Windows XP Service Pack 2 - Handbuch für die Anwendungskompatibilität
Anhang
Dieser Anhang enthält Beispielskripts und zwei Szenarien zur Bereitstellung von Risikominimierungsskripts für Anwendungskompatibilität. Skripts ermöglichen das Durchführen von Konfigurationsänderungen auf mehreren Computern, um sicherzustellen, dass die Konfiguration identisch ist. Die beiden Szenarien enthalten Beispielskripts für die Bereitstellung von Windows(r) XP Service Pack 2 (SP2) sowie Konfigurationsskripts für Anwendungskompatibilität. Diese Skripts werden als Beispiele zur Verfügung gestellt und müssen möglicherweise geändert werden, damit sie in Ihrer Umgebung funktionieren. Jedes Szenario umfasst eine Infodatei, Readme.txt, mit einer kurzen Beschreibung der Skripts, die bearbeitet werden müssen. Jedes Skript bietet Einzelheiten zu den erforderlichen Änderungen. Hierzu können Änderungen an Servernamen, Freigabenamen und Benutzeranmeldeinformationen gehören. Sie müssen sich eine Kopie von Windows XP SP2 beschaffen, bevor Sie eines der Szenarien oder der zugehörigen Skripts ausführen können. Windows XP SP2 steht unter der folgenden Adresse zum Download zur Verfügung: Die zugehörigen Skripts ändern Einstellungen in der Windows XP-Registrierung. Sie sollten in einer Testlaborumgebung gründlich getestet werden, um sicherzustellen, dass die gewünschten Ergebnisse erzielt werden können. Sorgen Sie dafür, die Registrierung vor dem Ändern zu sichern. Außerdem müssen Sie verstehen, wie die Registrierung beim Auftreten eines Problems wiederhergestellt werden kann. Informationen über die Verfahren zum Sichern, Wiederherstellen und Bearbeiten der Registrierung finden Sie im Knowledge Base-Artikel 256986, "Beschreibung der Microsoft Windows-Registrierung", unter: Eine Beschreibung der Microsoft Windows-Registrierung finden Sie unter: http://support.microsoft.com/default.aspx?scid=kb;DE;256986 Zusätzliche Informationen zur Skripterstellung finden Sie im Scripting Solutions Center unter: http://www.microsoft.com/technet/scriptcenter/solutions/default.mspx Auf dieser Seite
Erstellen einer REG-Datei zum Einsatz mit den zugehörigen SkriptsBei mehreren der Skripts zu diesem Handbuch wird eine REG-Datei zur Konfiguration in den Fällen verwendet, in denen Anwendungskompatibilität ein Problem darstellt. Das Skript führt die REG-Datei in der Windows XP-Registrierung zusammen. Syntax der REG-DateienEine REG-Datei weist die folgende Syntax auf: RegistryEditorVersion
<Blank line>
[RegistryPath1]
"DataItemName1"="DataType1:DataValue1"
DataItemName2"="DataType2:DataValue2"
<Blank line>
[RegistryPath2]
"DataItemName3"="DataType3:DataValue3"Dabei gilt: RegistryEditorVersion steht entweder für "Windows-Registrierungs-Editor, Version 5.00" (Windows(r) 2000, Windows XP und Windows Server(tm) 2003) oder für "Registrierungs-Editor4" (Windows(r) 98 und Windows NT(r) 4.0). Der Header "REGEDIT4" funktioniert auch bei Windows 2000-basierten, Windows XP-basierten und Windows Server 2003-basierten Computern. Blank line (Leerzeile) steht für eine Zeile, die außer einem Wagenrücklauf/Zeilenvorschub keine Zeichen enthält. Leerzeilen erleichtern das Lesen einer Registrierungsdatei. Standardmäßig wird vor jedem neuen Registrierungspfad eine Leerzeile eingefügt. Jeder Schlüssel oder Unterschlüssel stellt einen neuen Registrierungspfad dar. RegistryPathx steht für den Pfad des Unterschlüssels, in dem der erste zu importierende Wert gespeichert ist. Setzen Sie den Pfad in eckige Klammern, und trennen Sie jede Ebene der Hierarchie durch einen umgekehrten Schrägstrich. Beispiel: [HKEY_LOCAL_ MACHINE\SOFTWARE\Policies \Microsoft\Windows\System] Eine REG-Datei kann mehrere Registrierungspfade enthalten. Wenn