unteren Teil kann man die Daten der Aufgaben auf verschiedenen Registerkarten kontrollieren. Auf diesen Registerkarten kann man keine Werte verändern, hierfür muss man die Aufgabe in der oberen Auflistung doppelt anklicken oder aus dem Kontextmenü oder dem rechten Aktionsbereich den Befehl Eigenschaften aufrufen. Die folgenden Registerkarten stehen zur Verfügung: 왘 Allgemein –Auf dieser Registerkarte werden Namen, Speicherort und ein Kommentar zur Aufgabe angezeigt. Zudem wird bestimmt, mit welchem Benutzerkonto die Aktionen der Aufgabe ausgeführt werden sollen. Standardmäßig wird bei einer Aufgabe immer der Benutzer verwendet, der die Aufgabe angelegt hat. Zudem kann angegeben werden, ob die Aufgabe nur ausgeführt werden soll, wenn der betreffende Benutzer angemeldet ist. Mit der Schaltfläche Konfigurieren für ist es möglich, Aufgaben zu erstellen und später zu exportieren, die auch auf älteren Windows-Versionen verwendet werden können. 왘 Trigger – Mit dieser Registerkarte können ein oder mehrere Auslöser für die Aufgabe eingestellt werden. Zu fast allen Möglichkeiten können auch Wiederholungen oder Verzögerungen eingegeben werden. Möglich sind die folgenden Einstellungen: 왘 Nach einem Zeitplan – Startzeit, Endzeit und die Frequenz (einmalig, täglich, wöchentlich oder monatlich) für Aufgaben, die unabhängig von externen Einflüssen ablaufen sollen.

716

Aufgabenplanung 왘 Bei Anmeldung – Eine Aufgabe läuft an, sobald sich ein oder auch

14

jeder beliebige Benutzer anmeldet. Auch hier können Wiederholungen angegeben werden. 왘 Beim Start – Sobald das System gestartet wird, egal ob sich dann ein Benutzer anmeldet oder nicht. 왘 Im Leerlauf – Wenn das System gerade keine anderen Aufgaben oder Programme ausführt. 왘 Bei einem Ereignis – Hier kann ein Filter definiert werden, der die Aufgaben dann auslöst, sobald ein bestimmtes Ereignis auf dem System auftritt. Dieser Trigger steht erst ab Windows Vista zur Verfügung. 왘 Bei Aufgabenerstellung/-änderung – Wird ausgelöst, sobald eine Aufgabe in der Aufgabenplanung erstellt oder geändert wird. Könnte man beispielsweise dazu nutzen, um Änderungen in der Aufgabenplanung zu protokollieren. Dieser Trigger steht erst ab Windows Vista zur Verfügung. 왘 Bei Verbindung/Trennung mit Benutzersitzung – Wird ausgelöst, sobald mittels Remotedesktop eine Verbindung zum Desktop des aktuellen Benutzers hergestellt beziehungsweise getrennt wird. Registriert auch, wenn über die Funktion Benutzer wechseln das Konto gewechselt wird. Dieser Trigger steht erst ab Windows Vista zur Verfügung. 왘 Bei Arbeitsstationssperre/Beim Aufheben der Arbeitsstationssperre – Erkennt, wenn der Computer gesperrt beziehungsweise wieder entsperrt wird, etwa wenn der Bildschirmschoner mit der Einstellung Kennwortschutz startet. 왘 Aktionen – Listet die Aktionen auf, die ausgeführt werden, wenn die Aufgabe ausgeführt wird. Möglich sind hier drei unterschiedliche Aktionen: 왘 Programm starten – Ein beliebiges Programm wird gestartet. 왘 E-Mail senden – Eine vorgefertigte E-Mail wird an einen vordefinierten Empfänger versendet. Das Problem hierbei ist, dass das System versucht, sich mit Benutzername und Kennwort des Benutzers, der die Aufgabe ausführt, am SMTP-Server anzumelden, sofern dieser eine Anmeldung unterstützt. 왘 Meldung anzeigen – Dem Benutzer wird eine Popup-Meldung angezeigt. Leider ist es bei keiner der drei Aktionen möglich, auf Informationen über den Auslöser der Aufgabe zurückzugreifen. So wäre es beim obigen Beispiel (auf das Ereignis der Kontingentüberschreitung reagieren) gut, wenn man in einer Aktion auf die Information zurückgreifen könnte, welcher Benutzer auf welchem Laufwerk das Problem verursacht hat. Hier kann man nur über ein eigenes Programm arbeiten, das dann selber herausfinden muss, welche Informationen zu dem entsprechenden Trigger gehören, etwa indem das Ereignis aus dem Protokoll gesucht wird. 왘 Bedingungen – Hier kann man Bedingungen einstellen, die den Start der Aufgabe von bestimmten Systemzuständen abhängig machen, etwa ob sich der Computer im Leerlauf befindet oder ob eine bestimmte Netzverbindung aktiv ist.

717

Kapitel 14 Systemüberwachung 왘 Einstellungen – Hier lässt sich kontrollieren, ob man die Aufgabe auch

manuell über ihr Kontextmenü starten darf oder etwa ob sie bei einem Fehlschlag erneut gestartet werden soll. 왘 Verlauf – Auf dieser Registerkarte können administrative Benutzer ersehen, wann die einzelnen Aufgaben und Aktionen gestartet beziehungsweise beendet wurden. Über den Befehl Verlauf für alle Aufgaben aktivieren/deaktivieren im rechten Aktionsbereich können Sie diese Registerkarte für alle Aufgaben sperren beziehungsweise freigeben. Der Status wird entsprechend auf der Registerkarte angezeigt. Über das Aktionsmenü kann eine selektierte Aufgabe deaktiviert werden, wenn man verhindern möchte, dass sie gestartet werden kann, aber man die Aufgabe nicht löschen oder die Trigger nicht verändern möchte. Eine deaktivierte Aufgabe erkennt man an der gleichnamigen Bezeichnung in der Spalte Status, entsprechend ist dann der Befehl Aktivieren in der Aktionsspalte verfügbar.

14.4.3 Was läuft ab?

Kontrolle über laufende Aufgaben

Über den Befehl Alle aktiven Aufgaben anzeigen kann man in einem Fenster sehen, welche Aufgaben aktuell laufen und wann diese gestartet wurden. Über eine Schaltfläche kann man dann eine der laufenden Aufgaben beenden. Die Spalte Aufgabenordner wird ganz am rechten Rand des Dialogfeldes angezeigt. Hier kann man erkennen, wo in der Baumstruktur diese Aufgaben definiert sind, wenn man sie bearbeiten möchte.

14.4.4

Aufgaben und die Befehlszeile – at.exe und schtasks.exe

Auch die Aufgabenplanung kann man über die Befehlszeile kontrollieren.

at.exe Mit dem Programm at.exe konnte man in früheren Windows-Versionen bereits in geringem Umfang zeitgesteuert Programme starten. Dieses Programm ist auch noch Bestandteil von Windows 7 und in seiner Funktion in die Aufgabenplanung integriert. Aufgaben, die per at.exe definiert wurden, werden in dem Ordner Aufgabenplanungsbibliothek angelegt, als Name werden hierbei At und eine Nummer festgelegt. Standardmäßig werden diese Aufgaben unter dem SYSTEM-Konto ausgeführt, was zum Beispiel zur Folge hat, dass aus diesen Aufgaben heraus kein Zugriff auf Netzwerkressourcen möglich ist. Aus diesem Grund kann man bei den Aktionen der obersten Ebene den Befehl Konfiguration des AT-Dienstkontos ausführen. Wenn man ein anderes Benutzerkonto wählen will, muss man dazu das Kennwort dieses Kontos eingeben.

718

Aufgabenplanung Abbildung 14.27 Änderung des Kontos für den at.exe-Befehl

schtasks.exe Volle Kontrolle über die Aufgabenplanung erhält man mit dem Programm schtasks.exe. Neben Funktionen wie das Erstellen und Ändern von Aufgaben bietet dieses Programm auch eine Funktion, die über die GUI nicht verfügbar ist: eine komplette Auflistung aller aktuell definierten Aufgaben. Als weiteres Beispiel in Listing 14.5 wird danach eine CSV-formatierte Darstellung einer aufgelisteten Aufgaben erstellt. Wie gewohnt erhält man mit dem Befehlszeilenparameter /? genauere Hinweise zur Verwendung des Programms. Mit diesen Befehlen ist es leicht möglich, eine genaue Aufstellung der Aufgabenplanung auf einem System zu erstellen und diese mit aktuellen Werten zu vergleichen, um Änderungen festzustellen. >schtasks /query /fo list … Ordner: \Microsoft INFORMATION: Es sind keine geplanten Aufgaben auf Ihrer Zugriffsebene vorhanden

Listing 14.5 Beispiele für den schtasks.exe-Befehl

Ordner: \Microsoft\Microsoft Antimalware Hostname: WIN7LAP Aufgabenname: \Microsoft\Microsoft Antimalware\MP Scheduled Scan Nächste Laufzeit: 18.10.2009 02:04:56 Status: Bereit Anmeldemodus: Interaktiv/Hintergrund Ordner: \Microsoft\Windows INFORMATION: Es sind keine geplanten Aufgaben auf Ihrer Zugriffsebene vorhanden Ordner: \Microsoft\Windows\Active Directory Rights Management Services Client Hostname: WIN7LAP Aufgabenname: \Microsoft\Windows\Active Directory Rights Management Services Client\AD RMS Rights Policy Template Management (Automated) Nächste Laufzeit: Deaktiviert Status: Anmeldemodus: Interaktiv/Hintergrund … >schtasks /query /v /tn "\Microsoft\Microsoft Antimalware\MP Scheduled Scan" /fo csv "Hostname","Aufgabenname","Nächste Laufzeit","Status",

719

14

Kapitel 14 Systemüberwachung "Anmeldemodus","Letzte Laufzeit","Letztes Ergebnis", "Autor","Auszuführende Aufgabe","Starten in","Kommentar", "Status der geplanten Aufgabe","Leerlaufzeit","Energieverwaltung", "Als Benutzer ausführen","Aufgabe löschen, falls nicht verlegt", "Aufgabe beenden, falls sie X St. und X Min. ausgeführt wird", "Zeitplan","Zeitplantyp","Startzeit","Startdatum","Enddatum","Tage", "Monate","Wiederholung: Jede(n)","Wiederholung: Bis: Zeit", "Wiederholung: Bis: Dauer","Wiederholung: Beenden, falls immer noch ausgeführt" "WIN7LAP","\Microsoft\Microsoft Antimalware\MP Scheduled Scan", "18.10.2009 02:04:56","Bereit","Interaktiv/Hintergrund", "17.10.2009 08:42:37","0","Nicht zutreffend", "C:\Program Files\Microsoft Security Essentials\MpCmdRun.exe Scan -ScheduleJob -WinTask -RestrictPrivilegesScan", "Nicht zutreffend","Scheduled Scan","Aktiviert","Nur starten, falls 1 Minuten lang im Leerlauf, Wenn nicht im Leerlauf, nach 240 Minuten wiederholen","Bei Batteriebetrieb nicht tarten", "SYSTEM","Aktiviert","72:00:00","Zeitplaninformationen sind in diesem Format nicht verfügbar.","Wöchentlich","02:04:56", "01.01.2000","01.01.2100","SO","Alle 1 Woche(n)","Deaktiviert", "Deaktiviert","Deaktiviert","Deaktiviert"

14.5 Leistung kontrollieren Zur Kontrolle der Leistung eines Systems gehört mehr als die paar Kurven und Messwerte, die der Task-Manager liefern kann. Insbesondere deshalb, weil dort keinerlei Informationen zu den verschiedensten Systembereichen vorliegen, zum Beispiel über die Datenträger. Mit dem Programm Leistungsüberwachung (Performance Monitor) können eine Vielzahl von Leistungsindikatoren sowohl aktuell betrachtet als auch Protokolle über die Leistungsdaten zur späteren Analyse abgespeichert werden. In den früheren Windows-Versionen war das Programm perfmon.exe für diese Auswertungen zuständig. Dieses wird jetzt verwendet, wenn man auf der Registerkarte Leistung auf die Schaltfläche Ressourcenmonitor klickt. Startet man perfmon.exe direkt, öffnet sich stattdessen die Microsoft Management Console mmc.exe mit der Konsolendefinition perfmon.msc. Ruft man das Programm zusätzlich mit dem Parameter /res auf, startet er als Ressourcenmonitor. Zusätzlich lassen sich die Anzeigen auch über Systemsteuerung/System und Sicherheit/Wartungscenter/Leistungsinformationen anzeigen/Weitere Tools starten.

14.5.1

Ressourcenmonitor – perfmon.exe

Der Ressourcenmonitor bietet in der Startansicht vier Diagramme für die CPU-Auslastung, den Datentransfer zu den einzelnen Datenträgern, den

720

Leistung kontrollieren

Netzwerktraffic und die Belegung des Arbeitsspeichers. Die tabellarischen Auflistungen im linken Teil des Fensters kann man jeweils mit den Schaltflächen (½) und (¼) expandieren oder reduzieren. In den einzelnen Tabellen werden jeweils die Prozesse angezeigt, die im betreffenden Systembestandteil den aktuell größten Verbrauch haben. Wie gewohnt kann man die Spalten auch anders sortieren und die Auswahl der Spalten, die angezeigt werden, kontrollieren.

14

Bei jedem angezeigten Prozess kann man über das Kontextmenü den Prozess beenden (wahlweise mit oder ohne davon gestartete Prozesse). Weiterhin sind die Befehle Vorgang anhalten und Vorgang fortsetzen verfügbar. Hierbei kann man zeitweise einen Prozess von der Zuteilung der CPU-Nutzung ausschließen; der Prozess bleibt in einem eingefrorenen Zustand stehen. Alle diese Tätigkeiten sind ein schwerwiegender Eingriff in den Ablauf des Systems. Aus diesem Grund wird eine entsprechende Warnmeldung zur Bestätigung der Aktion angezeigt. Mit den Befehlen Überwachung starten und Überwachung beenden im Menü Überwachen kann man die Fortschreibung der aktuellen Werte unterbrechen, um etwa einen bestimmten Systemzustand in Ruhe analysieren zu können. Abbildung 14.28 Der Ressourcenmonitor

Auf den einzelnen Registerkarten CPU, Arbeitsspeicher, Datenträger und Netzwerk können weitere Detailinformationen zu den betreffenden Ressourcen und ihrer Verwendung abgerufen werden. Auf der Registerkarte CPU kann beispielsweise ein Prozess oder Dienst ausgewählt werden. Und es wird angezeigt, welche Handles (Dateien und Registryschlüssel) oder Module (.dll-Dateien) dieser Prozess geladen hat.

721


Auf der Registerkarte Datenträger kann nachverfolgt werden, auf welche Dateien (und Verzeichnisse) ein bestimmter Prozess in der letzten Zeit zugegriffen hat und wie viele Daten dabei gelesen beziehungsweise geschrieben wurden. Auf der Registerkarte Netzwerk kann entsprechend für jeden Prozess festgestellt werden, welche Netzwerkverbindungen dieser zu oder von welchen IP-Adressen aufgebaut hat. Stillstand analysieren

Manchmal besteht das Problem, dass ein Prozess aus unerfindlichen Gründen nicht weiter abläuft. In diesen Fällen kann es sein, dass der Prozess auf den Zugriff auf eine bestimmte Ressource wartet, diese aber von einer anderen Stelle nicht freigegeben wird. Hier kann man aus dem Kontextmenü des betreffenden Prozesses den Befehl Warteschlange analysieren ausführen. In dieser Warteschlange lässt sich genau erkennen, auf welchen Systemzustand dieser Prozess wartet.

Abbildung 14.29 Warteschlange eines Prozesses

Im Beispiel von Abbildung 14.29 erkennt man, dass der Prozess net.exe auf die Fertigstellung von Netzwerk-E/A (Daten Ein- oder Ausgabe über Netzwerk) wartet. An dieser Stelle könnte man das Kontrollkästchen vor dem Prozess auswählen und dann unten die Schaltfläche Prozess beenden auswählen.

14.5.2

Leistungsüberwachung – perfmon.msc

Mit der Leistungsüberwachung kann man zum einen den aktuellen Systemzustand mit einer Vielzahl von Leistungsindikatoren anzeigen lassen und zum anderen diese Daten auch abspeichern zur späteren Analyse nach Abschluss der Aufzeichnung. Die Leistungsüberwachung besteht aus den zwei Bereichen Überwachungstools und Sammlungssätze. Bei der Installation zusätzlicher Software werden oftmals auch speziell auf dieses Programm zugeschnittene Leistungsindikatoren zum System hinzugefügt.

722

Leistung kontrollieren Abbildung 14.30 Leistungsüberwachung

Überwachungstools Unter den Überwachungstools findet sich nur der einzige Eintrag Leistungs- Die Fieberkurve überwachung, bei dem zunächst nur eine Auslastung des Prozessors zu des Computers sehen ist: oben im Fenster die entsprechende Kurve, darunter Werte für das Minimum, Maximum und Durchschnitt des Wertes und unten die Definition der betreffenden Kurve. Fährt man mit dem Mauszeiger über eine der Kurven, erscheint in einem Tooltipp die Erklärung, um welche Kurve es sich dabei handelt. Mit dem Plus-Symbol oder der Tastenkombination (Strg)+(N) können weitere Kurven hinzugefügt werden. Abbildung 14.31 Weitere Indikatoren hinzufügen

723

14


Um einen weiteren Indikator hinzuzufügen, wählt man zunächst das System aus, von dem man den Indikator einsehen will, falls man nicht die Daten des lokalen Systems ansehen möchte. Abhängig von den Möglichkeiten des ausgewählten Systems verändern sich gegebenenfalls die Auswahlmöglichkeiten im darunter liegenden Fenster. Zur Auswahl eines Indikators muss man zunächst dessen Kategorie im linken Fenster anklicken und diese entweder über (¼) erweitern, um einzelne Indikatoren zu selektieren, oder gleich die ganze Kategorie mit allen ihren einzelnen Werten über die Schaltfläche Hinzufügen >> in das rechte Fenster zu übernehmen. Hat man dort einen Indikator fälschlicherweise hinzugefügt, lässt sich dieser über die Schaltfläche Entfernen wbadmin get versions -backupTarget:\\server\freigabe wbadmin 1.0 – Sicherungs-Befehlszeilentool (C) Copyright 2004 Microsoft Corp. An diesem Speicherort wurden Sicherungen von mehreren Computern gefunden. Geben Sie an, welche Sicherungen Sie verwenden möchten. Verwenden Sie hierzu den Parameter "-machine:BackupMachineName" mit "WBADMIN GET VERSIONS". Liste der Computer, deren Sicherungen für eine Wiederherstellung am angegebenen Speicherort verwendet werden können: WIN2008 win72 win7lap FEHLER – Der angeforderte Vorgang konnte nicht ausgeführt werden, da der Parameter "-machine:" nicht angegeben wurde.

Gibt man den Namen eines speziellen Systems an, erhält man eine detaillierte Aussage darüber, welche Informationen dort vorrätig sind und wann die Sicherung angelegt wurde. >wbadmin get versions -backupTarget:\\server\freigabe -machine:win7lap wbadmin 1.0 – Sicherungs-Befehlszeilentool (C) Copyright 2004 Microsoft Corp. Sicherungszeit: 03.10.2009 12:17 Sicherungsort: Freigabe mit der Aufschrift "\\server\freigabe" Versions-ID: 10/03/2009-10:17 Wiederherstellbar: Volume(s), Datei(en), Anwendung(en), Bare-MetalRecovery, Systemstatus

Mit dem Befehl wbadmin get items kann man feststellen, welche Laufwerke und sonstigen Bestandteile in einem Backup vorhanden sind. Die Angaben für –machine und –version ergeben sich aus dem obigen get versions-Aufruf. >wbadmin get items -version:10/03/2009-10:17 -backupTarget:\\server\freigabe -machine:win7lap wbadmin 1.0 – Sicherungs-Befehlszeilentool (C) Copyright 2004 Microsoft Corp. Volume-ID = {62cf6dac-afff-11de-9397-806e6f6e6963} Volume "", zum Zeitpunkt der Sicherungserstellung bereitgestellt unter "D:" Volumegröße = 141.08 GB Wiederherstellbar = Vollständiges Volume Volume-ID = {62cf6dae-afff-11de-9397-806e6f6e6963} Volume "", zum Zeitpunkt der Sicherungserstellung bereitgestellt unter "C:" Volumegröße = 73.44 GB Wiederherstellbar = Vollständiges Volume Anwendung = Registry Komponente = Registry (\Registry)

752

Daten restaurieren

Mit dem Befehl wbadmin get status kann man feststellen, ob aktuell gerade ein Sicherungsvorgang durchgeführt wird oder nicht.

robocopy.exe Das Programm robocopy.exe ist quasi eine getunte Version des seit MS- xcopy on speed DOS bekannten Programms xcopy.exe und in seinen Optionen weitestgehend kompatibel damit. Während in den älteren Versionen von Windows der Befehl noch zum separaten Resource Kit gehörte, ist es seit Windows Vista standardmäßig im Lieferumfang enthalten. Mit etwa 80 Befehlszeilenoptionen ist das Tool so komplex, dass es inzwischen sogar von Microsoft eine grafische Oberfläche gibt, mit der man ein Skript erzeugen kann, das die eingestellten Optionen enthält (zu erhalten unter der Adresse [ROBOCOPY]). Die folgenden Optionen bei robocopy.exe sind insbesondere für den Einsatz zur Datensicherung interessant: 왘 /B – Weist robocopy.exe an, im sogenannten Backup Mode zu arbeiten. Hierbei werden spezielle API-Funktionen von Windows verwendet, mit denen es einem Administrator oder einem Mitglied der Gruppe der Sicherungsoperatoren möglich ist, NTFS-Berechtigungen zu übergehen. 왘 /MON und /MOT – Mit diesen Parametern überwacht robocopy.exe permanent die angegebene Quelle und führt laufend die gewünschte Kopieraktion durch, wenn sich Änderungen ergeben haben. 왘 /IPG – Beim Betrieb über langsame oder schmalbandige Datenleitungen wartet robocopy.exe zwischen den einzelnen Datenpaketen eine angegebene Zeitspanne, um zu verhindern, dass der Kopiervorgang die komplette Leitungskapazität verwendet. Insbesondere interessant, wenn man über eine WAN-Verbindung Daten in eine entfernte Lokation kopieren will. 왘 /A – Kopiert nur Dateien, bei denen das Archiv-Attribut gesetzt ist (differentielle Datensicherung). 왘 /M – Kopiert nur Dateien, bei denen das Archiv-Attribut gesetzt ist, und setzt dieses nach der Kopie zurück (inkrementelle Datensicherung).

15.4 Daten restaurieren Bei der Restaurierung von Daten aus einer Sicherung muss man immer zwischen zwei Fällen unterscheiden. Entweder ist der Computer selbst noch funktionsfähig und man kann die systemeigenen Rücksicherungsfunktionen verwenden, oder der Computer ist nicht funktionsfähig und man muss außer den gewünschten Daten auch noch zusätzlich das Betriebssystem wiederherstellen.

753

15

Kapitel 15 Datensicherung

15.4.1

Rücksicherung eines kompletten Systems

Bei der Rücksicherung eines kompletten Systems werden sämtliche Inhalte eines Systems, also Programme, Einstellungen und Benutzerdaten, mit den Daten aus der Sicherung überschrieben. Diesen Schritt sollte man also nur als allerletztes Mittel einsetzen, wenn sonst kein Zugriff mehr auf das System möglich ist. Bei dieser Art der Rücksicherung werden die noch verbliebenen Daten komplett gelöscht! Sofern man vermutet, dass noch wichtige Daten auf dem System vorhanden sind, kann man versuchen, diese über ein Livesystem von CD oder DVD vorher zu sichern. Für die Rücksicherung eines kompletten Systems gibt es drei Möglichkeiten, den Prozess zu initiieren: 1. Aufruf der Option Computer reparieren durch Drücken der Taste (F8) im Startprozess von Windows und Auswahl der entsprechenden Option (siehe Abbildung 15.17). 2. Booten von einem Systemreparaturdatenträger 3. Booten vom Installationsdatenträger Abbildung 15.17 Reparaturoptionen im Startbildschirm

Die Variante 1 ist die schnellste, da hierbei die notwendigen Dateien direkt von der Festplatte des Systems aus gestartet werden. Dies setzt jedoch voraus, dass zumindest eine gewisse Restfunktionalität des Systems noch gegeben ist. Die Varianten 2 und 3 können auch auf einem völlig leeren System ohne jegliches Betriebssystem durchgeführt werden (Bare Metal Restore).

754

Daten restaurieren Abbildung 15.18 Reparaturoptionen im Startbildschirm der InstallationsDVD

15

Beim Start mit dem Installationsdatenträger muss man nach der Auswahl Restauration der Sprachversion im Startbildschirm anstelle auf Jetzt installieren den Link statt Installation Computerreparaturoptionen im unteren Teil des Dialogfeldes anklicken. Beim Start über das Systemstartmenü muss man Benutzername und Kennwort eines administrativen Benutzers eingeben, bevor sich der Prozess starten lässt. Abbildung 15.19 Nur Administratoren dürfen reparieren.

755


Beim Start werden zunächst alle vorhandenen Festplatten nach bereits vorhandenen Windows-Installationen durchsucht. Hier hat man die Möglichkeit, für die ausgewählte Windows-Installation spezielle Reparaturoptionen auszuwählen. Abbildung 15.20 Reparieren oder plattmachen mit dem Installationsdatenträger?

Beim Start über das Systemstartmenü erhalten Sie eine Auswahl von möglichen Aktionen. Wählen Sie hier die Option Systemabbild-Wiederherstellung aus. Abbildung 15.21 Aktionsauswahl im Reparaturmenü

Im ersten Schritt werden sämtliche vorhandenen lokalen Laufwerke durchsucht, ob sich dort ein Systemabbild befindet. Diese Suche wird allerdings

756

Daten restaurieren

zwangsläufig scheitern, wenn das Abbild nicht lokal, sondern im Netzwerk gespeichert ist. Abbildung 15.22 Kein lokales Abbild gefunden

15

Nach dem Klicken auf Abbrechen und Markieren der Option Systemabbild auswählen im unterliegenden Dialogfeld erhält man im nächsten Dialogfeld die Möglichkeit, über die Schaltfläche Erweitert die gewünschte Netzwerklokation auszuwählen. Werden auf den lokalen Laufwerken Systemabbilder gefunden, wird das Dialogfeld automatisch mit dem aktuellsten Abbild ausgewählt. Abbildung 15.23 Abbilder im Netzwerk werden erkannt.

757


Für den Zugriff auf das Netzwerk muss zunächst eine Bestätigung eingeholt werden, da bei dieser Aktion durch das Fehlen jeglicher Schutzfunktionen wie etwa Firewall oder Virenschutz die Sicherheit des Systems gefährdet ist. Abbildung 15.24 Zugriff aufs Netzwerk erlauben?

Nach Möglichkeit sollte man diese Restaurierung übers Netzwerk nur in einem besonders abgeschotteten Netzwerk durchführen, auch um zu verhindern, dass die im Systemabbild gespeicherten Daten in falsche Hände geraten. Für den Zugriff auf die Netzwerkfreigabe muss man entsprechend einen Benutzernamen und das zugehörige Kennwort eingeben. Sofern der Zugriff erfolgreich hergestellt wurde, werden sämtliche Systemabbilder angezeigt, die in der Freigabe vorhanden sind. Im Beispiel in Abbildung 15.23 können Sie erkennen, dass in der Freigabe sowohl eine Sicherung eines Systems mit dem Namen win72 als auch eine Sicherung eines Systems mit dem Namen WIN2008 enthalten sind. Nach Auswahl der gewünschten Sicherung erscheint auf der nächsten Seite eine Information, welche Laufwerke in der Sicherung enthalten sind und wann die Sicherung erfolgt ist.

758

Daten restaurieren Abbildung 15.25 Welche Sicherung soll es sein?

15

Das Dialogfeld legt nahe, dass es mehrere Systemabbilder eines Systems geben könnte. Eventuell wird diese Funktionalität später nachgeliefert. Abbildung 15.26 Weitere Optionen

759


Sofern man den Computer über einen optischen Datenträger gestartet hat, kann man über die Schaltfläche Datenträger ausschließen bestimmte physische Datenträger von der Formatierung ausnehmen. Mit dem Kontrollkästchen Nur Systemlaufwerke wiederherstellen kann man verhindern, dass Datenträger, auf denen nur Daten enthalten sind, von der Rücksicherung überschrieben werden; dieses wird nur angezeigt, wenn sich in der Sicherung entsprechende Laufwerke befinden. Mit der Schaltfläche Erweitert kann man kontrollieren, ob der Computer nach Abschluss des Vorgangs neu gestartet und ob die Festplatte im Computer einer zusätzlichen Datenträgerprüfung unterworfen werden soll. Beide Optionen sind standardmäßig aktiviert. Sofern die vorhandenen Festplatten von der Rücksicherung nicht erkannt werden, hat man über die Schaltfläche Treiber installieren die Möglichkeit, zusätzliche Treiber zu laden, um die Hardware ansprechen zu können, dies dürfte allerdings bei den wenigsten Systemen notwendig sein. Lieber zweimal nachfragen!

Nach einem Klick auf die Schaltfläche Weiter erscheint nochmals eine Zusammenfassung der auszuführenden Aktion. Nach einem Klick auf die Schaltfläche Fertig stellen und einer erneuten Sicherheitsabfrage startet der Prozess. Je nach Größe des Systemabbildes kann dies geraume Zeit dauern. Nach Abschluss wird das System gegebenenfalls neu gestartet und steht dann wieder im Zustand zum Zeitpunkt der Sicherung zur Verfügung. Je nachdem, wie weit Sie den Systemzustand damit zurückdrehen, verschwinden natürlich damit auch die in der Zwischenzeit erfolgten Updates. Dies kann eventuell das System für Angriffe verwundbar machen.

15.4.2

Wiederherstellen von Dateien

Einzelne Dateien oder ganze Verzeichnisse können aus verschiedenen Quellen wiederhergestellt werden. Entweder aus Dateisicherungen (siehe den Abschnitt 15.3.1 ab Seite 739) oder aus Wiederherstellungspunkten (siehe den Abschnitt 15.3.4 ab Seite 749). wobei bei Letzteren nicht gewährleistet ist, wie lange eine ältere Version einer Datei erhalten bleibt. Zusätzlich können Dateien auch aus einem Systemabbild entnommen werden, diese Variante wird aber von Windows nicht unterstützt und muss manuell durch Einbindung der erzeugten .vhd-Datei als zusätzliche Festplatte durchgeführt werden (siehe Kapitel 6).

760

Daten restaurieren

Sofern eine Datei oder ein Verzeichnis noch auf dem System existiert, kann die Wiederherstellung einer alten Version sehr einfach über das Kontextmenü der Datei erreicht werden. Wählen Sie entweder Eigenschaften aus und wechseln dann zur Registerkarte Vorgängerversionen, oder wählen Sie gleich im Menü den Eintrag Vorgängerversionen wiederherstellen aus.

15

Dieser Eintrag ist nur für Dateien und Verzeichnisse verfügbar, nicht für Bibliotheken. Abbildung 15.27 Vorherige Versionen einer Datei

In der Auflistung Dateiversionen erscheinen alle Versionen der jeweiligen Datei oder des Verzeichnisses zeitlich geordnet, die in einer der Sicherungen enthalten sind. Abhängig davon, ob dies Vollsicherungen oder inkrementelle Sicherungen sind, werden dort nicht alle aktuell verfügbaren Sicherungen aufgelistet. Wählt man in der Auflistung eine der Sicherungen aus, kann man mit den Schaltflächen unter der Auflistung folgende Aktionen ausführen: 왘 Öffnen – Die Datei wird mit dem Standardprogramm für diesen Typ geöffnet, ohne eine Kopie im Dateisystem zu hinterlegen. 왘 Kopieren – Die Datei kann in einem frei gewählten Ordner abgespeichert werden. Wählt man hierbei den aktuellen Ordner aus, in dem sich sie aktuelle Version der Datei befindet, muss man sich entscheiden, ob man wirklich die aktuelle Version überschreiben oder die alte Version unter einem neuen Namen abspeichern will (siehe 15.28). 왘 Wiederherstellen – Die gewählte Version der Datei wird nach einer Rückfrage am ursprünglichen Ort wieder hergestellt. Die neue Version wird gelöscht.

761

Kapitel 15 Datensicherung Abbildung 15.28 Welche Version soll es sein?

Arbeitserleichterung für Administratoren

762

Diesen Vorgang können auch Benutzer ohne administrative Berechtigung durchführen, dies dürfte die Anzahl der Anfragen an den Support/den Administrator in dem Bereich drastisch reduzieren. Sofern eine Datei gelöscht wurde, ist es natürlich nicht mehr möglich, deren Kontextmenü aufzurufen. Hier muss man über Systemsteuerung/System und Sicherheit/ Sichern und Wiederherstellen gehen (siehe Abbildung 15.3). Im Abschnitt Wiederherstellen stehen drei Aktionen zur Auswahl: 왘 Eigene Dateien wiederherstellen – Ein Benutzer kann sämtliche Dateien, auf die er Zugriff hat, aus einer Sicherung wiederherstellen. Die betrifft beispielsweise auch Dateien aus dem Public-Bereich. 왘 Alle Benutzerdateien wiederherstellen – Ein administrativer Benutzer kann auch Dateien wiederherstellen, die anderen Benutzern gehören, egal wo diese abgespeichert worden waren. 왘 Andere Sicherung für die Wiederherstellung auswählen – Die beiden obigen Funktionen arbeiten jeweils mit den Sicherungen, die unter Ort im Bereich Sichern zu finden sind. Möchte man jedoch auf eine andere Sicherung ausweichen, muss ein administrativer Benutzer über diesen Link einen anderen Speicherort auswählen. Mit dieser Funktion können auch Dateien wiederhergestellt werden, die nicht auf dem aktuellen System gesichert wurden.

Daten restaurieren Abbildung 15.29 Fremde Sicherungen einlesen

15

Im zweiten Schritt werden jetzt die Dateien und Ordner ausgewählt, die wiederhergestellt werden sollen. Abbildung 15.30 Welche Dateien und Ordner werden wiederhergestellt?

763

Kapitel 15 Datensicherung Was soll zurück?

Mit der Schaltfläche Suchen erreicht man eine Suchmaske, mit der man in Dateien nach Namen oder Suchmustern (beispielsweise *.jpg) suchen kann. Die dort gefundenen Dateien kann man dann über Kontrollkästchen jeweils einzeln beziehungsweise gesammelt auswählen. Mit den Schaltflächen nach Dateien suchen und Nach Ordnern suchen kann man im Verzeichnisbaum der gewählten Sicherung navigieren und wiederum die gesuchten Elemente auswählen. Aus allen diesen Suchvorgängen landen die gewählten Elemente dann im Dialogfeld aus Abbildung 15.30. Mit den Schaltflächen Entfernen und Alle entfernen kann man aus der Liste bestimmte Elemente wieder entfernen. Will man komplett sämtliche Dateien einer Sicherung restaurieren, kann man das Kontrollkästchen Alle Dateien aus dieser Sicherung auswählen aktivieren. In diesem Fall verschwindet die Liste der ausgewählten Dateien. Bei der Navigation durch die Sicherungsdateien werden die Elemente mit ihrem richtigen Namen angezeigt, nicht mit dem übersetzten wie im Explorer. Eine Datei, die beispielsweise aus der Bibliothek Bilder gesichert wird, ist in der Dateisicherung im Ordner Pictures zu finden. Sofern man nicht die letzte gesicherte Version der Elemente wiederherstellen möchte, sondern eine der anderen, kann man über den Link Anderes Datum auswählen ein bestimmtes Datum einstellen. Dies wird dann entsprechend im Text oberhalb vermerkt.

Abbildung 15.31 Welches Backup ist richtig?

Nach Betätigung der Schaltfläche Weiter wird im dritten Schritt ausgewählt, wohin die Dateien restauriert werden sollen. Hier kann man die Dateien und Ordner entweder an ihrer originalen Lokation wiederherstellen, oder man lässt sie an einem anderen Ort zurücksichern. Diese Funktion ist besonders dann interessant, wenn man die restaurierten Dateien mit ihren aktuellen Versionen vergleichen will.

764

Daten restaurieren Abbildung 15.32 Wohin sollen die Dateien gesichert werden?

15

Mit dem Kontrollkästchen Dateien in ursprünglichen Unterordnern wiederherstellen kann man entscheiden, ob alle restaurierten Dateien im angegebenen Verzeichnis liegen sollen oder ob die ursprüngliche Verzeichnisstruktur erhalten bleiben soll. Das im Dialogfeld präsentierte Beispiel erläutert, wie dies stattfinden wird.

15.4.3

Systemzustand durch Wiederherstellungspunkte zurücksetzen

Sobald neue Programme, Treiber oder Updates installiert werden, legt Manchmal läuft Windows 7 automatisch einen Wiederherstellungspunkt an, zudem kann so was schief! man diese auch manuell erzeugen, etwa bevor man eine Konfigurationsänderung durchführt. Der Einsteig in die Funktion erfolgt entweder über die in Abschnitt 15.3.4 ab Seite 749 erläuterte Vorgehensweise, beim Systemstart über die Reparaturoptionen eines bestehenden Systems oder über den Installationsdatenträger, siehe hierzu den Abschnitt 15.4.1 ab Seite 754. Zudem kann man auch direkt das Programm rstrui.exe aufrufen. Bei der Wiederherstellung aus dem Startmenü oder einem optischen Datenträger heraus erhält man direkt eine Auflistung der auf dem System vorhandenen Wiederherstellungspunkte.

765

Kapitel 15 Datensicherung Abbildung 15.33 Welcher Wiederherstellungspunkt soll es sein?

Nach Auswahl eines Zeitpunktes in der Liste lässt sich über die Schaltfläche Nach betroffenen Programmen suchen eine Übersicht anzeigen, welche aktuell installierten oder entfernten Systemkomponenten von dieser Rücksicherung betroffen sein würden. Abbildung 15.34 Welche Programme werden entfernt oder kommen neu dazu?

Beim Start über den Computerschutz erhält man direkt die Möglichkeit, den Wiederherstellungspunkt auszuwählen, an dem die letzte Softwareinstallation stattgefunden hat. Dies muss, wie man in Vergleich zwischen

766

Daten restaurieren

Abbildung 15.33 und Abbildung 15.35 sieht, nicht unbedingt der zuletzt erzeugte sein. Abbildung 15.35 Soll der Wiederherstellungspunkt ausgewählt werden?

Auch hier kann man über den Link Nach betroffenen Programmen suchen feststellen, welche Komponenten des Systems von einer Wiederherstellung betroffen wären. Möchte man einen anderen Wiederherstellungspunkt auswählen, ist die entsprechende Option auszuwählen. Nach einem Klick auf die Schaltfläche Weiter erscheint eine Zusammenfassung der gewählten Option, die man mit der Schaltfläche Fertig stellen bestätigen muss. Als seien nicht schon genug Sicherheitsabfragen erfolgt, kommt nun noch die abschließende Bestätigung. Abbildung 15.36 Wirklich durchführen?

767

15

Kapitel 15 Datensicherung Abbildung 15.37 Sind Sie wirklich sicher?

Die Wiederherstellung der Wiederherstellung

Sofern man die Rücksicherung des Wiederherstellungspunktes von einem laufenden System aus startet, wird zunächst ein neuer Wiederherstellungspunkt erzeugt, mit dem man diese Änderung wieder zurücknehmen kann. Dies ist nicht möglich, wenn man die Rücksicherung von einem optischen Datenträger oder vom Startprozess aus durchführt. Zur Durchführung der Rücksicherung wird der aktuelle Benutzer abgemeldet, der Vorgang durchgeführt und der Computer danach automatisch neu gestartet. Nach dem Neustart wird beim ersten Anmelden durch ein Dialogfeld angezeigt, dass das System wiederhergestellt wurde und zu welchem Zeitpunkt dies geschehen ist.

Abbildung 15.38 Wiederherstellung erfolgt!

768

16

Kommunikation im Netzwerk

Während Windows Vista noch eine ganze Reihe von Anwendungen mitbrachte, die verschiedene Aspekte des Themas Kommunikation abdeckten, sind diese nun nicht mehr Bestandteil von Windows 7, sondern müssen gesondert installiert werden. Das Programm TeamView, das neu mit Windows Vista eingeführt wurde, heißt jetzt SharedView und ist für alle Systeme ab Windows XP SP3 verfügbar. Die Programme Mail (ehemals Outlook Express) und Messenger sowie eine ganze Reihe weiterer Anwendungen (Writer, Fotogalerie, Movie Maker, Family Safety und Toolbar) sind jetzt in dem Produkt Windows Live Essentials gebündelt, das Sie kostenlos von der Microsoft-Webseite herunterladen können.

16.1 Gemeinsam Arbeiten im Netz – SharedView Microsoft SharedView ist ein Programm, um mit mehreren Benutzern gemeinsam über das Netzwerk zu arbeiten. Die Funktionsweise ähnelt hierbei der Remoteunterstützung (siehe Kapitel 8). Zunächst muss die Software installiert werden, suchen Sie unter [DOWN] nach SharedView. Die Installation erfordert administrative Berechtigungen und kommt ohne Neustart aus, allerdings sollten sämtliche Anwendungen von Microsoft Office zuvor geschlossen werden.

769

Kapitel 16 Kommunikation im Netzwerk

SharedView kann man sowohl als angemeldeter Benutzer (mit einer Windows Live-ID) als auch als nicht angemeldeter Gast verwenden. Die Kommunikation zwischen den einzelnen Benutzern wird hierbei Sitzung genannt; eine neue Sitzung erzeugen kann allerdings nur ein angemeldeter Benutzer. Alle Teilnehmer müssen die SharedView-Anwendung auf ihren Systemen lokal installiert haben. Dies unterscheidet SharedView von anderen Anwendungen dieser Art, bei denen die Kommunikation ausschließlich über ActiveX-Elemente in einem Browserfenster abläuft. Abbildung 16.1 Eine neue Sitzung wird angelegt.

Über den Link Neue Sitzung starten wird zunächst eine Sitzung erstellt. Es gibt hierbei keine Möglichkeit, innerhalb von SharedView festzulegen, wer an dieser Sitzung teilnehmen soll oder darf. Es bleibt dem Ersteller der Sitzung überlassen, wie er die rechts im Fenster dargestellten Informationen zur Teilnahme an die gewünschten Empfänger weiterleitet. Durch die Schaltfläche Start wird dann die Sitzung tatsächlich auf dem SharedViewServer angelegt, und die anderen Teilnehmer können sich mit der Sitzung verbinden. Um teilzunehmen, startet der nächste Benutzer entweder seine eigene SharedView-Anwendung und führt die Funktion Einer Sitzung beitreten aus, hierzu muss er sowohl die Live-ID des Organisators als auch das Sitzungskennwort kennen. Alternativ kann er auch den Link aus der Einladung anklicken. Diese Aktion installiert gegebenenfalls auch die SharedView-Anwendung per Download, falls sie noch nicht vorhanden ist. Abbildung 16.2 Darf der rein?

770

Gemeinsam Arbeiten im Netz – SharedView

Der Organisator der Sitzung wird jedoch bei jedem neuen Sitzungsteilnehmer gefragt, ob dieser tatsächlich beitreten darf oder nicht. Teilnehmer, die nicht mit einer Live-ID angemeldet sind, werden als Gast bezeichnet und durch ihren lokalen Anmeldenamen gekennzeichnet. An einer Sitzung können maximal 15 Personen (einschließlich des Organisators) teilnehmen.

16.1.1

Funktionen von SharedView

16

Als Grundfunktion bietet SharedView sowohl eine textuelle Kommunikation als auch fast gleichzeitige Arbeiten an einer speziellen Anwendung oder dem kompletten Bildschirm eines der Teilnehmer an.

Abbildung 16.3: Eine Anwendung ist freigegeben.

SharedView bietet drei Hauptfunktionen zur Kommunikation der Teilnehmer untereinander an: 왘 Freigeben – Jeder Teilnehmer an der Sitzung kann eine einzelne Anwendung oder sogar seinen kompletten Desktop für die anderen Teilnehmer freigeben, sodass diese den Inhalt des Fensters auf ihren eigenen Systemen sehen können. Diese Funktion ist nicht allein auf den Organisator der Besprechung beschränkt, jeder Teilnehmer kann diese Funktion ausführen, jedoch immer nur ein Teilnehmer auf einmal. Im Regelfall hat der Benutzer, der die Anwendung freigibt, auch die Kontrolle über die Anwendung, jedoch können andere Benutzer diese Kontrolle anfordern, um selber mitzuarbeiten.

771

Kapitel 16 Kommunikation im Netzwerk 왘 Handzettel – In diesem Bereich steht eine allgemeine Dateiablage für

die Besprechung zur Verfügung. Jeder Teilnehmer kann dort Dateien ablegen, die für alle weiteren Teilnehmer zur Verfügung stehen. Diese können die Dateien auf Wunsch auf ihre lokalen Systeme kopieren, nach Ende der Besprechung werden die Dateien automatisch aus dem zentralen Speicher gelöscht. 왘 Chat – Wahlweise in einer einzelnen Zeile am oberen Bildschirmrand oder in einem separaten Fenster können sich die Teilnehmer mittels einer Chatfunktion unterhalten, etwa um Kommentare zu übermitteln oder Zwischenfragen zu den gezeigten Aktionen in der freigegebenen Anwendung zu stellen. Die einzelnen Teilnehmer können die Sitzung jederzeit verlassen. Verlässt der Organisator die Sitzung, ist diese für alle Teilnehmer beendet.

16.2 Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety Das Programm Windows Live Essentials müssen Sie zunächst aus dem Netz laden. Suchen Sie im Startmenü nach Live, so finden Sie den Link Windows Live Essentials online erwerben, oder Sie rufen direkt die Seite [LIVE] auf. Auf der anschließend angezeigten Seite können Sie das SetupProgramm für die einzelnen Anwendungen herunterladen. Achten Sie aber dabei darauf, dass Sie die richtige Sprachversion ausgewählt haben (siehe das Listenfeld rechts oben in Abbildung 16.4). Abbildung 16.4 Download-Seite der Live Essentials

772

Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety

Über die Links unterhalb der Schaltfläche Herunterladen können Sie sich Informationsseiten zu den einzelnen Bestandteilen des Pakets ansehen. Klicken Sie nun auf die genannte Schaltfläche, und starten Sie das Installationsprogramm. Wahlweise können Sie es auch zunächst abspeichern und später starten. Abbildung 16.5 Installationsprogramm für Live Essentials

16

Die einzelnen Komponenten des Programms können Sie unabhängig voneinander je nach Bedarf auswählen. Wenn Sie auf den Namen der Komponente links klicken, erscheint rechts eine Erklärung, was gerade installiert wird und welche Funktionen damit ausgeführt werden können. Im Folgenden beschränken wir uns auf die Beschreibung der Komponenten Messenger, Mail und Family Safety, da diese aus unserer Sicht am gebräuchlichsten sind. Entfernen Sie also die Häkchen in den Kontrollkästchen der anderen Anwendungen, und klicken Sie auf die Schaltfläche Installieren. Das System beginnt nun, die ausgewählten Komponenten aus dem Internet herunterzuladen. Auch unter der Adresse [DOWN] ist keine komplette Installation der Programme zu finden. Es muss anscheinend jedes System die Komponenten selbst aus dem Netz laden. Am Ende der Installation haben Sie noch die Möglichkeit, den InternetSuchanbieter auf die Suchmaschine Bing von Microsoft festzulegen oder die Startseite Ihres Browsers auf MSN. Falls Sie dies nicht wünschen, müssen Sie die entsprechenden Kontrollkästchen deaktivieren.

773


16.2.1

Windows Live-ID eintragen

Für einige Elemente der Live Essentials benötigen Sie eine Windows LiveID. Diese ist quasi ein Benutzeraccount für verschiedenste Webdienste, die von Microsoft angeboten werden, eventuell noch besser unter dem alten Namen Passport bekannt. Zum Abschluss der Installation wird Ihnen angeboten, eine Live-ID zu erstellen, falls Sie noch keine besitzen. Wahlweise können Sie eine neue E-Mail-Adresse in den Domänen live.de oder hotmail.de erstellen oder Ihre eigene E-Mail-Adresse verwenden. An die hierbei gewählte E-MailAdresse wird eine Bestätigungsmail geschickt, die einen Link enthält, der die Existenz dieser Adresse dem System bestätigt. Jeder Windows Live-ID ist ein Profil zugeordnet, auf dem man Informationen über sich und seine Interessen eintragen kann, ähnlich den Seiten von sozialen Netzwerken. Wie dort können Sie bestimmen, wer Ihre Informationen sehen darf und wer nicht.

16.2.2

Windows Mail

Mit Windows Mail steht ein Programm zum Senden und Empfangen von E-Mails über einen POP3- oder IMAP-Server und zur Kommunikation mit NetNews-Servern (Usenet-Gruppen) bereit. Das Programm bietet dabei auch Zugriff auf einen Kalender und kann so als Ersatz für einen vollwertigen PIM (Personal Information Manager) wie etwa Microsoft Outlook dienen. Zur besseren Integration in Firmennetzwerke besteht die Möglichkeit, E-Mail-Adressen aus Active Directory oder einem LDAP-Verzeichnis nachzuschlagen, sodass Sie E-Mail-Adressen nicht alle manuell eintragen müssen. Abbildung 16.6 E-Mail-Adressen in Active Directory suchen

774

Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety

POP3 oder IMAP? Als E-Mail-Server kann wahlweise ein POP3- oder ein IMAP-Server verwendet werden. Manche Server bieten beide Protokolle an, sodass sich die Frage stellt, welches der beiden Protokolle man wählen soll. Bei POP3 liegen die E-Mails in einem einzigen Ordner auf dem Mailserver, und es ist nicht möglich, vom Client her dort E-Mails abzulegen. Dies hat insbesondere zur Folge, dass gesendete E-Mails allein auf dem lokalen Client abgelegt werden. Abhängig von der Einstellung des E-Mail-Programms sind folgende Verfahren im Umgang mit den auf dem POP3-Server liegenden Maildaten möglich: 왘 Alle E-Mails vom Server zum Client übertragen, danach auf dem Server löschen. 왘 Alle E-Mails vom Server zum Client übertragen und erst nach Ablauf einer bestimmten Zeitspanne vom Server löschen. 왘 Alle E-Mails vom Server zum Client übertragen und erst vom Server löschen, wenn die E-Mail auch lokal im Client gelöscht wird.

16

Die erste Methode ist nur dann zu empfehlen, wenn auf dem POP3-Server wenig Speicherplatz zur Verfügung steht. Die beiden anderen Möglichkeiten sind dann sinnvoll, wenn man zusätzlich zum POP3-Zugang auch noch die Möglichkeit hat, beispielsweise über eine Webmail-Anwendung Zugang zum Server zu erhalten. So kann man auch dann noch auf E-Mails direkt über den Server zugreifen, wenn die E-Mails bereits auf den lokalen Client übertragen worden sind. Bei IMAP werden die E-Mails auf dem Server in einzelnen Ordnern abgelegt, auf dem lokalen Client wird eine Kopie dieser Struktur angelegt. Bei der Verbindung zwischen Server und Client werden die Daten jeweils abgeglichen. Wahlweise kann auch die gesendete E-Mail in einen speziellen Ordner auf dem Server abgelegt werden. Durch diese Möglichkeiten ist ein IMAP-Zugang besonders für den Umgang mit großem Mail-Aufkommen geeignet. Dies insbesondere auch, wenn man bedenkt, dass auf dem Mailserver selbst die Datensicherung eher erfolgt als auf dem lokalen Client. Sowohl für POP3 als auch für IMAP unterstützt Windows Mail die Verschlüsselung der Datenübertragung zwischen Server und Client per SSL (Secure Sockets Layer).

Sicherheit und SPAM Outlook Express hatte in der Vergangenheit keinen guten Ruf in Bezug auf Sicherheit. Zahlreiche Voreinstellungen haben E-Mail-Würmern das Leben enorm erleichtert. Aus diesem Gebiet hat sich bei Windows Mail einiges getan. Zur Abwehr von Spam-Mails lassen sich nicht nur einzelne Adressen als Absender sperren, es ist auch möglich, komplette TLDs (Top-LevelDomains) oder bestimmte Zeichensatzcodierungen zu sperren.

775

Kapitel 16 Kommunikation im Netzwerk Abbildung 16.7 Aus welchem Land will man nie E-Mails erhalten?

Ähnlich wie der Internet Explorer bietet auch Windows Mail einen Phishingfilter. Bei ankommenden E-Mails werden die darin enthalten Links auf Webseiten geprüft, ob diese auf eine Phishingseite verweisen. Solche Mails können dann automatisch entfernt oder in den Ordner JunkMail verschoben werden. Für den Junk-Mail-Filter werden über Windows Update regelmäßig neue Erkennungsroutinen angeboten. Um nicht nur die Übertragung der E-Mail zwischen dem Client und dem Mailserver abzusichern, können ausgehende E-Mails sowohl verschlüsselt als auch signiert werden. Ankommende E-Mails lassen sich entsprechend überprüfen und entschlüsseln. Standardmäßig werden HTML-E-Mails in der eingeschränkten Zone des Internet Explorers angezeigt, in der üblicherweise aktive Elemente wie etwa JavaScript oder ActiveX untersagt sind. Zusätzlich können Sie konfigurieren, dass anstelle von HTML-Inhalten eine reine Textdarstellung angezeigt werden soll.

16.2.3 Abbildung 16.8 Windows Messenger

Windows Messenger Der Windows Messenger ist ein Programm zur direkten Kommunikation zwischen Benutzern, ähnlich wie ein Chatprogramm. Die Nachrichten werden dabei nicht direkt zwischen den beteiligten Systemen übertragen, sondern laufen über einen Server des Anbieters (hier Microsoft). Dies hat zur Folge, dass Nachrichten einen Empfänger auch erreichen, wenn dieser aktuell nicht online ist. Um Kontakt herzustellen, müssen die Empfänger der Nachrichten jeweils zustimmen. Erst nach erfolgter Zustimmung können sich die Gesprächspartner auch online sehen. Am einfachsten erstellen Sie einen solchen Kontakt, indem Sie eine Einladung an die E-Mail-Adresse des Chat-Partners senden.

776

Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety Abbildung 16.9 Einladung senden (links) und empfangen (rechts)

16 Sobald der Kontakt hergestellt ist, können sich die beiden Partner gegenseitig sehen und zum Beispiel erkennen, ob diese gerade am System arbeiten oder sich der Rechner gerade im Leerlauf befindet. Sobald sich am Status des Partners etwas ändert (er sich beispielsweise anmeldet), wird eine entsprechende Meldung am Bildschirm angezeigt. Auf Wunsch kann eingestellt werden, dass der Windows Media Player einen gerade abgespielten Titel als Statusmeldung an den Messenger übergibt. Abbildung 16.10 Da hat sich einer angemeldet.

Abbildung 16.11 Online-Status des Kontaktes sehen

777


Außer der Übertragung von Textnachrichten lassen sich auch auf einfache Weise Bilder oder Dateien übertragen. Mit entsprechender Hardware sind auch Videoübertragungen (Webcam) zwischen den Partnern möglich. Die Kommunikation ist hierbei nicht allein auf Nutzer von Windows Live beschränkt, es existiert auch ein Gateway zwischen Windows Live und Yahoo! Messenger. Zudem kann man Informationen aus anderen Netzwerken wie etwa Facebook abrufen. Abbildung 16.12 Online-Spiele mit Chattern

Außer den Möglichkeiten zur Kommunikation wird auch eine Reihe von Online-Spielen angeboten, wie zum Beispiel in Abbildung 16.12 eine dreidimensionale Variante von Tic Tac Toe.

Messenger beenden Wenn Sie den Messenger beenden wollen, reicht es nicht, das Programmfenster über (Alt)+(F4) zu beenden; das Programm läuft in der Taskleiste weiter. Erst wenn Sie dort über die rechte Maustaste im Kontextmenü die Funktion Fenster schließen aufrufen, wird der Messenger tatsächlich beendet.

16.2.4

Family Safety

Family Safety ist ein Programm, mit dem Eltern die Anzeige von Webseiten für ihre Kinder (oder Chefs für ihre Angestellten) filtern können. Zudem werden auch die Suchergebnisse von Google, Bing und Yahoo! entsprechend der gewählten Einstellung gefiltert. Generell kann jeder Benutzer gefiltert werden, der keine administrativen Rechte auf dem System hat. Family Safety ist somit eine Ergänzung zur Funktion Jugendschutz (siehe Kapitel 14).

778

Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety Abbildung 16.13 Wer soll gefiltert werden?

16

Die Filterfunktion wird hierbei über die Einstellungen auf einer Website kontrolliert, bei der sich die Aufsichtsperson mit einer Live-ID anmelden muss. Auf diese Weise ist es auch möglich, von einem anderen System aus die Einstellungen über das lokale System zu kontrollieren, etwa wenn ein Elternteil vom Arbeitsplatz aus die Freigabe einer Website für den Rechner zu Hause kontrollieren möchte. Zudem können auch mehrere Systeme über eine gemeinsame Live-ID verwaltet werden. Die Aktivierung für einen bestimmten lokalen Benutzer muss jedoch immer zunächst am lokalen Rechner erfolgen. Abbildung 16.14 Was soll gefiltert werden?

779


Im Bereich der Filterung können für jeden Benutzer zunächst einige generelle Einstellungen getroffen werden, die Stufen Streng (Whitelist – es werden nur speziell zugelassene Seiten erlaubt) und Standard (Blacklist – es werden nur bestimmte Seiten geblockt) sind am schnellsten eingerichtet, jedoch eher ungenau. Mit der Einstellung Benutzerdefiniert können einzelne Kategorien gezielt ausgewählt werden, wobei auch die Einstufung in die Kategorien nicht unbedingt fehlerfrei funktioniert. Bei einem kurzen Test wurde zwar ein bekanntes Portal für pornografische Videoclips geblockt, der Zugriff auf das (zumindest in Deutschland) bekannte Portal eines Erotikversenders wurde jedoch zugelassen. Beim Anmelden sieht ein überwachter Benutzer eine entsprechende Meldung am Bildschirm, dass seine Webaktivitäten überwacht werden. Ruft ein derartig überwachter Benutzer eine geblockte Website auf, erhält er eine entsprechende Warnmeldung, die ihm erklärt, dass diese Seite aktuell gesperrt ist. Abbildung 16.15 Hier nicht weiter surfen.

Sobald eine Seite blockiert wird, hat der Benutzer die Möglichkeit, um die Freigabe der Seite zu bitten. Ist die Aufsichtsperson direkt anwesend, kann diese über den Link Persönlich fragen und die Eingabe ihrer Live-ID die Seite freigeben, wahlweise nur für den anfragenden oder auch gleich für sämtliche von dieser Live-ID verwalteten Benutzer. Es ist sogar möglich, zunächst eine Vorschau der betreffenden Seite zu sehen. Ist die Aufsichtsperson nicht zugegen, kann die Anfrage auf Freigabe per E-Mail gestellt werden.

780

Windows Live Essentials – die Komponenten Mail, Messenger und Family Safety Abbildung 16.16 Anfrage auf Freigabe einer Website

16

Über den in der E-Mail enthaltenen Link gelangt man zum Kontrollcenter von Family Safety und sieht dort im Bereich Anfragen alle Seiten, für die eine Entscheidung zur Freigabe erwartet wird. Diese Erlaubnis kann dann für den speziellen oder gleich für alle Benutzer, die der Live-ID zugeordnet sind, erteilt werden. Abbildung 16.17 Aktivitätsbericht

Im Funktionsbereich Aktivitätsbericht finden Sie einen Überblick über sämtliche vom jeweiligen Benutzer aufgerufenen Webseiten. Dies birgt natürlich entsprechende rechtliche Probleme, sobald diese Funktion außerhalb des Privatbereichs eingesetzt wird. In dieser Auflistung kann auch sofort die Freigabe oder Blockierung einer Webseite eingestellt werden.

781

17

Windows 7Batchdateien

Das in Windows 7 enthaltene Kommandozeilenfenster (Eingabeauforderung) cmd.exe basiert in seiner Grundstruktur und Syntax noch auf der alten DOS-BatchSprache. Das Windows 7-Kommandozeilenfenster ist implementiert in cmd.exe. Sie starten das Kommandozeilenfenster über das Symbol „Eingabeaufforderung“ im Startmenü oder die Eingabe „cmd“ im Such-/Startdialog im Startmenü. Abbildung 17.1 Das leere Kommandozeilenfenster von cmd.exe

17.1 Konfiguration des Kommandozeilenfensters Das Kommandozeilenfenster bietet ein Menü mit Einstellungen zur Fen- Menü stergröße, -farbe und -schriftart sowie zur Nutzung der Windows-Zwischenablage zur Übertragung von Texten aus dem bzw. in das Kommandozeilenfenster. Die Tastenkürzel (STRG) + (X)/(C)/(V) stehen leider auch in

783

Kapitel 17 Windows 7-Batchdateien

Windows 7 in der Konsole nicht zur Verfügung. Über die Aktivierung der Funktion „QuickEdit-Modus“ (auch in der deutschen Version nicht übersetzt!) kann man aktivieren, dass man Texte im Konsolenfenster mit der Maus markieren kann. Abbildung 17.2 Konfigurationseinstellungen des Konsolenfensters

Abbildung 17.3 Menü des Kommandozeilenfensters

17.2 Ein alternatives Kommandozeilenfenster Das in Windows eingebaute Kommandozeilenfenster ist sehr spartanisch. Ein alternatives Kommandozeilenfenster mit dem schlichten Namen „Console“ gibt es kostenfrei im Internet. Diese alternative Konsole bietet auch weitere nützliche Funktionen wie Registerkarten.

784

Ein alternatives Kommandozeilenfenster

Console Hersteller: Preis: URL: Enthalten auf Buch-CD?

Marko Bozikovic Kostenlos http://sourceforge.net/projects/console/ Ja Abbildung 17.4 Alternative Konsole mit mehreren Registerkarten

17

Wenn die alternative Konsole „Console“ von Marko Bozikovic beim Start meldet, dass ihr DLLs fehlen (msvcp71.dll und/oder msvcr71.dll), dann kopieren Sie diese DLL von einem anderen Windows-System in das Verzeichnis, in dem die Console.exe liegt. Beides sind DLLs von Visual C++, die frei weiterverbreitet werden dürfen. Danach kann Console.exe gestartet werden.

Abbildung 17.5: Windows meldet, dass eine C++-DLL fehlt.

785


In der alternativen Konsole stehen Funktionen zum Kopieren und Einfügen über die Tastatur zur Verfügung, wobei in der Standardeinstellung dafür die Tasten (STRG) + (EINFG) bzw. (ª) + (EINFG) konfiguriert sind. Diese Konfiguration lässt sich aber ändern (siehe Bildschirmabbildung). Abbildung 17.6 Einstellungen der alternativen Konsole für Tastaturkürzel

Auch die Konsole „PowerShellPlus“ bietet Funktionen für Batch-Dateien, siehe Kapitel 21, Einführung in die Windows PowerShell (WPS).

17.3 Kommandozeilenfenster und Benutzerkontensteuerung Die Benutzerkontensteuerung (User Account Control, UAC), siehe Kapitel 13, gilt auch für das Kommandozeilenfenster. Dies bedeutet, dass auch ein Administrator viele Befehle nicht ausführen kann, weil das Konsolenfenster unter normalen Benutzerrechten läuft. Ein Konsolenfenster kann direkt mit erhöhten Rechten gestartet werden. Diese Funktion ist im Kontextmenü des Symbols für die Eingabeaufforderung (sowohl auf dem Desktop als auch im Startmenü oder in einem Windows Explorer-Fenster) verfügbar (Als Administrator ausführen).

786

Befehle Abbildung 17.7 Start der Windows 7Konsole mit erhöhten Rechten

Ein Konsolenfenster, das unter Administratorrechten läuft, zeigt im Gegensatz zu einem normalen Konsolenfenster auch das Wort „ Administrator“ im Fenstertitel.

17 Abbildung 17.8 Zwei Konsolenfenster mit unterschiedlichen Rechten auf einem Desktop: Nur in der Konsole, die mit Administratorrechten gestartet wurde, kann der Befehl ausgeführt werden.

17.4 Befehle Das Kommandozeilenfenster unterstützt zwei Arten von Befehlen: Interne und 왘 Interne Befehle, die direkt in der cmd.exe enthalten sind. Dies sind Basis- externe Befehle befehle wie cd, copy und dir. 왘 Externe Anwendungen, die in .exe-Dateien vorliegen. Dies können sowohl Kommandozeilenanwendungen als auch Windows-Anwendungen sein.

787


Sie können auch Dokumente wie z.B. Microsoft Word-Dateien (.doc) direkt im Kommandozeilenfenster aufrufen. Das Kommandozeilenfenster nutzt die in der Registrierungsdatenbank hinterlegten Informationen, um die passende Anwendung zu starten, die das ausgewählte Dokument laden kann. Auch Skripte für den Windows Script Host (WSH) können auf diese Weise direkt aus dem Kommandozeilenfenster gestartet werden. Die meisten Befehle liefern Hilfeinformationen, wenn man sie mit der Option /? oder /h aufruft. Mit den Cursor-Tasten (½) (¼) kann man im Kommandozeilenfenster zwischen den zuletzt eingegebenen Befehlen wechseln. Auch die Funktionstasten (F1) bis (F9) bieten Unterstützung für den Aufruf zuvor eingegebener Befehle.

17.5 Ausgaben und Ausgabeumleitung Umleitung

Fast alle Kommandozeilenbefehle liefern Textausgaben in das Kommandozeilenfenster. Mit dem Befehl echo kann man Ausgaben erzeugen, ohne weitere Aktionen auszuführen. echo Guten Tag

Die Ausgabe jedes Kommandozeilenbefehls kann in eine Datei umgeleitet werden, indem nach dem >-Zeichen ein Dateiname angegeben wird. dir >d:\daten\verzeichnisinhalt.txt Pipe

Mit dem Pipe-Befehl (|) können Ausgaben an andere Befehle weitergeleitet werden, sofern diese Zeichenketten als Eingabe verarbeiten können. tasklist | more

17.6 Arbeit mit dem Dateisystem Jeweils ein Verzeichnis ist das aktuelle Verzeichnis im Kommandozeilenfenster. Nach dem Start des Kommandozeilenfensters ist normalerweise das Profilverzeichnis des angemeldeten Benutzers das aktuelle Verzeichnis. Erweitern des Windows Explorers

788

Leider bietet der Windows 7 Explorer keine Möglichkeit, ein Kommandozeilenfenster direkt für ein bestimmtes Verzeichnis zu öffnen. Sie können diese Funktion jedoch sehr einfach ergänzen, indem Sie eine Änderung in der Registrierungsdatenbank vornehmen. Dies erledigt die nachstehende Registrierungsdatenbankdatei.

