Windows Systemadministration mit UNIX-Werkzeugen

Motivation

Einzel-PC versus sehr viele Rechner
GUI versus Scripte
konsistente Systemkonfigurationen
Automatisierung

(wesentliche) Entwurfsziele

Unterstützung verschiedener Betriebssystemfamilien
- Familie Windows NT (WXP, W2K, W2003,...)
- Familie RedHat Linux
- DACS (Distributed Access Controll System)
Unterstützung unterschiedlicher Systemplattformen, z.B.
- Scientific Linux 3.0.5 für Intel Itanum IA64
- Linux Fedora Core 5 für Rechner der Architektur AMD Athlon 64
- Scientific Linux 4.2 für 32-Bit-Intel-Architektur
- Windows XP für Rechner mit 32-Bit-Intel-Architektur
Skalierbarkeit
- Anzahl der Rechner
- Vielfalt der HW und SW
- Funktion, Dienste
Unterstützung kooperativer Systemadministration
- Spezialisten für Sachgebiete
- Verantwortliche für Funktionen und Dienste

ToSCA-Funktionsumfang

Systeminstallation
Konfiguration der Systemkomponenten
Softwareinstallation und -update
Monitoring
Recovery
Bestandsverwaltung (Asset-Management)
...

wesentliche ToSCA-Konzepte

Systemplattformen
Klassen
Real World Hostinfos
Repository-Hierarchien
Software-Depots

Systemplattformen

Systemplattform: spezifiziert grundsätzliche Attribute eines ToSCA-administrierten Rechnersystems

Hardware-Architektur
Betriebssystem(-Distribution)
konkrete BS-Version (Release)

ToSCA-Notation: <DISTRIBUTOR>_<BSVersion>_<ARCH>

vollständige Systembezeichnung	Betriebssystem	Version	Architektur	ToSCA-Notation
Windows XP (32-Bit-Intel-Architektur)	WXP	5.1	X86	WXP_5.1_X86
Red Hat Enterprise 4, Update 3 (AMD64 bzw. Intels EM64T)	RH	4.3	x86_64	RH_4.3_x86_64
Linux Fedora Core 5 (PowerPC)	FC	5	ppc	FC_5_ppc
Scientific Linux 3.0.5 (Intel Itanum IA64)	SL	3.0.5	ia64	SL_3.0.5_ia64

Systemplattform ermöglicht generische Klassifizierung eines installierten Systems
- Software-Repositories
- Repositories für Konfigurationsfiles
- Cfengine-Klassen
z.Z. unterstützte Systemplattformen http://www.tu-chemnitz.de/urz/system/

Klassen

Klassen gewährleisten die korrekte Adressierung von Aktionen, Konfigurationsfiles, ToSCA-Repositories durch die ToSCA-Tools (cfengine, etc.)

jeder Host gehört zu wenigstens einer Systemplattform-Klasse

ToSCA Cfengine

WXP_5.1_X86 WXP_51_X86

SL_3.0.5_X86 SL_305_X86
jeder Host gehört (innerhalb einer Systemplattform-Klasse) zu genau einer Funktionsklasse (FU-Klassen)
- FU_..._SERVER oder FU_..._WS oder FU_..._DEVEL_MISC
der Name eines Rechners legt seine Host-Klasse fest
alle Rechner gehören zur generischen Klasse any
Verbund-Funktionsklassen (CFU-Klassen) vereinigen bestimmte FU-Klassen)
Attribut-Klassen (AT-Klassen) fassen Rechner mit speziellen Attributen zusammen (überlappend)

Real World Hostinfos

ToSCA	Cfengine
WXP_5.1_X86	WXP_51_X86
SL_3.0.5_X86	SL_305_X86

Real World Hostinfos: alle nicht automatisch erfassbaren und änderbaren Zustandsinformationen für ein Rechnersystem (Host)

Systemplattform
Funktionsklasse
verantwortliche Funktionsadmins
Hostname, Domain
Standort
Einrichtung des Besitzers/Betreibers
Ansprechpartner (vor Ort)

allgemeine Syntax:

<sp>:<fu_klasse>:<nkz_fuv_1>[,<nkz_fuv_2>,...]:<hostname>.<domaene>:<gebäude[,raum]>:<einrichtung>[,<lehrstuhl>]:<nkz_ap_1>[,<nkz_ap_2>,...]:


a)    WXP_5.1_X86:FU_CH_PCH_WS:czi,stb:regenbogen.chemie:na,B14A:CH,PCH:elkl,ggo:
      ^           ^            ^       ^                 ^       ^      ^
      |           |            |       |                 |       |      |
      |           |            |       |                 |       |      |
Systemplattform   |        FU-Admins   |           Standort      |      Ansprechpartner
                FU-Klasse            Host.Domain            Einrichtung

b)    W2003_5.2_X86:FU_UB_LIBERO_TS_SERVER:hot,jamar:schwarzkopf.bibliothek:na,060:UB:hot,jamar:

c)    SL_4.2_x86_64:FU_FTP_SERVER:fischer,fri:arges.hrz:na,060:URZ,DK:fischer,fri:

Beispiele für RWH-Einträge

Repositories (I)

Repositories: über Klassen adressierte ToSCA-Verzeichnishierarchien, z.B.:

Prototypen von Konfigurationsfiles (ROOT-Repos)
Software (Software-Repos)
ToSCA-Scripte (SCRIPTS-Repos)
Logging-Informationen (LOGS-Repos)
Cfengine-Daten und -Programme (CFENGINE-Repos)

$ tree -L 1 /afs/tu-chemnitz.de/ToSCA/
/afs/tu-chemnitz.de/ToSCA/
|-- CFENGINE
|-- CVS
|-- DATA
|-- LOGS
|-- ROOTS
|-- SAVECFENGINE
|-- SAVELOGS
|-- SAVEROOTS
|-- SCRIPTS
`-- SW

ToSCA-Repositories

Repositories (II)

ROOT-Repositories: für jede definierte Klasse wird eine Verzeichnishirearchie aufgespannt, die genau jene Prototypen von Konfigurationsfiles enthält, die diese Klasse von anderen Klassen unterscheiden

für jeden Prototyp gilt:
- finde die allgemeingültigste Klasse
- vermeide identische Prototypen

/afs/tu-chemnitz.de/ToSCA/ROOTS                       | Erläuterung:
                                                      |
|-- LINUX                                             | OS-Familie Linux
|-- SL_4                                              | SL_4 - unabhängig von Architektur und Minor-Release
|-- SL_4_X86                                          | SL_4_X86 - unabhängig von Minor-Release
|-- SL_4.2_X86                                        | SL_4.2_X86 
|-- ...                                               |
|-- NT                                                | NT - für alle Windows-BS
|-- W2003_5.2_X86                                     |     
|-- W2K_5.00_X86                                      |
`-- WXP_5.1_X86                                       |

ROOT-Repositories werden für OS-Familien und Systemplattformen aufgespannt

/afs/tu-chemnitz.de/ToSCA/ROOTS/SL_4.2_X86            | Erläuterung:
                                                      |
|-- ROOT4ANY                                          | für alle SL_4.2_X86-Rechner 
|-- CFU_DESKTOP                                       | für alle Desktop-Rechner (Pools, Arbeitsplätze, ...)
|   `-- etc                                           |
|       `-- rpm_accept.global.conf                    | Mindest-Software für Desktop-Rechner
|-- CFU_POOL                                          |
|   `-- etc                                           |
|       `-- rpm_accept.spec.conf                      | spezielle Software für alle Poolrechner
|-- ...                                               |
|-- FU_POOL_SN_207                                    | Konfigfiles für den Pool StraNa, Raum 207
|-- ...                                               |
|-- elbling                                           | spezielle Konfigfiles für den Pool-Rechner elbling

ROOT-Repositories für Systemplattform SL_4.2_X86

/afs/tu-chemnitz.de/ToSCA/ROOTS/SL_4.2_X86/elbling    | auf Rechner elbling:
                                                      |
|-- etc                                               |
|   |-- X11                                           |
|   |   `-- xorg.conf                                 | /etc/X11/xorg.conf
|   |-- crontab                                       | /etc/crontab
|   |-- daemon.local.conf                             | /etc/daemon.local.conf
|   |-- printcap.local                                | /etc/printcap.local
|   |-- rpm_accept.local.conf                         | /etc/rpm_accept.local.conf
|   |-- sudoers.global                                | /etc/sudoers.global
|   `-- sudoers.local                                 | /etc/sudouers.local
`-- usr                                               |
    `-- local                                         |
        `-- bb                                        |
            `-- etc                                   |
                `-- bb-dftab                          | /usr/local/bb/etc/bb-dftab

ROOT-Repository für Rechner elbling

Softwaremanagement

ToSCA-SW-Management basiert auf

Software-Repositories
Konfigurationsfiles, die den Paket-Bestand eines Rechners definieren
Prozeduren zur automatischen Installation bzw. Update von SW-Paketen