die unterste Ebene der Hierarchie in der Pfadanweisung in der Registrierung nicht vorhanden ist, wird ein neuer Unterschlüssel erstellt. Der Inhalt der Registrierungsdateien wird in der von Ihnen eingegebenen Reihenfolge an die Registrierung gesendet. Wenn Sie einen neuen Unterschlüssel mit einem weiteren Unterschlüssel eine Ebene darunter erstellen möchten, müssen Sie deshalb die Zeilen in der richtigen Reihenfolge eingeben. DataItemNamex steht für den Namen des zu importierenden Datenelements. Wenn ein Datenelement Ihrer Datei in der Registrierung nicht vorhanden ist, wird sie von der REG-Datei (mit dem Wert des Datenelements) hinzugefügt. Ist ein Datenelement vorhanden, wird dessen Wert durch den Wert in der REG-Datei überschrieben. Der Name des Datenelements muss in Anführungszeichen gesetzt werden. Direkt auf den Namen folgt ein Gleichheitszeichen. DataTypex steht für den Datentyp des Registrierungswertes, der direkt auf das Gleichheitszeichen folgt. Außer bei REG_SZ (einem Zeichenfolgenwert) folgt direkt auf den Datentyp ein Doppelpunkt. Wenn der Datentyp jedoch REG_SZ lautet, fügen Sie keinen Datentypwert oder Doppelpunkt an. In diesem Fall wird von Regedit.exe der Datentyp REG_SZ angenommen. Zu den häufigen Datentypen in der REG-Datei zählen die folgenden Typen: REG_BINARY hexadecimal REG_DWORD dword REG_EXPAND_SZ hexadecimal(2) REG_MULTI_SZ hexadecimal(7) Erstellen der REG-DateiAusgehend vom Test- und Risikominimierungshandbuch zur Anwendungskompatibilität unter Windows XP Service Pack 2, lautet der Speicherort des Registrierungsschlüssels Zones: HKEY_CURRENT_USER\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\ Im Folgenden wird erläutert, wie die REG-Datei für das Verwaltungsskript Zones im Ordner \scripts\IE erstellt wird. So generieren Sie eine REG-Datei
Der Vorgang zum Erstellen der anderen REG-Dateien verläuft ähnlich. In einigen Fällen ist die Klassenkennung (Class Identifier - CLSID) erforderlich, bevor der richtige Teil der Registrierung exportiert werden kann. Sie müssen die Registrierung nach dem Anzeigenamen durchsuchen, um die CLSID zu finden. Diese muss in Verbindung mit dem in den Beispielskripts angegebenen Registrierungspfad überprüft werden. Weitere Informationen zu allgemeinen Vorgehensweisen bei der Skripterstellung finden Sie im ScriptCenter (engl.) unter http://www.microsoft.com/technet/scriptcenter/default.mspx Extrahieren der SkriptsIn der folgenden Tabelle werden die Ordner aufgelistet, die beim Extrahieren der ausführbaren Datei erstellt werden. Tabelle A.1
Die Risikominimierungsskripts für AnwendungskompatibilitätIm folgenden Abschnitt werden die Funktionen der Anwendungskompatibilitätsskripts kurz beschrieben. DCOM-AusnahmeDer Ordner DCOM enthält ein Skript zum Ändern des Standardsicherheitsverhaltens. In der folgenden Tabelle wird der Inhalt dieses Ordners aufgelistet. Tabelle A.2
DCOMSec.vbsDas Skript, das dazu dient, eine DCOM-Anwendung von der durch Windows XP SP2 angewendeten Sicherheit auszunehmen, verwendet die RegWrite-Methode des WshShell-Objekts aus dem WSH-Objektmodell (Windows Script Host). RegWrite schreibt die CLSID der Anwendung in den ActivationSecurityCheckExemptionList-Wert. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole \AppCompat\ActivationSecurityCheckExemptionList Der Benutzer kann in das Eingabefeld dieses Skripts die Anwendungs-ID aus dem Abschnitt "DCOM Config" der MMC Komponentendienste eingeben. Suchen der Anwendungs-IDDas DCOM-Beispielskript fordert Sie zur Eingabe der Anwendungs-ID/CLSID der Anwendung auf, die ausgenommen werden soll. Führen Sie zum Suchen der Anwendungs-ID die folgenden Schritte aus:
