Windows Server 2008: Terminalserver reloaded

Transkript

1 Windows Server 2008: Terminalserver reloaded

2 Windows Server 2008: Terminalserver reloaded Neue Funktionen der Terminaldienste im Windows Server 2008 München, Dipl.-Inform. Christian Knermann Stellv. Leiter IT-Management

3 Agenda 1. Die Fraunhofer-Gesellschaft und Fraunhofer UMSICHT 2. Rollen und Features im Windows Server Benutzerprofile 4. Gruppenrichtlinien 5. Terminaldienste-Lizenzierung 6. Neue Funktionen der Terminaldienste 7. Fazit Seite 3

4 1. Die Fraunhofer-Gesellschaft Forschung und Entwicklung anwendungsorientierte Forschung und Grundlagenforschung Erfindungen Platz 11 unter deutschen Patentanmeldern (Platz 22 in Europa)* Unternehmertum 1/3 industrielle Auftragsforschung 1/3 öffentlich finanzierte Forschung 1/3 von Bund und Ländern für Vorlaufforschung Vertragspartner/Auftraggeber Industrie- und Dienstleistungsunternehmen öffentliche Hand * Quelle: Deutsches Patent- und Markenamt, Europäisches Patentamt Seite 4

5 1. Die Fraunhofer-Gesellschaft und Fraunhofer UMSICHT 56 Institute 1,3 Mrd. Budget ~ Mitarbeiter Seite 5

6 1. Die Fraunhofer-Gesellschaft und Fraunhofer UMSICHT 56 Institute 1,3 Mrd. Budget ~ Mitarbeiter Fraunhofer UMSICHT Gegründet 1990 Mitglied der FhG seit 1998 Betriebshaushalt 2007 ca. 17,9 Mio. ~300 Mitarbeiter Seite 6

7 1. Fraunhofer UMSICHT Abteilung»IT-Management«Planung, Betrieb und Betreuung der IT-Infrastruktur Softwareverteilung und -pflege Einsatz von Terminal Servern seit 1997 (WinFrame ) Competence Center Application Service Providing (CC-ASP) Unterstützung der FhI bei Einführung und Betrieb von SBC Workshops und Leitfäden zu aktuellen Themen Technology Review: Ausblick auf zukünftige Produkte technische und wirtschaftliche Aufgabenstellungen Seite 7

8 2. Rollen und Funktionen im Windows Server 2008»Server-Manager«als zentrale Administrationskonsole Installation von Rollen, Rollendiensten und Features Rolle: Feature: Primärer Einsatzzweck (z. B. Domain Controller, File Server) Zusatzfunktionen (z. B. PowerShell,.Net Framework, SNMP, GPMC) Nur notwendige Komponenten installieren Angriffsfläche minimieren Seite 8

9 2. Rollen und Funktionen im Windows Server 2008»Server-Manager«als zentrale Administrationskonsole Installation von Rollen, Rollendiensten und Features Rolle: Feature: Primärer Einsatzzweck (z. B. Domain Controller, File Server) Zusatzfunktionen (z. B. PowerShell,.Net Framework, SNMP, GPMC) Nur notwendige Komponenten installieren Angriffsfläche minimieren Seite 9

10 2. Rollen und Funktionen im Windows Server 2008»Server-Manager«als zentrale Administrationskonsole Installation von Rollen, Rollendiensten und Features Rolle: Feature: Primärer Einsatzzweck (z. B. Domain Controller, File Server) Zusatzfunktionen (z. B. PowerShell,.Net Framework, SNMP, GPMC) Nur notwendige Komponenten installieren Angriffsfläche minimieren Seite 10

11 2. Rollen und Funktionen im Windows Server 2008 Seite 11

12 3. Benutzerprofile Roaming Profiles Ł konsistente Arbeitsumgebung auf allen Terminal Servern Fehlerquelle seit Windows NT 4.0 Terminal Server Edition: o Offene Datei- und Registry-Handles Profile werden nicht entladen o Ordner für Benutzerdaten Teil des Profils Profile»blähen sich auf«o Zu große Profile werden nicht zurückgeschrieben Datenverlust o Gruppenrichtlinien werden nicht übernommen Frühere Lösungsansätze: o Microsoft UPHClean einsetzen ( o»verbiegen«von Pfaden (Desktop, Eigene Dateien, Eigene Bilder, ) HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders Seite 12