Arbeit mit dem Dateisystem Windows Registry Editor Version 5.00 [HKEY_CLASSES_ROOT\Folder\shell\Menutext] @="Kommandozeilenfenster" [HKEY_CLASSES_ROOT\Folder\shell\Menutext\Command] @="cmd.exe /k cd %1"

Listing 17.1 Registry-Datei zur Erweiterung des Windows Explorers [Kommandozeilenfenster.reg]

Abbildung 17.9 Erweiterung des Windows Explorers

17.6.1

Wechseln des Verzeichnisses

17

Um das Verzeichnis zu wechseln, steht der Befehl cd (Change Directory) cd zur Verfügung. Der cd-Befehl wechselt aber nur das Verzeichnis für das jeweils aktuelle Laufwerk. Um von einem Laufwerk zu einem anderen zu wechseln, muss man den Laufwerksnamen gefolgt von einem Doppelpunkt als eigenständigen Befehl eingeben. Abbildung 17.10 Wechsel des aktuellen Verzeichnisses

Tipps Mit der (ÿ)-Taste können Sie eine Autovervollständigen-Funktion für Datei- und Verzeichnisnamen verwenden. (ÿ) ermöglicht den Wechsel durch alle Dateien/Verzeichnisse, die auf die aktuelle Eingabe zutreffen. Sie können (ÿ) verwenden, ohne zuvor einen Buchstaben eingegeben zu haben. In der Regel ist es aber sinnvoll, einen oder mehrere Anfangsbuchstaben vorzugeben.

Vor Windows Vista war es möglich, aus dem Windows Explorer heraus eine Datei oder ein Verzeichnis per Drag&Drop in das Kommandozeilenfenster zu ziehen. Dadurch wurde der Pfad als Text in das Kommandozeilenfenster eingefügt. Dies war hilfreich, wenn die Pfadangabe sehr lang ist. In Windows Vista hatte Microsoft diese Funktion leider gelöscht. In Windows 7 ist sie zum Glück wieder vorhanden.

789


Alternativ dazu gibt es folgende Optionen: 왘 Verwenden von (ª) und Kontextmenüeintrag Als Pfad kopieren eines Objekts im Windows Explorer und anschließend Einfügen im Konsolenfenster

Abbildung 17.11: Wenn man vor der rechten Maustaste (ª) gedrückt hält, erscheint die Option „Als Pfad kopieren“. 왘 Verwenden der alternativen Konsole mit dem schlichten Namen

„ Console“, ein Open-Source-Projekt (siehe dazu Kapitel 17.2 weiter oben)

Abbildung 17.12: Drag&Drop von Verzeichnissen in die alternative Konsole

Wichtig ist, dass auch in der alternativen Konsole ein Drag&Drop nur möglich ist, wenn beide Fenster unter den gleichen Benutzerrechten laufen. Wenn das Konsolenfenster als Administrator gestartet wurde (vgl. Kapitel 17.3, „Kommandozeilenfenster und Benutzerkontensteuerung“), die andere Anwendung aber unter normalen Benutzerrechten läuft, ist eine Kommunikation zwischen den beiden Fenstern nicht möglich.

790

Arbeit mit Prozessen

17.6.2


Zum Auflisten eines Verzeichnisses dient der Befehl dir (Directory). Durch zahlreiche Optionen kann die Art der Anzeige gesteuert werden, z.B.: 왘 dir /b zeigt nur die Namen an. 왘 dir /p unterbricht die Anzeige nach jeweils einer Bildschirmseite. 왘 dir /s listet rekursiv auch alle Unterverzeichnisse auf.

17.6.3

Dateisystemoperationen

Mit dem Befehl md (Make Directory) erzeugt man ein Verzeichnis im Datei- md und rd system. Mit dem Befehl rd (Remove Directory) löscht man ein Verzeichnis. md Buch rd Buch

Weitere wichtige Dateisystembefehle sind: 왘 Copy zum Kopieren von Dateien und Verzeichnissen 왘 Move zum Verschieben von Dateien und Verzeichnissen 왘 Del zum Löschen von Dateien und Verzeichnissen 왘 Ren zum Umbenennen von Dateien und Verzeichnissen

Copy, Move, Del, Ren

17

17.7 Arbeit mit Prozessen Der Befehl tasklist liefert eine Liste der laufenden Prozesse. Der Befehl tasklist und taskkill taskkill dient dem Beenden eines Prozesses.

17.8 Die net-Befehlsfamilie Der net-Befehl ist ein sehr häufig eingesetzter Befehl, mit dem viele verschie- net dene Systembausteine von Windows 7 abgefragt bzw. beeinflusst werden können, die bei Weitem nicht alle etwas mit dem Netzwerk zu tun haben. Der net-Befehl steht in keiner Beziehung zum Microsoft .NET Framework. Die folgende Liste zeigt einige Beispiele: 왘 net accounts listet die Benutzerkontenrichtlinien auf. 왘 net localgroup listet die vorhandenen lokalen Benutzergruppen auf. 왘 net localgroup /add Autoren erzeugt eine neue Benutzergruppe mit Namen „ Autoren“. 왘 net localgroup /add Autoren hs fügt den Benutzer hs der lokalen Gruppe „ Autoren“ hinzu. 왘 net start w3svc startet den WWW-Dienst.

791

Kapitel 17 Windows 7-Batchdateien 왘 net stop w3svc stoppt den WWW-Dienst. 왘 net view Bochum liefert eine Liste der veröffentlichten Ressourcen

(Drucker und Freigaben) auf dem Computer Bochum. 왘 net share listet alle Freigaben des lokalen Systems auf. 왘 net share temp=d:\temp gibt das Verzeichnis d:\temp unter dem Namen

temp frei. 왘 net share temp/delete entfernt die Freigabe temp. 왘 net helpmsg 1638 liefert den Fehlertext zur Betriebssystemfehlernummer

1638. Eine Liste aller verfügbaren net-Befehle erhält man durch die Eingabe von: net /?

Mit net help Befehlsname

erhält man detaillierte Hilfe zu dem angegebenen Befehl. Bitte beachten Sie, dass einige net-Befehle nur auf Windows DomänenControllern ausgeführt werden dürfen.

17.9 Weitere Kommandozeilenbefehle Die Erläuterungen zu zahlreichen weiteren Kommandozeilenbefehlen – z.B. zur Steuerung der Registry, der Benutzerverwaltung und der Netzwerkkonfiguration – finden Sie in den entsprechenden Kapiteln.

17.10 Stapelverarbeitung Das Windows-Kommandozeilenfenster unterstützt die Stapelverarbeitung (die Ausführung mehrerer Befehle) durch drei Mechanismen: 왘 Verknüpfung von Befehlen in einer Zeile mit den Operatoren &, && und ||. 왘 Textbasiertes Pipelining von mehreren Befehlen in einer Zeile mit |. 왘 Batch-Dateien (.bat) sind Textdateien, in denen jede Zeile einen Befehl enthält.

17.10.1 Befehlsverknüpfung &, &&, ||

Das kaufmännische Und trennt verschiedene Befehle in einer Befehlszeile voneinander ab. Alle Befehle werden ausgeführt, unabhängig davon, ob einzelne Befehle in der Liste erfolgreich waren oder nicht. echo "Verzeichnisinhalt" & dir c:\ & echo "Fertig!"

792

Stapelverarbeitung

In dem folgenden Befehl wird ein Verzeichnis angelegt und anschließend versucht, eine Datei in dieses Verzeichnis zu kopieren, unabhängig davon, ob das Verzeichnis tatsächlich angelegt werden konnte. Dies ist insofern nicht unsinnig, als md auch dann einen Fehler meldet, wenn das Verzeichnis schon existiert. In diesem Fall kann das Kopieren der Datei gelingen, obwohl md einen Fehler gemeldet hat. md Buecher & copy d:\autoreninfo.doc buecher

Das doppelte kaufmännische Und bewirkt, dass der Befehl nach diesem Zeichen nur dann ausgeführt wird, wenn der vorhergehende Befehl erfolgreich gewesen ist. In dem folgenden Befehl wird nur versucht, die Datei zu kopieren, wenn das Anlegen des Verzeichnisses erfolgreich war. md Buecher && copy d:\autoreninfo.doc buecher

Das doppelte Verkettungszeichen bewirkt, dass der Befehl nach diesem Zeichen nur dann ausgeführt wird, wenn der vorhergehende Befehl fehlgeschlagen ist. In dem folgenden Befehl erscheint eine Meldung, wenn ein Verzeichnis nicht angelegt werden konnte.

17

md Buecher || echo Verzeichnis kann nicht angelegt werden.

Mit Klammern können Befehlsblöcke gruppiert werden. Der folgende Befehl bewirkt, dass eine Datei kopiert wird, wenn das Zielverzeichnis angelegt werden konnte. War eine der beiden Teilaktionen nicht erfolgreich, wird eine Meldung ausgegeben. (md Buecher && copy d:\Autoreninfo.doc buecher) || echo Datei wurde nicht kopiert

17.10.2 Textbasiertes Pipelining Durch Pipelines kann ein Befehl seine Ausgabe einem anderen Befehl übergeben, z.B.: Dir | More

Durch die Pipeline werden Textausgaben übergeben. Die WindowsKonsole kann nicht wie die Windows PowerShell typisierte Informationen übergeben.

17.10.3 Batch-Dateien In Batch-Dateien können alle Kommandozeilenbefehle vorkommen. .bat Auch Befehlsverknüpfungen können verwendet werden. Die folgende Batch-Datei legt ein Verzeichnis an und kopiert anschließend eine Datei. Normalerweise wird an der Kommandozeile immer der gerade ausgeführte Befehl einer Batch-Datei ausgegeben. Mit echo off wird diese Ausgabe unterdrückt. Alle Ausgaben der Kommandozeilenbefehle sowie die mit echo explizit erzeugten Ausgaben erscheinen jedoch weiterhin.

793

Kapitel 17 Windows 7-Batchdateien echo off cd e:\Daten md Buecher || echo Verzeichnis kann nicht angelegt werden. (copy d:\Autoreninfo.doc buecher && echo Datei kopiert!) || e cho Datei wurde nicht kopiert Editoren

Windows-Batch-Dateien können aus dem Kommandozeilenfenster oder in der Windows-Oberfläche mit einem Doppelklick gestartet werden. Zur Erstellung von Windows-Batch-Dateien kann jeder beliebige Texteditor (auch Windows Notepad) eingesetzt werden. Es existieren jedoch Editoren, die für Windows-Batch-Dateien erweiterte Funktionen bieten. Der Editor OnScript markiert die Kommandozeilenbefehle in einer anderen Farbe und erlaubt die Ausführung der Batch-Dateien direkt aus dem Editor heraus. OnScript Hersteller:

XLNow (Schweiz)

Preis:

Ab 60 Euro

URL:

http://www.onscript.com/

Enthalten auf Buch-CD?

Ja, Testversion

Abbildung 17.13: Editieren und Ausführen einer Batch-Datei mit OnScript

794

18

Windows Management Instrumentation (WMI)

Die Windows Management Instrumentation (WMI) ist ein Windows-Systembaustein zum Zugriff auf System- und Netzwerkinformationen. Mit WMI kann man: 왘 Systeminformationen über einzelne Systembausteine oder ganze Mengen von Systembausteinen auslesen 왘 Systeminformationen verändern 왘 Aktionen ausführen 왘 sich über Veränderungen im System informieren lassen. WMI ist die Microsoft-Implementierung des Web Based Enterprise Management (WBEM). WBEM ist ein Standard der Desktop Management Task Force (DMTF) für das Netz- und Systemmanagement, also zur Verwaltung von Netzwerk- und Systemressourcen (z.B. Hardware, Software, Benutzer). WBEM wurde ursprünglich von BMC Software, Cisco Systems, Compaq, Intel und Microsoft entwickelt und später an die DMTF übergeben. Aus historischen Gründen findet man in WMI-Werkzeugen häufig noch die Bezeichnung WBEM. Kern von WBEM ist das Common Information Model (CIM), das die durch WBEM zu verwaltenden Ressourcen durch objektorientierte Methoden modelliert. CIM ist ein Framework zur Beschreibung sowohl physischer als auch logischer Objekte. Die DMTF versteht CIM als eine Vereinigung bestehender Managementarchitekturen wie dem OSI Management Framework X.700 (Common Management Information Protocol – CMIP) und dem Simple Network Management Protocol (zu CMIP und SNMP siehe [STA93]). Der Name Web Based Enterprise Management ist irreführend, weil er nahelegt, dass es sich bei WBEM um eine grafische Benutzerschnittstelle auf Webbasis für das Management von Systeminformationen handelt. WBEM ist jedoch lediglich eine Architektur mit Programmierschnittstelle, also weder Tool noch Anwendung. 795

Kapitel 18 Windows Management Instrumentation (WMI)

WMI ist fester Bestandteil von Windows schon seit Windows ME. In Windows 7 ist WMI 6.1 enthalten.

18.1 WMI-Funktionsumfang Funktionen

Die Informationsfülle, die WMI auf modernen Betriebssystemen (XP, 2003, Vista, 2008, Windows 7) liefert, ist riesig. Beispiele für Bereiche, aus denen WMI Informationen liefert, zeigt die folgende Tabelle. Grundkonfiguration

BIOS Boot-Konfiguration Installiertes Betriebssystem (z.B. Betriebssystemname, Build-Version, Installationsdatum, Datum und Uhrzeit des letzten Boot-Vorgangs) Umgebungsvariablen Performance-Monitor-Daten SNMP-Daten Eingerichtete Zeitzonen Drucker und Druckerwarteschlangen Auslagerungsdateien Datum und Uhrzeit Clustering

Hard- und Software

Installierte Software Installierte Updates und Hotfixes Installierte Hardware (z.B. Netzwerkkarten, Grafikkarten) einschließlich Treiber und deren Zuordnung zu LoadOrderGroups, belegten Ressourcen (IRQ, Port, DMA), Konfiguration (z.B. Druckereinstellungen) Installierte COM-Komponenten einschließlich Zuordnung zu Komponentenkategorien und DCOM-Einstellungen Laufende Prozesse Geplante Vorgänge (Zeitplandienst) Programmgruppen im Startmenü Windows-Systemdienste

Sicherheit

Benutzerkonten (inklusive deren Gruppenzuordnung, Desktop-Einstellungen und Ereignisprotokolleinträge) Security Configuration Editor (SCE)

Tabelle 18.1: Überblick über WMI-Informationen

796

WMI-Funktionsumfang

Dateisystem und Datenspeicher

Ordner und Dateien des Dateisystems Netzlaufwerksverbindungen Dateisicherheit, Freigabesicherheit Registrierungsdatenbank Ereignisprotokoll ODBC-Einstellungen Disk Quotas Ausführung von CHKDSK Distributed File System (DFS)

Netzwerk

IP-Routing Ausführung eines Ping Netzwerkverbindungen und Sitzungen Terminal Services Active Directory DNS-Server Network Load Balancing (NLB) Microsoft Exchange Server Internet Information Server (IIS) ASP.NET Windows Communication Foundation (WCF)

18

Tabelle 18.1: Überblick über WMI-Informationen (Forts.)

Die meisten Schwierigkeiten mit WMI resultieren daraus, dass WMI mit jeder Windows-Version (stark) erweitert wurde, die erweiterten WMI-Klassen und -Funktionen aber nicht als Add-on für ältere Windows-Versionen bereitgestellt werden. Viele Skripte laufen daher nur auf den jeweils neuesten Windows-Versionen, auf älteren Plattformen erhält man nichtssagende Fehlermeldungen wie „Automatisierungsfehler“.

18.1.1

WMI-Klassen und WMI-Objekte

WMI ist ein objektorientiertes Konzept, bei dem alle Informationen in Form von strukturierten Objekten bereitgestellt werden, die Instanzen von Klassen sind. Eine Klasse beschreibt eine Informationsart (z.B. Datei), ein Objekt enthält die Informationen eines konkreten Vorkommens dieser Informationsart (z.B. c:\Daten\Computerliste.txt). WMI-Klassen besitzen Information in Attributen und erlauben die Ausführung von Aktionen durch Methoden. Klassen können von anderen Klassen erben. WMI in Windows 7 Ultimate enthält nach der Grundinstallation 9905 WMI-Klassen, die – aus Gründen der Übersichtlichkeit – in 58 sogenannte Namensräume gegliedert sind. Ältere Windows-Versionen besitzen deutlich weniger WMI-Klassen. Durch die Installation von Zusatzdiensten (z.B. IIS) und von Zusatzprodukten (z.B. Microsoft Office) kommen Dutzende weitere Klassen hinzu, da heute viele Produkte einen WMI-Provider mitliefern.

797


Hier auch nur einige dieser Klassen zu nennen, würde nur Platz verschwenden. Sie werden einige WMI-Klassen in Beispielen in den folgenden Kapiteln kennenlernen.

Arten von WMI-Klassen WMI-Klassen beginnen meistens mit der Vorsilbe „Win32“ oder „CIM“. CIM-Klassen sind eine sehr allgemeine, betriebssystemunabhängige Beschreibung von Ressourcen. Win32-Klassen sind eine konkrete, in der Windows-Umgebung implementierte Repräsentation von Ressourcen. Die meisten Win32-Klassen sind von CIM-Klassen abgeleitet und erweitern den Standard. Einige Ressourcen in einem Windows-System können auch direkt durch CIM-Klassen abgebildet werden. Es gibt drei Arten von Klassen in WMI: 왘 Abstrakte Klassen, von denen es keinen Instanzen geben kann und die nur der Vererbung dienen 왘 Statische Klassen: Instanzen dieser Klassen werden im CIM-Repository gespeichert. 왘 Dynamische Klassen: Instanzen dieser Klassen werden dynamisch von einem WMI-Provider geliefert. Systemklassen

WMI definiert eine Reihe von Systemklassen, die der Verwaltung von WMI selbst und insbesondere dem Ereignissystem dienen. Die Systemklassen sind in jedem Provider implementiert; sie sind daran erkennbar, dass der Name mit einem doppelten Unterstrich beginnt. Beispiele für Systemklassen sind: 왘 __EventConsumer 왘 __Namespace 왘 __Event 왘 __InstanceDeletionEvent

Schlüsselattribute Keys

Schlüsselattribute (Keys) sind besondere Attribute, die der eindeutigen Identifizierung einer Instanz innerhalb einer Klasse dienen. Ein Key entspricht dem Primärschlüssel einer relationalen Tabelle. Ebenso wie ein Primärschlüssel aus mehreren Spalten einer Datenbanktabelle bestehen kann, kann auch ein Key in WMI aus mehreren Attributen bestehen. Einen Schlüsselwert darf es innerhalb aller Instanzen einer Klasse nur einmal geben. Wenn der Key aus mehreren Attributen besteht, müssen nur alle Attributwerte zusammen eindeutig sein. Welche Attribute Schlüsselattribute sind, wird in der Klassendefinition festgelegt, damit alle Instanzen einer Klasse die gleichen Schlüsselattribute besitzen. Einige WMI-Klassen besitzen keine Schlüsselattribute (z.B. /root/default:__ cimomidentification und /root/cimv2:NetDiagnostics). Diese Klassen sind sogenannte Singleton-Klassen. Eine Singleton-Klasse ist in der objektori-

798

WMI-Funktionsumfang

entierten Programmierung eine Klasse, von der es nur eine Instanz geben kann. In WMI wird eine Singleton-Klasse mit dem Qualifier (vgl. nächster Abschnitt) Singleton = True gekennzeichnet. Anstelle eines Paars aus Schlüsselattributname und Schlüsselwert wird zur Identifizierung des einen Objekts das Zeichen (@) verwendet.

Systemattribute Alle WMI-Klassen und alle Instanzen dieser Klassen besitzen eine Reihe Systemattribute von Systemattributen. Diese Systemattribute beginnen mit einem doppelten Unterstrich. Attribut

Erläuterung

__Class

Name der Klasse, zu der das WMI-Objekt gehört

__Derivation

Eine Zeichenkettenliste, die die Vererbungshierarchie wiedergibt. Der erste Eintrag ist die direkte Oberklasse.

__Dynasty

Name der obersten Klasse der Vererbungshierarchie. Bei der obersten Klasse steht hier keine leere Zeichenkette, sondern der gleiche String wie bei __Class.

__Genus

1 = Eintrag ist eine Klasse. 2 = Eintrag ist ein WMI-Objekt, d.h. die Instanz einer WMI-Klasse

__Namespace

WMI-Namensraum, in dem die Klasse registriert ist

__Path

Vollständiger WMI-Pfad einschließlich Server und WMI-Namensraum

__Property_Count

Anzahl der Attribute der Klasse. Dabei werden diese Systemattribute nicht mitgezählt.

__Relpath

WMI-Pfad ohne Server und WMI-Namensraum

__Server

Name des Servers

__Superclass

Name der direkten Oberklasse

Tabelle 18.2 WMI-Systemeigenschaften

18

Datentypen WMI definiert sechzehn Standarddatentypen (siehe Tabelle 18.3). Symbolische Konstante

Wert

wbemCimtypeSint8

16

wbemCimtypeUint8

17

wbemCimtypeSint16

2

wbemCimtypeUint16

18

wbemCimtypeSint32

3

wbemCimtypeUint32

19

wbemCimtypeSint64

20

wbemCimtypeUint64

21

wbemCimtypeReal32

4

wbemCimtypeReal64

5

Datentypen Tabelle 18.3 CIM-Standarddatentypen (definiert im Aufzählungstyp WbemCimtypeEnum in wbemdisp.tlb)

799


Datum und Uhrzeit

Symbolische Konstante

Wert

wbemCimtypeBoolean

11

wbemCimtypeString

8

wbemCimtypeDatetime

101

wbemCimtypeReference

102

wbemCimtypeChar16

103

wbemCimtypeObject

13

Datum und Uhrzeit werden als Zeichenkette der Form yyyymmddHHMMSS. mmmmmmsUUU gespeichert, wobei neben dem selbst erklärenden Kürzel anzumerken ist, dass mmmmmm die Anzahl der Millisekunden ist und UUU die Anzahl der Minuten, welche die lokale Zeit von der Universal Coordinated Time (UTC) abweicht. Das s ist das Vorzeichen. In Deutschland steht daher für UUU der Wert +060. WMI kennt auch ein eigenes Format für Zeitintervalle: ddddddddHHMMSS. mmmmmm:000. Auch ein Zeitintervall wird als Zeichenkette abgelegt. Dabei repräsentiert dddddddd die Anzahl der Tage. Die Zeichenkette endet immer auf :000.

Qualifizierer (Qualifier) Qualifizier (engl. Qualifier) sind Zusatzinformationen, die in WMI eine Klasse, ein Objekt, ein Attribut, eine Methode oder einen Parameter näher beschreiben. Qualifier dienen im derzeitigen WMI nur der Informationsversorgung des Nutzers. Sie ermöglichen keine verbindlichen Einstellungen für die WMI-Provider. (Beispiel: Ein Attribut, das einen Qualifier read-only besitzt, muss nicht notwendigerweise wirklich schreibgeschützt sein.) Durch den Qualifier Key wird festgelegt, ob ein Attribut ein Schlüsselattribut ist. An einem Qualifier erkennt man auch die Art einer Klasse: Die Existenz der Qualifier abstract und dynamic weist auf die entsprechenden Typen hin. Ist keiner dieser Qualifier vorhanden, ist die Klasse statisch. Eine Assoziationsklasse hat einen assocation-Qualifier. Weitere interessante Qualifier: 왘 Provider zeigt für eine Klasse den Namen des WMI-Providers an, der die Klasse bereitstellt. 왘 EnumPrivileges legt eine Liste von Privilegien fest, die gesetzt sein müssen, um diese Klasse zu nutzen. 왘 Singleton kennzeichnet eine WMI-Klasse, von der es nur eine Instanz geben kann.

Objektassoziationen Assoziationen

800

WMI-Objekte können durch Assoziationen miteinander verbunden sein (z.B. ein Verzeichnis enthält eine Datei). Eine Objektassoziation ist selbst eine Instanz einer WMI-Klasse. Ein Beispiel für eine Assoziation ist CIM_ DirectoryContainsFile. Diese Klasse stellt eine Assoziation zwischen CIM_ Directory und CIM_DataFile dar.

WMI-Funktionsumfang

18.1.2

WMI-Namensräume (Namespaces)

Ein WMI-Namensraum ist ein Instrument zur Gruppierung von WMI-Klas- Namensräume sen und deren Instanzen in logische Einheiten. Ein Namensraum ist der Startpunkt sowohl für eine Vererbungshierarchie von WMI-Klassen als auch für eine Containment-Hierarchie von WMI-Objekten. Jeder Namensraum hat also sein eigenes Schema. Klassennamen in zwei Namensräumen dürfen theoretisch gleich sein, sollten es aber nicht, da in zukünftigen WMI-Versionen geplant ist, namensraumübergreifende Operationen zu ermöglichen. Es sind keine Objektassoziationen zwischen verschiedenen Namensräumen möglich. Um gleiche Klassennamen zu vermeiden, gibt es die Konvention, dass dem Klassennamen stets der Namensraumname vorangestellt werden soll. Ein Namensraum ist selbst eine Klasse, die direkt oder indirekt von der Systemklasse __Namespace geerbt hat. Namensräume können hierarchisch angeordnet werden, sodass eine Namensraumhierarchie entsteht. Diese Hierarchie dient aber nur der Übersichtlichkeit; sie impliziert keine Vererbung von Klassen. Ein bestimmter Namensraum wird über einen hierarchischen Pfad der Form Wurzelnamensraum\Namensraum1\Namensraum2\... usw. angesprochen. Abbildung 18.1 WMI-Namensräume in Windows 7 Ultimate (Grundinstallation)

Namensräume sind nicht gleichzusetzen mit Providern. Ein Provider kann mehrere Namensräume realisieren, ebenso wie ein Namensraum Klassen aus mehreren Providern enthalten kann.

Namensraum versus Provider

801

18


18.1.3

Lokalisierung

WMI erlaubt Lokalisierung (d.h. landesspezifische Anpassung) von Schemainformationen und die Speicherung mehrerer lokalisierter Versionen eines Namensraums innerhalb des WMI-Repository. WMI speichert dazu die sprachneutralen Teile der Klassendefinition getrennt von den landesspezifischen Teilen. Landesspezifische Informationen sind insbesondere die Hilfeinformationen zu den Klassen und Eigenschaften. LocaleID

Die landesspezifischen Informationen werden in Unter-Namensräumen gespeichert. Jedes Land hat eine LocaleID. 왘 ms_407 steht für Deutsch. 왘 ms_409 steht für amerikanisches Englisch. Der Namensraum \root\CIMV2\ms_407 ist also der \root\CIMV2-Namensraum mit deutschen Hilfeinformationen, root\CIMV2\ms_409 der gleiche mit englischen Texten. Beim Zugriff auf den übergeordneten Namensraum root\CIMV2\ ist die Sprache abhängig von Ihren Computereinstellungen. In einigen Werkzeugen werden diese Unter-Namensräume durch eine Weltkugel angezeigt, in anderen Werkzeugen gibt es keinen Unterschied zu den normalen Namensräumen.

Abbildung 18.2 WMI-Namensräume mit Lokalisierung (Ausschnitt aus der MMCKonsole „WMISteuerung“)

Statische Methoden

WMI-Klassen können sogenannte statische Methoden implementieren, die direkt auf einer Klasse ausgeführt werden können, ohne dass eine Instanz der Klasse benötigt würde. Statische Methoden sind z.B. Konstruktormethoden wie die Methode Create() auf der Klasse Win32_Process. Es gibt auch abstrakte Klassen in WMI, von denen keine Instanzen erzeugt werden können.

18.1.4

WMI-Pfade

Sowohl einzelne WMI-Objekte als auch WMI-Klassen werden durch WMIPfade adressiert. Ein WMI-Pfad ist folgendermaßen aufgebaut: 왘 Aufbau eines WMI-Pfads für eine WMI-Klasse \\Computer\Namensraum:Klasse 왘 Aufbau eines WMI-Pfads für ein WMI-Objekt

\\Computer\Namensraum:Klasse.Schluessel='wert'

802

WMI-Funktionsumfang

Dabei bedeuten die Elemente Folgendes: 왘 Computer steht für den Namen des anzusprechenden Computers. Ein Punkt in Anführungszeichen (".") steht dabei für den lokalen Computer, auf dem das Skript läuft. 왘 Namensraum ist der Namensraum, in dem die anzusprechende Klasse registriert wurde. Diese Angabe ist optional, wenn der Standardnamensraum angesprochen werden soll. 왘 Klasse ist der Name der Klasse, die angesprochen werden soll. 왘 Mit Schluessel='wert' wird optional festgelegt, welche Instanz der Klasse angesprochen werden soll. Dabei ist Schluessel der Name des Schlüsselattributs der Klasse und Wert der Wert dieses Schlüsselattributs in der gesuchten Instanz. Es gibt WMI-Klassen, die einen Schlüssel besitzen, der aus mehreren Attributen besteht. In diesem Fall sind die Schlüsselattribute durch ein Komma zu trennen, z.B. \\SERVER_E02\root\cimv2:Win32_UserAccount .Domain="ITV",Name="hs"

Die folgende Tabelle zeigt Beispiele für den Zugriff auf WMI-Objekte am Beispiel der Klasse Win32_LogicalDisk, die ein Laufwerk repräsentiert. Die Klasse liegt im Namespace \root\cimv2. Wie Sie der Tabelle entnehmen können, sind viele Bestandteile der Pfadangabe optional. WMI-Pfad

Beschreibun

\\.\root\cimv2:Win32_LogicalDisk.DeviceID='D:'

Die Instanz der Klasse Win32_LogicalDisk aus dem Namensraum \root\ cimv2: mit dem Namen „D:“ auf dem

18

Tabelle 18.4 Beispiele für WMI-Zugriffe

lokalen Computer \\SERVER_E02\root\cimv2:Win32_ LogicalDisk.DeviceID='D:'

Die Instanz der Klasse Win32_LogicalDisk aus dem Namensraum \root\ cimv2: mit dem Namen „D:“ auf dem

Win32_LogicalDisk.DeviceID='D:'

Die Instanz der Klasse Win32_LogicalDisk aus dem Standard-Namensraum mit dem Namen „D:“ auf dem lokalen Computer

\\SERVER_E02\root\cimv2:Win32_ LogicalDisk

Alle Instanzen der Klasse Win32_LogicalDisk auf dem Computer Server_E02

\\SERVER_E02\root\cimv2:Win32_ UserAccount.Domain="ITV",Name="hs"

Das Benutzerkonto "ITV\hs" auf dem Rechner Server_E02.

Computer Server_E02

Der sogenannte Standard-Namensraum, wo die Klasse gesucht wird, wenn kein Namensraum explizit genannt wurde, ist in der Registrierungsdatenbank festgelegt (HKEY_LOCAL_MACHINE\Software\ Microsoft\WBEM\Scripting\ Default Namespace). Die Standardeinstellung ist \root\cimv2 und kann über die MMC-Konsole „WMI-Steuerung“ verändert werden. Man sollte diese Einstellung aber nicht ändern.

803


18.1.5 Schema

WMI-Schema

Das WMI-Schema (alias CIM-Schema) definiert die Klassen mit ihren Attributen und Methoden, die Vererbungshierarchie und die Objektassoziationen. Zur Laufzeit existieren von diesen Klassen Instanzen (WMIObjeke). Managed Objects können durch Assoziationen miteinander verbunden sein, sodass eine Containment-Hierarchie entsteht. WMI-Klassen erlauben Vererbung (Einfachvererbung), sodass die Klassen auch in einer Vererbungshierarchie zueinander stehen können. Genau genommen besitzt WMI mehrere Schemata, da jeder WMI-Namensraum ein eigenes Schema hat. Ein WMI-Schema ist oft sehr umfangreich und enthält auch Hilfeinformationen, wahlweise in verschiedenen Sprachen. Das Schema für Windows heißt „Win32 Schema Version 2“ und ist eine Microsoft-Erweiterung des CIM-Schemas Version 2. Auch der Aufbau des Schemas ist Teil des Schemas. Dieser Teil des Schemas wird als Metamodell bezeichnet.

18.1.6

WMI-Repository

Das WMI-Repository (alias CIM-Repository) ist der Datenspeicher/die Datenbank von WMI. Im Repository werden das Schema und auch Daten über die Instanzen gespeichert. WMI erzeugt einige Instanzen ad hoc, wenn diese angefragt werden, weil es keinen Sinn machen würde, diese zwischenzuspeichern (z.B. Daten über die laufenden Prozesse). Andere Daten werden im Repository abgelegt, weil diese sich selten oder nie ändern (z.B. Hardwaredaten). Das WMI-Repository liegt in einem gleichnamigen Verzeichnis unterhalb von %SystemRoot%\System32\WBEM\Repository. Mit der MMC-Konsole „ WMI-Steuerung“ kann man diese Datenbank sichern und wiederherstellen. Abbildung 18.3 Sichern und Wiederherstellen des CIMRepositorys in WMI

804

WMI-Funktionsumfang

18.1.7

WMI-Systemdienst

Das Repository von WMI wird durch die ausführbare Datei WinMgmt.exe betrieben. WinMgmt.exe läuft unter allen NT-basierten Windows-Systemen als Systemdienst unter dem Namen „WinMgmt“ (Windows-Verwaltungsinstrumentation). Auf Windows 9x/Windows ME wird WinMgmt.exe beim ersten WMI-Aufruf als normaler Prozess gestartet, wenn ein Aufruf erfolgt. WMI kann Fernzugriffe auf andere Computer realisieren, wenn auf dem anderen Computer auch WMI installiert ist und der WMI-Dienst dort läuft und der Zugang zu dem anderen Computer über DCOM-Protokoll möglich ist. Seit Windows Server 2003 R2 ist auch eine Kommunikation über HTTP/SOAP alternativ möglich (Windows Remote Management – WinRM).

18.1.8

WMI-Provider

WinMgmt.exe stellt nur das Repository bereit, nicht aber die WMI-Klassen Provider und WMI-Objekte. Diese sind in getrennten DLLs realisiert. WMI ist nicht in einer einzigen DLL realisiert. Für unterschiedliche Systembausteine gibt es unterschiedliche sogenannte WMI-Provider. Für jeden WMI-Provider gibt es eine DLL. WMI-Provider

Erläuterung

Directory Services Provider

Zugriff auf die ADSI-Informationen aus Verzeichnisdiensten

Event Log Provider

Zugriff auf die Windows-Ereignisprotokolle (nur NT-Produktfamilie)

Exchange Queue Provider,Exchange Routing TableProvider,ExchangeClusterProvider

Zugriff auf Microsoft Exchange Server ab Version 2000

Microsoft Windows Installer Provider

Zugriff auf Software, die durch den Windows Installer (MSI) installiert wurde

Performance Counters Provider

Zugriff auf rohe Leistungsindikatordaten

Performance Monitor Provider

Zugriff auf Performance-Daten, wie sie der NT-Performance Monitor sieht

Power Management Event Provider

Ereignisse aus dem Bereich Power Management

Registry Event Provider

Ereignisse bei Änderungen in der Registrierungsdatenbank

Registry Provider

Zugriff auf die Registrierungsdatenbank

18

Tabelle 18.5: Ausgewählte WMI-Provider

805


WMI-Provider

Erläuterung

Security Provider

Zugriff auf Sicherheitsinformationen im NTFSDateisystem

SMS Provider

Zugriff auf Microsoft System Management Server

SNA Provider

Zugriff auf Microsoft SNA Server

SNMP Provider

Zugriff auf SNMP-Daten

View Provider

Dient der Erzeugung neuer Klassen

Windows Installer Provider Softwareinstallation/-deinstallation WDM Provider

Zugriff auf Gerätetreiber via Windows Driver Model (WDM)

Win32 Provider

Zugriff auf das Win32-Subsystem

Tabelle 18.5: Ausgewählte WMI-Provider (Forts.)

Nicht alle WMI-Provider werden automatisch registriert und im CIM Repository eingetragen. In der MSDN-Entwicklerbibliothek finden Sie die Informationen darüber, wie die einzelnen Provider registriert werden.

18.1.9

Managed Object Format (MOF)

MO-Beschreibung durch MOF

Das Managed Object Format (MOF) ist eine Sprache zur Definition von Managed Objects. MOF basiert auf der Interface Definition Language (IDL) und ist ein Textformat. MOF-Dateien können mithilfe des MOFCompilers (mofcomp.exe) in das CIM-Repository übernommen werden.

MOF für Microsoft Office

Das nachfolgende Listing zeigt Ausschnitte aus der Datei msioff9.mof, welche die MOF-Beschreibung für Informationen über Microsoft Office liefert. Die dort definierten Klassen entsprechen den im „MSInfo“ anzeigbaren Daten. Das MOF-File definiert zunächst einen neuen Namensraum MSAPPS und dann über eine CLSID den Provider, der die Funktionalität der im Folgenden definierten Klassen implementiert.

Listing 18.1 Ein kleiner Ausschnitt aus dem MOF-File MSIOff9.mof

806

//************************************************************** //* File: MSIOff9.mof – Office Extension MOF File for MSInfo 5.0 //************************************************************** //***Creates namespace for MSAPPS #pragma namespace ("\\\\.\\Root") instance of __Namespace { Name = "MSAPPS"; }; //* Declare an instance of the __Win32Provider so as to "register" the //* Office provider. instance of __Win32Provider as $P { Name = "OffProv";

WMI-Funktionsumfang ClsId = "{D2BD7935-05FC-11D2-9059-00C04FD7A1BD}"; }; //* Class: Win32_WordDocument //* Derived from: [dynamic: ToInstance, provider("OffProv")] class Win32_WordDocument { [key, read: ToInstance ToSubClass] string Name; [read: ToInstance ToSubClass] string Path; [read: ToInstance ToSubClass] real32 Size; [read: ToInstance ToSubClass] datetime CreateDate; }; //* Class: Win32_AccessDatabase //* Derived from: [dynamic: ToInstance, provider("OffProv"), Singleton: DisableOverride ToInstance ToSubClass] class Win32_AccessDatabase { [read: ToInstance ToSubClass] string Name; [read: ToInstance ToSubClass] string Path; [read: ToInstance ToSubClass] real32 Size; [read: ToInstance ToSubClass] datetime CreateDate; [read: ToInstance ToSubClass] string User; [read: ToInstance ToSubClass] string JetVersion; };

18

Einige Provider werden nicht automatisch in das WMI-Repository eingebunden. In diesen Fällen muss man die zugehörige MOF-Datei erst „ kompilieren“ mit dem Befehl: mofcomp.exe Dateiname.mof

Auch Instanzen können in MOF beschrieben werden, dabei werden die Instanzen Attribute mit ihren Werten angeführt. Nachstehend sieht man die MOF- beschreibung Repräsentation einer Instanz der Klasse Win32_ComputerSystem. instance of Win32_ComputerSystem { AdminPasswordStatus = 3; AutomaticResetBootOption = TRUE; AutomaticResetCapability = TRUE; BootROMSupported = TRUE; BootupState = "Normal boot"; Caption = "BYFANG"; ChassisBootupState = 3; CreationClassName = "Win32_ComputerSystem"; CurrentTimeZone = 120; DaylightInEffect = TRUE; Description = "AT/AT COMPATIBLE"; Domain = "FBI.net"; DomainRole = 1;

807

Kapitel 18 Windows Management Instrumentation (WMI) EnableDaylightSavingsTime = TRUE; FrontPanelResetStatus = 3; InfraredSupported = FALSE; KeyboardPasswordStatus = 3; Manufacturer = "System Manufacturer"; Model = "System Name"; Name = "BYFANG"; NetworkServerModeEnabled = TRUE; NumberOfProcessors = 1; OEMStringArray = {"0", "0"}; PartOfDomain = TRUE; PauseAfterReset = "-1"; PowerOnPasswordStatus = 3; PowerState = 0; PowerSupplyState = 3; PrimaryOwnerName = "Holger Schwichtenberg"; ResetCapability = 1; ResetCount = -1; ResetLimit = -1; Roles = {"LM_Workstation", "LM_Server", "Print", "NT", "Potential_ Browser"}; Status = "OK"; SystemStartupDelay = 30; SystemStartupOptions = {"\"Microsoft Windows XP Professional\" / fastdetect"}; SystemStartupSetting = 0; SystemType = "X86-based PC"; ThermalState = 3; TotalPhysicalMemory = "536309760"; UserName = "FBI\\hs"; WakeUpType = 6; };

18.1.10 WMI-Sicherheit

808

Sicherheitsfunktionen

WMI basiert auf COM und verwendet die COM-Sicherheitsfunktionen und die entsprechend verfügbaren Security Provider. Sicherheitseinstellungen können auf der Ebene eines jeden Namensraums festgelegt werden. Diese Einstellung erfolgt im WMI-Snap-in in der MMC. Ein COM-Client, der auf ein WMI-Objekt zugreifen will, wird zunächst gegen die Sicherheitseinstellung des Namensraums geprüft, zu dem das Objekt gehört. Die Vergabe von Zugriffsrechten auf Objekt- oder Klassenebene unterstützt WMI bislang nicht.

Impersonifizierung

WMI unterstützt Impersonifizierung für den Zugriff auf entfernte Rechner. Es ist also möglich, beim Aufruf von WMI-Objekten auf einem entfernten Rechnersystem den Benutzerkontext zu wechseln und als ein anderer Benutzer aufzutreten als der, unter dem der COM-Client läuft. Dies ist allerdings beim Zugriff auf das lokale WMI nicht möglich. Ein Versuch, den Benutzerkontext vor dem Zugriff auf lokale WMI-Objekte zu wechseln, wird von WMI mit dem Fehler 80041064 quittiert: „ Benutzeranmeldeinformationen können für lokale Verbindungen nicht verwendet werden“.

WMI-Funktionsumfang Abbildung 18.4 Einstellen der Zugriffsberechtigungen in der MMC „WMI-Steuerung“

Im Gegensatz zu anderen Komponenten erlaubt WMI Vorgaben für die ProgrammaCOM-Sicherheit durch den Client. Sowohl Impersonifizierungs- als auch tische Sicherheit Authentifizierungsmodus können beim Verbindungsaufbau eingestellt werden. Der Client kann ab Windows 2000 auch den Security Service Provider (SSPI) zwischen der NT 4.0-LAN-Manager(NTLM)- und der Kerberos-Authentifizierung wählen. Wird kein SSPI explizit angegeben, verhandelt WMI den SSPI beim Verbindungsaufbau. Es wird zunächst versucht, Kerberos zu verwenden. Kerberos kann allerdings nie für lokale Aufrufe verwendet werden. Privilegien sind Zusatzrechte, die bei Nutzung einiger WMI-Klassen benö- Privilegien tigt werden und bei der Instanziierung gesetzt werden müssen. Ohne diese Zusatzangaben ist die Klasse nicht nutzbar. Die Zusatzangaben werden entweder im WMI-Pfad gesetzt oder aber über das Unterobjekt Security_ .Privileges in der Klasse SWbemLocator. Welche Privilegien eine WMIKlasse erwartet, erfährt man durch den Klassen-Qualifier EnumPrivileges.

18.1.11 WMI Query Language (WQL) WMI erlaubt Suchanfragen in einer Syntax, die auf der ANSI Standard WQL Structured Query Language (SQL) basiert. Der SQL-Dialekt heißt WMI Query Language, kurz: WQL. Es wird allerdings nur Lesezugriff mit dem SQL-Befehl SELECT unterstützt. Weder DDL (Data Definition Language) noch DML (Data Manipulation Language) werden unterstützt. Das WQL-SELECT unterstützt neben den Standardschlüsselwörtern FROM, WHERE, GROUP BY, HAVING und WITHIN auch die nicht in ADSI-SQL definierten Schlüsselwörter ASSOCIATORS OF und REFERENCES OF.

809

18

Kapitel 18 Windows Management Instrumentation (WMI) Operatoren

Unterstützte Operatoren sind =, , =, != (alternativ: ) sowie IS NULL, IS NOT NULL und ISA. Der ISA-Operator ermöglicht die Abfrage nach Unterklassen einer bestimmten Klasse. Wenn Dorf eine Unterklasse von Stadt ist, dann erfüllt ein Objekt GallischesDorf die Bedingung ISA Stadt. Der like-Operator für den Zeichenketten-Mustervergleich wird erst ab Windows XP unterstützt.

Typen von WQL-Anfragen WMI-Suchanfragen

WMI unterstützt drei Typen von WQL-Anfragen: 왘 Anfragen nach Instanzen (Data Queries) 왘 Anfragen nach Schemainformationen (Schema Queries) 왘 Definitionen von Ereignisfiltern (Event Queries), die nach Änderungen von Klassen und Instanzen fragen

Datenabfragen (Data Queries) Data Queries

Eine Datenabfrage hat die allgemeine Form: SELECT attributliste FROM class WHERE bedingung

Dabei ist Class ein beliebiger WMI-Klassenname. Die Ergebnismenge lässt sich durch die Angabe von Attributnamen und die Verwendung einer FROMKlausel hinsichtlich der Breite und Länge einschränken. Andere Schlüsselwörter werden nicht unterstützt.

Beispiele Beispiele für Datenabfragen zeigt die folgende Tabelle. Tabelle 18.6 Beispiele für WQLDatenabfragen

WQL

Erläuterung

SELECT * FROM Win32_Service WHERE state='running' and startmode='manual'

Alle Windows-Dienste, die laufen, aber manuell gestartet wurden

SELECT Name, CategoryId FROM Win32_ComponentCategory

Name und CATID aller Komponentenkategorien

SELECT IPAddress FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled=TRUE

Das mehrwertige Attribut IPAddress einer Netzwerkkarte, die für das IP-Protokoll zugelassen ist

SELECT RecordNumber, Message FROM Win32_NTLogEvent WHERE Logfile='Application'

Eintragsnummer und Nachricht aller Einträge in das Ereignisprotokoll "Anwendung"

Schemaabfragen (Schema Queries) Schema-Queries

Anfragen zum Schema haben die Form: SELECT attributliste FROM META_CLASS WHERE bedingung

wobei META_CLASS hier ein feststehender Ausdruck ist. Andere Schlüsselwörter werden nicht unterstützt. Mit der WHERE-Klausel werden das zu beobachtende Managed Object und die in dem MO zu beobachtenden Attribute definiert. Schemaabfragen können mit WMI_PrintQuery(WQL) ausgegeben werden.

810

WMI-Funktionsumfang

WQL

Erläuterung

SELECT * FROM meta_class WHERE __Class = "Win32_LogicalDisk"

Zugriff auf die WMI-Klasse

SELECT * FROM meta_class WHERE __this ISA "Win32_LogicalDisk"

Zugriff auf alle von Win32_ LogicalDisk abgeleiteten

Tabelle 18.7 Beispiele für Schemaabfragen

Win32_LogicalDisk

Klassen

Ereignisabfragen (Event Queries) Eine Ereignisabfrage bezieht sich immer auf eine Ereignisklasse. Mit der Ereignisabfragen WHERE-Klausel werden das zu beobachtende Managed Object (MO) und die in dem MO zu beobachtenden Attribute definiert. SELECT * FROM eventklasse WHERE bedingung

Alle Ereignisklassen sind Unterklassen eines Ereignistyps. Die Ereignistypen wiederum sind Unterklassen der Klasse __Event. Sie sind in der Regel an dem führenden doppelten Unterstrich und der Endung auf Event erkennbar. WMI unterscheidet vier Typen von Ereignissen (siehe Tabelle 18.4). Ereignistyp (Oberklasse)

Ereignisklasse

__ClassOperationEvent

__ClassCreationEvent __ClassDeletionEvent __ClassModificationEvent

__ExtrinsicEvent

__SystemEvent Win32_PowerManagementEvent

__InstanceOperationEvent

__InstanceCreationEvent __InstanceDeletionEvent __InstanceModificationEvent

__NamespaceOperationEvent

__NamespaceCreationEvent __NamespaceDeletionEvent __NamespaceModificationEvent

Tabelle 18.8 WMI-Ereignisklassen. Die Ereignistypen sind die Oberklassen zu den rechts genannten Ereignisklassen.

Bitte beachten Sie, dass das Ereignis __InstanceModificationEvent wirklich nur ausgeführt wird, wenn sich ein Attributwert ändert. Wenn Sie beispielsweise die Prozessorlast auf die Überschreitung der 80%-Grenze prüfen, dann bekommen Sie ein Ereignis beim Überschreiten der Grenze. Wenn danach der Wert konstant bei 100% liegt, bekommen Sie keine weiteren Ereignisse. Sie erhalten erst wieder ein Ereignis, wenn der Wert sich nochmals ändert (z.B. von 100% auf 99%). Ereignisabfragen unterstützen als zusätzliche SQL-Schlüsselwörter WITHIN, Zusätzliche Schlüsselwörter GROUP BY und HAVING: 왘 Dabei gibt WITHIN 10 das Abfrageintervall in Sekunden an (wird immer gebraucht, wenn es keinen speziellen Ereignissender gibt!). 왘 GROUP bündelt eine Anzahl von Einzelereignissen zu einem Gesamtereignis. 왘 HAVING dient der Definition einer Bedingung innerhalb der Gruppierung.

811

18

Kapitel 18 Windows Management Instrumentation (WMI) Tabelle 18.9 Beispiele für Ereignisabfragen

WQL

Erläuterung

SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance ISA "Win32_ Service" AND TargetInstance.State="Stopped"

Alle fünf Sekunden wird geprüft, ob ein Dienst den Status Stopped bekommen hat.

SELECT * FROM EmailEvent GROUP WITHIN 600 HAVING NumberOfEvents > 5

Wenn innerhalb von zehn Minuten mehr als fünf E-MailEreignisse auftreten, wird dieses Ereignis ausgelöst.

SELECT * FROM __InstanceCreationEvent WHERE TargetInstance ISA "Win32_NTLogEvent" AND TargetInstance.Logfile="Application" OR TargetInstance.Logfile="System"

Jeder neue Eintrag in den Ereignisprotokollen System und Application löst ein Ereignis aus.

18.1.12 WMI-Ereignissystem Ereignisarten

WMI bietet ein komplexes System für Ereignisse. Es gibt zwei Gruppen von Ereignissen: 왘 Intrinsic Events sind Ereignisse, die direkt Klassen oder Objekte im WMI-Repository verändern oder betreffen, z.B. das Löschen einer Instanz (__InstanceDeletionEvent), das Verändern einer Instanz (__ InstanceModificationEvent) oder der Aufruf einer Methode (__MethodInvocationEvent). Zu den Intrinsic Events gehören auch Zeitgeberereignisse (Timer Events), z.B. __AbsoluteTimerInstruction und __IntervallTimerInstruction. Der Name dieser Ereignisse beginnt mit einem doppelten Unterstrich. Alle Klassen sind direkt oder indirekt abgeleitet von __Event. 왘 Extrinsic Events sind speziellere Ereignisse, die von irgendeinem Teil des Systems ausgelöst werden, aber nicht direkt auf das CIM-Repository wirken müssen, z.B. Ändern eines Schlüssels in der Registrierungsdatenbank (RegistryValueChangeEvent), Ändern der Systemkonfiguration (Win32_SystemConfigurationChangeEvent) und Herunterfahren des Computers (Win32_ComputerShutdownEvent). Alle diese Klassen sind abgeleitet von __ExtrinsicEvent. WMI-Ereignisse werden ausgelöst von Ereignisprovidern (Event Provider), die im CIM-Repository einmalig registriert werden müssen.

Konsumenten WMI-Ereignisse werden behandelt von Ereigniskonsumenten (Event Consumers). Ereigniskonsumenten registrieren sich bei WMI für bestimmte Ereignisse. Der Ereigniskonsument führt beim Eintritt eines Ereignisses eine bestimmte Aktion aus. Permanente versus temporäre Konsumenten

812

WMI unterscheidet zwei Arten von Ereigniskonsumenten: temporäre Event Consumer und permanente Event Consumer. Der Unterschied zwischen den beiden Typen ist, dass ein temporärer Event Consumer nur Ereignisbenachrichtigungen erhält, wenn er aktiv ist. Ein temporärer Event Consumer wird durch ein Skript oder ein Programm implementiert. Nach Been-

WMI-Funktionsumfang

digung des Skripts/Programms ist der Konsument nicht mehr vorhanden. Dagegen ist ein permanenter Konsument in Form eines Managed Objects im Repository gespeichert und kann zu jedem Zeitpunkt Ereignisbenachrichtigungen empfangen, da WMI den Consumer bei Bedarf selbst startet und dann das Ereignis übermittelt. Permanente Ereigniskonsumenten sind z.B.: 왘 Der EventViewerConsumer (im Namensraum /root/cimv2), der die aufge-

EventViewer-

tretenen Ereignisse in einem Bildschirmfenster, dem WMI Event Consumer Viewer, darstellt. 왘 Der ActiveScriptEventConsumer (im Namensraum /root/default), der bei

Auftreten eines Ereignisses ein Active Script ausführt. 왘 Mithilfe des SMTPEventConsumer können bei Ereignissen E-Mails über

ActiveScriptEventConsumer SMTPEvent-

den Microsoft SMTP-Server (der Bestandteil des Internet Information Consumer Servers ab Version 4.0 ist) versendet werden. Der SMTPEventConsumer ist standardmäßig nicht registriert. Um ihn benutzen zu können, muss die Datei smtpcons.mof, die sich im Verzeichnis %System-Root%\Winnt\ wbem befindet, mithilfe des MOF-Compilers (mofcomp.exe) kompiliert und ins WMI-Repository aufgenommen werden. Der Provider wird im Namensraum root\default registriert. Abbildung 18.5 Überblick über die Ereigniskonsumenten

WMI-Ereigniskonsumenten

permanente WMI-Ereigniskonsumenten

temporäre WMI-Ereigniskonsumenten

EventViewer Consumer ActiveScriptEvent Consumer

asynchrone Verarbeitung

semi-synchrone Verarbeitung

SMTPEvent Consumer Command Line Consumer Log File Consumer NT Event Log Consumer (C) [email protected] 2001

813

18


Seit Windows XP gibt es drei weitere permanente Ereigniskonsumenten: 왘 Command Line Event Consumer: Start einer Anwendung 왘 NT Event Log Event Consumer: Eintrag in das NT-Ereignisprotokoll 왘 Log File Event Consumer: Eintrag in eine Protokolldatei Filter

Der Ereigniskonsument definiert sein Interesse gegenüber WMI in Form eines WMI-Filters. Ein WMI-Filter ist im Wesentlichen eine WQL Event Query (vgl. Kapitel 18.1.11 zu WQL-Abfragen).

Administration

Ein Ereigniskonsument ist eine Instanz einer von der Systemklasse __EventConsumer erbenden Klasse. Ein WMI-Filter ist eine Instanz der Systemklasse __EventFilter. Die Bindung zwischen einem Consumer und einem Filter ist als Instanz von __FilterToConsumerBinding gespeichert. Es gibt zwei Möglichkeiten, Ereigniskonsument und Filter zu definieren und aneinander zu binden: 왘 Über das Werkzeug WMI Event Registration aus den WMI Administrative Tools 왘 Über Programmcode. Dadurch, dass Consumer, Filter und Bindungen selbst wieder als WMI-Objekte gespeichert werden, können diese leicht auch per WMI automatisiert verwaltet werden. Provider Kern des Ereignissystems ist der Event Provider. Er informiert WMI über Veränderungen in der Managementumgebung oder im Repository. WMI leitet die Ereignisse an die für dieses Ereignis registrierten Konsumenten weiter.

18.1.13 WMI-Programmierschnittstellen Microsoft stellt für WMI drei Programmierschnittstellen bereit: 왘 Die COM-basierte Softwarekomponente SWbemDisp.dll mit dem WMICOM-Objektmodell, in dessen Zentrum die Klasse WbemScripting. SWbemObject steht. Fernzugriff ist möglich über DCOM. 왘 Die COM-basierte Softwarekomponente WsmAuto.dll, die einen Fernzugriff über HTTP und SOAP ermöglicht. 왘 Die .NET-basierte Softwarekomponente System.Management.dll mit einem Objektmodell, in dessen Zentrum die Klassen System.Management.ManagementObject und System.Management.ManagementClass stehen.

18.1.14 WMI-Werkzeuge WMI kann man mit folgenden Werkzeugen verwenden: 왘 WMIC-Kommandozeilenwerkzeug (wmic.exe) 왘 Die kostenlosen Werkzeuge im Rahmen der WMI Administrative 왘 WMI-Scripting-Komponente für Windows Script Host (WSH) 왘 Windows PowerShell (WPS) über das Commandlet Get-WmiObject und die eingebauten PowerShell-Typen [WMI], [WMICLASS] und [WMISEARCHER] 왘 Kommerzielle Systemmanagementwerkzeuge wie Microsoft System Center oder HP OpenView (nicht in diesem Buch beschrieben)

814

WMI-Funktionsumfang

Die MMC-Konsole für WMI (z.B. enthalten in der „ Computerverwaltung“ dient nicht dem Zugang zu WMI-Informationen, sondern nur der Sicherheitskonfiguration (wer hat Zugang zu den Informationen?) sowie der Sicherung und Wiederherstellung des WMI-Repositorys. Abbildung 18.6 WMI-Steuerung in der MMC „Computerverwaltung“

18

Daran, dass es auch in Windows 7 kein mitgeliefertes grafisches Werkzeug für den Zugang zu den eigentlichen Daten in WMI gibt, sieht man schon, dass WMI als Plattform für Scripting und nicht für die GUI-basierte Administration betrachtet wird.

WMI Object Browser Der WMI Object Browser ist eins der Werkzeuge in den WMI Administrative Tools. Es ermöglicht, die auf dem lokalen oder einem entfernten System vorhandenen WMI-Objekte zu betrachten und entlang der Hierarchie der Objekte das System zu erforschen, mit dem Ziel, Objekte und Attribute zu finden, welche die gewünschten Systeminformationen enthalten. An vielen Stellen können WMI-Objekte auch verändert werden (z.B. Name eines Laufwerks ändern), oder es ist möglich, Aktionen auf den Objekten zu initiieren (z.B. Festplatte prüfen).

815


Das Werkzeug WMI Object Browser läuft als ActiveX-Komponente innerhalb des Internet Explorers. Sie müssen ActiveX zulassen, um das Werkzeug nutzen zu können. Eine deutsche Version ist nicht verfügbar. Da die Hilfetexte zu den WMI-Klassen aber im WMI-Repository stehen, sind zumindest davon viele in Deutsch verfügbar. Abbildung 18.7 Der WMI Object Browser zeigt an, dass der Computer drei Laufwerke besitzt. Die Details zu Laufwerk „C“ werden hier dargestellt.

Weitere Werkzeuge Weitere Werkzeuge in den WMI Administrative Tools sind: 왘 Das WMI CIM Studio setzt im Gegensatz zum WMI Object Browser auf der Klassenebene an und stellt die Vererbungshierarchie der CIMKlassen dar. Diese wird in der linken Fensterhälfte, dem Class Explorer, gezeigt. Die rechte Fensterhälfte (genannt Class Viewer) ähnelt der Ansicht des WMI Object Browsers: Hier werden die Attribute, Methoden und Beziehungen angezeigt. 왘 Das WMI Event Registration Tool ist ein GUI zur Konfiguration von Ereigniskonsumenten. 왘 Der WMI Event Viewer ist das einzige unter den WMI Administrative Tools, das keine HTML-Anwendung, sondern eine ausführbare Datei (wbemeventviewer.exe) ist. Der Event Viewer ist ein permanenter WMI-Ereigniskonsument, der durch eine __EventFilter-Instanz definierte Ereignisse auf dem Bildschirm darstellt. Der Event Viewer wird über die WMI-Klasse Event ViewerConsumer konfiguriert. Diese Konfiguration können Sie über das WMI Event Registration Tool oder über den Event Viewer selbst durchführen.

816

WMIC-Konsolenanwendung

18.2 WMIC-Konsolenanwendung WMIC (Windows Management Instrumentation Command Line Tool) ist ein wmic.exe eigener Kommandozeileninterpreter zur interaktiven Kommunikation mit der Windows Management Instrumentation (WMI). Sie können wmic.exe innerhalb eines Kommandozeilenfensters starten. Im Gegensatz zu einem normalen Kommandozeilenfenster zeigt das WMIC-Fenster keinen Dateisystempfad, sondern WMIC: gefolgt vom aktuellen WMI-Namensraum vor jedem Befehl an. WMIC wurde mit Windows XP neu eingeführt. Abbildung 18.8 WMIC-Kommandozeileninterpreter

Hinsichtlich der Benutzerkontensteuerung (ab Windows Vista) gelten für WMIC die gleichen Aussagen wie für das normale Windows-Konsolenfenster (siehe Kapitel 17, „Windows 7-Batch-Dateien“).

18.2.1

18

WMIC-Befehle

Beispiele für WMIC-Befehle sind:

WMIC-Befehle

왘 service

Liste aller Windows-Dienste 왘 service where state="running"

Liste aller gestarteten Dienste 왘 service where name="w3svc"

Anzeige des World Wide Web Publishing-Dienstes 왘 service where name="w3svc" call stopservice

Beenden des World Wide Web Publishing-Dienstes 왘 service /?

Hilfe zum Service-Befehl 왘 process

Liste der laufenden Prozesse 왘 process where name="iexplore.exe" call terminate

Beenden alle Internet Explorer-Prozesse 왘 share

Liste aller Freigaben 왘 quit oder exit

Beendet WMIC

817


Bei einigen Aktionen stellt WMIC erst eine Sicherheitsrückfrage.

18.2.2 PATH

PATH-Befehl

Die Befehle share, service u.a. sind Abkürzungen für WMI-Klassen (z.B. Win32_Share, Win32_Service), die im WMI-Repository definiert sind. Der WMIC-Nutzer kann auch direkt den Klassennamen angeben. Dann muss allerdings das Wort PATH vorangestellt werden, z.B.: 왘 PATH Win32_Share 왘 PATH Win32_UserAccount 왘 PATH Win32_OperatingSystem 왘 PATH Win32_Processor 왘 PATH Win32_Process

Welche WMI-Klassen verfügbar sind, hängt vom Installationsumfang des Betriebssystems und von den installierten Anwendungen ab. Das WMI-Repository kann man mit dem WMI Object Browser und dem WMI Class Browser ermitteln. Beide Werkzeuge sind Teil der kostenlosen Microsoft WMI Tools, die Sie zusätzlich installieren müssen [CD:/Kap18/WMI]. Nicht für alle WMI-Klassen existieren Aliase, und die Aliase entsprechen auch nicht notwendigerweise dem Klassennamen ohne das Präfix Win32. Welche Aliase definiert sind, erfährt man durch Eingabe des Befehls: ALIAS GET FriendlyName, Target

18.2.3 GET

Ausgabeformen

Durch den GET-Befehl kann die Form der Ausgabe beeinflusst werden. Die Standarddarstellung ist die Tabellenform. PATH Win32_UserAccount GET /format:list

erzeugt eine Listendarstellung. Gültige Formatnamen sind Table, List, RawXML, HTable, HForm, HXML, MOF, HMOF und CSV.

818

WMIC-Konsolenanwendung Abbildung 18.9 Auflisten der Benutzerkonten

Um die Ausgabe in eine Datei umzuleiten, müssen Sie dem Befehl den Schalter /output voranstellen:

18

/output:Benutzer.htm PATH Win32_UserAccount GET /format:htable Abbildung 18.10 Ausgabe der Benutzerliste in einer HTML-Tabelle

Nach GET kann man auch angeben, welche Attribute der WMI-Objekte man sehen will. Dadurch kann die Ausgabe wesentlich übersichtlicher werden. PATH Win32_UserAccount GET caption, description

819


18.2.4 /node

Fernzugriff auf andere Systeme

Durch den Schalter /node kann WMIC auf andere Systeme zugreifen, auf denen ein WMI-Dienst läuft. WMIC muss dort nicht vorhanden sein, sodass WMIC auch ältere Windows-Betriebssysteme abfragen kann. Der folgende Befehl ermittelt alle laufenden Prozesse auf dem Computer mit Namen „ E60“. /node:E60 service state="running"

18.2.5

Stapelverarbeitung

WMIC-Befehle können auch mit vorangestelltem wmic.exe direkt von der Windows-Kommandozeile aus aufgerufen werden und damit in WindowsBatch-Dateien zum Einsatz kommen. wmic PATH win32_processor GET /format:list

820

19

Windows Script Host (WSH)

Ende der Neunzigerjahre hat Microsoft mit dem Windows Script Host WSH (WSH) eine Alternative zur DOS-Kommandozeilenprogrammierung veröffentlicht. Der WSH ist Teil der sogenannten Active Scripting-Architektur, zu der auch das Scripting im Internet Explorer und die Active Server Pages (ASP) im Internet Information Server (IIS) sowie zahlreiche andere MicrosoftProdukte gehören. In Windows 7 ist der WSH in der Version 5.8 enthalten. Der Windows Script Host hieß in einer früheren Version noch Windows Scripting Host. Sie werden beide Begriffe synonym in MicrosoftDokumentationen und in der Literatur finden. Der Windows Script Host besitzt keine eigene Programmiersprache, sondern arbeitet mit zahlreichen verschiedenen Programmiersprachen zusammen. Microsoft liefert die Sprachen Visual Basic Script (VBScript) und JScript. Von anderen Herstellern kann man Perl, REXX, Python, Haskell und Ruby in Versionen bekommen, die jeweils mit dem WSH kooperieren. In diesem Buch kommt Visual Basic Script zum Einsatz, die im WSH am meisten verwendete Programmiersprache. Nicht jede Programmiersprache arbeitet automatisch mit dem WSH zusammen. Eine Programmiersprache muss eine spezielle Schnittstelle zur Active Scripting-Architektur besitzen, um „WSH-fähig“ zu sein. Anders als bei den Windows-Kommandozeilen und WMIC gibt es beim WSH keinen interaktiven Modus, d.h., Skripte müssen immer zur Stapelverarbeitung in Textdateien abgelegt und dann gestartet werden. Eine direkte Ausführung einzelner Befehle in einem Eingabefenster ist nicht möglich.

821

Kapitel 19 Windows Script Host (WSH)

19.1 Überblick über den WSH in Windows 7 Der Windows Script Host (WSH) trägt in Windows 7 die Versionsnummer 5.7 (gegenüber 5.6 in Windows XP und Windows Server 2003 und 5.7 in Vista und Windows Server 2008). Neue Funktionen für den Benutzer sind aber nicht dokumentiert und laut einer schriftlichen Auskunft des Windows-Entwicklungsteams in Redmond an den Autor dieses Kapitels auch nicht enthalten. Es hat lediglich eine interne Anpassung an Veränderungen in Windows 7 stattgefunden. Die Skriptsprachen VBScript und JScript haben analog die Versionsnummern 5.7 erhalten. Neuerungen sind hier aber ebenfalls nicht hinzugekommen. Der Funktionsumfang der meisten Scripting-Komponenten (z.B. ADSI, Scripting Runtime, ADO, MSXML) hat sich in Windows 7 nicht verändert. Zuwachs gibt es lediglich bei den WMI-Klassen. Neue WMI-Klassen bzw. Klassenmitglieder gibt es für Computerinformationen, das Windows System Assessment Tool (WinSAT), Offline-Dateien, Internet Information Server 7.0, Network Access Protection (NAP), Distributed File System Replication (DFSR) und installierte Spiele. Dies sind jedoch keine Scripting-Bereiche, die in diesem Buch erwähnt sein können. Bitte lesen Sie dazu [SCH09]. Eine Herausforderung für WSH-Skripte in Windows 7 ist die Benutzerkontensteuerung. Dies wird in Kapitel 19.5, „WSH-Sicherheit“, behandelt.

