Windows am DESY Zeuthen Patrick Rüger Überblick – ein paar Zahlen Welche Dienste gibt es? Technik 18/09/2018

Übersicht Windows Umgebung in Zeuthen Zu verstehen ist darunter der Betrieb von: Zeuthen Gesamt (Hamburg+Zeuthen) PC Arbeistplätze (Windows XP) 180 3700 Server (Windows Server 2003) 19 100 Notebooks (Windows XP) 70 ? Drucker / Queues 23 / 32 450 / 515 Benutzer Accounts 460 4950 Steuerungs Rechner 18/09/2018

Verwaltung von Benutzern und Rechnern Benutzeraccountverwaltung per DESY-Registry-Tool: - Tool zur Verwaltung Accounts verschiedener Systeme, spez.Unix- und Windows (aber auch Oracle) - Weboberfläche mit Datenbankanbindung - Account- und Passwort Erzeugung auf beiden Systemen - Mailboxerstellung, Festlegung des Mailserver, Mail-Forward an andere Mailboxen, - Verwalten der Gruppenmitgliedschaften, sowie Zugriff auf Unixrechner - Abbildung der DESY-Gruppen und Zuordnung eines „Gruppenadmin“ zur Verwaltung - Ezeugung der Homeverzeichnisse (AFS/Windows) in Abhängigkeit des Standortes (Z oder HH) PC/Server – Unix-Account Verwaltung : - UNIX-Tool „VAMOS“ - ZEUHA: PC-Inventarverwaltung 18/09/2018

Welche Dienste stehen zur Verfügung ? 1. Anmelde und Verzeichnisdienst – die Active-Directory (AD) Windows Domain „win.desy.de“ bestehend aus 5 Windows Server 2003 Domain-Controllern, welche ihre aktuelle Informationen untereinander replizieren 4 davon in Hamburg; 1 in Zeuthen Verwaltung von User- und Computeraccounts und anderen Objekten (Printer, Shares, Kontakte etc) und zugehörigen, durchsuchbaren Informationen (LDAP kompatibel). ermöglicht nach der Benutzeranmeldung, den Zugriff auf alle in der Domain befindlichen Resourcen (z.B Server, Verzeichnisse, Drucker, Installationsserver usw.) Abbildung einer zweidimensionalen Organisations- bzw. Administrationsstruktur im Verzeichnisdienst möglich, Delegation von Rechten und Anwendung von Richtlinien (Gruppenpolicies) auf User- und Computerobjekte. 18/09/2018

Anmelde und Verzeichnisdienst – Teil2 Bereitstellen des Distributed Filesystems (DFS) zum erzeugen einer einheitlichen Sicht auf die vorhandenen Benutzer- und Gruppenverzeichnisse, die sich über mehrere Fileserver verteilen Konfiguration der Benutzerumgebung auf den PC’s per AD-Group-Policies (z.B Umleitung des bekannten „Eigene Dateien“-Verzeichnissen auf ein Netzlaufwerk; vorkonfigurieren des InternetExplorers; Hinzufügen von DomainAdmins in die Grupper der lokalen Administratoren; Vorkonfiguration der XP Firewall (offene Ports) usw.) 18/09/2018

Das Active-Directory (AD) – Gruppenrichtlinen (Policies) Teil 3 AD Group Policies (Richtlinien) … Auswirkung 18/09/2018

Das Distributed Filesystem (DFS) Die Benutzer-Sicht auf die Windows-Verzeichnisse … und das steckt dahinter 18/09/2018

2. File-Server Windows Server 2003 Cluster bestehend aus: - 2x HP Server DL380 * 2 CPU‘s * 2 GB RAM * 2 OnBoard LAN-Interface 1GBit * 2 Netzteile * 2 Fiber-Channel Controller zum SAN-Storage * Remote Management 2x HP 8 Port Fibre Channel SAN Switch HP MSA1500 Active/Active Storagecontroller RAID5/6 + 4 Festplatteneinschübe mit je 14x 3,5“ SCSI Festplatten (HotSwap) -> aktuelle Kapazität ca. 1,5TB max. Gesamtkapazität bei Vollausbau = 8TB 18/09/2018