In der folgenden Abbildung wird die Anwendungs-ID für die Anwendung im Abschnitt "DCOM Config" der MMC Komponentendienste wiedergegeben. Internet ExplorerZum Bearbeiten von Internet Explorer im Ordner IE sind mehrere Skripts vorgesehen. Die folgende Tabelle enthält eine Auflistung dieser Skripts. Tabelle A.3
In den folgenden Abschnitten werden diese Skripts ausführlich erläutert. AddOn.vbsDieses Skript führt die Datei Addon.reg, die eine Liste der gesperrten Internet Explorer-Add-Ons enthält, mit der lokalen Registrierung zusammen. Die Datei Addon.reg wird durch Exportieren der Liste von einem Testcomputer generiert. Dieses Skript kann zum Konfigurieren mehrerer Computer mithilfe der in Kapitel 4 erläuterten Bereitstellungsmethoden verwendet werden. Es wendet eine REG-Datei an, die die Registrierung bearbeitet, um ein bestimmtes Internet Explorer-Add-On zu deaktivieren. Die REG-Datei bearbeitet die folgenden Registrierungsschlüssel: HKEY_CURRENT_USER\Software\Microsoft\Windows \CurrentVersion\Ext\Settings HKEY_CURRENT_USER\Software\Microsoft\Windows \CurrentVersion\Ext\Stats Vor dem Einsatz dieses Skripts muss die REG-Datei bearbeitet werden, damit sie die CLSID der zu deaktivierenden Add-On-Komponente enthält. Zum Identifizieren der CLSID einer Add-On-Komponente durchsuchen Sie die Registrierung mit den folgenden Schritten nach dem Add-On-Namen in der Schnittstelle Add-Ons verwalten:
Mithilfe einer REG-Datei lassen sich mehrere Bearbeitungsvorgänge gleichzeitig ausführen. Es ist jedoch auch möglich, jeden Eintrag einzeln zu bearbeiten. Zu diesem Zweck wird ein Skript geschrieben, mit dem ein bestimmter Wert bei Bedarf geändert werden kann. So deaktivieren Sie mehrere Internet Explorer-Add-Ons
REG-Dateien können importiert werden, indem die Datei bei Bedarf direkt ausgeführt wird. AllowPop.vbsDieses Skript lässt Popups von ausgewählten Websites zu. Es führt die Datei allowpop.reg mit dem lokalen Registrierungsschlüssel zusammen: HKEY_CURRENT_USER\Software\Microsoft \Internet Explorer\New Windows\Allow Die zugehörige REG-Datei kann bearbeitet werden, um weitere Websites zuzulassen, indem zusätzliche Zeilen in folgendem Format hinzugefügt werden: "www.website.com"=hex: ZoneElevation.vbsIn dem Skript zum Zulassen der Zonenanhebung wird die RegWrite-Methode des WshShell-Objekts aus dem WSH-Objektmodell verwendet. RegWrite schreibt den Schlüssel FEATURE_ZONE_ELEVATION in die Registrierung, um die Sicherheitsfunktion für den Prozess iexplore.exe zu deaktivieren. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Internet Explorer\Main\FeatureControl \FEATURE_ZONE_ELEVATION\iexplore.exe Dieses Skript bearbeitet die Registrierung zum Deaktivieren und Aktivieren der Zonenanhebungseinschränkung für den Prozess iexplore.exe. 1 - Aktiviert das Feature. 0 - Deaktiviert das Feature. Zones.vbsDieses Skript konfiguriert das Internet Explorer-Feature Zonen. Es sollte nur verwendet werden, wenn das Feature für eine Webanwendung erforderlich ist. Zones.vbs führt die zugehörige Datei, Zones.reg, mit der lokalen Computerregistrierung zusammen. Die Datei Zones.reg wird von einem Testcomputer aus generiert, bei dem dieses Feature deaktiviert ist. Das Skript zum Ändern der Sicherheitszonenkonfiguration wendet eine REG-Datei an, die aus dem Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\0 exportiert wurde. Bearbeiten Sie die Zonenkonfiguration in Internet Explorer, und exportieren Sie anschließend den Registrierungsschlüssel. Wenden Sie die REG-Datei mithilfe des Skripts auf andere Computer an. Die unterschiedlichen Zonen werden folgendermaßen durch numerische Werte angegeben: 0 - Lokal 1 - Internet 2 - Vertrauenswürdige Sites 3 - Internet 4 - Eingeschränkte Sites LocalMachineLockdown.vbsDieses Skript konfiguriert weitere