19.2 Erste WSH-Beispiele Wenn Sie noch nie ein Skript unter Windows erstellt haben, wird Ihnen das folgende Beispiel erste Erfolgserlebnisse bereiten.

19.2.1 Ihr erstes Skript

Hello World

So erstellen Sie Ihr erstes Skript für den WSH in der Sprache Visual Basic Script: 왘 Legen Sie eine Textdatei an, indem Sie irgendwo auf dem Desktop oder in einem Verzeichnis im lokalen (!) Dateisystem im Kontextmenü Neu | Textdatei wählen. Es erscheint eine Datei Neue Textdatei.txt. 왘 Benennen Sie die Datei in ErstesSkript.vbs um. Bestätigen Sie die Nachfrage des Betriebssystems, ob die Dateiextension wirklich geändert werden soll. 왘 Wählen Sie aus dem Kontextmenü der Datei Bearbeiten, sodass sich der Windows Editor „ Notepad“ öffnet. (Sofern Sie einen anderen Editor installiert haben, mag jetzt dieser gestartet werden.) 왘 Geben Sie Folgendes in die erste Zeile ein: WScript.Echo "Ab heute kann ich skripten!"

Bitte beachten Sie das Leerzeichen (Leertaste) nach Echo und die Anführungszeichen (").

822

Erste WSH-Beispiele 왘 Speichern Sie die Änderungen ab. Sie können den Editor schließen,

müssen es aber nicht. 왘 Doppelklicken Sie auf die Datei ErstesSkript.vbs. Wenn Sie alles richtig

gemacht haben und das System Ihnen wohlgesonnen ist, wird die nachstehend abgebildete Dialogbox erscheinen. Abbildung 19.1 Skriptdatei, Quellcode und Ausgabe des ersten Skripts

Das Skript besteht nur aus einem einzigen Befehl: WScript.Echo. Die Bedeu- Bildschirmtung des Punktes zwischen den Wörtern WScript und Echo wird später in ausgabe diesem Buch erläutert. Nach dem Befehl folgt ein Leerzeichen, um den Befehl von seinen Parametern zu trennen. Danach steht ein Parameter, in diesem Fall eine Zeichenkette. WScript.Echo erzeugt eine Ausgabe auf dem Bildschirm. Der Parameter gibt an, was ausgegeben werden soll.

19

Die Groß- und Kleinschreibung der Befehle ist übrigens irrelevant. Visual Basic Script unterscheidet (im Gegensatz zu einigen anderen Programmiersprachen) nicht zwischen einem Groß- und einem Kleinbuchstaben. Bezüglich der auszugebenden Meldung ist die Unterscheidung natürlich wichtig, weil der WSH die Meldung genau so anzeigt, wie Sie sie eingegeben haben.

19.2.2

Versionsnummern ermitteln

Das zweite Skript dient dazu, die Versionsnummer des installierten WSH Ihr zweites Skript und der installierten Sprachversion von Visual Basic Script zu ermitteln. WScript.Echo _ "Dies ist der " & WScript.Name & _ " Version " & WScript.Version

Listing 19.1 Ermittlung der Versionsnummern

WScript.Echo _ "Dies ist die Sprache " & ScriptEngine & _ " Version " & _ ScriptEngineMajorVersion & "." & _ ScriptEngineMinorVersion & "." & _ ScriptEngineBuildVersion

823

Kapitel 19 Windows Script Host (WSH) Kaufmännisches Und (&)

Geben Sie dieses Skript genau so ein wie das erste. In dem Skript kommen neben dem WScript.Echo-Befehl auch verschiedene andere Befehle vor, die Informationen über die Versionsnummer liefern. Das kaufmännische Und (&) verknüpft dabei die Ausgabetexte mit diesen Befehlen und erzeugt eine gemeinsame Ausgabezeichenkette.

Unterstriche

Achten Sie aber auf die Unterstriche (_) am Zeilenende: Diese sind notwendig, um den Zusammenhalt der Zeile zu definieren. Das Skript besteht eigentlich nur aus zwei Befehlen, und jeder Befehl muss in genau einer Zeile stehen. Mit dem Unterstrich kann man eine Zeile jedoch aufspalten, und dies ist hier sinnvoll, weil man in einem Buch nicht so viel in eine Zeile bekommt wie im Notepad auf dem Bildschirm. Ohne die Unterstriche machen Einsteiger an dieser Stelle oft den Fehler, dass sie etwas im Editor in zwei Zeilen tippen, weil es im Buch aus satztechnischen Gründen in zwei Zeilen steht. Um dieses Problem zu vermeiden, sind die Zeilen hier durch die Unterstriche aufgetrennt.

Start

Starten Sie das Skript von der Windows 7-Konsole mit vorangestelltem „cscript“. Dies sorgt dafür, dass die Ausgaben nicht im Dialogfenster, sondern auch im Konsolenfenster erscheinen.

Abbildung 19.2 Ausgabe des Versionsnummernskripts

19.3 WSCRIPT vs. CSCRIPT Der WSH ist genau genommen nicht nur ein Scripting Host, sondern er umfasst zwei eng verwandte Scripting Hosts: WScript und CScript. Beide Scripting Hosts sind hinsichtlich ihres Befehlsumfangs fast identisch. Sie unterscheiden sich lediglich darin, wohin die Ausgaben gehen: WSH für Windows

왘 Bei WScript (WScript.exe) erfolgt die Ausführung als Windows-Anwen-

WSH für DOS

왘 Bei CScript (implementiert in CScript.exe) erfolgt die Ausführung des

dung. Alle Ausgaben werden in Form von einzelnen Dialogfenstern dargestellt. Wenn das Skript viele Ausgaben macht, kann dies sehr lästig sein, da jedes Dialogfenster einzeln bestätigt werden muss. Zudem ist jedes Dialogfenster modal: Das Skript hält an und wartet auf die Bestätigung. WScript eignet sich also für die unbeaufsichtigte Ausführung nur dann, wenn das Skript keine Ausgaben macht. Gut geeignet ist WScript jedoch, wenn der Benutzer über jeden einzelnen Schritt informiert werden und dabei die jeweils erfolgten Veränderungen überprüfen möchte (beispielsweise beim Debugging, also bei der Fehlersuche). Skripts im Kontext eines Kommandozeilenfensters. Die Form der Ausgabe hängt von den verwendeten Ausgabebefehlen ab: Alle Ausgaben

824

WSCRIPT vs. CSCRIPT

über die Methode WScript.Echo erfolgen in das Kommandozeilenfenster. Alle Ausgaben über die spracheigenen Ausgabemethoden (z.B. MsgBox() in VBScript) werden weiterhin als modale Dialogboxen dargestellt. Ein Vorteil von CScript ist, dass es mit der Methode WScript. StdIn.ReadLine das Einlesen von Eingaben des Benutzers im Kommandozeilenfenster unterstützt. Ausgaben können mit dem Umleitungsbefehl ((>)) in eine Textdatei oder an einen Drucker umgeleitet werden. Wenn Sie nicht vorher Veränderungen an Ihrem System vorgenommen haben, dann wurde das erste Beispiel mit WScript gestartet; denn WScript ist auf einem „normalen“ Windows die Standardeinstellung. Um das Skript mit CScript zu starten, gehen Sie wie folgt vor: Skriptstart 왘 Öffnen Sie die DOS-Eingabeaufforderung. 왘 Tippen Sie „cscript“ ein. Bitte beachten Sie das Leerzeichen (Leertaste) nach dem Befehl! 왘 Geben Sie dahinter den Pfad zu Ihrem Skript ein, z.B. „c:\Dokumente und Einstellungen\hs.E60\Desktop\ErstesScript.vbs“. Wenn der Pfad Leerzeichen enthält, müssen Sie den Pfad in Anführungszeichen (") setzen. 왘 Als Gesamtbefehl erhalten Sie dann: cscript "c:\Dokumente und Einstellungen\hs.E60\Desktop\ ErstesScript.vbs" 왘 Führen Sie den Befehl durch Drücken der Eingabetaste (¢) aus.

Sie werden feststellen, dass die Ausgabe nun in das Kommandozeilenfenster geht. Abbildung 19.3 Ausführung des ersten Skripts mit CScript im Kommandozeilenfenster

Wenn Sie Gefallen daran gefunden haben, dass Ihre Skripte im Kommandozeilenfenster ausgeführt werden, dann ist Ihnen vielleicht auch das Eintippen von „CScript“ mit der Zeit lästig, und Sie möchten CScript zu Ihrem Standard-Scripting-Host machen. Das ist möglich, indem an der Kommandozeile einmalig folgender Befehl eingegeben wird: cscript //H:cscript (¢)

Danach werden alle Skripte automatisch mit CScript gestartet. Wenn Sie Standardeine Skriptdatei per Doppelklick im Windows Explorer starten, werden Script-Host Sie sehen, dass sich ein Kommandozeilenfenster öffnet. Dieses Kommandozeilenfenster schließt sich aber auch sofort nach Skriptende wieder. Wenn man die Ausgaben betrachten will, muss man:

825

19

Kapitel 19 Windows Script Host (WSH) 왘 entweder vorher selbst eine DOS-Eingabeaufforderung öffnen und

dort das Skript starten (hier brauchen Sie dann kein einleitendes „ cscript“ mehr, es reicht der Pfad zum Skript), 왘 oder Sie stellen den Befehl MsgBox("Ende") an das Ende des Skripts. Dann bekommen Sie nach Ablauf des Skripts auf jeden Fall eine Dialogbox. Das Kommandozeilenfenster ist dann so lange sichtbar, bis Sie das Dialogfenster bestätigt haben. Die Einstellung von CScript als Standard-Scripting-Host kann man auch rückgängig machen: cscript //H:wscript (¢)

19.4 Skriptsprache Visual Basic Script (VBScript) In diesem Kapitel erhalten Sie einen Schnellkurs in VBScript.

19.4.1 Sprachsyntax

Grundregeln

Als Erstes einige einfache Regeln für die formale Struktur (Syntax) von VBScript: 왘 Grundsätzlich enthält jede Zeile genau einen Befehl. 왘 Es ist möglich, mehrere Befehle getrennt durch einen Doppelpunkt in eine Zeile zu schreiben. Auf diese Möglichkeit sollten Sie aber aus Gründen der Übersichtlichkeit verzichten. 왘 Wenn Befehle sich über mehr als eine Zeile erstrecken sollen, müssen alle Zeilen mit nicht abgeschlossenen Befehlen mit einem Unterstrich „ _“ enden. 왘 Leerzeilen, Leerzeichen und Tabulatoren sind in beliebiger Häufung erlaubt, um den Skriptcode übersichtlicher zu machen. 왘 VBScript ist nicht case-sensitive: Die Groß- und Kleinschreibung der Schlüsselwörter ist also ebenso ohne Bedeutung wie die Schreibweise Ihrer selbst gewählten Bezeichner für Variablen, Unterroutinen etc. Visual Basic Script ist eine Interpreter-Sprache, dennoch meldet sie manchmal einen „Kompilierungsfehler“. Dieser Begriff ist nicht korrekt, es sollte besser „Skript-Strukturfehler“ heißen. Das bedeutet, dass Ihr Skript nicht korrekt aufgebaut ist und daher gar nicht erst gestartet werden kann.

19.4.2 MsgBox und WScript.Echo

826

Ausgaben

Innerhalb von VBS-Skripten im WSH stehen folgende Ausgabeoptionen zur Verfügung: 왘 Msgbox() erzeugt immer ein Dialogfenster. 왘 WScript.Echo() erzeugt abhängig von der verwendeten WSH-Variante ein Dialogfenster oder eine Ausgabe in das Kommandozeilenfenster.

Skriptsprache Visual Basic Script (VBScript)

19.4.3

Variablen und Konstanten

VBS kennt keine expliziten Datentypen; alle Variablen und Konstanten Option Explicit besitzen automatisch den generischen Typ Variant, der alle Arten von Daten aufnehmen kann. Variablen müssen vor ihrer ersten Verwendung nur dann deklariert werden, wenn das Skript mit dem Befehl Option Explicit beginnt. Um Fehler in Variablennamen zu erkennen, ist die Verwendung von Option Explicit aber sinnvoll. Option Explicit Dim Computerliste ' Liste der Computer Dim Computername' aktueller Computer Dim a ' Zähler a = 0' Wertzuweisung

19.4.4

Operationen

VBS unterstützt alle mathematischen Operationen (+, -, *, / etc.) sowie die Zeichenkettenverknüpfung mit dem kaufmännischen Und (&). a = a +1

19.4.5

Bedingte Ausführung

Für die bedingte Ausführung ist das wichtigste Konstrukt If...Then... If...Then...Else... Else...End If.

End If

If Error = 0 Then WScript.Echo "Die Installation war erfolgreich." Else WScript.Echo "Bei der Installation ist " &_ "folgender Fehler aufgetreten: " & Error End If

19.4.6

19

Schleifen

VBS besitzt verschiedene Schleifenkonstrukte: 1. Schleife mit Zähler For a = 1 To 10 WScript.echo a Next

2. Schleife über alle Elemente einer Liste Dim Buecherliste, buch Buecherliste = Array("Windows- und BackOffice-Scripting", "Windows Scripting 2. Auflage", "Windows Scripting 3. Auflage", "COMKomponenten-Handbuch", "Programmierung mit der .NET Klassenbibliothek", "Webforms", ".NET 2.0 Crashkurs") For Each Buch In Buecherliste WScript.Echo buch Next

827


3. Schleife mit Bedingung am Schleifenbeginn a = 0 Do While a < 10 WScript.echo a a = a +1 Loop

4. Schleife mit Bedingung am Schleifenende a = 0 Do WScript.echo a a = a +1 Loop While a < 10

19.4.7 Sub und Function

Unterroutinen

Um die Übersichtlichkeit eines Skripts zu verbessern und Wiederholungen von Programmcode an mehreren Stellen im Skript zu vermeiden, besteht die Möglichkeit, wiederkehrende Programmzeilen in Unterroutinen zu kapseln und anstelle der wiederkehrenden Befehle nur noch diese Unterroutinen aufzurufen. VBS unterscheidet zwischen Unterroutinen mit Rückgabewerten (Function) und ohne (Sub). Zu beachten ist, dass beim Aufruf einer Function runde Klammern um die Parameter gesetzt werden müssen, während beim Aufruf einer Sub diese Klammern nicht erlaubt sind. ' === Aufruf einer Unterroutine ohne Rückgabewert Unterroutine1 "Holger Schwichtenberg" ' === Aufruf einer Unterroutine mit Rückgabewert WScript.Echo Unterroutine2("Holger Schwichtenberg") ' === Unterroutine ohne Rückgabewert Sub Unterroutine1(parameter) WScript.echo "Name = " & parameter End Sub ' === Unterroutine mit Rückgabewert Function Unterroutine2(parameter) Unterroutine2 = "Name = " & parameter End Function

Eingebaute Funktionen VBS besitzt zahlreiche eingebaute Funktionen, z.B.: 왘 Ermittlung des aktuellen Datums: Date() 왘 Ermittlung der aktuellen Zeit: Time() 왘 Erzeugen einer Zufallszahl: Rnd() 왘 Ersetzen von Zeichen in einer Zeichenkette: Replace()

828

Skriptsprache Visual Basic Script (VBScript)

19.4.8

Objekte

Der WSH und auch VBS sind objektbasiert. Objekte sind Programmierspra- CreateObject chenkonstrukte, die Daten enthalten und Operationen auf diesen Daten bereitstellen. Die Daten werden Attribute genannt, die Operationen Methoden. Methoden werden üblicherweise durch ein Klammernpaar () von Attributen abgegrenzt. Die objektorientierte Verarbeitung beginnt mit der Erzeugung des Objekts. Die folgende Skriptzeile generiert ein Objekt, welches das Dateisystem repräsentiert. Das Objekt wird in der Variablen FSO gespeichert. Set Dateisystem = CreateObject("Scripting.FileSystemObject")

Objekte können dazu verwendet werden, andere Objekte zu erzeugen. In diesem Fall liefert die Methode GetFile() ein anderes Objekt vom Typ File: Set Datei = Dateisystem.GetFile("d:\daten\buch.doc")

Objekte können Daten liefern, z.B. die Dateigröße (Size). WScript.Echo "Größe der Datei: " & Datei.Size & " Bytes."

Zwischen dem Variablennamen und dem Attribut bzw. der Methode ist immer ein Punkt zu verwenden. Bei der Zuweisung von Objekten an Variablen ist das Schlüsselwort Set voranzustellen. Einige Objekte müssen mit GetObject() statt CreateObject() erzeugt werden. Ein Beispiel dafür ist der Zugriff auf einen Benutzer: Set Benutzer = GetObject("WinNT://E60/HolgerSchwichtenberg")

19

Eigentlich soll der Unterschied zwischen GetObject() und CreateObject() sein, dass der erste Fall für Objekte verwendet wird, die bereits vorhanden sind. Wenn man sich länger mit dem WSH bzw. dem zugrunde liegenden Component Object Model (COM) beschäftigt, so erkennt man schnell, dass Microsoft diese beiden Befehle extrem inkonsistent verwendet. Welcher Befehl im Einzelfall der richtige ist, ist leider eine Frage des Wissens und nicht des logischen Ableitens.

19.4.9

Softwarekomponenten

Klassen sind Vorlagen für Objekte. Sie werden benötigt, um Objekte zu Klassen und erzeugen. Klassen sind in Softwarekomponenten implementiert, die in Komponenten Form von DLLs Teil des Betriebssystems sind oder zusätzlich installiert werden müssen. Softwarekomponenten, die zum Scripting eingesetzt werden, nennt man auch Scripting-Komponenten oder WSH-Komponenten. Alle in diesem Buch verwendeten Scripting-Komponenten, namentlich: 왘 Scripting Runtime (ScrRun) 왘 Active Directory Service Interface (ADSI) und 왘 Windows Management Instrumentation (WMI) sind automatisch in Windows 7 installiert.

829


19.5 WSH-Sicherheit ScriptingSicherheit

Eine häufig gestellte Frage ist, welche Aktionen man per Skript ausführen kann. Grundsätzlich gilt: Die Windows-Sicherheit wirkt natürlich auch für Skripte, d.h., ein Benutzer kann per Skript nur die Aktionen ausführen, die er mittels eines geeigneten Werkzeuges auch von der grafischen Benutzerschnittstelle ausführen könnte. In den folgenden Beispielen finden Sie sowohl Aktionen, die unter normalen Rechteeinstellungen jeder Benutzer ausführen kann (z.B. Dateien beschreiben, Inhalte eines Ordners auflisten), als auch Aktionen, die Administratoren vorbehalten sind (Benutzer anlegen, Registry ändern). Wenn Skripte nicht funktionieren, sollten Sie zunächst prüfen, ob Sie Sicherheitsbeschränkungen (z.B. durch System- oder Gruppenrichtlinien) unterliegen, die diese Aktion verbieten.

19.6 WSH und Benutzerkontensteuerung Keine UAC-Unterstützung für WSH

Leider hat Microsoft schon bei der Entwicklung von Vista nicht mehr richtig über den WSH nachgedacht und diesen nicht so verändert, dass er reibungslos mit der Benutzerkontensteuerung (User Account Control, UAC) zusammenarbeitet, also den Consent Prompt oder Credential Prompt präsentiert. Dies bedeutet, dass viele administrative Skripte, die höhere Rechte erfordern (z.B. Starten und Stoppen von Diensten, Benutzerverwaltung), nicht mehr funktionieren können. Viele administrative Skripte brechen daher auch bei Ausführung vom Desktop des Administrators – ohne Nachfrage – mit einer „ Zugriff verweigert“-Fehlermeldung ab.

Abbildung 19.4 Der Administrator kann wegen UAC keinen Benutzer mehr per Skript anlegen.

Ein Administrator wird also bei vielen Skripten in Windows 7 mit den bisherigen Strategien für einen Skriptstart (Doppelklick oder Ausführen im Kommandozeilenfenster) scheitern. Das Skript wird mit der Meldung, dass die Rechte nicht ausreichen, abbrechen. Ein WSH-Skript fragt bei Anwendern nicht nach höheren Rechten, weil eine Unterstützung für UAC in den WSH leider nicht eingebaut wurde.

830

WSH und Benutzerkontensteuerung

Normale Windows-Anwendungen besitzen im Kontextmenü auch einen Befehl Als Administrator ausführen, mit dem man – nach Bestätigung des entsprechenden UAC-Dialogs – die höheren (normalen) Rechte erzwingen kann. Leider sucht man im Kontextmenü eines Skriptsymbols den Befehl Als Administrator ausführen vergeblich. Microsoft hat auch diese Funktion für WSH-Skripte nicht vorgesehen. Abbildung 19.5 Kompilierte Windows-Anwendungen haben im Kontextmenü einen Eintrag „Als Administrator ausführen“ – Skripte leider nicht.

Lösungen des Problems Ein Administrator hat fünf Möglichkeiten, ein Skript dennoch mit vollen Lösungsmöglichkeiten Rechten zu starten: 1. Start eines Konsolenfensters mit Administratorrechten und Start des Skripts aus dem Konsolenfenster heraus (Details siehe unten). 2. Start des Skripts mit dem Kommandozeilenwerkzeug zur Rechteerhöhung, das es auch schon in Windows 2000/XP und 2003 gab: runas.exe. Der Nachteil dieser Methode ist, dass der Administrator dann bei jedem Skriptstart sein Kennwort neu eingeben muss. 3. Erstellen einer Verknüpfung zu einem Skript, wobei in der Verknüpfung dem Skript explizit cscript.exe oder wscript.exe voranzustellen ist (Details siehe unten). 4. Deaktivierung der UAC-/UAP-Funktion für alle Skripte durch eine Anwendungskompatibilitätskonfiguration mit dem Application Compatibility Toolkit. Da man aber dort die Einstellung nur für cscript.exe und wscript.exe, nicht aber für einzelne Skripte vornehmen kann, ist dies keine befriedigende Lösung. 5. Generelle Deaktivierung der UAC-/UAP-Funktion für Administratoren durch Änderung der Systemrichtlinie (Details siehe unten). Diese Lösung ist nicht zu empfehlen, weil damit viel von der erhöhten Sicherheit von Windows Windows 7 außer Kraft gesetzt wird. Dies wird im Kapitel 13, „Sicherheit“, besprochen.

Start aus dem Admin-Konsolenfenster heraus Ein Konsolenfenster kann direkt mit erhöhten Rechten gestartet werden. Diese Funktion ist im Kontextmenü des Symbols für die Eingabeaufforderung (sowohl auf dem Desktop als auch im Startmenü oder in einem Windows Explorer-Fenster) verfügbar (Als Administrator ausführen).

831

19


Ein Konsolenfenster, das unter Administratorrechten läuft, zeigt im Gegensatz zu einem normalen Konsolenfenster auch das Wort „Administrator“ im Fenstertitel. Abbildung 19.6 Das Konsolenfenster mit dem Zusatz „Administrator“ im Titel ermöglicht den Start von WSHSkripten unter vollen Rechten.

Anlegen einer Verknüpfung zu wscript.exe oder cscript.exe Verknüpfung

Abbildung 19.7 Man erstellt eine Verknüpfung zu dem Skript und nennt dabei explizit wscript.exe oder cscript.exe.

832

Das Anlegen einer Verknüpfung ist ein Trick, um Windows 7 vorzugaukeln, dass es sich um eine normale Windows-Anwendung handelt. Dadurch kann man zwar immer noch kein Skript per Doppelklick starten, zumindest aber erscheint Als Administrator ausführen im Kontextmenü.

Scripting mit entfernten Systemen Abbildung 19.8 Dann erscheint im Kontextmenü „Als Administrator ausführen“.

Abbildung 19.9 Und Windows 7 stellt nach Bestätigung des „Consent UI“ die normalen Rechte für diesen Prozess her.

19

19.7 Scripting mit entfernten Systemen Scripting mit entfernten Systemen kann man auf mehrere Weisen betrachten: 왘 Ein Skript kann man von einem Netzlaufwerk starten. Hier sind Besonderheiten bei Windows 7 zu beachten. 왘 Ein Skript kann eine Aktion (z.B. Benutzer anlegen) auf einem entfernten System ausführen. 왘 Man kann ein Skript auf einem entfernten System starten. Dies ist ein fortgeschrittenes Thema, das nicht in diesem Buch beschrieben wird. Bitte lesen Sie dazu [SCH09].

19.7.1

Ein Skript kann man von einem Netzlaufwerk starten

Windows 7 warnt beim Starten und Bearbeiten von Skripten (bei WSHSkripten ebenso wie bei Skripten in HTML-Anwendungen) von einem Netzlaufwerk und fordert zur expliziten Bestätigung des Skriptstarts auf.

833


Die Warnung erscheint sowohl beim Start an der Windows-Oberfläche als auch beim Start von der Kommandozeile; sie erscheint jedoch nicht bei Skripten, die im lokalen Dateisystem liegen. Abbildung 19.10 Warnung beim Start von Skripten in Windows 7 bei eingeschalteter Benutzerkontensteuerung

Windows 7 warnt auch, wenn das Skript von einem vertrauenswürdigen Autor digital signiert wurde. Der Herausgeber wird leider immer als „ unbekannt“ angezeigt.

19.7.2

Eine Aktion auf einem entfernten System ausführen

Viele Scripting-Klassen unterstützen den entfernten Zugriff auf andere Systeme. In diesem Fall wird vorausgesetzt, dass der Benutzer, der das Skript aufruft, auch die notwendigen Rechte auf dem entfernten System besitzt. In vielen Fällen ist es ebenfalls möglich, entfernte Systeme unter einem anderen Benutzerkonto anzusprechen. Die dazu notwendigen Erläuterungen würden jedoch den Rahmen dieses Buches sprengen. Sie finden diese in [Sch04].

19.8 WSH-Werkzeuge Skript-Editoren

Die Effizienz und der Spaß bei der Entwicklung von Skripten hängen wesentlich davon ab, wie einfach und komfortabel die Erfassung der Skripte und die Fehlersuche in den Skripten sind. Grundsätzlich können WSHSkripte mit jedem beliebigen Texteditor entwickelt werden – auch mit dem in Windows 7 integrierten einfachen Texteditor Notepad. Microsoft stellt leider keinen Texteditor mit speziellen Fähigkeiten für WSH-Skripte bereit. Solche Editoren werden jedoch von Drittanbietern hergestellt. Sie bieten z.B. die farbliche Hervorhebung von Schlüsselwörtern (Syntax Coloring), Eingabehilfen (IntelliSense) und Assistenten zur Skripterstellung.

834

WSH-Werkzeuge

Derzeit werden auf dem Markt die Produkte PrimalScript, SystemScripter, OnScript Editor, Admin Script Editor und VBSEdit/JSEdit angeboten. Einen detaillierten Vergleich dieser Produkte finden Sie unter [ITV01]. PrimalScript Hersteller:

Sapien (USA)

Preis:

Ab 179 US-Dollar

URL:

http://www.sapien.com/

Auf der CD-ROM enthalten:

Ja, Testversion

OnScript Hersteller:

XLNow (Schweiz)

Preis:

Ab 60 Euro

URL:

http://www.onscript.com/


Ja, Testversion

SystemScripter Hersteller:

Dr. Tobias Weltner (Deutschland)

Preis:

Ab 49 Euro

URL:

http://www.scriptinternals.de


Ja, Testversion

19

Admin Script Editor Hersteller:

iTripoli (USA)

Preis:

99 US-Dollar

URL:

http://www.adminscripteditor.com/


Ja, Testversion

VBSEdit/JSEdit Hersteller:

Adersoft (USA)

Preis:

30 US-Dollar

URL:

http://www.adersoft.com/


Ja, Testversion

Zur Fehlersuche in WSH-Skripten kann der Microsoft Script Debugger eingesetzt werden [CD:/Kap18/WSH-Werkzeuge].

835


19.9 Scripting des Dateisystems Scripting-Runtime-Komponente

Die Funktionen zum Dateisystemzugriff stecken in der Scripting-RuntimeKomponente (kurz: ScrRun), die in der scrrun.dll implementiert ist. Die Scripting-Runtime-Komponente bietet folgende Dateisystemaktionen: 왘 Direkter Zugriff auf einzelne Laufwerke, Ordner und Dateien 왘 Iteration über Laufwerke und Ordner 왘 Zusammensetzung und Aufspaltung von Pfadangaben 왘 Anlegen, Verschieben, Kopieren und Löschen von Ordnern 왘 Verschieben, Kopieren und Löschen von Dateien jeden Typs 왘 Anlegen, Lesen und Beschreiben von Textdateien 왘 Lesen und Verändern von Laufwerks-, Ordner- und Dateieigenschaften 왘 Direkter Zugriff auf Sonderordner 왘 Zugriff auf die Standardein- bzw. -ausgabe 왘 Ändern von Dateiattributen 왘 Zugriff auf Dateilänge und Daten 왘 Versionsinformationen von DLLs Folgende Funktionen, die im Zusammenhang mit dem Dateisystem anfallen, deckt die Komponente jedoch nicht ab: 왘 Anlegen, Lesen und Beschreiben von binären Dateien 왘 Suchfunktion über das Dateisystem 왘 Zugriff auf den Sperrstatus einer Datei 왘 Zugriff auf Sicherheitsinformationen 왘 Zugriff auf Verzeichnisfreigaben 왘 Zugriff auf erweiterte Dateiattribute (z.B. Autorenname bei Word-Dokumenten) 왘 Zugriff auf die Kontextmenüeinträge einer Datei 왘 Überwachung von Dateisystemänderungen (neue Datei, Dateiänderung etc.)

19.9.1 FileSystemObject

Zugriff auf Ordner und Dateien

Die Scripting-Runtime-Komponente bietet mit FileSystemObject eine sehr mächtige zentrale Klasse, von der alle Aktivitäten auf dem Dateisystem ausgehen (siehe folgende Abbildung). Am Anfang eines jeden DateisystemSkripts steht die Instanziierung dieser Klasse. Set FSO = CreateObject("Scripting.FileSystemObject")

Aus dieser Klasse heraus können dann Objekte des Typs File (Datei) oder Folder (Verzeichnis) erzeugt werden. Es gibt verschiedene Möglichkeiten, an ein File-Objekt und damit an eine bestimmte Datei heranzukommen. Die gebräuchlichsten sind die GetFile()-Methode in der FileSystemObjectKlasse, an die der Pfad der gewünschten Datei übergeben werden muss, sowie die Files-Objektmenge eines Folder-Objekts. Analog zu GetFile() gibt es auch GetFolder().

836

Scripting des Dateisystems Abbildung 19.11 Die Objekthierarchie in der Scripting-RuntimeKomponente

19.9.2

Auflisten von Dateien

Eine der häufigsten Aufgaben beim Umgang mit Dateien ist sicherlich Folder das Auflisten der Dateien in einem Ordner im Dateisystem. Das erste Skript listet alle Unterordner und Dateien des Verzeichnisses c:\Daten auf. Nach den Variablendeklarationen wird ein FileSystemObject-Objekt erstellt und die Referenz in der Variablen FSO gespeichert. Mit der Methode FolderExists() wird zunächst geprüft, ob das aufzulistende Verzeichnis überhaupt existiert. Nun wird durch die GetFolder()Methode des FileSystemObject eine Referenz auf das Verzeichnis in Form eines Folder-Objekts in der Variablen Verzeichnis gespeichert. Die erste For Each-Schleife durchläuft die SubFolders-Objektmenge des Folder-Objekts. Die Menge enthält einzelne Folder-Objekte für jeden einzelnen Unterordner. Die nachfolgende For Each-Schleife durchläuft die Files-Objektmenge des Folder-Objekts und gibt die Namen der Dateien aus. Die FilesObjektmenge enthält für jede einzelne im Ordner vorhandene Datei einzelne File-Objekte. Dabei wird durch die Echo()-Methode des WScriptObjekts das Attribut Name jedes einzelnen File-Objekts bzw. Folder-Objekts ausgegeben. Option Explicit ' Deklaration der Variablen Dim FSO, Verzeichnis, UnterVerzeichnis, Datei ' Konstanten definieren Const VerzeichnisName="c:\daten" 'Objekt erzeugen Set FSO = CreateObject("Scripting.FileSystemObject") ' Wenn das Verzeichnis existiert if FSO.FolderExists(VerzeichnisName) then Set Verzeichnis = FSO.GetFolder(VerzeichnisName) WScript.Echo "Inhalt von " & Verzeichnis 'Alle Unterverzeichnisse auflisten for each UnterVerzeichnis in Verzeichnis.subfolders Wscript.echo UnterVerzeichnis.Name next

19

Listing 19.2 Auflisten der Dateien in einem Verzeichnis [Verzeichnisinhalt.vbs]

837

Kapitel 19 Windows Script Host (WSH) 'Alle Dateien auflisten 'Über alle Dateien im Verzeichnis iterieren For Each Datei In Verzeichnis.Files WScript.Echo Datei.Name Next else WScript.Echo "Fehler: Das Verzeichnis " & VerzeichnisName & " existiert nicht!" end if

19.9.3 File

Tabelle 19.1 Dateieigenschaften

Dateieigenschaften bestimmen und verändern

Jedes File-Objekt verfügt über Eigenschaften in Datumsform (DateCreated, DateLastAccessed, DateLastModified) sowie in Ja-/Nein-Form (engl. Flags, siehe folgende Tabelle); manche werden durch das Betriebssystem vergeben, andere durch den Anwender. Attributwert

Beschreibung

1

schreibgeschützt

2

versteckt

4

System

8

Laufwerk

32

Archiv

64

Verknüpfung

128

komprimiert

Das nächste Skript überprüft nach der Variablendeklaration und Erstellung der FileSystemObject-Referenz, ob der in der Konstante Dateiname definierte Dateiname existiert (FileExists()-Methode). Ist dies der Fall, wird durch die GetFile()-Methode in der Variablen Datei eine Referenz auf die Datei gespeichert. Durch die Echo()-Methode des WScript-Objekts erfolgt die Ausgabe der Attribute des File-Objekts. In diesem Fall sind das die Attribute Size, das die Dateigröße ermittelt, sowie DateCreated, DateLastAccessed und DateLastModified für die Datumsinformationen des File-Objekts. Attributes

838

Außerdem wird die Attributes-Eigenschaft ausgegeben, die mehrere Ja-/ Nein-Eigenschaften der Datei enthält. Das Attribut Attributes beinhaltet eine Zahl, welche die Summe der gesetzten Dateieigenschaften enthält. Beispielsweise besitzt eine Datei, die schreibgeschützt, versteckt und komprimiert ist, in Attributes den Wert 131 (1+2+128). Um die eigentlichen Attribute zu ermitteln, wird der numerische Attributwert mit dem logischen Und-Operator (and) in die einzelnen Werte zerlegt. Für jeden gefundenen Wert wird eine passende Zeichenkette in der Variablen Ausgabe abgelegt. Am Schluss des Skripts werden störende Leerzeichen durch die Trim()-Funktion entfernt und die Attributwerte ausgegeben.

Scripting des Dateisystems Option Explicit ' Deklaration der Variablen Dim FSO, Datei, Ausgabe ' Konstanten definieren Const Dateiname="D:\test\Brief.txt" 'Objekt erzeugen Set FSO = CreateObject("Scripting.FileSystemObject") ' Gibt es die Datei? if FSO.FileExists(Dateiname) then Set Datei = FSO.GetFile(Dateiname) WScript.Echo "Größe der Datei: " & Datei.Size & " Bytes." WScript.Echo "Typ der Datei: " & Datei.Type WScript.Echo "Attribute der Datei: " & Datei.Attributes WScript.Echo "Erstellt am " & Datei.DateCreated WScript.Echo "Geändert am " & Datei.DateLastAccessed WScript.Echo "Letzter Zugriff " & Datei.DateLastModified ' Dateiattribute ermitteln If Datei.attributes and 0 Then Ausgabe = Ausgabe & "Normal " If Datei.attributes and 1 Then Ausgabe = Ausgabe & "Nur-Lesen " If Datei.attributes and 2 Then Ausgabe = Ausgabe & "Versteckt " If Datei.attributes and 4 Then Ausgabe = Ausgabe & "System " If Datei.attributes and 32 Then Ausgabe = Ausgabe & "Archiv " If Datei.attributes and 64 Then Ausgabe = Ausgabe & "Link " If Datei.attributes and 128 Then Ausgabe = Ausgabe & "Komprimiert " else WScript.Echo "Datei " & Dateiname & " wurde nicht gefunden!" end if WScript.Echo "Die Datei " & Dateiname & _ " besitzt die Attribute [" & Trim(Ausgabe) & "]"

Listing 19.3 Ausgabe von Dateiattributen [DateiAttribute.vbs]

Die Änderung von in Flags gespeicherten Dateieigenschaften geschieht Attribute ändern auf zwei Wegen durch Veränderung von Attributes: Das Entfernen von Flags erfolgt durch die logische Verknüpfung des aktuellen Attributwerts mit dem zu invertierenden Attributwert (NOT x) durch den and-Operator, während das Setzen von Attributen durch die logische Verknüpfung über den or-Operator erfolgt. Datei.Attributes = Datei.Attributes and not 1 ' Schreibschutz-Flag entfernen Datei.Attributes = Datei.Attributes and not 32 ' Archiv-Flag entfernen Datei.Attributes = Datei.Attributes or 1 ' Schreibschutz setzen Datei.Attributes = Datei.Attributes or 32' Archiv-Flag setzen

19.9.4

Namen ändern

Man kann auch schreibend auf die Dateieigenschaften zugreifen, wie fol- Umbenennen gendes Beispiel zum Umbenennen einer Datei zeigt. Die Benennung einer Datei ist leicht möglich, indem man dem Attribut Name einen Wert zuweist. Wichtig ist, dass dabei als neuer Name nur der Dateiname, nicht der komplette Pfad anzugeben ist.

839

19

Kapitel 19 Windows Script Host (WSH) Listing 19.4 Umbenennen einer Datei [DateiUmbenennen.vbs]

Option Explicit ' Deklaration der Variablen Dim Dateisystem, Datei ' Konstanten definieren Const DateiPfadAlt="c:\alt.xml" Const DateiNameNeu="neu.xml" 'FSO-Objekt erzeugen Set DateiSystem = CreateObject("Scripting.FileSystemObject") 'File-Objekt gewinnen Set Datei = Dateisystem.GetFile(DateiPfadAlt) 'Neuen Namen setzen Datei.Name = DateiNameNeu 'Erfolgsmeldung ausgeben MsgBox "Datei wurde umbenannt!"

19.9.5


Die Klasse Scripting.FileSystemObject bietet Methoden für alle wichtigen Dateisystemoperationen (Anlegen, Löschen, Kopieren und Verschieben), sodass diese Klasse auch hier zu Beginn des Skripts zu instanziieren ist. Anlegen

Listing 19.5 Verzeichnis anlegen

Das Anlegen eines Verzeichnisses erledigt die Methode CreateFolder(), die genau einen Parameter erwartet: den Pfad. Der Backslash am Ende ist optional; es wird immer ein Verzeichnis angelegt (für Dateien gibt es eine andere Methode). ' --- FSO erzeugen Dim fso ' für Scripting.FileSystemObject Set fso = CreateObject("Scripting.FileSystemObject") wscript.Echo "Ordner anlegen" fso.CreateFolder "d:\Daten\"

Zu beachten ist, dass jeweils nur eine Ordnerebene angelegt werden darf. Die Pfadangabe d:\Daten\WindowsXP Buch\ ist also ungültig, wenn d:\Daten\ noch nicht existiert. Diese Aktion muss dann auf zwei Methodenaufrufe aufgeteilt werden. Listing 19.6 Verzeichnis anlegen [OrdnerOperationen.vbs]

wscript.Echo "Ordner anlegen" fso.CreateFolder "d:\Daten\" wscript.Echo "Unterordner anlegen" fso.CreateFolder "d:\Daten\WindowsXP Buch"

Das Skript bricht sofort mit einem Fehler ab, wenn der anzulegende Ordner bereits existiert. Daher sollte man die Existenz des Ordners immer vorher abfragen. if fso.FolderExists("D:\Daten") then fso.DeleteFolder "D:\Daten" Löschen

840

Beim Löschen eines Ordners ist ebenfalls zu beachten, dass es sofort eine Fehlermeldung gibt, wenn der zu löschende Ordner nicht vorhanden ist. FSO.DeleteFolder() bietet neben dem Pfad einen optionalen zweiten Parameter: Mit true erzwingt man das Löschen des Ordners, auch wenn dieser schreibgeschützt ist. Der Parameter true hilft allerdings nicht, wenn der Ordner in Benutzung ist.

Scripting des Dateisystems if fso.FolderExists(pfad) Then fso.DeleteFolder pfad, true WScript.Echo "Ordner gelöscht: " & pfad

Listing 19.7 Verzeichnis löschen [OrdnerOperationen .vbs]

Weitere mögliche Operationen sind das Kopieren von Ordnern (FSO. Kopieren und Copy-Folder()) und das Verschieben (FSO.MoveFolder()). In beiden Fällen wer- Löschen den jeweils zwei Parameter erwartet: Quell- und Zielpfad. Bei CopyFolder() kann mit true als drittem Parameter die Dateisystemkomponente angewiesen werden, einen vorhandenen Zielordner zu überschreiben. Bei MoveFolder() ist dies nicht vorgesehen: Existiert das Ziel, gibt es immer einen Fehler. wscript.echo "Kopiere Verzeichnis..." fso.CopyFolder "D:\Daten", "D:\Daten_Backup" wscript.Echo "Ordner verschieben" fso.MoveFolder "D:\Daten\WindowsXP Buch", "D:\Daten_archiv\"

Für Dateien gibt es äquivalente Methoden: MoveFolder(), CopyFolder() und DeleteFolder(). Außerdem gibt es einen Satz von Methoden, der sowohl auf Dateien als auch auf Ordnern arbeitet: Move(), Copy() und Delete().

19.9.6

Listing 19.8 Verzeichnis kopieren und bewegen [OrdnerOperationen .vbs]

Textdateien lesen

Die Scripting-Runtime-Komponente erlaubt auch die Arbeit mit Text- TextStream dateien (nicht aber mit Binärdateien). Zum Lesen von Textdateien bietet die Klasse Scripting.FileSystemObject die Methode OpenTextFile() an, die ein TextStream-Objekt liefert. Als erster Parameter ist der Dateipfad anzugeben. Der zweite Parameter (Wert 1) besagt, dass die Datei zum Lesen geöffnet werden soll.

19

Das folgende Skript zeigt einen Anwendungsfall, der in diesem Kapitel noch sehr häufig vorkommen wird: das Auslesen einer Menge von Computernamen aus einer Textdatei mit dem Namen ComputerListe.txt, die im gleichen Verzeichnis wie das Skript liegen soll. Das Verzeichnis des Skripts wird mit GetScriptDir() ermittelt. In diesem Listing wird die Menge der Computernamen anschließend ausgegeben; in den späteren Skripten wird die Liste als Eingabe für die Skripte verwendet, um eine Aktion auf mehreren Computersystemen auszuführen. Den von OpenTextFile() gelieferten TextStream kann man sequenziell mit ReadLine() (ganze Zeile) oder Read() (einzelnes Zeichen) auslesen. Das Attribut Line liefert immer die Nummer der aktuellen Zeile, in der man sich befindet; Column liefert die Spaltennummer, die aber bei der Verwendung von ReadLine immer 1 ist. Die Position des Cursors ändert sich mit jedem Schreib- und Lesezugriff. Sie kann auch durch zwei Skip()-Methoden beeinflusst werden, jedoch nur in eine Richtung: zum Dateiende hin. Eine Rückwärtsbewegung erlaubt Textstream leider nicht. Skip(n) setzt den Cursor n Zeichen nach vorne. Ein negativer Wert für n (was einer Rückwärtsbewegung gleichkäme) ist nicht erlaubt. SkipLine() überspringt alle Zeichen bis zum Ende der Zeile. Leider kann man hier nicht angeben, dass mehrere Zeilen zugleich übersprungen werden sollen. Dies muss der Skriptprogrammierer über eine Schleife, die SkipLine() n-fach aufruft, nachbilden.

841

Kapitel 19 Windows Script Host (WSH) Option Explicit Dim Dim Dim a =

Computerliste ' Liste der Computer Computername' aktueller Computer a ' Zähler 0

' --- Schleife über alle Computer Computerliste = ComputerlisteEinlesen For Each Computername In Computerliste a = a +1 WScript.echo a & ". Computer: " & Computername Next

' === Einlesen der Computerliste Function ComputerlisteEinlesen Dim FSO ' Dateisystem-Objekt Dim objTX ' Textdatei-Objekt für die Liste der zu durchsuchenden Computer Dim Scriptfile ' Datei, die das Script enthält Dim Pathname' Ordner, in dem das Script liegt Dim Computername' aktueller Computer Dim Eingabedatei' Name und Pfad der Eingabedatei Dim Computerliste() Set FSO = CreateObject("Scripting.FileSystemObject") Dim a Eingabedatei = GetScriptDir & "computerliste.txt" ' --- Auslesen der Computerliste Set objTX = FSO.OpenTextFile(Eingabedatei) a = 0 ' --- Schleife über alle Computer Do While Not objTX.AtEndOfStream a = a +1 Computername = objTX.Readline Redim Preserve Computerliste(a) Computerliste(a-1) = Computername Loop objTX.Close ComputerlisteEinlesen = Computerliste End Function Listing 19.9 Auslesen einer Textdatei [Datei_LesenUndSchreiben.vbs]

842

' === Ermittelt das Verzeichnis, in dem das Script liegt Function GetScriptDir Dim FSO Dim Scriptfile ' Datei, die das Script enthält Set FSO = CreateObject("Scripting.FileSystemObject") Dim Ausgabedatei' Name und Pfad der Ausgabedatei Set Scriptfile = FSO.GetFile (WScript.ScriptFullName) GetScriptDir = Replace(Scriptfile.Path, Scriptfile.Name, "") End Function

Scripting der Registrierungsdatenbank

19.9.7

Textdateien beschreiben

Die Scripting-Runtime-Komponente bietet auch eine Methode zum Anlegen und Beschreiben von Textdateien. Das nachfolgende Skript zeigt ein typisches Anwendungsbeispiel für die Verwendung einer Textdatei beim Scripting: Es schreibt Protokolleinträge in die Datei Protokoll.txt relativ zum Standort des Skripts. Option Explicit Protokoll Now & " erster Eintrag!" Protokoll Now & " zweiter Eintrag!"

Listing 19.10 Protokollierung in eine Textdatei [Datei_LesenUndSchreiben.vbs]

' === Protokollierung in eine Textdatei Sub Protokoll(s) Dim FSO, objTextFile Dim Ausgabedatei' Name und Pfad der Ausgabedatei Ausgabedatei = GetScriptDir & "protokoll.txt" Set FSO = CreateObject("Scripting.FileSystemObject") ' Ausgabedatei öffnen Set objTextFile = FSO.OpenTextFile(Ausgabedatei, 8, True) objTextFile.WriteLine s objTextFile.Close WScript.Echo s End Sub

Die Methode CreateTextFile() erzeugt immer eine neue Datei. Die Methode CreateTextFile() OpenTextFile(), die im obigen Skript verwendet wurde, ist flexibler. Sie und OpenTexterlaubt – gesteuert über Parameter – alle Zugriffsarten. Durch ForAppending File() (Wert 8) wird festgelegt, dass an eine Datei angehängt werden soll. Mit True schaltet man die Methode auf Toleranz: Wenn die Datei noch gar nicht da ist, wird sie erzeugt. Durch TristateTrue (Wert -1) wird eine Unicode-Datei erzeugt; 0 bedeutet ASCII. Rückgabewert der Methode OpenTextFile() ist ein Textstream-Objekt. Die- Write() und ses bietet verschiedene Methoden. Oben wurde WriteLine() verwendet, WriteLine() wodurch immer eine komplette Zeile erzeugt wird. Mit Write() kann man auch einzelne Zeichen schreiben und die Zeilenumbrüche bei Bedarf mit Write vbCRLF selbst erzeugen (vbCRLF ist eine in VBScript vordefinierte Konstante für Wagenrücklauf + Zeilenvorschub).

19.10 Scripting der Registrierungsdatenbank Für das Scripting der Registrierungsdatenbank kommt die Windows Management Instrumentation (WMI), die umfangreichste und mächtigste aller Scripting-Komponenten, zum Einsatz. WMI ist die Microsoft-Implementierung des Web Based Enterprise Management (WBEM), eines plattformübergreifenden Standards zum Zugriff auf alle möglichen Arten von Systemund Netzwerkinformationen. WMI stellt unter Windows 7 bereits in der

843

19


Grundinstallation 9905 Klassen bereit. Durch Zusatzprogramme wie Microsoft Office kommen weitere hinzu. StdRegProv

Die Möglichkeiten zur Bearbeitung der Registrierungsdatenbank konzentrieren sich in WMI auf eine einzige Klasse: StdRegProv im Namensraum \root\default. Die Klasse bietet zahlreiche Methoden an: CreateKey(), DeleteKey(), EnumKey(), EnumValues(), DeleteValue(), SetDWORDValue(), GetDWORDValue(), SetStringValue(), GetStringValue(), SetMultiStringValue(), GetMultiStringValue(), SetExpandedStringValue(), GetExpandedStringValue(), SetBinary Value(), GetBinaryValue() und CheckAccess(). Dabei gilt für alle diese Methoden: 왘 Im ersten Parameter wird der zu verwendende Hive in Form eines LONG-Werts übergeben. Const HKEY_CURRENT_USER = &H80000001 Const HKEY_LOCAL_MACHINE = &H80000002 왘 Im zweiten Parameter wird der Schlüsselpfad als Zeichenkette über-

geben. 왘 Die Methoden zum Zugriff auf einzelne Werte haben im dritten Para-

meter den Namen des Wertes. 왘 Die Methoden zum Schreiben von Werten erwarten im vierten Para-

meter den zu schreibenden Wert. 왘 Die Methoden zum Lesen von Werten erwarten im vierten Parameter eine leere Variant-Variable, in der sie per Call-by-Reference den gelesenen Wert zurückliefern können. Tabelle 19.2 Überblick über die Methoden zum Schreiben und Lesen von Registrierungsdatenbank-Werten

Werttyp in der Registrierungsdatenbank

Methode zumSchreiben

Methode zumLesen

Hinweis

Zeichenkette

SetStringValue()

GetStringValue()

Vierter Parameter ist Variant/String.

DWORDWert (Zahl)

SetDWORDValue()

GetDWORDValue()

Vierter Parameter ist Variant/Long.

Erweiterte Zeichenkette

SetExpandedStringValue()

GetExpandedStringValue()

Vierter Parameter ist Variant/String.

Mehrwertige Zeichenkette

SetMultiStringValue()

GetMultiStringValue()

Vierter Parameter ist ein Array.

Binär-Wert

SetBinaryValue()

GetBinaryValue()

Vierter Parameter ist ein Array.

19.10.1 Auslesen und Setzen eines Wertes GetDWORDValue() und SetDWORD-Value()

844

Das erste Beispiel zeigt, wie man den Registrierungsdatenbank-Wert HKEY_ LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\ DoReport auf einer Menge von Computern auf den Wert 0 setzt. Damit wird die Fehlerberichterstattung an Microsoft abgeschaltet.

Scripting der Registrierungsdatenbank

In dem Skript kommen die in Kapitel 19.9 besprochenen Routinen zum Auslesen einer Menge von Computernamen aus einer Textdatei (ComputerlisteEinlesen()) und zum Erzeugen einer Protokolldatei (Protokoll()) zum Einsatz. Diese Routinen werden hier nicht erneut abgedruckt, um Platz für andere Inhalte zu sparen. Jede Zeile in ComputerListe.txt ist Name oder IP-Adresse eines abzufragenden Computers. Dabei repräsentiert ein Punkt ((.)) den lokalen Computer. Option Explicit Dim Dim Dim a =

Computerliste ' Liste der Computer Computername' aktueller Computer a ' Zähler 0

Listing 19.11 Wert in Registrierungsdatenbank ändern [Registry_ DiverseBeispiele .vbs]

' --- Schleife über alle Computer Computerliste = ComputerlisteEinlesen For Each Computername In Computerliste a = a +1 Protokoll a & ". Computer: " & Computername Registry_WertSetzen(Computername) Next ' === Eigentliche Aktion: Registry ändern Sub Registry_WertSetzen(Computername) Const HKEY_CURRENT_USER = &H80000001 Const HKEY_LOCAL_MACHINE = &H80000002 Const pfad = "SOFTWARE\Microsoft\PCHealth\ErrorReporting\" Dim oReg Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _ Computername & "\root\default:StdRegProv") Dim wert oReg.GetDWORDValue HKEY_LOCAL_MACHINE, pfad, "DoReport", wert Protokoll "Alter Wert: " & wert oReg.SetDWORDValue HKEY_LOCAL_MACHINE, pfad, "DoReport", 0 Protokoll "Neuer Wert: " & wert End Sub

19

In den folgenden Beispielen wird aus Platzgründen auch auf den Abdruck der Schleife über die Computernamen verzichtet. Auf der CD zum Buch finden Sie die vollständigen Skripte.

19.10.2 Erzeugen eines neuen Registrierungsdatenbank-Schlüssels Das folgende Beispiel zeigt das Anlegen einer Menge von neuen Registrierungsdatenbank-Schlüsseln mit der Methode CreateKey() und das anschließende Setzen von Werten in den neuen Schlüsseln.

CreateKey()

845

Kapitel 19 Windows Script Host (WSH) Listing 19.12 Schlüssel anlegen [Registry_DiverseBeispiele.vbs]

' === Eigentliche Aktion: Schlüssel anlegen Sub Registry_ SchluesselAnlegen(Computername) Dim BuecherKuerzel, BuecherTitel Dim i Const HKEY_CURRENT_USER = &H80000001 Const HKEY_LOCAL_MACHINE = &H80000002 Dim oReg Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _ Computername & "\root\default:StdRegProv") BuecherKuerzel = Array("WBS", "WS2", "WS3", "CKH", "FCL", "WF", "N2C") BuecherTitel = Array("Windows- und BackOffice-Scripting", "Windows Scripting 2. Auflage", "Windows Scripting 3. Auflage", "COM-KomponentenHandbuch", "Programmierung mit der .NET-Klassenbibliothek", "Webforms", ".NET 2.0 Crashkurs") For i = 0 To UBound(BuecherKuerzel) Dim Schluessel Schluessel = "SOFTWARE\www.IT-Visions.de\Buecher\" & BuecherKuerzel(i) oReg.CreateKey HKEY_LOCAL_MACHINE, Schluessel Protokoll "Schlüssel " & Schluessel & " angelegt." oReg.SetStringValue HKEY_LOCAL_MACHINE, Schluessel, , "Ein Buch von Dr. Holger Schwichtenberg" oReg.SetStringValue HKEY_LOCAL_MACHINE, Schluessel, "Titel", BuecherTitel(i) oReg.SetStringValue HKEY_LOCAL_MACHINE, Schluessel, "angelegt", CStr(Now) Protokoll "Werte für " & Schluessel & " gesetzt." Next End Sub

19.10.3 Auflisten von Schlüsseln EnumKey()

Listing 19.13 Unterschlüssel auflisten [Registry_ DiverseBeispiele .vbs]

846

Das vorherige Beispiel bildet die Basis für den Einsatz von EnumKey(). Diese Methode gibt im dritten Parameter ein Array of String mit den Namen der Unterschlüssel eines bestimmten Schlüssels zurück. ' === Aktion: Schlüssel auflisten Sub Registry_SchluesselAuflisten(Computername) Const HKEY_CURRENT_USER = &H80000001 Const HKEY_LOCAL_MACHINE = &H80000002 Dim oReg, pfad, Schluessel, SchluesselMenge Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _ Computername & "\root\default:StdRegProv") pfad = "SOFTWARE\www.IT-Visions.de\Buecher\" oReg.EnumKey HKEY_LOCAL_MACHINE, pfad, SchluesselMenge For Each Schluessel In SchluesselMenge Protokoll Schluessel Next End Sub

Scripting der Softwarekonfiguration

19.10.4 Löschen von Schlüsseln Die DeleteKey()-Methode erlaubt nur das Löschen eines einzelnen Schlüssels. DeleteKey() Die Methode kann nicht gleichzeitig beliebig viele Ebenen löschen. Diese Limitation der DeleteKey()-Methode wird durch die nachfolgende Unterroutine beseitigt, die mittels EnumKey() die Unterschlüssel auflistet und rekursiv löscht. ' === Aktion: Rekursives Schlüssellöschen (Löschen über beliebig viele Ebenen) Sub Registry_SchluesselLoeschen(Computername, OberSchluessel) Const HKEY_CURRENT_USER = &H80000001 Const HKEY_LOCAL_MACHINE = &H80000002 Dim oReg, pfad, Schluessel, SchluesselMenge OberSchluessel = Replace(OberSchluessel, "\\", "\") Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _ Computername & "\root\default:StdRegProv") oReg.EnumKey HKEY_LOCAL_MACHINE, OberSchluessel, SchluesselMenge If IsArray(SchluesselMenge) Then For Each Schluessel In SchluesselMenge Registry_SchluesselLoeschen Computername, OberSchluessel & "\" & Schluessel Next End If oReg.DeleteKey HKEY_LOCAL_MACHINE, OberSchluessel Protokoll OberSchluessel & " gelöscht" End Sub

Listing 19.14 Hilfsroutine für rekursives Löschen von Registrierungsdatenbank-Schlüsseln [WMI_ Registry_Funktionen.vbs]

19

19.11 Scripting der Softwarekonfiguration Auch die installierten Anwendungen können über WMI verwaltet wer- Win32_Product den. WMI bietet dazu die Klasse Win32_Product an.

19.11.1 Software inventarisieren Für die Inventarisierung der installierten Software gibt es viele große und kleine Lösungen. Hier soll ein einfaches, aber wirkungsvolles WSH-Skript die installierten Anwendungen ermitteln und in einer Textdatei speichern. Der Kern des Skripts besteht aus der Routine SWInventar, welche die Liste WQL der installierten Programme für den als Parameter angegebenen Computer holt. Die Routine enthält fünf Befehle. Mit GetObject() verschafft sich das Skript den Zugriff auf das WMI-Repository des angegebenen Computers. Mit ExecQuery() können WQL-Befehle (WQL steht für WMI Query Language, die der Sprache SQL sehr ähnlich ist) auf dem WMI-Repository ausgeführt werden. In diesem Fall werden alle Instanzen der WMIKlasse Win32_Product angefordert.

847


Der Rest des Skripts bietet den Komfort darum herum: Das Skript öffnet die Datei ComputerListe.txt, die im selben Verzeichnis wie das Skript liegen muss. Die Ausgabe sendet das Skript an die Datei Software.csv, die das Skript im selben Verzeichnis erzeugt. Jede Zeile in der Ausgabedatei ist ein installiertes Programm. Die einzelnen Angaben werden durch ein Semikolon getrennt. Als erste Angabe wird der Name des Computers in die Datei geschrieben. Die CSV-Datei kann auf einfache Weise in Excel oder Access eingelesen werden. Zum Zugriff auf die Ein- und Ausgabedatei verwendet das Skript die Scripting-Runtime-Komponente, insbesondere die Klasse TextStream, deren Instanz man mit OpenTextFile() erhält. Listing 19.15 Softwareinventarskript [Softwareinventar.vbs]

Option explicit Const Trenner = ";" ' Trennzeichen Dim computer ' Name des Computers Dim ergebnis ' Ergebnismenge in Form eines WbemScripting.SWbemObjectSet Dim objTX ' Textdatei-Objekt für die Liste der zu durchsuchenden Computer Dim a ' Zähler Dim FSO ' Dateisystem-Objekt Dim Scriptfile ' Datei, die das Script enthält Dim Pathname' Ordner, in dem das Script liegt Dim Eingabedatei' Name und Pfad der Eingabedatei Dim Ausgabedatei' Name und Pfad der Ausgabedatei ' --- Global benötigtes Objekt Set FSO = CreateObject("Scripting.FileSystemObject") ' --- Ermitteln der Ausgabedatei Set ScriptFile = FSO.GetFile (WScript.ScriptFullName) Pathname = Replace(Scriptfile.Path, Scriptfile.Name, "") Ausgabedatei = Pathname & "software.csv" Eingabedatei = Pathname & "computerliste.txt" ' --- Auslesen der Computerliste Set objTX = FSO.OpenTextFile(Eingabedatei) WScript.Echo "Die Ausgabe erfolgt in der Datei: " &_ vbCrLf & Ausgabedatei &vbCrLf ' --- Überschriften einfügen out _ "Computer" & Trenner & _ "Name" & Trenner & _ "Beschreibung" & Trenner & _ "Identifikationsnummer" & Trenner & _ "Installationsdatum" & Trenner & _ "Installationsverzeichnis" & Trenner & _ "Zustand der Installation" & Trenner & _ "Paketzwischenspeicher" & Trenner & _ "SKU Nummer" & Trenner & _ "Hersteller" & Trenner & _

848

Scripting der Softwarekonfiguration "Version" ' --- Schleife über alle Computer Do While Not objTX.AtEndOfStream computer = objTX.ReadLine a = a + 1 WScript.Echo "Computer #" & a & ":" & computer SWInventar Computer Loop ' --- Fertig objTX.Close MsgBox "Softwareinventarisierung beendet!",,"InventarScript (C) Dr. Holger Schwichtenberg" ' === Softwareinventar für einen Computer erstellen Sub SWInventar(Computer) Dim colSoftware, objWMIService, objSoftware ' --- Zugriff auf WMI Set objWMIService = GetObject("winmgmts:" &_ "{impersonationLevel=impersonate}!\\" & Computer &_ "\root\cimv2") ' --- Liste anfordern Set colSoftware = objWMIService.ExecQuery _ ("SELECT * FROM Win32_Product") ' --- Liste ausgeben For Each objSoftware in colSoftware out _ Computer & Trenner & _ objSoftware.Name & Trenner & _ objSoftware.Caption & Trenner & _ objSoftware.Description & Trenner & _ objSoftware.IdentifyingNumber & Trenner & _ objSoftware.InstallDate & Trenner & _ objSoftware.InstallLocation & Trenner & _ objSoftware.InstallState & Trenner & _ objSoftware.PackageCache & Trenner & _ objSoftware.SKUNumber & Trenner & _ objSoftware.Vendor & Trenner & _ objSoftware.Version Next End sub

19

' === Ausgabe Sub out(s) Dim objTextFile ' Ausgabedatei öffnen Set objTextFile = FSO.OpenTextFile(Ausgabedatei, 8, true) objTextFile.WriteLine s objTextFile.Close WScript.Echo s End sub

849


Abbildung 19.12: Ergebnis der Softwareinventarisierung

19.11.2 Software installieren Install()

Mithilfe von WMI können Sie auch Software installieren – sogar auf entfernten Systemen. Die Win32_Product-Klasse besitzt die Methode Install(), die drei Parameter erwartet. Der erste Parameter spezifiziert in einer Zeichenkette das zu installierende Softwareprodukt. In dem folgenden Beispiel wird die Gruppenrichtlinien-Verwaltungskonsole (gpmc.msi) installiert. Durch eine weitere Zeichenkette können bei dem Methodenaufruf der Installationsroutine Parameter in Form von Attribut=Wert-Paaren übergeben werden. Der dritte Parameter gibt an, ob das zu installierende Softwareprodukt für alle Benutzer des Rechners verfügbar sein soll.

Rückgabewert

Der Erfolg der Softwareinstallation wird durch einen Rückgabewert signalisiert, sofern dieser den Wert 0 hat. Alle davon verschiedenen Werte zeigen einen Fehler an (z.B. 2 = Installationsdatei ist nicht vorhanden). Dieses Beispiel ist wieder eingebettet in die bereits bei den Registrierungsdatenbank-Beispielen verwendete Umgebung, sodass die Routine auf alle Computer in der Datei Computerliste.txt angewendet wird, die im selben Verzeichnis liegen muss.

Listing 19.16 Software installieren [Software_DiverseBeispiele.vbs]

850

' === Aktion: Software installieren Function Software_Installieren(Computername) Dim objWBemLocator, objConnection, objSoftware Dim User, Password, Computer, Software, Error Software = GetScriptDir & "gpmc.msi" Protokoll "Installieren... " & Software Set objSoftware = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _ Computername & "\root\cimv2:Win32_Product") Error = objSoftware.Install(Software,"",True) If Error = 0 Then

Scripting der Benutzerverwaltung WScript.Echo "Die Installation war erfolgreich." Else WScript.Echo "Bei der Installation ist " &_ "folgender Fehler aufgetreten: " & Error End If End Function

19.11.3 Software deinstallieren Zur Deinstallation eines Softwareprodukts wird die Uninstall()-Methode Uninstall()des Win32_Product-Objekts verwendet. Zuvor muss das richtige Win32_ Product-Objekt mit einer WQL-Abfrage ermittelt werden. Die Abfrage sollte nur ein Element in der Ergebnismenge besitzen. ' === Aktion: Software deinstallieren Function Software_DeInstallieren(Computername) Dim objWMIService, colSoftware, objSoftware Dim ProductName, objWBemLocator, objConnection

Listing 19.17 Software deinstallieren [Software_DiverseBeispiele.vbs]

ProductName = "Microsoft Gruppenrichtlinien-Verwaltungskonsole mit SP1" Set objWBemLocator = CreateObject("WbemScripting.SWbemLocator") Set objConnection = objWBemLocator.ConnectServer _ (Computername, "root\cimv2") Set colSoftware = objConnection.ExecQuery ("SELECT * FROM " & _ "Win32_Product WHERE Name = """ & ProductName & """") Protokoll "Anzahl gefundener Pakete: " & colSoftware.Count For Each objSoftware In colSoftware Protokoll "Deinstalliere..." & objSoftware.Name objSoftware.Uninstall() Next End function

19

19.12 Scripting der Benutzerverwaltung Für das Scripting der Benutzerverwaltung kommt eine Komponente mit ADSI dem Namen Active Directory Service Interface (ADSI) zum Einsatz. Anders als der Name vermuten lässt, ist ADSI nicht auf die Verwaltung von Active Directory-basierten Verzeichnisdiensten beschränkt. Auch die auf der alten Windows NT-Benutzerverwaltung basierende Benutzerverwaltung von Windows 7 kann per ADSI gesteuert werden. Andere Novellund LDAP-basierte Verzeichnisdienste kann ADSI ebenso verwalten. In diesem Unterkapitel wird die Verwaltung der lokalen Benutzerdatenbank eines Windows 7-Systems via ADSI beschrieben. Das auf jedem Windows 7-System automatisch vorhandene ADSI kann auch dazu eingesetzt werden, ein Active Directory von einem Windows 7-System aus

851


zu verwalten. Dies ist jedoch ein Thema für ein Windows Server-Buch und findet daher keinen Platz in diesem Werk. Das Thema Active Directory-Scripting wird ausführlich behandelt in [Sch04].

