Windows Server 2012 Technische Daten zur Virtualisierung Modul 1B: Livemigration Modulhandbuch Autor: David Coombes, Content Master Veröffentlicht: 4. September 2012
Die Informationen in diesem Dokument einschließlich der URLs und anderer Verweise auf Websites können sich ohne Ankündigung ändern. Die in den Beispielen verwendeten Namen von Firmen, Organisationen, Produkten, Domänennamen, E-Mail-Adressen, Logos, Personen, Orten und Ereignissen sind frei erfunden, soweit dies nicht anders angegeben ist. Jede Ähnlichkeit mit bestehenden Firmen, Organisationen, Produkten, Domänennamen, E-Mail-Adressen, Logos, Personen, Orten und Ereignissen ist rein zufällig und nicht beabsichtigt. Die Benutzer/innen sind verpflichtet, sich an alle anwendbaren Urheberrechtsgesetze zu halten. Unabhängig von der Anwendbarkeit der Urheberrechtsgesetze darf ohne ausdrückliche schriftliche Genehmigung der Microsoft Corporation kein Teil dieses Dokuments für irgendwelche Zwecke vervielfältigt, in einem Datenempfangssystem gespeichert oder darin eingelesen werden oder auf irgendeine Art und Weise oder durch irgendein Mittel (elektronisch, mechanisch, durch Fotokopieren, Aufzeichnen usw.) übertragen werden. Es ist möglich, dass Microsoft Rechte an Patenten bzw. angemeldeten Patenten, an Marken, Urheberrechten oder sonstigem geistigen Eigentum besitzt, die sich auf den fachlichen Inhalt dieses Dokuments beziehen. Die Bereitstellung dieses Dokuments bedeutet keine Gewährung von Lizenzrechten an diesen Patenten, Marken, Urheberrechten oder anderem geistigen Eigentum, ausgenommen, dies wurde explizit durch einen schriftlich festgehaltenen Lizenzvertrag mit der Microsoft Corporation vereinbart. 2012 Microsoft Corporation. Alle Rechte vorbehalten. Microsoft ist entweder eine eingetragene Marke oder eine Marke der Microsoft Corporation in den Vereinigten Staaten und/oder anderen Ländern. Die Namen tatsächlich existierender Unternehmen, die hierin erwähnt werden, sind unter Umständen Marken ihrer jeweiligen Eigentümer. Microsoft Virtual Academy Teilnehmerhandbuch ii
Inhalt INHALT... III MODUL 1: MOBILITÄT VIRTUELLER COMPUTER... 5 Modulübersicht... 5 LEKTION 1: LIVEMIGRATION... 6 LIVEMIGRATION ÜBERSICHT... 7 LIVEMIGRATION OHNE INFRASTRUKTUR... 8 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 1... 9 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 2... 10 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 3... 11 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 4... 12 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 5... 13 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 6... 14 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 7... 15 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 8... 16 LIVEMIGRATION OHNE INFRASTRUKTURPROZESS: 9... 17 LIVEMIGRATION OHNE INFRASTRUKTUR: POWERSHELL... 18 LIVEMIGRATION MIT SMB... 19 LIVEMIGRATION MIT SMB: FREIGABEBERECHTIGUNGEN... 20 LIVEMIGRATION MIT SMB: DATEIBERECHTIGUNGEN... 21 LIVEMIGRATION MIT SMB: POWERSHELL-BERECHTIGUNGEN... 23 LIVEMIGRATION MIT SMB-ARCHITEKTUR... 24 Setup... 24 Übertragung der Speicherseite... 24 Kopiervorgang der Speicherseite... 25 Verschieben des Speicherhandles vom Quellcomputer auf den Zielcomputer... 25 Onlineschalten des virtuellen Computers auf dem Zielserver... 25 Netzwerkbereinigung... 26 LIVEMIGRATION MIT SMB: POWERSHELL... 27 LIVEMIGRATION ZWISCHEN CLUSTER... 28 SICHERHEIT DER LIVEMIGRATION... 29 VERSTEHEN DER ANMELDESICHERHEIT: 1... 31 VERSTEHEN DER ANMELDESICHERHEIT: 2... 32 VERSTEHEN DER ANMELDESICHERHEIT: 3... 33 ANMELDESICHERHEIT UND HYPER-V: 1... 34 ANMELDESICHERHEIT UND HYPER-V: 2... 35 Microsoft Virtual Academy Teilnehmerhandbuch iii