Einschränkungen für die Zone Lokaler Computer. Ein Skript oder eine ausführbare Datei, die aus der Zone Internet gedownloadet wurde, wird auf dem lokalen Dateisystem gespeichert und konnte deshalb unter Versionen vor Windows XP SP2 ausgeführt werden, ohne dass der Benutzer zur Eingabe aufgefordert wurde. Windows XP SP2 aktiviert standardmäßig die Sperrung des lokalen Computers, um diese mögliche Sicherheitsverletzung zu verhindern. Für dieses Feature muss NTFS als lokales Dateisystem verwendet werden. LocalMachineLockdown.vbs schreibt in den folgenden Unterschlüssel der Registrierung, um die Sperrfunktion für den Prozess iexplore.exe zu aktivieren bzw. zu deaktivieren: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Internet Explorer\Main\FeatureControl \FEATURE_LOCALMACHINE_LOCKDOWN\iexplore.exe 1 - Aktiviert die Sperrfunktion. 0 - Deaktiviert die Sperrfunktion. Skripts für Outlook ExpressDer Ordner Outlook enthält ein einziges Skript zum Bearbeiten von AES. In der folgenden Tabelle werden die Namen von Ordner und Skript angegeben. Tabelle A.4
Attachments.vbsDas Skript zum Konfigurieren zulässiger Anlagen für Outlook Express verwendet die RegWrite-Methode des WshShell-Objekts aus dem WSH-Objektmodell. RegWrite schreibt in den Safe Attachments-Wert, um die Sicherheitsfunktion zu deaktivieren. Der Pfad zu diesem Registrierungswert ist dynamisch und hängt vom jeweiligen Computer ab. HKEY_CURRENT_USER\Identities\" & IDName & "\Software\Microsoft\Outlook Express \5.0\Mail\Safe Attachments Dieses Skript bearbeitet die Registrierung, um Anlageneinschränkungen für Outlook Express zu deaktivieren bzw. zu aktivieren. 1 - Aktiviert die Funktion. 0 - Deaktiviert die Funktion. RemoteprozeduraufrufeIn der folgenden Tabelle wird der Inhalt des Ordners RPC aufgelistet. Tabelle A.5
RpcSec.vbsDieses Skript bearbeitet die Registrierung, um die RPC-Sicherheit so zu konfigurieren, dass neue Einschränkungen umgangen werden und anonymer Rückruf zulässig ist. Das Skript zum Konfigurieren der RPC-Sicherheit verwendet die RegWrite Methode des WshShell-Objekts aus dem WSH-Objektmodell. RegWrite schreibt in den RestrictRemoteClients-Wert. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft \Windows NT\RPC\RestrictRemoteClients Das Skript kann die folgenden Werte aufweisen: 0 - Umgeht neue Einschränkungen. 1 - Schränkt den Zugriff auf alle RPC-Schnittstellen ein, lässt aber anonyme Rückrufe zu. 2 - Schränkt den Zugriff auf alle RPC-Schnittstellen ein und lässt keine anonymen Rückrufe zu. BeispielszenarienBeide Szenarien liefern Beispiele für das Installieren von Windows XP SP2 und zusätzliches Konfigurieren mit minimalem Benutzereingriff. Bei Szenario 1 wird eine Netzwerkfreigabe mit dem Skriptordner und der Service Pack-Quelle vorausgesetzt. Sie müssen die Server- und Freigabenamen bearbeiten, damit sie Ihrer Umgebung entsprechen. Bei Szenario 2 wird vorausgesetzt, dass die Service Pack-Quelle und die Skripts lokal auf den Client kopiert werden müssen. Die für Pfade und Computernamen verwendeten Variablen sollen das Bearbeiten der Skripts erleichtern. Wenn Sie ein Skript in einer bestimmten Umgebung einsetzen möchten, müssen Sie die Werte der Variablen bearbeiten. Jedes Szenario verfügt über eine zugeordnete Infodatei, Readme.txt. Die darin aufgeführten Informationen müssen vor dem Implementieren der Szenarien unbedingt gelesen werden. Szenario 1Contoso Ltd. ist ein mittelständischer, international tätiger Hersteller von pharmazeutischen Produkten mit einer eigenen IT-Abteilung. Bei Contoso soll Windows XP SP2 implementiert und die Windows-Firewall für die Remoteverwaltung konfiguriert werden. Zu diesem Zweck sollen Windows Management Instrumentation (WMI) zusammen mit WSH unter Verwendung der VBScript-Skriptdateien sowie der Befehlsdateien (CMD-Dateien) verwendet werden. SkriptzusammenfassungIn der folgenden Tabelle werden die im Rahmen dieser Lösung verwendeten Skripts und deren Funktion aufgelistet. Tabelle A.6