13 3. Benutzerprofile Neue Dienste unter Windows Vista und Server 2008: obenutzerprofildienst (ProfSvc) ogruppenrichtlinienclient (gpsvc) Komplettes Redesign der Profile: o Geänderte Pfade und Ordnernamen o Windows-Explorer lokalisiert Ordnernamen Anzeige»lügt«Profile inkompatibel zu früheren Windows-Versionen o Betriebssystem verwaltet alte und neue Profile getrennt Seite 13

14 3. Benutzerprofile Neue Dienste unter Windows Vista und Server 2008: obenutzerprofildienst (ProfSvc) ogruppenrichtlinienclient (gpsvc) Komplettes Redesign der Profile: o Geänderte Pfade und Ordnernamen o Windows-Explorer lokalisiert Ordnernamen Anzeige»lügt«Profile inkompatibel zu früheren Windows-Versionen o Betriebssystem verwaltet alte und neue Profile getrennt Seite 14

15 4. Gruppenrichtlinien Pfade nicht über Registry-Eingriff modifizieren!!! Windows Server bringt passende Gruppenrichtlinien mit: o Computerkonfiguration\Richtlinien\Administrative Vorlagen\System\Benutzerprofile o Benutzerkonfiguration\Richtlinien\Windows-Einstellungen\Ordnerumleitung Seite 15

16 4. Gruppenrichtlinien Terminal Server und Clients in eigene OUs platzieren GPOs auf diese OUs anwenden Computerkonfiguration\Richtlinien\Administrative Vorlagen\System\Benutzerprofile Seite 16

17 4. Gruppenrichtlinien Anwender in eigene OU platzieren GPO auf diese OU anwenden Benutzerkonfiguration\Richtlinien\Windows-Einstellungen\Ordnerumleitung Seite 17

18 4. Gruppenrichtlinien Anwender in eigene OU platzieren GPO auf diese OU anwenden Benutzerkonfiguration\Richtlinien\Windows-Einstellungen\Ordnerumleitung Seite 18

19 5. Terminaldienste-Lizenzierung Terminaldienste laufen ab Installation max. 120 Tage ohne Lizenzdienst TS-CALs zusätzlich zu OS-Lizenzen und CALs Lizenzierung pro»named User/Device«Seite 19

20 5. Terminaldienste-Lizenzierung Terminaldienste laufen ab Installation max. 120 Tage ohne Lizenzdienst TS-CALs zusätzlich zu OS-Lizenzen und CALs Lizenzierung pro»named User/Device«Lizenzdienst kann Lizenzen pro Benutzer und pro Gerät bereitstellen Terminaldienste-Lizenzierungsmodus pro Benutzer oder pro Gerät Pro Gerät-Lizenzen werden Active Directory-Konten der Clients zugeordnet Gerät defekt, formatiert, gestohlen, explodiert? o Lizenz wird erst nach Tagen wieder für andere Geräte freigegeben o Neu im Windows Server 2008: Manuelles Zurücksetzen möglich Seite 20

21 6. Neue Funktionen a) RDP 6.1 und die Benutzeroberfläche b) RemoteApp c) Single Sign-On d) Terminaldienste-Sitzungsbroker e) Terminaldienste-Webzugriff f) Terminaldienstegateway g) Terminaldienste Easy Print Seite 21

22 6.a) RDP 6.1 und die Benutzeroberfläche Remotedesktopverbindung 6.1 (Build ) o enthalten in Windows Server 2008, Vista SP1 und XP SP3 o separat verfügbar für XP SP2 ( Voraussetzung für die neuen Funktionen (RemoteApp, Easy Print, ) Nutzung mehrerer Monitore (mstsc.exe /span) 32-Bit Farbtiefe bei x Pixeln Server-Feature»Desktopdarstellung«ermöglicht Vista-GUI Windows Server 2008 enthält Vista Basis-Theme Aero-Glass nur für RDP-Verbindung zwischen zwei Vista-Rechnern Seite 22

23 6.a) RDP 6.1 und die Benutzeroberfläche Seite 23

24 6.a) RDP 6.1 und die Benutzeroberfläche Seite 24

25 6.a) RDP 6.1 und die Benutzeroberfläche Seite 25

26 6.a) RDP 6.1 und die Benutzeroberfläche Administrativer Zugriff Windows Server 2003 o Privilegierte lokale Konsolensitzung (empfängt Systemmeldungen) o Zugriff über Kommandozeilenschalter (mstsc.exe /console) Windows Server 2008 o»session 0«für Systemdienste, keine interaktive Benutzeranmeldung o Neuer Schalter für administrativen Zugriff (mstsc.exe /admin) o Belegt keine Lizenz o Deaktiviert Features (Vista-Theme, Easy Print, ) Seite 26