ANMELDESICHERHEIT UND HYPER-V: 3... 36 ANMELDESICHERHEIT UND HYPER-V: 4... 37 AKTIVIEREN DER GEZWUNGENEN DELEGIERUNG... 39 POWERSHELL-REMOTING MIT CREDSSP... 42 REMOTEDESKTOP... 43 Microsoft Virtual Academy Teilnehmerhandbuch iv
Modul 1: Mobilität virtueller Computer Modulübersicht In diesem Modul werden die Mobilitätstechnologien von virtuellen Hyper-V-Computern erläutert, insbesondere die neuen und verbesserten Technologien von Windows Server 2012. Hierzu gehören Änderungen an der Livemigration, die neue Live-Speichermigration sowie Verbesserungen des Importvorgangs virtueller Computer. Dieses Modul enthält auch einen Überblick über die Mobilität virtueller Computer und Schutztechnologien. Microsoft Virtual Academy Teilnehmerhandbuch 5
Lektion 1: Livemigration In dieser Lektion werden die neuen Technologien der Livemigration von Windows Server 2012 beschrieben. Darüber hinaus werden die empfohlenen Vorgehensweisen für sichere Livemigrationen erklärt. Microsoft Virtual Academy Teilnehmerhandbuch 6
Livemigration Übersicht Hyper-V in Windows Server 2012 bietet nicht nur verbesserte Leistungseigenschaften der vorhandenen Livemigrationstools, sondern enthält auch mehrere neue Optionen für die Livemigration: Livemigration ohne gemeinsam genutzte Infrastruktur Livemigration mit freigegebenem SMB-Speicher Livemigration zwischen Cluster Alle Technologien und Optionen der Livemigration in Windows Server 2012 basieren auf demselben Prinzip: Der virtuelle Computer läuft immer irgendwo. Dieses Prinzip bedeutet beispielsweise: Bevor ein virtueller Computer heruntergefahren und am Ende der Migration aus einem Hyper-V- Quellhost entfernt wird, werden einige Überprüfungen ausgeführt, um sicherzustellen, dass der virtuelle Computer ordnungsgemäß auf dem Zielhost ausgeführt wird. Es bedeutet auch, dass eine Failbackoption verfügbar ist: Falls eine Migration aus irgendwelchen Gründen fehlschlägt, wird der virtuelle Quellcomputer weiterhin ausgeführt und ist verfügbar. Microsoft Virtual Academy Teilnehmerhandbuch 7
Livemigration ohne Infrastruktur Für die Shared Nothing -Livemigration müssen (mindestens) zwei Hyper-V-Server vorhanden sein, die beide zur selben Domäne gehören. Jedoch müssen Gigabitnetzwerke verwendet werden, damit Benutzer während der Migration keine Ausfallzeiten wahrnehmen. Für den freigegebenen Speicher gelten keine Anforderungen. Es können verschiedene Speichertypen auf jedem Hyper-V-Server verwendet werden. Der gesamte virtuelle Computer virtuelle Festplatten (Virtual Hard Disks, VHDs) und Ausführungszustand wird ohne Ausfallzeiten verschoben. Wenn Sie eine Livemigration eines virtuellen Computers zwischen zwei Computern ausführen, die nicht dieselbe Infrastruktur verwenden, führt Hyper-V zuerst eine Teilmigration des Speichers des virtuellen Computers aus. Microsoft Virtual Academy Teilnehmerhandbuch 8
