Nyheder Windows Server 2012 R2 Indhold

Transkript

1 Nyheder Windows Server 2012 R2 Indhold Nyheder Windows Server 2012 R Hyper-V... 2 Nyheder i Hyper-V... 2 Forbedrede features i Hyper-V... 2 Storage... 5 Storage Tiers... 5 AD Federation Service... 5 Installation Changes in Windows Server 2012 R Workplace Join... 5 Formålet med Workplace Join... 5 Klienter:... 6 Implementering:... 6 Kilder:... 7 WorkFolders... 9 How to request a SAN certificate Group Policy Group policy caching IPv6 i Item Level Targeting Windows

2 Hyper-V Nyheder i Hyper-V Emner Shared virtual hard disk Beskrivelse You can use this feature to cluster virtual machines by using shared virtual hard disk (VHDX format) files. Den delte virtuelle disk VHDX skal ligge på et fail over cluster enten et CSV eller et SMB 3.0 scale Out file server og tilgås gennem en virtuel SCSi controller. Automatic virtual machine activation Enhanced session mode Storage quality of Service Virtual machine generation You can configure this feature to automatically activate virtual machines on hosts running the Datacenter edition of Windows Servcer 2012 R2 You can use this feature to provide support for redirection of an increased number of local resources including audio, printers, clipboard, display configuration, smart cards, USB devices and supported Plug and Play devices You can use this feature to specify maximum and minimum I/O loads in terms of I/O operations per second on a per virtual hard disk basis. For at undgå at en virtuel maskine skal spise alle tilstedeværende disk ressourcer. You can use this feature to provide support for Generation 1 and Generation 2 virtual machines Forbedrede features i Hyper-V Emne Beskrivelse Resize virtual hard disk Live migration Failover Clustering Integration Services Export Replica Linux support Management This feature allows you to resize virtual hard disks while the virtual machine is running This feature provides improved performance, including compression of virtual machine RAM and cross-version live migration between Windows Server 2012 and Windows Server 2012 R2 Hyper-V. This feature provides virtual network adapter protection and virtual machine storage protection. This feature provides the ability to copy files to a virtual machine without using a network connection or having to shut down the virtual machine. This feature allows you to export a virtual machine with all checkpoints or a single virtual machine checkpoint while the virtual machine is running This feature supports extended replication and configurable replication frequency. Den kan sættes til 30 sekunder, 5 minutter (default) eller 15 minutter. This feature provides support for Linux virtual machine backup and for VMs running Linux to support dynamic memory. This feature provides support for managing Hyper-V on Windows Server 2012 R2 from computers running Windows 8 or Windows Server Kilde: Generation 1 og 2 virtuelle maskiner

3 Generation 1 Generation 2 Krav er at boot sker fra disk på en IDE kontroller. PXE boot enables ved at sætte et Intel legacy netkort i den virtuelle maskine. Der kan ikke PXE bootes fra et syntetisk netkort. Generation 2 benytter en simplere model for hardware. Det betyder at en del af det legacy hardware man måder I generation 1 virtuelle maskiner ikke længere benyttes. Generation 2 virtuelle maskiner understøtter også UEFI firmware i stedet for BIOS. Krav for at benytte Generation 2 er at værten kører 2012R2/windows 8.1 og at gæste operativsystemerne er server 2012, 2012 R2, win 8.0 eller win 8.1 Secure Boot (enabled by default) Boot from a SCSI virtual hard disk Boot from a SCSI virtual DVD PXE boot by using a standard network adapter Legacy adapter findes ikke her. UEFI firmware support The following guest operating systems are supported as a generation 2 virtual machine. Windows Server 2012 Windows Server 2012 R2 64-bit versions of Windows 8 64-bit versions of Windows Både generation 1 og generation 2 virtuelle maskiner kan køre på samme host. Der er ikke nogen performance forskel på de 2 typer virtuelle maskiner. RemoteFX er ikke understøttet af Generation 2 virtuelle maskiner Fysisk dvd kan ikke sættes i en g2 maskine, men iso filer kan! Virtuelle floppy drev er også fjernet. Boot på iso fil i stedet for.

4 Det er ikke muligt at konvertere fra G1 til G2 (og heller ikke den anden vej) Clustering CSV (Cluster Shared Volumes) Et CSV er en delt NTFS Volume som kan bruges af flere noder på en gang. Traditionelt ejer en node sine resourcer og kan ikke dele dem, men med CSV kan alle læse og skrive på samme volume. Det er specielt en fordel når man bruger clustering af Hyper-V rollen. Der er dog en af noderne som er den koordinerende node. Den ejer den fysiske disk (LUN et). Alle I/O operationer på LUN et udføres gennem den koordinerende node. I R2 er dette ændret til en løsning som kaldes Distributed CSV Ownership. Det betyder at ejherskabet fordeles mellem forskellige clusternoder, så det ikke er en specifik node ejer der ejer den største del af CSV et. Hvis en node fejler vil overgangen til en anden node være hurtigere og derfor være mere effektiv. Endvidere hvis der opstår en fejl, og ejerskabet skifter, så vil der blive en ny balanceret fordeling af ejerskabet. Det sker med CSV failover, når der kommer en ny node til, en eksisterende node rejoins, en node genstarter og når hele clusteret startes/genstartes. Forbedret CSV resiliency Der er to forbedringer mht. CSV resiliency: Der vil være multiple server service instances per fail over cluster node. Se afsnit om multiple SMB instances på en Scale-Out file server.