19.12.1 Auflisten der vorhandenen Benutzerkonten Zur Einstimmung soll ein Beispiel dienen, das eine Liste aller Benutzer auf einem Computersystem oder in einer Domäne ausgibt. Ausgegeben werden der Benutzername, der Anzeigename und die Beschreibung zu jedem Benutzer. GetObject()

Zu Beginn der Arbeit mit ADSI muss zunächst die Bindung an den ComputerContainer hergestellt werden. Dazu wird bei GetObject() ein ADSI-Pfad zu einem Computer angegeben. Der Pfad ist sehr einfach: WinNT://COMPUTERNAME

Ersetzen Sie in allen nachstehenden Skripten das Wort „ E60“ durch den Namen eines Computers. Wichtig: WinNT müssen Sie mit großem (W), (N), (T) und kleinem (i), (n) schreiben. Die häufigste Ursache für nicht funktionierende ADSISkripte ist die falsche Schreibweise dieses Begriffs. Der Grund für diesen Fehler liegt darin, dass die Relevanz der Groß- und Kleinschreibung in der VBScript-Programmierung sehr selten ist. Listing 19.18 Auflisten der Benutzer

Const Name = "E60" Set oDomain = GetObject("WinNT://" & Name) oDomain.Filter = Array("user") wscript.echo "Benutzerliste des Computers/der Domäne: " & oDomain.Name For Each oUser In oDomain wscript.echo oUser.Name & ";" & _ oUser.FullName & ";" & _ oUser.Description Next

Würden Sie dieses Skript mit einem Doppelklick starten, erhielten Sie für jeden Benutzer ein eigenes Dialogfenster, das Sie einzeln bestätigen müssten. Das wäre sehr lästig! Sie sollten das Skript daher unbedingt mit cscript.exe starten, indem Sie im Kommandozeilenfenster eingeben: cscript.exe C:\PFAD\SCRIPTNAME.vbs

Hierbei ersetzen Sie bitte C:\PFAD\SCRIPTNAME durch den Pfad und Namen Ihres Skripts. Die Ausgaben gehen dann ins Kommandozeilenfenster. Diese Ausgabe in eine Textdatei umzuleiten ist kein Problem: cscript.exe C:\PFAD\SCRIPTNAME.vbs >c:\Protokoll.vbs

Die Textdatei wiederum in Microsoft Excel oder Microsoft Access zu importieren, ist in wenigen Mausklicks erledigt.

852

Scripting der Benutzerverwaltung

Das vorherige Skript funktioniert sowohl für eine NT4-Domäne, eine Windows 2000-Domäne, eine Windows 2003-Domäne als auch für die lokalen Benutzerdatenbanken unter Windows NT4, Windows 2000 Professional, Windows Vista und Windows 7: Anstelle des Computernamens können Sie auch einen Domänennamen angeben. Möchten Sie Benutzergruppen statt Benutzer auslesen, ersetzen Sie die Zeile Benutzergruppen oDomain.Filter = Array("user") durch oDomain.Filter = Array ("group"). Sowohl Gruppen als auch Benutzer erhalten Sie mit oDomain .Filter = Array("user", "group").

19.12.2 Anlegen eines Benutzerkontos Grundsätzlich wird in ADSI ein Objekt mit der Methode Create() angelegt. Create() Bei der Methode Create() sind der Verzeichnisklassenname user und als zweiter Parameter der gewünschte Benutzername anzugeben. Erst mit dem Aufruf von SetInfo() wird der Benutzer tatsächlich angelegt. Die Verzeichnisklasse User verlangt keine Pflichtattribute; im Skript werden Attribute allerdings die folgenden optionalen Attribute verwendet: 왘 FullName: kennzeichnet den Anzeigenamen des Benutzers 왘 Description: eine Beschreibung des Benutzers 왘 HomeDirectory: der Pfad zu dem Verzeichnis, in dem der Benutzer seine Daten ablegt 왘 AccountExpirationDate: Datum, an dem das Kennwort des Kontos abläuft. Hier wird der Wert auf das aktuelle Datum gesetzt, um den Benutzer zu veranlassen, sein Kennwort bei der nächsten Anmeldung zu ändern. 왘 LoginScript: das bei der Anmeldung des Benutzers auszuführende Skript

19

Bitte passen Sie in diesem Skript unbedingt den Namen des Containers an, bevor Sie es testen. Tragen Sie in die Konstante CONTAINERNAME den Namen eines Computers oder einer Domäne ein, der bzw. die bei Ihnen erreichbar ist. Sie müssen Administratorrechte auf dem Computer bzw. der Domäne besitzen, um das Skript ausführen zu können. Option Explicit ' Variablen deklarieren Dim Benutzer Dim Container ' Name des Containers, in dem der Benutzer angelegt werden soll Const CONTAINERNAME = "E60" ' Computername oder Domänenname Const KLASSE = "Computer" ' oder: "Domain" ' Zugriff auf Domain-Objekt Set Container = GetObject("WinNT://" & CONTAINERNAME & "," & KLASSE) ' Benutzer anlegen Set Benutzer= Container.Create("user", "HolgerSchwichtenberg") ' Setzen von Eigenschaften ' Voller Name

Listing 19.19 Benutzer anlegen [BenutzerAnlegen .vbs]

853

Kapitel 19 Windows Script Host (WSH) Benutzer.FullName = "Holger Schwichtenberg" ' Beschreibung des Benutzers Benutzer.Description = "Dr. Holger Schwichtenberg (Autor)" ' Home-Verzeichnis des Benutzers Benutzer.HomeDirectory = "e:\benutzer\HolgerSchwichtenberg " ' Ablaufdatum des Kontos Benutzer.AccountExpirationDate = Now() ' Verweis auf das Login-Script Benutzer.LoginScript = "HolgerSchwichtenberg.bat" ' Festschreiben der Werte Benutzer.SetInfo ' Meldung ausgeben WScript.Echo "Benutzer angelegt!"

19.12.3 Umbenennen eines Benutzers Namensänderung

Der NT4-Verzeichnisdienst erlaubt die Umbenennung eines Benutzerkontos nach dem Anlegen, da für die eindeutige Identifizierung nicht der Kontoname, sondern der Security Identifier (SID) des Kontos maßgeblich ist. Das Konto verliert also nicht seine Gruppenzuordnungen oder Rechte. Die Methode zur Umbenennung heißt in ADSI MoveHere(). Diese Methode wird sowohl von der Computer- als auch der Domain-Klasse unterstützt. Es ist nicht möglich, ein Benutzerkonto im WinNT-Verzeichnisdienst zu verschieben, da es nur einen Container für Benutzer geben kann. Eine Verschiebung zwischen Domänen ist ebenfalls nicht möglich. Das Skript deklariert die benötigten Variablen für die Objekte. Durch den Aufruf von GetObject() wird eine Instanz des Domain-Objekts erzeugt und der Variablen Container zugewiesen. Als Parameter werden der WinNTProvider und der Name des Computers angegeben, auf dem sich das Benutzerkonto befindet.

Umbenennen durch Verschieben Listing 19.20 Benutzer umbenennen [BenutzerUmbenennen.vbs]

854

Der Aufruf der MoveHere()-Methode des Domain-Objekts mit dem ADSIPfad des Benutzers sowie dem neuen Benutzernamen führt die Umbenennung durch. Die erfolgreiche Umbenennung wird durch eine Meldung angezeigt. Option Explicit ' Konstanten - bitte anpassen!!! Const CONTAINERNAME = "E60" ' Computername oder Domänenname Const ALTERNAME = "HolgerSchwichtenberg" Const NEUERNAME = "HS" ' Notwendige Variablen deklarieren Dim Container ' Zugriff auf Domain-Objekt Set Container = GetObject("WinNT://" & CONTAINERNAME) ' MoveHere ausführen Container.MoveHere _

Scripting der Benutzerverwaltung "WinNT://" & CONTAINERNAME & "/" & ALTERNAME,NEUERNAME ' Meldung ausgeben Wscript.Echo "Benutzer umbenannt!"

Durch die MoveHere()-Methode wird nur der Benutzername selbst, werden aber nicht die anderen Attribute wie Fullname und Description beeinflusst. Bitte beachten Sie, dass nach Ausführung dieses Skripts das Benutzerkonto „HolgerSchwichtenberg“ nicht mehr existiert. Da die nachfolgenden Skripte „HolgerSchwichtenberg“ verwenden, sollten Sie mit dem ersten Skript in diesem Kapitel „HolgerSchwichtenberg“ wieder anlegen.

19.12.4 Kennwort eines Benutzers ändern Das Passwort für einen Benutzer kann erst gesetzt werden, nachdem das Anlegen mit SetInfo() vollzogen wurde. Grundsätzlich gibt es zwei Möglichkeiten, ein Passwort mit ADSI zu setzen: 왘 Bei SetPassword() ist die Angabe des bisherigen Passworts nicht nötig. 왘 Bei der Methode ChangePassword() muss das bisherige Passwort ange-

ChangePassword()

geben werden. SetPassword() ChangePassword() sollte angewendet werden, wenn sichergestellt werden soll, dass nur der betreffende Benutzer selbst das Passwort ändert. Die Methode lässt sich nur ausführen, wenn die Kontorichtlinien dies erlauben. (Wenn Sie das Skript ausgeführt haben, das die minimale Passwortdauer auf zehn Tage setzt, kann ChangePassword() erst nach zehn Tagen zum ersten Mal ausgeführt werden!)

19

Für den Administrator ist die Methode SetPassword() gedacht, weil das alte Kennwort nicht bekannt sein muss. SetPassword() kann nicht nur beim erstmaligen Setzen, sondern zu beliebiger Zeit ausgeführt werden. Dim Benutzer ' Bitte ADSI-Pfad anpassen: WinNT://CONTAINER/BENUTZERNAME Set Benutzer = GetObject("WinNT://E60/HolgerSchwichtenberg,user") Benutzer.SetPassword "geheim" Msgbox "Kennwort gesetzt!"

Listing 19.21 Kennwort setzen [KennwortAendern1.vbs]

Dim Benutzer ' Bitte ADSI-Pfad anpassen: WinNT://CONTAINER/BENUTZERNAME Set Benutzer = GetObject("WinNT://E60/HolgerSchwichtenberg,user") Benutzer.ChangePassword "geheim", "geheimer" Msgbox "Kennwort geändert!"

Listing 19.22 Kennwort ändern [KennwortAendern2.vbs]

Um den Benutzer zu veranlassen, sein Kennwort bei der nächsten Anmeldung zu ändern, wird die Eigenschaft AccountExpirationDate auf das aktuelle Datum und die aktuelle Uhrzeit gesetzt.

855


19.12.5 Anlegen einer Benutzergruppe Andere Klasse

Das Einrichten einer Gruppe erfolgt analog zur Erstellung eines UserObjekts. Beachten Sie aber den bei Create() anzugebenden Klassennamen Group.

Lokal oder global

GroupType ist ein Pflichtattribut des WinNT-Verzeichnisdienstes, das aber automatisch auf den Wert 2 (globale Gruppe) gesetzt wird, wenn der ADSIClient keinen Wert vorgibt. Das Beispielskript allerdings erzeugt eine lokale Gruppe (Wert 4).

Listing 19.23 Anlegen einer Benutzergruppe [GruppeAnlegen.vbs]

Option Explicit ' Variablen deklarieren Dim Container Dim Gruppe ' Konstanten definieren Const GRUPPENNAME = "Autoren" ' Name des Containers, in dem der Benutzer angelegt werden soll Const CONTAINERNAME = "E60" ' Computername oder Domänenname ' Zugriff auf Domain-Objekt Set Container = GetObject("WinNT://" & CONTAINERNAME) ' Erzeugen der Gruppe Set Gruppe = Container.Create("group", GRUPPENNAME) ' Gruppentyp setzen ' 4 = Lokale Gruppe, 2= Globale Gruppe Gruppe.Put "Grouptype", 4 ' Beschreibungstext setzen Gruppe.Description = "Gruppe aller Autoren" ' Festschreiben der Änderungen Gruppe.SetInfo ' Meldung ausgeben WScript.Echo "Gruppe " & GRUPPENNAME & " wurde angelegt!"

19.12.6 Einen Benutzer einer Gruppe hinzufügen Gruppieren

Das folgende Skript ordnet einen bestehenden Benutzer einer existierenden Gruppe zu. Das Skript deklariert die benötigte Variable für das Group-Objekt. Durch den Aufruf von GetObject() wird eine Instanz des Group-Objekts erzeugt und der Variablen Gruppe zugewiesen. Durch Aufruf der Add()Methode des Group-Objekts wird der als Parameter übergebene Benutzer der Gruppe zugeordnet. Der Befehl SetInfo() ist hier nicht notwendig, die Änderung wird sofort wirksam. Der Benutzer muss bereits vorhanden sein, ansonsten wird die Fehlermeldung „ Ein Mitglied konnte in der lokalen Gruppe nicht hinzugefügt oder entfernt werden, da das Mitglied nicht vorhanden ist.“ ausgegeben.

856

Scripting der Benutzerverwaltung Option Explicit ' Variablen deklarieren Dim Gruppe ' Zugriff auf das Gruppen-Objekt Set Gruppe = GetObject("WinNT://E60/Autoren,Group") ' Hinzufügen des Benutzer-Objekts zur Gruppe Gruppe.Add ("WinNT://E60/HolgerSchwichtenberg") ' Meldung ausgeben Wscript.Echo "Benutzer HolgerSchwichtenberg zur Gruppe Autoren hinzugefügt!"

Listing 19.24 Benutzer in Benutzergruppe aufnehmen [BenutzerzuGruppe.vbs]

19.12.7 Einen Benutzer aus einer Gruppe entfernen Das nachfolgende Skript LoescheBenutzerausGruppe.vbs entfernt einen Benut- Benutzer zer aus einer Benutzergruppe. Zentraler Befehl ist die Methode Remove(), die entfernen auf einem Group-Objekt ausgeführt wird. Als Parameter erwartet Remove() den ADSI-Pfad des Benutzers, der aus der Gruppe entfernt werden soll. Der Variablen Gruppe wird durch GetObject() ein Verweis auf das Group- Identifikation Objekt der betreffenden Gruppe zugewiesen. Danach wird Remove() ausgeführt. Der Befehl SetInfo() ist hier nicht notwendig, die Änderung wird sofort wirksam. Option Explicit Dim Benutzer Dim Gruppe ' Zugriff auf das Gruppen-Objekt Set Gruppe = GetObject("WinNT://E60/Autoren,group") ' Benutzer-Objekt aus der Gruppe entfernen Gruppe.Remove("WinNT://E60/HolgerSchwichtenberg,user") Wscript.Echo "Der Benutzer HolgerSchwichtenberg wurde aus der " &_ "Gruppe Autoren entfernt."

Listing 19.25 Benutzer aus Gruppe entfernen [LoescheBenutzerausGruppe.vbs]

19.12.8 Deaktivieren eines Benutzerkontos Soll einem Benutzer der Zugang zum Netzwerk nur kurzfristig entzogen Konto sperren werden, muss das Konto nicht gelöscht, sondern es kann deaktiviert werden. Das nachfolgende Beispiel zeigt, wie mithilfe des Attributs AccountDisabled ein Benutzer deaktiviert werden kann, sodass er sich nicht mehr am System anmelden kann. Dazu wird mit GetObject() ein Verweis auf das User-Objekt erstellt und in der Variablen Benutzer gespeichert. Durch Setzen der Eigenschaft AccountDisabled auf den Wert True wird das UserObjekt angewiesen, das Konto zu sperren. Die Sperrung erfolgt erst mit dem Aufruf von SetInfo(). Die Umkehrung der Aktion ist mit der Zuweisung des booleschen Wertes Entsperrung False an die Eigenschaft AccountDisabled möglich.

857

19

Kapitel 19 Windows Script Host (WSH) Listing 19.26 Benutzerkonto deaktivieren [DeaktiviereKonto.vbs]

Option Explicit ' Variablen deklarieren Dim Benutzer ' Zugriff auf User-Objekt Set Benutzer= GetObject("WinNT://E60/HolgerSchwichtenberg,user") ' Deaktivierung Benutzer.AccountDisabled = True ' = False zum Reaktivieren! ' Cache schreiben Benutzer.SetInfo ' Meldung ausgeben Wscript.Echo "Benutzer HolgerSchwichtenberg deaktiviert!"

19.12.9 Löschen einer Gruppe Delete()

Zentraler Befehl beim Löschen eines Objekts ist die Methode Delete(), die nur von Container-Objekten (also den Klassen Domain und Computer) bereitgestellt wird. Delete() erwartet nicht nur den Namen des zu löschenden Objekts, sondern zuvor im ersten Parameter auch den Klassennamen. Bitte verwechseln Sie nicht die Methoden Remove() und Delete(). Remove() entfernt einen Benutzer aus einer Gruppe. Eine Gruppe gilt nicht als ein Container-Objekt, weil die Gruppe den Benutzer im engeren Sinne nicht enthält, sondern nur einen Verweis auf ihn speichert. Ein Objekt kann immer nur in einem Container sein. Wäre die Gruppe ein Container, könnte der Benutzer nur Mitglied einer einzigen Gruppe sein. Nach einem Remove() ist das Benutzerkonto immer noch vorhanden. Delete() dagegen entfernt einen Benutzer aus einem Container, sodass eine permanente Löschung stattfindet. Im nächsten Beispiel wird das Löschen einer Gruppe demonstriert. Dazu wird nach der Variablendeklaration der Variablen Container der Verweis auf das durch GetObject() erzeugte Domain- oder Computer-Objekt zugewiesen. Unter Angabe des Klassennamens Group und des Gruppennamens löscht die Delete()-Methode die Gruppe aus dem Container.

Sofortige Löschung Listing 19.27 Benutzergruppe löschen [LoescheGruppe.vbs]

858

Ein expliziter Aufruf von SetInfo() ist hier nicht notwendig. Die Löschung wird sofort durchgeführt. Option Explicit ' Variablen deklarieren Dim Container ' Konstanten definieren Const GRUPPENNAME ="Autoren" ' Zugriff auf Domain-Objekt Set Container = GetObject("WinNT://E60") ' Löschen der Gruppe Container.Delete "group", GRUPPENNAME ' Meldung ausgeben Wscript.Echo "Gruppe " & GRUPPENNAME & " wurde gelöscht!"

Scripting der Benutzerverwaltung

Löschen eines Benutzers Ein Benutzer wird gelöscht durch den Aufruf der Delete()-Methode des Verwechslungen Containers, indem er enthalten ist. Das folgende Beispiel zeigt das Löschen möglich eines Domänenbenutzers. Bei der Delete()-Methode ist – wie beim Erzeugen – der Klassenname User anzugeben, um Verwechslungen mit eventuell gleichnamigen Group-Objekten zu vermeiden. Der Aufruf von SetInfo() ist nicht notwendig; Delete() wird sofort ausgeführt! Option Explicit ' Variable deklarieren Dim Container ' Zugriff auf Domain-Objekt Set Container = GetObject("WinNT://E60") ' Benutzer löschen Container.Delete "user", "HolgerSchwichtenberg" ' Meldung ausgeben WScript.Echo "Benutzer gelöscht!"

Listing 19.28 Benutzergruppe löschen [LoescheBenutzer.vbs]

19

859

20

.NET Framework

Das Microsoft .NET Framework ist eine Laufzeitumgebung für Anwendungen, die mit einer sogenannten .NET-fähigen Programmiersprache (z.B. C#, Visual Basic ab Version 7.0, J# etc.) entwickelt wurden. Mit der zunehmenden Verbreitung .NET-basierter Anwendungen müssen sich Systemadministratoren mit dem .NET Framework beschäftigen, um den Betrieb von .NET-Anwendungen zu gewährleisten. Zudem basiert auch die Windows PowerShell auf dem .NET Framework. Man kann wesentlich mehr Erfolg mit der PowerShell erzielen, wenn man Grundlagen des .NET Frameworks beherrscht. In Windows 7 ist das .NET Framework in den Versionen 2.0, 3.0 und 3.5 im Standardinstallationsumfang des Betriebssystems enthalten. Die Versionen 1.0 und 1.1 (sowie nach Erscheinen auch 4.0) lassen sich optional als Zusatz installieren.

861

Kapitel 20 .NET Framework

Abbildung 20.1: Ein Blick in das .NET Framework-Installationsverzeichnis auf einem 64-Bit-Windows 7-System 10.000 Klassen

Das Microsoft .NET Framework ist ein extrem komplexes Gebilde. Zum Versionsstand 3.5 besteht es aus 9326 öffentlichen Klassen (nicht zu verwechseln mit den 7695 WMI-Klassen), es gibt mehr als 40 Programmiersprachen und weit mehr als 1000 Werkzeuge und Erweiterungen von Drittanbietern. Die Dokumentation umfasst mehr als schätzungsweise 500.000 Seiten, und eine seriöse Schulung dauert mindestens sechs Wochen. Jeglicher Versuch, hier auf drei Seiten .NET erklären zu wollen, ist zum Scheitern verurteilt. Dieses Buch kann hier nur einige Begriffe in den Raum werfen, die Erinnerungen an bekannte Konzepte aus Java oder anderen objektorientierten Hochsprachen wecken. Eine kompakte Einführung in .NET auf rund 750 Seiten finden Sie vom gleichen Autor in [SCH07].

862

Was ist das .NET Framework?

20.1 Was ist das .NET Framework? Das .NET Framework ist eine plattformunabhängige und programmiersprachenunabhängige Softwareentwicklungsplattform mit Unterstützung für die Programmierparadigmen: 왘 Objektorientierung (OOP) 왘 Komponentenorientierung (COP) 왘 Serviceorientierung (SOA) Plattformunabhängig bedeutet, dass .NET-Anwendungen ohne Neukom- Common pilierung auf jedem Prozessor und jedem Betriebssystem laufen können. Intermediate .NET-Anwendungen liegen normalerweise nicht in Maschinencode, son- Language dern in einem neutralen Zwischencode (Common Intermediate Language – CIL) vor. CIL wird erst zur Laufzeit durch den Just-In-Time-Compiler der .NET-Laufzeitumgebung (Common Language Runtime – CLR) in plattformspezifischen Maschinencode verwandelt. Programmiersprachenunabhängig bedeutet, dass .NET-Anwendungen Common Type in einer Vielzahl verschiedener Programmiersprachen geschrieben werden System können. Die Sprachcompiler müssen sich dazu lediglich an Regelwerke halten, die Common Type System (CTS) und Common Language Specification (CLS) heißen. Innerhalb einer Anwendung können verschiedene Programmiersprachen gemischt werden. Softwareentwicklungsplattform bedeutet, dass .NET zur Entwicklung Beliebige Anwenvon Software eingesetzt wird. Mit .NET kann man fast alle Arten von dungs-typen Software (Konsolenanwendungen, grafische Desktop-Anwendungen, Webanwendungen, Dienste) entwickeln. Ausgenommen sind Betriebssystemtreiber. Objektorientierung bedeutet, dass das .NET Framework konsequent die Klassen und Konzepte Klasse, Objekt, Schnittstellen und Vererbung einsetzt. Objekte sind Objekte Instanzen von Klassen. Klassen erben von anderen Klassen. Klassen haben Schnittstellen, die sie an ihre Instanzen weitergeben. Eine Klasse bzw. Schnittstelle besteht aus Attributen (Daten), Methoden (Operation) und Ereignissen.

20

Komponentenorientierung bedeutet, dass das .NET Framework die Zer- Assembly legung von Software in wiederverwendbare Bausteine unterstützt. Diese Bausteine heißen Assemblies und sind von außen betrachtet Bibliotheken (.dll) oder startbare Anwendungen (.exe). Serviceorientierung bedeutet, dass das .NET Framework die Entwicklung Services verteilter Systeme (Verteilung von Programmcode auf mehrere Rechnersysteme) mit lose gekoppelten Diensten unterstützt.

863

Kapitel 20 .NET Framework Abbildung 20.2 Wichtige Bausteine und Abstraktionsebenen des .NET Frameworks

Ausgewählte Bausteine von .NET 3.5 © www.IT-Visions.de / Dr. Holger Schwichtenberg 2008-2009

Eigene Anwendungen

X

Y

Z

...

Infrastruktursoftware

SharePoint Portal Server 2007

SQL Server 2008

PowerShell 2.0

BizTalk Server 2009

Programmiersprachen

C# 3.0

Visual Basic (.NET) 9.0

C++/CLI 9.0

IronPython 1.0

Windows Forms (System. Windows.Forms) 2.0

Zeichnen (System. Drawing) 2.0

Windows Presentation Foundation (System. Windows) 3.0

ASP.NETWeb Forms (System.Web) 2.0

Windows Workflow Foundation (System. Workflow) 3.0

Systemdienste (System.Service Process) 2.0

Systemmanagement (System. Management) 2.0

Application Services (System. Enterprise Services) 2.0

NetzwerkProgrammierung (System.Net) 2.0

.NET Remoting (System. Runtime. Remoting) 2.0

ASP.NETWebservices (ASMX) 2.0

Windows Communication Foundation (System. ServiceModel) 3.0

Relationale Datenbanken „ADO.NET“ (System.Data) 2.0

XML (System.Xml) 2.0

Ressourcen (System. Resources) 2.0

Konfiguration (System. Configuration) 2.0

Entity Framework (System. Data.Entity) 3.5

Elementare Datentypen (System) 2.0

Prozessverwaltung (System. Diagnostics) 2.0

IO (System.IO) 2.0

Metadaten (System. Reflection) 2.0

LINQ (System. LINQ) 3.5

Oberflächenbibliotheken

Sonstige nicht-visuelle Bibliotheken

Kommunikationsbibliotheken

Datenzugriffsbibliotheken

Basisbibliotheken

AJAX (System.Web. Extensions) 3.5

.NET-Klassenbibliothek

Common Language Runtime (CLR) 2.0 Laufzeitumgebung

Just-In-Time-Compiler, Speicherverwaltung, Multi-Threading, Fehlerbehandlung, Sicherheit, Verifikation, u.a.

Das .NET Framework ist der Nachfolger des Component Object Model (COM), wobei es mit diesem nicht mehr viel gemein hat. Das .NET Framework ist in weiten Teilen unter der Bezeichnung Common Language Infrastructure (CLI) bei der ECMA und der ISO standardisiert.

20.2 Weitere Eigenschaften des .NET Frameworks Basiseigenschaften

864

Einige weitere Eigenschaften des .NET Frameworks sollen hier erwähnt werden: 왘 Die Ausführungsgeschwindigkeit von .NET-Anwendungen ist hoch trotz der Zwischensprache. Sie ist langsamer als in C++ geschriebene Anwendungen, aber weit schneller als Anwendungen, die mit Visual Basic 6.0 oder einer Skriptsprache wie VBScript geschrieben wurden. 왘 Mehrere Versionen des .NET Frameworks und mehrere Versionen einer in .NET geschriebenen Software können auf einem System (problemlos) koexistieren (Side-by-Side-Executing).

.NET-Klassen 왘 Die Laufzeitumgebung entlastet den Programmierer, indem sie Routine-

왘

왘 왘

왘

왘

왘

왘

aufgaben automatisch erledigt (z.B. Speicherbereinigung, Verifikation) bzw. mächtige Grundfunktionen bereitstellt (z.B. Multithreading, Fehlerbehandlung). Die .NET-Klassenbibliothek stellt viele Funktionen bereit und ist konsistenter aufgebaut als die bisherigen C++- und COM-basierten Bibliotheken. Das .NET Framework setzt XML-Dateien zur Konfiguration von Anwendungen ein. Der Einsatz der Registrierungsdatenbank ist verpönt. Viele .NET-Anwendungen können durch einfaches Kopieren der Programmdateien auf einem System betrieben („installiert“) werden. Man spricht vom sogenannten XCopy-Deployment. Jede .NET-Assembly enthält zahlreiche Metadaten über die enthaltenen Klassen. Diese Metadaten können durch einen Mechanismus mit Namen Reflection ausgewertet werden. .NET-Anwendungen werden durch die Laufzeitumgebung in ihrem Wirken beschränkt (Sandkastenprinzip, vgl. Java). In vielen Fällen müssen zunächst explizite Sicherheitsfreigaben erfolgen. Schnittstellenverträge sind in .NET weniger streng, sodass Ergänzungen an Komponenten möglich sind und die Komponenten dadurch inkompatibel zu Software werden, die ältere Versionen einer Komponente verwendet. Das .NET Framework ist interoperabel zu anderen Plattformen: COM, C/C++ (Win32API), XML-Webservices (Drittanbieter: Java, CORBA).

.NET für Unix, Linux und Mac OS Mit dem Open-Source-Produkt Novell Mono [MON01] steht inzwischen eine kompatible Portierung des .NET Frameworks für andere Betriebssysteme zur Verfügung, sodass viele Anwendungen ohne Neukompilierung portiert werden können.

20

20.3 .NET-Klassen Die PowerShell basiert auf .NET-Klassen. Ein Nutzer der PowerShell benötigt ein Grundwissen über den Aufbau von .NET-Klassen, wenn er die PowerShell optimal nutzen möchte.

20.3.1

Namensgebung von .NET-Klassen (Namensräume)

Klassen werden in .NET nicht mehr durch GUIDs, sondern durch Zeichen- Namensräume ketten eindeutig benannt. Diese Zeichenketten sind hierarchische Namen (siehe Abbildung 20.3). Ein absoluter Klassenname besteht aus dem relativen Namen der Klasse und dem Namensraum (engl. Namespace). Ein Wurzelnamensraum (der Namensraum, der vorne steht im absoluten Klassen-

865


namen) kann auch Unternamensräume enthalten, sodass eine Namensraumhierarchie entsteht. Abbildung 20.3 Beispiel für eine .NET-Klasse mit Namensraumhierarchie

Absoluter Klassenname

Wurzelnamensraum

Relative Klassenname

System.DirectoryServices.ActiveDirectory.Domain Unternamenraum

Der relative Name muss nur innerhalb eines Namensraums eindeutig sein. Über alle Namensräume hinweg kann der Klassenname mehrfach vorkommen, denn der Namensraum ermöglicht im Zweifel die Unterscheidung. Dies ist vergleichbar mit Dateien und Ordnern in einem Dateisystem. Wurzelnamensräume

Im .NET Framework können beliebig viele Namensraumhierarchien parallel existieren, denn es gibt nicht nur einen, sondern mehrere Wurzelnamensräume. Die .NET-Klassenbibliothek besitzt zwei Wurzelnamensräume: System und Microsoft. Die speziellen Klassen für die PowerShell befinden sich unterhalb von System.Management.Automation. Im normalen Programmcode (C#, VB.NET etc.) wird eine Klasse über den absoluten Klassennamen oder – wenn der Namensraum vorher eingebunden wurde – über den relativen Klassennamen angesprochen. In der PowerShell muss immer der absolute Klassenname verwendet werden, da es keine Abkürzungsmöglichkeit gibt. Da es keine zentrale Stelle gibt, welche die Bezeichner für Namensräume vergibt, besteht grundsätzlich die Gefahr, dass es zu doppelten Typnamen kommt. Im Rahmen des CLI-Standards wurde deshalb folgende Notation festgelegt: Firmenname.Technologiename

Beispiele: Microsoft.Office PowerSoft.PowerBuilder Corel.CorelDraw AddisonWesley.Scripting

Es ist auch üblich, den Internetdomänennamen in umgekehrter Reihenfolge zu verwenden, also z.B. com.Microsoft.Office oder de.AddisonWesley .Scripting. Abbildung 20.4 Vergabe eines Namensraums

Namensraum

de.AddisonWesley.Scripting.Autor Klassenname

866

.NET-Klassen

Auch für die Namensgebung von Typen gibt es Regeln, die im CLI-Standard manifestiert sind. Für die Groß-/Kleinschreibung gilt grundsätzlich PascalCasing, d.h., ein Bezeichner beginnt grundsätzlich mit einem Großbuchstaben, und jedes weitere Wort innerhalb des Bezeichners beginnt ebenfalls wieder mit einem Großbuchstaben. Ausnahmen gibt es lediglich für Abkürzungen, die nur aus zwei Buchstaben bestehen. Diese dürfen komplett in Großbuchstaben geschrieben sein (z.B. UI und IO). Alle anderen Abkürzungen werden entgegen ihrer normalen Schreibweise in Groß-/Kleinschreibung geschrieben (z.B. Xml, Xsd und W3c). Es gibt weitergehende Regeln, die aber weit über den Rahmen dieses Buchs hinausführen würden. Mehr erfahren Sie in [SCH07].

20.3.2

Namensräume und Softwarekomponenten

Ein Namensraum ist eine Gruppierung von Klassen, die in Assemblies Hierarchien (Softwarekomponenten) implementiert sind. Der Namensraum ist unabhängig von dem Namen der Assembly. Ein Namensraum kann in beliebig vielen Assemblies implementiert werden, ebenso wie jede Assembly Typen zu beliebig vielen verschiedenen Namensräumen beisteuern kann. In der nachstehenden Abbildung sind die vertikalen dreidimensionalen Kästen die Assemblies und die horizontalen flachen Kästen die Namensräume. Man sieht, dass System.IO in System.dll und mscorlib.dll implementiert ist, es also keine System.IO.dll gibt. Die Gruppierung, also die Auswahl der Typen, die zu einem Namensraum gehören, sollte nach logischen oder funktionellen Prinzipien erfolgen. Im Gegensatz dazu sollte die Zusammenfassung von Typen zu einer Assembly gemäß den Bedürfnissen zur Verbreitung der Klassen (engl. Deployment) erfolgen. Ein Durchlaufen aller Namensräume auf einem System ist nicht ohne Weiteres möglich, weil es kein globales Verzeichnis aller Namensräume gibt. Dies würde eine Registrierung von Komponenten voraussetzen und daher dem Gedanken des XCopy-Deployment widersprechen. Möglich wäre aber die Suche nach .dll-/.exe-Dateien im Dateisystem und eine Einzelprüfung dieser DLLs darauf, ob sie Typen enthalten.

20

Um die Klassen aus einem .NET-Namensraum nutzen zu können, muss die Referenzierung Assembly, die diesen Teil des Namensraum implementiert, in der Anwendung, welche die Klasse nutzen möchte, eingebunden (referenziert) werden. Man erstellt Referenzen auf Assemblies, nicht auf Namensräume. Die PowerShell referenziert automatisch alle wichtigen Assemblies der .NETKlassenbibliothek. Möchte man zusätzliche Assemblies (z.B. auch von Drittanbietern) nutzen, so muss man diese einbinden.

867

Kapitel 20 .NET Framework Abbildung 20.5 Der Namensraum ist unabhängig vom Namen der Assembly.

mscorlib.dll

system.dll

system.web.dll

Namensraum „System“ Namensraum „System.Reflection“ Namensraum „System.IO“

Namensraum „System.Web“ Namensraum „System.Runtime“ Namensraum „System.Threading“ © Holger Schwichtenberg 2005

20.3.3

Bestandteile einer .NET-Klasse

Eine .NET-Klasse ist ein Typ im Sinne der objektorientierten Programmierung und besteht daher aus der Vereinigung von Daten und Operationen. Eine .NET-Klasse besteht aus fünf Arten von Mitgliedern: Attribute, Methoden, Ereignisse, Konstruktoren und maximal ein Destruktor. Attribute

왘 Attribute

Attribute sind Datenmitglieder einer Klasse. Es gibt in .NET zwei Unterarten von Attributen: Felder (engl. Fields) und Eigenschaften (engl. Properties). Field

Fields sind Attribute, bei denen der Nutzer des Objekts direkt einen bestimmten Speicherplatz innerhalb des Objekts beschreibt. Er kann alle dem Datentyp des Feldes entsprechenden Werte in das Feld schreiben, ohne dass eine weitere Prüfung erfolgt.

Property

Im Gegensatz dazu wird bei einer Property bei jedem Schreib- und Lesezugriff Programmcode ausgeführt, bei dem z.B. Prüfungen durchgeführt werden können. So kann der Gültigkeitsbereich auf beliebige Werte beschränkt werden. Zu einer Property gehört eine GetterMethode (Get) und/oder eine Setter-Methode (Set). Wie und ob überhaupt die übergebenen Werte verarbeitet werden, ist in diesen Methoden zu implementieren. In der Regel gehört zu einem Property ein privates, also nur innerhalb des Objekts zugängliches Feld.

Indexer

Aus der Sicht des Nutzers der Klasse gibt es fast keinen Unterschied zwischen Fields und Properties. Eine Property kann jedoch Parameter besitzen und wird dann Indexer (indiziertes Attribut) genannt. Der Lesezugriff sieht dann aus wie der Aufruf einer Methode: element = collection.item(0)

868

.NET-Klassen

Beim Schreibzugriff fällt allerdings schon auf, dass es sich nicht um eine Methode handelt, denn einer solchen könnte kein Wert zugewiesen werden: collection.item(2) = "Guten Tag"

Ein Indexer kann als ein Array von Attributen betrachtet werden. 왘 Methoden

Methode

Methoden sind in Klassen implementierte Unterprogramme. Eine Klasse enthält in der Regel eine Implementierung zu den Methoden. Eine Klasse kann aber auch einzelne abstrakte Methoden (auch virtuelle Methoden genannt) besitzen oder aber komplett abstrakt (auch rein virtuelle Klasse genannt) sein. Eine abstrakte Klasse kann nicht instanziiert werden. 왘 Konstruktoren

Konstruktor

Ein Konstruktor ist eine Unterroutine, die bei der Instanziierung der Klasse aufgerufen wird. Konstruktoren können Parameter haben, die bei der Instanziierung anzugeben sind. 왘 Destruktor

Destruktor

Jede Klasse kann einen Destruktor mit dem Namen Finalize() besitzen, der aufgerufen wird, bevor die automatische Speicherverwaltung die Instanz im Speicher freigibt. 왘 Ereignisse

Ereignis

Nutzer eines Objekts können ihr Interesse an von der Klasse definierten Ereignissen bekunden, indem sie dem Objekt einen Zeiger auf ein Unterprogramm übergeben, welches das Objekt beim Eintritt bestimmter Bedingungen aufruft. Mitglieder einer Klasse können den einzelnen Instanzen (Instanzmitglieder) und der Klasse selbst (Klassenmitglieder oder statische Mitglieder genannt) zugeordnet sein. Eine Klasse wird als statische Klasse bezeichnet, wenn sie nur statische Mitglieder besitzt. Statische Klassen und statische Mitglieder erfordern eine Sonderbehandlung in der PowerShell, die an gegebener Stelle erläutert werden wird.

20.3.4

Instanzmitglieder vs. Klassenmitglieder

20

Vererbung

.NET unterstützt (Einfach-)Vererbung zwischen Klassen, d.h., eine Klasse kann Mitglieder von maximal einer anderen Klasse übernehmen. Als Nutzer der PowerShell haben Sie zunächst wenig mit Vererbung zu tun, in der Dokumentation werden Sie aber auf Hinweise auf Vererbung stoßen.

20.3.5

Schnittstellen

.NET erlaubt die explizite Definition von Schnittstellen zur Entkopplung der Beschreibung der Mitglieder einer Klasse von der Implementierung dieser Mitglieder. Schnittstellen sind für den Nutzer der PowerShell nicht relevant. Wichtig ist nur, dass Sie wissen, dass man Schnittstellen nicht instanziieren kann mit dem PowerShell-Commandlet New-Object. Schnittstellen erkennt man an dem vorangestellten großen „ I“, z.B. IDataAdapter.

869


20.3.6 Aufgaben für die Administration

Konfiguration von .NET-Anwendungen

Administrative Aufgaben können im .NET Framework an zwei Stellen anfallen: 왘 Konfiguration des .NET-Sicherheitssystems 왘 Konfiguration der Abhängigkeiten von Softwarekomponenten

Werkzeug „.NET Framework-Konfiguration“ Das .NET Framework legt alle Konfigurationsdaten nicht in der Registrierungsdatenbank, sondern in XML-Dateien ab. Man kann diese XML-Dateien direkt mit einem Texteditor bearbeiten, dies ist jedoch nicht empfehlenswert. Es ist besser, dafür ein MMC-Snap-in mit Namen „.NET Framework-Konfiguration“ zu verwenden, das als Teil des .NET Framework 2.0 Software Development Kits oder als Teil des Windows 6.0 Software Development Kits kostenlos von Microsoft bereitgestellt wird. In .NET 1.0 und 1.1 war dieses Werkzeug noch Teil des .NET Framework Redistributable und damit automatisch auf jedem System vorhanden, auf dem .NET installiert war.

20.3.7

Konfiguration des .NETSicherheitssystems

Das .NET-Sicherheitssystem (alias Code Access Security – CAS) besteht aus zwei Kernbausteinen: Codegruppen

왘 Mit Codegruppen (Code Groups) grenzt man verschiedene Herkunfts-

quellen von Programmcode voneinander ab. Eine Codegruppe basiert auf einer Eigenschaft der Anwendung oder Herkunftsbedingung. Mögliche Bedingungen sind Hash, Publisher, Site, Strong Name, URL, Zone. Berechtigungs- 왘 Ein Berechtigungssatz (Permission Set) ist eine definierte Menge von sätze Rechten. Es gibt verschiedene Systemobjekte, auf die Rechte vergeben

werden können. Systemobjekte sind zum Beispiel Directory Services, DNS, Event Log, File IO, OLEDB, Printing, Registry, User Interface und File Dialog. Ein Administrator kann im MMC-Snap-in .NET Framework-Konfiguration im Ast Laufzeitsicherheitsrichtlinie sowohl Codegruppen als auch Berechtigungssätze definieren. Häufig wird es aber nur erforderlich sein, dass man einer vorhandenen (bzw. bei Installation einer Anwendung erzeugten) Gruppe einen bestimmten Berechtigungssatz zuweist. Die Speicherung dieser Informationen erfolgt in XML-Dateien im Verzeichnis c:\Windows\.NET Framework\\config.

870

.NET-Klassen Abbildung 20.6 Zuordnung eines Berechtigungssatzes zu einer Codegruppe (Hinweis: Die .NET-MMCKonsole wurde seit .NET 2.0 nicht aktualisiert.)

Konfiguration der Abhängigkeiten von Softwarekomponenten Softwarekomponenten im .NET Framework (alias Assemblies) können Assembly auf andere Komponenten (.exe oder .dll) verweisen und diese nutzen. Das Resolver .NET Framework verwendet im Gegensatz zu früheren Ansätzen zum Auffinden einer referenzierten Komponente weder ein zentrales Verzeichnis wie System32 noch die Registrierungsdatenbank, sondern ein sogenannter Assembly Resolver sucht die Komponente relativ zum Standort der Anwendung. Dabei wird die in der Anwendung hinterlegte Versionsnummer der referenzierten Softwarekomponente berücksichtigt. Durch XML-basierte Anwendungskonfigurationsdateien mit der doppelten Dateiextension .exe.config kann die Arbeit des Assembly Resolvers spezifisch für jede einzelne Anwendung beeinflusst werden. Hier können zwei typische Konfigurationsaufgaben anfallen: 왘 Festlegung der Suchpfade für den Assembly Resolver 왘 Umlenkung einer Version, sodass der Assembly Resolver eine Softwarekomponente in einer anderen Version als der in der Anwendung hinterlegten akzeptiert. Diese Option existiert nur für digital signierte Softwarekomponenten. Anwendungskonfigurationsdateien können direkt durch einen XML-Editor (oder einen einfachen Texteditor) bearbeitet werden oder durch das MMCSnap-in .NET Framework-Konfiguration. In der MMC muss eine zu konfigurierende Anwendung zunächst zum Ast Anwendungen hinzugefügt werden (Hinzufügen im Kontextmenü). In den Eigenschaften der Anwendung können dann Suchpfade für die verwendeten Komponenten angegeben werden. Im Ast Konfigurierte Assemblies können Versionsumlenkungen oder dedizierte Standorte für einzelne Assemblies festgelegt werden.

20

Anwendungskonfigurationsdateien bearbeiten

871


Abbildung 20.7: Festlegung von Suchpfaden

Abbildung 20.8: Festlegung einer Versionsumlenkung

872

21

Einführung in die Windows PowerShell (WPS)

Das DOS-ähnliche Kommandozeilenfenster hat viele Windows-Versionen in beinahe unveränderter Form überlebt. Mit der Windows PowerShell (WPS) besitzt Microsoft nun endlich einen Nachfolger, der es mit den Unix-Shells aufnehmen und diese in Hinblick auf Eleganz und Robustheit in einigen Punkten auch überbieten kann. Die PowerShell ist eine Adaption des Konzepts von Unix-Shells auf Windows unter Verwendung des .NET Frameworks und mit Anbindung an die Windows Management Instrumentation (WMI). Aus produktionstechnischen Gründen sind einige Bildschirmabbildungen in diesem Kapitel nicht mit Windows 7 erstellt, sondern mit Windows Server 2003 oder 2008.

21.1 Was ist die Windows PowerShell? In einem Satz: Die Windows PowerShell (WPS) ist eine neue, .NET-basierte Umgebung für interaktive Systemadministration und Scripting auf der Windows-Plattform. Die Kernfunktionen der PowerShell sind: Kernfunktionen 왘 Zahlreiche eingebaute Befehle, die „ Commandlets“ genannt werden. 왘 Robuster Datenaustausch zwischen Commandlets durch Pipelines 왘 Zugang zu allen Systemobjekten, die durch COM-Bibliotheken, das .NET Framework und die Windows Management Instrumentation (WMI) bereitgestellt werden. 873

Kapitel 21 Einführung in die Windows PowerShell (WPS) 왘 Ein einheitliches Navigationsparadigma für verschiedene Speicher

왘 왘 왘 왘

(z.B. Dateisystem, Registrierungsdatenbank, Zertifikatsspeicher und Active Directory) Eine einfach zu erlernende, aber mächtige Skriptsprache Ein Sicherheitsmodell, das die Ausführung unerwünschter Skripte unterbindet Integrierte Funktionen für Ablaufverfolgung und Debugging Die PowerShell kann in eigene Anwendungen integriert werden (Hosting).

Abbildung 21.1 Ein leeres Konsolenfenster der PowerShell 2.0, die immer noch im Verzeichnis „v1.0“ liegt

21.2 Geschichte Von Active Scripting zu PowerShell

Das Active Scripting ist einigen Administratoren zu komplex, weil es viel Wissen über objektorientiertes Programmieren und das Component Object Model (COM) voraussetzt. Die vielen Ausnahmen und Ungereimtheiten im Active Scripting erschweren das Erlernen von Windows Script Host (WSH) und der zugehörigen Komponentenbibliotheken. Schon im Zuge der Entwicklung des Windows Server 2003 gab Microsoft zu, dass man Unix-Administratoren zum Interview über ihr tägliches Handwerkszeug gebeten hatte. Das kurzfristige Ergebnis war eine große Menge zusätzlicher Kommandozeilenwerkzeuge. Langfristig setzt Microsoft jedoch auf eine Ablösung des DOS-ähnlichen Konsolenfensters durch eine neue Scripting-Umgebung. Mit dem Erscheinen des .NET Frameworks im Jahre 2002 wurde lange über einen WSH.NET spekuliert. Microsoft stellte jedoch die Neuentwicklung des WSH für das .NET Framework ein, als abzusehen war, dass die Verwendung von .NET-basierten Programmiersprachen wie C# und Visual Basic .NET dem Administrator nur noch mehr Kenntnisse über objektorientierte Softwareentwicklung abverlangen würde. Microsoft beobachtete in der Unix-Welt eine hohe Zufriedenheit mit den dortigen Kommandozeilen-Shells und entschloss sich daher, das Konzept der Unix-Shells, insbesondere das Pipelining, mit dem .NET Framework zusammenzubringen und daraus eine .NET-basierte Windows Shell zu

874

Bestandteil von Windows 7

entwickeln, die so einfach ist wie eine Unix-Shell, aber so mächtig sein kann wie das .NET Framework. In einer ersten Beta-Version wurde die neue Shell schon unter dem Codenamen „Monad“ auf der Professional Developer Conference (PDC) im Oktober 2003 in Los Angeles vorgestellt. Nach den Zwischenstufen „Microsoft Shell (MSH)“ und „ Microsoft Command Shell“ trägt die neue Skriptumgebung seit Mai 2006 den Namen „ Windows PowerShell“. Die fertige Version der Windows PowerShell 1.0 ist am 14.11.2006 auf der TechEd Europe 2006 dem Markt übergeben worden. Die PowerShell 2.0 ist am 6.8.2009 als Bestandteil von Windows 7 und am 15.8.2009 als Bestandteil von Windows Server 2008 R2 erschienen.

21.3 Bestandteil von Windows 7 Die Windows PowerShell ist Bestandteil von Windows 7 und muss (im Separates Gegensatz zu Windows Vista vor Service Pack 1) nicht mehr separat instal- Add-On liert werden. Enthalten ist die PowerShell in Version 2.0. Auch in Windows Server 2008 R2 ist die PowerShell 2.0 enthalten. Die PowerShell 2.0 soll es auch für andere Betriebssysteme geben. Bis zum Redaktionsschluss gab es ein solches Installationspaket aber erst als Vorabversion auf Microsoft Connect (connect.microsoft.com). Dort ist die PowerShell enthalten im Paket Windows Management Framework (WMF, 19,58 MB) für Vista und Windows Server 2008. Diese Version ist auf der Buch-CD enthalten. HINWEIS: Die PowerShell 2.0 installiert sich in folgendes Verzeichnis: %systemroot%\system32\WindowsPowerShell\V1.0 (die Angabe „ 1.0“ ist hier kein Tippfehler). Auf 64-Bit-Systemen gibt es die PowerShell 2.0 zweimal, einmal als 64-Bit-Version und als 32-Bit-Version. Letztere findet man unter %systemroot%\Syswow64\WindowsPowerShell\V1.0. Die 32-Bit-Version braucht man, wenn man eine Bibliothek nutzen will, für die es keine 64-Bit-Version gibt, z.B. den Zugriff auf Microsoft Access-Datenbanken.

21.4 Architektur Die Microsoft PowerShell ist eine Symbiose aus: 왘 dem DOS-Kommandozeilenfenster, 왘 den bekannten Skript- und Shell-Sprachen wie Perl, Ruby, ksh und bash, 왘 dem .NET Framework und 왘 der Windows Management Instrumentation (WMI).

21

Die PowerShell ist implementiert auf dem .NET Framework Version 2.0. Basis ist .NET 2.0 Einige Funktionen der PowerShell 2.0 brauchen jedoch .NET Framework 3.5. tlw. 3.5 Die PowerShell ist jedoch kein .NET Runtime Host mit der Möglichkeit, Befehle der Common Intermediate Language (CIL) auf der Common Language Runtime (CLR) auszuführen.

875

Kapitel 21 Einführung in die Windows PowerShell (WPS)

Die PowerShell verwendet ein völlig anderes Host-Konzept mit Commandlets, Objekt-Pipelines und einer neuen Sprache, die von Microsoft als PowerShell Language (PSL) bezeichnet wird. Sie ist Perl, Ruby, C# und einigen Unix-Shell-Sprachen sehr ähnlich, aber mit keiner Unix-Shell kompatibel. Nutzer der WMI Command Shell (wmic.exe), die mit Windows XP eingeführt wurde, werden sich in der PowerShell schnell zurechtfinden. Die PowerShell ist angetreten, vom Administrator weniger Kenntnisse in Objektorientierung und Softwarekomponenten zu verlangen, als dies der Vorgänger Windows Script Host (WSH) tat. Tatsächlich kann man in der PowerShell viel erreichen, ohne sich mit dem zugrunde liegenden .NET Framework zu beschäftigen. Dennoch: Wer alle Möglichkeiten der PowerShell nutzen will, braucht dann aber doch etwas Verständnis für objektorientiertes Programmieren und Erfahrung mit dem .NET Framework. Unix-Shells

Abbildung 21.2 Einflussfaktoren auf die Architektur und die Umsetzung der PowerShell

Microsoft DOS-Shell , ing x , lin nta n pe hsy me i P c na ra l s Sp feh Be

O Be ber feh flä lsn che am , en

PowerShell

t

Ko

Klassen, Sicherheitsko nzep

, ng , ru ten tie en ir en pon , to m n jek ko ctio Ob ware efle sen t f R las K So

m m an do z e Kl a ile ss nw en er , kz eu g

.NET Framework Windows Script Host

Perl, C#

ntax Sprachsy

wm ic.

ex e

Windows Management Instrumentation (WMI)

21.5 PowerShell versus WSH Administratoren fragen sich oft, wie sich die PowerShell im Vergleich zum Windows Script Host (WSH) positioniert, womit man neue Scripting-Projekte beginnen sollte und ob der WSH bald aus Windows verschwinden wird. Die folgende Tabelle trägt Fakten zusammen und bewertet auch die beiden Scripting-Plattformen.

Erstmals erschienen Aktueller Versionsstand Basisplattform


Windows PowerShell (WPS)

1998

2006

5.8

2.0

COM

.NET

Tabelle 21.1: Vergleich WSH und PowerShell

876

PowerShell versus WSH


Windows PowerShell (WPS)

Derzeitiger Funktionsumfang

Sehr umfangreich

Weiterentwicklung der Laufzeitumgebung Weiterentwicklung der Bibliotheken Weiterentwicklung der Werkzeuge Plattformen

Nein, nicht mehr geplant

Direkter Funktionsumfang in Form von Commandlets noch spärlich; über Interoperabilität zu COM und .NET sehr umfangreiche Funktionen; Zahl der Commandlets wächst aber rasch. Erst in einigen Jahren ist eine breite Unterstützung durch die Produktteams von Microsoft zu erwarten. Ja, Version 3.0 in Arbeit.

Ja, umfangreich (COM wird auch in Zukunft noch eine wichtige Rolle spielen) Nein

Ja, zahlreiche Commandlet-Erweiterungen erscheinen mit kommenden Microsoft-Produkten. Ja

Alle Windows-Betriebssysteme ab Windows 95/NT 4.0 Mächtig Alle COM-Komponenten mit IDispatch-Schnittstelle

Nur XP, 2003, Vista, Windows Server 2008, Windows 7 Sehr mächtig Alle .NET-Komponenten, alle COMKomponenten

Alle Betriebssystemfunktionen

Alle Betriebssystemfunktionen

Skriptgeneratoren, Debugger

Bislang keine (*)

Editoren, Debugger, Scriptgeneratoren Einige Administratoren kennen sich gut aus, es gibt aber immer noch viele, die jetzt erst mit WSH beginnen, was sich daran zeigt, dass der WSH immer noch ständig unter den 20 meistgeladenen Downloads bei MSDN ist. Hoch

Editoren, Debugger, Skriptgeneratoren

Basissyntax Direkte Scripting-Möglichkeiten Scripting-Möglichkeiten über Wrapper Werkzeuge von Microsoft Werkzeuge von Drittanbietern Erfahrung der Nutzer

Einarbeitungsaufwand Migrationsoptionen Informationsverfügbarkeit Zu erwartender Zeitraum mit breitem Einsatz des Produkts

Gering Hoch zur Laufzeitumgebung, gering zu spezielleren Themen ca. 2015

Bisher kaum Erfahrung im Markt vorhanden.

21

Mittel bis hoch (je nach Art der PowerShell-Nutzung) Keine Gering, aber wachsend Mindestens 2030 (vgl. DOS-Shell)

Tabelle 21.1: Vergleich WSH und PowerShell (Forts.)

877

Kapitel 21 Einführung in die Windows PowerShell (WPS) Ein Beispiel zur Motivation Zur Motivation, sich mit der Windows PowerShell zu beschäftigen, soll folgendes Beispiel aus der Praxis dienen. Es soll ein Inventarisierungsskript für Software erstellt werden, das die installierten MSI-Pakete mithilfe der Windows Management Instrumentation (WMI) von mehreren Computern ausliest und die Ergebnisse in einer CSV-Datei (softwareinventar.csv) zusammenfasst. Die Namen (oder IP-Adressen) der abzufragenden Computer sollen in einer Textdatei (computernamen.txt) stehen.

Die Lösung mit dem WSH benötigt 90 Codezeilen (inklusive Kommentare und Parametrisierungen). In der Windows PowerShell lässt sich das Gleiche in nur 13 Zeilen ausdrücken. Wenn man auf die Kommentare und die Parametrisierung verzichtet, dann reicht sogar genau eine Zeile. Listing 21.1 Softwareinventarisierung – Lösung 1 mit dem WSH

Option Explicit ' --- Settings Const InputFileName = "computers.txt" Const OutputFileName = "softwareinventory.csv" Const Query = "SELECT * FROM Win32_Product where not Vendor like '%Microsoft%'" Dim Dim Dim Dim Dim Dim

objFSO' Filesystem Object objTX ' Textfile object i ' Counter Computer ' Current Computer Name InputFilePath ' Path for InputFile OutputFilePath ' Path of OutputFile

' --- Create objects Set objFSO = CreateObject("Scripting.FileSystemObject") ' --- Get paths InputFilePath = GetCurrentPath & "\" & InputFileName OutputFilePath = GetCurrentPath & "\" & OutputFileName ' --- Create headlines Print _ "Computer" & ";" & _ "Name" & ";" & _ "Description" & ";" & _ "Identifying Number" & ";" & _ "Install Date" & ";" & _ "Install Directory" & ";" & _ "State" & ";" & _ "SKU Number" & ";" & _ "Vendor" & ";" & _ "Version" ' --- Read computer list Set objTX = objFSO.OpenTextFile(InputFilePath) ' --- Loop over all computers

878

PowerShell versus WSH Do While Not objTX.AtEndOfStream Computer = objTX.ReadLine i = i + 1 WScript.Echo "=== Computer #" & i & ": " & Computer GetInventory Computer Loop ' --- Close Input File objTX.Close ' === Get Software inventory for one computer Sub GetInventory(Computer) Dim objProducts Dim objProduct Dim objWMIService ' --- Access WMI Set objWMIService = GetObject("winmgmts:" &_ "{impersonationLevel=impersonate}!\\" & Computer &_ "\root\cimv2") ' --- Execeute WQL query Set objProducts = objWMIService.ExecQuery(Query) ' --- Loop For Each objProduct In objProducts Print _ Computer & ";" & _ objProduct.Name & ";" & _ objProduct.Description & ";" & _ objProduct.IdentifyingNumber & ";" & _ objProduct.InstallDate & ";" & _ objProduct.InstallLocation & ";" & _ objProduct.InstallState & ";" & _ objProduct.SKUNumber & ";" & _ objProduct.Vendor & ";" & _ objProduct.Version Next End Sub ' === Print Sub Print(s) Dim objTextFile Set objTextFile = objFSO.OpenTextFile(OutputFilePath, 8, True) objTextFile.WriteLine s objTextFile.Close End Sub

21

' === Get Path to this script Function GetCurrentPath GetCurrentPath = objFSO.GetFile (WScript.ScriptFullName).ParentFolder End Function

879

Kapitel 21 Einführung in die Windows PowerShell (WPS) Listing 21.2 Softwareinventarisierung – Lösung 2 als Windows PowerShell-Script

# Settings $InputFileName = "computers.txt" $OutputFileName = "softwareinventory.csv" $Query = "SELECT * FROM Win32_Product where not Vendor like '%Microsoft%'" # Read computer list $Computers = Get-Content $InputFileName # Loop over all computers and read WMI information $Software = $Computers | foreach { get-wmiobject -query $Query -computername $_ } # Export to CSV $Software | select Name, Description, IdentifyingNumber, InstallDate, InstallLocation, InstallState, SKUNumber, Vendor, Version | export-csv $OutputFileName -notypeinformation

Listing 21.3 Softwareinventarisierung – Lösung 3 als Windows PowerShell-Pipeline-Befehl

get-content "computers.txt" | foreach {get-wmiobject -computername $_ -query "SELECT * FROM Win32_Product where not Vendor like '%Microsoft%'" } | export-csv "Softwareinventory.csv" -notypeinformation

21.6 Einzelbefehle der PowerShell Die PowerShell kennt folgende Arten von Einzelbefehlen: 왘 Commandlets 왘 Aliase 왘 Ausdrücke 왘 Externe Befehle 왘 Dateinamen

21.6.1 Commandlet

Commandlets

Ein einzelner PowerShell-Befehl heißt Commandlet (kurz: Cmdlet) oder Function. Hier in diesem Kapitel geht es zunächst nur um Commandlets. Eine Funktion ist eine Möglichkeit, in der PowerShell selbst wieder einen Befehl zu erstellen, der funktioniert wie ein Commandlet. Da die Unterscheidung zwischen Commandlets und Funktionen zum Teil akademischer Art ist, erfolgt hier zunächst keine Differenzierung. Ein Commandlet besteht typischerweise aus drei Teilen: 왘 einem Verb, 왘 einem Substantiv und 왘 einer (optionalen) Parameterliste. Verb und Substantiv werden durch einen Bindestrich „–“ voneinander getrennt, die optionalen Parameter durch Leerzeichen. Daraus ergibt sich der folgende Aufbau:

880

Einzelbefehle der PowerShell Verb-Substantiv [-Parameterliste]

Die Groß- und Kleinschreibung ist bei den Commandlet-Namen nicht relevant. Ein einfaches Beispiel ohne Parameter lautet: Get-Process

Dieser Befehl holt eine Liste aller Prozesse. Die Tabulatorvervollständigung in der PowerShell-Konsole funktioniert bei Commandlets, wenn man das Verb und den Strich bereits eingegeben hat, z.B. Export-(ÿ). Auch Platzhalter kann man dabei verwenden. Die Eingabe Get-?e*(ÿ) liefert Get-Help (ÿ) Get-Member (ÿ) Get-Service.

Commandlet-Parameter Durch Angabe eines Parameters werden nur diejenigen Prozesse ange- Parameter zeigt, deren Name auf das angegebene Muster zutrifft: Get-Process i*

Ein weiteres Beispiel für einen Befehl mit Parameter ist: Get-Childitem c:\daten Get-Childitem listet alle Unterobjekte des angegebenen Objekts (c:\daten)

auf, also alle Dateien und Verzeichnisse unterhalb dieses Dateiverzeichnisses. Parameter werden als Zeichenkette aufgefasst – auch wenn sie nicht explizit in Anführungszeichen stehen. Die Anführungszeichen sind optional. Man muss Anführungszeichen nur verwenden, wenn Leerzeichen vorkommen: Get-Childitem "C:\Program Files"

Alle Commandlets haben zahlreiche Parameter, die durch Namen voneinander unterschieden werden. Ohne die Verwendung von Parameternamen werden vordefinierte Standardattribute belegt, d.h., die Reihenfolge ist entscheidend. Get-Childitem C:\temp *.doc

21

bedeutet das Gleiche wie: Get-Childitem -Path C:\temp -Filter *.doc

Wenn ein Commandlet mehrere Parameter besitzt, ist die Reihenfolge der Parameter entscheidend, oder der Nutzer muss die Namen der Parameter mit angeben. Alle folgenden Befehle sind gleichbedeutend: Get-Childitem C:\temp *.doc Get-Childitem -Path C:\temp -Filter *.doc Get-Childitem -Filter *.doc -Path C:\temp

881


Bei der Angabe von Parameternamen kann man die Reihenfolge der Parameter ändern: Get-Childitem -Filter *.doc -Path C:\temp

Hingegen ist Folgendes falsch, weil die Parameter nicht benannt sind und die Reihenfolge falsch ist: Get-Childitem *.doc C:\temp Weitere Beispiele Get-service -exclude "[k-z]*"

zeigt nur diejenigen Systemdienste an, deren Name nicht mit den Buchstaben „ k“ bis „ z“ beginnt. Auch mehrere Parameter können der Einschränkung dienen. Der folgende Befehl liefert nur die Benutzereinträge aus einem bestimmten Active Directory-Pfad: Get-ADObject -dis "LDAP://E02/ou=Geschäftsführung,OU= www.IT-Visions.de,dc=IT-Visions,dc=local" -class user

(Setzt PSCX voraus) Tabulatorvervollständigung klappt auch bei Parametern. Versuchen Sie mal folgende Eingabe an der PowerShell-Konsole: Get-Childitem -(ÿ) Platzhalter An vielen Stellen sind Platzhalter bei den Parameterwerten

erlaubt. Eine Liste aller Prozesse, die mit einem „ i“ anfangen, erhält man so: Get-Process i* Weitere Aspekte zu Commandlets Beachten Sie, dass bei den Commandlets

das Substantiv im Singular steht, auch wenn eine Menge von Objekten abgerufen wird. Das Ergebnis muss nicht immer eine Objektmenge sein. Beispielsweise liefert Get-Location

nur ein Objekt mit dem aktuellen Pfad. Mit Set-Location c:\windows

wechselt man den aktuellen Pfad. Diese Operation liefert gar kein Ergebnis. Die Groß- und Kleinschreibung der Commandlet-Namen und der Parameternamen ist irrelevant. Verben

882

Gemäß der PowerShell-Konventionen soll es nur eine begrenzte Menge wiederkehrender Verben geben: Get, Set, Add, New, Remove, Clear, Push, Pop, Write, Export, Select, Sort, Update, Start, Stop, Invoke usw. Außer diesen Basisoperationen gibt es auch Ausgabekommandos wie out und format. Auch Bedingungen werden durch diese Syntax abgebildet (Where-Object).

Einzelbefehle der PowerShell

Die PowerShell erzeugt beim Start einen Prozess. In diesem Prozess lau- Prozessmodell fen alle Commandlets. Dies ist ein Unterschied zum DOS-ähnlichen Windows-Kommandozeilenfenster, bei dem die ausführbaren Dateien (.exe) in eigenen Prozessen laufen.

21.6.2

Aliase

Durch sogenannte Aliase kann die Eingabe von Commandlets verkürzt Namenswerden. So ist dir als Alias für Get-Childitem oder help für Get-help vorde- ersetzungen finiert. Statt Get-Childitem c:\ kann also auch geschrieben werden: dir c:\. Ebenso als Alias definiert ist der DOS-Befehl cd, der hier Set-Location repräsentiert. ps ist ein Alias für Get-Process.

Aliase auflisten Durch Get-Alias (oder den entsprechenden Alias aliases) erhält man eine Liste aller vordefinierten Abkürzungen in Form von Instanzen der Klasse System.Management.Automation.AliasInfo. Durch Angabe eines Namens bei Get-Alias erhält man die Bedeutung eines Alias: Get-Alias pgs

Möchte man zu einem Commandlet alle Aliase wissen, muss man allerdings schreiben: Get-Alias | Where-Object { $_.definition -eq "get-process" }

Dies erfordert schon den Einsatz einer Pipeline, die erst im nächsten Kapitel besprochen wird. Alias

Commandlet

%

ForEach-Object

?

Where-Object

ac

Add-Content

asnp

Add-PSSnapIn

cat

Get-Content

cd

Set-Location

chdir

Set-Location

clc

Clear-Content

clear

Clear-Host

clhy

Clear-History

cli

Clear-Item

clp

Clear-ItemProperty

cls

Clear-Host

21

Tabelle 21.2: Vordefinierte Aliase in der PowerShell 2.0

883


Alias

Commandlet

clv

Clear-Variable

compare

Compare-Object

copy

Copy-Item

cp

Copy-Item

cpi

Copy-Item

cpp

Copy-ItemProperty

cvpa

Convert-Path

dbp

Disable-PSBreakpoint

del

Remove-Item

diff

Compare-Object

dir

Get-ChildItem

ebp

Enable-PSBreakpoint

echo

Write-Output

epal

Export-Alias

epcsv

Export-Csv

epsn

Export-PSSession

erase

Remove-Item

etsn

Enter-PSSession

exsn

Exit-PSSession

fc

Format-Custom

fl

Format-List

foreach

ForEach-Object

ft

Format-Table

fw

Format-Wide

gal

Get-Alias

gbp

Get-PSBreakpoint

gc

Get-Content

gci

Get-ChildItem

gcm

Get-Command

gcs

Get-PSCallStack

gdr

Get-PSDrive

ghy

Get-History

gi

Get-Item

gjb

Get-Job

gl

Get-Location

Tabelle 21.2: Vordefinierte Aliase in der PowerShell 2.0 (Forts.)