Livemigration ohne Infrastrukturprozess: 1 In diesem auf den nächsten Seiten beschriebenen Szenario gibt es zwei Hyper-V-Server, auf denen der Benutzermodus von VMMS (VM Management Service) ausgeführt wird. Auf dem ersten Hyper-V- Server befindet sich ein virtueller Computer mit seinen VHDs, die für die Migration auf den zweiten Hyper-V-Server bereitstehen. Funktionsweise: Zuerst wird eine Netzwerkverbindung zwischen den Hyper-V-Hosts hergestellt. Hierbei handelt es sich um eine TCP-Verbindung. Während der ersten Aushandlung werden u. a. folgende Überprüfungen ausgeführt: Verfügt das Benutzerkonto für diese Migration über Berechtigungen auf beiden Servern? Wurde die Livemigration auf beiden Servern aktiviert? Nachdem alle Überprüfungen abgeschlossen sind, stellt Hyper-V die Verbindung für die Livemigration her. Microsoft Virtual Academy Teilnehmerhandbuch 9
Livemigration ohne Infrastrukturprozess: 2 Funktionsweise: Nachdem alle Überprüfungen abgeschlossen sind, stellt Hyper-V die Verbindung für die Livemigration her. Microsoft Virtual Academy Teilnehmerhandbuch 10
Livemigration ohne Infrastrukturprozess: 3 Funktionsweise: Hyper-V beginnt in dieser Phase nicht mit der Livemigration des Speichers und CPU-Zustands des virtuellen Computers. Stattdessen wird im nächsten Schritt eine Art der Speichermigration gestartet. Microsoft Virtual Academy Teilnehmerhandbuch 11
Livemigration ohne Infrastrukturprozess: 4 Funktionsweise: Die Speichermigration verwendet viele Ressourcen des Hauptmoduls aus der Live- Speichermigration. Der Hauptunterschied zur standardmäßigen Live-Speichermigration besteht darin, dass Hyper-V die VHDs kopiert, während der virtuelle Computer noch ausgeführt wird, und anschließend eine Festplattenspiegelung erstellt. Mit dieser Spiegelung werden die Schreibvorgänge an beide Festplatten gesendet, und die Lesevorgänge finden auf dem Host statt, auf dem der virtuelle Computer aktuell ausgeführt wird. Diese Spiegelung ist für das Prinzip Der virtuelle Computer läuft immer irgendwo wichtig. Microsoft Virtual Academy Teilnehmerhandbuch 12
Livemigration ohne Infrastrukturprozess: 5 Funktionsweise: Nachdem die Spiegelung erstellt wurde, kann die Livemigration gestartet werden. Speicherseiten werden auf den Zielhost kopiert, und modifizierte Speicherseiten werden verfolgt und anschließend gesendet. Microsoft Virtual Academy Teilnehmerhandbuch 13
Livemigration ohne Infrastrukturprozess: 6 Funktionsweise: Nachdem der Speicher kopiert wurde, wird der virtuelle Computer auf dem Zielhost gestartet. Die Speicherspiegelung bleibt während dieses Vorgangs erhalten, sodass im Falle eines Fehlers an einer beliebigen Stelle ein Hyper-V-Failback zum virtuellen Computer erfolgen kann, der auf dem Quellhost ausgeführt wird. Microsoft Virtual Academy Teilnehmerhandbuch 14
Livemigration ohne Infrastrukturprozess: 7 Funktionsweise: Nachdem Hyper-V bestätigt hat, dass der virtuelle Computer auf dem Zielhost ausgeführt wird, wird die Festplattenspiegelung aufgelöst. Microsoft Virtual Academy Teilnehmerhandbuch 15
Livemigration ohne Infrastrukturprozess: 8 Funktionsweise: Nachdem die Festplattenspiegelung geschlossen wurde, löscht Hyper-V die VHD auf dem Quellhost. Microsoft Virtual Academy Teilnehmerhandbuch 16
Livemigration ohne Infrastrukturprozess: 9 Funktionsweise: Zum Schluss wird die Livemigrationsverbindung getrennt. Microsoft Virtual Academy Teilnehmerhandbuch 17
Livemigration ohne Infrastruktur: PowerShell Um Windows PowerShell zum Starten einer Livemigration ohne Infrastruktur zu verwenden, verwenden Sie das Cmdlet Move-VM: Move-VM "File Server 1" "HostB" -IncludeStorage DestinationStoragePath "J:\Virtual Machines\File Server 1" In diesem Beispiel: Name des virtuellen Computers: File Server 1 Name des Hyper-V-Zielhosts: HostB Zielordner für Dateien des virtuellen Computers: J:\Virtual Machines\File Server 1 Microsoft Virtual Academy Teilnehmerhandbuch 18