Software-Repositories
- vom Distributor gelieferte SW (wird nicht modifiziert)
- (verifizierte) Software-Updates
- contributed SW (URZ_CONTRIB)

/afs/tu-chemnitz.de/ToSCA/SW/URZ_CONTRIB

|
|-- ...
|-- anhe
|   |-- LINUX
|   |-- ...
|   |-- SL_4.2_X86
|   |-- SL_4_X86
|   |-- ...
|   |-- NT
|   |   |-- flash_player-8.0.24-1         ------+
|   |   |-- ...                                 |   
|   |                                           |   - Paketbau
|   |-- W2003_5.2_X86                           |   - Testung
|   `-- WXP_5.1_X86                             |   - Freigabe zur Verteilung
|                                               |
`-- STANDARD                                    |
    |-- LINUX                                   |   - Kopieren 
    |-- ...                                     |   - evtl. Löschen alte Version
    |-- SL_4.2_X86                              |   - evtl. Eintragen in 
    |-- SL_4_X86                                |     wpm_accept.{global,spec,local}.conf
    |-- ...                                     |
    |-- NT                                      |
    |   |-- flash_player-8.0.24-1        <------+
    |   |-- ...
    |   
    |-- W2003_5.2_X86
    `-- WXP_5.1_X86

Softwarebereitstellung in URZ_CONTRIB

Windows Systemadministration

Welche Einstellungen werden zentral gepflegt?

Software- und Systemeinstellungen

Netzwerkkonfiguration (DNS Such-Suffix)
WindowsUpdate: Serverpfad, Zeitplanung und Verhalten
Konfiguration der Zeitsynchronisation
Softwarebestand eines Hosts
Softwarekonfigurationen
- Updatepfad für Virenscanner
- Bigbrother Monitoringserver
...

Wie und wo werden Software- und Systemeinstellungen festgelegt?

grafische Werkzeuge wie Management Console
Abbildung der Konfigurationseinstellung in:
- Files, INI-Files, XML-Files
- Registry
Beachte: INI- und XML-Files editieren aber NICHT überschreiben!

cfengine (I)

cfengine als ToSCA-Werkzeug:

Auflösung der Klassenhierarchie
Synchronisation lokaler Files aus den Repositories
Ausführen von Aktionen (Scripts, ...)

Voraussetzungen

cygwin http://www.cygwin.com/
crond (Komponente von cygwin)
OpenAFS http://www.openafs.org/

Build

Berkley DB http://dev.sleepycat.com/
OpenSSL (Komponente von cygwin)
cygwin Entwicklertools http://www.cygwin.com/

$ tar xvfz db-4.4.20.tar.gz
$ cd db-4.4.20/build_unix/
$ ../dist/configure
$ make
$ make install

$ tar xvfz cfengine-2.1.15.tar.gz
$ cd cfengine-2.1.15
$ patch -p1 <../patch.cfengine_nontsec
$ patch -p1 <../patch.cfengine_MOUNT_RO
$ mkdir lib
$ ln -s /usr/lib/libcrypto.a lib/
$ LIBS=-L$(pwd)/lib ./configure --with-berkeleydb=/usr/local/BerkeleyDB.4.4/
$ make
$ make install$

Beachte:

Versionsabhängigkeit zur cygwin1.dll und damit zur cygwin-Version
Gross/Kleinschreibung von Files ud Verzeichnissen check_case:relaxed
Abbildung UNIX-Rechte vs. NTFS-Rechte nontsec
- patch.cfengine_nontsec
- patch.cfengine_MOUNT_RO

cfengine (II)

Installation

Schlüsselpaar erzeugen

$ /usr/local/sbin/cfkey.exe
Making a key pair for cfengine, please wait, this could take a minute...
Writing private key to /var/cfengine/ppkeys/localhost.priv
Writing public key to /var/cfengine/ppkeys/localhost.pub

cfengine Schlüsselpaar erzeugen

Konfiguration

Konfigurationsumgebung unter $CFINPUTS=/afs/tu-chemnitz.de/ToSCA/CFENGINE/ALL_CFSCRIPTS/
plattformunabhängiger Pfad zu Repositories //afs/tu-chemnitz.de/... (OpenAFS >= 1.4.x)
plattformspezifische Unterschiede marginal:

linux.!nt::
  access         = ( root )
nt.!linux::
  access         = ( system )

linux.!nt::
  ROOT_DEST = ( / )
nt.!linux::
  ROOT_DEST = ( c:// )