27 6.b) RemoteApp Zugriff auf einzelne Applikationen statt kompletten Remote-Desktop Nahtlose Integration in lokalen Desktop Konfiguration über Terminaldienste-RemoteApp-Manager Seite 27

28 6.b) RemoteApp Zugriff auf einzelne Applikationen statt kompletten Remote-Desktop Nahtlose Integration in lokalen Desktop Konfiguration über Terminaldienste-RemoteApp-Manager Seite 28

29 6.b) RemoteApp Zugriff auf einzelne Applikationen statt kompletten Remote-Desktop Nahtlose Integration in lokalen Desktop Konfiguration über Terminaldienste-RemoteApp-Manager RemoteApps bekannt machen: o Web Access o RDP-Datei o MSI-Paket ermöglicht lokale Zuordnung von Dateiendungen erfordert Lösung zur Softwareverteilung Seite 29

30 6.b) RemoteApp Seite 30

31 6.b) RemoteApp Seite 31

32 6.b) RemoteApp Seite 32

33 6.c) Single Sign-On Transparente Anmeldung an Remote-Desktops und RemoteApps Server konfigurieren: o Sicherheit der Verbindung RDP-Tcp o»verhandeln«(default) oder»ssl (TLS 1.0)«Vista-Clients konfigurieren: o Gruppenrichtlinie auf Client-OU anwenden o Computerkonfiguration\Richtlinien\Administrative Vorlagen \System\Delegierung von Anmeldeinformationen o Delegierung von Standardanmeldeinformationen zulassen o Server eintragen:»termsrv/*«oder»termsrv/<server>«seite 33

34 6.c) Single Sign-On Transparente Anmeldung an Remote-Desktops und RemoteApps Server konfigurieren: o Sicherheit der Verbindung RDP-Tcp o»verhandeln«(default) oder»ssl (TLS 1.0)«Vista-Clients konfigurieren: o Gruppenrichtlinie auf Client-OU anwenden o Computerkonfiguration\Richtlinien\Administrative Vorlagen \System\Delegierung von Anmeldeinformationen o Delegierung von Standardanmeldeinformationen zulassen o Server eintragen:»termsrv/*«oder»termsrv/<server>«seite 34

35 6.c) Single Sign-On Transparente Anmeldung an Remote-Desktops und RemoteApps Server konfigurieren: o Sicherheit der Verbindung RDP-Tcp o»verhandeln«(default) oder»ssl (TLS 1.0)«Vista-Clients konfigurieren: o Gruppenrichtlinie auf Client-OU anwenden o Computerkonfiguration\Richtlinien\Administrative Vorlagen \System\Delegierung von Anmeldeinformationen o Delegierung von Standardanmeldeinformationen zulassen o Server eintragen:»termsrv/*«oder»termsrv/<server>«seite 35

36 6.d) Sitzungsbroker Problemstellung: o Anwender müssen sich Namen einzelner Server merken o Keine gleichmäßige Lastverteilung über die Server»Terminaldienste-Sitzungsbroker«Rollendienst auf separatem Server installieren Terminalserver der Sitzungsbroker-Farm hinzufügen o Lokal konfigurieren oder per Gruppenrichtlinie Computerkonfiguration\Richtlinien\Administrative Vorlagen \Windows-Komponenten\Terminaldienste\TS-Sitzungsbroker o DNS-Alias (A-Record) für alle teilnehmenden Terminalserver erstellen Seite 36

37 6.d) Sitzungsbroker Problemstellung: o Anwender müssen sich Namen einzelner Server merken o Keine gleichmäßige Lastverteilung über die Server»Terminaldienste-Sitzungsbroker«Rollendienst auf separatem Server installieren Terminalserver der Sitzungsbroker-Farm hinzufügen o Lokal konfigurieren oder per Gruppenrichtlinie Computerkonfiguration\Richtlinien\Administrative Vorlagen \Windows-Komponenten\Terminaldienste\TS-Sitzungsbroker o DNS-Alias (A-Record) für alle teilnehmenden Terminalserver erstellen Seite 37

38 6.d) Sitzungsbroker Problemstellung: o Anwender müssen sich Namen einzelner Server merken o Keine gleichmäßige Lastverteilung über die Server»Terminaldienste-Sitzungsbroker«Rollendienst auf separatem Server installieren Terminalserver der Sitzungsbroker-Farm hinzufügen o Lokal konfigurieren oder per Gruppenrichtlinie Computerkonfiguration\Richtlinien\Administrative Vorlagen \Windows-Komponenten\Terminaldienste\TS-Sitzungsbroker o DNS-Alias (A-Record) für alle teilnehmenden Terminalserver erstellen Seite 38