884


Alias

Commandlet

gm

Get-Member

gmo

Get-Module

gp

Get-ItemProperty

gps

Get-Process

group

Group-Object

gsn

Get-PSSession

gsnp

Get-PSSnapIn

gsv

Get-Service

gu

Get-Unique

gv

Get-Variable

gwmi

Get-WmiObject

h

Get-History

history

Get-History

icm

Invoke-Command

iex

Invoke-Expression

ihy

Invoke-History

ii

Invoke-Item

ipal

Import-Alias

ipcsv

Import-Csv

ipmo

Import-Module

ipsn

Import-PSSession

ise

powershell_ise.exe

iwmi

Invoke-WMIMethod

kill

Stop-Process

lp

Out-Printer

ls

Get-ChildItem

man

help

md

mkdir

measure

Measure-Object

mi

Move-Item

mount

New-PSDrive

move

Move-Item

mp

Move-ItemProperty

mv

Move-Item

nal

New-Alias

21


885


Alias

Commandlet

ndr

New-PSDrive

ni

New-Item

nmo

New-Module

nsn

New-PSSession

nv

New-Variable

ogv

Out-GridView

oh

Out-Host

popd

Pop-Location

ps

Get-Process

pushd

Push-Location

pwd

Get-Location

r

Invoke-History

rbp

Remove-PSBreakpoint

rcjb

Receive-Job

rd

Remove-Item

rdr

Remove-PSDrive

ren

Rename-Item

ri

Remove-Item

rjb

Remove-Job

rm

Remove-Item

rmdir

Remove-Item

rmo

Remove-Module

rni

Rename-Item

rnp

Rename-ItemProperty

rp

Remove-ItemProperty

rsn

Remove-PSSession

rsnp

Remove-PSSnapin

rv

Remove-Variable

rvpa

Resolve-Path

rwmi

Remove-WMIObject

sajb

Start-Job

sal

Set-Alias

saps

Start-Process

sasv

Start-Service

sbp

Set-PSBreakpoint


886


Alias

Commandlet

sc

Set-Content

select

Select-Object

set

Set-Variable

si

Set-Item

sl

Set-Location

sleep

Start-Sleep

sort

Sort-Object

sp

Set-ItemProperty

spjb

Stop-Job

spps

Stop-Process

spsv

Stop-Service

start

Start-Process

sv

Set-Variable

swmi

Set-WMIInstance

tee

Tee-Object

type

Get-Content

where

Where-Object

wjb

Wait-Job

write

Write-Output


Neue Aliase anlegen Einen neuen Alias definiert der Nutzer mit Set-Alias oder New-Alias, z.B.: Set-Alias procs Get-Process New-Alias procs Get-Process

Set-Alias, New-Aliase

Der Unterschied zwischen Set-Alias und New-Alias ist marginal: New-Alias erstellt einen neuen Alias und liefert einen Fehler, wenn der zu vergebende Alias schon existiert. Set-Alias erstellt einen neuen Alias oder überschreibt einen Alias, wenn der zu vergebende Alias schon existiert. Mit dem Parameter –description kann man jeweils auch einen Beschreibungstext setzen.

21

Man kann Alias nicht nur für Commandlets, sondern auch klassische Anwendungen vergeben, z.B.: Set-Alias np notepad.exe

887


Beim Anlegen eines Alias wird nicht geprüft, ob es das zugehörige Commandlet bzw. die Anwendung überhaupt gibt. Der Fehler würde erst beim Aufruf des Alias auftreten. Man kann in Alias-Definitionen keinen Parameter mit Werten vorbelegen. Möchten Sie zum Beispiel definieren, dass die Eingabe von „ Temp“ die Aktion „ Get-ChildItem c:\Temp“ ausführt, brauchen Sie dafür eine Funktion. Mit einem Alias geht das nicht. Function Temp { Get-Childitem c:\temp }

Funktionen werden später noch ausführlich besprochen. Die Windows PowerShell enthält zahlreiche vordefinierte Funktionen, z.B. c:, d:, e: sowie mkdir und help. Die neu definierten Aliase gelten jeweils nur für die aktuelle Instanz der PowerShell-Konsole. Man kann die eigenen Alias-Definitionen exportieren mit Export-Alias und später wieder importieren mit Import-Alias. Als Speicherformate stehen das CSV-Format und das PowerShell-Skriptdateiformat (.ps1 – siehe spätere Kapitel) zur Verfügung. Bei dem PS1-Format ist zum späteren Reimport der Datei das Skript mit dem Punkt-Operator (engl. „Dot Sourcing“) aufzurufen. Dateiformat CSV

Dateiformat .PS1

Speichern

export-alias c:\meinealias.csv

export-alias c:\meinealias.ps1 -as script

Laden

import-alias c:\meinealias.csv

. c:\meinealias.ps1

Die Anzahl der Aliase ist im Standard auf 4096 beschränkt. Dies kann durch die Variable $MaximumAliasCount geändert werden. Aliase für Eigenschaften

Aliase sind auch auf Ebene von Eigenschaften definiert. So kann man statt Get-Process processname, workingset

auch schreiben: Get-Process name, ws

Diese Aliase der Attribute sind definiert in der Datei types.ps1xml im Installationsverzeichnis der PowerShell.

888

Einzelbefehle der PowerShell Abbildung 21.3 types.ps1xml

21.6.3

Ausdrücke

Ebenfalls als Einzelbefehl möglich sind (mathematische) Ausdrücke wie

21 Mathematik

10* (8 + 6)

oder "Hello "+ " " + "World"

Microsoft spricht hier vom Expression Mode der PowerShell im Kontrast zum Command Mode, der verwendet wird, wenn man Write-Output 10* (8 + 6)

aufruft.

889


Die PowerShell kennt zwei Verarbeitungsmodi für Befehle: einen Befehlsmodus (Command Mode) und einen Ausdrucksmodus (Expression Mode). Im Befehlsmodus werden alle Eingaben als Zeichenketten behandelt. Im Ausdrucksmodus werden Zahlen und Operationen verarbeitet. Befehlsund Ausdrucksmodus können gemischt werden. In einem Befehl kann ein Ausdruck durch Klammern eingebaut werden. Außerdem kann eine Pipeline mit einem Ausdruck beginnen. Beispiel

Bedeutung

2+3

Ist ein Ausdruck. Die PowerShell führt die Berechnung aus und liefert 5.

echo 2+3

Ist ein reiner Befehl. "2+3" wird als Zeichenkette angesehen und ohne Auswertung auf dem Bildschirm ausgegeben.

echo (2+3)

Ist ein Befehl mit integriertem Ausdruck. Auf dem Bildschirm erscheint 5.

2+3 | echo

Ist eine Pipeline, die mit einem Ausdruck beginnt. Auf dem Bildschirm erscheint 5.

echo 2+3 | 7+6

Ist eine unerlaubte Eingabe. Ausdrücke dürfen in der Pipeline nur als erstes Element auftauchen.

$a = Get-Process

Ist ein Ausdruck mit integriertem Befehl. Das Ergebnis wird einer Variablen zugewiesen.

$a | Get-Process

Ist eine Pipeline, die mit einem Ausdruck beginnt. Der Inhalt von $a wird als Parameter an Get-Process übergeben.

Get-Process |

Ist eine unerlaubte Eingabe. Ausdrücke dürfen in der Pipeline nur als erstes Element auftauchen.

21.6.4 WindowsAnwendungen, DOS-Befehle, WSH-Skripte

Externe Befehle

Alle Eingaben, die nicht als Commandlets oder mathematische Formeln erkannt werden, werden als externe Anwendungen behandelt. Die Eingabe c:\Windows\Notepad.exe ist daher möglich, um den „ beliebten“ Windows-Editor zu starten. Auf gleiche Weise können auch WSH-Skripte aus der PowerShell heraus gestartet werden. Grundsätzlich könnte es passieren, dass ein interner Befehl der PowerShell (Commandlet, Alias oder Function) genauso heißt wie ein externer Befehl. Die PowerShell warnt in einem solchen Fall nicht vor der Doppeldeutigkeit, sondern die Ausführung erfolgt nach folgender Präferenzliste: 왘 Aliase 왘 Funktionen 왘 Commandlets 왘 Externe Befehle

890

Hilfe

21.6.5

Dateinamen

Bei der Eingabe von Dateipfaden wird entsprechend den Windows-Einstellungen in der Registrierungsdatenbank die Standardanwendung gestartet und damit das Dokument geladen. Dateinamen müssen nur in Anführungszeichen gesetzt werden, wenn sie Leerzeichen enthalten.

21.7 Hilfe Dieses Kapitel beschreibt die Hilfefunktionen der Windows PowerShell.

21.7.1

Verfügbare Befehle

Die Liste aller verfügbaren Commandlets erhält man in der PowerShell Liste der Commandlets auch durch: Get-Command

Dabei sind auch Muster erlaubt. 왘 Get-Command get-* liefert alle Befehle, die mit „ get“ anfangen. 왘 Get-Command [gs]et-* liefert alle Befehle, die mit „get“ oder „ set“ anfangen. 왘 Get-Command *-Service liefert alle Befehle, die das Substantiv „ Service“ besitzen. 왘 Get-Command –noun Service liefert ebenfalls alle Befehle, die das Substantiv „ Service“ besitzen. Das Commandlet Get-Command kann auch verwendet werden, um die Information dazu erhalten, was die PowerShell unter einem Befehl versteht. GetCommand sucht an angegebenen Namen in Commandlets, Aliasen, Funktionen, Skriptdateien und ausführbaren Dateien (siehe Bildschirmabbildung). Gibt man nach Get-Command den Namen einer .exe-Datei an, zeigt die PowerShell, in welchem Pfad die ausführbare Datei gefunden werden kann. Gesucht wird dabei nur in den Pfaden gemäß der Umgebungsvariablen %Path%. Get-Command *.exe

21

zeigt eine Liste aller direkt aufrufbaren ausführbaren Dateien.

891

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.4 Beispiele zum Einsatz von GetCommand

21.7.2 Get-Help

Erläuterungen zu den Befehlen

Einen Hilfetext zu einem Commandlet bekommt man über Get-Help commandletname, z.B.: Get-Help Get-Process

Dabei kann man durch die Parameter –detailed und –full eine ausführlichere Hilfe erhalten. Hingegen listet Get-Help get

alle Commandlets auf, die das Verb Get verwenden. Die Hilfe erscheint abhängig von der installierten Sprachversion der Windows PowerShell. Der Autor dieses Buch verwendet jedoch primär englische Betriebssysteme und Anwendungen. Eine grafische Hilfedatei im .chm-Dateiformat zur PowerShell gibt es seit Ende Mai 2007 (also ein halbes Jahr nach dem offiziellen Erscheinen der Windows PowerShell 1.0 als separaten Download auf dem Microsoft Server [MS01]). Diese .chm enthält auch Hinweise zur manuellen Übersetzung von VBScript in Windows PowerShell.

892

Hilfe Abbildung 21.5 Ausschnitt aus dem Hilfetext zum Commandlet GetProcess

Abbildung 21.6 Grafische Hilfedatei zur Windows PowerShell

21

893

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.7 Hilfe zum Transfer von VBScript nach PowerShell

21.7.3 .NET-SDK

Dokumentation der .NET-Klassen

Informationen zu den .NET-Klassen, mit denen die Windows PowerShell arbeitet, finden Sie an folgenden Stellen: 왘 PowerShell-Dokumentation für den Namensraum System.Management. Automation 왘 .NET Framework Software Development Kit bzw. Windows Software

Development Kit 왘 Produktspezifische Dokumentationen, z.B. Exchange Server 2007-

Dokumentation Die Dokumentation zeigt die verfügbaren Klassenmitglieder (Attribut, Methoden, Ereignisse, Konstruktoren) (siehe Abbildung 21.8). Destruktoren werden nicht dokumentiert. Die folgende Abbildung zeigt die Dokumentation der Klasse Process im Namensraum System.Diagnostics. In dem Baum links erkennt man die verschiedenen Arten von Mitgliedern: Methoden (Methods), Eigenschaften (Properties) und Ereignisse (Events).

894

Objektorientiertes Pipelining Abbildung 21.8 Ausschnitt aus der Dokumentation der .NET-Klasse System.Diagnostics.Process

Da die Dokumentation der .NET-Klassen für Entwickler geschrieben wurde, ist sie häufig zu detailliert für PowerShell-Entwickler. Leider ist derzeit noch keine für die Bedürfnisse von Administratoren angepasste Version absehbar. Die englische Dokumentation ist der deutschen vorzuziehen, weil es in den deutschen Übersetzungen viele Übersetzungsfehler gibt, die das Verständnis erschweren.

21.8 Objektorientiertes Pipelining

21

Ihre Mächtigkeit entfaltet die PowerShell erst durch das Pipelining, also durch die Weitergabe von Daten von einem Commandlet zum anderen.

21.8.1

Grundlagen

Für eine Pipeline wird – wie auch in Unix-Shells üblich und der normalen Pipelines Windows-Konsole möglich – der vertikale Strich | verwendet. Get-Process | Format-List

895


bedeutet, dass das Ergebnis des Get-Process-Commandlets an Format-List weitergegeben werden soll. Die Standardausgabeform von Get-Process ist eine Tabelle. Durch Format-List werden die einzelnen Attribute der aufzulistenden Prozesse untereinander statt in Spalten ausgegeben.

21.8.2

Objektorientierung

Typisierte Objektorientierung ist die herausragende Eigenschaft der Windows PowerObjekte Shell: Commandlets können durch Pipelines mit anderen Commandlets ver-

bunden werden. Anders als Pipelines in Unix-Shells tauschen die Commandlets der PowerShell keine Zeichenketten, sondern typisierte .NETObjekte aus. Das objektorientierte Pipelining ist im Gegensatz zum in den Unix-Shells und der normalen Windows-Shell (cmd.exe) verwendeten zeichenkettenbasierten Pipelining nicht abhängig von der Position der Informationen in der Pipeline. In einer Pipeline wie Get-Process | Where-Object { $_.name -eq "iexplore" } | Format-Table ProcessName, WorkingSet

ist das dritte Commandlet daher nicht auf eine bestimmte Anordnung und Formatierung der Ausgabe von vorherigen Commandlets angewiesen, sondern es greift über den sogenannten integrierten ReflectionMechanismus (den eingebauten Komponentenerforschungsmechanismus des .NET Frameworks) direkt auf die Eigenschaften der Objekte in der Pipeline zu. Genau genommen bezeichnet Microsoft das Verfahren als „ Extended Reflection“ bzw. „ Extended Type System“, weil die PowerShell erhebliche Hilfe beim Analysieren der Eingabeobjekte leistet. Im obigen Beispiel legt Get-Process ein .NET-Objekt der Klasse System .Diagnostics.Process für jeden laufenden Prozess in die Pipeline. System .Diagnostics.Process ist eine Klasse aus der .NET-Klassenbibliothek; Commandlets können aber jedes beliebige .NET-Objekt in die Pipeline legen, also auch einfache Zahlen oder Zeichenketten, da es in .NET keine Unterscheidung zwischen elementaren Datentypen und Klassen gibt. Eine Zeichenkette in die Pipeline zu legen, wird aber in der PowerShell die Ausnahme bleiben, denn der typisierte Zugriff auf Objekte ist wesentlich robuster gegenüber möglichen Änderungen als die Zeichenkettenauswertung mit regulären Ausdrücken. Deutlicher wird der objektorientierte Ansatz, wenn man als Attribut keine Zeichenkette heranzieht, sondern eine Zahl. WorkingSet64 ist ein 64 Bit langer Zahlenwert, der den aktuellen Speicherverbrauch eines Prozesses repräsentiert. Alle Prozesse, die aktuell mehr als 20 Megabyte verbrauchen, liefert der folgende Befehl: Get-Process | Where-Object {$_.WorkingSet64 -gt 20*1024*1024 }

Anstelle von 20*1024*1024 hätte man auch das Kürzel „20MB“ einsetzen können. Außerdem kann man Where-Object mit einem Fragezeichen abkürzen. Die kurze Variante des Befehls wäre dann also: ps | ? {$_.ws -gt 20MB }

896

Objektorientiertes Pipelining

Wenn nur ein einziges Commandlet angegeben ist, dann wird das Ergebnis auf dem Bildschirm ausgegeben. Auch wenn mehrere Commandlets in einer Pipeline zusammengeschaltet sind, wird das Ergebnis des letzten Commandlets in der Pipeline ausgegeben. Wenn das letzte Commandlet keine Daten in die Pipeline wirft, erfolgt keine Ausgabe. Die Objekt-Pipeline hat noch einen Vorteil: Gemäß dem objektorientierten Methoden Paradigma haben .NET-Objekte nicht nur Attribute, sondern auch Methoden. In einer Pipeline kann der Administrator daher auch die Methoden der Objekte aufrufen. Objekte des Typs System.Diagnostics.Process besitzen zum Beispiel eine Methode Kill(). Der Aufruf dieser Methode ist in der PowerShell gekapselt in der Methode Stop-Process. Der folgende PowerShell-Pipeline-Befehl beendet alle Instanzen des Internet Explorers auf dem lokalen System, indem das Commandlet StopProcess die Instanzen des betreffenden Prozesses von Get-Process empfängt. Get-Process iexplore | Stop-Process

Wer sich mit dem .NET Framework gut auskennt, könnte die Methode auch direkt aufrufen. Dann ist aber eine explizite ForEach-Schleife notwendig. Die Commandlets iterieren automatisch über alle Objekte der Pipeline, die Methodenaufrufe aber nicht. Get-Process iexplore | Foreach-Object { $_.Kill() }

Durch den Einsatz eines Alias geht das auch kürzer: ps | ? { $_.name -eq "iexplore" } | % { $_.Kill() }

Der Einsatz der Methode Kill() war hier nur zur Demonstration, dass die Pipeline tatsächlich Objekte befördert. Eigentlich ist die gleiche Aufgabe besser mit dem eingebauten Commandlet Stop-Process zu lösen. Dies funktioniert aber nur dann gut, wenn es auch Instanzen des Internet Explorers gibt. Wenn alle beendet sind, meldet Get-Process einen Fehler. Dies kann das gewünschte Verhalten sein. Mit einer etwas anderen Pipeline wird dieser Fehler jedoch unterbunden: Get-Process | Where-Object { $_.Name -eq "iexplore" } | Stop-Process

Die zweite Pipeline unterscheidet sich von der ersten dadurch, dass das Filtern der Prozesse aus der Prozessliste nun nicht mehr von Get-Process erledigt wird, sondern durch ein eigenes Commandlet mit Namen WhereObject in der Pipeline selbst durchgeführt wird. Where-Object ist toleranter als Get-Process in Hinblick auf die Möglichkeit, dass es kein passendes Objekt gibt.

21

ps ist ein Alias für Get-Process, Kill für Stop-Process. Außerdem hat GetProcess eine eingebaute Filterfunktion. Um alle Instanzen des Internet

Explorers zu beenden, kann man also statt Get-Process | Where-Object { $_.Name -eq "iexplore" } | Stop-Process

auch schreiben: ps -p "iexplore" | Kill

897


Pipeline Processor

get-process

|

sort-object –p cpu

|

out-file DownstreamCommandlet

UpstreamCommandlet

Commandlet #3 out-file

Inputpipeline

Objekt vom Typ System.Diagnostics.Process

Commandlet #2 sort-object

Outputpipeline

Commandlet #1 get-process

Inputpipeline

Abbildung 21.9 Der Pipeline Processor befördert die Objekte vom DownstreamCommandlet zum UpstreamCommandlet.

Für die Übergabe der .NET-Objekte an die Commandlets sorgt der PowerShell Pipeline Processor (siehe Abbildung 21.9). Die Commandlets selbst müssen sich weder um die Objektweitergabe noch um die Parameterauswertung kümmern.

Outputpipeline

PowerShell Pipeline Processor

PowerShell Pipeline Processor © Dr. Holger Schwichtenberg 2004-2006

Wie das obige Bild schon zeigt, beginnt ein nachfolgendes Commandlet mit seiner Arbeit, sobald es ein erstes Objekt aus der Pipeline erhält. Es kann also sein, dass das erste Commandlet noch gar nicht alle Objekte erzeugt hat, bevor die folgenden Commandlets schon die ersten Objekte weiterverarbeiten. Komplexe Pipelines

Die Pipeline kann beliebig lang sein, d.h., die Anzahl der Befehle in einer einzigen Pipeline ist nicht begrenzt. Ein Beispiel für eine komplexere Pipeline lautet: Get-Childitem h:\daten –r -filter *.doc | Where-Object { $_.Length -gt 40000 } | Select-Object Name, Length | Sort-Object Length | Format-List Get-Childitem ermittelt alle Microsoft Word-Dateien im Verzeichnis h:\

Daten und in seinen Unterverzeichnissen. Durch das zweite Commandlet (Where-Object) wird die Ergebnismenge auf diejenigen Objekte beschränkt, bei denen das Attribut Length größer ist als 40000. Select-Object beschneidet alle Attribute aus Name und Length. Durch das vierte Commandlet in der Pipeline wird die Ausgabe nach dem Attribut Length sortiert. Das letzte Commandlet schließlich erzwingt eine Listendarstellung. Die Reihenfolge der einzelnen Befehle in der Pipeline ist dabei nicht beliebig. Keineswegs kann man im obigen Befehl die Sortierung hinter die Formatierung setzen, weil nach dem Formatieren zwar noch ein Objekt existiert, dieses aber einen Textstrom repräsentiert. Where-Object und

898

Objektorientiertes Pipelining Sort-Object könnte man vertauschen; aus Gründen des Ressourcenverbrauchs sollte man aber erst einschränken und dann die verringerte Liste sortieren.

Ein Commandlet kann auf alle Attribute und Methoden der .NET-Objekte, die das vorhergehende Commandlet in die Pipeline gelegt hat, zugreifen. Die Mitglieder der Objekte können entweder durch Parameter der Commandlets (z.B. in Sort-Object Length) oder durch den expliziten Verweis auf das aktuelle Pipeline-Objekt ($_) in einer Schleife oder Bedingung (z.B. Where-Object { $_.Length -gt 40000 }) genutzt werden. Mehrere Commandlets in einer Pipeline können parallel durch die Power- Reihenfolge Shell ausgeführt werden, da ein einzelnes Commandlet bereits Daten senden darf, auch wenn es noch nicht alle Daten des vorherigen Befehls empfangen hat. Ein Commandlet wird sofort aufgerufen, sobald das erste Objekt bereitsteht. Nicht alle Aneinanderreihungen von Commandlets ergeben einen Sinn. Einige Aneinanderreihungen sind auch gar nicht erlaubt. Ein Commandlet kann erwarten, dass es bestimmte Arten von Eingabeobjekten gibt. Am besten sind aber Commandlets, die jede Art von Eingabeobjekt verarbeiten können. Die Pipeline kann jegliche Art von Information befördern, auch einzelne ele- Pipelining von mentare Daten. Einige Commandlets unterstützen es, dass auch die Para- Parametern meter aus der Pipeline ausgelesen werden. Der folgende Pipeline-Befehl führt zu einer Auflistung aller Windows-Systemdienste, die mit dem Buchstaben „I“ beginnen. "i*" | Get-Service

21.8.3

Analyse des Pipeline-Inhalts

Eine der größten Herausforderungen bei der Arbeit mit der PowerShell Get-Member besteht darin, die folgenden Fragen zu beantworten: 왘 Welchen Typ haben die Objekte, die ein Commandlet in die Pipeline legt? 왘 Welche Attribute und Methoden haben diese Objekte? Die Hilfe der Commandlets ist hier nicht immer hilfreich. Bei Get-Service kann man lesen: RETURN TYPE System.ServiceProcess.ServiceController

21

Aber bei Get-Process heißt es nur wenig hilfreich: RETURN TYPE Object

In keinem Fall sind die Attribute und die Methoden der resultierenden Objekte genannt. Das Commandlet Get-Member (Alias: gm) ist hier hilfreich: Es zeigt den .NETKlassennamen für die Objekte in der Pipeline sowie die Attribute und Methoden dieser Klasse. Für Get-Process | Get-Member ist die Ausgabe so lang, dass man dazu zwei Bildschirmabbildungen braucht.

899

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.10 Teil 1 der Ausgabe von Get-Process | Get-Member

Abbildung 21.11 Teil 2 der Ausgabe von Get-Process | Get-Member

Wenn sich mehrere verschiedene Objekttypen in der Pipeline befinden, werden die Mitglieder aller Typen ausgegeben, gruppiert durch die Kopfsektion, die mit „ TypeName:“ beginnt. Die Ausgabe zeigt, dass aus der Sicht der PowerShell eine .NET-Klasse sechs Arten von Mitgliedern hat: 왘 Method (Methode) 왘 Property (Eigenschaft) 왘 PropertySet (Eigenschaftssatz) 왘 NoteProperty (Notizeigenschaft)

900

Objektorientiertes Pipelining 왘 ScriptProperty (Skripteigenschaft) 왘 CodeProperty (Codeeigenschaft) 왘 AliasProperty (Aliaseigenschaft)

Von den oben genannten Mitgliedsarten sind nur „Method“ und „Property“ tatsächliche Mitglieder der .NET-Klasse. Alle anderen Mitgliedsarten sind Zusätze, welche die PowerShell mittels der bereits erwähnten Extend Reflection dem .NET-Objekt hinzugefügt hat.

Methoden (Mitgliedsart Method) Methoden (Mitgliedsart Method) sind Operationen, die man auf dem Method Objekt aufrufen kann und die eine Aktion auslösen, z.B. Kill() beendet den Prozess. Methoden können aber auch Daten liefern oder Daten in dem Objekt verändern. Beim Aufruf von Methoden sind immer runde Klammern anzugeben, auch wenn es keine Parameter gibt. Ohne die runden Klammern erhält man Informationen über die Methode, man ruft aber nicht die Methode selbst auf.

Eigenschaften (Mitgliedsart Property) Eigenschaften (Mitgliedsart Property) sind Datenelemente, die Informa- Property tionen aus dem Objekt enthalten oder mit denen man Informationen an das Objekt übergeben kann, z.B. MaxWorkingSet. Auffallend in den Bildschirmabbildungen der Ausgabe von Get-Process | Get-Member ist, dass es zu jedem Property zwei Methoden gibt, z.B. get_MaxWorkingSet() und set_ MaxWorkingSet(). Die Ursache dafür liegt in den Interna des .NET Frameworks: Dort werden Properties (nicht aber Fields!) durch ein Methodenpaar abgebildet: eine Methode zum Auslesen der Daten (genannt „ GetMethode“ oder „ Getter“), eine andere Methode zum Setzen der Daten (genannt „ Set-Methode“ oder „ Setter“). Für den PowerShell-Nutzer bedeutet dies, dass er zwei Möglichkeiten hat, Daten abzurufen. Über die Eigenschaft (Property): Get-Process | Where-Object { $_.name -eq "iexplore" } | Foreach-Object { $_.MaxWorkingSet }

21

oder die entsprechende Get-Methode: Get-Process | Where-Object { $_.name -eq "iexplore" } | Foreach-Object { $_.get_MaxWorkingSet() }

Analog gibt es für das Schreiben die Option über die Eigenschaft: Get-Process | Where-Object { $_.name -eq "iexplore" } | Foreach-Object { $_.MaxWorkingSet = 1413120 }

oder die entsprechende Set-Methode: Get-Process | Where-Object { $_.name -eq "iexplore" } | Foreach-Object { $_.set_MaxWorkingSet(1413120) }

901


Den Anfänger mag die „Aufblähung“ der Liste durch diese Optionen stören, der fortgeschrittene Benutzer wird sie mögen. Denn neben der syntaktischen Freiheit bietet die Auflistung der Getter und Setter einen großen Vorteil: Man kann erkennen, welche Aktionen auf einem Property möglich sind. Fehlt der Setter, kann die Eigenschaft nicht verändert werden (z.B. StartTime bei der Klasse Process). Fehlt der Getter, kann man die Eigenschaft nur setzen. Dafür gibt es kein Beispiel in der Klasse Process. Dieser Fall kommt auch viel seltener vor, wird aber z.B. bei Kennwörtern eingesetzt, die man nicht wiedergewinnen kann, weil sie nicht im Klartext, sondern nur als Hash-Wert abgespeichert werden.

Eigenschaftssätze (PropertySet) PropertySet

Eigenschaftssätze (PropertySet) sind eine Zusammenfassung einer Menge von Eigenschaften unter einem gemeinsamen Dach. Beispielsweise umfasst der Eigenschaftssatz psRessources alle Eigenschaften, die sich auf den Ressourcenverbrauch eines Prozesses beziehen. Dies ermöglicht es, dass man nicht alle Eigenschaften einzeln nennen muss, sondern schreiben kann: Get-Process | Select-Object psRessources | Format-Table

Abbildung 21.12 Ausgabe eines bestimmten Satzes von Eigenschaften der Prozess-Objekte

Die Eigenschaftssätze gibt es nicht im .NET Framework; sie sind eine Eigenart der PowerShell und definiert in der Datei types.ps1xml im Installationsverzeichnis der PowerShell. Abbildung 21.13 Definition der Eigenschaftssätze für die Klasse System.Diagnostics. Process in types. ps1ml

902


Notizeigenschaften (NoteProperty) Notizeigenschaften (NoteProperties) sind zusätzliche Datenelemente, die NoteProperties nicht der Datenquelle entstammen, sondern welche die PowerShell-Infrastruktur hinzugefügt hat. Im obigen Beispiel ist dies __NounName, der einen Kurznamen der Klasse liefert. Andere Klassen haben zahlreiche Notizeigenschaften. Notizeigenschaften gibt es nicht im .NET Framework; sie sind eine Eigenart der PowerShell.

Skripteigenschaften (ScriptProperty) Eine Skripteigenschaft (ScriptProperty) ist eine berechnete Eigenschaft, ScriptProperty also eine Information, die nicht im Objekt selbst gespeichert ist. Dabei muss die Berechnung nicht notwendigerweise eine mathematische Berechnung sein; es kann sich auch um den Zugriff auf die Eigenschaften eines untergeordneten Objekts handeln. Der Befehl Get-Process | Format-Table name, product

listet alle Prozesse auf mit den Produkten, zu denen der Prozess gehört (siehe Abbildung 21.14). Dies ist gut zu wissen, wenn man auf seinem System einen Prozess sieht, denn man nicht kennt und von dem man befürchtet, dass es sich um einen Schädling handeln könnte. Abbildung 21.14 Auflistung der berechneten Eigenschaft „Product“

21

Die Information über das Produkt steht nicht in dem Prozess (Windows listet diese Information im Taskmanager ja auch nicht auf), aber in der Datei, die den Programmcode für den Prozess enthält. Das .NET Framework bietet über die MainModule.FileversionInfo.ProductName einen Zugang zu dieser Information. Anstelle des Befehls Get-Process | Select-Object name, Mainmodule.FileVersionInfo.ProductName

bietet Microsoft durch die Skripteigenschaft eine Abkürzung an. Diese Abkürzung ist definiert in der Datei types.ps1xml im Installationsverzeichnis der PowerShell.

903

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.15 Definition einer Skripteigenschaft in der types.ps1xml

Skripteigenschaften gibt es nicht im .NET Framework; sie sind eine Eigenart der PowerShell.

Codeeigenschaften (Code Property) CodeProperty

Eine Codeeigenschaft (CodeProperty) entspricht einer ScriptProperty, allerdings ist der Programmcode nicht als Skript in der PowerShell-Sprache, sondern als .NET-Programmcode hinterlegt.

Aliaseigenschaft (AliasProperty) AliasProperty

Eine Aliaseigenschaft (AliasProperty) ist eine verkürzte Schreibweise für eine Property. Dahinter steckt keine Berechnung, sondern nur eine Verkürzung des Namens. Beispielsweise ist WS eine Abkürzung für WorkingSet. Auch die Aliaseigenschaften sind in der Datei types.ps1xml im Installationsverzeichnis der PowerShell definiert. Aliaseigenschaften sind ebenfalls eine PowerShell-Eigenart. Weitere Informationen zu Get-Member Die Ausgabe von Get-Member kann man verkürzen, indem man nur eine bestimmte Art von Mitgliedern ausgeben lässt. Diese erreicht man über den Parameter –Membertype (kurz: -m). Der folgende Befehl listet nur die Properties auf: Get-Process | Get-Member -Membertype Properties

Außerdem ist eine Filterung beim Namen möglich: Get-Process | Get-Member *set*

Der obige Befehl listet nur solche Mitglieder der Klasse Process auf, deren Name das Wort „ set“ enthält. Die Aliaseigenschaften gibt es nicht im .NET Framework; sie sind eine Eigenart der PowerShell.

21.8.4 Where-Object

Filtern

Nicht immer will man alle Objekte weiterverarbeiten, die ein Commandlet liefert. Einschränkungskriterien sind Bedingungen (z.B. nur Prozesse, bei denen der Speicherbedarf größer ist als 10000000 Byte) oder die Position (z.B. nur die fünf Prozesse mit dem größten Speicherbedarf). Zur Einschränkung verwendet man das Commandlet Where-Object (Alias where). Einschränkungen über Bedingungen definiert man mit dem Where-Object: Get-Process | Where-Object {$_.ws -gt 10000000 }

Select-Object

Einschränkungen über die Position definiert man mit dem Select-Object (in dem nachfolgenden Befehl für das oben genannte Beispiel ist zusätzlich noch eine Sortierung eingebaut, damit die Ausgabe einen Sinn ergibt): Get-Process | Sort-Object ws -desc | Select-Object -first 5

904


Analog dazu sind die kleinsten Speicherfresser zu ermitteln mit: Get-Process | Sort-Object ws -desc | Select-Object -last 5

Etwas gewöhnungsbedürftig ist die Schreibweise der Vergleichsoperato- Vergleiche ren: Statt >= schreibt man –ge (siehe Tabelle 21.3). Die Nutzung regulärer Ausdrücke ist möglich mit dem Operator –Match. Vergleich unter Berücksichtigung der Groß-/ Kleinschreibung

Vergleich unter Ignorierung der Groß-/Kleinschreibung

Bedeutung

-lt

-ilt

Kleiner

-le

-ile

Kleiner oder gleich

-gt

-igt

Größer

-ge

-ige

Größer oder gleich

-eq

-ieq

Gleich

-ne

-ine

Nicht gleich

-like

-ilike

Ähnlichkeit zwischen Zeichenketten, Einsatz von Platzhaltern (* und ?) möglich

-notlike

-inotlike

Keine Ähnlichkeit zwischen Zeichenketten, Einsatz von Platzhaltern (* und ?) möglich

-match

Vergleich mit regulärem Ausdruck

-notmatch

Stimmt nicht mit regulärem Ausdruck überein

-is

Typvergleich

Logischer Operator

Bedeutung

-not oder !

Nicht

-and

Und

-or

Oder

21.8.5

Tabelle 21.3 Vergleichsoperatoren in der PowerShell-Sprache

Tabelle 21.4 Logische Operatoren in der PowerShell-Sprache

21

Zusammenfassung von Pipeline-Inhalten

Die Menge der Objekte in der Pipeline kann heterogen sein. Dies ist zum $ Beispiel automatisch der Fall, wenn man Get-Childitem im Dateisystem ausführt: Die Ergebnismenge enthält das FileInfo- und DirectoryInfo-Objekte. Man kann auch zwei Befehle, die beide Objekte in die Pipeline senden, zusammenfassen, sodass der Inhalt in einer Pipeline wie folgt aussieht: $( get-process ; get-service )

Dies ist aber nur sinnvoll, wenn die nachfolgenden Befehle in der Pipeline korrekt mit heterogenen Pipeline-Inhalten umgehen können. Die Standard-

905


ausgabe kann dies. In anderen Fällen bedingt der Typ des ersten Objekts in der Pipeline die Art der Weiterverarbeitung (z.B. bei Export-Csv).

21.8.6

Kastrierung von Objekten in der Pipeline

Die Analyse des Pipeline-Inhalts zeigt, dass es oftmals sehr viele Mitglieder in den Objekten in der Pipeline gibt. In der Regel braucht man aber nur wenige. Nicht nur aus Gründen der Leistung und Speicherschonung, sondern auch in Bezug auf die Übersichtlichkeit lohnt es sich, die Objekte in der Pipeline zu „ kastrieren“. Select-Object

Mit dem Befehl Select-Object kann ein Objekt in der Pipeline „ kastriert“ werden, d.h., (fast) alle Mitglieder des Objekts werden aus der Pipeline entfernt, mit Ausnahme der hinter Select-Object genannten Mitglieder. Beispiel: Get-Process | Select-Object processname, get_minworkingset, ws | Get-Member

lässt von den Process-Objekten in der Pipeline nur die Mitglieder processname (Eigenschaft), get_minworkingset (Methode) und workingset (Alias) übrig (siehe Abbildung 21.17). Wie die Abbildung zeigt, ist das „Kastrieren“ mit drei Wermutstropfen verbunden: 왘 Get-Member zeigt nicht mehr den tatsächlichen Klassennamen an, sondern PSCustomObject, eine Klasse der PowerShell. 왘 Alle Mitglieder sind zu Notizeigenschaften degradiert. Dass es neben den drei gewünschten Mitgliedern noch vier weitere in der Liste gibt, ist auch einfach erklärbar: Jedes, wirklich jedes .NET-Objekt hat diese vier Methoden, weil diese von der Basisklasse System.Object an jede .NET-Klasse vererbt und damit an jedes .NET-Objekt weitergegeben werden. Abbildung 21.16 Wirkung der Anwendung von Select-Object

Mit dem Parameter –exclude kann man in Select-Object auch Mitglieder einzeln ausschließen.

21.8.7 Sort-Object

906

Sortieren

Mit Sort-Object (Alias sort) sortiert man die Objekte in der Pipeline nach den anzugebenden Eigenschaften. Die Standardsortierrichtung ist aufsteigend.


Der folgende Befehl sortiert die Prozesse absteigend nach ihrem Speicherverbrauch: Get-Process | sort ws -desc

21.8.8

Gruppierung

Mit Group-Object kann man Objekte in der Pipeline nach Eigenschaften Group-Object gruppieren. Mit dem folgenden Befehl ermittelt man, wie viele Systemdienste laufen und wie viele gestoppt sind: PS B:\Scripte> Get-Service | Group-Object status Count Name Group ----- -------64 Running {AeLookupSvc, ALG, AppMgmt, appmgr...} 54 Stopped {Alerter, aspnet_state, ClipSrv, clr_ optimiz...

Das zweite Beispiel gruppiert die Dateien im System32-Verzeichnis nach Dateierweiterung und sortiert die Gruppierung dann absteigend nach Anzahl der Dateien in jeder Gruppe. Get-ChildItem c:\windows\system32 | Group-Object Erweiterung | sort -object count –desc Abbildung 21.17 Einsatz von GroupObject und SortObject

21 21.8.9

Berechnungen

Measure-Object führt verschiedene Berechnungen (Anzahl, Durchschnitt, Summe, Minimum, Maximum) für Objekte in der Pipeline aus. Dabei sollte man die Eigenschaft nennen, über welche die Berechnung ausgeführt werden soll, da die erste Eigenschaft häufig ein Text ist, den man nicht mathematisch verarbeiten kann.

Beispiel: Informationen über die Dateien in c:\Windows\system32

907

Kapitel 21 Einführung in die Windows PowerShell (WPS) Get-ChildItem c:\windows\system32 | Measure-Object -Property length min -max -average -sum Abbildung 21.18 Beispiel für den Einsatz von Measure-Object

21.8.10 Zwischenschritte in der Pipeline PowerShellVariablen

Ein Befehl mit Pipeline kann beliebig lang und damit auch beliebig komplex werden. Wenn der Befehl unübersichtlich wird oder man Zwischenschritte genauer betrachten möchte, bietet es sich an, den Inhalt der Pipeline zwischenzuspeichern. Die PowerShell ermöglicht es, den Inhalt der Pipeline in Variablen abzulegen. Variablen werden durch ein vorangestelltes Dollarzeichen ($) gekennzeichnet. Anstelle von Get-Process | Where-Object {$_.name -eq "iexplore"} | Foreach-Object { $_.ws }

kann man die folgenden Befehle nacheinander in getrennte Zeilen eingeben: $x = Get-Process $y = $x | Where-Object {$_.name -eq "iexplore"} $y | Foreach-Object { $_.ws }

Das Ergebnis ist in beiden Fällen gleich. Der Zugriff auf Variablen, die keinen Inhalt haben, führt so lange nicht zum Fehler, wie man später in der Pipeline keine Commandlets verwendet, die unbedingt Objekte in der Pipeline erwarten. Abbildung 21.19 Zugriff auf Variablen ohne Inhalt

Eine befüllte Variable kann man wieder leeren mit dem Commandlet Clear-Variable. Dabei ist aber der Name der Variablen ohne $ anzugeben, z.B.: Clear-Variable x

21.8.11 Verzweigungen in der Pipeline Tee-Object

908

Manchmal möchte man innerhalb einer Pipeline das Ergebnis nicht nur in der Pipeline weiterreichen, sondern auch in einer Variablen oder im Dateisystem zwischenspeichern. Der Verzweigung innerhalb der Pipeline dient das Commandlet Tee-Object, wobei hier das „Tee“ für „ verzweigen“ steht. Tee-Object reicht den Inhalt der Pipeline unverändert zum nächsten Commandlet weiter, bietet aber an, den Inhalt der Pipeline wahlweise zusätzlich in einer Variablen oder im Dateisystem abzulegen.


Der folgende Pipeline-Befehl verwendet Tee-Object gleich zweimal für beide Anwendungsfälle: Get-Service | Tee-Object -var a | Where-Object { $_.Status -eq "Running" } | Tee-Object -filepath g:\dienste.txt

Nach der Ausführung des Befehls steht in der Variablen $a eine Liste aller Dienste und in der Textdatei dienste.txt eine Liste der laufenden Dienste. Bitte beachten Sie, dass man bei Tee-Object beim Parameter –variable den Namen der Variablen ohne den üblichen Variablenkennzeicher "$" angeben muss.

21.8.12 Vergleiche Mit Compare-Object kann man den Inhalt von zwei Pipelines vergleichen.

Compare-Object

Mit der folgenden Befehlsfolge werden alle zwischenzeitlich neu gestarteten Prozesse ausgegeben: $ProzesseVorher = Get-Process # Hier einen Prozess starten $ProzesseNacher = Get-Process Compare-Object $ProzesseVorher $ProzesseNacher Abbildung 21.20 Vergleich von zwei Pipelines

21.8.13 Beispiele

21

Dieses Kapitel enthält einige Beispiele für die Anwendung von Pipelining und Ausgabebefehlen: 왘 Beende alle Prozesse durch Aufruf der Methode Kill(), die „iexplore“

Pipelining-

heißen, wobei die Groß-/Kleinschreibung des Prozessnamens irrele- Beispiele vant ist. Get-Process | Where { $_.processname -ieq "iexplore" } | Foreach { $_.Kill() } 왘 Sortiere die Prozesse, die das Wort „iexplore“ im Namen tragen, gemäß

ihrer CPU-Nutzung und beende den Prozess, der in der aufsteigenden

909


Liste der CPU-Nutzung am weitesten unten steht (also am meisten Rechenleistung verbraucht). Get-Process | Where { $_.processname -ilike "*iexplore*" } | SortObject –p cpu | Select-Object -last 1 | Foreach { $_.Kill() } 왘 Gib die Summe der Speichernutzung aller Prozesse aus.

ps | Measure-Object workingset 왘 Gruppiere die Einträge im System-Ereignisprotokoll nach Benutzer-

namen. Get-Eventlog -logname system | Group-Object username 왘 Zeige die letzten zehn Einträge im System-Ereignisprotokoll.

Get-Eventlog -logname system | Select-Object -last 10 왘 Zeige für die letzten zehn Einträge im System-Ereignisprotokoll die

Quelle an. Get-Eventlog -logname system | Select-Object -first 10 | SelectObject -p source 왘 Importiere die Textdatei test.txt, wobei die Textdatei als eine CSV-

Datei mit dem Semikolon als Trennzeichen zu interpretieren ist und die erste Zeile die Spaltennamen enthalten muss. Zeige daraus die Spalten ID und Url. Import-Csv d:\_work\test.txt -delimiter ";" | Select-Object -p ID,Url 왘 Ermittle aus dem Verzeichnis System32 alle Dateien, die mit dem Buch-

staben „a“ beginnen. Beschränke die Menge auf diejenigen Dateien, die größer als 40.000 Byte sind, und gruppiere die Ergebnismenge nach Dateierweiterungen. Sortiere die gruppierte Menge nach dem Namen der Dateierweiterung. Get-Childitem c:\windows\system32 -filter a*.* | Where-Object {$_ .Length –gt 40000} | Group-Object Extension | Sort-Object name | Format-Table 왘 Ermittle aus dem Verzeichnis System32 alle Dateien, die mit dem Buch-

staben „ b“ beginnen. Beschränke die Menge auf diejenigen Dateien, die größer als 40.000 Byte sind, und gruppiere die Ergebnismenge nach Dateierweiterungen. Sortiere die Gruppen nach der Anzahl der Einträge absteigend und beschränke die Menge auf das oberste Element. Gib für alle Mitglieder dieser Gruppe die Attribute Name und Length aus. Get-Childitem c:\windows\system32 -filter b*.* | Where-Object {$_ .Length –gt 40000} | Group-Object Extension | Sort-Object count desc | Select-Object -first 1 | Select-Object group | foreach {$_ .group} | Select-Object name,length | Format-Table

910

Ausgabefunktionen

21.9 Ausgabefunktionen Ein normales Commandlet sollte keine eigene Bildschirmausgabe erzeu- Commandlets gen, sondern allenfalls eine Menge von Objekten in die Pipeline legen. Es mit Verben Out ist bestimmten Commandlets vorbehalten, eine Ausgabe zu erzeugen. und Format Beispiele für diese Commandlets sind: 왘 Out-Default: Standardausgabe gemäß einer Konfiguration (DotNetTypes. Format.ps1xml) 왘 Out-Host: wie Out-Default mit zusätzlicher Option zur seitenweisen Ausgabe 왘 Out-Null: Die Objekte der Pipeline werden nicht weitergegeben. 왘 Format-Wide: zweispaltige Liste 왘 Format-List: detaillierte Liste 왘 Format-Table: Tabelle Microsoft hat leider einige Commandlets aus den Beta-Versionen, die eine Ausgabe auf höherem Abstraktionsniveau boten, gestrichen. Dazu gehören: 왘 Windows-Forms-Datengitter (Out-Grid) 왘 Excel-Tabelle (Out-Excel) 왘 E-Mail (Out-Email) 왘 Säulendiagramm (Out-Chart) Abbildung 21.21 Ausgabe mit Format-Wide

21

911

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.22 Ausgabe mit Format-List

Abbildung 21.23 Ausgabe mit Format-Table

21.9.1 Standardausgabe

912

Standardausgabe

Wenn am Ende einer Pipeline keine Ausgabefunktion genannt ist, verwendet die PowerShell automatisch das Commandlet Out-Default. Out-Default bedient sich bei der Ausgabe einer Standardvorgabe, die in der Datei DotNetTypes.Format.ps1xml im Installationsverzeichnis der PowerShell abgelegt ist. Dort kann man beispielsweise für den Typ System. Diagnostics.Process nachlesen, dass die Ausgabe in einer achtspaltigen Tabelle erfolgen soll (siehe Abbildung 21.24).

Ausgabefunktionen Abbildung 21.24 Ausschnitt aus der Beschreibung der Standardausgabe für den Typ System.Diagnostics.Process in DotNetTypes. Format.ps1xml

21.9.2

21

Seitenweise Ausgabe

Viele Ausgaben sind zu lang, um sie auf einer Bildschirmseite darstellen zu können. Manche Ausgaben sind sogar länger als der Puffer des PowerShell-Fensters (z.B. Get-Help Get-Process). Die seitenweise Ausgabe erzwingt man mit dem Parameter –p im Out-Host-Commandlet. Hierbei ist Out-Host explizit zu nennen. Get-Help Get-Process | Out-Host -p

913


21.9.3

Einschränkung der Ausgabe

Die Ausgabebefehle erlauben die Spezifikation der Objektattribute, die ausgegeben werden sollen, z.B.: Get-Process | Format-Table -p id,processname,workingset

erzeugt eine Tabelle der Prozesse mit Prozess-ID, Name des Prozesses und Speichernutzung. Attributnamen können dabei auch durch den Platzhalter (*) abgekürzt werden, z.B.: Get-Process | Format-Table -p id,processn*,working*

21.9.4 Write-Warn, Write-Error

Ausgabe einzelner Werte

Um einen bestimmten Text oder den Inhalt einer Variablen auszugeben, muss man diesen nur an der Konsole eingeben (siehe Abbildung 21.25). Alternativ kann man die Commandlets Write-Host, Write-Warn und WriteError verwenden. Write-Warn und Write-Error erzeugen die Ausgabe hervorgehoben. Bei Write-Host kann man die Farben genau angeben: Write-Host "Hallo Holger" -foregroundcolor red -backgroundcolor white

Abbildung 21.25 Ausgabe von Konstanten und Variablen

Verknüpfen vs. Einbetten

Um in einer Ausgabe Literale und Variablen zu mischen, muss man diese entweder mit + verknüpfen: $a + " ist erreichbar unter " + $b + ". Diese Information hat den Stand: " + $c + "."

oder aber die Variablen direkt in die Zeichenkette einbetten. Im Gegensatz zu anderen Sprachen wertet die PowerShell die Zeichenkette aus und sucht dort nach dem Zeichen $: "$a ist erreichbar unter $b. Diese Information hat den Stand: $c."

Auch kann man die in .NET gebräuchlichen Platzhalter und Formatkennzeichner (z.B. d = Datum in Langform) verwenden. Dafür ist nach der Zeichenkette der Parameter –f zu benutzen. Diese Option ist aufgrund der Formatierungsmöglichkeiten die mächtigste: "{0} ist erreichbar unter {1}. Diese Information hat den Stand: {2:d}." -f $a, $b, $c

Das folgende Listing fasst die drei äquivalenten Möglichkeiten zusammen. Listing 21.4 Formatierte Ausgabe [Ausgabe.ps1]

914

$a = "Holger Schwichtenberg" $b = "[email protected]" $c = get-Date

Ausgabefunktionen

# Möglichkeit 1 $a + " ist erreichbar unter " + $b + ". Diese Information hat den Stand: " + $c + "." # Möglichkeit 2 "$a ist erreichbar unter $b. Diese Information hat den Stand: $c." # Möglichkeit 3 "{0} ist erreichbar unter {1}. Diese Information hat den Stand: {2:D}." -f $a, $b, $c

Das obige Skript gibt Folgendes aus: Holger Schwichtenberg ist erreichbar unter [email protected]. Diese Information hat den Stand: 14.09.2006 16:53:13. Holger Schwichtenberg ist erreichbar unter [email protected]. Diese Information hat den Stand: 14.09.2006 16:53:13. Holger Schwichtenberg ist erreichbar unter [email protected]. Diese Information hat den Stand: Donne rstag, 14. September 2006.

21.9.5

Unterdrückung der Ausgabe

Die Existenz der Standardausgabe sorgt dafür, dass alle Rückgabewerte Out-Null, void von Commandlet-Pipelines auch ausgegeben werden. Dies ist nicht immer erwünscht. Es gibt drei Alternativen, die Ausgabe zu unterdrücken: 왘 Am Ende der Pipeline wird Out-Null verwendet. Commandlet | Commandlet | Out-Null 왘 Das Ergebnis der Pipeline wird einer Variablen zugewiesen:

$a = Commandlet | Commandlet 왘 Das Ergebnis der Pipeline wird auf den Typ [void] konvertiert:

[void] (Commandlet | Commandlet)

21.9.6

Weitere Ausgabefunktionen

21

Die folgende Liste zeigt weitere Ausgabemöglichkeiten: 왘 Ausgaben zum Drucker sendet man mit dem Commandlet Out-Printer.

Mit Out-File schreibt man den Inhalt in eine Datei.

Out-Printer, Out-File

왘 Ausgabe der Prozessliste auf den Standarddrucker:

Get-Process | Out-Printer 왘 Ausgabe der Prozessliste auf einen bestimmten Drucker:

Get-Process | Out-Printer "HP LaserJet 2100 PCL6 on E02"

915

Kapitel 21 Einführung in die Windows PowerShell (WPS) 왘 Ausgabe der Prozessliste in eine Textdatei (mit Überschreiben des bis-

herigen Inhalts): Get-Process | Out-File "c:\temp\prozessliste.txt" 왘 Ausgabe der Prozessliste in eine Textdatei (Anhängen an bisherigen

Inhalt): Get-Process | Out-File "c:\temp\prozessliste.txt" -Append

21.10 Fernausführung von Befehlen Neu in PowerShell 2.0 ist eine Funktion, die man auch beim WSH oft vermisst hat: die Möglichkeit, auf einfache Weise beliebige Befehle oder Skripte auf einem entfernten System auszuführen. PowerShell 2.0 nennt diese Funktion „PowerShell Remoting“. Sie basiert auf dem Webservice-Protokoll „WS-Management“ und funktioniert nur zwischen Windows-Systemen, für die es die Funktion „Windows Remote Management (WinRM) 2.0“ gibt. Zum Redaktionsschluss dieses Buchs sind dies Windows 7, Windows Server 2008 (inkl. R2) und Vista. Im Auslieferungszustand der PowerShell sind PowerShell-Fernaufrufe deaktiviert. Mit Enable-PSRemoting konfiguriert man einen Computer zum Empfang von Fernaufrufen von anderen Rechnern. Tipp: Zum Unterdrücken der Nachfragen geben Sie ein: Enable-Psremoting -force

Um einen einzelnen Befehl auf einem entfernten System auszuführen, kann man auch das Commandlet Invoke-Command mit dem Parameter -Computername verwenden. Der folgende Befehl liefert die Prozessliste von Computer „ PC172“. Invoke-Command -ComputerName PC172 -scriptblock { Get-Process s* } Das Commandlet Invoke-Command bietet auch die Möglichkeit, mehrere Computer in Form eines Arrays (eine durch Komma getrennte Liste) anzugeben. Beispiel: Setzen von Datum und Uhrzeit auf mehreren Computern mit dem Commandlet Set-Date Invoke-Command -computer PC170, PC171, PC172, PC173 -Scriptblock { Set-date -date }

Mit Invoke-Command kann man auch ein auf dem entfernten System vorhandenes Skript starten, z.B.: Invoke-Command -computer PC170 -scriptblock { d:\Skripte\WPS2_ Computername.ps1 }

Einige Commandlets in der PowerShell 2.0, darunter Get-Process und Get-Service, bieten auch noch einen kürzeren Weg für die Fernabfrage an. Bei diesen Commandlets kann man ein einzelnes entferntes System über den Parameter –Computer angeben, z.B. Get-Process -Computer F111.

916

Navigationsmodell

Vorteil dieser Methode ist, dass man dafür nicht WS-Management braucht und man also auch ältere Betriebssysteme abfragen kann, für die es kein WS-Management gibt. Nachteil ist, dass sich die Fernabfrage immer nur auf den einzelnen Befehl bezieht. Man kann weder Befehlsfolgen noch Skripte angeben. Außerdem kann man immer nur ein einzelnes entferntes System ansprechen. Mit dem Commandlet Enter-PSSession eröffnet man eine interaktive Sitzung zu einem entfernten System im Stil des Telnet-Protokolls. Anzugeben ist der Computername, z.B. Enter-PSSession –Computername F170

Nach erfolgreicher Ausführung des Befehls wird der Computername vor der PowerShell-Eingabeaufforderung angezeigt. Alle eingegebenen Befehle werden nun auf dem entfernten System ausgeführt. Alle Ausgaben landen auf dem lokalen System (siehe Abbildung). Abbildung 21.26 Sitzung mit einem entfernten System zur Abfrage von Prozessen und der IP-Konfiguration

21

21.11 Navigationsmodell Neben dem Objekt-Pipelining wartet die PowerShell noch mit einem inter- Get-Psdrive essanten Administrationskonzept auf: dem einheitlichen Navigationsparadigma für alle Arten von Datenmengen. Beim Aufruf des Befehls Get-Psdrive zeigen sich nicht nur die erwarteten Laufwerke, sondern auch Umgebungsvariablen (env), die Registrierungsdatenbank (HKCU, HKLM), der Windows-Zertifikatsspeicher (cert) die PowerShell-Aliase (Alias), PowerShell-Variablen (Variable) und PowerShell-Funktionen (Function). Die PowerShell fasst auch diese Daten als Laufwerke auf. Konsequenterweise muss man beim Aufruf auch einen Doppelpunkt verwenden: Get-Childitem Alias: listet genau wie Get-Alias alle definierten Aliase auf.

917


21.11.1 Navigation in der Registrierungsdatenbank In der Registrierungsdatenbank kann der Administrator somit mit den gleichen Befehlen wie im Dateisystem arbeiten. Beispiele für gültige Registrierungsdatenbank-Befehle sind: 왘 Navigation zu HKEY_LOCAL_MACHINE/Software: cd hklm:\software

Kurzform für: Set-Location hklm:\software 왘 Auflisten der Unterschlüssel des aktuellen Schlüssels:

Dir

Kurzform für: Get-Childitem 왘 Erzeugen eines Unterschlüssels mit Namen „ IT-Visions“:

md IT-Visions 왘 Erzeugen eines Unterschlüssels mit einem Standardwert:

New-Item -Name "Website" –Value "www.IT-Visions.de" –type String Abbildung 21.27 Navigation in und Manipulation der Registrierungsdatenbank

918

Navigationsmodell

21.11.2 Provider und Laufwerke Get-Psdrive zeigt an, dass es verschiedene „Laufwerk“-Provider gibt. Die Provider

Festplatten gehören zum Provider „FileSystem“ (FS). Microsoft nennt die Provider „Navigation Provider“ oder „Commandlet Provider“ und will alle Datenmengen, egal ob flach oder hierarchisch, mit den gleichen Basisverben (Get, Set, New, Remove etc.) behandeln. Sowohl die Menge der Provider als auch die Menge der Laufwerke ist erweiterbar. In der PowerShell 2.0 sind folgende Laufwerke enthalten: 왘 Windows-Dateisystem (A, B, C, D, E etc.) 왘 Windows-Registrierungsdatenbank (HKCU, HKLM) 왘 Windows-Umgebungsvariablen (env) 왘 Windows-Zertifikatsspeicher (cert) 왘 Funktionen der PowerShell (function) 왘 Variablen der PowerShell (variable) 왘 Aliase der PowerShell (alias) Abbildung 21.28 Aus der Sicht der PowerShell sind Laufwerke auch die Umgebungsvariablen, die Aliase und die Registrierungsdatenbankeinträge.

Auch das Active Directory kann man diesem Navigationsparadigma unterwerfen. In den frühen Beta-Versionen der PowerShell war ein Provider dafür auch enthalten; er hat es aber nicht in die endgültige Version geschafft. Der Active Directory-Provider ist jetzt aber als Teil der PowerShell Community Extensions (PCSX) [PCE07] verfügbar. In Windows Server 2008 R2 sowie in den optionalen Microsoft Remote Server Administration Tools (RSAT) für Windows 7 gibt es ebenfalls einen Provider für Active Directory. Die installierten Provider sieht man mit Get-PSProvider. Provider

Quelle

Laufwerke

Alias

PowerShell 1.0/2.0

Alias

Environment

PowerShell 1.0/2.0

Env

Filesystem

PowerShell 1.0/2.0

A, B, C, D etc.

Function

PowerShell 1.0/2.0

Function

Registry

PowerShell 1.0/2.0

HKLM, HKCU

Variable

PowerShell 1.0/2.0

Variable

Certificate

PowerShell 1.0/2.0

cert

21

Tabelle 21.5: Verfügbare PowerShell-Provider

919


Provider

Quelle

Laufwerke

RSS-Feedstore

PCSX 1.1.1 [CODEPLEX01]

Feed

Assemblycache


Gac

Directoryservices


(NT 4.0-kompatbiler Name der Domäne)

Active Directory

Active Directory-PowerShellModul in Windows Server 2008 R2 bzw. im Microsoft Remote Server Administration Tools (RSAT) für Windows 7

AD:

Internet Information Server

IIS : PowerShell-Modul « WebAdministration » in Windows Server 2008 R2 bzw. im Microsoft Remote Server Administration Tools (RSAT) für Windows 7

Microsoft SQL Server

Microsoft SQL Server 2008

SQLSERVER:

Windows SharePoint Services oder SharePoint Portal Server

PowerShell SharePoint Provider [CODEPLEX02].

(Beliebiger Name)

Tabelle 21.5: Verfügbare PowerShell-Provider (Forts.)

21.11.3 Navigationsbefehle Zur Navigation stehen folgende Befehle zur Verfügung: Tabelle 21.6 Navigationsbefehle

Commandlet Aliase

Beschreibung

Get-ChildItem

dir, ls

Auflisten der Elemente

Get-Cwd

cd, pwd

Wechsel des Standorts

Get-Content

type, cat

Abruf eines Elementinhalts

New-Item

mkdir

Erstellen eines Elements (Ast oder Blatt)

Get-Location Set-Location

Abrufen des aktuellen Standorts Cd

Festlegung des aktuellen Standorts

21.11.4 Pfadangaben Es gibt zahlreiche Commandlets, die Unterstützung bei der Navigation in PowerShell-Laufwerken bieten. Test-Path

920

Test-Path prüft, ob es einen Pfad gibt. Das Ergebnis ist True oder False (System.Boolean).

Navigationsmodell Test-Path c:\temp Test-Path HKLM:\software\IT-Visions Resolve-Path löst Platzhalter in Pfadangaben auf und gibt den resultierenden Pfad als ein Objekt vom Typ System.Management.Automation.PathInfo

Resolve-Path

zurück. 왘 Ein Punkt (.) steht für das aktuelle Verzeichnis. 왘 Zwei Punkte (..) stehen für das übergeordnete Verzeichnis. 왘 Die Tilde (~) steht für das Profilverzeichnis des aktuellen Benutzers (siehe Abbildung 21.29). Abbildung 21.29 Einsatz von Resolve-Path

Viele Commandlets geben Pfadangaben des Typs System.Management. Automation.PathInfo aus. Um dies in eine einfache Zeichenkette (die aller-

Convert-Path

dings dann providerspezifisch ist) umzusetzen, steht das Commandlet Convert-Path zur Verfügung.

21.11.5 Eigene Laufwerke definieren Das Navigationsmodell der PowerShell erlaubt die Definition eigener New-PSDrive Laufwerke, die dann als Abkürzung verwendet werden können. Der folgende Befehl definiert ein neues Laufwerk „ Demo:“ als Alias für einen Dateisystempfad: New-PSDrive -Name Demo -PSProvider FileSystem -Root "h:\demo\ps\"

21

Danach kann man mit Dir demo:

auf den Pfad zugreifen. Das neu definierte Laufwerk funktioniert nur innerhalb der PowerShell und ist nicht in sonstigen Windows-Anwendungen verfügbar. Genau genommen funktioniert das neue Laufwerk sogar nur innerhalb der aktuellen Instanz der PowerShell. Zwei PowerShell-Fenster teilen sich nicht solche Deklarationen!

921


Auch für die Registrierungsdatenbank kann man solche Abkürzungen definieren: New-PSDrive -Name Software -PSProvider Registry -Root HKLM:\SOFTWARE\ Microsoft\Windows\CurrentVersion\Uninstall

Die Anzahl der Laufwerke ist im Standard auf 4096 beschränkt. Dies kann durch die Variable $MaximumDriveCount geändert werden.

21.12 PowerShell Language (PSL) PSL

Neben der Commandlet-Infrastruktur bietet die PowerShell auch eine eigene Skriptsprache. Die PowerShell Language (PSL) kennt nicht nur Variablen, sondern auch übliche Programmkonstrukte wie Schleifen und Bedingungen. In der PSL kann man komplexe Befehlsabfolgen definieren und diese zu Skripten zusammenfassen.

Inspiration durch andere Sprachen

Microsoft greift dabei nicht auf eine bestehende Skriptsprache zurück, sondern hat sich für die Neuschöpfung nach eigenen Worten „ inspirieren lassen“ von Unix-Shell-Sprachen, PERL, PHP, PYTHON und C#. Folglich verwendet die Sprache geschweifte Klammern; Semikola braucht man jedoch als Befehlstrenner nicht.

21.12.1 Hilfe zu der PowerShell-Sprache Get-Help

Die Sprachkonstrukte der PowerShell sind genauso wie die PowerShellCommandlets in einfachen, rein textbasierten Hilfedokumenten erklärt, die mit der PowerShell installiert werden. Die Hilfedokumente zu den Sprachkonstrukten beginnen mit dem Wort „About“, z.B. liefert der Befehl Get-Help About_for

Hilfe zur for-Schleife. Der Befehl Get-Help About

zeigt eine Liste aller „ About“-Dokumente.

21.12.2 Befehlstrennung Pipe und Semikolon

Jede Zeile ist ein Befehl. Ein Befehl kann aus mehreren Commandlets bestehen, die durch das „ Pipesymbol“ (|) getrennt sind. Man kann mehrere Befehle durch ein Semikolon (;) getrennt in eine Zeile setzen. Man kann Semikola auch wie in C++ und C# am Ende jeder Zeile verwenden – man muss es aber nicht. Wenn sich ein Befehl über mehrere Zeilen erstrecken soll, kann man am Ende einer Zeile mit einem Hochkomma (`) bewirken, dass die nächste Zeile mit zum Befehl hinzugerechnet wird. gps | ` format-list

922

PowerShell Language (PSL)

21.12.3 Kommentare Kommentare werden durch ein # gekennzeichnet: # Kommentar

21.12.4 Variablen Variablen werden mit einem $ gekennzeichnet. Variablenbezeichner (der Untypisierte Name der Variable) kann aus Buchstaben und Zahlen sowie einem Unter- Variablen strich bestehen. Nicht erlaubt sind Namen, die bereits vordefinierten Variablen zugewiesen wurden, insbesondere nicht der Name "$_". Variablen sind entweder untypisiert: $a = 5

oder typisiert auf einen PowerShell-Grundtyp oder eine beliebige .NET- Typisierte Variablen Klasse: $a = [int] 5 $a = [System.DateTime] "1.8.1972"

Als Typbezeichner können alle .NET-Klassennamen verwendet werden sowie einige vordefinierte Typbezeichner der PowerShell. Beispielsweise sind [int], [System.Int32] und [int32] völlig gleichbedeutend. [int] ist der eingebaute PowerShell-Typbezeichner für Ganzzahlen mit 32 Bit Länge. Dieser Typ wird abgebildet auf die .NET-Klassen [System.Int32]. Dieser Name kann wiederum mit [int32] abgekürzt werden. Wie viel man tippen möchte, ist also Geschmackssache. Das Voranstellen des Typnamens [int] $a = 5

bewirkt, dass die Variable nur Daten dieses Typs aufnehmen kann, und entspricht damit der klassischen Typisierung in Hochsprachen wie C++, Java und C#. Auf welchen Typ eine Variable explizit oder implizit typisiert wurde, kann man durch den Ausdruck GetType().FullName ermitteln. Da jede PowerShell-Variable eine Instanz einer .NET-Klasse ist, besitzt jede PowerShellVariable die Methode GetType(), die jedes .NET-Objekt von der Mutter aller .NET-Klassen (System.Object) erbt.