Abbildung A.2 zeigt das Flussdiagramm des automatisierten Bereitstellungsprozesses. Der automatisierte Bereitstellungsprozess besteht aus den folgenden Schritten:
Szenario 2Contoso verfügt an einem anderen Standort über eine kleine Tochtergesellschaft mit einer Reihe mobiler Benutzer. Diese Personen wurden angewiesen, der Hauptgeschäftsstelle einen Tag innerhalb eines zweiwöchigen Zeitraums zu nennen, an dem Windows XP SP2 installiert und konfiguriert werden soll. Der Benutzer wird angewiesen, vom lokalen Server aus ein Skript auszuführen, das die Installation mithilfe des Befehls runas fertig stellt. Außerdem wird der Benutzer aufgefordert, ein bestimmtes Kennwort einzugeben, das lediglich lokale Verwaltungsrechte gewährt. In diesem Szenario werden folgende Skripts verwendet: SkriptzusammenfassungIn der folgenden Tabelle werden die im Rahmen dieser Lösung verwendeten Skripts und deren Funktionen aufgelistet. Tabelle A.7
Windows-FirewallDer Windows-Firewall-Ordner (WF) enthält fünf Skripts zum Ändern des Standardverhaltens der Windows-Firewall, die in der folgenden Tabelle aufgelistet werden: Tabelle A.8
OpenPort.vbsDieses Skript verwendet das Befehlszeilentool Netsh, um einen bestimmten Port in der Windows-Firewall zu öffnen. Mithilfe von Netsh kann auch der Zugriff über den Port auf bestimmte Computer oder das lokale Subnetz eingeschränkt werden. In dem bereitgestellten Beispiel wird der Port für Remotedesktopverbindung (3389) geöffnet. Das Skript zum Öffnen eines Ports in der Firewall verwendet das WshShell-Objekt aus dem WSH-Objektmodell zum Ausführen einer Instanz des Befehlszeilentools Netsh. Netsh verfügt über zusätzliche Funktionen für Windows XP SP2 zum Konfigurieren der Windows-Firewall. ClosePort.vbsDieses Skript verwendet das Befehlszeilentool Netsh, in der Windows-Firewall zu schließen. Das Skript zum Schließen eines Ports in der Firewall verwendet das WshShell-Objekt aus dem WSH-Objektmodell zum Ausführen einer Instanz des Befehlszeilentools Netsh. Netsh verfügt über zusätzliche Funktionen für Windows XP SP2 zum Konfigurieren der Windows-Firewall. In dem bereitgestellten Beispiel wird der lokale FTP-Serverport (21) geschlossen. OpenProgram.vbsDieses Skript verwendet das Befehlszeilentool Netsh, um ein Programm in die Ausnahmenliste der Windows-Firewall einzuschließen. Mithilfe von Netsh kann auch der Zugriff eines Programms auf bestimmte Computer oder das lokale Subnetz eingeschränkt werden. In dem bereitgestellten Beispiel ist Windows Messenger die eingeschlossene zulässige Anwendung. CloseProgram.vbsDieses Skript verwendet das Befehlszeilentool Netsh, um ein Programm aus der Ausnahmenliste der Windows-Firewall auszuschließen. Mithilfe von Netsh kann auch der Zugriff mit dem Programm auf bestimmte Computer oder das lokale Subnetz eingeschränkt werden. In dem bereitgestellten Beispiel ist Windows Messenger die ausgeschlossene Anwendung. FirewallLog.vbsDas Skript zum Aktivieren der Protokollierung für die Firewall verwendet das WshShell-Objekt aus dem WSH-Objektmodell, um eine Instanz des Befehlszeilentools Netsh auszuführen. Netsh verfügt über zusätzliche Funktionen für Windows XP SP2 zum Konfigurieren der Windows-Firewall. Dieses Skript verwendet das Befehlszeilentool Netsh zum Konfigurieren der Protokollierung für die Windows-Firewall. Mithilfe von Netsh kann auch der Zugriff über den Port auf bestimmte Computer oder das lokale Subnetz eingeschränkt werden.
|
In diesem Beitrag
|