File-Server – Teil 2 Funktionsweise des Clusters: - Voraussetzung: gemeinsamer Festplattenspeicher und min.2 Servern (Knoten) - Erzeugung eines virtuellen Servernamen - dieser bekommt eine IPAdresse, und eine Festplattenresource zugeordnet - Clustersoftware sorgt dafür, daß IP und Resource immer nur auf‘ einem Knoten aktiv sein kann - im Fehlerfall wandert der Servername+IP+Festplattenplatz auf den jeweils anderen Server (Knoten) 18/09/2018

3. Mail Server der Windows Mail-Server steht in Hamburg und läuft mit Exchange 2003 auch in Zeuthen gibt es einen Mailserver, läuft unter Unix Der Exchange Mailserver: * Server 2003 Cluster mit 4 Frontend und 3 Backend Server-Cluster à 2Knoten * die Frontend Server verarbeiten die Zugriffe der Mailclients per Outlook, IMAP, HTTPS/OWA (Outlook Web Access), ist Loadbalanced per F5 Switch * die Backend Server kümmern sich um die Speicherung der Mail-Daten in den einzelnen Mailboxen und den Public-Foldern * Warum 3x 2Knotencluster und nicht eins mit 6 Knoten? 3 einzelne Cluster lassen sich leichter handhaben als ein Großes! * als Speichersystem dient eine NetApp, die ihre Festplatten Arrays per LUN (wie direkte SCSI Festplatte) den Backends per Fibrechannel Interface sichtbar macht. * Vorteil der NetApp: - schnelles erzeugen, löschen, vergrößern(online) von Volumes möglich. - Snapshot der Exchange-Mailboxen – damit Backup in 2Min möglich (aus der Sicht des Servers) Die Technik besteht aus: * HP Bladecenter * 10x HP ServerBlade als Windows Exchange Server 2003 * Mail-Speicher liegt auf einer Netapp redundant per FiberChannel angebunden 18/09/2018

Exchange Server Teil 2 Momentan 6,2 Mio Mails pro Tag, wovon das meiste abgelehnt wird. Bleiben netto 20.000 Mails pro Tag, die etwas mehr als 20GB pro Woche in den Inboxen erzeugen Mailboxen: - 3.300 Exchange - 700 IFH-Server (Zeuthen) jede Mail wird per MIMEsweeper auf Viren- und per SpamAssasin auf Spam geprüft . Exchange ermöglicht Zugriff auf die Mailboxen aus dem Internet per WebMail (OWA) 18/09/2018

4.Terminal Service stellt mehreren Benutzern gleichzeitig eine virtuelle Remote-Desktop-Sitzung zur Verfügung dient dem Fernzugang von Außerhalb auf die Windowsumgebung ermöglicht Unix Anwendern den Zugang zu Windows-Applikationen wie MS-Office ermöglicht die zentrale Bereitstellung von Applikationen, ohne diese auf jedem PC installieren zu müssen. Technik: - 2 Terminalserver zur allgemeinen Benutzung - 2 Terminalserver für unsere Verwaltungsmitarbeiter - je Server: HP DL360, 2 CPU‘s, 4GB RAM, 2x 72GB SCSI HD gespiegelt Windows-Loadbalanced-Cluster Modus Funktionsweise:(Voraussetzung: min. 2Knoten, kein gemeinsamer Festplattenspeicher) - Erzeugung eines übergeordneten virtuellen Clusternamens - Benutzeranmeldung erfolgt über diesen Namen - die Loadbalanced-Software meldet den Benutzer in Abhängigkeit der aktuellen Last an dem geringer belasteten Knoten an ein Knoten kann bis zu 100 Benutzer Sessions verwalten (Anwendungs- u. Harwareabhängig) 18/09/2018

5.Installations-Server 1. zentrales Bereitstellen von OS: Windows Server 2003 und XP - dient der OS-Installation von PC‘s, Notebooks und Servern über das Netzwerk per PXE - nutzt bisher die Remote-Installation-Services (von Windows 2003) - ermöglicht eine DESY angepasste OS Installation (Virenscanner, DNS Konfig, usw.) - neuerdings per Windows-Deployment-Service (ab Windows 2003 SP2) * unterstützt das Server 2008+Vista WIM-Image-Format * damit auch Erstellung und Verteilung von XP als WIM-Image möglich * Hauptvorteil gegenüber bisherigen Image-Lösungen: - völlige Freiheit in der Partitionierung - ein Image für verschiedenste Hardware (single CPU, DualCore CPU, PC oder Notebook) - auch nachträgliche Änderungen im Image möglich - Treiberbereitstellung während des Setups (dadurch immer aktuelle Treiber) - da Image – sehr schnell (XP Installation in 10Min) 18/09/2018