21

$b = [System.DateTime] "1.8.1972" "$b hat den Typ: " + $b.GetType().Fullname

Die PowerShell kennt zahlreiche vordefinierte Variablen (die Tabelle zeigt nur eine Auswahl).

923

Kapitel 21 Einführung in die Windows PowerShell (WPS) Tabelle 21.7 Vordefinierte PowerShell-Variablen (Auswahl)

Variable

Bedeutung

$true

Wert "wahr"

$false

Wert "falsch"

$OFS

Trennzeichen für die Ausgabe von Objektmengen

$Home

Heimatverzeichnis des angemeldeten Benutzers

$PSHome

Installationsverzeichnis des PowerShell-Hosts

$Args

Parameter (zur Verwendung in Funktionen)

$Input

Aktueller Inhalt der Pipeline (zur Verwendung in Funktionen)

$_

Aktuelles Objekt der Pipeline (zur Verwendung in Schleifen)

$StackTrace

Aktuelle Aufrufreihenfolge

$PSHost

Informationen über den PowerShell-Host

$LastExitCode

Rückgabewert der zuletzt ausgeführten externen Windows- oder Konsolenanwendung

$Error

Komplette Liste aller aufgetretenen Fehler seit Start der PowerShell (maximal gespeicherte Anzahl ist durch $MaximumErrorCount festgelegt)

Beispiel Ein Beispiel zum Einsatz von $OFS: Der Befehl $OFS="/" ; [string] ("a","b","c")

liefert die Ausgabe: a/b/c

21.12.5 Zahlen Zahlen können in der PowerShell entweder als einfache Zahlen, als Formeln oder als Wertebereiche angegeben werden. Hexadezimalzahlen können durch ein vorangestelltes 0x ausgedrückt (z.B. 0Xff = 255) und dann verwendet werden wie Dezimalzahlen (z.B. 0Xff+1 = 256). Abbildung 21.30 Zahlen in der PowerShell

Bei der Zuweisung eines Zahlenliterals zu einer ungetypten Variablen erzeugt die PowerShell im Standard eine Instanz des Typs System.Int32. Reicht der Wertebereich von Int32 nicht aus, werden Int64 oder Decimal erzeugt. Wenn das Zahlenliteral eine gebrochene Zahl ist (mit einem Punkt

924


zur Trennung der Nachkommastellen), dann erzeugt die PowerShell Double oder Decimal. Möchte man Kontrolle über den Datentyp der Variablen, muss man die Variable explizit typisieren, z.B. mit [Byte] oder [Decimal]. Für Decimal gibt es eine weitere Möglichkeit, indem man ein „ d“ an das Literal anhängt (z.B. 5.1d). # Implicit Integer $i = 5 $i.GetType().Name # Implicit Long $i = 5368888888888888 $i.GetType().Name # Implicit Decimal $i = 53688888888888888888888888888 $i.GetType().Name # Explicit Long [Int64] $l = 5 $l.GetType().Name # Explicit Byte [Byte] $b = 5 $b.GetType().Name # Implicit Double $d = 5.1 $d.GetType().Name # Implicit Decimal $d = 5.1d $d.GetType().Name # Explicit Decimal [Decimal] $d = 5.1 $d.GetType().Name

Beim expliziten Typisieren kann man wahlweise die PowerShell-Typen [int] und [long] oder die korrespondierenden .NET-Klassennamen [int32] und [int64] verwenden.

21

Mit den Kürzeln KB, MB und GB können die Maßeinheiten Kilobyte, Megabyte und Gigabyte zugewiesen werden, z.B. steht 5MB für die Zahl 5242880 (5 * 1024 * 1024). Diese Maßeinheiten gelten ab PowerShell 1.0 RC2. Vorher wurden die Kürzel M, K und G verwendet.

925


21.12.6 Zeichenketten Zeichenketten sind in der PowerShell Instanzen der .NET-Klasse System.String. Sie werden begrenzt durch Anführungszeichen oder '@ @'. Die letzte Variante, die auch Zeilenumbrüche erlaubt, nennt Microsoft „ Here-String“. Listing 21.5 Beispiel für einen Here-String [Zeichenketten.ps1]

#Here-String @' Eine lange Zeile kann in spezielle Begrenzer verpackt werden '@

In beiden Fällen dürfen die Zeichenketten Variablen enthalten, die automatisch aufgelöst werden. Listing 21.6 Beispiel für eine Variablenauflösung in einer Zeichenkette [Zeichenketten.ps1]

$a = 10 $b= "Der aktuelle Wert ist $a!" Write-Warn $b

Bei der Parameterübergabe an Commandlets sind Zeichenketten nur in Anführungszeichen zu schreiben, wenn die Parameterabgrenzung sonst nicht mehr klar wäre, also wenn ein Leerzeichen darin vorkommt.

Bearbeitungsmöglichkeiten Zeichenkettenbearbeitung

Für Zeichenketten in der PowerShell stehen alle Bearbeitungsmöglichkeiten der Klasse System.String in der PowerShell zur Verfügung. Folgende Methoden stehen zur Verfügung (siehe auch Abbildung 21.31): 왘 Clone 왘 CompareTo 왘 Contains 왘 CopyTo 왘 EndsWith 왘 Equals 왘 IndexOf 왘 IndexOfAny 왘 Insert 왘 LastIndexOf 왘 LastIndexOfAny 왘 Length 왘 PadLeft 왘 PadRight 왘 Remove

926

PowerShell Language (PSL) 왘 Replace 왘 Split 왘 StartsWith 왘 Substring 왘 ToCharArray 왘 ToLower 왘 ToLowerInvariant 왘 ToString 왘 ToUpper 왘 ToUpperInvariant 왘 Trim 왘 TrimEnd 왘 TrimStart

Abbildung 21.31 Methoden der Klasse System.String

Das folgende Beispiel zeigt folgende Zeichenkettenoperationen: 왘 Umwandlung in Großbuchstaben 왘 Einfügen eines Textes 왘 Extrahieren eines Textteils als einzelne Zeichen # Umwandlung in Großbuchstaben $a = "Dr. Schwichtenberg" $a.ToUpper() $b

Beispiel

Listing 21.7 Beispiel für die Veränderung von Zeichenketten

# Einfügen eines Textes $a = $a.Insert(4, "Holger ") $a # Extrahieren eines Textteils $c = $a[4..9] $c

927

21

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.32 Ausgabe des obigen Skripts

21.12.7 Datum und Uhrzeit Get-Date

Das Commandlet Get-Date liefert eine Instanz der .NET-Klasse System. DateTime, die das aktuelle Datum und die aktuelle Uhrzeit enthält. Get-Date

Die Anzeige reduziert man wie folgt auf das Datum: Get-date -displayhint date

Die Anzeige reduziert man so auf die Zeit: Get-date -displayhint time Get-Date kann auch dazu genutzt werden, ein spezielles Datum zu erzeugen und dieses in einer Variablen zu speichern: $a = Get-date "8/1/1972 12:11:10"

Die Differenz zwischen dem aktuellen Datum und einem in einer Variablen gespeicherten Datum errechnet man durch den Aufruf der Methode Subtract(): (Get-Date).Subtract((Get-date "8/1/1972 12:11:10"))

oder durch die einfache Verwendung des Minuszeichens: (Get-Date) - (Get-date "8/1/1972 12:11:10")

Dies führt zu folgender Ausgabe: Days Hours Minutes Seconds Milliseconds Ticks TotalDays TotalHours TotalMinutes TotalSeconds TotalMilliseconds

: : : : : : : : : : :

12662 11 56 57 927 10940398179276185 12662,4978926808 303899,949424338 18233996,9654603 1094039817,92762 1094039817927,62

Intern verarbeitet die PowerShell Zeiträume als Instanzen der Klasse System.TimeSpan. Man kann auch selbst Zeiträume mit dem Commandlet New-TimeSpan anlegen und mit diesen rechnen, z.B.: $Dauer = New-TimeSpan -Days 10 -hours 4 -minutes 3 -seconds 50 $jetzt = Get-Date $zukunft = $jetzt + $Dauer

928


Bei New-TimeSpan kann man die Dauer nur in Tagen, Stunden, Minuten und Sekunden angeben. Eine Angabe in Monaten oder Jahren ist nicht möglich. Die Zeit von einem entfernten System abfragen kann man nicht mit dem Commandlet Get-Date, sondern nur unter Zuhilfenahme der WMI-Klasse Win32_Currenttime. Get-Wmiobject Win32_currenttime -computername E02

Das Ergebnis der Operation ist dann aber kein .NET-Objekt vom Typ System.DateTime System.DateTime, sondern ein .NET-Objekt vom Typ System.Management .ManagementObject, das ein WMI-Objekt vom Typ root\cimv2\Win32_LocalTime enthält. Die aktuelle Systemzeit setzen kann man mit Set-Date.

21.12.8 Arrays und assoziative Arrays (Hashtable) Ein Array deklariert man durch die Zuweisung einer durch Kommata Datenfelder getrennten Wertemenge: $a = 01,08,72,13,04,76

Das Array kann auch explizit mit [array] deklariert werden: [array] $b $b = 1,2,3

Möchte man ein Array mit nur einem Element definieren, muss man die Liste mit einem Komma beginnen oder das Array explizit deklarieren: $a = ,"Nur ein Element" [Array] $a = "Nur ein Element"

Zum Auflisten eines Arrays ist Foreach-Object nicht zwingend notwendig. Wenn ein Array am Ende der Pipeline steht, wird das Array ausgegeben (siehe Abbildung 21.33). Das Attribut Count liefert die Anzahl der Elemente im Array. [array] $b $b = 1,2,3 $b.Count

21

Um auf die Elemente zuzugreifen, setzt man einen Index (bei 0 beginnend) oder einen Indexbereich in eckige Klammern. Der Indexbereich ist durch zwei Punkte zu trennen, z.B. $a[3..6]. Der Operator += ergänzt ein Element am Ende eines Arrays (siehe Abbildung 21.33). Das Entfernen von Elementen ist nicht möglich (nur das Umkopieren in ein anderes Array).

929

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.33 Ausgabe eines Arrays

Zwei Arrays kann man durch den Plus-Operator verbinden: $DomainControllers = "E01", "E02", "E03" $MemberServers = "E04", "E05", "E06" $AllServers = $DomainControllers + $MemberServers $AllServers.Count # Ergebnis: 6 !

Mehrdimensionale Arrays sind möglich, indem man die Elemente mit runden Klammern zusammenfasst. In dem folgenden Beispiel entsteht ein zweidimensionales Array. Die Elemente der ersten Dimension enthalten jeweils Arrays mit drei Elementen. Auch hier kann man mit dem PlusOperator die Menge ergänzen. $DomainControllers = ("E01", "192.168.1.10", "Building 1"), ("E02", "192.168.1.20", "Building 2"), ("E03", "192.168.1.30", "Building 3") "Number of Computers: " + $DomainControllers.Count "IP Address of Computer 2: " + $DomainControllers[1][1] # 192.168.1.20 "Building of Computer 2: " + $DomainControllers[1][2] # Building 3 $DomainControllers += ("E04", "192.168.1.40", "Building 4") "Building of Computer 4: " + $DomainControllers[3][2] # Building 4

Neben den Arrays unterstützt die PowerShell auch benannte Elementmengen in Form sogenannter Hashtables. In einer Hashtable werden die Elemente nicht durch die Position, sondern einen eindeutigen Bezeichner identifiziert. Dieses Konzept existiert auch in anderen Sprachen und wird dort oft „ assoziatives Array“ genannt. Das zugrunde liegende Basiskonzept ist die .NET-Klasse System.Collections.Hashtable. Bei der Definition einer Hashtable ist das @-Zeichen zu verwenden, gefolgt von der Elementmenge in geschweiften Klammern. Die einzelnen Elemente sind durch Semikola zu trennen. Jedes Element besteht aus einem Elementnamen und einen Elementwert, wobei Elementname und Elementwert durch ein Gleichheitszeichen zu trennen sind. Der Elementname darf nicht in Anführungszeichen stehen. Möchte man den Datentyp explizit angeben, ist [Hashtable] zu verwenden.

930

PowerShell Language (PSL) # Implicit Hashtable $Computers = @{ E01 = "192.168.1.10"; E02 = "192.168.1.20"; E03 = "192.168.1.30"; } # Explicit Hashtable [Hashtable] $Computers = @{ E01 = "192.168.1.10"; E02 = "192.168.1.20"; E03 = "192.168.1.30"; }

Auf eine solche Hashtable kann man nicht nur wie bei den einfachen Arrays über die Notation mit eckigen Klammern zugreifen, sondern auch direkt über den Punkt-Operator. Dies macht die Arbeit mit Hashtables sehr elegant: # Get IP Address of Computer E02 $Computers["E02"] $Computers.E02

Man kann die Elemente auch direkt beschreiben. # Change on Element $Computers.E02 = "192.168.1.21"

Sehr komfortabel ist, dass beim Beschreiben eines bisher nicht existierenden Elements das Element neu angelegt wird. Auf diese Weise kann man auch eine Hashtable schrittweise anlegen, d.h., mit einer leeren Liste starten. Eine leere Hashtable wird ausgedrückt durch @{ }. # Add a new Element $Computers.E04 = "192.168.1.40" # Start with an empty list $MoreComputers = @{ } $MoreComputers.E05 = "192.168.1.50" $MoreComputers.E06 = "192.168.1.60" $MoreComputers.Count # Result = 2

Zwei Hashtables kann man verbinden wie zwei Arrays. Dies funktioniert aber nur, wenn in beiden Listen zusammen jeder Elementname nur einmal vorkommt. Falls es Duplikate gibt, wird ein Fehler erzeugt, und das Ergebnis ist eine leere Menge. # Add two Hashtables $AllComputers = $Computers + $MoreComputers $AllComputers.Count # Result = 6

21

Hashtables kann man nicht nur für echte Listen, sondern auch zur einfachen Definition eigener Datenstrukturen verwenden, z.B. um Informationen über eine Person zu speichern. # Use a Hashtable as a custom data structure $Author = @{ Name="Dr.Holger Schwichtenberg"; Age=35; Country="Germany" } $Author.Name $Author.Age $Author.Country

931


21.12.9 Operatoren Die Windows PowerShell unterstützt die elementaren arithmetischen Operatoren +, -, *, /und % (Modulo-Operation alias Divisionsrest). Das Pluszeichen verwendet man sowohl zur Addition von Zahlen als auch Verkettung von Zeichenketten. Sogar Mengen (Array, Hashtables) kann man verbinden. Auch der Stern (*) für die Multiplikation hat noch andere Bedeutung: Sowohl eine Zeichenkette als auch ein Array kann man multiplizieren. Dadurch werden die Zeichen bzw. Elemente so oft wiederholt wie angegeben. In der Natur einer Hashtable liegt, dass man die Elemente nicht vervielfachen kann, da dies zu doppelten Elementnamen führen würde, was nicht erlaubt ist. # Multiply a string $String = "abcdefghijklmnopqrstuvwxyz" $LongString = $String * 20 "Count: " + $LongString.Length # = 520 # Multiply an Array $a = 1,2,3,4,5 $b = $a * 10 "Count: " + $b.Count # = 50

Als Zuweisungsoperator wird das Gleichheitszeichen verwendet. Interessant sind Kreuzzuweisungen, mit denen auf elegante Weise die Inhalte zweier Variablen vertauscht werden können. Normalerweise braucht man dafür eine Zwischenvariable. In der PowerShell kann man aber einfach schreiben $x, $y = $y, $x (siehe Abbildung 21.34). Abbildung 21.34 Kreuzzuweisung zur Variableninhaltsvertauschung in der PowerShell

Ein interessanter Operator ist auch das kaufmännische Und. Damit kann man eine Zeichenkette als einen Befehl ausführen. Dies ist eine Möglichkeit, dynamischen und selbstmodifizierenden Programmcode zu schreiben. Dazu ein Beispiel: $What = "Process" & ("Get-"+$What)

Die obige Befehlsabfolge führt zur Ausführung des Commandlets "GetProcess". Nun könnte man den Inhalt der Variablen $What auch aus einer anderen Quelle, z.B. einer Benutzereingabe, bekommen. Alternativ kann man statt des Operators & auch das Commandlet InvokeExpression verwenden: $What = "Process" invoke-expression("Get-"+$What)

932


Unbedingt zu beachten ist, dass dynamische Codeausführung ein Sicherheitsrisiko birgt, wenn man Benutzereingaben direkt in den Befehlen verarbeitet. Man könnte meinen, dass in dem obigen Beispiel das Risiko beschränkt ist, weil immer der Get-Befehl ausgeführt wird. $What = "Process; get-Service" invoke-expression("Get-"+$What)

21.12.10 Kontrollkonstrukte Als Kontrollstrukturen kennt die PowerShell-Skriptsprache die folgen- Schleifen, Bedingungen und den Konstrukte: 왘 if (Bedingung) {...} else {...}

Unterroutinen

왘 switch ($var) { Wert: {...} } 왘 while(Bedingung) { ... } 왘 do { ... } while (Bedingung) 왘 do { ... } until (Bedingung) 왘 foreach ($var in $menge) {...} 왘 function name {...} 왘 break 왘 continue 왘 return 왘 exit 왘 trap Fehlerklasse { ... } else { ... } 왘 throw "Fehlertext" 왘 throw Fehlerklasse

Details zu den Befehlen finden Sie in der Hilfe zur PowerShell. Hier wird zugunsten anderer Inhalte auf eine detaillierte Darstellung verzichtet. # Schleifen von 1 bis 5 "for" for ($i = 1; $i -lt 6; $i++) { $i }

21

"Foreach" $i = 1,2,3,4,5 foreach ($z in $i) { $z } "While:" $i = 0 while($i -lt 5) { $i++ $i }

933

Kapitel 21 Einführung in die Windows PowerShell (WPS) #Bedingungen if ($i -lt 10) { "Kleiner als 10" } else { "grösser als 10" } switch ($i) { 1 {"eins"} 5 {"fünf"} 10 {"zehn"} } Listing 21.8 Beispiele für Kontrollkonstrukte

#Fehlerbehandlung unsinn trap [System.Exception] { "Es ist ein Fehler aufgetreten: "+ $_ ; break } "Scriptende"

21.13 PowerShell-Skripte Befehlsabfolgen können als PowerShell-Skripte im Dateisystem abgelegt und später (unbeaufsichtigt) ausgeführt werden. Diese Skripte sind reine Textdateien und haben die Dateierweiterung .ps1. Die Zahl 1 steht dabei für die Version 1.0 der PowerShell. Microsoft hat in Hinblick auf die Langlebigkeit vieler Skripte vorgesehen, dass verschiedene Versionen der PowerShell auf einem System koexistieren können.

21.13.1 Beispiel Das nachstehende Listing zeigt ein Skript, das eine Hierarchie von Schlüsseln in der Registrierungsdatenbank ablegt. Dabei wird absichtlich die einfache Addition von Zahlen in eine Unterroutine gekapselt, um die Rückgabe von Werten an den Aufrufer mit der return-Anweisung zu zeigen. Literale und Ausdrücke, die ohne Commandlet im Skript enthalten sind, werden an der Konsole ausgegeben. Listing 21.9 Ein PowerShellSkript zur Manipulation der Registrierungsdatenbank [regkeys.ps1]

######################################## # PowerShell-Script # Das Script legt eine Schlüsselhierarchie in der # Registrierungsdatenbank an. # (C) Dr. Holger Schwichtenberg ######################################## # === Unterroutine, die eine Addition ausführt function Addition { return $args[0] + $args[1] }

934

PowerShell-Skripte # === Unterroutine, die einen Schlüssel in der Registrierungsdatenbank anlegt function CreateEntry { "Eintrag anlegen..." New-Item -Name ("Eintrag #{0}" -f $args[0]) -value $args[1] -type String } # === Hauptroutine "PowerShell-Registrierungsdatenbank-Script (C) Dr. Holger Schwichtenberg 2006" # Navigation in die Registrierungsdatenbank cd hklm:\software # Prüfe, ob Eintrag \software\IT-Visions vorhanden $b = Get-Item IT-Visions if ($b.childName -eq "IT-Visions") { # Lösche vorhandenen Eintrag mit allen Unterschlüsseln "Schluessel existiert bereits, loesche..." cd hklm:\software del IT-Visions -force -recurse } # Erzeuge neuen Eintrag "IT-Visions" "Erzeuge IT-Visions..." md IT-Visions cd IT-Visions # Lege Unterschlüssel an for($a=1;$a -lt 5;$a++) { $ergebnis = Addition $a $a CreateEntry $a $ergebnis }

21.13.2 Start eines Skripts Jeffrey Snover, der maßgebliche Architekt der Windows PowerShell, nannte als „ Top-Sicherheitsfunktion“ der Windows PowerShell die Tatsache, dass man ein PowerShell-Skript nicht durch Doppelklick auf das Symbol in Windows starten kann. Grundsätzlich könnte man diese Startart definieren, sie ist aber nicht im Standardumfang der PowerShellInstallation enthalten. Ein PowerShell-Skript wird gestartet durch Eingabe des Namens mit oder ohne Dateierweiterung bzw. mit oder ohne ein vorangestelltes Commandlet in der PowerShell-Konsole:

21

Softwareinventar3 oder Softwareinventar3.ps1 oder &Softwareinventar3.ps1 oder Invoke-Expression Softwareinventar3.ps1

935


Alternativ kann man ein PowerShell-Skript aus dem normalen WindowsKommandozeilenfenster durch eine Verknüpfung aus dem WindowsDesktop oder als Anmeldeskript starten, indem man powershell.exe voranstellt: powershell.exe Softwareinventar3

Für PowerShell-Skripte gelten hinsichtlich der Benutzerkontensteuerung (User Account Control – UAC) die gleichen Einschränkungen und Lösungen wie für WSH-Skripte. Bitte lesen Sie für weitere Informationen das Kapitel 19 über den Windows Script Host (WSH).

21.13.3 Sicherheitsfunktionen für PowerShellSkripte Die bisherige Active-Scripting-Architektur im Internet Explorer, in Outlook und im Windows Script Host (WSH) hatte mit Sicherheitsproblemen zu kämpfen. Laut der Dokumentation ist die PowerShell „ in der Grundeinstellung eine sichere Umgebung“ [MS88]. Dass nicht jedes beliebige Skript zur Ausführung gebracht werden kann, zeigt sich, wenn man versucht, die PowerShell-Konsole nicht nur interaktiv, sondern zum Start eines Skripts zu verwenden. Die Standardausführungsrichtlinie (Execution Policy) lässt überhaupt keine Skripte zu. Abbildung 21.35 Die Skript-ausführung muss man in der PowerShell erst explizit aktivieren.

Sicherheitsrichtlinien Set-Executionpolicy

Ein Benutzer kann die Shell zunächst nur interaktiv verwenden, bis er die Ausführungsrichtlinie mit dem Commandlet Set-Executionpolicy auf eine niedrigere Sicherheitsstufe herabsetzt: 왘 Modus „AllSigned“: Nur signierte Skripte starten und signierte Skripte von nicht vertrauten Quellen starten auf Nachfrage. 왘 Modus „RemoteSigned“: Eine vertraute Signatur ist nur für Skripte aus dem Internet (via Browser, Outlook, Messenger) erforderlich; lokale Skripte starten auch ohne Signatur. 왘 Modus „ Unrestricted“: Alle Skripte laufen. „Unrestricted“ sollte man nicht wählen, weil dies bösen Skripten, die z.B. als E-Mail-Anhänge übermittelt werden, die Tür öffnen würde. Wenn man sich nicht die Arbeit mit digitalen Signaturen machen will, ist die Option

936

PowerShell-Skripte

„RemoteSigned“ ein Kompromiss. Noch vor dem endgültigen Erscheinen der PowerShell gab es die ersten angeblichen PowerShell-Viren. Diese waren aber nur eine Bedrohung, wenn man sie explizit gestartet hat (siehe [MSSec01]). Die Sicherheitsrichtlinie wird in der Registrierungsdatenbank auf Systemoder Benutzerebene abgespeichert im Schlüssel HKEY_CURRENT_USER\ Software\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell\ExceutionPolicy bzw. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\ 1\ShellIds\Microsoft.PowerShell\ExceutionPolicy. Abbildung 21.36 Persistierung der Sicherheitsrichtlinien in der Registrierungsdatenbank

Bitte beachten Sie, dass durch die Speicherung in der Registrierungsdatenbank die Sicherheitsrichtlinie unter Windows 7 nur geändert werden kann, wenn die PowerShell-Konsole unter vollen Rechten läuft.

Skripte signieren Im Unternehmenseinsatz sollte man digitale Signaturen verwenden. Zum Set-AuthentiSignieren von Skripten bietet die Shell das Commandlet Set-Authenticode- codeSignature Signature. Um ein Skript zu signieren, müssen Sie die folgenden Schritte ausführen: 왘 Wenn Sie kein digitales Zertifikat zum Signieren von Code besitzen, legen Sie sich ein Zertifikat an (z.B. mit dem Kommandozeilenwerkzeug makecert.exe). 왘 Lassen Sie sich Ihre eigenen Windows-Zertifikate in der PowerShellKonsole auflisten: dir cert:/currentuser/my 왘 Ermitteln Sie die Position des Zertifikats, das Sie verwenden wollen,

und speichern Sie dieses Zertifikat in einer Variablen (Achtung: Die Zählung beginnt bei 0!): $cert = @(dir "cert:/currentuser/my/")[1] 왘 Signieren Sie das Skript:

Set-AuthenticodeSignature Softwareinventar3.ps1 $cert

937

21

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.37 Signieren eines PowerShell-Skripts

Wenn Sie nun Set-AuthenticodeSignature AllSigned

eingeben, sollte das von Ihnen signierte PowerShell-Skript laufen, alle anderen Skripte aber nicht. Falls die PowerShell beim Start des Skripts noch einmal nachfragt, ob Sie das Skript wirklich laufen lassen wollen, dann bedeutet dies, dass das Skript zwar von jemandem signiert ist und Sie die Zertifizierungsstelle, die das Zertifikat ausgestellt hat, in Ihrer Stammzertifizierungsstelle kennen, aber Sie diesem Skriptautor noch nicht explizit vertrauen. Durch die Option „Always Run“ würde der Skriptautor unter die „Vertrauenswürdigen Herausgeber“ in die Zertifikatsverwaltung aufgenommen werden.

Abbildung 21.38: Nachfrage beim Skriptstart

21.13.4 PowerShell-Skripte als Commandlets verwenden Funktionsbasierte Commandlets

938

Es gibt eine sehr einfache Möglichkeit, um eigene Commandlets zu erstellen und damit die Fähigkeiten der PowerShell zu erweitern: Eine in der PowerShell-Sprache geschriebene Funktion in einem PowerShell-Skript

PowerShell-Skripte

kann wie ein Commandlet verwendet werden. Solche Commandlets heißen funktionsbasierte Commandlets. Ein funktionsbasiertes Commandlet besteht aus folgenden Teilen: 왘 Mindestens eine in der PowerShell-Sprache geschriebene Funktion, deren Name wie ein Commandlet aus Verb und Substantiv aufgebaut ist 왘 Eine Liste von Parametern 왘 Ein Unterblock mit dem Namen begin, der einmalig zu Beginn der Verarbeitung des Commandlets ausgeführt wird 왘 Ein Unterblock process, der für jedes Objekt in der Pipeline ausgeführt wird. Process wird bei leerer Pipeline genau einmal aufgerufen. 왘 Ein Unterblock end, der einmalig zum Ende der Verarbeitung ausgeführt wird Beispiel Das folgende funktionsbasierte Commandlet ist zunächst nur ein Test, um die Wirkungsweise eines solchen Commandlets zu demonstrieren. In jeder der drei Phasen macht das Commandlet eine Ausgabe. In process wird für jedes Objekt in der Pipeline der Typ ausgegeben. Das Commandlet besitzt einen Parameter. Der Skriptcode besteht neben der Definition der Methode mit den drei Verarbeitungsschritten aus zwei „ freien“ Befehlen, die bei der Installation ausgeführt werden: einer AliasDefinition und einer Meldung für die erfolgreiche Installation.

Der folgende Programmcode muss in einer PowerShell-Skriptdatei abgespeichert werden. Dann muss diese PowerShell-Datei mit einer speziellen Operation in die Shell eingebunden werden. Die Operation besteht aus dem Operator "." und dem vollständigen Pfad zur Skriptdatei, z.B.: . H:\demo\PS\Test-pipeline.ps1

Danach kann das funktionsbasierte Commandlet wie ein normales Commandlet mit oder ohne Parameter und mit oder ohne Pipeline-Inhalt aufgerufen werden: Test-pipeline "Hello Welt!" Test get-process a* | Test-pipeline

Die dem Listing folgende Bildschirmabbildung zeigt die Reaktion der Shell auf die obigen drei Anweisungen.

21

Wichtig ist, dass das Skript nach jeder Änderung am Quelltext des Skripts neu in die PowerShell eingebunden werden muss. # # # #

--------------------------------------------------------------------

Author: Dr. Holger Schwichtenberg Description: Demo for a function based Commandlet Usage: This file contains a function-based Commandlet. In order to use # it, you must include the file into your shell: # PS> . c:\bin\Test-Pipeline.ps1

Listing 21.10 Definition eines funktionsbasierten Commandlets [TestPipeline.ps1]

939

Kapitel 21 Einführung in die Windows PowerShell (WPS) # Date: 09/25/2006 # Website: http://www.Windows-Scripting.com/PowerShell # -------------------------------------------------------------------# Function function Test-Pipeline { param([string[]]$Parameter) begin { if ($Parameter) { "Commandlet starts with Parameter " + $Parameter + "..." } else { "Commandlet starts without Parameter..." } } process { if ($_) { "Commandlet receives a pipeline objekt of type " + $_.GetType() } else {"The Pipeline is empty!" } } end { "Commandlet ends..." } } # Define alias for function Set-Alias test test-pipeline # Confirm installation "Function-based Commandlet Test-Pipeline (alias: Test) successfully installed!" Abbildung 21.39 Beispiel zur Installation und Ausführung des funktionsbasierten Commandlets TestPipeline

940

PowerShell-Skripte

Das obige Commandlet Test-Pipeline dient der Veranschaulichung des Grundprinzips funktionsbasierter Commandlets, bietet aber in der Praxis nur einen geringen Wert. In Kapitel 22.16 zur Active DirectoryAutomatisierung mit der PowerShell werden Sie einen funktionalen funktionsbasierten Verzeichnisdienst kennenlernen.

21.13.5 Commandlets für Skriptausführung Ein PowerShell-Skript kann man eine Zeit lang anhalten. Die Zeit bemisst Start-Sleep sich in Millisekunden oder Sekunden. So wartet das Skript zehn Millisekunden: Start-Sleep -m 10

So wartet das Skript zehn Sekunden: Start-Sleep -s 10

21.13.6 Skripte einbinden Man kann Skripte in andere einbinden. Wenn in dem eingebundenen Skript „ freie“ Befehle, also Befehle enthalten sind, die nicht Teil einer Funktion sind, dann werden diese Befehle sofort ausgeführt. Deklarierte Funktionen werden nicht ausgeführt, stehen aber dem einbindenden Skript und den folgenden eingebundenen Skripten zur Verfügung. Die Einbindung erfolgt mit dem Punkt-Operator (.). Es kann ein relativer oder ein absoluter Pfad angegeben werden. # Demo User Management . ("H:\demo\PowerShell\Benutzer\Localuser_Create.ps1") . ("H:\demo\PowerShell\Benutzer\LocalGroup.ps1") . ("H:\demo\PowerShell\Benutzer\Localuser_Delete.ps1")

21.13.7 Fehlerbehandlung

Listing 21.11 Beispiel für ein PowerShell-Skript, das nur daraus besteht, andere Skripte einzubinden und damit aufzurufen

Die Windows PowerShell unterscheidet zwischen Fehlern, die unbedingt ein Ende der Ausführung des Befehls/des Skripts erfordern (Terminating Error), und Fehlern, die es erlauben, dass die Ausführung beim nächsten Befehl fortgesetzt wird (Non-Terminating Error). Abbrechende Fehler können durch Trap-Anweisungen abgefangen werden. Nicht abbrechende Fehler können zu abbrechenden Fehlern gemacht werden.

21

Trap fängt aufgetretene abbrechende Fehler ab und führt den angegebenen Code aus. $_ enthält dann Informationen zu dem Fehler in Form einer Instanz von System.Management.Automation.ErrorRecord. Das Unterobjekt $_.Exception ist der eigentliche Fehler in Form einer Instanz einer Klasse, die von System.Exception erbt. Über $_.Exception.GetType().FullName erhält man den Fehlertyp, durch $_.Exception.Message den Fehlertext.

941

Kapitel 21 Einführung in die Windows PowerShell (WPS) Break oder Continue entscheiden, ob das Skript nach dem Fehler fortgesetzt wird. Das Standardverhalten ist Continue. Mit Exit kann ein definitives sofortiges Skriptende herbeigeführt werden.

Mit dem folgenden Beispiel können Sie selbst das Fehlerverhalten der PowerShell testen und mit den verschiedenen Reaktionsmöglichkeiten experimentieren. Der Fehler wird aufgelöst durch den Aufruf Copy-Item mit falschem Pfad (ein nicht abbrechender Fehler) und Get-Dir (das Commandlet gibt es nicht, ein abbrechender Fehler). Listing 21.12 TrapDemo1.ps1

# Beispiel zum Testen von Fehlerabfangen trap { Write-Host ("### ABGEFANGENER FEHLER: " + $_.Exception.Message) #Write-Error ("Fehler: " + $_.Exception.Message) #continue #break #exit #throw "test" } "Beispiel zum Testen von Fehlerabfangen" "Erst geht alles gut..." copy g:\daten\lieferanten c:\temo\Daten "Dann läuft es nicht mehr so gut (falscher Pfad)" copy g:\daten\lieferanten k:\daten\lieferanten "Und dann folgt Unsinn (falsches Commandlet)" Get-Dir k:\daten\lieferanten "Ende des Scripts"

Tabelle 21.8 Verhalten der PowerShell im Fehlerfall bei der Verwendung von Trap

942

Trap

Reaktion

Nicht vor- PowerShell zeigt Fehlermeldungen für Copy-Item ("drive does handen not exists") und Get-Dir ("not recognized as a cmdlet, function, program oder script file") und setzt die Ausführung bis zum Ende fort.

PowerShell-Skripte

Trap

Reaktion

Vorhanden, nur mit WriteHost

Es erscheint für den abbrechenden Fehler zusätzlich zu der PowerShell-Fehlermeldung auch der eigene Fehlertext aus dem Trap-Block.

Vorhanden, mit continue

Es erscheint für den abbrechenden Fehler nur der eigene Fehlertext aus dem Trap-Block.

Vorhanden, mit break

Nach dem abbrechenden Fehler erscheinen der eigene Fehlertext und dann die Fehlermeldung der PowerShell. Danach bricht das Skript ab (d.h., die Ausgabe "Ende des Skripts" wird nicht mehr erzeugt).

Vorhanden, mit exit

Nach dem abbrechenden Fehler erscheint der eigene Fehlertext. Dann bricht die Ausführung sofort ab.

21

Die Möglichkeiten werden noch vielfältiger, weil jedes einzelne Commandlet über den Parameter –ErrorAction (kurz –ea) zudem bestimmen kann, wie mit Fehlern umgegangen werden soll:

943

Kapitel 21 Einführung in die Windows PowerShell (WPS) 왘 Stop: Der Fehler wird ausgegeben, und die Ausführung bricht ab.

(Alle Non-Terminating-Fehler werden damit zu Terminating-Fehlern.) 왘 Continue: Der Fehler wird ausgegeben, und die Ausführung wird

fortgesetzt. 왘 SilentlyContinue: Der Fehler wird nicht ausgegeben, und die Ausfüh-

rung wird fortgesetzt. 왘 Inquire: Der Benutzer wird gefragt, ob er die Ausführung trotz des

Fehlers fortsetzen möchte. Alle möglichen Kombinationen von –ErrorAction und Trap durchzuspielen, würden den Rahmen dieses Buchs sprengen. Daher im Folgenden nur ausgewählte Fälle. Die Anwendung von –ErrorAction hat nur Auswirkung auf existierende Commandlets. Das in dem Beispiel verwendete, nicht vorhandene Commandlet "Get-Dir" kann darauf nicht reagieren. Trap

ErrorAction

Reaktion

Nicht vor- -ErrorAction handen silentlycontinue

Es erscheint keine Fehlermeldung mehr für den Pfadfehler bei Copy-Item. Weiterhin wird das Problem mit Get-Dir gemeldet.


Er erscheinen überhaupt keine Standardfehlermeldungen der PowerShell mehr, sondern nur noch die benutzerdefinierte Meldung aus dem Trap-Block für das nicht existierende Commandlet.

-ErrorAction silentlycontinue

Tabelle 21.9: Verhalten der PowerShell im Fehlerfall bei der Verwendung von Trap und -ErrorAction

944

PowerShell-Skripte

Trap

ErrorAction

Reaktion

Nicht vor- -ErrorAction stop handen

Die Ausführung bricht mit einer PowerShell-Fehlermeldung nach dem ersten nicht ausführbaren Copy-Befehl ab.


Für beide Fehler erscheint nur der eigene Fehlertext aus dem Trap-Block.

-ErrorAction stop

Tabelle 21.9: Verhalten der PowerShell im Fehlerfall bei der Verwendung von Trap und -ErrorAction

Das war aber immer noch nicht alles, was die PowerShell in Sachen Fehlerbehandlung zu bieten hat: 왘 Über die globale eingebaute Variable $ErrorActionPreference kann man das Standardverhalten für –ErrorAction für alle Commandlets setzen. Dies ist in der Standardeinstellung „ Continue“. 왘 $Error enthält die gesamte Geschichte der aufgetretenen Fehler in Form von Objekten, die zu Fehlerklassen gehören, z.B. System. Management.Automation.CommandNotFoundException. 왘 Trap-Blöcke können durch Angabe eines Fehlertyps in eckigen Klammern auf bestimmte Fehlerarten beschränkt werden. Daher kann es mehrere Trap-Blöcke in einem Skript geben. 왘 Mit Throw kann man innerhalb und außerhalb von Trap-Blöcken beliebige eigene Fehler erzeugen. Throw erzeugt einen abbrechenden Fehler der Klasse System.Management.Automation.RuntimeException. Man kann aber auch eine andere Fehlerklasse in eckigen Klammern angeben. Die angegebene Klasse muss von System.Exception abgeleitet sein.

21

throw "Fehlertext" throw [System.ApplicationException] "Fehlertext"

945


21.14 Eingabe Read-Host

Texteingaben vom Benutzer kann man durch Read-Host entgegennehmen. PS C:\Documents\hs> $name = read-host "Bitte Benutzernamen eingeben" Bitte Benutzernamen eingeben: HS PS C:\Documents\hs> $kennwort = read-host -assecurestring "Bitte Kennwort eingeben" Bitte Kennwort eingeben: **** Grafischer Eingabedialog Ein einfaches Eingabefeld stellt die bereits aus Visual Basic/VBScript bekannte Funktion InputBox() dar. Diese Funktion existiert auch im .NET Framework noch in der Klasse Microsoft. Visual-Basic.Interaction. Zur Nutzung der Funktion muss erst die Assembly Microsoft.VisualBasic.dll geladen werden.

Listing 21.13 Einfache grafische Dateneingabe in der PowerShell

[System.Reflection.Assembly]::LoadWithPartialName("Microsoft.Visual Basic") $eingabe = [Microsoft.Visual Basic.Interaction]::InputBox ("Bitte geben Sie Ihren Namen ein!") "Hallo $Eingabe!"

Abbildung 21.40 Start des PowerShell-Skripts aus der PowerShellIDE heraus

MessageBox

Dialogfenster Für Dialogfenster kann man auf .NET-Klassen zurückgrei-

fen. Das folgende Skript bittet den Anwender durch ein Dialogfenster um eine Entscheidung (Ja/Nein): Listing 21.14 Nutzung der Klasse MessageBox in der PowerShell

[System.Reflection.Assembly]::LoadWithPartialName("System.windows.forms") [System.Console]::Beep(100, 50) [System.Windows.Forms.MessageBox]::Show("Gleich kommt eine Frage","Vorwarnung", [System.Windows.Forms.MessageBoxButtons]::OK) $antwort = [System.Windows.Forms.MessageBox]::Show("Nachricht","Ueberschrift", [System.Windows.Forms.MessageBoxButtons]::YesNo) if ($antwort -eq "Yes") { "Sie haben zugestimmt!" } else { "Sie haben abgelehnt!" }

21.15 Anbindung an Klassenbibliotheken Nutzung von Klassen

946

Die Version 1.0 der PowerShell enthält sehr viele Commandlets für die Pipelining-Infrastruktur, aber nur sehr wenige Befehle, die tatsächlich Bausteine

Anbindung an Klassenbibliotheken

des Betriebssystems in die Pipeline werfen. Prozesse, Systemdienste, Dateien, Zertifikate und Registrierungsdatenbankeinträge sind die magere Ausbeute beim ersten Blick in die Commandlet-Liste. Zwei Commandlets eröffnen der PowerShell aber neue Dimensionen: New-Object (für .NET- und COM-Objekte) und Get-Wmiobject (für WMI-Objekte). Die Option, nicht nur alle WMI-Klassen, sondern auch alle .NET-Klassen direkt benutzen zu können, ist Segen und Fluch zugleich. Ein Segen, weil dem Skriptentwickler damit mehr Möglichkeiten als jemals zuvor zur Verfügung stehen. Ein Fluch, weil nur der Skriptentwickler die PowerShell-Entwicklung richtig beherrschen kann, der auch das .NET Framework kennt. Um die Ausmaße von .NET zu beschreiben, sei die Menge der Klassen genannt. In .NET 2.0 waren es 5684, in .NET 3.0 sind es schon 8714.

21.15.1 WMI-Klassen Get-Wmiobject eröffnet die Welt der Windows Management Instrumenta-

Get-Wmiobject

tion (WMI), die in den modernen Windows-Betriebssystemen fast jeden Baustein des Betriebssystems objektorientiert anbietet.

Zugriff auf Objektmengen Ein Befehl der Form Get-Wmiobject WMIKlassenname

liefert alle Instanzen der angegebenen WMI-Klasse (sofern es die WMIKlasse auf dem lokalen System gibt). Beispiel: # Name und Treiberdatei für alle VideoController in diesem Computer Get-Wmiobject Win32_VideoController

liefert alle installierten Grafikkarten. Dies ist eine Kurzform für Get-Wmiobject –class Win32_VideoController

Sofern die Klasse nicht im Standardnamensraum "root\cimv2" liegt, muss man den Namensraum mit dem Parameter –Namenraum explizit benennen:

21

Get-Wmiobject IISwebserver -Namespace root\microsoftIISv2

Zugriff auf die WMI-Objekte eines anderen Systems hat man (Administ- Zugriff auf entfernte Systeme ratorrechte vorausgesetzt!) durch den Parameter –Computer: Get-Wmiobject -class Win32_VideoController -computer E02

In allen oben genannten Fällen erhält man – obwohl es ja üblicherweise nur eine Grafikkarte gibt – eine lange Liste. Dies sind die zahlreichen Eigenschaften der WMI-Klassen Win32_Videocontroller (siehe Abbildung 21.41).

947

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.41 Eigenschaften der Klasse Win32_ VideoController

Auch eine Ausgabe mit dem Commandlet Format-Table hilft nicht. Dies macht die Ausgabe zwar kürzer, aber viel breiter. Gut wäre es, das resultierende Objekt mit Select-Object auf die interessanten Eigenschaften zu „ beschneiden“: Get-Wmiobject Win32_VideoController | Select-Object name,installeddisplaydrive rs

Das folgende Listing zeigt weitere Beispiele zum Einsatz von GetWmiobject. Listing 21.15 Beispiele für die Anwendung von Get-Wmiobject

# Name und freie Bytes auf allen Laufwerken Get-Wmiobject Win32_LogicalDisk | Select-Object deviceid,freespace # Name und Domain der Benutzerkonten, deren Kennwort niemals verfällt Get-Wmiobject Win32_Account | Where-Object {$_.Kennwortexpires -eq 0 } | Select-Object Name,Domain

Zugriff auf Mitglieder von WMI-Klassen Auf die Attribute und auch auf die Methoden von WMI-Klassen kann man zugreifen wie auf die Mitglieder von .NET-Klassen. Die PowerShell abstrahiert von der Metaobjektmodell-Implementierung in der .NET-Klasse System.Management.ManagementObject. Der komplizierte Zugriff auf das Attribut Properties und die Methode Invokemethod() ist daher nicht notwendig. Für den Zugriff auf statische Klassenmitglieder muss man über [WMICLASS] auf die Klasse zugreifen. Anders als beim Zugang zu statischen Mitgliedern in .NET-Klassen gibt es zu den Instanzmitgliedern keinen Unterschied, d.h., es ist nur der einfache Punkt zur Trennung zu verwenden: [WMIClass] "Win32_Product").Install("c:\name.msi")

948


WQL-Abfragen Abfragen in der Windows Management Instrumentation Query Language (WQL) kann man seit der RC2-Version mit dem Parameter –Query ausführen. Der folgende Befehl selektiert alle Netzwerkkarten, in denen die Zahlen „802“ im Netzwerkkartentyp vorkommen. Get-WmiObject -query "Select * from Win32_Networkadapter where adaptertype like '%802%'" | select adaptertype,description

Alternativ kann man auch diese Abfrage mit dem PowerShell-Typ [WmiSearcher] ausführen: ([WmiSearcher] "Select * from Win32_Networkadapter where adaptertype like '%802%'").get()| select adaptertype,description Abbildung 21.42 Ausführung einer WMI-Abfrage

Vordefinierte Ausgabe Für viele WMI-Klassen ist in der types.ps1xml-Datei festgelegt, welche types.ps1xml Attribute ausgegeben werden. Für Win32_Videocontroller gibt es eine solche Festlegung nicht; daher werden alle Attribute ausgegeben. Die folgenden Bildschirmabbildungen zeigen aber die Wirkung der Deklarationen für Win32_CDRomDrive. Abbildung 21.43 Standardausgabe des Befehls GetWmiobject Win32_ CDRomDrive Abbildung 21.44 Festlegung der auszugebenden Attribute für die WMI-Klasse Win32_CDRomDrive

949

21


Ermittlung der Mitglieder des WMI-Objekts Get-Member

Die Menge der verfügbaren Attribute und Methoden ermittelt man wieder mit Get-Member. Obwohl die Mitglieder einer WMI-Klasse (z.B. Win32_ Videocontroller) nicht auch gleichzeitig Mitglieder der die WMI-Klasse verpackenden .NET-Metaklasse (System.Management.ManagementObject) sind, listet Get-Member dennoch die Mitglieder aus beiden Abstraktionsebenen auf. Für die Darstellung des Typnamens hat die PowerShell eine eigene Notation, bei der die Metaklasse durch die Raute (#) von der WMI-Klasse getrennt wird, z.B.: System.Management.ManagementObject#root\cimv2\Win32_VideoController

Abbildung 21.45 Ermittlung der Mitglieder einer WMI-Klasse

Filtern -filter

Das Commandlet Get-Wmiobject bietet die Möglichkeit, schon beim Abruf die Objekte zu filtern. Der Filter ist nach dem Parameter -Filter in einer Zeichenkette anzugeben. Beispiel: Alle Benutzerkonten aus der Domäne „ ITV“: Get-Wmiobject Win32_account -filter "domain='itv'"

950


Zugriff auf einzelne Objekte Um auf ein bestimmtes WMI-Objekt gezielt zuzugreifen, kann man bei Einzelobjekte Get-Wmiobject den Filter benutzen und sich dabei auf die Primärschlüssel beziehen. Für die Klasse Win32_Account sind der Kontoname (Name) und der Domänenname (Domain) zusammen der Primärschlüssel. Der folgende Befehl legt also nur maximal ein Objekt in die Pipeline. Get-Wmiobject Win32_Account -filter "name='hs' and domain='itv'"

Klassen, von denen es sowieso nur immer eine Instanz geben kann, lassen sich ohne Filter aufrufen: Get-Wmiobject win32_Computersystem Get-Wmiobject win32_Operatingsystem Abbildung 21.46 Win32_Computersystem und Win32_ Operatingsystem gibt es sowieso immer nur einmal im WMI-Repository.

WMI-Pfade Bis PowerShell 1.0 RC1 galt, dass man keine WMI-Pfade verwenden konnte. Dies hat sich mit RC2 geändert. Ab der RC2-Version unterstützt die PowerShell auch WMI-Pfade mit den eingebauten PowerShell-Typen [WMI] und [WMIClass]. [WMI]'\\E01\root\cimv2:Win32_PingStatus.Address="E02"'

ist gleichbedeutend mit Get-Wmiobject -computer E01 Win32_PingStatus -filter 'Address="E02"'

21

und gleichbedeutend mit New-Object System.Management.ManagementObject '\\E01\root\cimv2:Win32_ PingStatus.Address="E02"'

Der letzte Befehl instanziiert mit New-Object die .NET-Metaklasse System. Management.ManagementObject für WMI-Klassen und übergibt dieser Klasse im Konstruktor einen WMI-Pfad.

951


Bei der Verwendung der Typbezeichner [WMI] und [WMIClass] wird häufig übersehen, den Pfadnamen zu klammern, wenn dieser zusammengesetzt wird. Falsch: $Computer = "E01" [WMI] "\\" + $Computer + "\root\cimv2:Win32_ PingStatus.Address='E02'"

Richtig: $Computer = "E01" [WMI] ("\\" + $Computer + "\root\cimv2:Win32_ PingStatus.Address='E02'")

Liste aller WMI-Klassen Zugriff auf das WMI-Repository

Eine Liste aller verfügbaren WMI-Klassen auf einem System erhält man mit dem Parameter –List. Eine Klasse darf dabei nicht angegeben werden. Get-wmiobject –list

Wenn nichts angegeben wird, wird immer der Namensraum "root\cimv2" verwendet. Man kann einen Namensraum auch explizit angeben: Get-Wmiobject -list -Namespace root/cimv2/Anwendungs/microsoftIE

Man kann auch auf das WMI-Repository eines bestimmten Computers zugreifen, da die Menge der Klassen vom Betriebssystem und den installierten Anwendungen abhängig ist. Get-Wmiobject -list -Computer E02

Instanziieren von WMI-Klassen Viele WMI-Klassen sind so gestaltet, dass zum Anlegen neuer Systemelemente eine Instanz der Klasse erzeugt wird. Dafür werden auf Klassenebene statische Methoden angeboten mit Namen Create(), vgl. Bildschirmabbildung für die Klasse Win32_Share. Anders als bei .NET-Objekten macht die PowerShell bei WMI keine syntaktischen Unterschiede zwischen statischen Methoden und Instanzmethoden, d.h., es ist immer nur der einfache Punkt-Operator zu verwenden (in .NETObjekten ist der doppelte Doppelpunkt für statische Methoden zu verwenden). Bei WMI zu beachten ist nur, dass mit dem PowerShell-Typ [WMIClass] auf den WMI-Pfad der WMI-Klasse, nicht einer konkreten Instanz verwiesen wird. Das folgende Beispiel zeigt das Anlegen einer Freigabe mit Standardrechten. Die Vergabe von Rechten ist ein komplexeres Thema, das später noch behandelt wird.

952


Abbildung 21.47: Methoden der Klasse Win32_Share # Create Win32_Share $class = [WMIClass] "ROOT\CIMV2:Win32_Share" $Access = $Null $R = $class.Create($pfad, $Sharename, 0, 10, $Comment, "", $Access) if ( $R.ReturnValue -ne 0) { Write-Error "Fehler beim Anlegen: "+ $R.ReturnValue; Exit} "Freigabe wurde angelegt!"

Listing 21.16 New-ShareWithoutPermissions.ps1

21.15.2 .NET-Klassen Mit New-Object kann der Administrator jede beliebige Klasse aus der New-Object .NET-Klassenbibliothek (oder eine COM-Klasse, siehe nächstes Kapitel) instanziieren und sich von den Methoden dieser Klassen Objekte liefern lassen. Auch andere .NET-Bibliotheken kann man damit nutzen.

21

Ein fundamentaler Unterschied zwischen Get-WmiObject und NewObject ist, dass Get-WmiObject alle bestehenden Instanzen einer WMIKlasse holt (z.B. alle Prozesse), während New-Object eine neue Instanz erzeugt. Die Semantik von Get-WmiObject ist für COM- und .NETObjekte nicht möglich, da es dort jeweils kein zentrales Verzeichnis für Instanzen gibt. In WMI gibt es dafür das WMI-Repository. Wie man in COM- und .NET-Klassen eine Liste aller Instanzen erhält, ist vom Aufbau der jeweiligen Klassen abhängig und kann daher in der PowerShell nicht allgemein ausgedrückt werden.

953

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.48 Instanziierung eines COM-Objekts in der PowerShell

Die PowerShell bietet eine besondere Behandlung für WMI (System .Management), ADSI (System.DirectoryServices) und ADO.NET (System .Data). Objekte aus diesen Bibliotheken werden über Objektadapter dem Nutzer vereinfacht dargestellt. Collaboration Data Objects (CDO) zum Zugriff auf Microsoft Exchange werden aber auch in PowerShell 2.0 noch nicht besonders unterstützt. Abbildung 21.49 Die PowerShell-IDE bietet Eingabeunterstützung für .NETKlassennamen nach New-Object.

Parameterbehaftete Konstruktoren Konstruktoren

Ein Konstruktor ist der Programmcode, der in der Klasse beim Instanziieren des Codes aufgerufen wird. .NET-Klassen können in den Konstruktoren Parameter erwarten. Diese kann man mit oder ohne runde Klammern nach dem Klassennamen angeben: $o = new-object System.Directoryservices.DirectoryEntry("LDAP://E02")

oder $o = new-object System.Directoryservices.DirectoryEntry "LDAP://E02"

Statische Mitglieder in .NET-Objekten/statische .NET-Klassen Statische Mitglieder und Klassen

954

.NET-Klassen besitzen das Konzept der statischen Mitglieder (Klassenmitglieder), die man aufrufen kann, ohne eine Instanz zu erzeugen. Einige dieser Klassen sind auch statische Klassen, d.h., sie haben nur statische Mit-


glieder. Solche Klassen besitzen keinen Konstruktor. Folglich kann man das Commandlet New-Object auf statische Klassen nicht anwenden. # Das geht nicht: #(New-Object System.Console).Beep(100,50)

Für diesen Fall gibt es in der PowerShell ein anderes Konstrukt, bei dem man den .NET-Klassennamen in eckige Klammern setzt und dann den Namen des Mitglieds mit zwei Doppelpunkten abtrennt. Der folgende Befehl nutzt die statische Methode Beep() in der statischen Klasse System. Konsole zur Ausgabe eines Tons: [System.Console]::Beep(100, 50)

Laden von Assemblies .NET-Klassen können über New-Object und die Notation in eckigen Klam- Assembly::Loadmern nur genutzt werden, wenn die Softwarekomponente (Assembly), in WithPartialder sie sich befinden, auch geladen ist. Die PowerShell lädt einige Assem- Name() blies automatisch. In anderen Fällen muss man das Laden der Assembly über die Klasse System.Reflection.Assembly erst anstoßen. Um ein Dialogfenster auszugeben, muss man daher erst die System.Windows.Forms.dll laden. Da sich diese Assembly im sogenannten Global Assembly Cache (GAC) von .NET befindet, muss man keinen Pfad dahin angeben. [System.Reflection.Assembly]::LoadWithPartialName("System.windows.forms") [System.Windows.Forms.MessageBox]::Show("Text","Ueberschrift", [System.Windows.Forms.MessageBoxButtons]::OK)

Anstelle der Notation mit eckigen Klammern kann man auch den eingebauten PowerShell-Typ [Type] verwenden, der auf Basis einer Zeichenkette ein .NET-Typobjekt erzeugt. Damit kann man das obige Beispiel auch so schreiben: ([Type] "System.Reflection.Assembly")::LoadWithPartialName("System.Windows. Forms") $msg = [Type] "System.Windows.Forms.MessageBox" $msg::Show("test")

Objektanalyse

21

Mithilfe des Commandlets Get-Member, das in Teil eines des Tutorials schon Get-Member zur Analyse von Pipeline-Inhalten verwendet wurde, kann man übrigens auch den Inhalt einer Variablen analysieren, die eine Objektinstanz erhält. Zu beachten ist dabei nur, dass das Objekt entweder in einer Pipeline an GetMember zu schicken (also $Variable | Get-Member) oder aber der Parametername –InputObject zu verwenden ist (Get-Member –InputObject $Variable). Nicht nur Get-Member, sondern den meisten Commandlets ist es egal, ob sich in der Pipeline eine Objektmenge oder ein einzelnes Objekt befindet.

955


21.15.3 COM-Klassen Bei der Instanziierung von COM-Klassen kommt ebenfalls das Commandlet New-Object zum Einsatz. Dem Namen der COM-Klasse ist aber der Parameter –comobject (kurz: -com) vorauszustellen. Als Name ist der Programmatic Identifier (ProgID) aznzugeben. Die COM-Klasse muss auf dem lokalen System in der Registrierungsdatenbank verzeichnet sein. NewObject entspricht CreateObject() in Visual Basic/VBScript. Das folgende Beispiel zeigt den Aufruf der Methode GetTempName() aus der COM-Klasse Scripting.FileSystemObject. Diese Methode liefert einen Namen für eine temporäre Datei. Listing 21.17 com.ps1

$fso = New-Object -com "scripting.filesystemobject" $fso.GetTempName()

Mit dem zweiten Skript öffnet man den Internet Explorer mit einer bestimmten Seite: Listing 21.18 com.ps1

$ie = New-Object -com "InternetExplorer.Application" $ie.Navigate("http://www.powershell-doktor.de") $ie.Visible = $true

Ein direktes Äquivalent für das GetObject() aus VB/VBScript, mit dem man ein bestehendes Objekt aktiviert, gibt es nicht. Hier gibt es nur die Möglichkeit, die Assembly für Visual Basic .NET zu laden und die dortige Methode GetObject() zu nutzen. Das folgende Beispiel zeigt ein Word-Dokument in Microsoft Word auf dem Bildschirm an und schreibt einen Text in das Dokument: Listing 21.19 com.ps1

$doc = [microsoft.visualbasic.interaction]::GetObject ("C:\temp\ManuScript.doc") $doc.application.visible = $true $doc.application.selection.typetext("Erfolgreicher Start von Word!")

21.16 Fehlersuche Zur Fehlersuche bieten alle Commandlets einheitliche Parameter. Einheitliche Parameter

왘 Mit den Parametern -Verbose und -Debug erhält der Administrator mehr

Ausgaben als normal. 왘 Mit -Confirm verlangt er, dass alle Änderungsaktionen per Nachfrage

rückbestätigt werden müssen. 왘 Wer ganz sichergehen will, lässt mit –WhatIf die Aktion vor der tat-

sächlichen Ausführung simulieren. Bei der Verwendung von –WhatIf beim Commandlet Stop-Service listet die PowerShell detailliert auf, welche Dienste Windows aufgrund von Dienstabhängigkeiten tatsächlich anhält. Hilfreich ist -WhatIf auch, wenn man einen Befehl mit Platzhalter absetzt. Die folgende Abbildung zeigt, welche Dienste stoppen würden, wenn man Stop-Service *sql* ausführen würde.

956

PowerShell-Werkzeuge

Abbildung 21.50: Operationen mit Platzhaltern können schlimme Konsequenzen haben – whatif zeigt, welche Dienste betroffen wären.

Protokollierung Protokollinformationen sendet die Shell in ein eigenes Windows-Ereig- Set-PsDebug, nisprotokoll mit Namen PowerShell. Mit dem Commandlet Set-PsDebug Trace-Command kann man Skripte schrittweise durchlaufen.

Zeitmessung Das Commandlet Measure-Command liefert die Angabe, wie lange ein Befehl MeasureCommand zur Ausführung braucht – in Form eines TimeSpan-Objekts. Beispiel: Measure-Command { Get-Process | Foreach-Object { $_.ws } } Ablaufverfolgung Mit dem Commandlet Set-TraceSource kann man eine

Ablaufverfolgung aktivieren, die detaillierte Informationen über jeden Verarbeitungsschritt liefert. Get-TraceSource listet alle überwachbaren Protokollquellen auf. Im Standard sind es 176. Damit wird die Komplexität des Themas deutlich, das den Rahmen dieses Buchs sprengen würde. Beim Experimentieren mit Set-TraceSource können Sie schnell zu einem Punkt kommen, wo Sie vor lauter Protokollausgaben die eigentlichen Aktionen nicht mehr sehen. Um die Protokollierung wieder zu deaktivieren, verwendet man Set-TraceSource mit dem Parameter -RemoveListener.

21.17 PowerShell-Werkzeuge Dieses Kapitel bespricht die von Microsoft gelieferte PowerShell-Konsole sowie nützliche Werkzeuge anderer Anbieter. Microsoft liefert auch keinen Editor für PowerShell-Skripte. Hier ist PrimalScript und Raum für Drittanbieter, und die aus dem WSH-Zeitalter bekannten Platz- PowerShell IDE hirsche Sapien (PrimalScript) und ScriptInternals (SystemScripter) liefern bereits entsprechende Editoren. Mit Karl Prosser ist auch ein neues Gesicht im Skript-Editor-Markt erschienen.

21.17.1 PowerShell-Konsole Aus den ursprünglichen Ankündigungen, die PowerShell-Konsole mit Eingabefenster IntelliSense auszustatten, ist nicht viel geworden. Die PowerShell-Kon-

957

21


sole bietet etwas mehr Eingabeunterstützung als das DOS-Kommandozeilenfenster, vom Komfort eines Visual Studio ist die PowerShell-Konsole in der Version 1.0 aber weit entfernt. Dies bedeutet: 왘 Größe und Aussehen des Fensters können über die Eigenschaften gesteuert werden (siehe Abbildung 21.51). 왘 Die Zwischenablage steht genauso umständlich wie zuvor nur über das Menü zur Verfügung (siehe Abbildung 21.52) bzw. den sogenannten „Quick Edit Mode“. Die Tastenkombinationen (STRG) + (C)/(X)/(V) funktionieren nicht. 왘 Befehls- und Pfadeingaben sowie Objektattribute können mit der Tabulator-Taste vervollständigt werden. 왘 Ein Rücksprung zu den letzten 64 Befehlen (Anzahl änderbar) ist möglich. Abbildung 21.51 Fenstereigenschaften für das PowerShell-Konsolenfenster

Abbildung 21.52 Nutzung der Zwischenablage im PowerShell-Konsolenfenster

958


Tabulatorvervollständigung Die PowerShell kennt eine bereits im DOS-Kommandozeilenfenster ver- „Tab fügbare Funktion auch für Commandlets, Parameter und Objektattribute. Completion“ Im DOS-Kommandozeilenfenster kann man nach Eingabe eines oder mehrerer Buchstaben durch die erreichbaren Dateien und Unterverzeichnisse mit der Tabulator-Taste (ÿ) durchlaufen (in der Entwicklersprache „ Tab Completion“ genannt). In der PowerShell funktioniert das auch bei den Commandlets, deren Parametern und den Attributen von Objekten in der Pipeline (siehe Abbildung 21.53). Abbildung 21.53 Eingabe des Wortanfangs

Abbildung 21.54 Nach dem Drücken der Tabulatortaste erscheint die erste Alternative. Abbildung 21.55 Nach nochmaligem Drücken erscheint die zweite Alternative. Benutzerkontensteuerung Die Windows PowerShell unterliegt wie alle anderen Anwendungen auch der Benutzerkontensteuerung (ab Windows Vista) und wird daher unter eingeschränkten Rechten gestartet. Um die PowerShell mit vollen Rechten zu starten, können Sie im Kontextmenü die Funktion „ Als Administrator ausführen“ wählen. Danach wird Windows 7 um die Bestätigung der Rechteerhöhung bitten (siehe Bildschirmabbildung). Abbildung 21.56 Zustimmung zur Rechteerhöhung der PowerShell

21

Anders als die normale Windows Shell zeigt die PowerShell danach nicht durch einen Eintrag in der Titelleiste an, dass sie nun unter administrativen Rechten läuft.

959


Um in der Titelleiste der PowerShell-Konsole den Rechtestatus anzuzeigen und ggf. weitere Anpassungen der Anzeige vorzunehmen, wie man dies in der folgenden Bildschirmabbildung sieht, kann man sich ein PowerShell-Profilskript schreiben. Die Erstellung eines solchen Skripts und das Skript zur Anzeige des Rechtestatus in der Titelleiste finden Sie in Kapitel 21.18.4.

Abbildung 21.57: Zwei PowerShell-Instanzen mit verschiedenen Rechten

Um bei einer laufenden Konsole ohne Titelanzeige festzustellen, welche Rechte diese besitzt, können Sie das in Windows mitgelieferte Kommandozeilenwerkzeug whoami.exe mit der Option /all verwenden.

21.17.2 PowerShell Integrated Scripting Environment (ISE) ISE

Die PowerShell 1.0 bot als einziges Werkzeug zum Eingeben und Ausführen von PowerShell-Befehlen und -Skripten die klassische Windows-Konsole. Ein komfortabler Editor fehlt und rief Drittanbieter auf den Plan, z.B. PowerShellPlus und PowerGUI. Das PowerShell Integrated Scripting Environment (ISE), in den ersten Alpha-Versionen der PowerShell 2.0 noch „Graphical PowerShell“ genannt, ist nun eine Windows-Anwendung, die einen Editor und eine Ausführungsumgebung für die PowerShell bereitstellt.

Bereiche

ISE bietet drei Bereiche: 왘 Eingabebereich für Skripte (Skripteditor): Hier eingegebene Befehle werden erst ausgeführt, wenn das Skript explizit gestartet wird. 왘 Eingabebereich für Einzelbefehle (interaktiver Bereich): Hier eingegebene Befehle werden nach Drücken auf die EINGABE-Taste sofort ausgeführt. 왘 Ausgabebereich, der von beiden Eingabereichen verwendet wird Zum Start der ISE ruft man entweder das Symbol im Startmenü, die ausführbare Datei PowerShell_ise.exe oder in der PowerShell den Alias „ ise“ auf. Im Standard startet ISE mit dem Ausgabebereich in der Mitte. Man kann aber durch das View-Menü Einfluss auf die Anordnung nehmen, z.B. den Skripteditor ausblenden und den interaktiven Eingabebereich nach oben

960


setzen. Eine flexible Fensteranordnung wie in Visual Studio oder dem SQL Server Management Studio ist hier aber nicht möglich.

Abbildung 21.58: Das ISE mit den drei Bereichen Unterschiede zur normalen PowerShell-Konsole Es gibt ein paar Unter-

schiede zwischen ISE und der normalen PowerShell-Konsole. Interaktive klassische Konsolenanwendungen wie ftp.exe werden durch die ISE nicht unterstützt. Kein Problem gibt es aber mit interaktiven PowerShell-Commandlets und -Skripten. Das Blättern in Ausgaben mit „ more“ funktioniert nicht.