Livemigration mit SMB Die Livemigration mit SMB (Server Message Block) ermöglicht Ihnen, virtuelle Computer in Umgebungen zu verschieben, in die Sie die virtuellen Computer, jedoch nicht die VHDs verschieben müssen. Die Livemigration mit SMB ist daher der clusterbasierten Livemigration ähnlich, bietet jedoch keine hohe Verfügbarkeit. Für die Livemigration mit SMB ist SMB 3.0 erforderlich. Sowohl das Benutzerkonto, das die Migration startet, sowie die Konten des Quell- und Zielcomputers benötigen einen Sicherheitszugriff auf die Freigabe. Berechtigungen müssen im Ordner auf Dateiebene sowie auf Freigabeebene konfiguriert werden. Hierfür sind mehrere korrekt ausgeführte Schritte erforderlich, andernfalls tritt ein Fehler bei der Migration auf. Microsoft Virtual Academy Teilnehmerhandbuch 19
Livemigration mit SMB: Freigabeberechtigungen Führen Sie die folgenden Schritte aus, um die Freigabeberechtigungen einzurichten: 1. Klicken Sie in den Eigenschaften der Freigabe auf Erweiterte Freigabe. 2. Klicken Sie im Dialogfeld Erweiterte Freigabe auf Berechtigungen. 3. Fügen Sie im Dialogfeld Berechtigungen die Computerkonten für den Administrator (der die Migration startet) sowie die Quellcomputer- und Zielcomputerkonten hinzu. Alle Konten benötigen die Berechtigung für den Vollzugriff. In den Screenshots heißt das Administratorkonto benarm und die Computerkonten BENARM- EPSILON und BENARM-ZETA. Microsoft Virtual Academy Teilnehmerhandbuch 20
Livemigration mit SMB: Dateiberechtigungen Führen Sie die folgenden Schritte aus, um die Dateiberechtigungen einzurichten: 1. Klicken Sie in den Eigenschaften des Ordners auf Bearbeiten. 2. Fügen Sie im Dialogfeld Berechtigungen die Computerkonten für den Administrator (der die Migration startet) sowie die Quellcomputer- und Zielcomputerkonten hinzu. Alle Konten benötigen die Berechtigung für den Vollzugriff. In den Screenshots heißt das Administratorkonto benarm und die Computerkonten BENARM- EPSILON und BENARM-ZETA. Standardmäßig werden die Computerkonten beim Durchsuchen der Verzeichnisdienstobjekte von Active Directory nicht aufgeführt. Deshalb müssen Sie beim Durchsuchen der Objekte auf Objekttypen klicken: Microsoft Virtual Academy Teilnehmerhandbuch 21
Wählen Sie anschließend Computer aus: Microsoft Virtual Academy Teilnehmerhandbuch 22
Livemigration mit SMB: PowerShell-Berechtigungen Alternativ zur Benutzeroberfläche können Sie den folgenden Befehl in der Befehlszeile eingeben, um einen neuen Ordner zu erstellen, Dateiberechtigungen für Benutzer- und Computerkonten für diesen Ordner hinzuzufügen, eine neue Freigabe zu erstellen und anschließend Berechtigungen für Benutzer-und Computerkonten für diese Freigabe freizugeben: MD X:\VMS ICACLS.EXE X:\VMS --% /Grant Contoso\Admin1:(CI)(OI)F ICACLS.EXE X:\VMS --% /Grant Contoso\HostA$:(CI)(OI)F ICACLS.EXE X:\VMS --% /Grant Contoso\HostB$:(CI)(OI)F ICACLS.EXE X:\VMS /Inheritance:R New-SmbShare -Name VMS -Path X:\VMS FullAccess Contoso\Admin1, Contoso\HostA$, Contoso\HostB$ In diesem Beispiel: Domäne: Contoso Name des Administratorkontos: Admin1 Name des Hyper-V-Quellhosts: HostA Name des Hyper-V-Zielhosts: HostB Ordner für Dateien des virtuellen Computers: X:\VMS Freigabe für Dateien des virtuellen Computers: VMS Microsoft Virtual Academy Teilnehmerhandbuch 23