39 6.d) Sitzungsbroker Funktionsweise: 1. Anwender verbindet sich zum DNS-Namen der Farm 2. DNS Round-Robin leitet die Anfrage zu einem der Terminalserver 3. Terminalserver nimmt Verbindung zum Sitzungsbroker auf 4. Getrennte Sitzung vorhanden? a) Ja: Sitzung wird wiederverbunden b) Nein: Anwender wird zum Server mit der geringsten Last umgeleitet Seite 39

40 6.d) Sitzungsbroker Sitzungsbroker-Server ist»single Point of Failure«Absicherung über Microsoft Windows Server Cluster möglich Ausfall des Sitzungsbroker Servers: o Terminalserver bleiben grundsätzlich erreichbar o Kein Wiederverbinden von Sitzungen o Verteilung der Sitzungen nur noch über DNS Round-Robin Alle Server müssen bzgl. Anwendungen identisch sein Zentrale Farm-Administration nur eingeschränkt möglich Seite 40

41 6.d) Sitzungsbroker Sitzungsbroker-Server ist»single Point of Failure«Absicherung über Microsoft Windows Server Cluster möglich Ausfall des Sitzungsbroker Servers: o Terminalserver bleiben grundsätzlich erreichbar o Kein Wiederverbinden von Sitzungen o Verteilung der Sitzungen nur noch über DNS Round-Robin Alle Server müssen bzgl. Anwendungen identisch sein Zentrale Farm-Administration nur eingeschränkt möglich Seite 41

42 6.e) Webzugriff Rollendienst auf Terminalservern oder separaten Servern installieren o Erfordert IIS mit ASP.NET auf dem Server und o RDP 6.1 ActiveX Plug-In auf den Clients Einfacher Zugang zu Remote-Desktops und RemoteApps Seite 42

43 6.e) Webzugriff Getrennte Installation o Webserver in Gruppe»Terminaldienste-Webzugriffscomputer«aufnehmen o Am Webfrontend als Administrator anmelden und TS eintragen Webfrontend kann nur einen Terminalserver ansprechen o Sitzungsbroker einsetzen o Farm-Namen im Webfrontend verwenden Seite 43

44 6.e) Webzugriff Getrennte Installation o Webserver in Gruppe»Terminaldienste-Webzugriffscomputer«aufnehmen o Am Webfrontend als Administrator anmelden und TS eintragen Webfrontend kann nur einen Terminalserver ansprechen o Sitzungsbroker einsetzen o Farm-Namen im Webfrontend verwenden Seite 44

45 6.f) Terminaldienstegateway Zugriff von außen ermöglichen und absichern 1. Webzugriff-Server in DMZ platzieren und per SSL absichern 2. Rollendienst»Terminaldienstegateway«in DMZ installieren Gateway nutzt RPC-über-HTTP-Proxy, um RDP zu übertragen Nur TCP-Port 443 von außen erreichbar Zertifikate für SSL-Verschlüsselung erforderlich o o Selbstsignierte Zertifikate für Testbetrieb möglich Für Produktivbetrieb Zertifikate der PKI verwenden! Seite 45

46 6.f) Terminaldienstegateway Zugriff von außen ermöglichen und absichern 1. Webzugriff-Server in DMZ platzieren und per SSL absichern 2. Rollendienst»Terminaldienstegateway«in DMZ installieren Gateway nutzt RPC-über-HTTP-Proxy, um RDP zu übertragen Nur TCP-Port 443 von außen erreichbar Zertifikate für SSL-Verschlüsselung erforderlich o o Selbstsignierte Zertifikate für Testbetrieb möglich Für Produktivbetrieb Zertifikate der PKI verwenden! Seite 46

47 6.g) Terminaldienste Easy Print Verbinden von Clientdruckern o Client und Server müssen über passende Druckertreiber verfügen o Installation beliebiger Treiber durch Benutzer nicht erlaubt Lösung unter Windows Server 2003 SP1: o»terminaldienste-fallbackdruckertreiber«o Zuordnung eines von vier HP-Druckertreibern (Postscript/PCL) Nur für lokal mit dem Client verbundene Drucker Keine erweiterten Funktionen (Schachtsteuerung, Duplex, ) Funktioniert nicht immer L Seite 47