21

Man kann die Farbe der Konsole nicht über die .NET-Klasse [System. Console] setzen. Nicht möglich ist also: [console]::BackgroundColor = 'red'

Richtig ist stattdessen die Verwendung des Objektmodells der ISE, das man über $psISE erreicht: $psISE.Options.ScriptPaneBackgroundColor = "red";

Auch der Zugang über $host.UI.RawUI ist eingeschränkt. Möglich ist hierüber aber z.B. die Veränderung des Titels: $host.UI.RawUI.WindowTitle = "Holgers PowerShell IDE".

961


Die ISE hat ein eigenes Startprofilskript: Microsoft.PowerShellISE_ profile.ps1

Abbildung 21.59: Inhalt der eingebauten Variablen $psISE

21.17.3 PowerShellPlus PowerShellPlus bietet IntelliSense für Commandlets, Parameter, .NETKlassen und Klassenmitglieder sowohl im Konsolenfenster als auch in einem Skripteditor. PowerShell IDE

962

Hersteller:

IDERA & Dr. Tobias Weltner

Preis:

Für nichtkommerziellen Einsatz kostenlos, sonst 145 Dollar.

URL:

http://www.powershellplus.com


Ja, Demo-Version


PowerShellPlus bietet zwei Modi: 왘 Im interaktiven Modus werden wie bei der PowerShell-Konsole alle Befehle sofort ausgeführt. Der Vorteil bei PSP ist aber, dass Farbhervorhebung und Auswahllisten zur Verfügung stehen. In einem getrennten Fenster sieht der Nutzer den derzeitigen Zustand aller Variablen. 왘 Im Skriptmodus erfasst der Benutzer – ebenfalls mit IntelliSense-Funktionen – komplexe Befehlsabfolgen der PowerShell Language, die unter der Dateierweiterung .ps1 (steht für PowerShell Version 1.0) gespeichert und später gestartet werden können. .ps1 ist die offizielle Dateierweiterung für PowerShell-Skripte, die auch die

PowerShell-Konsole versteht. Auch die interaktiven Aufzeichnungen kann der Benutzer abspeichern, in Form von XML-Dateien mit der Dateierweiterung .brain. Dieses Format versteht allerdings nur PowerShellPlus. Auch der Inhalt des Ausgabefensters kann gesichert werden, indem der Benutzer auf das Symbol Hardcopy klickt.

Abbildung 21.60 Editieren und Debuggen von Skripten in PowerShellPlus

21

Sehr interessant ist das Debugging im Skriptmodus. Wie andere moderne IDEs kennt PowerShell auch Haltepunkte. Das Variables-Fenster zeigt dann beim Anhalten der Anwendung die aktuell gültigen Werte. Das unter dem Skriptcode eingeblendete Eingabefenster ermöglicht interaktive Abfragen.

963


Noch ist die PowerShell IDE laut Aussage des Autors ein „ experimenteller Editor“. Viele Funktionen, einschließlich der Hilfe und der angedachten Community-Funktionen zum Tausch von Quellcode, sind noch nicht implementiert. Manchmal gibt es statt der Eingabehilfen auch einen Programmabsturz. Die Arbeit mit der PowerShell IDE ist aber dennoch deutlich komfortabler als die direkte Eingabe an der PowerShell-Konsole.

21.17.4 PowerShell Analyzer Der PowerShell Analyzer von Karl Prosser bietet gegenüber PowerShellPlus noch drei zusätzliche Funktionen: 왘 Mehrere getrennte Ablaufumgebungen (sogenannte Runspaces) 왘 Anzeige der Parameterlisten eines Commandlets als Werkzeugtipp 왘 Visualisierung der Objekte in der Pipeline in einer Tabelle (siehe Abbildung 21.59) oder einem Diagramm Allerdings fehlen auch zwei wichtige Funktionen: die IntelliSense für Klassen und Klassenmitglieder (siehe Abbildung 21.59) sowie ein Debugger. PowerShell Analyzer Hersteller: Preis: URL: Enthalten auf Buch-CD?

Abbildung 21.61: PowerShell Analyzer

964

Karl Prosser kostenlos http://www.powershellanalyzer.com Ja


Sowohl bei PowerShell Analyzer als auch bei PowerShellPlus ist zu beachten, dass die Werkzeuge ein eigenes Hosting der PowerShell implementieren. Dies bedeutet, dass die Entwicklungsumgebungen zwar den gleichen Funktionsumfang wie die PowerShell-Konsole haben, jedoch mit dieser keinen gemeinsamen Deklarationsbereich besitzen. Definitionen von Aliasen, Laufwerken und neuen skriptbasierten Commandlets betreffen also nur die jeweils aktuelle Ablaufumgebung.

21.17.5 PrimalScript PrimalScript enthält Unterstützung für die Erfassung von PowerShell-Skripten. Bitte besuchen Sie für weitere Informationen die Website des Herstellers Sapien. PrimalScript Hersteller:

Sapien

Preis:

299 Dollar

URL:

http://www.primalscript.com/


Ja, Demo-Version

21.17.6 PowerShell Help PowerShell Help ist ein einfaches Werkzeug zur Anzeige von Hilfetexten zu Commandlets. PowerShell Help Hersteller:

Sapien

Preis:

kostenlos

URL:

http://www.primalscript.com/Free_Tools/ index.asp


Ja

21

965

Kapitel 21 Einführung in die Windows PowerShell (WPS) Abbildung 21.62 PowerShell Help für PowerShell

21.17.7 PowerTab PowerTab erweitert die Fähigkeiten der PowerShell-Konsole, dem Benutzer Vorschläge für mögliche Befehle durch Drücken der Tabulator-Taste zu machen. Insbesondere liefert PowerTab Vorschläge für Mitglieder von .NETKlassen. PowerTab Hersteller:

„MoW“

Preis:

kostenlos

URL:

http://thepowershellguy.com/blogs/posh/ pages/powertab.aspx


Ja

21.17.8 VS Command Shell VS Command Shell erweitert Visual Studio um ein Befehlsfenster, in dem man sowohl Windows-Konsolenbefehle (Befehle für cmd.exe) als auch PowerShell-Befehle ausführen kann. VS Command Shell

966

Hersteller:

Microsoft/Open-Source-Community-Projekt

Preis:

kostenlos

URL:

http://www.codeplex.com/VSCmdShell


Ja

Commandlet-Erweiterungen

21.18 Commandlet-Erweiterungen Die PowerShell kann sowohl durch neue Commandlets als auch Navigation Provider erweitert werden. Außerdem ist es möglich, die PowerShell in Anwendungen als Scripting-Umgebung zu integrieren (PowerShellHosting). Die PowerShell stellt dafür vier .NET-Namensräume (System. Management.Automation, System.Management.Automation.Host, System.Management. Automation.CmdletProvider und System.Management.Automation.Runspaces) zur Verfügung. Die Erstellung von Commandlets ist wahlweise per PowerShell-Skript (siehe funktionsbasierte Commandlets) als auch über .NET FrameworkProgrammierung mit einer .NET-fähigen Programmiersprache (üblicherweise C# oder Visual Basic .NET) möglich. Durch die Entwicklung einer Commandlet-Erweiterung mit einer .NET-Sprache entsteht ein PowerShell-Snap-in. Navigation Provider und PowerShell-Hosting sind nur möglich mit .NETProgrammierung. Damit liegen diese Themen außerhalb des für dieses Buch vorgegebenen Rahmens, da hierzu .NET-Programmierkenntnisse erforderlich sind. Wenn Sie sich an diese Themen heranwagen wollen, sollten Sie sich zunächst Grundkenntnisse in der .NET-Programmierung erarbeiten (z.B. mit [SCH07]). Danach sollten Sie die PowerShell-Dokumentation zur Erweiterbarkeit im PowerShell-SDK lesen und die vier oben genannten Namensräume in der Dokumentation studieren.

21.18.1 Aktivieren von Snap-ins Commandlet-Erweiterungen in Form von Snap-ins benötigen zwei Installationsschritte. 왘 Registrieren der DLL (alias Assembly), welche die Commandlets enthält installutil.exe ITVisions_PowerShell_Extensions.dll

Das Registrieren führt dazu, dass die DLL in der Registrierungsdatenbank unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\1\PowerShellSnapIns eingetragen wird. 왘 Hinzufügen des Snap-ins zur PowerShell-Konsole, z.B.:

21

왘 Add-PSSnapin ITVisions_PowerShell_Extensions

Das Commandlet Get-PSSnapIn listet im Normalfall nur die Snap-ins auf, die bereits der PowerShell mit Add-PSSnapIn hinzugefügt wurden. Darunter findet man auch die Standard-Commandlet-Pakete, die mit Microsoft.PowerShell.* beginnen (siehe Abbildung 21.63).

967


Abbildung 21.63: Aktive PowerShell-Snap-ins

Mit Get-PSSnapin –registered listet man hingegen alle registrierten Snapins auf, unabhängig davon, ob diese aktiv sind in der aktuellen Konsole. In der folgenden Bildschirmabbildung sieht man die WorldWideWings_ PowerShell_Extensions, die nicht in der Konsole aktiv sind (siehe Abbildung 21.64).

Abbildung 21.64: Alle auf dem System registrierten Commandlets

21.18.2 Aktivieren von PowerShell-Modulen Module sind Pakete, die PowerShell durch Funktionalität erweitern. Module können aus Navigationsprovidern, Commandlets, Funktionen, vordefinierten Variablen und Aliasen bestehen. Auch Typformatierungsdateien (ps1xml) und Dateidateien (z.B. Textdateien, XML-Datei, Datenbankdateien) können enthalten sein.

968


Durch Module können Entwickler bzw. Administratoren Funktionalität zur Wiederverwendung an andere Personen weitergeben. Der Empfänger muss das Modul importieren und kann die darin enthaltene Funktionalität dann nutzen wie die Kernfunktionalität der PowerShell. Die bereits in PowerShell 1.0 eingeführten Snap-ins sind .NET-Komponenten (Assemblies), die nur Navigationsprovider und Commandlets enthalten können. Module sind ein übergeordnetes Konzept, in dem neben Snapins auch PowerShell-Skripte liegen können. Zum Installieren eines PowerShell-Moduls kopiert man alle Dateien des Moduls in eines der PowerShell-Modulverzeichnisse. Wichtig ist, dass die Dateien nicht direkt in dem PowerShell-Modulverzeichnis liegen, sondern in einem seiner Unterordner. Falsch: C:\windows\system32\WindowsPowerShell\v1.0\Modules\ ActiveDirectory.psd1

Richtig: C:\windows\system32\WindowsPowerShell\v1.0\Modules\ActiveDirectory\ ActiveDirectory.psd1

Der Befehl Get-Module –listAvailable

zeigt alle auf dem System installierten Module. Zur Verwendung eines Moduls muss dieses aber nicht nur installiert, sondern auch in der aktuellen PowerShell-Sitzung importiert sein. Zum Importieren eines Moduls nutzt man import-module gefolgt von dem Modulnamen (aus der Liste der installierten Module), z.B.: Import-Module activedirectory

21.18.3 Verfügbare Commandlet-Erweiterungen Einige wichtige Commandlet-Erweiterungen sind: 1. ie PowerShell-Module in Windows 7 und Windows Server 2008 R2 2. PowerShell Community Extensions (PSCX) von Microsoft 3. PowerShell Extensions von www.IT-Visions.de 4. Quest bietet Commandlets zum Active Directory-Scripting. 5. Gruppenrichtlinienverwaltung mit der PowerShell ermöglicht die Firma FullArmor. 6. Commandlets zum Netzwerkmanagement mit der PowerShell bietet die Firma /n Software. 7. Die Firma PowerGadget bietet unter dem gleichen Namen eine Sammlung von zusätzlichen Commandlets zur Visualisierung des Inhalts der PowerShell-Pipeline.

21

969


PowerShell-Module in Windows 7 und Windows Server 2008 R2 Enthaltene Module

Windows 7 und Windows Server 2008 Release 2 enthalten Erweiterungsmodule für die PowerShell, die Sammlungen von Commandlets für verschiedene Funktionsbereiche darstellen (vgl. allgemeine Einführung in PowerShell-Module in diesem Buch). In Windows Server 2008 Release 2 sind die Module zum Teil erst nach dem Installieren der entsprechenden Serverrollen bzw. Serverfeatures verfügbar. In diesem Buch wird nur das „Active Directory“-Modul besprochen. Für eine Besprechung der anderen Module sei auf [SCH10] verwiesen.

PowerShell-Modul

Windows 7

Windows Server 2008 R2

In diesem Buch beschrieben in Kapitel ...

Active Directory

Durch Installation der Microsoft Remote Server Administration Tools (RSAT)

X

Verzeichnisdienste

ADRMS AppLocker

X X

BestPractices

BitsTransfer

X

FailoverClusters GroupPolicy

Softwareverwaltung

X

Optimierungen und Problemlösungen

X X

Durch Installation der Microsoft Remote Server Administration Tools (RSAT)

NetworkLoadBalancingClusters PSDiagnostics

X

X

Gruppenrichtlinien

X X

X

RemoteDesktopServices

X

ServerManager

X

Softwareverwaltung

TroubleshootingPack

X

X

Optimierungen und Problemlösungen

WebAdministration

X (nach Installieren des IIS 7.0 als optionales Windows-Feature)

X

Internet Information Services

Tabelle 21.10: PowerShell-Module in Windows 7 und Windows Server 2008 R2

970


Windows PowerShell Community Extensions (PSCX) Andere Erweiterungen für die PowerShell findet man unter Windows PowerShell Community Erweiterungen. IT-Visions.de PowerShell Extensions Hersteller:

Microsoft/Open-Source-Community-Projekt

Preis:

Kostenlos

URL:

http://www.codeplex.com/PowerShellCX


Ja, Version 1.1.1

In PSCX-Projekt findet man derzeit u.a. folgende zusätzliche Commandlets: 왘 ConvertFrom-Base64 왘 ConvertTo-Base64 왘 ConvertTo-MacOs9LineEnding 왘 ConvertTo-UnixLineEnding 왘 ConvertTo-WindowsLineEnding 왘 Convert-Xml 왘 Disconnect-TerminalSession 왘 Export-Bitmap 왘 Format-Byte 왘 Format-Hex 왘 Format-Xml 왘 Get-ADObject 왘 Get-Clipboard 왘 Get-DhcpServer 왘 Get-DomainController 왘 Get-FileVersionInfo 왘 Get-ForegroundWindow 왘 Get-Hash 왘 Get-MountPoint 왘 Get-PEHeader 왘 Get-Privilege 왘 Get-PSSnapinHelp 왘 Get-Random 왘 Get-ReparsePoint 왘 Get-ShortPath 왘 Get-TabExpansion 왘 Get-TerminalSession 왘 Import-Bitmap 왘 Join-String 왘 New-Hardlink

21

971

Kapitel 21 Einführung in die Windows PowerShell (WPS) 왘 New-Junction 왘 New-Shortcut 왘 New-Symlink 왘 Out-Clipboard 왘 Ping-Host 왘 Remove-MountPoint 왘 Remove-ReparsePoint 왘 Resize-Bitmap 왘 Resolve-Assembly 왘 Resolve-Host 왘 Select-Xml 왘 Send-SmtpMail 왘 Set-Clipboard 왘 Set-FileTime 왘 Set-ForegroundWindow 왘 Set-Privilege 왘 Set-VolumeLabel 왘 Split-String 왘 Start-Process 왘 Start-TabExpansion 왘 Stop-TerminalSession 왘 Test-Assembly 왘 Test-Xml 왘 Write-BZip2 왘 Write-Clipboard 왘 Write-GZip 왘 Write-Tar 왘 Write-Zip

Um sich alle Commandlets einer bestimmten Erweiterung auflisten zu lassen, können Sie nach dem Attribut PSSnapIn in der Klasse CmdletInfo filtern, z.B.: Get-command | where { $_.pssnapin -like "Pscx*" }

IT-Visions.de PowerShell Extensions Die PowerShell-Erweiterungen, die von der Firma des Buchautors kostenlos bereitgestellt werden, bieten Funktionen aus den Bereichen 왘 Verzeichnisdienstverwaltung (Get-DirectoryEntry, Get-DirectoryChildren, Add-DirectoryEntry, Remove-DirectoryEntry ...) 왘 Hardwareinformationen (Get-Processor, Get-Memorydevice, Get-NetworkAdapter, Get-CDRomDrive, Get-Videocontroller, Get-USBController ...) 왘 Datenbankzugriff (Get-DataTable, Get-DataRow, Get-DataColumn, SetDataTable, Invoke-SqlCommand ...)

972

Tipps und Tricks

IT-Visions.de PowerShell Extensions Hersteller:

www.IT-Visions.de

Preis:

Kostenlos

URL:

http://www.dotnetframework.de/scripting/powershell/PowerShellCommandlet Extensions.aspx


Ja, Version 1.0

Quest Management Shell for Active Directory Die Firma Quest stellt Commandlets zur Active Directory-Verwaltung (z.B. Get-QADComputer, Get-QADUser, New-QADObject, Set-QADObject ...) sowie eine angepasste PowerShell-Konsole (Quest Management Shell for Active Directory) zur Verfügung. Abbildung 21.65 Quest Management Shell for Active Directory

Quest Management Shell for Active Directory Hersteller:

Quest

Preis:

Beta-Version kostenlos

URL:

http://www.quest.com/activeroles-server/ arms.aspx


Ja, Beta-Version

21.19 Tipps und Tricks

21

Dieses Kapitel enthält einige Tipps und Tricks zum Umgang mit der PowerShell.

21.19.1 Befehlsgeschichte Die PowerShell-Konsole speichert im Standard die letzten 64 eingegebe- Get-History nen Befehle in einer Befehlsgeschichte (History). Diese lassen sich mit Get-History

auflisten.

973


Durch den Parameter Count kann man eine bestimmte Anzahl von Befehlen ansehen (jeweils die letzten n Befehlen werden gezeigt). Get-History –count 10

Einen Befehl aus der Befehlsgeschichte kann man gezielt über die Position aufrufen: Invoke-History 9

Die Anzahl der gespeicherten Befehle kann durch die Variable $MaximumHistoryCount erhöht werden.

Die Befehlsgeschichte kann man exportieren, entweder als Skriptdatei oder als XML-Datei. Eine Skriptdatei verwendet man, wenn man die eingegebenen Befehle wieder automatisch in der Reihenfolge der Eingabe ablaufen lassen wird. Das XML-Dateiformat verwendet man, wenn man die Befehlsgeschichte einer früheren Sitzung wiederherstellen will, ohne die Befehle gleichzeitig auch alle auszuführen. Skriptdatei (.ps1)

XML-Format

Exportieren

Get-History -Count 10 | format-table commandline -HideTableHeader | out-file "c:\meinScript.ps1"

Get-History | Export-CliXml "b:\Scripte\geschichte.xml"

Importieren (bzw. Ausführen)

. "c:\meinScript.ps1"

Import-CliXml "b:\Scripte\ geschichte.xml" | Add-History

21.19.2 Systeminformationen Das Commandlet Get-Host liefert Informationen über die aktuelle PowerShell, insbesondere Name, Versionsnummer und Spracheinstellungen. Get-Culture und Get-UICulture liefern die Informationen über die aktuelle Sprache auch einzeln in Form von Instanzen der .NET-Klasse System. Globalization.CultureInfo. Get-Culture bezieht sich auf die Ausgaben von

Datum, Uhrzeit und Währungen (vgl. regionale Einstellungen der Windows-Systemsteuerung). Get-UICulture bezieht sich auf die Sprache der Benutzeroberfläche. In der Regel sind zwar beide Einstellungen gleich, ein Benutzer kann diese jedoch auch abweichend festlegen. Abbildung 21.66 Ausführung von Get-Host

974

Tipps und Tricks

21.19.3 Alle Anzeigen löschen Clear-Host (Alias clear) löscht die Anzeige in der PowerShell-Konsole,

löscht aber nicht die Befehlsgeschichte.

21.19.4 Profileinstellungen für die PowerShellKonsole Beim Beenden der PowerShell-Konsole vergisst diese alle Einstellungen (z.B. definierte Aliase, definierte Funktionen, eingebundene PowerShellProvider und die Befehlsgeschichte). Mithilfe sogenannter Profildateien kann man der PowerShell-Konsole beim Start ihr Gedächtnis zurückgeben. Profile sind PowerShell-Skripte mit dem Namen „Profile“ und mit der Dateinamenserweiterung .ps1. Eine Profile.ps1 kann es geben auf zwei Ebenen: 왘 Global für alle Benutzer im PowerShell-Installationsverzeichnis (i.d.R. C:\WINDOWS\system32\windowspowershell\v1.0) 왘 Benutzerbezogen im Dateisystemverzeichnis (unter Windows 7 normalerweise in c:\Benutzer\(Benutzername)\Dokumente\Windows PowerShell, auf älteren Systemen unter c:\Dokumente und Einstellungen\(Benutzername)\Eigene Dateien\WindowsPowerShell) Die PowerShell Extensions (PSCX) legen eine solche Profildatei mit zahlreichen Einstellungen benutzerbezogen ab. # -------------------------------------------------------------------------# Author: Keith Hill, jachymko # Desc: Simple global profile to get you going with PowerShell. # Date: Nov 18, 2006 # Site: http://www.codeplex.com/PowerShellCX # Usage: Copy this file to your WindowsPowerShell directory e.g.: # # Copy-Item "$Env:PscxHome\Profile\Profile.ps1" (Split-Path $Profile -Parent) # # -------------------------------------------------------------------------# Angepasst von Holger Schwichtenberg, Juli 2007

21

# -------------------------------------------------------------------------# Configure standard PowerShell variables to more useful settings # -------------------------------------------------------------------------$MaximumHistoryCount = 512 $FormatEnumerationLimit = 100

975

Kapitel 21 Einführung in die Windows PowerShell (WPS) # -------------------------------------------------------------------------# PowerShell Community Extensions preference variables. Comment/uncomment # or change to suit your preference. # -------------------------------------------------------------------------$PscxTextEditorPreference = "Notepad" # -------------------------------------------------------------------------# Dirx/dirs/dirt/dird/dirw functions will specifies -Force with the value of # the following preference variable. Set to $true will cause normally hidden # items to be returned. # -------------------------------------------------------------------------$PscxDirForcePreference = $true # -------------------------------------------------------------------------# Dirx/dirs/dirt/dird/dirw functions filter out files with system attribute set. # The performance may suffer on high latency networks or in folders with # many files. # -------------------------------------------------------------------------## $PscxDirHideSystemPreference = $true # -------------------------------------------------------------------------# Display file sizes in KB, MB, GB multiples. # -------------------------------------------------------------------------$PscxFileSizeInUnitsPreference = $false # -------------------------------------------------------------------------# The Send-SmtpMail default settings. # -------------------------------------------------------------------------## $PscxSmtpFromPreference = '[email protected]' ## $PscxSmtpHostPreference = 'smtp.example.net' ## $PscxSmtpPortPreference = 25 # -------------------------------------------------------------------------# Uncomment this to create a transcript of the entire PowerShell session. # -------------------------------------------------------------------------## $PscxTranscribeSessionPreference = $true

976

Tipps und Tricks # -------------------------------------------------------------------------# You can modify every aspect of the PSCX prompt appearance by # creating your own eye-candy script. # -------------------------------------------------------------------------## $PscxEyeCandyScriptPreference = '.\EyeCandy.Jachym.ps1' $PscxEyeCandyScriptPreference = '.\EyeCandy.Keith.ps1' # -------------------------------------------------------------------------# The following functions are used during processing of the PSCX profile # and are deleted at the end of loading this profile. # !! Do not modify or remove the functions below !! # -------------------------------------------------------------------------function Set-PscxVariable($name, $value) { Set-Variable $name $value -Scope Global -Option AllScope, ReadOnly -Description "PSCX variable" } function Set-PscxAlias($name, $value, $type = 'cmdlet', [switch]$force) { Set-Alias $name $value -Scope Global -Option AllScope -Force:$force Description "PSCX $type alias" } function Test-PscxPreference($name) { if (Test-Path "Variable:$name") { (Get-Variable $name).Value } else { $false } } # -------------------------------------------------------------------------# !! Do not modify or remove the functions above !! # --------------------------------------------------------------------------

21

if (!(Test-Path Variable:__PscxProfileRanOnce)) { # -------------------------------------------------------------------------# This should only be run once per PowerShell session # --------------------------------------------------------------------------

977

Kapitel 21 Einführung in die Windows PowerShell (WPS) Add-PSSnapin Pscx Start-TabExpansion # -------------------------------------------------------------------------# Load ps1xml files which override built-in PowerShell defaults. # -------------------------------------------------------------------------Update-FormatData -PrependPath "$Env:PscxHome\FormatData\ FileSystem.ps1xml" Update-FormatData -PrependPath "$Env:PscxHome\FormatData\ Reflection.ps1xml" # -------------------------------------------------------------------------# Create $UserProfile to point to the user's non-host specific profile script # -------------------------------------------------------------------------Set-PscxVariable ProfileDir (split-path $MyInvocation.MyCommand.Path -Parent) Set-PscxVariable UserProfile (join-path $ProfileDir 'Profile.ps1') # -------------------------------------------------------------------------# Create PSCX convenience variables, identity variables used by EyeCandy.*.ps1 # -------------------------------------------------------------------------Set-PscxVariable PscxHome ($env:PscxHome) Set-PscxVariable PscxVersion ([Version](Get-FileVersionInfo (Get-PSSnapin Pscx).ModuleName).ProductVersion) Set-PscxVariable Shell (new-object -com Shell.Application) Set-PscxVariable NTIdentity ([Security.Principal.WindowsIdentity]::GetCurrent()) Set-PscxVariable NTAccount ($NTIdentity.User.Translate([Security.Principal.NTAccount])) Set-PscxVariable NTPrincipal (new-object Security.Principal.WindowsPrincipal $NTIdentity) Set-PscxVariable IsAdmin ($NTPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]:: Administrator)) } else { # -------------------------------------------------------------------------# This should be run every time you want apply changes to your type and format # files. # --------------------------------------------------------------------------

978

Tipps und Tricks Update-FormatData Update-TypeData } # -------------------------------------------------------------------------# PowerShell Community Extensions utility functions and filters. # Comment out or remove any dot sourced functionality that you don't want. # -------------------------------------------------------------------------Push-Location (Join-Path $Env:PscxHome 'Profile') . '.\TabExpansion.ps1' . '.\GenericAliases.ps1' . '.\GenericFilters.ps1' . '.\GenericFunctions.ps1' . '.\PscxAliases.ps1' . '.\Debug.ps1' . '.\Environment.VirtualServer.ps1' . '.\Environment.VisualStudio2005.ps1' . '.\Cd.ps1' . '.\Dir.ps1' . '.\TranscribeSession.ps1' . $PscxEyeCandyScriptPreference Pop-Location # -------------------------------------------------------------------------# Add PSCX Scripts dir to Path environment variable to allow scripts to be executed. # -------------------------------------------------------------------------Add-PathVariable Path $env:PscxHome,$env:PscxHome\Scripts # -------------------------------------------------------------------------# Remove functions only required for the processing of the PSCX profile. # -------------------------------------------------------------------------Remove-Item Function:Set-PscxAlias Remove-Item Function:Set-PscxVariable

21

# -------------------------------------------------------------------------# Keep track of whether or not this profile has ran already and remove the # temporary functions # -------------------------------------------------------------------------Set-Variable __PscxProfileRanOnce

## WINDOW TITLE

979


$Wi = [System.Security.Principal.WindowsIdentity]::GetCurrent() $wp = New-Object System.Security.Principal.WindowsPrincipal($wi)

if ($wp.IsInRole([System.Security.Principal.WindowsBuiltInRole]:: Administrator)) { $Status = "[Running as Administrator]" } else { $Status = "[Running as normal User]" } $PscxWindowTitlePrefix = "PowerShell - Holger Schwichtenberg (www.IT-Visions.de) - " + $Status + " - "

Leicht angepasste Version der Profildatei aus den PowerShell Extensions (PSCX)

Abbildung 21.67: Ablage der Profildatei in Windows 7

Um die Profildateien übersichtlicher zu gestalten, darf man sie auf mehrere Dateien aufteilen und die einzelnen Dateien dann mit dem Punkt-Operator über das sogenannte „ dot sourcing“ aus dem Hauptskript (das immer Profile.ps1 heißen muss) aufrufen.

21.19.5 Aufzählungen Bei der Benutzung einiger .NET-Klassen, z.B. FileSystemRights für Rechte im Dateisystem, muss man verschiedene Flags durch ein binäres Oder mit-

980

Weitere Funktionen

einander verknüpfen. Wenn man bei jedem Flag den Namen der Aufzählung, in der das Flag definiert ist, wiederholen muss, werden die Fingerkuppen strapaziert. Die PowerShell ist in der Lage, aus einer Zeichenkette mit Kommatrennung die entsprechenden Flagwerte in der Enumeration zu suchen und miteinander durch binäres Oder zu verknüpften. Anstelle von $Rights= [System.Security.AccessControl.FileSystemRights]::Read ` -bor [System.Security.AccessControl.FileSystemRights]::ReadExtendedAttributes ` -bor [System.Security.AccessControl.FileSystemRights]::ReadAttributes ` -bor [System.Security.AccessControl.FileSystemRights]::ReadPermissions

kann man also verkürzt schreiben: $Rights = [System.Security.AccessControl.FileSystemRights] "ReadData, ReadExtendedAttributes, ReadAttributes, ReadPermissions"

21.20 Weitere Funktionen Die PowerShell 2.0 bietet zahlreiche weitere Funktionen, die hier aus Platzgründen nicht besprochen werden können. Für die folgenden Funktionen sei auf [SCH10] verwiesen: 왘 Ausführliche Darstellung der PowerShell-Skriptsprache 왘 Einbinden von C#-Code und VB.NET-Code 왘 Windows 32-API-Anrufe 왘 Transaktionen 왘 Verwaltung des WS-Management-Dienstes 왘 Hintergrundaufträge („ Jobs“) 왘 Ereignissystem 왘 Datenbereiche und Datendateien 왘 Mehrsprachige Skripte 왘 Commandlet-Erweiterungen erstellen 왘 PowerShell-Module erstellen 왘 Leistungsdaten abfragen 왘 Gruppenrichtlinien abfragen und ändern 왘 Zugriff auf Internet Information Server (IIS) 왘 Zugriff auf Microsoft SQL Server 왘 Optimierungen und Problemlösungen

21

21.21 Weitere Informationen über die PowerShell Weitere Informationen über die PowerShell bekommen Sie auf den nachfolgenden Webseiten.

981


21.21.1 Websites zur PowerShell 왘 PowerShell-Community-Website des Buchautors: http://www.powershell-

doktor.de 왘 Sammlung von PowerShell-Skripten: http://www.microsoft.com/technet/

scriptcenter/scripts/msh/default.mspx 왘 PowerShell-Website: http://www.microsoft.com/technet/scriptcenter/hubs/

msh.mspx 왘 Website mit Skripten: http://www.reskit.net/Monad/samplescripts.htm 왘 Link-Liste von PowerShell-Ressourcen: http://del.icio.us/powershell

21.21.2 Weblogs zur PowerShell 왘 Offizielles Weblog des PowerShell-Teams: http://blogs.msdn.com/Power왘 왘 왘 왘 왘 왘

982

Shell/ James Truher (Microsoft): http://jtruher.spaces.live.com/blog/ Arul Kumaravel (Microsoft): http://blogs.msdn.com/arulk Lee Holmes: http://www.leeholmes.com/blog/ Keith Hill: http://keithhill.spaces.live.com/ Marc van Orsouw: http://thepowershellguy.com/blogs/posh/ Karl Prosser: http://www.karlprosser.com/coder/?cat=8

22

Systemautomatisierung mit der PowerShell

Dieses Kapitel enthält verschiedene Anwendungsbeispiele für die Windows PowerShell. Aus produktionstechnischen Gründen sind einige Bildschirmabbildungen in diesem Kapitel nicht mit Windows 7 erstellt, sondern mit Windows Server 2003 oder Windows Server 2008 oder Windows Vista. Die Aussagen in diesem Kapitel gelten aber gleichwohl für Windows 7.

22.1 Dateisystem Das Dateisystem kann über das PowerShell-Navigationsmodell mit dem Navigation Provider „ Filesystem“ angesprochen werden. PowerShell PowerCommandlet ShellAlias

Befehl WindowsKommandozeile

Befehl Unix sh

Beschreibung

Clear-Item

cli

–

–

Inhalt leeren

Copy-Item

Cpi, cpp, ’ copy cp, copy

cp

Kopieren von Elementen

Get-Content

gc

type

cat

Holt den Inhalt

Get-Location

Gl, pwd

pwd

pwd

Holt das aktuelle Verzeichnis

Tabelle 22.1: Wichtige Commandlets für die Arbeit mit dem Dateisystem

983

Kapitel 22 Systemautomatisierung mit der PowerShell

PowerShell PowerCommandlet ShellAlias

Befehl WindowsKommandozeile

Befehl Unix sh

Beschreibung

Move-Item

Mi, move, move mv, mi

mv

Bewegen von Elementen

New-Item

Ni (Funktion md)

–

Element anlegen

Remove-Item

Ri, rp, rm, del, rd rmdir, del, erase, rd

rm, rmdir Umbenennen von Elementen

Rename-Item

Rni, ren

rn

ren

Set-Content

sc

(Umleitungen >)

(UmleiFestlegen des tungen >) Inhalts

Set-Item

si

–

–

Inhalt festlegen

Set-Location

Sl, cd, chdir

cd, chdir

cd, chdir

Setzt das aktuelle Verzeichnis

–

Umbenennen eines Elements

Tabelle 22.1: Wichtige Commandlets für die Arbeit mit dem Dateisystem (Forts.)

22.1.1 Get-Psdrive

Laufwerke

Eine Liste der Dateisystemlaufwerke erhält man durch Einschränkung von Get-PSDrive auf den Provider „Filesystem“: Get-Psdrive -psprovider filesystem

Das Ergebnis sind Objekte des Typs System.Management.Automation. PSDriveInfo. Zu den Eigenschaften dieser Klasse gehört auch Root, welches das Wurzelverzeichnis zu jedem Laufwerk enthält. Die PowerShell-Klasse PSDriveInfo enthält keine Informationen über Größe und Füllstand der Laufwerke, da es sich um ein generisches Konzept für alle Arten von Mengen handelt und solche Werte für einige Laufwerke (z.B. Umgebungsvariablen) keinen Sinn machen würden. Win32_ Logicaldisk

Um den Füllstand der Dateisystemlaufwerke auszugeben, bedient man sich am besten der WMI-Klasse Win32_Logicaldisk: Get-Wmiobject Win32_logicaldisk | Select-Object deviceid,size,freespace

Das folgende Skript zeigt eine Möglichkeit, diese Daten besser formatiert auszugeben: Listing 22.1 Ausgabe des Füllstands der Laufwerke [Laufwerksfuellstand.ps1]

984

$Computer = "localhost" $laufwerke = get-wmiobject Win32_LogicalDisk -computer $computer " Laufwerk Groesse(MB) Freier Platz(MB)" ForEach ($laufwerk in $laufwerke) { " {0} {1,15:n} {2,15:n}" -f $laufwerk.DeviceID, ($laufwerk.Size/1m), $($laufwerk.freespace/1m) }

Dateisystem

Informationen über die verbundenen Netzwerklaufwerke des angemeldeten Benutzers liefert die WMI-Klasse Win32_MappedLogicalDisk: Get-Wmiobject Win32_MappedLogicalDisk | select caption, providername

22.1.2

Inhalt eines Verzeichnisses

Den Inhalt eines Verzeichnisses listet man mit Get-Childitem (Alias: dir) Get-Childitem auf. Ohne Parameter listet Get-Childitem den aktuellen Pfad auf. Man kann auch einen Pfad explizit angeben: Get-Childitem c:\temp\ps_Scripte

Die Ergebnismenge besteht aus .NET-Objekten der Typen System.IO. DirectoryInfo (für Unterverzeichnisse) und System.IO.FileInfo (für Dateien). Der Parameter –Filter beschränkt die Ausgabemenge auf Dateien mit einem bestimmten Namensmuster: Get-Childitem c:\temp\ps_Scripte -filter "*.ps1"

Das Commandlet arbeitet normalerweise nur auf der angegebenen Ebene. Es kann auch rekursiv die Unterverzeichnisse durchsuchen: Get-Childitem c:\temp\ps_Scripte -filter "*.ps1" –recurse

Mit Measure-Object kann man Berechnungen über eine Objektmenge ausführen. Der folgende Befehl zeigt die Anzahl der Dateien in c:\Windows sowie die Gesamtgröße aller Dateien, die Größe der größten und kleinsten Datei sowie die Durchschnittsgröße. Get-ChildItem c:\windows | Measure-Object -Property length -min -max average –sum

Mit dem folgenden Befehl erzeugt man eine Liste von großen WordDateien auf dem Laufwerk „ H“ und seiner Unterverzeichnisse und exportiert eine Liste der Namen und Größe sortiert nach Größe in eine CSV-Datei: Get-Childitem h:\ -filter *.doc | Where-Object { $_.Length -gt 40000 } | Select-Object Name, Length | Sort-Object Length | export-csv p:\ GrosseWordDateien.csv -notype

Das "-notype" am Ende sorgt dafür, dass der Name der .NET-Klasse nicht exportiert wird. Würde man den Namen exportieren, so könnte man später mit einem Import-Csv die Daten wieder als Objekt-Pipeline weiterverarbeiten.

22.1.3

22


Zum Kopieren von Dateien und Ordnern verwendet man Copy-Item (Ali- Copy, Move, Rename, Remove ase copy oder cp): Copy-Item j:\demo\dokumente\profil.pdf c:\temp\profil_ HSchwichtenberg.pdf

985


Zum Bewegen (Verschieben) von Dateisystemobjekten kommt Move-Item (Alias move) zum Einsatz: Move-Item j:\demo\dokumente\profil.pdf c:\temp\profil_ HSchwichtenberg.pdf

Das Commandlet Rename-Item (Alias Rename) benennt ein Dateisystemobjekt um: Rename-Item profil.pdf profil_HS.pdf

Zum Löschen einer Datei verwendet man das Commandlet Remove-Item (Alias del): Remove-Item j:\demo\profil_HSchwichtenberg.pdf

Der folgende Befehl löscht alle Dateien, die älter sind als 30 Tage: get-childitem c:\temp -recurse | where-object {($now - $_.LastWriteTime).Days -gt 30} | remove-item

22.1.4 Get-Item

Dateieigenschaften lesen und verändern

Informationen über ein Dateisystemobjekt (z.B. Name, Größe, letzte Veränderung, Attribute) erhält man mit Get-Item: Get-Item j:\demo\profil_HSchwichtenberg.pdf

Für eine Datei erhält man damit eine Instanz von System.IO.FileInfo. Den gleichen Effekt hat auch: Get-ItemProperty j:\demo\profil_HSchwichtenberg.pdf Get-ItemProperty

Einzelne Daten kann man so abfragen:

Set-ItemProperty

Mit Set-ItemProperty erfolgt die Veränderung von Dateieigenschaften. Mit dem folgenden Befehl werden die in Attributes gespeicherten Bitflags gesetzt. Die .NET-Klassenbibliothek definiert die möglichen Flags in der Aufzählung System.IO.FileAttributes. Wichtig ist, dass die Elemente der Aufzählung wie statische Mitglieder angesprochen (also mit dem ::-Operator) und mit einem binären exklusiven Oder (-bxor) verknüpft werden.

Get-ItemProperty daten.txt -name length Get-ItemProperty daten.txt -name attributes

Set-ItemProperty daten.txt -name attributes -value ([System.IO.FileAttributes]::ReadOnly -bxor [System.IO.FileAttributes]::Archive)

22.1.5

Freigaben

Der Zugriff auf Dateisystemfreigaben (engl. Shares) erfolgt über die WMI-Klasse Win32_Share. Wichtige Mitglieder der Klasse sind: 왘 Name: Name der Freigabe 왘 Path: Pfad im Dateisystem, zu dem die Freigabe führt 왘 Description: Beschreibungstext zu der Freigabe

986

Dateisystem 왘 MaximumAllowed: Maximalanzahl der gleichzeitigen Benutzer 왘 SetShareInfo(): Setzen der Eigenschaften Description, 왘 MaxinumAllowed und der Berechtigungen für die Freigabe 왘 GetAccessMask(): Auslesen der Berechtigungen für die Freigabe 왘 Create(): Create ist eine statische Methode der Klasse Win32_Share zum

Anlegen neuer Freigaben. Das Attribut AccessMask ist immer leer (siehe Bildschirmabbildung), weil es von Microsoft als „veraltert“ deklariert wird. Das Setzen und Lesen der Berechtigungen erfolgt über die Methoden Create(), SetShareInfo() und GetAccessMask(). Diese Methoden legen entsprechende Assoziationen an. Bei den Freigaben sind die Berechtigungen der komplizierteste Teil, wie schon die Assoziationen im WMI Object Browser andeuten.

Abbildung 22.1: Darstellung einer Instanz der Klasse Win32_Share im WMI Object Browser

Freigaben auflisten Zum Auflisten der Freigaben muss man auf die Instanzen der WMI- Win32_Share Klasse Win32_Share zurückgreifen: Get-Wmiobject Win32_Share Abbildung 22.2 Auflisten der freigegebenen Dateisystemverzeichnisse

987

22


Über den Namen der Freigabe kann man eine Freigabe (auch auf entfernten Systemen) gezielt ansprechen: get-WmiObject Win32_Share -Filter "Name='C$'" -computer E02 | Select Name, Path, Description, MaximumAllows | Format-List

Freigaben anlegen Das Anlegen einer Freigabe ist eine aufwendigere Angelegenheit – zumindest dann, wenn man auch die Zugriffsrechteliste setzen will. Leider kann man hier nicht auf die .NET-Klassen für die Berechtigungsvergabe zurückgreifen, sondern muss entsprechende WMI-Klassen verwenden. Aus didaktischen Gründen folgt zunächst erst einmal ein Skript, bei dem die Berechtigungen nicht explizit gesetzt werden. Die Freigabe erhält dadurch die Standardrechte (Vollzugriff für jedermann). Zum Anlegen der Freigabe wird die statische Methode Create() der Klasse Win32_Share aufgerufen. Für AccessMask wird dabei $null übergeben. Das Skript prüft beim Start, ob es die Freigabe schon gibt, und löscht diese gegebenenfalls, damit eine Neuanlage möglich ist. Listing 22.2 Anlegen einer Freigabe mit Standardberechtigungen

########################################### # New-Share (without Permissions) # (C) Dr. Holger Schwichtenberg ########################################### # Parameters $Computer = "." $ShareName = "Kunden" $Pfad = "g:\Daten\Kunden" $Comment = "Alle unsere Kundenkorrespondenz" # before "Vorher:" Get-WmiObject Win32_Share -Filter "Name='$ShareName'" get-WmiObject Win32_Share -Filter "Name='$ShareName'" | foreach-object { $_.Delete() } # Win32_Share $MC = [WMIClass] "ROOT\CIMV2:Win32_Share" $Access = $Null $R = $mc.Create($pfad, $Sharename, 0, 10, $Description, "", $Access) if ( $R.ReturnValue -ne 0) { Write-Error "Fehler beim Anlegen: "+ $R.ReturnValue; Exit} "Freigabe wurde angelegt!" # after "Nachher:" get-WmiObject Win32_Share -Filter "Name='$ShareName'"

988

Dateisystem

Abbildung 22.3 Eine mit Standardrechten angelegte Freigabe

Berechtigungen auf Freigaben setzen Um beim Anlegen einer Dateisys-

temfreigabe die Zugriffsrechte zu setzen, sind folgende Schritte zusätzlich notwendig: 왘 Ermitteln des Security Identifiers für jeden Benutzer/jede Gruppe, der/die Rechte erhalten soll 왘 Erstellen einer Instanz von Win32_Trustee für jeden Benutzer/jede Gruppe, der/die Rechte erhalten soll 왘 Instanziieren der Klasse Win32_ACE für jeden Rechteeintrag 왘 Befüllen von Win32_ACE mit dem Win32_Trustee-Objekt, den Rechten und den Rechteeigenschaften 왘 Erstellen einer Instanz von Win32_SecurityDescriptor 왘 Befüllen des Win32_SecurityDescriptor-Objekts mit einer Discretionary Access Control List (DACL) 왘 Zusammenbauen der DACL aus einzelnen Rechteeinträgen (Access Control Entries – ACE), also Instanzen von Win32_ACE ########################################### # New-Share (with Permissions) # (C) Dr. Holger Schwichtenberg ###########################################

Listing 22.3 [New-Share.ps1]

# Parameters $Computer = "." $ShareName = "Kunden" $Pfad = "g:\Daten\Kunden" $Comment = "Alle unsere Kundenkorrespondenz"

22

# Constants $SHARE_READ = 1179817 $SHARE_CHANGE = 1245462

989

Kapitel 22 Systemautomatisierung mit der PowerShell $SHARE_FULL = 2032127 $SHARE_NONE = 1 $ACETYPE_ACCESS_ALLOWED = 0 $ACETYPE_ACCESS_DENIED = 1 $ACETYPE_SYSTEM_AUDIT = 2 $ACEFLAG_INHERIT_ACE = 2 $ACEFLAG_NO_PROPAGATE_INHERIT_ACE = 4 $ACEFLAG_INHERIT_ONLY_ACE = 8 $ACEFLAG_INHERITED_ACE = 16 $ACEFLAG_VALID_INHERIT_FLAGS = 31 $ACEFLAG_SUCCESSFUL_ACCESS = 64 $ACEFLAG_FAILED_ACCESS = 128 # Get Trustee function New-Trustee($Domain, $User) { $Account = new-object system.security.principal.ntaccount("itv\hs") $SID = $Account.Translate([system.security.principal.securityidentifier]) $useraccount = [ADSI] ("WinNT://" + $Domain + "/" + $User) $mc = [WMIClass] "Win32_Trustee" $t = $MC.CreateInstance() $t.Domain = $Domain $t.Name = $User $t.SID = $useraccount.Get("ObjectSID") return $t } # Create ACE function New-ACE($Domain, $User, $Access, $Type, $Flags) { $mc = [WMIClass] "Win32_Ace" $a = $MC.CreateInstance() $a.AccessMask = $Access $a.AceFlags = $Flags $a.AceType = $Type $a.Trustee = New-Trustee $Domain $User return $a } # Create SD function Get-SD { $mc = [WMIClass] "Win32_SecurityDescriptor" $sd = $MC.CreateInstance() $ACE1 = New-ACE "ITV" "ST" $SHARE_READ $ACETYPE_ACCESS_ALLOWED $ACEFLAG_INHERIT_ACE $ACE2 = New-ACE "ITV" "HS" $SHARE_FULL $ACETYPE_ACCESS_ALLOWED $ACEFLAG_INHERIT_ACE $ACE3 = New-ACE "ITV" "Geschäftsführung" $SHARE_FULL $ACETYPE_ ACCESS_ALLOWED $ACEFLAG_INHERIT_ACE

990

Dateisystem [System.Management.ManagementObject[]] $DACL = $ACE1 , $ACE2, $ACE3 $sd.DACL = $DACL return $sd } # before "Vorher:" Get-WmiObject Win32_Share -Filter "Name='$ShareName'" get-WmiObject Win32_Share -Filter "Name='$ShareName'" | foreachobject { $_.Delete() } # Win32_Share anlegen $MC = [WMIClass] "ROOT\CIMV2:Win32_Share" $Access = Get-SD $R = $mc.Create($pfad, $Sharename, 0, 10, $Comment, "", $Access) if ( $R.ReturnValue -ne 0) { Write-Error "Fehler beim Anlegen: "+ $R.ReturnValue; Exit} "Freigabe wurde angelegt!" # after "Nachher:" get-WmiObject Win32_Share -Filter "Name='$ShareName'" | foreach { $_.GetAccessMask() } | gm

Abbildung 22.4 Ergebnis des obigen Skripts zum Anlegen einer Freigabe mit expliziten Rechten

22 Create() besitzt einige Fehlercodes, z.B. 22 = Freigabename existiert bereits oder 21 = Falsche Parameter.

991


22.2 Dokumente & Datenbanken 22.2.1 Get-Content

Textdateien

Zum Einlesen von Dateien stellt die PowerShell das Commandlet GetContent zur Verfügung. Get-Content liest im Standard die gesamte Datei ein. Das folgende Listing zeigt das Einlesen einer Textdatei und die zeilenweise Ausgabe:

Listing 22.4 Zeilenweises Einlesen einer Textdatei [Textdatei1.ps1]

$datei = Get-content j:\demo\dokumente\benutzerliste.csv $a = 0 $datei | Foreach-Object { $a++; "Zeile" + $a + ": " + $_ } "Gesamtzahl der Zeilen: " + $a

Wenn es nur darum geht, die Anzahl der Zeilen zu ermitteln, dann geht das auch kürzer: Get-content j:\demo\dokumente\benutzerliste.csv | Measure-Object Set-Content Listing 22.5 Erstellen und Ergänzen einer Textdatei

Das Beschreiben einer Textdatei im Dateisystem erfolgt mit Set-Content und Add-Content. Set-Content tauscht den Inhalt aus, Add-Content ergänzt Inhalte. $datei = "j:\demo\dokumente\protokoll.txt" "Neubeginn der Protokolldatei " | set-content $datei "Neuer Eintrag " | Add-content $datei "Neuer Eintrag " | Add-content $datei "Neuer Eintrag " | Add-content $datei "Inhalt der Datei jetzt:" Get-content $datei Clear-Content löscht den Inhalt einer Datei, belässt die Datei aber leer im

Dateisystem. New-Item

Eine andere Möglichkeit zum Erstellen einer Textdatei ist die Verwendung von New-Item: new-item . -name Daten.txt -type "file" -value "Dies ist der Inhalt!" –force

In diesem Fall gibt es aber nur die Option, die Datei neu anzulegen (ohne –force) oder eine bestehende Datei zu überschreiben (mit –force). Eine dritte Möglichkeit zum Beschreiben einer Datei ist das Commandlet Out-File.

22.2.2

Binärdateien

Auch Binärdateien kann man mit Get-Content auslesen und mit SetContent bzw. Add-Content beschreiben. Jeweils ist als Parameter –encoding Byte anzugeben. Listing 22.6 Lesen und Schreiben einer Binärdatei

992

# Binärdatei lesen $a = Get-Content H:\demo\PowerShell\Registry\www.IT-Visions.de_ Logo.jpg -encoding byte

Dokumente & Datenbanken # Binärdatei schreiben $a | set-content "g:\Daten\Logo.jpg" -encoding byte

22.2.3

CSV-Dateien

Zum Importieren und Exportieren von Daten im CSV(Comma Separated Export, Import Value)-Format bietet die PowerShell die Commandlets Export-Csv und Import-Csv. Beim Exportieren gibt es zwei Alternativen: Man kann eine normale CSV-Datei ohne Metadaten erstellen lassen: Get-Service | Where-Object {$_.status -eq "running"} | Export-Csv j:\ demo\dokumente\dienste.csv –NoTypeInformation

Alternativ dazu kann man eine CSV-Datei erzeugen, bei der in der ersten Zeile nach „ #Type“ hinterlegt ist, welche Objekttypen persistiert sind. Get-Service | Where-Object {$_.status -eq "running"} | Export-Csv j:\ demo\dokumente\dienste.csv

Beim Import einer CSV-Datei mit Import-Csv j:\demo\dokumente\dienste.csv | Where { $_.Status -eq "Running" }

entscheidet die Typinformation darüber, welcher Objekttyp konstruiert wird. Mit Typinformationen wird der entsprechende Typ erstellt. Ohne Typinformationen entstehen Instanzen der Klasse System.Management. Automation.PSCustomObject.

22.2.4

XML-Dateien

Die PowerShell bietet eine sehr komfortable Möglichkeit, XML-Doku- [Xml] mente auszuwerten, denn die XML-Elementnamen können wie Attribute eines .NET-Objekts angesprochen werden. Wenn $doc das in der nachstehenden Abbildung gezeigte XML-Dokument enthält, dann liefert $doc. Websites.Website die Menge von XML-Knoten, die heißen. Abbildung 22.5 Beispiel für ein XML-Dokument

22

993


Das obige Dokument kann so ausgewertet werden: Listing 22.7 Auslesen einer XML-Datei

$doc = [xml] (Get-Content -Path h:\WIP\dokumente\websites.xml) $Sites = $doc.Websites.Website $Sites | select URL, Beschreibung

Um die besondere XML-Unterstützung der PowerShell nutzen zu können, muss die PowerShell wissen, welche Variablen ein XML-Dokument enthalten. Daher ist die Typkonvertierung mit [xml] in der ersten Zeile sehr wichtig. Abbildung 22.6 Ergebnis der Auswertung des XML-Dokuments

XML-Dateien verändern Das nächste Skript ergänzt einen Eintrag in einer XML-Datei unter Verwendung der Methode CreateElemente() und AppendChild(). Dieses Beispiel zeigt, dass es aber auch Ecken in der PowerShell gibt,

die etwas komplizierter sein können. Weil die Unterelemente eines XMLKnotens als Attribute der .NET-Klasse, welche die PowerShell verarbeitet, dargestellt werden, können – zur Vermeidung von Namenskonflikten – die Attribute der Metaklasse System.Xml.Node (bzw. abgeleiteter Klassen) nicht mehr direkt dargestellt werden. Diese Attribute sind nur über ihre Getter und Setter verfügbar. Dies bedeutet, dass man mit dem PowerShell-Skript den Inhalt eines Knotens nicht über $knoten.Innertext = "xyz" setzen kann, sondern etwas umständlicher über $knoten._set_Innertext("xyz") aufrufen muss. Listing 22.8 Ergänzen einer XML-Datei

Export-Datei für PowerShellPipeline-Objekt in XML-Form (Export-CliXml)

"Vorher" $doc = [xml] (Get-Content -Path h:\demo\buch\websites.xml) $doc.Websites.Website | select URL,Beschreibung "Nachher" $site = $doc.CreateElement("Website") $url = $doc.CreateElement("URL") $url.set_Innertext("www.powershell-doktor.de") $beschreibung = $doc.CreateElement("Beschreibung") $beschreibung.set_Innertext("Community-Website zur PowerShell") $site.AppendChild($url) $site.AppendChild($Beschreibung) $doc.Websites.AppendChild($site) $doc.Websites.Website | select URL,Beschreibung $doc.Save("h:\demo\buch\websites_neu.xml") "Dokument gespeichert!"

Die PowerShell verwendet ein eigenes XML-Format („CLIXML“), mit dem die Objekt-Pipeline in XML-Form (durch Export-CliXml) persistiert werden kann, sodass diese später wiederhergestellt werden kann. Der folgende Befehl speichert die Objektliste der laufenden Systemdienste. Die Abbildung 22.7 zeigt das Ergebnis. Get-Service | Where-Object {$_.status -eq "running"} | export-clixml j:\demo\dokumente\dienste.xml

994

Dokumente & Datenbanken Abbildung 22.7 Ausschnitt aus der Serialisierung einer PowerShell-Pipeline

Das Gegenstück zur Wiederherstellung der Pipeline ist Import-CliXml. Import-CliXml j:\demo\dokumente\dienste.xml | Get-Member

22.2.5

HTML-Dokumente

Das Commandlet Convert-Html konvertiert die Objekte der Pipeline in Convert-Html eine HTML-Tabelle. Der folgende Befehl speichert die Diensteliste als HTML-Datei. Get-Service | ConvertTo-Html name,status -title "Diensteliste" -body "Liste der Dienste" | Set-Content j:\demo\dokumente\dienste.htm Abbildung 22.8 Ergebnis der Konvertierung in eine HTML-Tabelle

22

995


22.2.6 ADO.NET

Relationale Datenbanken

Die PowerShell besitzt keine Commandlets für den Datenbankzugriff und auch keinen Navigation Provider, obwohl es sich anbieten würde, auch Datenbanken ins Konzept der Navigation Provider einzubeziehen. Zum Datenbankzugriff kann man in der PowerShell auf ADO.NET zugreifen. ADO.NET ist die Weiterentwicklung der COM-Komponente ActiveX Data Objects (ADO). ADO.NET kann hier aus Platzgründen nicht ausführlich vorgestellt werden. Daher sei dazu auf [SCH07] verwiesen. Beispiel Das folgende PowerShell-Skript gibt aus einer Microsoft Access-

Datenbanktabelle alle Datensätze sortiert aus. Zum Einsatz kommt dabei der OLEDB-Provider für ADO.NET, der im .NET Framework ab Version 1.0 enthalten ist. WICHTIG: Da es keinen 64-Bit-Treiber für Access-Datenbanken gibt, müssen Sie alle PowerShell-Befehle, die auf Access-Datenbanken zugreifen, auf einem 64-Bit-System in der 32-Bit-Variante der PowerShell laufen lassen (siehe %systemroot%\Syswow64\WindowsPowerShell\V1.0). Listing 22.9 Datenbankzugriff mit dem OLEDBProvider für ADO.NET [Datenbankzugriffe 3.ps1]

# Eingabedaten $Conn = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=j:\db\ wordwidewings6.mdb;" $SQL = "Select * from users order by UserSurname" # Datenbank öffnen "Öffne die Datenbank..." $conn = New-Object System.Data.OLEDB.OLEDBConnection($Conn) $conn.open() "Zustand der Datenbank: " + $conn.State # SQL-Befehl ausführen "Befehl ausführen: " + $SQL $cmd = New-Object System.Data.OLEDB.OLEDBCommand($sql,$conn) $ada = New-Object System.Data.OLEDB.OLEDBDataAdapter($cmd) $ds = New-Object System.Data.DataSet $ada.Fill($ds, "Benutzer") | out-null $conn.close() "Anzahl der Tabellen im Dataset: " + $ds.Tables.Count "Anzahl der Datensätze in Tabelle 1: " + $ds.Tables[0].Rows.Count "Ausgabe der Daten:" $ds.Tables[0] | Select UserFirstName, UserSurname, userid

Es ist nicht möglich, analog zu XML-Dokumenten mit $ds.Tables[0] .Spaltenname zuzugreifen.

996

Registrierungsdatenbank (Registry) Abbildung 22.9 Ausgabe des Skripts

22.3 Registrierungsdatenbank (Registry) Für die Windows-Registrierungsdatenbank (Registry) steht in der Power- RegistrierungsShell ein PowerShell Provider zur Verfügung. Dies bedeutet, dass die Naviga- datenbanktions-Commandlets (Set-Location, Get-ChildItem, New-Item, Get-ItemProperty Navigation etc.) in der Registrierungsdatenbank zur Verfügung stehen.

22.3.1

Schlüssel auslesen

Die Unterschlüssel eines Registrierungsdatenbankschlüssels listet man auf mit: Get-Childitem hklm:\software (Alias: dir hklm:\software)

Man kann auch mit CD den aktuellen Pfad in die Registrierungsdatenbank verlegen Set-Location hklm:\software (Alias: cd hklm:\software)

und dann einfach mit Get-Childitem auflisten. Zugriff auf einen einzelnen Schlüssel der Registrierungsdatenbank erhält man mit:

22

Get-Item www.it-visions.de

bzw. mit absolutem Pfad: Get-Item hklm:\software\www.it-visions.de

997


Das Ergebnis sind .NET-Objekte des Typs Microsoft.Win32.RegistryKey. Get-Item liefert immer eine einzelne Instanz dieser Klasse. Get-ChildItem liefert keine, eine oder mehrere Instanzen. In die Registrierungsdatenbank wechselt man mit dem Befehl: Cd hklm:\software\www.it-visions.de

22.3.2

Schlüssel anlegen und löschen

Einen Schlüssel in der Registrierungsdatenbank erzeugt man mit: New-Item –path hklm:\software -name "www.IT-Visions.de"

oder md –path hklm:\software\www.IT-Visions.de New-Item steht auch als md zur Verfügung. md ist jedoch kein Alias, son-

dern eine eingebaute Funktion. Man kann ganze Schlüssel kopieren mit Copy-Item: Copy-Item hklm:\software\www.IT-Visions.de hklm:\software\ www.IT-Visions.de_Backup

Einen Schlüssel aus der Registrierungsdatenbank zusammen mit allen enthaltenen Werten löscht man mit: Remove-Item "hklm:\software\www.IT-Visions.de" –Recurse

22.3.3 New-PSDrive

Abkürzungen definieren

Durch das Definieren eines neuen PowerShell-Laufwerks kann man eine Abkürzung zum schnellen Zugang zu Schlüsseln definieren: New-PSDrive -Name ITV -PSProvider Registry -Root hklm:\software\ www.it-visions.de

Danach kann man anstelle von Get-Item hklm:\software\www.IT-Visions.de

auch schreiben: Get-Item itv:

Zwei solcher Abkürzungen sind bereits vordefiniert (siehe Tabelle 22.2). Tabelle 22.2 Definierte Abkürzungen für RegistrierungsdatenbankHauptschlüssel

998

HKLM

HKEY_LOCAL_MACHINE

HKCU

HKEY_CURRENT_USER

Registrierungsdatenbank (Registry)

22.3.4

Werte anlegen und löschen

Einen Zeichenkettenwert zu einem Schlüssel legt man an mit: New-Itemproperty -path "hklm:\software\www.IT-Visions.de" -name "Inhaber" -value "Dr. Holger Schwichtenberg" -type string

New-Itemproperty

Einen Zahlenwert zu einem Schlüssel legt man an mit: New-Itemproperty -path "hklm:\software\www.IT-Visions.de" -name "Gruendungsjahr" -value 1996 -type DWord

Eine Mehrfachzeichenkette zu dem Schlüssel legt man an mit: $Websites = "www.IT-Visions.de", "www.IT-Visionen.de", "hs.ITVisions.de" New-Itemproperty -path "www.IT-Visions.de" -name "Websites" -value $Websites -type multistring

Einen Binärwert zu dem Schlüssel legt man an mit: $Werte = Get-Content H:\demo\PowerShell\Registry\www.IT-Visions.de_ Logo.jpg -encoding byte New-Itemproperty -path "www.IT-visions.de" -name "Logo" -value $Werte -type binary Abbildung 22.10 Ergebnis der Registrierungsdatenbank operationen

Die folgende Tabelle zeigt alle möglichen Datentypen und deren Verwendung in der PowerShell. Registry-Datentyp

Bedeutung

Typbezeichner

Verarbeitung in der PowerShell

REG_BINARY

Array von Byte

Binary

Byte[]

REG_DWORD

Zahl

DWord

Int

REG_EXPAND_SZ

Zeichenkette mit Platzhaltern

Multistring

String[]

REG_MULTI_SZ

Mehrere Zeichenketten

ExpandString

String

REG_SZ

Einfache Zeichenkette

String

String

Tabelle 22.3 Datentypen in der Registrierungsdatenbank

22

Einen bestehenden Wert ändert man mit Set-ItemProperty: # Wert verändern $Websites = "www.IT-Visions.de", "www.IT-Visionen.de", "hs.ITVisions.de", "IT-Visions.de" set-itemproperty -path "www.IT-Visions.de" -name "Websites" -value $Websites -type multistring

999


Einen Wert aus einem Registrierungsdatenbankschlüssel löscht man mit Remove-ItemProperty: Remove-ItemProperty -path "hklm:\software\www.IT-Visions.de" -name "Inhaber"

22.3.5 Get-ItemProperty

Werte auslesen

Die vorhandenen Werte in einem Registrierungsdatenbankschlüssel listet man auf mit: Get-ItemProperty -Path "hklm:\software\www.IT-Visions.de"

Den Inhalt eines einzelnen Eintrags bekommt man durch: (get-item "hklm:\software\www.IT-Visions.de").GetValue("Inhaber")

oder (Get-ItemProperty "hklm:/software/firmenname").Inhaber

22.3.6

Praxisbeispiel

Das folgende Skript speichert Daten über Website-Konfiguration in der Registrierungsdatenbank. Abbildung 22.11 Eingabedaten

Abbildung 22.12 Ergebnis

Listing 22.10 Werte aus einer CSV-Datei in der Registrierungsdatenbank speichern [Registry_ Websites.ps1]

# Registry-Schlüssel anlegen aus CSV-Daten $Pfad = "hklm:/software/Websites" if (Test-Path $Pfad) { del $Pfad -recurse -force } if (!(Test-Path $Pfad )) { md $Pfad } $Websiteliste = Get-Content "H:\demo\PowerShell\Registry\ webserver.txt" foreach($Website in $WebsiteListe) { $WebsiteDaten = $Website.Split(";") md ($Pfad + "\" + $WebsiteDaten[0]) New-Itemproperty -path ($Pfad + "\" + $WebsiteDaten[0]) -name "IP" -

1000

Computerverwaltung value $WebsiteDaten[1] -type String New-Itemproperty -path ($Pfad + "\" + $WebsiteDaten[0]) -name "Port" value $WebsiteDaten[2] -type dword New-Itemproperty -path ($Pfad + "\" + $WebsiteDaten[0]) -name "Pfad" value $WebsiteDaten[3] -type String $WebsiteDaten[0] + " angelegt!" }

22.4 Computerverwaltung Für Informationen über den Computer gibt es kein eigenes Commandlet. Wichtige Informationen über den Computer und das installierte Betriebssystem erhält man mit den WMI-Klassen Win32_Computersystem und Win32_ Operatingsystem.

Win32_ Computersystem, Win32_ Operatingsystem

Get-Wmiobject win32_Computersystem Get-Wmiobject win32_Operatingsystem

Die Seriennummer des Betriebssystems erhält man mit: Get-Wmiobject Win32_OperatingSystem | select serialnumber

Die Versionsnummer des Betriebssystems erhält man über das Attribut Version in der WMI-Klasse Win32_OperatingSystem oder über die .NETKlasse System.Environment: Get-Wmiobject Win32_OperatingSystem | select Version System.Environment]::OSVersion

Informationen über das BIOS gewinnt man über die WMI-Klasse Win32_ Bios: Get-Wmiobject win32_bios

Die Startkonfiguration steht in Win32_BootConfiguration: Get-Wmiobject Win32_BootConfiguration

Das Windows-Systemverzeichnis steht wieder in System.Environment: "Systemverzeichnis: "+ [System.Environment]::SystemDirectory

Den Status der Windows-Produktaktivierung findet man hier: Get-Wmiobject Win32_WindowsProductActivation

Es gibt auch Daten über die gewählten Wiederherstellungsoptionen des Windows-Betriebssystems: Get-Wmiobject Win32_OSRecoveryConfiguration

Die Umgebungsvariablen erhält man über das PowerShell-Laufwerk „ env“:

22

dir env:

Die Information über eine einzelne Umgebungsvariable erhält man, indem man den Namen der Umgebungsvariablen an den Pfad anfügt, z.B.: dir env:/Path

1001


Möchte man nur den Inhalt einer Umgebungsvariablen wissen, verwendet man am besten Get-Content: Get-Content env:/Path

Den Wert, den Get-Content zurückliefert, kann man in eine Variable speichern und diese weiterverwenden, z.B. zum Aufspalten der Path-Zeichenkette mithilfe der Split()-Methode aus der .NET-Klasse System.String: $Pfade = Get-Content env:/Path $Pfade.Split(";")

Wenn Sie wissen wollen, wie viele Dateien es in den Suchpfaden von Windows gibt, wäre folgender Befehl einzugeben: (Get-Content env:/Path).Split(";") | Get-Childitem | measure-object Abbildung 22.13 Auflisten der Umgebungsvariablen

22.5 Hardwareverwaltung Informationen über die installierte Hardware erhält man innerhalb der Windows PowerShell über WMI, also über die Verwendung des Commandlets Get-WmiObject zusammen mit der entsprechenden WMI-Klasse (siehe Tabelle 22.4). Hardwarebaustein

PowerShell-Befehl

Prozessoren

Get-Wmiobject Win32_Processor

Hauptspeicher

Get-Wmiobject Win32_MemoryDevice

Grafikkarte

Get-Wmiobject Win32_VideoController

Soundkarte

Get-Wmiobject Win32_SoundDevice

Festplatten

Get-Wmiobject Win32_Diskdrive

Bandlaufwerke

Get-Wmiobject Win32_Tapedrive

Optische Laufwerke (CD/DVD)

Get-Wmiobject Win32_CDRomdrive

Tabelle 22.4: Abruf von Hardwareinformationen in der PowerShell

1002

Softwareverwaltung

Hardwarebaustein

PowerShell-Befehl

Netzwerkkarten

Get-Wmiobject Win32_NetworkAdapter

USB-Controller

Get-Wmiobject Win32_USBController

Tastatur

Get-Wmiobject Win32_Keyboard

Maus

Get-Wmiobject Win32_PointingDevice

Tabelle 22.4: Abruf von Hardwareinformationen in der PowerShell (Forts.)