Livemigration mit SMB-Architektur Die Livemigration basierend auf einer SMB-Freigabe umfasst sechs Hauptschritte. (Die ersten vier Schritte werden in der Abbildung angezeigt.) Diese Schritte werden in den folgenden Abschnitten beschrieben. Setup Während der Setupphase der Livemigration stellt der Quellhost eine TCP-Verbindung zum Zielhost her. Über diese Verbindung werden die Konfigurationsdaten des virtuellen Computers an den Zielhost übertragen. Ein Skelett des virtuellen Computers wird auf dem Zielhost eingerichtet, und der Speicher wird dem virtuellen Zielcomputer zugewiesen (siehe Abbildung). Übertragung der Speicherseite In der zweiten Phase der Livemigration (siehe Abbildung) wird der Speicher, der dem migrierenden virtuellen Computer zugewiesen wurde, über das Netzwerk auf den Zielhost kopiert. Dieser Speicher wird als Arbeitssatz des migrierenden virtuellen Computers bezeichnet. Die Größe einer Speicherseite beträgt 4 KB. Microsoft Virtual Academy Teilnehmerhandbuch 24
Angenommen, ein virtueller Computer mit dem Namen Test VM, konfiguriert mit 1.024 MB RAM, wird auf einen anderen Hyper-V-Host migriert. Der gesamte RAM von 1.024 MB, der diesem virtuellen Computer zugewiesen ist, befindet sich im Arbeitssatz von Test VM. Die aktiven Seiten innerhalb des Arbeitssatzes Test VM werden auf den Hyper-V-Zielhost kopiert. Hyper-V kopiert nicht nur den Arbeitssatz von Test-VM auf den Zielhost, sondern überwacht auch die Seiten im Arbeitssatz für Test VM auf dem Quellhost. Sobald Test VM die Speicherseiten ändert, werden die Seiten beim Ändern verfolgt und markiert. Die Liste der geänderten Seiten ist die Liste der Speicherseiten, die von Test VM geändert wurden, nachdem das Kopieren des Arbeitssatzes begonnen hat. Während dieser Migrationsphase wird der migrierende virtuelle Computer weiterhin ausgeführt. Hyper V durchläuft mehrmals den Kopiervorgang des Speichers. Für jeden Durchgang werden weniger geänderte Seiten kopiert. Nachdem der Arbeitssatz auf den Zielhost kopiert wurde, wird die nächste Phase der Livemigration gestartet. Kopiervorgang der Speicherseite In dieser Phase wird der Speicher kopiert, um die restlichen geänderten Speicherseiten für Test VM auf den Zielhost zu kopieren. Der Quellhost überträgt den CPU- und Gerätezustand des virtuellen Computers auf den Zielhost. Während dieser Phase spielt die verfügbare Netzwerkbandbreite zwischen Quell- und Zielhosts hinsichtlich der Geschwindigkeit der Livemigration eine wichtige Rolle. Es ist wichtig, dass Sie eine Verbindung von 1 Gigabit Ethernet (GbE) verwenden. Je schneller der Quellhost die geänderten Seiten vom Arbeitssatz des migrierenden virtuellen Computers überträgt, desto schneller kann die Livemigration abgeschlossen werden. Die Anzahl der übertragenen Seiten in dieser Phase wird dadurch bestimmt, wie aktiv der virtuelle Computer auf die Speicherseiten zugreift und diese ändert. Je mehr geänderte Seite, desto länger dauert die Übertragung aller Seiten auf den Zielhost. Nachdem die geänderten Speicherseiten auf den Zielhost kopiert wurden, enthält der Zielhost einen aktualisierten Arbeitssatz für Test VM. Der Arbeitssatz für Test VM befindet sich auf dem Zielhost an genau demselben Speicherort wie zu Beginn der Migration durch Test