plattformspezifische Unterschiede in cfengine-Konfiguration

Startscript cfagent

Bash-Script //afs/tu-chemnitz.de/ToSCA/SCRIPTS/ALL_SCRIPTS/cron_daily.sh (plattformunabhängig)
determinieren von:
- Plattformfamilie
- Plattform
- ...
setzen der Konfigurationsvariablen

cfengine (III)

zeitgesteuerter Start

at-Job, geplanter Task
- Konfiguration umständlich (at.exe, schtasks.exe)
crond als cygwin-Komponente
- Konfiguration über crontab aus Repository
- crontab als Windows-Dienst über srvany.exe gestartet
- alternative via Cygserver cygrunsrv

beim Systemstart

als Windows-Dienst (im Nutzerkontext SYSTEM != Administrator)

auf Anforderung (remote)

als Windows-Dienst (sc.exe, WinAdmin)

cfengine in Aktion

Synchronisieren von Files

crontab
wpm_accept.{global,spec,local}.conf} (Softwarebestand)
printcap (Druckerkonfiguration)
einzelne Binaries (dumpel.exe, cleareventlog.exe, ...)
Message of Today

Synchronisieren von Registryschlüsseln

Abbildung auf Files (%SYSTEMROOT%/local/registry/*.reg)
Importieren der Files via cfengine-Script
- importieren erfolgt bei jedem cfengine-Lauf
- löschen von Schlüsseln ?
BigBrother-Konfiguration, (Windows)-Firewall-Konfiguration

Ausführen von Scripts

Importieren der Registryfiles
Mergen von Konfigurationsfiles
Logging
Anwenden von Policies
Deinstallation von Softwarepaketen
...

Notifikation

cygwin Email-Komponente
SMTP

===BEGIN=balling=SYSTEM=Wed Mar 15 03:14:01     2006====
cfagent-OPTIONS=-b --no-lock --inform -DDaily -DMOTD -DWXP_51 -DWXP_51_X86 -DWXP_51_X86 -NFC_1_X86 -NFC_4_X86 -NSL_3_ia64 -NSL_3_X86 -NSL_4_X86 -NSL_4_x86_64 -NSL_302_ia64 -NSL_305_X86 -NSL_42_X86 -NSL_42_x86_64 -NFC_1 -NFC_4 -NSL_3 -NSL_4 -NW2K_500_X86 -NW2003_52_X86 -NDACS_2_X86 -NDACS_2 -NDACS_20_X86
cfengine:balling: Update of image /cygdrive/c\windows\system32\repl\import\scripts\check_token.sh from master //afs/tu-chemnitz.de/ToSCA/ROOTS/NT/CFU_DESKTOP\windows\system32\repl\import\scripts\check_token.sh on localhost
cfengine:balling: Update of image /cygdrive/c\windows\local\registry\bigbrother_ignoremsgs.reg from master //afs/tu-chemnitz.de/ToSCA/ROOTS/NT/ROOT4ANY\windows\local\registry\bigbrother_ignoremsgs.reg on localhost
cfengine:balling: Executing script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/registry_import.sh...(timeout=0,uid=-1,gid=-1)
cfengine:balling: Finished script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/registry_import.sh
cfengine:balling: Executing script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/gpupdate.sh...(timeout=0,uid=-1,gid=-1)
cfengine:balling: Finished script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/gpupdate.sh
cfengine:balling: Executing script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/host_info.sh...(timeout=0,uid=-1,gid=-1)
cfengine:balling: Finished script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/host_info.sh
cfengine:balling: Executing script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/merge_conf.sh c:/windows/local/etc/wpm_accept.conf...(timeout=0,uid=-1,gid=-1)
cfengine:balling: Finished script /bin/bash //afs/tu-chemnitz.de/ToSCA/SCRIPTS/NT/merge_conf.sh c:/windows/local/etc/wpm_accept.conf
===END  =balling=SYSTEM=Wed Mar 15 03:14:53     2006====

Auszug cfagent-Logging

Logging

Scriptausführung

Umleitung aller Scriptausgaben in hostspezifische Logfiles
Notifikation von Fehlern per Email

Hostinformationen

Füllstände der Filesysteme
lokale Ereignisprotokolle
Hardwarekomponenten (nur rudimentär)
Netzwerkkonfiguration
Druckerkonfiguration
aktive Dienste
spezifische Registryschlüssel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
installierte Software
Servicepacks und Hotfixes

Softwareinstallation (I)

Motivation für den Betrieb der Windows-Plattform ist die Bereitstellung von Software.