5 Storage Storage Tiers With Storage tiers, you can create virtual disks that are comprised of two tiers of storage: Solid-state drive tier for frequently accessed data Hard disk drive tier for less-frequently accessed data Storage Spaces transparently moves data at a subfile level between the two tiers, based on how frequently data is accessed. AD Federation Service Installation Changes in Windows Server 2012 R2 The version of AD FS included with Windows Server 2012 required the installation of Internet Information Services (IIS). Due in part to the IIS requirement, the installation of AD FS on domain controllers was not recommended for Windows Server In Windows Server 2012 R2, AD FS does not require the IIS installation, and installation on a domain controller is now acceptable. During installation of AD FS for Windows Server 2012, you had an option to install AD FS as a stand-alone server. This option was useful for test environments, but it was not recommended for production environments because there were no options for expansion after installation. AD FS installation AD FS in Windows Server 2012 R2 does not include the option to install a stand-alone server. Instead, you can install a single server farm that provides the option for future expansion. For single server farm Windows Internal Database (WID) can be used or a SQL server. Workplace Join Formålet med Workplace Join Workplace placerer sig midt mellem at være fuldbyrdet AD medlem og det at være uden for domain. Workplace join giver dig SSO (Single Sign On) med Multfaktor authentikering (MFA). Det er en ny feature i Windows Server 2012 R2. Brugerne kan regisgtrere deres ikke domain joined device i Active Directory. Herved kan de opnå Single sign on til udvalgte netværks resourcer fra en BYOD enhed. Sikkerheden opnås ved, at der placeres et certifikat på den pågældende device. Når device en er rigistrert i AD kan man finde objectet i en Container med navnet RegisteredDevices. Denne container opstår først, når den første enhed har registreret sig.

6 Der opnås Multi faktor authenticering på denne måde. Device og User bliver begge authentikeret og det sker samtidigt seamless, dvs man møder kun en authentikering, den for brugeren, den for devicen foregår automatisk. Dette kan kun lade sig gøre pga en ny service i AD FS, der hedder Device Registration Service. For at teste Workplace join skal der 3 servere og en klient til: En AD Domain Controller (AD DS), En Certificate Authority (AD CS) og en AD Federation Service (AD FS) server. Rollerne kan teknisk set godt ligge på same boks, men det er ikke best Practice. Klienter: Klienten skal være en Windows 8.1 eller IOS 7.0. Alle Windows 8.1 versioner kan anvendes: 8.1 RT. 8.1, 8.1 Professionel og enterprise. I Windows 8.1 er softwaren klar, findes under Charms PC settings Network Workplace Join. For IOS 7 skal man oprette en profil før det virker. Det sker ved at åbne Safari og gå til Bekræfte at man vil installere en profil. Denne profil kan efterfølgende ses under Settings General Profiles. Implementering: AD FS skal konfigureres til at supportere Device Authentication. Det sker i Management consolen til AD FS, hvor der i R2 udgaven er tilføjet et nyt punkt i træstukturen Authentication Policies Per Relying Party Trust.

7 På Federation Serveren, skal der være et SAN certifkat. De navne der skal stå i certifikatet er som common name serveren FQDN, feks. Adfs.adatum.com og der foruden navnet enterpriseregistration.adatum.com. Det betyder at der slutteligt skal være følgende 3 navneangivelser i certifikatet: Subject Name (CN): adfs.adatum.com Subject Alternative Name (DNS): adfs.adatum.com Subject Alternative Name (DNS): enterpriseregistration.adatum.com De anvendte navne skal alle være registreret I DNS For at kunne teste det hele skal man have en Web server. Dvs en server med IIS installeret og med Windows Identity Foundation featuren enabled. Man kan downloade en Web app der understøtter claims, til at teste med. Se opsætning af et test miljø her: Windows Identity Foundation skal bruges til at lave en forbindelse mellem Web applikationen og AD FS servicen på AD FS serveren. Yderligere muligheder: Kan fungere sammen med Windows Intune s mulighed for Device Management!! Kilder: Video fra TechEd: B334#fbid=_q7UgGBW929

8 Kort præcis beskrivelse: Samme sted findes artikler om Work Folders. Technet Step by step guide: Anden god artikel om Workplace Join:

9 WorkFolders Må ikke forveksles med Workplace Join! Kan ses som et alternativ til DropBox, Google drev eller Skydrive Pro. Fordelene er at data ikke befinder sig i skyen, kræver ikke en SharePoint implementering, men udnytter eksisterende 2012 R2 miljø. Bemærk, at det handler om en personlig mappe brugeren har og ikke noget med at dele med andre! Ulempen: data kan syncroniseres til en Windows 8.1 mobil device og dermed forlade virksomheden. Klienten skal indtil videre være en eller anden version af Windows 8.1. Det er tanken at IOS også skal understøtte denne feature. Forudsætninger: Certifikat på fileserver med 2 navne: FQDN for server + Workfolders.domain.com eller lignende navn. AD FS kan kombineres med Workfolders. Du kan dog teste Workfolders uden AD FS. Det fordrer at klienten er medlem af AD domænet, idet der benyttes Windows Integrated Authentication.. Installation Er en role service under File server rollen. Brug eksempelvis Server manager, Add roles and Features til at tilføje Work folders. Det er nødvendigt med Web Core features Udgangpunktet er at mappen tilgås med HTTPS. Derfor skal certifikatet bindes til Webservicen. Der er i midlertid ingen IIS management console på filserveren. Fra en anden maskine med IIS management konsolen forbinder man sig til filserveren med work folders og binder så certifikatet til default web site. Web sitet må ikke være kørende! (Der kan derfor ikke være et almindeligt website (80/443) på samme maskine!) Administration I Server Manager under File and Storage

10

11 I Server Manager højreklikkes på Fil serveren, og der vælges Work Folders Settings. Her kan man vælge om der kun skal bruges Windows authentication eller der skal benyttes AD FS. Federation Servicen er nødvendigt for maskiner uden for domain. Her skal man så angive URL stien til Federation Servicen. Der udover skal man konfigurere Relying Party trust på Federation serveren. Der er ikke nogen vejledning til det hos Microsoft. Kilder: Technet, Deploying Work Folders:

12 How to request a SAN certificate. Der skal både til Workplace join og workfolders benyttes et certifikat med flere navne i. Det kaldes et SAN certifikat (Subject Alternative Names). Herunder en vejledning til at få et sådant udstedt fra din egen CA på en Server På de tidligere windows server versioner skal man først enable muligheden for at udstede SAN certifikater. 1. Log på ADFS serveren med domain administrator rettigheder. 2. Tryk på Windows tasten og skriv mmc. Tryk <Ctrl>+<Shift>+Enter for at åbne en management console. 3. Tilføj snap-in for Certificates, local Computer. 4. Marker Personal, og højreklik for at vælge All Tasks Request New Certificate 5. Klik Next på Before you begin. 6. Klik next på Select Certificate Enrollment Policy. Her kan kun være valgt Active Directory Enrollment Policy 7. Afkryds udfor Webserver certifikatet og klik derpå på linket udfor den gule trekant med udråbtegnet.

13 8. Først tilføjes Common Name. Vælg under Subject name: Type Common Name og skriv så det ønskede navn under Value: adfs.adatum.com og klik på Add. 9. Under Alternative name vælges DNS. Tilføj herunder de nødvendige navne, som f.eks. enterpriseregistration.adatum.com og workfolders.adatum.com med flere. Afslut med apply. 10. På fanen General angives et hensigtsmæssigt Friendly Name

14 11. På fanen Private Key sættes flueben udfor Make Private Key exportable Dette er nødvendigt for at kunne flytte certifikatet til Web Proxy serveren. 12. Klik OK og derpå Enroll. 13. Vent til certifikatet er blevet udstedt. Klik Finish for at lukke dialogboksen til sidst. 14. Kontroller at certifikatet er korrekt udstedt. Dobbelt klik på det hvorefter det bliver åbnet. På fanen Details findes feltet Subject Alternative Name. Kontroller de navne, der optræder her. 15. Du har nu udstedt et SAN certifikat.

15 Group Policy Det er småt med nyheder her. Primært er de nye features i Windows 8.1 nu understøttet. Blandt andre nyheder kan nævnes: Group policy caching Er disabled fra start. Kan bruges til at få R2 eller win 8.1 klienter tttil at huske de hentede GPO er, så de efterfølgende ikke skal hentes over en tynd forbindelse. Det betyder hurtigere afvikling af group policies. Kun relevant ved langsom forbindelse. IPv6 i Item Level Targeting Man kan nu benytte IPv6 adresser i forbindelse med Item level targeting i Group policy preferences. Også andre steder i group policies kan ipv6 adresser nu benyttes. Windows 8.1 Det er primært følgende områder der nu kan styres med GPO: Start skærm layout Startskærm baggrund Farveskala Hvad der skal ske når man trykker på start knappen