VM Der Vorgang für das Kopieren der Speicherseite ist in der Abbildung dargestellt. Hinweis: Sie können die Livemigration jederzeit vor dieser Migrationsphase abbrechen. Verschieben des Speicherhandles vom Quellcomputer auf den Zielcomputer Während dieser Phase der Livemigration wird die Steuerung des Speichers an den Zielhost übertragen. Dieser Speicher, wie z. B. VHD-Dateien oder physischer Speicher, der über einen virtuellen Fibre Channel-Adapter verbunden ist, ist mit Test VM verbunden ist. Onlineschalten des virtuellen Computers auf dem Zielserver In dieser Phase der Livemigration enthält der Zielserver den aktuellen Arbeitssatz für Test VM sowie Zugriff auf jeden Speicher, der von Test VM verwendet wird. Zu diesem Zeitpunkt nimmt Test VM den Betrieb wieder auf. Microsoft Virtual Academy Teilnehmerhandbuch 25
Netzwerkbereinigung In der letzten Phase der Livemigration wird der migrierte virtuelle Computer auf dem Zielserver ausgeführt. Zu diesem Zeitpunkt wird eine Meldung an den Netzwerkswitch gesendet, damit dieser die neuen MAC- (Media Access Control-)Adressen des migrierten virtuellen Computers erhält. Dadurch wird gewährleistet, dass der Netzwerkverkehr zu und von Test VM den richtigen Switchport verwendet. Die Dauer der Livemigration ist kürzer als das TCP-Timeoutintervall für den virtuellen Computer, der migriert wird. TCP-Timeoutintervalle hängen von der Netzwerktopologie und anderen Faktoren ab. Microsoft Virtual Academy Teilnehmerhandbuch 26
Livemigration mit SMB: PowerShell Nachdem die Datei- und Freigabeberechtigungen eingerichtet wurden, können Sie mit Windows PowerShell eine Livemigration mit SMB starten. Verwenden Sie hierzu das Cmdlet Move-VM: Move-VM "File Server 2" "HostB" In diesem Beispiel: Name des virtuellen Computers: File Server 2 Name des Hyper-V-Zielhosts: HostB Es sind keine weiteren Parameter erforderlich, weil der Speicherort des freigegebenen Speichers für die Dateien des virtuellen Computers in der Konfiguration des virtuellen Computers angegeben wurden. Microsoft Virtual Academy Teilnehmerhandbuch 27
Livemigration zwischen Cluster Windows Server 2012 unterstützt nun maximal 64 Knoten in einem Cluster, d. h. dass Cluster nun von mehr Virtualisierungsbereitstellungen verwendet werden. Um die Konfiguration und Verwaltung der clusterbasierten Bereitstellungen zu vereinfachen, unterstützt Windows Server 2012 nun die Migration von virtuellen Computern innerhalb der Cluster (bereits von Windows Server 2008 R2 unterstützt) sowie zwischen Cluster. Sie können virtuelle Computer einfach von einem Cluster zu einem eigenständigen Host und von einem eigenständigen Host zu einem Cluster migrieren. Hierdurch können Administratoren auf neue Anforderungen reagieren, vorhandene und neue Hardware optimal einsetzen und die Lösungen für Hochverfügbarkeit einfach neu konfigurieren. So verschieben Sie einen virtuellen Computer zwischen Cluster 1. Entfernen Sie den virtuellen Computer aus dem Quellcluster. 2. Verwenden Sie Hyper-V-Manager für die Livemigration des virtuellen Computers zu einem Knoten im Zielcluster. 3. Verbinden Sie den virtuellen Computer mit dem Zielcluster. Der virtuelle Computer muss während der Migration nicht ausgeschaltet werden. Er ist jedoch während der Migration nicht vor Hardwarefehlern geschützt. Microsoft Virtual Academy Teilnehmerhandbuch 28