Voraussetzung

Software in Paketform
unbeaufsichtigte (silent) Installation (im Nutzerkontext SYSTEM)
geeignete Namensvergabe und Versionierung für automatische Updates

Windows Package Manager (WPM)

Rahmen für verschiedene Softwareinstallationsverfahren
- MSI (mit Transformationsscripten)
- InstallShield (mit Response-File)
- ZIP-Archive + Installationsscript
  - Registryschlüssel
  - registrieren von DLLs
  - installieren von Diensten
Namensvergabe und Versionierung an RPM (RedHat Package Manger) angelehnt
lokale Datenbank mit Installations- und Deinstallationsinformationen
Startmenü- und Desktopsymbole

Softwareinstallation (II)

WPM-Pakete

Aufbewahrung im Softwaredepot
Namenskonvention <name>-<version>-<release>
Paketbeschreibung:
- Summary, License, Group, Packager, URL
Paketverwaltungswerkzeuge

$ wpm -qi notepad2
Name:          notepad2
Version:       1.0.12
Release:       2
Install Date:  2006-03-27 08:44:27
Group:         Application/Editor
License:       GPL
URL:           http://www.flos-freeware.ch/notepad2.html
Summary:       Yet another Notepad replacement...

Bsp: wpm-Paketverwaltung

auto_wpm

automatische Softwareinstallation und -update
cron-gesteuert
Konfiguration Softwarebestand:
- Mischen aus Funktionsklassen und Hostspezifischer Konfiguration wpm_accept.conf
- Definition von updatekritischen Paketen wpm_exclude.conf

Administrationswerkzeuge

Systemadministration

Scripts zum Einrichten von Hosts und Funktionsklassen
Scripts zur Auswertung der Logfiles
- iso-8859-1 | utf-8 | utf-16
WinAdmin https://service.hrz.tu-chemnitz.de/winadmin/
- Webfrontend für Samba(tng)-Werkzeuge http://www.samba-tng.org/
- Workstationinformationen
- Kontrolle von Diensten, Shutdown/Reboot
- Anzeigen von Verzeichnissen, Registryzweigen und Ereignisprotokollen
- Ausführen von Jobs

Softwareverwaltung

Scripts, Templates zum Erstellen von WPM-Paketen
Werkzeuge für Bau und Modifikation von MSI-Paketen
- Orca, MSI-Tools
- Winstall, WinConsole
- Wise Package Studio

Fazit

statistische Informationen

405 Desktopsysteme (WXP_51_X86)
- 185 Pool-PCs
10 Serversysteme (W2003_52_X86)
- WindowsUpdate/Lizenzserver, Sophos_EM, Applikationsserver

Stand: März 2006

Probleme

Wie finde ich Windows Konfigurationsparameter (Registryschlüssel, Konfigfiles)?
Konfigurationsaktionen, welche nicht per Kommandozeile/Registry abbildbar sind
- Vergabe von Privilegien
- Berechtigungen in der Registry
interaktive Kommandozeilenwerkzeuge
- Sind Sie sicher (J/N)?
Auswertung von Returncodes
Zeichensatzcodierung bei Auswertung/Aufbereitung von Loginformationen
AFS Cache-Inkonsistenzen
silent Softwareinstallation
Softwareinstallation im Nutzerkontext SYSTEM
stetig wachsende Softwarepakete (mehrere GB je Softwareprodukt)

Windows Systemadministration mit UNIX-Werkzeugen

ToSCA - Toolbox for System Configuration and Administration

Motivation

(wesentliche) Entwurfsziele

ToSCA-Funktionsumfang

ToSCA-Funktionsumfang

wesentliche ToSCA-Konzepte

Systemplattformen

Klassen

Real World Hostinfos

Repositories (I)

Repositories (II)

Softwaremanagement

Windows Systemadministration

Software- und Systemeinstellungen

cfengine (I)

Voraussetzungen

Build

Beachte:

cfengine (II)

Installation

Konfiguration

Startscript cfagent

cfengine (III)

zeitgesteuerter Start

beim Systemstart

auf Anforderung (remote)

cfengine in Aktion

Synchronisieren von Files

Synchronisieren von Registryschlüsseln

Ausführen von Scripts

Notifikation

Logging

Scriptausführung

Hostinformationen

Softwareinstallation (I)

Voraussetzung

Windows Package Manager (WPM)

Softwareinstallation (II)

WPM-Pakete

auto_wpm

Administrationswerkzeuge

Systemadministration

Softwareverwaltung

Fazit

statistische Informationen

Probleme

Links