48 6.g) Terminaldienste Easy Print Verbinden von Clientdruckern o Client und Server müssen über passende Druckertreiber verfügen o Installation beliebiger Treiber durch Benutzer nicht erlaubt Lösung unter Windows Server 2003 SP1: o»terminaldienste-fallbackdruckertreiber«o Zuordnung eines von vier HP-Druckertreibern (Postscript/PCL) Nur für lokal mit dem Client verbundene Drucker Keine erweiterten Funktionen (Schachtsteuerung, Duplex, ) Funktioniert nicht immer L Seite 48

49 6.g) Terminaldienste Easy Print»Terminaldienste Easy Print-Druckertreiber«o Erfordert RDP 6.1 und.net Framework 3.0 (SP1) auf den Clients o Konfiguration mittels Gruppenrichtlinie auf OU der Terminalserver: Computerkonfiguration\Richtlinien\Administrative Vorlagen \ Windows-Komponenten\Terminaldienste\Terminalserver\Druckumleitung\ Zuerst Easy Print-Druckertreiber der Terminaldienste verwenden o Verwendet server-seitig XPS o Agiert als»druck-proxy«o Verwendet Druckertreiber und Druckeinstellungen-Dialog des Clients Seite 49

50 6.g) Terminaldienste Easy Print»Terminaldienste Easy Print-Druckertreiber«o Erfordert RDP 6.1 und.net Framework 3.0 (SP1) auf den Clients o Konfiguration mittels Gruppenrichtlinie auf OU der Terminalserver: Computerkonfiguration\Richtlinien\Administrative Vorlagen \ Windows-Komponenten\Terminaldienste\Terminalserver\Druckumleitung\ Zuerst Easy Print-Druckertreiber der Terminaldienste verwenden o Verwendet server-seitig XPS o Agiert als»druck-proxy«o Verwendet Druckertreiber und Druckeinstellungen-Dialog des Clients Seite 50

51 6.g) Terminaldienste Easy Print»Terminaldienste Easy Print-Druckertreiber«o Erfordert RDP 6.1 und.net Framework 3.0 (SP1) auf den Clients o Konfiguration mittels Gruppenrichtlinie auf OU der Terminalserver: Computerkonfiguration\Richtlinien\Administrative Vorlagen \ Windows-Komponenten\Terminaldienste\Terminalserver\Druckumleitung\ Zuerst Easy Print-Druckertreiber der Terminaldienste verwenden o Verwendet server-seitig XPS o Agiert als»druck-proxy«o Verwendet Druckertreiber und Druckeinstellungen-Dialog des Clients Seite 51

52 7. Fazit Neue Funktionen + Microsoft holt zu Drittanbietern auf Neuerung sind vorerst nur für aktuelle Windows-Clients verfügbar Linux, UNIX, Mac OS sowie Thin Clients profitieren (noch) nicht RemoteApp + Nahtlose Integration entfernter Anwendungen in lokalen Client Zugriff auf RemoteApps nicht über Benutzergruppen steuerbar RemoteApps müssen pro Server konfiguriert werden Seite 52

53 7. Fazit Sitzungsbroker + Anwender müssen sich nicht mehr die Namen einzelner Server merken + Gleichmäßige Auslastung der Server + Unterschiedliche Gewichtung = unterschiedliche Server-Hardware möglich Last = Anzahl Sessions, keine erweiterten Metriken möglich»single Point of Failure«Alle Server müssen identisch installiert sein (Anwendungen, Pfade) Easy Print + Unterstützung von Netzwerkdruckern und Sonderfunktionen (Duplex, ) Seite 53

54 7. Fazit Wesentliche Verbesserungen gegenüber Windows Server 2003 Einfache»Out-of-the-Box«Lösung Microsoft adressiert Einsatzszenarien mit geringer bis mittlerer Komplexität an easy point-and-click out-of-box solution for low to medium complexity environments and that one would need third-party software in high(er) complexity environments. I guess it then all depends on what percentage of all Windows based Server Based Computing environments turn out to be complex (Michel Roth, Juli 2007) Seite 54

55 Weiterführende Artikel im IT-Administrator Gruppenrichtlinien mit Windows Server 2008 (1-3) von Mark Heitbrink»Altes Werkzeug, neue Funktionen«April 2008»Aufgemotzte Schaltzentrale«Mai 2008»Hilfreiche Werkzeuge«Juni 2008 Terminaldienste unter Windows Server 2008 (1+2) von Christian Knermann»Neuer Lastesel im Netz«September 2008»Unsere kleine Farm«Oktober 2008 Benutzerprofile + Gruppenrichtlinien Coming soon Seite 55

56 Vielen Dank für Ihre Aufmerksamkeit Fragen? Grafik: pixelio.de Seite 56