Sicherheit der Livemigration Die erste Sicherheitsstufe der Livemigration beinhaltet, dass bei der Installation von Hyper-V die Livemigration nicht standardmäßig aktiviert ist. Sie müssen die Livemigration manuell mithilfe der PowerShell-Cmdlets von Hyper-V oder mithilfe des Hyper-V-Managers aktivieren: Microsoft Virtual Academy Teilnehmerhandbuch 29
Der nächste Sicherheitsaspekt ist das Angeben der Netzwerke, die für die Livemigration verwendet werden. Sie können jedes verfügbare Netzwerk für die Livemigration verwenden, jedoch ist das hinsichtlich der Leistung und Sicherheit nicht empfehlenswert. Wenn Sie ein separates Netzwerk für die Livemigration angeben, können Sie sicherstellen, dass der Verkehr der Livemigration sich nicht auf das normale Produktionsnetzwerk auswirkt und die Livemigration über ein sicheres Netzwerk stattfindet. Hyper-V enthält keine systemeigene Verschlüsselung des Livemigration-Verkehrs. In manchen Umgebung reicht ein physisch sicheres Livemigrations-Netzwerk, das als privates Netzwerk verwendet wird und keine Verbindung zu anderen Benutzern zulässt. Es gibt jedoch auch weitere Möglichkeiten, die Migrationspakete zu schützen, wie z. B. Internet Protocol Security (IPsec) oder andere Verschlüsselungsmethoden. Die in Microsoft gesammelten Leistungsdaten belegen, dass sich die Verwendung von IPsec für die Livemigration nicht auf die Migrationsskalierung oder Leistung auswirkt. Microsoft Virtual Academy Teilnehmerhandbuch 30
Verstehen der Anmeldesicherheit: 1 Wenn Sie mit einem Computer oder Laptop eine Verbindung zu einem Server herstellen, werden die Benutzeranmeldeinformationen an den Server gesendet, sodass der Server überprüfen kann, ob die erforderlichen Berechtigungen für die Aktionen vorliegen, die Sie auf dem Server ausführen möchten. Microsoft Virtual Academy Teilnehmerhandbuch 31
Verstehen der Anmeldesicherheit: 2 Windows ermöglicht es dem Server absichtlich nicht, Ihre Anmeldeinformationen anschließend für die Verbindung mit einem anderen Server zu verwenden. Microsoft Virtual Academy Teilnehmerhandbuch 32
Verstehen der Anmeldesicherheit: 3 Diese Prävention, die Anmeldeinformationen erneut über einen zweiten Hop zu verwenden, ist beabsichtigt und verhindert, dass ein Angreifer diese Anmeldeinformationen verwenden kann. Selbst wenn der erste Server gefährdet ist, kann der Angreifer nicht Ihre Anmeldeinformationen auf anderen Computern verwenden. Diese Standardkonfiguration beeinflusst jedoch die Verwaltung der Hyper-V-Livemigrationen. Microsoft Virtual Academy Teilnehmerhandbuch 33
Anmeldesicherheit und Hyper-V: 1 Wenn Sie sich beim ersten Hyper-V-Server anmelden, können Sie eine Livemigration auf dem zweiten Server starten, ohne Änderungen an der Windows-Sicherheit vorzunehmen. Microsoft Virtual Academy Teilnehmerhandbuch 34
Anmeldesicherheit und Hyper-V: 2 Wenn Sie jedoch von Ihrem Desktop-Computer oder Laptop eine Verbindung zum Hyper-V-Server herstellen und eine Livemigration starten, wird dies von Windows blockiert. Microsoft Virtual Academy Teilnehmerhandbuch 35
Anmeldesicherheit und Hyper-V: 3 Wenn Sie sich z. B. beim ersten Hyper-V-Server anmelden, eine Livemigration für einen virtuellen Computer ausführen und anschließend mithilfe derselben Konsolensitzung versuchen, den virtuellen Computer zurück zu migrieren, tritt ein Fehler auf. Dieser Sicherheitsfehler tritt auf, weil die Windows-Sicherheitsfunktion dies als zweiten Hop behandelt, obwohl nur zwei Server beteiligt sind. Ihre Anmeldeinformationen werden an einen zweiten Server gesendet. Dabei wird nicht berücksichtigt, dass es sich bei diesem zweiten Server tatsächlich um den ersten Server handelt, der die Kommunikation gestartet hat. Windows behandelt dies so, als ob die Anmeldeinformationen woandershin weitergeleitet werden. Microsoft Virtual Academy Teilnehmerhandbuch 36