Installations-Server Teil 2 2. zentrale Bereitstellung von Applikationen per Netinstall - jeder Benutzer kann die zentralen Applikationen (MS-Office, CAD, Adobe, Firefox usw.) installieren ohne selbst lokaler Administrator sein zu müssen. 18/09/2018

6. Server Monitoring die wichtigsten Server verfügen über ein seperates Monitoring-“Board“ - dieses Meldet per SNMP an eine Management-Server den aktuellen Zustand der Hardware (in der Regel nur den Fehlerfall: Festplatte voll/kaputt, Lüfter ausgefallen, usw.) - zusätzlich kann von diesen Servern auch eine Mail generiert werden auf dem Management-Server läuft eine Management-Software (HP InsightManager) - gibt eine übersichtliche Darstellung aller verwalteter Server und den aktuellen “Gesundheitszustand“ auf einen Blick - ermöglicht das Einspielen von Treiber-Updates - zeigt alle Hardwareparameter (CPU, RAM, Festplatten usw.) - generiert selbständig Mails im Fehlerfall Einsatz des MS Operation Managers (MOM) zum OS-Softwaremonitoring (kontrolle Eventlogs, Dienste, usw.) 18/09/2018

7. Druckserver der Druckserver läuft unter Linux mit CUPS als Druckserversoftware und Samba für den Zugriff auf die Druckerqueues von Windows aus. Durch diese Konstellation besteht auch von Windows aus die vollständige Kontrolle der Benutzer auf ihre Druckjobs (abbrechen, löschen) Die Administration der Queues ist weitestgehend in Windows möglich oder erfolgt über ein Webinterface 18/09/2018

8. Desktop Sicherheit Virenbekämpfung: - alle XP-PC verfügen über McAfee VirusScan 8.0i - bekommen täglich Virensignaturupdates von eigenem Virussignatur-Update-Server - per McAfee – ePolicyOrcestrator ist die zentrale Konfiguration des Virenscanners möglich OS Sicherheits Patches - zentraler Windows-Update-Server (WSUS), steht in HH, versorgt alle Domain PC‘s mit den neuesten Patches lokale XP Firewall ist an und wird per AD-Policy konfiguriert Vermeidung, den Benutzeraccount im administrativen Kontext laufen zu lassen 18/09/2018

9. weitere Dienste IIS Webserver http://adweb.desy.de , als Load Balanced Cluster - windowsbasierte Gruppenwebs (N:\groupadm\www) - windowsbasierte persönliche Homepages (H:\www) WebDAV: Internetzugriff auf Homeverzeichnisse über IIS Lizenzserver für Elektronik- und CAD- Programme MS MSDN SQL Server Backup der Server, Home- und Gruppenlaufwerke mit: - SUN Tape Roboter (Hardware) - IBM Tivoli Storage Manager (TSM) Backupsoftware 18/09/2018

Ausblick aktuell wird „Windows Server 2008“ auf einem neuen HP-Bladesystem installiert als Basis einer Virtualisierung per MS-Hyper-V - damit ist eine geclusterte OS-Virtualisierungs möglich (bewegen eines virtuellen OS von einem Host auf einen anderen) - da Hyper-V tatsächlich sehr schnell ist, sollten künftige nicht sehr performance-kritische Serveranwendungen, virtualisiert werden. (Vermeidung Hardwareneukauf, Energieeinsparung, weniger Wartungsverträge für neuere Windows 2003 Installationen sollen die 64Bit Version eingesetzt werden Update der XP Clients auf SP3 Vista als PC-OS, ist bisher nicht nötig. 18/09/2018

Technik für Virtualisierung HP Bladecenter c7000: - 4x redundante Stromversorgung - 2x 2AMD Quad Opteron 2.2GHz; 8GB RAM; 2x 72GB SAS gespiegelt (ausreichend für 3 virtuelle Maschinen à 2GB RAM) - Festplatten Array MSA1500 Active/Active per Fibrechannel - 1x Intel QuadCore Xeon 2,2GHZ; 8GB RAM ; 2x 72GB SAS gespiegelt - 1x StorageBlade 4x146GB SAS 18/09/2018

Server Blade Management 18/09/2018

Windows am DESY Zeuthen Fragen ? 18/09/2018