Die Anzahl der Prozessoren auf einem System erhält man auch über die .NET-Klasse System.Environment: "Anzahl der Prozessoren: " + [System.Environment]::ProcessorCount

22.6 Softwareverwaltung Zum Bereich Softwareverwaltung gehören: 왘 Inventarisierung der installierten Anwendungen 왘 Installieren von Anwendungen 왘 Deinstallieren von Anwendungen Für die Softwareverwaltung bietet die PowerShell keine eigenen Commandlets. Die WMI-Klasse Win32_Product mit Informationen über die installierten MSI-Pakete steht zur Verfügung, sofern der „WMI-Provider für Windows Installer“ installiert ist. Unter Windows Server 2003 ist dieser Provider eine Installationsoption von Windows und nicht mehr Standardinstallationsumfang. Win32_Product gilt aber nur für Anwendungen, die mit Windows Installer installiert wurden. Alle Anwendungen, die man in der Systemsteuerung sieht, bekommt man nur über den Schlüssel HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall der Registrierungsdatenbank.

22.6.1

Inventarisierung

Die Klasse Win32_Product liefert die installierten MSI-Pakete:

Win32_Products

Get-Wmiobject Win32_Product

Natürlich kann man filtern. Der folgende Befehl listet nur die MSI-Pakete, deren Namen mit a beginnen: Get-Wmiobject Win32_Product | where-object { $_.name -like "a*" }

Der zweite Filter sortiert alle MSI-Pakete heraus, deren Hersteller Microsoft ist:

22

Get-Wmiobject Win32_Product | where-object { $_.vendor -like "microsoft*" }

In einem Pipeline-Befehl kann man auch eine komplette Inventarisierungslösung schreiben, die nacheinander mehrere Computer gemäß einer Liste

1003


in einer Textdatei abgefragt hat und die gefundenen Anwendungen in eine CSV-Datei exportiert. get-content "computernamen.txt" | foreach { get-wmiobject win32_product -computername $_ } | where { $_.vendor -like "*Microsoft*" } | export-csv "Softwareinventar.csv" –notypeinformation

Noch etwas verfeinern kann man die Inventarisierungslösung, indem man vor dem Zugriff auf den Computer mit einem Ping prüft, ob der Computer überhaupt erreichbar ist, um die lange Timeout-Zeit von WMI zu vermeiden. Da hierzu dann ein Pipelining-Befehl nicht mehr ausreicht und man ein Skript braucht, kann man auch direkt die Lösung besser parametrisieren. Listing 22.11 Softwareinventarisierung per PowerShell-Skript [Softwareinventar3. ps]

######################################## # Das PowerShell-Script inventarisiert die installierte Software # eines Herstellers auf n Computersystemen # (C) Dr. Holger Schwichtenberg ######################################## $Hersteller = "*Microsoft*" $Eingabedateiname = "computernamen.txt" $Ausgabedateiname = "Softwareinventar.csv" # Import der Computernamen $Computernamen = Get-Content "computernamen.txt" $Computernamen | foreach { if (Ping($_)) { Write-Host "Inventarisiere Software für Computer $_ ..." # Auslesen der installierten MSI-Pakete auf allen Computern $Software = foreach { get-wmiobject win32_product -computername $_ } | where { $_.vendor -like $Hersteller } # Export in CSV $Software | export-csv "Softwareinventar.csv" -notypeinformation } else { Write-Error "Computer nicht erreichbar!" } } # Ping ausführen function Ping { $status = Get-WmiObject Win32_PingStatus -filter "Address='$args[0]'" | select StatusCode return $status.Statuscode -eq 0 }

1004

Softwareverwaltung

Die Liste der installierten Softwareaktualisierungen (Patches, Hotfixes) erhält man mit: Get-Wmiobject Win32_Quickfixengineering

Die installierten Audio-/Video-Codecs kann man sich so anzeigen lassen: Get-Wmiobject Win32_CodecFile | Select group,name Win32_Product gilt aber nur für Anwendungen, die mit Windows Installer installiert wurden. Alle Anwendungen, die man in der Systemsteuerung sieht, bekommt man nur über den Schlüssel HKLM:\SOFTWARE\Microsoft\ Windows\CurrentVersion\Uninstall der Registrierungsdatenbank heraus. Get-ChildItem HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\ Uninstall

Vereinfachen kann man den Zugang dorthin, indem man ein neues PowerShell-Laufwerk definiert: New-PSDrive -Name Software -PSProvider Registrierungsdatenbank -Root HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

Danach kann man einfach schreiben: Get-ChildItem Software:

Beim Filtern muss man in jedem Fall beachten, dass die Eigenschaften (z.B. DisplayName, Comments und UninstallString) keine Attribute des Objekts vom Typ Microsoft.Win32.RegistryKey sind, sondern Unterelemente dieses Objekts. Daher muss GetValue() verwendet werden für den Zugriff auf die Daten. Get-ChildItem Software: | Where-Object -FilterScript { $_.GetValue("DisplayName") -like "a*"} | ForEach-Object -Process {$_.GetValue("DisplayName") , $_.GetValue("Comments"), $_.GetValue("UninstallString") } Abbildung 22.14 Auflisten der installierten Software, die mit „a“ beginnt

22

Programme, die beim Systemstart automatisch gestartet werden, findet man in Win32_StartupCommand: Get-Wmiobject Win32_StartupCommand

1005


22.6.2 Install()

Installation von Anwendungen

Eine skriptbasierte Installation ist bei vielen Anwendungen möglich, allerdings ist die Vorgehensweise abhängig von der verwendeten Installationstechnologie. Microsoft liefert in WMI eine Installationsunterstützung für Installationspakete, die auf Windows Installer (Alias Microsoft Installer), abgekürzt MSI, basieren. WMI erlaubt den Aufruf des Microsoft Installers, um ein beliebiges MSIPaket zu installieren. Die Klasse Win32_Product bietet dazu die Methode Install() an. Die Methode erwartet einen oder drei Parameter: 왘 den Pfad zu dem MSI-Paket, 왘 an das Paket zu übergebende Kommandozeilenparameter, 왘 die Entscheidung, ob die Anwendung für alle Benutzer (True) oder nur den angemeldeten Benutzer (False) installiert werden soll. Zu beachten ist, dass die Install()-Methode eine statische Methode der WMI-Klasse Win32_Product ist. Eine Ferninstallation ist möglich unter Bezugnahme auf diese Klasse auf einem entfernten System.

Listing 22.12 Installation eines MSI-Pakets [Software_Installation.ps1]

$Anwendung = "H:\demo\PS\Setup_for_HelloWorld_VBNET.msi" "Installiere Anwendung..." + $Anwendung (Get-WmiObject -ComputerName E01 -List | Where-Object -FilterScript {$_.Name -eq "Win32_Product"}).Install($Anwendung) "Fertig!"

22.6.3 Uninstall()

Listing 22.13 Deinstallation eines MSI-Pakets [Software_ Installation.ps1]

Deinstallation von Anwendungen

Die WMI-Klasse Win32_Product bietet auch eine Uninstall()-Methode ohne Parameter zur Deinstallation von MSI-Paketen. Zu beachten ist, dass zur Identifizierung der zu deinstallierenden Anwendung nicht der Name des Installationspakets, sondern der Anwendungsname (Name oder Caption) oder der GUID (IdentifyingNumber) anzugeben ist. Im Fall von Setup_for_HelloWorld_VBNET.msi ist der Name „Hello World VB.NET“. $Name = "Hello World VB.NET" "Starte Deinstallation..." $Ergebnis = (Get-WmiObject -Class Win32_Product -Filter "Name='$Name'" -ComputerName E01).Uninstall().Returnvalue if ($Ergebnis -ne 0) { Write-Error "Deinstallationsfehler: $Ergebnis"; Exit } "Deinstallation beendet!"

Zu jeder Anwendung ist in der Registrierungsdatenbank ein sogenannter Uninstall-String angegeben, der sagt, was man ausführen muss, um die Anwendung zu deinstallieren. Dies funktioniert auch für nicht MSIbasierte Anwendungen. Der folgende Befehl listet die Deinstallationsanweisungen für alle Anwendungen auf, deren Name mit „a“ beginnt. Get-ChildItem -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\ Uninstall | Where-Object -FilterScript { $_.GetValue("DisplayName") -like "a*"}

1006

Softwareverwaltung | ForEach-Object -Process {$_.GetValue("DisplayName"), $_.GetValue("UninstallString") }

22.6.4

Praxisbeispiel: Installationstest

Das folgende Skript installiert zum Test eine Anwendung und deinstalliert sie dann direkt wieder. Am Beginn, nach der Installation und am Ende wird jeweils geprüft, ob die Anwendung installiert ist. Abbildung 22.15 Ausgabe des Skripts

function Get-IsInstall($Application, $Computer) { $a = (Get-WmiObject -Class Win32_Product -Filter "Name='$Application'" -Computer $Computer) return ($a -ne $null) }

Listing 22.14 [Software_ Testinstallation.ps1]

$Name = "Hello World VB.NET" $Computer = "E01" $Paket = "H:\demo\PowerShell\Software und Prozesse\Setup_for_ HelloWorld_VBNET.msi" "-----------------------------------------------------------------" "Test-Installation und -Deinstallation der Anwendung..." + $Name "-----------------------------------------------------------------" "Ausgangszustand: Installiert?: " + (Get-IsInstall $Name $Computer) "Starte Installation des Pakets " + $Paket $Ergebnis = ([WMIClass] "Win32_Product").Install($Paket).Returnvalue if ($Ergebnis -ne 0) { Write-Error "Installationsfehler: $Ergebnis"; Exit } "Installation beendet!" "Zwischenstand: Installiert?: " + (Get-IsInstall $Name $Computer) "Starte Deinstallation..." $Ergebnis = (Get-WmiObject -Class Win32_Product -Filter "Name='$Name'" -ComputerName E01).Uninstall().Returnvalue if ($Ergebnis -ne 0) { Write-Error "Deinstallationsfehler: $Ergebnis"; Exit } "Deinstallation beendet!"

22

"Endstand: Installiert?: " + (Get-IsInstall $Name $Computer)

1007


22.6.5 GetFileVersionInfo

Versionsnummer

Die Versionsnummer einer ausführbaren Datei ermittelt man über Get-FileVersionInfo aus den PSCX (siehe Bildschirmabbildung). Das Commandlet liefert eine Instanz der .NET-Klasse System.Diagnostics.FileVersionInfo.

Abbildung 22.16 Get-FileVersionInfo

22.7 Prozessverwaltung Get-Process

Das Commandlet Get-Process (Aliase ps oder gps) wurde schon in Kapitel 21 sehr häufig verwendet. Es liefert Instanzen der .NET-Klassen System. Diagnostics.Process. Liste der Prozesse Eine Liste aller Prozesse erhält man mit: Get-Process

Informationen zu einem Prozess liefert der folgende Befehl: Get-Process iexplore

Eine Liste aller Prozesse, die mit einem „ i“ anfangen, erhält man so: Get-Process i*

1008

Druckerverwaltung Prozesse beenden Einen Prozess beenden kann man wahlweise durch Aufruf der Kill()-Methode: Get-Process | Where-Object { $_.name -eq "iexplore" } | Foreach-Object { $_.Kill() }

oder prägnanter durch das Commandlet Stop-Process: Stop-Process -name iexplore Stop-Process erwartet als Parameter normalerweise die Prozessnummer. Stop-Process

Wenn man den Prozessnamen angeben will, muss man den Parameter -name verwenden. Weitere Beispiele: 왘 Beenden aller Prozesse, deren Name mit „ P“ anfängt: Get-Process p* | Stop-Process 왘 Beenden aller Prozesse, die mehr als 10 Megabyte RAM verbrauchen:

Get-Process | where { $_.WS -gt 10M } | stop-process Warten auf das Beenden einer Anwendung Mit den folgenden Befehlen

WaitForExit()

wartet die PowerShell darauf, dass Microsoft Outlook beendet wird: $p = Get-Process outlook if ($p) { $p.WaitForExit() "Outlook wurde beendet!" } else { "Outlook war nicht gestartet!" }

Listing 22.15 Warten auf das Ende eines Prozesses [WartenAufOutlook.ps1]

22.8 Druckerverwaltung Der Befehl

Win32_Printer

Get-Wmiobject Win32_Printer

liefert eine Liste der verfügbaren Drucker. Mit

Win32_Printjob

Get-Wmiobject Win32_Printjob

zeigt man alle aktuellen Druckaufträge.

22

Mit dem folgenden Befehl hält man alle Druckaufträge für einen bestimmten Drucker an: Get-Wmiobject Win32_Printjob -Filter "Drivername='HP LaserJet 2100 PCL6'" | foreach-object { $_.pause() }

1009


22.9 Systemdienste Get-Service

Eine Liste der Systemdienste in Form von Instanzen der .NET-Klasse System. ServiceProcess.ServiceController liefert das Commandlet Get-Service. Die Liste der laufenden Systemdienste erhält man mit: Get-Service | Where-Object {$_.status –eq "running"}

Die Liste der gestoppten Dienste liefert dementsprechend: Get-Service | Where-Object {$_.status –eq "stopped"}

Man kann per Skript prüfen, ob ein Dienst installiert ist: Listing 22.16 Prüfung, ob der IIS installiert ist [Dienste.ps1]

$service = Get-Service -name iisadmin if ( ! $service ) { "IIS is not installed on this computer." } else { "SQL Server is " + $service.Status }

Leider war die Fernabfrage eines anderen Systems mit Get-Service ebenso wie mit den anderen eingebauten Commandlets der PowerShell 1.0 nicht möglich. Ab PowerShell 2.0 ist dies unterstützt: $service = Get-Service -name iisadmin –computer F171

Wenn man die abhängigen Dienste eines Dienstes ermitteln will, muss man auf die Eigenschaft DependentServices des .NET-Objekts System. ServiceProcess.ServiceController zugreifen: get-service iisadmin | % { $_.DependentServices }

Das Ergebnis für Windows Server 2003 Release 2 zeigt die Abbildung 22.17. Abbildung 22.17 Die von IISAdmin abhängigen Dienste

Abhängige Systemdienste ermitteln

Die abhängigen Dienste eines Systemdienstes kann man alternativ auch in WMI ermitteln, durch die Methode GetRelated() in der Klasse ManagementObject in der .NET-Klassenbibliothek. Der folgende Befehl ermittelt die Dienste, die von dem Dienst "IISAdmin" abhängig sind. (Get-WmiObject win32_service -filter "Name = 'iisadmin'"). GetRelated($null,"Win32_DependentService",$null,$null,$null, "Antecedent",$false,$null) | select name

Die gleiche Objektmenge erhält man auch über eine WQL-Abfrage mit Bezug auf den feststehenden Ausdruck AssocClass: ([WmiSearcher]"Associators of {Win32_Service.Name='iisadmin'} Where AssocClass=Win32_DependentService Role=Antecedent").get()

1010

Netzwerk Abbildung 22.18 Ermitteln der abhängigen Dienste

Zur Beeinflussung des Dienststatus stehen folgende Commandlets zur Weitere DienstCommandlets Verfügung: Suspend-ServiceDabei ist jeweils der Dienstname als Parameter anzugeben.

Der folgende Befehl startet also den Dienst "IISAdmin": Start-Service IISADMIN

Bei Systemdiensten, die abhängige Dienste besitzen, ist außerdem –force hinzuzufügen: Start-Service IISADMIN –force

Da das Commandlet Start-Service nur für den lokalen Computer wirkt, muss man auf die WMI-Klasse Win32_Service zurückgreifen, um einen Dienst auf einem entfernten System zu starten. Der folgende Befehl startet einen Systemdienst auf einem anderen Rechner: Get-WmiObject -computer E02 Win32_Service -Filter "Name='Alerter'" | Start-Service

Das Commandlet Restart-Service führt einen Neustart eines Dienstes (erst stoppen, dann starten) durch. Wenn der Dienst nicht gestartet war, wird er gestartet. Die Eigenschaften von Diensten, z.B. die Startart, beeinflusst man über Set-Service: Set-Service IISADMIN -startuptype "manual"

22.10 Netzwerk 22.10.1 Ping Zur Prüfung der Erreichbarkeit eines Computers kann man die WMI- Win32_ PingStatus Klasse Win32_PingStatus einsetzen:

22

Get-WmiObject Win32_PingStatus -filter "Address='www.WindowsScripting.de'" | select protocoladdress, statuscode, responsetime

Die PowerShell Community Extensions (PSCX) bieten auch ein Commandlet Ping-Host, das eine Datenstruktur des Typs Pscx.Commands.Net.PingHostStatistics liefert: ping-host 'www.Windows-Scripting.de'

1011

Kapitel 22 Systemautomatisierung mit der PowerShell Abbildung 22.19 Anwendung von Ping-Host

22.10.2 Netzwerkkonfiguration IP-Adressen auflisten

In Win32_NetworkAdapterConfiguration sind die IP-Adressen als ein Array in IpAddress abgespeichert. Get-Wmiobject Win32_NetworkAdapterConfiguration -Filter "IPEnabled=true" | select Description,IPAddress

IP-Adresse vergeben

Die WMI-Klasse Win32_NetworkAdapterConfiguration ermöglicht auch zahlreiche Einstellungen für die Netzwerkkarten. Das folgende PowerShell-Skript wechselt für eine Netzwerkkarte zwischen DHCP und statischer IP-Adresse.

Listing 22.17 Änderung der Netzwerkkonfiguration

1012

# Wechsel zwischen DHCP und statischer IP-Adresse $config = Get-WmiObject Win32_NetworkadapterConfiguration -Filter "IPEnabled=true" | where { $_.Description -like "*Controller #2*" } "DHCP-Status Vorher: " + $Config.dhcpenabled Get-WmiObject Win32_Networkadapterconfiguration -Filter "IPEnabled=true" | select Description,IPAddress if (!$Config.dhcpenabled) { "Aktiviere DHCP..." $Config.EnableDHCP() } else { "Aktiviere Statische IP-Adresse..." [array] $ip = "192.168.1.15" [array] $subnet = "255.255.255.0" $Config.EnableStatic($ip, $subnet) }

Netzwerk $config = Get-WmiObject Win32_NetworkadapterConfiguration -Filter "IPEnabled=true" | where { $_.Description -like "*Controller #2*" } "DHCP-Status nachher: " + $Config.dhcpenabled Get-WmiObject Win32_Networkadapterconfiguration -Filter "IPEnabled=true" | select Description,IPAddress Abbildung 22.20 Ausgabe des Beispiels bei zweimaligem Aufruf

Die WMI-Methode EnableStatic() funktioniert nur, wenn die Netzwerkkarte aktiviert ist.

22.10.3 Abruf von Daten von einem HTTP-Server Das folgende Skript zeigt, wie man eine HTML-Seite von einem Webserver System.Net. abruft. Zum Einsatz kommt hier die Klasse System.Net.WebClient aus der WebClient .NET-Klassenbibliothek. Diese Klasse bietet eine Methode DownloadString() an, die den Inhalt der angegebenen URL in einer Zeichenkette liefert. Mithilfe des Commandlets Set-Content wird die Zeichenkette dann abgelegt im lokalen Dateisystem. Die letzten vier Zeilen sind die Fehlerbehandlung, die dafür sorgt, dass bei Fehlern in dem Skript eine Meldung ausgegeben wird. # Eingabeparameter $Url = "http://www.powershell-doktor.de" $Ziel = "c:\temp\hauptseite.htm" # Script Write-Host "Lade Webseite " $url "..." $html = (new-object System.Net.WebClient).DownloadString($Url) $html | Set-Content -Path $ziel Write-host "Heruntergeladene Seite wurde gespeichert unter " $Ziel

Listing 22.18 Herunterladen einer Datei per HTTP [HTTP-Download.ps1]

trap [System.Exception] { write-host "Fehler beim Laden der URL: `"$url`"" `n exit }

22

Das nächste Beispiel zeigt, wie man die Titel der letzten acht Nachrichten aus einem RSS-Feed (Weblog) abruft. Auch hier kommt wieder DownloadString() aus der Klasse System.Net.WebClient zum Einsatz. Da der Inhalt in XML-Form vorliegt, ist eine Auswertung über die direkte Notation $blog.RDF.item möglich.

1013

Kapitel 22 Systemautomatisierung mit der PowerShell Abbildung 22.21 Beispiel für ein RSSDokument

Listing 22.19 Laden und Filtern eines RSS-Feeds [RSS-Download.ps1]

Write-Host "Aktuelle Nachrichten im Weblog von Dr. Holger Schwichtenberg:" $Url = "http://www.heise.de/ix/blog/1/blog.rdf" $blog = [xml](new-object System.Net.WebClient).DownloadString($Url) $blog.RDF.item | select title -first 8

22.11 Ereignisprotokolle GetEreignisprotokoll

Informationen über und aus Ereignisprotokollen stellt das Commandlet Get-EventLog bereit. Eine Liste der auf dem System verfügbaren Ereignisprotokolle liefert: Get-EventLog –list

System. Diagnostics. Ereignisprotokoll

Das Ergebnis sind Instanzen der Klasse System.Diagnostics.EventLog. Ruft man hingegen das Commandlet Get-EventLog ohne den Parameter -list und stattdessen mit dem Namen eines Ereignisprotokolls auf, liefert das Commandlet alle Einträge in dem Ereignisprotokoll in Form von Objekten des Typs System.Diagnostics.EventLogEntry. Get-EventLog Application

Hier ist eine Einschränkung sinnvoll, weil die Operation sonst sehr lange dauert. Das Commandlet besitzt eine eingebaute Filterfunktion: Get-EventLog Application -newest 30 Ereignisprotokoll einträge des heutigen Tages Listing 22.20 Protokolleinträge von heute [Datum.ps1]

1014

Mit einer kleinen Hilfsroutine ist es möglich, die Protokolleinträge auf die Einträge des heutigen Tages zu begrenzen: function isToday ([datetime]$date) {[datetime]::Now.Date -eq $date.Date} Get-EventLog Application -newest 2048 |where {isToday $_.TimeWritten}

Leistungsdaten

Oder alle Einträge der letzten drei Tage abzurufen: function isWithin([int]$days, [datetime]$Date) { [DateTime]::Now.AddDays($days).Date -le $Date.Date }

Listing 22.21 Protokolleinträge der letzten drei Tage [Datum.ps1]

get-EventLog Application |where {isWithin -3 $_.TimeWritten}

Interessant ist es, die Einträge nach Ereignisnummer zu gruppieren, um wiederkehrende Probleme zu identifizieren: Get-EventLog Application | Group-Object eventid | Sort-Object Count

22.12 Leistungsdaten WMI ermöglicht über den Performance Counters Provider Zugriff auf zahl- Win32_ reiche Leistungsdaten des Windows-Systems. Die Klassen beginnen mit PerfRawData der Zeichenfolge Win32_PerfRawData. Wenn Sie diese Klassen nicht finden, starten Sie den WMI-Dienst einmalig manuell an der Kommandozeile mit Winmgmt /resyncperf. Informationen über die Speichernutzung der laufenden Prozesse liefert: Get-Wmiobject Win32_PerfRawData_PerfProc_Process | select Name,Workingset

Daten über den verfügbaren Hauptspeicher gibt es hier: Get-Wmiobject Win32_PerfRawData_PerfOS_Memory

Die Auslastung des Prozessors kann man so auslesen: Get-Wmiobject Win32_PerfRawData_PerfOS_Processor Win32_PerfRawData ist die abstrakte Basisklasse über alle Leistungsdatenklassen. Den Befehl Get-WmiObject Win32_PerfRawData

sollten Sie aber nicht ausführen, da Sie sonst sehr, sehr viele Objekte erhalten.

22.13 Sicherheitseinstellungen Ressourcen wie Dateisystemobjekte und Registrierungsdatenbankeinträge werden durch Zugriffsrechtelisten (Access Control Lists – ACLs) geschützt. Die PowerShell bietet zwei eingebaute Commandlets für die Arbeit mit ACLs:

22

왘 Get-Acl 왘 Set-Acl

Diese erledigen die Grundfunktionen des Ladens und Speicherns einer Zugriffsrechteliste abhängig von dem abgegebenen Ressourcenpfad. Der-

1015


zeit unterstützt werden aber nur das Dateisystem und die Registrierungsdatenbank. Neben den o.g. Commandlets ist auch Wissen aus dem .NET-Namensraum System.Security.AccessControl erforderlich.

22.13.1 Grundlagen Der Namensraum enthält zahlreiche Klassen zur Verwaltung von Berechtigungen (Access Control Lists, ACLs). Dieser Namensraum wird insbesondere von den Klassen System.IO.File, System.IO.Directory, Microsoft.Win32.RegistryKey und System.Threading.Semaphore verwendet. Für jede Art von Ressource, deren ACLs verwaltet werden können, bietet der Namensraum AccessControl eine Klasse an, die von System.Security. AccessControl.ObjectSecurity abgeleitet ist. Beispielsweise dient System. Security.AccessControl.FileSecurity dazu, die ACLs einer Datei im Dateisystem zu lesen und zu verarbeiten. Die folgende Abbildung zeigt diese Klassen im Vererbungsbaum der .NETKlassenbibliothek. Die anderen dort genannten Ressourcen (z.B. Active Directory) können derzeit noch nicht über Get-Acl abgefragt werden. Hier ist aber eine direkte Ansprache über die .NET-Klassenbibliothek möglich.

Abbildung 22.22: Vererbungshierarchie der Klassen zur ACL-Speicherung

Über die gesamte .NET-Klassenbibliothek verteilt findet man Klassen, die eine Methode GetAccessControl() besitzen, die ein von der Klasse ObjectSecurity abgeleitetes Objekt liefert. Beispiele für solche Klassen sind: 왘 System.IO.File 왘 System.IO.Directory

1016

Sicherheitseinstellungen 왘 System.IO.FileInfo 왘 System.IO.DirectoryInfo 왘 Microsoft.Win32.RegistryKey 왘 System.Threading.Semaphore

Die Basisklasse ObjectSecurity vererbt u.a. folgende Mitglieder, sodass diese in allen untergeordneten Klassen zur Verfügung stehen: 왘 GetOwner(): ermittelt den Besitzer des Objekts 왘 SetOwner(): setzt den Besitzer 왘 GetAccessRules(): liefert eine Liste der Rechteeinträge (Access Control Entry – ACE). Der Rückgabewert hat den Typ AuthorizationRuleCollection. Die enthaltenen Elemente sind vom Ressourcentyp abhängig (z.B. FileSystemAccessRule oder RegistryAccessRule). 왘 GetAuditRules(): liefert die Einträge der System-ACL (SACL). 왘 IsSddlConversionSupported: zeigt an, ob die Zugriffsrechteliste in SDDL ausgedrückt werden kann. 왘 GetSecurityDescriptorSddlForm(): Liefert die Zugriffsrechteliste als SDDLZeichenkette. Kontenname und SID Der Namensraum System.Security.AccessControl verwendet Klassen aus System.Security.Principal zur Darstellung der Berechtigungsträger (Benutzer und Gruppen). System.Security.Principal

unterstützt die beiden in Windows bekannten Bezeichner für Berechtigungsträger: 왘 Prinzipalname (z.B. „ ITVisions\hs“) durch die Klasse System.-Security.Principal.NTAccount 왘 Security Identifier (z.B. S-1-5-21-565061207-3232948068-1095265983-

500) durch die Klasse System.Security.Principal.SecurityIdentifier. Jeder Benutzer und jede Benutzergruppe besitzen einen sogenannten Security Identifier (kurz: SID), der den Benutzer bzw. die Gruppe eindeutig identifiziert. Ein SID ist ein Zahlen-Array variabler Länge. In Textform wird der SID mit einem beginnenden „ S“ dargestellt.

22.13.2 Zugriffsrechtelisten auslesen Get-Acl liefert abhängig vom Ressourcentyp Instanzen folgender .NET-

Klassen: 왘 System.Security.AccessControl.DirectorySecurity (für Verzeichnisse) 왘 System.Security.AccessControl.FileSecurity (für Dateien) 왘 System.Security.AccessControl.RegistrySecurity (für Registrierungs-

22

datenbankschlüssel) Get-Acl erwartet als Parameter den Pfad der Ressource, deren Zugriffs-

rechteliste ermittelt werden soll, z.B.: Get-Acl hklm:/software/www.IT-visions.de Get-Acl g:\daten\kunden Get-Acl g:\daten\kunden\Kundenliste.csv

1017


Die Standardausgabe erfolgt mit Format-Table. Die Ausgabe mit FormatList bietet sich an, damit die Ausgabe besser lesbar ist. Die folgende Bildschirmabbildung zeigt die Anwendung von Get-Acl auf ein Verzeichnis im Dateisystem. Die zweite Bildschirmabbildung zeigt die gleiche Zugriffsrechteliste im Windows Explorer. Abbildung 22.23 Beispiel für das Auslesen einer ACL

Abbildung 22.24 Tatsächliche Einstellungen

Access (siehe Abbildung 22.23) ist keine Eigenschaft der .NET-Klasse ObjectSecurity, sondern ein PowerShell Code Property, intern wird hier GetAccessRules() aufgerufen. Der Rückgabewert ist in beiden Fällen eine AuthorizationRuleCollection.

1018

Sicherheitseinstellungen

22.13.3 Einzelne Rechteeinträge auslesen Möchte man die einzelnen Rechteeinträge eines Systembausteins genauer betrachten, dann sollte man selbst über die Rechteliste iterieren. Die von Access bzw. GetAccessRules() gelieferte Liste des Typs AuthorizationRuleCollection enthält im Falle des Dateisystems Objekte vom Typ FileSystemAccessRule. Diese Objekte enthalten wiederum folgende Attribute: 왘 IdentityReference: Subjekt (Benutzer oder Gruppe), das Rechte hat 왘 FileSystemRights: Rechte 왘 AccessControlType: Rechteart (erlaubt oder verboten) 왘 IsInherited: zeigt an, ob die Regel geerbt ist 왘 InheritanceFlags: zeigt die Art der Vererbung nach unten an Benutzerkonten können in zwei Formen ausgedrückt werden: im Klartext oder durch Security Identifiers (SIDs). Bei der Verwendung von GetAccessRules() muss man angeben, wie man die Benutzer sehen will: [System. Security.Principal.NTAccount] (Klartext) oder [System.Security. Principal.SecurityIdentifier] (SID). Davor besitzt die Methode noch zwei Parameter, mit denen man steuern kann, welche Regeln man sehen will: die explizit auf dem Objekt gesetzten Regeln (erste Parameter) und/ oder die vererbten Regeln (zweite Parameter). Die expliziten ACEs erscheinen immer zuerst in der Liste. Der Zugriff auf das Code Property Access ist gleichbedeutend mit GetAccessRules($true, $true, [System.Security.Principal.NTAccount]). Möchte man andere Informationen, muss man GetAccessRules() explizit nutzen. In dem folgenden Beispiel werden beim zweiten Ausgeben der Liste nur die geerbten Regeln in SID-Form aufgeführt. $a = Get-Acl g:\daten\kunden # Rechte als NT-Konten holen $aces =$a.access # entspricht: $aces =$a.GetAccessRules($true, $true, [System.Security.Principal.NTAccount])

Listing 22.22 Details aus ACEs auslesen

Write-Host "Alle Regeln:" -F yellow foreach ($ace in $aces) { write-host $ace.IdentityReference.ToString() "hat Zugang" $ACE.FileSystemRights $ACE.AccessControlType "Vererbt?" $ACE.IsInherited } $aces =$a.GetAccessRules($true, $false, [System.Security.Principal.SecurityIdentifier])

22

Write-Host "Nur die expliziten Regeln, in SID-Form:" -F yellow foreach ($ace in $aces) { write-host $ace.IdentityReference.ToString() "hat Zugang"

1019

Kapitel 22 Systemautomatisierung mit der PowerShell $ACE.FileSystemRights $ACE.AccessControlType "Vererbt?" $ACE.IsInherited } Abbildung 22.25 Ausgabe des obigen Skripts

22.13.4 Besitzer auslesen Den Besitzer eines Systembausteins liest man über das Code Property Owner aus dem von ObjectSecurity abgeleiteten und von der PowerShell erweiterten Objekt aus, das Get-Acl zurückgibt. Alternativ kann man auch Get-Owner() verwenden und hat dabei wieder die Wahl der Form. Zwischen den beiden Formen der Benutzerdarstellung kann man auch mithilfe der Translate()-Methode konvertieren. Listing 22.23 Besitzerinformationen auslesen

"Besitzerinformationen:" $a = Get-Acl g:\daten\kunden $a.Owner $a.GetOwner([System.Security.Principal.NTAccount]).Value $a.GetOwner([System.Security.Principal.SecurityIdentifier]).Value # Übersetzen zwischen Kontoname und SID $konto = $a.GetOwner([System.Security.Principal.NTAccount]) $konto.Translate([system.security.principal.securityidentifier]).value # Übersetzen zwischen SID und Kontoname $konto = $a.GetOwner([System.Security.Principal.SecurityIdentifier]) $konto.Translate([system.security.principal.NTAccount]).value

22.13.5 Benutzer und SID Möchte man für einen beliebigen Benutzer dessen SID ermitteln, kann man auch eine Instanz von System.Security.Principal.NtAccount unter Angabe des Benutzernamens in Textform erzeugen und dann Translate() aufrufen.

Umwandeln zwischen Benutzername und SID Das folgende Skript zeigt die Umwandlung eines Prinzipalnamens in einen SID und umgekehrt mithilfe der Methode Translate() in der Klasse IdentityReference, welche die Basisklasse für NTAccount und SecurityIdentifier ist.

1020

Sicherheitseinstellungen # Umwandlung zwischen Kontoname und SID

Listing 22.24 SID ermitteln

# Hole Konto $Account = new-object system.security.principal.ntaccount("itv\hs") # Übersetze in SID $SID = $Account.Translate([system.security.principal.securityidentifier]). value $SID # Übersetze in Kontonamen $Account = new-object system.security.principal.securityidentifier ("S-1-5-32-544") $Name = $Account.Translate([system.security.principal.ntaccount]).value $Name

Well-Known Security Identifier verwenden In Windows eingebaute Benutzer und Gruppen besitzen einen sogenannten Well-Known Security Identifier. .NET 2.0 stellt eine Auflistung System .Security.Principal.WellKnownSidType bereit, die man zur Instanziierung der Klasse SecurityIdentifier einsetzen kann. Man umgeht damit die sprachspezifischen Unterschiede des Betriebssystems („Guests“/„Gäste“). # Bekannte Konten $SID = [System.Security.Principal.WellKnownSidType]::BuiltinAdministratorsSid $Account = new-object system.security.principal.securityidentifier($SID, $null) $Name = $Account.Translate([system.security.principal.ntaccount]).value $Name

Listing 22.25 Zugriff auf ein Konto über die SID

Einige eingebaute Benutzer und Gruppen beinhalten den SID der Domäne in ihrem eigenen SID. In diesem Fall muss bei der Instanziierung der Klasse SecurityIdentifier der Domänen-SID mit angegeben werden. Leider schweigt sich die Dokumentation darüber aus, woher man den DomainSID mit .NET-Methoden bekommt. Auch im WWW findet man noch kein Beispiel dafür.

SDDL verwenden Eine andere Möglichkeit zum Zugriff auf eingebaute Benutzer und Gruppen besteht in der Verwendung der in der Security Descriptor Definition Language (SDDL) definierten Abkürzungen für die eingebauten Benutzer und Gruppen (siehe Tabelle). # SDDL-Namen $Account = new-object System.Security.Principal.SecurityIdentifier("BA") $Account.Value

Listing 22.26 Ermitteln einer SID aus einem SDDL-Kürzel

1021

22


SDDL-Abkürzung

Bedeutung

"AO"

Account operators

"AN"

Anonymous logon

"AU"

Authenticated users

"BA"

Built-in administrators

"BG"

Built-in guests

"BO"

Backup operators

"BU"

Built-in users

"CA"

Certificate server administrators

"CG"

Creator group

"CO"

Creator owner

"DA"

Domain administrators

"DC"

Domain computers

"DD"

Domain controllers

"DG"

Domain guests

"DU"

Domain users

"EA"

Enterprise administrators

"ED"

Enterprise domain controllers

"WD"

Everyone

"PA"

Group Policy administrators

"IU"

Interactively logged-on user

"LA"

Local administrator

"LG"

Local guest

"LS"

Local service account

"SY"

Local system

"NU"

Network logon user

"NO"

Network configuration operators

"NS"

Network service account

"PO"

Printer operators

"PS"

Personal self

"PU"

Power users

"RS"

RAS servers group

"RD"

Terminal server users

"RE"

Replicator

"RC"

Restricted code

"SA"

Schema administrators

"SO"

Server operators

"SU"

Service logon user

Tabelle 22.5: SDDL-Abkürzungen für eingebaute Benutzer und Gruppen

1022


22.13.6 Hinzufügen eines Rechteeintrags zu einer Zugriffsrechteliste Das folgende Skript zeigt das Ergänzen eines Rechteeintrags zu einer Rechteliste einer Datei im Dateisystem. Neue Rechteobjekte vom Typ FileSystemAccessRule benötigen fünf Angaben: 왘 Kontoobjekt (NTAccount-Objekte oder SecurityIdentifier-Objekte) 왘 Zu vergebende Rechte (Werte aus der FileSystemRights-Aufzählung) 왘 Ziele der Vererbung (Werte aus der InheritanceFlags-Aufzählung) 왘 Art der Vererbung (Wert aus der PropagationFlags-Aufzählung) 왘 Art der Regel: Erlauben oder Verbieten (Wert aus der AccessControlType-Aufzählung) Das folgende Skript gewährt einem Benutzer Leserechte auf ein Verzeichnis. # ACL schreiben: Lese- und Schreibrechte fuer einen Benutzer setzen

Listing 22.27 ACE anfügen

# Eingabedaten $DIR = "g:\daten\kunden" $BENUTZER = "HS" # Hole ACL $ACL = Get-Acl $DIR "ACL vorher:" $acl | format-list # ACE definieren $Rights = [System.Security.AccessControl.FileSystemRights] "ReadData, ReadExtendedAttributes, ReadAttributes, ReadPermissions" $Access=[System.Security.AccessControl.AccessControlType]::Allow $Inherit=[System.Security.AccessControl.InheritanceFlags]:: ContainerInherit ` -bor [System.Security.AccessControl.InheritanceFlags]::ObjectInherit $Prop=[System.Security.AccessControl.PropagationFlags]::InheritOnly $AccessRule = new-object System.Security.AccessControl.FileSystemAccessRule ` ($BENUTZER,$Rights,$Inherit,$Prop,$Access) # ACE an ACL anfügen $ACL.AddAccessRule($AccessRule) # ACL speichern set-acl -AclObject $ACL -Path $DIR

22

# Kontrolle $ACL = Get-Acl $DIR "ACL nachher:" $acl | format-list

1023

Kapitel 22 Systemautomatisierung mit der PowerShell Abbildung 22.26 Ausführung des Skripts, das einem Benutzer Leserechte gewährt

Abbildung 22.27 Ansicht der Rechte im Windows Explorer

Wenn in einem Parameter mehrere Flags zu setzen sind, sind diese mit einem binären Oder zu verknüpfen (Operator -bor in der PowerShellSprache). $Rights= [System.Security.AccessControl.FileSystemRights]::Read ` -bor [System.Security.AccessControl.FileSystemRights]:: ReadExtendedAttributes ` -bor [System.Security.AccessControl.FileSystemRights]:: ReadAttributes ` -bor [System.Security.AccessControl.FileSystemRights]:: ReadPermissions

1024


Prägnanter kann man die Aufzählungswerte auch in eine durch Kommata getrennte Zeichenkette schreiben. $Rights = [System.Security.AccessControl.FileSystemRights] "ReadData, ReadExtendedAttributes, ReadAttributes, ReadPermissions"

22.13.7 Entfernen eines Rechteeintrags aus einer Zugriffsrechteliste Zum Entfernen eines Rechteeintrags (Access Control Entry – ACE) aus der Zugriffsrechteliste dient die Methode RemoveAccessRule(), die von Native-ObjectSecurity an alle Rechteklassen vererbt wird. Die Methode erwartet als Parameter ein Objekt vom Typ AccessContolEntry. Möchte man alle Einträge zu einem Benutzer entfernen, kann man Purge-AccessRules() unter Angabe eines Benutzerkontoobjekts (nicht des Kontonamens!) verwenden. Das folgende Skript löscht aus einer Zugriffsrechteliste alle Rechteein- Beispiel 1 träge zu einem bestimmten Benutzer. # ACL schreiben: Alle ACEs eines Benutzers loeschen # Eingabedaten $DIR = "g:\daten\kunden" $BENUTZER = "itv\HS" $Count = 0

Listing 22.28 ACL schreiben: Alle ACEs eines Benutzers löschen

# Kontrollausgabe $acl = Get-Acl $DIR "ACL vorher:" $acl | format-list # ACL holen $acl = Get-Acl g:\daten\kunden $Account = new-object system.security.principal.ntaccount("itv\hs") $acl.PurgeAccessRules($Account) set-acl -AclObject $ACL -Path $DIR # ACL speichern set-acl -AclObject $ACL -Path $DIR # Kontrollausgabe $acl = Get-Acl $DIR "ACL nachher:" $acl | format-list

22

Das folgende Skript löscht aus einer Zugriffsrechteliste alle Rechteeinträge, Beispiel 2 in denen das Lese- und Ausführungsrecht ("ReadAndExecute") vergeben wurde.

1025

Kapitel 22 Systemautomatisierung mit der PowerShell Listing 22.29 Aus einer Zugriffsrechteliste alle Rechteeinträge löschen, in denen das Leseund Ausführungsrecht („ReadAndExecute“) steht

# ACL schreiben: Aus einer Zugriffsrechteliste alle Rechteeinträge löschen, in denen das Lese- und Ausführungsrecht ("ReadAndExecute") steht # Eingabedaten $DIR = "g:\daten\kunden" $BENUTZER = "itv\HS" $Count = 0 # Kontrollausgabe $acl = Get-Acl $DIR "ACL vorher:" $acl | format-list # ACL holen $acl = Get-Acl g:\daten\kunden # Zugriff auf ACEs $aces =$acl.GetAccessRules($true, $true, [System.Security.Principal.NTAccount]) # Schleife über alle ACEs foreach ($ace in $aces) { write-host $ace.IdentityReference.ToString() "hat Zugang" $ACE.FileSystemRights $ACE.AccessControlType "Vererbt?" $ACE.IsInherited # Selektives Löschen if ($ace.FileSystemRights.ToString() -match "ReadAndExecute") { "...wird entfernt!" $Ergebnis = $acl.RemoveAccessRule($ace) if ($Ergebnis) { echo "Wurde entfernt!"; $Count++ } } } # ACL speichern set-acl -AclObject $ACL -Path $DIR echo ($Count.ToString() + " ACEs wurden entfernt!") # Kontrollausgabe $acl = Get-Acl $DIR "ACL nachher:" $acl | format-list

22.13.8 Zugriffsrechteliste übertragen Get-Acl, Set-Acl

1026

Durch die Kombination von Get-Acl und Set-Acl kann man auf einfache Weise eine Zugriffsrechteliste von einem Dateisystemobjekt auf ein anderes übertragen.

Sicherheitseinstellungen # Übertragen einer ACL von einer Datei auf eine andere Get-Acl g:\daten\kunden | Set-Acl g:\daten\lieferanten

Listing 22.30 Dateisystem_ACL_ uebertragen.ps1

# Übertragen einer ACL von einer Datei auf eine Menge von Dateien $acl = Get-Acl g:\Daten\kunden Get-ChildItem g:\Daten | foreach-object { set-acl $_.Fullname $acl; "Übertragen auf $_" }

22.13.9 Zugriffsrechteliste über SSDL setzen Die Security Descriptor Definition Language (SDDL) ist ein Textformat zur Beschreibung von Access Control Lists (ACLs) mit einzelnen ACEs in Windows (eingeführt mit Windows 2000). Ein Beispiel für eine SDDL-Zeichenkette ist: O:BAG:DUD:PAI(A;;FA;;;BA)(A;OICI;0x1600a9;;;S-1-5-21-1973890784140174113-2732654181-1188)(A;OICI;0x1200a9;;;S-1-5-21-1973890784140174113-2732654181-1189)

Beispiel Das folgende Skript nutzt SDDL zur Übertragung einer Zugriffsrechteliste von einem Verzeichnis auf ein anderes. Zwischenzeitlich wird die Zugriffsrechteliste im Dateisystem gespeichert, sodass man Auslesen und Setzen zeitlich entkoppeln könnte. # Übertragen einer ACL via SDDL $QUELLE = "g:\daten\kunden" $ZIEL = "g:\daten\lieferanten"

Listing 22.31 [Dateisystem_ SDDL.ps1]

function replace-acl { Param ( $sObject, $sSDDL ) $acl = Get-Acl $sObject $acl.SetSecurityDescriptorSddlForm($sSDDL) Set-Acl -aclObject $acl $sObject } # SDDL lesen und in Textdatei speichern (Get-Acl $QUELLE).SDDL > g:\Daten\acl.txt

22

# SDDL aus Textdatei lesen $sddl = Get-Content g:\Daten\acl.txt replace-acl $ZIEL $sddl "Folgende Rechte wurden übertragen: " + $sddl

1027


22.14 Active Directory ADPowerShell

Windows Server 2008 Release 2 enthält ein Active Directory-PowerShellModul mit 76 Commandlets und einem Navigationsprovider. Das Modul wird bei Microsoft „Active Directory PowerShell“ (kurz: ADPowerShell) genannt. Das Modul kann man im Rahmen des Zusatzes „Microsoft Remote Server Administration Tools – RSAT“ auch auf Windows 7 installieren, um ein Active Directory zu verwalten.

22.14.1 Architektur und Installation ADWS

Das Active Directory-Modul nutzt für den Zugriff auf einen Domänencontroller nicht das LDAP-Protokoll, sondern Webservices. Voraussetzung ist daher, dass auf dem Domänencontroller die Active Directory Web Services (ADWS) installiert sind. ADWS werden automatisch auf einem Windows Server 2008 R2-Domänencontroller installiert. ADWS basieren auf der .NET-Kommunikationsinfrastruktur „ Windows Communication Foundation (WCF)“ und diversen W3C-Standards wie WSTransfer sowie Microsoft-eigenen Erweiterungen (z.B. WS-Enumeration).

Abbildung 22.28 Das Schaubild zeigt den Weg vom Active Directory Administrative Center (ADAC) über die PowerShell und WCF bis zum Dienst lsass.exe (für Active Directory Domain Services) bzw. dsmain.exe (für Lightweight Directory Services). [Quelle: http:// blogs.msdn.com/ adPowerShell/ archive/2009/04/06/ active-directoryweb-services-over- ADWS verwendet TCP-Port 9389 und ist implementiert im Windowsview.aspx] Systemdienst „ ADWS“ (Microsoft.ActiveDirectory.WebServices.exe). Das

Installationsverzeichnis ist C:\Windows\ADWS. Die Konfiguration ist möglich über Microsoft.ActiveDirectory.WebServices.exe.config.

1028

Active Directory

Abbildung 22.29: Der Systemdienst „Active Directory Web Services“ (Microsoft.ActiveDirectory.WebServices.exe), der ADWS realisiert

Tipp: Beim Auftreten des Fehlers „Unable to find a default server with Active Directory Web Services running.“ prüfen Sie, ob der ADWSDienst läuft und erreichbar ist. ADWS sind für Windows Server 2008 (mit SP1 oder SP2) sowie Windows ADMGS Server 2003 R2 (mit SP2) als Zusatzkomponenten verfügbar. Dazu muss man dort den „Active Directory Management Gateway Service“ (ADMGS) installieren. ADMGS basiert auf .NET Framework 3.5, das vorher installiert sein muss. Zum Redaktionsschluss dieses Buchs waren die ADMGS nur als Vorabversion über [CONNECT01] zu beziehen. Hinweis: ADMGS entspricht hinsichtlich der Funktionalität ADWS unter Windows Server 2008 R2. Warum hier zwei Namen notwendig waren, bleibt schleierhaft. Auf einem Windows Server 2008 R2, der nicht Domänencontroller ist, kann man das ADPowerShell-Modul einzeln installieren (RSAT steht hier für „Remote Server Administration Tools“): import-module servermanager Add-WindowsFeature -Name "RSAT-AD-PowerShell" -IncludeAllSubFeature

Unter Windows 7 kann man das AD-Modul ebenfalls nutzen (zum Zugriff RSAT auf entsprechend ausgestattete Domänencontroller). Hier muss man die Microsoft Remote Server Administration Tools (RSAT) für Windows 7 installieren und danach unter den optionalen Features das „Active Directory Module for Windows PowerShell“ aktivieren (siehe Bildschirmabbildung).

22

1029

Kapitel 22 Systemautomatisierung mit der PowerShell Abbildung 22.30 Aktivieren von ADPowerShell in Windows 7

22.14.2 Aktivieren des Active Directory-Moduls Das Active Directory-Modul ist im Standard nicht aktiv, wenn man die Windows PowerShell 2.0 auf Windows Server 2008 R2 oder Windows 7 mit installiertem RSAT startet. Es gibt zwei Möglichkeiten: 왘 Start des Eintrags „Active Directory-Module für Windows PowerShell“ unter „ Administrative Tools“ im Startmenü. Dies startet eine PowerShell-Konsole mit aktiviertem Active Directory-Modul. Abbildung 22.31 Active DirectoryWerkzeuge in Windows Server 2008 R2

왘 Eingabe von „ Import-Module ActiveDirectory“ in einer normalen

PowerShell-Konsole. Wie die folgende Bildschirmabbildung zeigt, erhöht sich die Anzahl der Commandlets/Funktionen um 76 und die Anzahl der Navigationsprovider um eins.

1030

Active Directory Abbildung 22.32 Veränderungen nach dem Import des Moduls

22.14.3 Active Directory-Navigationsprovider Der PowerShell-Navigationsprovider für das Active Directory trägt den AD: Namen „ActiveDirectory“. Auf einem Windows Server 2008 R2 Domänencontroller oder einem Windows 7-System mit aktiviertem ADPowerShellModul wird durch die Aktivierung des Active Directory-Moduls automatisch ein Laufwerk „AD:“ eingerichtet, das zur Wurzel des Active Directory, dem Element „rootDSE“, führt. Unter diesem existieren der DefaultNamingContext, der ConfigurationNamingContext und der SchemaNamingContext (vgl. Kapitel 22.14.4). Abbildung 22.33 Ausführung von Dir AD:

Wichtig: Zu beachten ist, dass zur Navigation im Active Directory der Provider nicht den Namen, sondern den DN (Distinguished Name) verwendet. Falsch ist also: Dir ad:\FBI

(auch wenn die Anzeige von DIR ad: dies suggeriert), sondern richtig ist: Dir ad:\"dc=FBI,dc=org"

(mit den Anführungszeichen!) Abbildung 22.34 Auflisten des DefaultNamingContext im Active Directory „FBI.org“

22

1031

Kapitel 22 Systemautomatisierung mit der PowerShell Abbildung 22.35 Auflisten der Organisationseinheit „Agents“ im Active Directory „FBI.org“

Man kann mit CD den aktuellen Pfad ins Active Directory setzen cd ad:"ou=Agents,dc=FBI,dc=org"

oder einen neuen Laufwerksnamen definieren: New-PSDrive -Name Agents -PSProvider ActiveDirectory -Root AD:"ou=Agents,dc=FBI,dc=org" Dir Agents:

Mit Get-Item kann man gezielt auf einzelne Active Directory-Einträge zugreifen. Allerdings stellt man schnell fest, dass man auf diesem Wege nur die Basisinformationen für einen Eintrag, nicht aber die spezifischen Attribute erreichen kann. Abbildung 22.36 Einsatz von GetItem

Abbildung 22.37 PowerShellPlus offenbart, dass es keine spezifischen Objektinformationen über den Navigationsprovider gibt.

1032

Active Directory

22.14.4 Objektmodell Die Commandlets des ADPowerShell-Moduls bieten mehr Möglichkeiten als der Provider. Die Commandlets verwenden ein eigenes Objektmodell zur Abbildung der ADS-Strukturen. Die Vererbungshierarchie der Datenklassen im Active Directory-Modul entspricht nicht der Vererbungshierarchie im Active Directory-Schema. Im AD-Schma ist z.B. „Computer“ eine Spezialisierung von „User“. Im ADPowerShell-Objektmodell sind ADUser und ADComputer auf gleicher Ebene Unterklassen von ADAccount. Abbildung 22.38 Das Vererbungsmodell der Datenklassen im Active Directory-Modul (Quelle: Hilfe zum Modul „ADPowerShell“)

Abbildung 22.39 Im ADS-Schema ist „Computer“ eine Unterklasse von „User“ (hier angezeigt im Werkzeug ADSI Edit).

Die Datenklassen besitzen zwei Arten von Attributen: 왘 Direkt aus dem Active Directory stammende Attribute (z.B. ObjectClass, City, GivenName). Die Attribute haben zum Teil von den LDAPNamen abweichende Bezeichnungen (z.B. „ City“ statt „ l“). 왘 Zusammengesetzte Attribute, die mehrere Daten aus dem Active Directory zusammenfassen. Ein Beispiel dafür ist ProtectedFromAccidentalDeletion. Dieser Boolean-Wert (Ja-/Nein-Wert) ergibt sich aus nTSecurityDescriptor, sdRightsEffective, instanceType und isDeleted.

22

1033

Kapitel 22 Systemautomatisierung mit der PowerShell Tabelle 22.6 Abbildung von LDAP-Namen auf Namen im ADModul

Name des Attributs im AD-Modul

LDAP-Name

Name

name

ObjectClass

objectClass

ObjectGUID

objectGUID

CN

cn

DistinguishedName

distinguishedName

DisplayName

displayName

Description

description

Title

title

Surname

sn

GivenName

givenName

City

l

StreetAddress

street

Country

c

Office

physicalDeliveryOfficeName

Fax

facsimileTelephoneNumber

EmailAddress

mail

SamAccountName

sAMAccountName

HomeDrive

homeDrive

HomeDirectory

homeDirectory

ProfilePath

profilePath

ProtectedFromAccidentalDeletion

nTSecurityDescriptor, sdRightsEffective, instanceType, isDeleted

22.14.5 Überblick über die Commandlets Arten von Commandlets im ADPowerShellModul

1034

Die beim Active Directory-PowerShell-Modul mitgelieferten Commandlets lassen sich in drei Gruppen unterteilen: 왘 Allgemeine Verwaltungscommandlets 왘 Kontenverwaltung (Organisationseinheiten, Benutzer, Gruppen, Computer) mit den Untergruppen: Lebenszyklusverwaltung Kontoeigenschaftenverwaltung Dienstkontenverwaltung Gruppenmitgliedschaftsverwaltung Kennwortrichtlinienverwaltung 왘 Topologieverwaltung Verwaltung der Domänen und Wälder Verwaltung der Domänencontroller Verwaltung der optionalen Features Verwaltung der Replikationsrichtlinien

Active Directory

In dem folgenden Schaubild sind zusätzlich die allgemeinen PowerShellCommandlets für die Providerverwaltung erwähnt. Abbildung 22.40 Post der Commandlets aus dem Active Directory-PowerShell-Modul [Quelle: http:// blogs.msdn.com/ adPowerShell/ archive/2009/03/05/ active-directoryPowerShelloverview.aspx]

22.14.6 Allgemeine Verwaltungscommandlets Das Active Directory-Modul stellt folgende allgemeine Commandlets bereit, mit denen sich Active Directory-Objekte unabhängig von der Verzeichnisdienstklasse verwalten lassen: 왘 Get-ADObject: Holt ein AD-Objekt 왘 Set-ADObject: Setzt Werte in einem AD-Objekt 왘 New-ADObject: Erzeugt ein neues AD-Objekt (unter Angabe des Klassennamens) 왘 Remove-ADObject: Löscht ein AD-Objekt 왘 Rename-ADObject: Umbennenen eines AD-Objekts 왘 Move-ADObject: Verschieben eines AD-Objekts 왘 Restore-ADObject: Wiederherstellen eines gelöschten AD-Objekts

22

Das folgende Listing zeigt ein Skript, das eine Organisationseinheit löscht, an einem anderen Ort unter anderem Namen wieder anlegt, dann verschiebt und umbenennt.

1035

Kapitel 22 Systemautomatisierung mit der PowerShell Listing 22.32 Beispielskript für den Einsatz der allgemeinen ADCommandlets

"Delete and Recreate an OU....." $ou = Get-ADObject "ou=Agents,dc=FBI,dc=org" $ou | fl Set-adobject "ou=Agents,dc=FBI,dc=org" protectedFromAccidentalDeletion $false Remove-ADObject "ou=Agents,dc=FBI,dc=org" -confirm:$false -recursive New-ADObject -type "OrganizationalUnit" ProtectedFromAccidentalDeletion $false -name "Alien-Agents" -Path "ou=Aliens,dc=FBI,dc=org" "Move an OU..." Move-ADObject -Identity "ou=Alien-Agents,ou=Aliens,dc=FBI,dc=org" targetpath "dc=FBI,dc=org" Rename-ADObject "ou=Alien-Agents,dc=FBI,dc=org" -newname "Agents" # Option #1 Set-ADObject "ou=Agents,dc=FBI,dc=org" -description "FBI Agents" # Option #2 Set-ADObject "ou=Agents,dc=FBI,dc=org" -replace @{ManagedBy="cn=Walter Skinner,ou=Directors,dc=fbi,dc=org"} # Option #3 $newou = Get-ADObject "ou=Agents,dc=FBI,dc=org" $newou.ManagedBy = "cn=Walter Skinner,ou=Directors,dc=fbi,dc=org" Set-ADObject -instance $newou "Ergebnis:" $ou = Get-ADObject "ou=Agents,dc=FBI,dc=org" $ou | fl

Interessant im obigen Listing sind vor allem die drei Wege, auf denen SetADObject arbeitet: 왘 Option 1: Es gibt einige wenige AD-Attribute bzw. Attribute der ADModul-Klassen, die Parameter des Commandlets Set-ADObjekt sind (z.B. Description und ProtectedFromAccidentalDeletion). Diese können direkt gesetzt werden. 왘 Option 2: Andere Attribute können entweder unter Angabe im „ Replace“-Parameter gesetzt werden (hier z.B. „ Managedby“). 왘 Option 3: Oder diese Attribute können in objektorientierter Vorgehensweise in das Objekt geschrieben werden. Set-ADObject sorgt dann für die Übermittlung der Änderungen an das AD. Wichtig: Das Commandlet Remove-ADObject bietet leider nicht den sonst üblichen Parameter –Force, mit dem man schreibgeschützte AD-Einträge („ ProtectedFromAccidentalDeletion“) einfach löschen kann. Daher muss man vorher ProtectedFromAccidentalDeletion = $false setzen, da sonst Remove-ADObject mit einem Fehler abbrechen könnte!

1036

Active Directory

22.14.7 Filtern und Suchen Mit Get-ADObject kann man Objekte suchen. Dabei bietet ADPowerShell LDAP-Filtersyntax wahlweise die LDAP-Filtersyntax (mit Präfix-Notation) oder eine vereinfachte Infix-Notation an, die an die PowerShell-Ausdruckssyntax angelehnt ist. Mit –searchbase legt man den Ausgangspunkt der Suche fest, z.B.: -searchbase "ou=agents,dc=fbi,dc=org"

Mit –searchscope legt man die Tiefe der Suche fest. Erlaubt sind: Base, OneLevel und SubTree, z.B.: -SearchScope SubTree

Der folgende Befehl liefert aus dem aktuellen Active Directory-Pfad die ersten fünf Einträge, deren Name mit „ F“ beginnt. Get-ADObject -Filter 'Name -like "f*"' -SearchScope SubTree resultSetsize 5

Der folgende Befehl liefert alle Einträge, was durch $null bei resultSetsize anzugeben ist (im Standard würden sonst nur die ersten 1000 ausgegeben!). Get-ADObject -Filter 'Name -like "f*"' -SearchScope SubTree resultSetsize $null

Der folgende Befehl listet alle Einträge auf, in denen der Vorname mit „F“ und der Nachname mit „ M“ beginnt. Get-ADObject -Filter 'givenname -like "f*" -and sn -like "m*"' SearchScope SubTree -resultSetsize $null

Wichtig: Man muss die LDAP-Attributnamen (z.B. „ sn“) verwenden, nicht die Attributnamen der PowerShell (wie „ surname“). Anstelle der moduleigenen Filtersyntax kann man auch die LDAP-Suchsprache verwenden. Das folgende Beispiel sucht korrekt in allen Benutzerkonten, die mit „ F“ beginnen. Get-ADObject -LDAPFilter '(&(objectCategory=person)(objectClass=user)(name=f*))' -SearchScope SubTree -resultSetsize $null

Die gleichzeitige Verwendung von objectCategory und objectClass in der Suchanfrage steigert die Leistung. Die Tabelle zeigt die PowerShell-Filter und die äquivalenten LDAP-Filter. PowerShell-Operator LDAP-Operator

Beschreibung

-eq

=

Gleich

-ne

!x=y

Ungleich

-like

=

Mustergleichheit

-notlike

!x=y

Musterungleichheit

22

Tabelle 22.7: Vergleich der Filtersprachen (Quelle: [MSBlog01])

1037


PowerShell-Operator LDAP-Operator

Beschreibung

-le

= y

Kleiner

-ge

>=

Größer gleich

-gt

! x

Windows 7 im Unternehmen: Das Handbuch fur Administratoren, 3. Auflage

Windows 7 für Administratoren: Das umfassende Handbuch

Microsoft Windows 7 Professional - Das Handbuch

Windows 7 fur Spateinsteiger

Bauherren-Handbuch, 7.Auflage

Microsoft SharePoint 2010 für Administratoren – Das Handbuch

Apache 2.2: Das umfassende Handbuch, 3. Auflage

Shell-Programmierung: Das umfassende Handbuch, 3. Auflage

Handbuch Bildungsforschung (3. Auflage)

Handbuch Projektmanagement, 3. Auflage

Handbuch Feuerverzinken 3. Auflage

Das Windows 7 Praxishandbuch

Handbuch fur Lebensmittelchemiker: Lebensmittel Bedarfsgegenstande Kosmetika Futtermittel, 3. Auflage

Handbuch Marketing-Controlling, 3.Auflage

Windows 7: Fur Umsteiger von Windows Vista und Windows XP

WordPress 3: Das umfassende Handbuch

Cuba (Handbuch für individuelles Entdecken), 7. Auflage

Debian GNU Linux: Das umfassende Handbuch, 3. Auflage

PHP 5.3 und MySQL 5.5: Das umfassende Handbuch, 3. Auflage

PHP 5.3 und MySQL 5.5: Das umfassende Handbuch, 3. Auflage

Visual Basic 2008: Das umfassende Handbuch, 3. Auflage

Webseiten programmieren und gestalten: Das umfassende Handbuch, 3. Auflage

Windows XP Professional. Das Handbuch GERMAN

Suchmaschinen-Optimierung: Das umfassende Handbuch, 5. Auflage

PC-Netzwerke: Das umfassende Handbuch, 5. Auflage

PC-Netzwerke: Das umfassende Handbuch, 5. Auflage

Handbuch Fur Lehrer

Tribologie-Handbuch: Reibung und Verschleiß, 3. Auflage

JavaScript: Das umfassende Handbuch, 10. Auflage

Handbuch Faserverbundkunststoffe Grundlagen, Verarbeitung, Anwendungen 3. Auflage

Handbuch Dieselmotoren, 3. Auflage (VDI-Buch)

Windows 7 im Unternehmen: Das Handbuch fur Administratoren, 3. Auflage

Windows 7 für Administratoren: Das umfassende Handbuch

Microsoft Windows 7 Professional - Das Handbuch

Windows 7 fur Spateinsteiger

Bauherren-Handbuch, 7.Auflage

Microsoft SharePoint 2010 für Administratoren – Das Handbuch

Apache 2.2: Das umfassende Handbuch, 3. Auflage

Shell-Programmierung: Das umfassende Handbuch, 3. Auflage

Handbuch Bildungsforschung (3. Auflage)

Handbuch Projektmanagement, 3. Auflage

Handbuch Feuerverzinken 3. Auflage

Das Windows 7 Praxishandbuch

Handbuch fur Lebensmittelchemiker: Lebensmittel Bedarfsgegenstande Kosmetika Futtermittel, 3. Auflage

Handbuch Marketing-Controlling, 3.Auflage

Windows 7: Fur Umsteiger von Windows Vista und Windows XP

WordPress 3: Das umfassende Handbuch

Cuba (Handbuch für individuelles Entdecken), 7. Auflage

Debian GNU Linux: Das umfassende Handbuch, 3. Auflage

PHP 5.3 und MySQL 5.5: Das umfassende Handbuch, 3. Auflage

PHP 5.3 und MySQL 5.5: Das umfassende Handbuch, 3. Auflage

Visual Basic 2008: Das umfassende Handbuch, 3. Auflage

Webseiten programmieren und gestalten: Das umfassende Handbuch, 3. Auflage

Windows XP Professional. Das Handbuch GERMAN

Suchmaschinen-Optimierung: Das umfassende Handbuch, 5. Auflage

PC-Netzwerke: Das umfassende Handbuch, 5. Auflage

PC-Netzwerke: Das umfassende Handbuch, 5. Auflage

Handbuch Fur Lehrer

Tribologie-Handbuch: Reibung und Verschleiß, 3. Auflage

JavaScript: Das umfassende Handbuch, 10. Auflage

Handbuch Faserverbundkunststoffe Grundlagen, Verarbeitung, Anwendungen 3. Auflage

Handbuch Dieselmotoren, 3. Auflage (VDI-Buch)

Recommend Documents