Anmeldesicherheit und Hyper-V: 4 Es gibt zwei Möglichkeiten, die Sicherheit hinsichtlich der Anmeldeinformationen und Hyper-V zu umgehen. Die erste Möglichkeit besteht darin, die Windows-Sicherheit so zu konfigurieren, dass Hyper-V als vertrauenswürdig eingestuft wird, um die Anmeldeinformationen erneut zu verwenden. Hierfür müssen Sie die eingeschränkte Delegierung in Active Directory aktivieren. Microsoft Virtual Academy Teilnehmerhandbuch 37
Bei Verwendung der eingeschränkten Delegierung müssen Sie bei der Konfiguration von Hyper-V für die Livemigration Kerberos verwenden aktivieren: Die zweite Möglichkeit besteht darin, sich beim Server anzumelden, von dem Sie die Migration starten, und entweder Windows PowerShell-Remoting oder Remotedesktop zu verwenden. Microsoft Virtual Academy Teilnehmerhandbuch 38
Aktivieren der gezwungenen Delegierung Um die gezwungene Delegierung zu aktivieren, müssen Sie die Eigenschaften der Hyper-V- Quellserver und -Zielserver bearbeiten. Klicken Sie auf der Registerkarte Delegierung auf Computer bei Delegierungen angegebener Dienste vertrauen und anschließend entweder auf Beliebiges Authentifizierungsprotokoll verwenden oder Nur Kerberos verwenden. Microsoft Virtual Academy Teilnehmerhandbuch 39
Nachdem Sie den Server hinzugefügt haben, wählen Sie die Dienste Microsoft Migrationsdienst für das virtuelle System und CIFS aus: Microsoft Virtual Academy Teilnehmerhandbuch 40
Die Common Internet File System- (CIFS-)Delegierung ist nur erforderlich, wenn die zu migrierenden virtuellen Computer auf SMB-Freigaben gehostet werden. Microsoft Virtual Academy Teilnehmerhandbuch 41
PowerShell-Remoting mit CredSSP In Windows Server 2012 ist das Windows PowerShell-Remoting standardmäßig aktiviert. Jedoch ist für das Windows PowerShell-Remoting mit CredSSP eine zusätzliche Konfiguration erforderlich. Aktivieren Sie den Credential Security Support Provider (CredSSP) zuerst auf dem Server und anschließend auf dem Clientcomputer. Zusätzlich zum vollständig qualifizierten Domänenname (FQDN) eines bestimmten Servers können Sie auch einen Platzhalter verwenden, wie z. B. *.dev.contoso.com, um den Client so zu konfigurieren, dass er Windows PowerShell-Remoting für alle Server in der Unterdomäne dev.contoso.com verwenden kann (solange der Server für CredSSP aktiviert ist). Nachdem CredSSP aktiviert wurde, gibt es zwei Möglichkeiten, die Befehle von Windows PowerShell- Remoting auszuführen: Sie können eine Sitzung öffnen und jeden Befehl auf dem Remotecomputer innerhalb des Windows PowerShell-Konsolenfensters ausführen. Sie können jeweils einen Befehl mithilfe der Option zum Aufrufen eines Befehls (ICM) ausführen. Microsoft Virtual Academy Teilnehmerhandbuch 42
Remotedesktop Remotedesktop kann alternativ zu Windows PowerShell-Remoting verwendet werden. Sehen Sie sich als nächstes die Videos Live Migration, Live Migration SMB (Livemigration mit SMB) und Live Migration between clusters (Livemigration zwischen Cluster) an. Microsoft Virtual Academy Teilnehmerhandbuch 43