Инструмент Windows Vista для оценки аппаратных средств

Технологии инвентаризации

Опубликовано 19 февраля 2007

Прежде чем запускать мастера инструмента Windows Vista для оценки аппаратных средств, необходимо ознакомиться с методом проведения оценки и используемыми для этого технологиями.

Загрузка инструмента Windows Vista для оценки аппаратных средств

На этой странице
Общие требованияОбщие требования
Сетевые протоколы WindowsСетевые протоколы Windows
Службы доменов Active DirectoryСлужбы доменов Active Directory
Инструментарий WMI (Windows Management)Инструментарий WMI (Windows Management)

Общие требования

Технологии инвентаризации, используемые инструментом Windows Vista для оценки аппаратных средств, требуют прямого сетевого соединения со всеми подвергаемыми инвентаризации компьютерами. Для обеспечения высокопроизводительной и эффективной инвентаризации и оценки выполните следующие действия.

Если имеются неполадки, связанные с сетью, или планируются изменения сети, разрешите эти проблемы до начала проведения инвентаризации. Например, если предусмотрено изменение структуры схемы IP-адресов, его следует завершить до запуска мастера.

Соответствующие учетные данные могут быть использованы для запуска мастера. Для сбора данных оценки мастер инвентаризации использует инструментарий WMI. Для WMI необходимы учетные записи с правами локального администратора на компьютерах, подвергаемых инвентаризации.

Убедитесь в том, что на все компьютеры и устройства, подлежащие инвентаризации, подается питание, и они соединены с сетью. Следует отправить пользователям уведомление о необходимости оставить компьютеры включенными на время запланированной инвентаризации. Пользователи могут выйти из системы, но не должны отключать подачу питания компьютеров.

Сетевые протоколы Windows

Для обнаружения компьютеров в рабочих группах и доменах Windows NT® 4.0 может быть использован режим мастера «Сетевые протоколы Windows». В этом методе для обнаружения компьютеров, входящих в сеть, используется служба «Обозреватель компьютеров».

Служба «Обозреватель компьютеров» неэффективно работает в сетевых сегментах (доменах широковещательной рассылки). Для обнаружения компьютеров в рабочих группах этот метод можно использовать посредством соединения компьютера, выполняющего инвентаризацию, с каждой подсетью и повторного запуска мастера. Если этот метод используется для обнаружения компьютеров, включенных в домен Windows NT 4.0, не требуется повторно запускать мастера и соединяться с каждой отдельной подсетью сети.

Служба обозревателя реализуется посредством протокола SMB (Server Message Block), который подключается с помощью протоколов общего доступа к файлам и принтерам. Службы «Общий доступ к файлам и принтерам для сетей Microsoft» и «Клиент для сетей Microsoft» должны быть включены на сетевом адаптере каждого компьютера.

Для регистрации и передачи хозяевам сетевого обзора (компьютерам, управляющих списком компьютеров) нового или недавно включенного компьютера требуется до 15 минут. Не следует начинать инвентаризацию до тех пор, пока все компьютеры не будут включены на время этой процедуры.

Примечание   По вопросу разрешения проблем, связанных со службой «Обозреватель компьютеров», обратитесь на веб-узел по адресу http://support.microsoft.com/kb/188305.

Службы доменов Active Directory

Если все компьютеры и устройства включены в лес Active Directory® операционной системы Windows 2000 Server или Windows Server® 2003, для получения списка компьютеров из леса Active Directory следует использовать метод инвентаризации службы Active Directory. Время, требуемое для выполнения инвентаризации, можно сократить, отключив метод инвентаризации с использованием сетевых протоколов Windows.

При использовании этого метода мастер пытается соединиться с контроллером домена и запрашивает список компьютеров домена. Сетевой адаптер компьютера, на котором запускается мастер, должен быть настроен на использование протокола DHCP (Dynamic Host Configuration Protocol) и соединен с сетью, имеющей контроллер домена, которому можно направить запрос. Для соединения со службой Active Directory мастер запрашивает учетные данные. По умолчанию любая учетная запись пользователя домена имеет соответствующие права доступа для соединения с контроллером домена и запроса списка компьютеров.

  Примечание.

Метод инвентаризации службы Active Directory возвращает результаты для объектов-компьютеров домена Active Directory, содержащего до 5000 компьютеров. Компьютеры, не подключавшиеся к системе более 90 дней, не включаются в это число.

Инструментарий WMI (Windows Management)

Технологией, используемой для сбора подробной информации об аппаратных средствах компьютеров и устройствах, является протокол WMI. В мастере оценки не предусмотрен отказ от использования WMI. При запуске мастера всегда выполняется инвентаризация WMI.

Для удаленного подключения и выполнения инвентаризации WMI необходимо предоставить учетные записи, являющиеся членами локальной группы «Администраторы» на компьютерах, подвергающихся инвентаризации. В большинстве сетей администратору сети принадлежит учетная запись домена или локальная учетная запись, являющаяся членом локальной группы «Администраторы» на всех компьютерах данной среды. В средах доменов Windows группа безопасности «Администраторы домена» по умолчанию добавляется на компьютере к локальной группе «Администраторы», когда компьютер присоединяется к домену.

В следующей таблице для мастера оценки приведены все общепринятые рекомендации относительно WMI.

Таблица 1. Рекомендации, относящиеся к WMI

Требуемая конфигурацияОписание

Задать пароль для локальных учетных записей

Если компьютер входит в рабочую группу и для локальной учетной записи, используемой для инвентаризации, не настроен пароль, тогда, по умолчанию, вход в систему возможен только с консоли. Для успешного выполнения инвентаризации WMI компьютера локальная учетная запись должна быть членом локальной группы «Администраторы», и для нее должен быть определен пароль.

Настройка политики доступа к сети

Если компьютер входит в рабочую группу, на локальном компьютере настройку «Гостевая» для политики «Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей» необходимо вручную изменить на настройку «Классическая». Подробнее см. на веб-узле по адресу http://technet2.microsoft.com/WindowsServer/en/library/c63ec62e-cc31-4c12-96a7-dbd8089ad6971033.mspx?mfr=true

Включение общего доступа к файлам и принтерам

На компьютере, подвергающемся инвентаризации, необходимо активировать режимы «Служба доступа к файлам и принтерам сетей Microsoft» и «Клиент для сетей Microsoft». Эта настройка выполняется на странице свойств сетевого адаптера, и обычно она активируется по умолчанию во время установки Windows.

Разрешение исключений для удаленного управления

«Исключение для удаленного управления» необходимо разрешить для компьютеров, на которых активирован брандмауэр Windows Firewall. Это исключение открывает порт TCP 135. Если на компьютере установлен другой брандмауэр, необходимо разрешить сетевой трафик через этот порт.

Разрешение исключения для службы доступа к файлам и принтерам

Исключение «Служба доступа к файлам и принтерам» должно быть разрешено для компьютеров, на которых активирован брандмауэр Windows. Это исключение открывает порты TCP 139 и 445. Если на компьютере установлен другой брандмауэр, необходимо разрешить сетевой трафик через эти порты.

Дополнительные сведения о возможности соединения по протоколу WMI

Многие брандмауэры, функционирующие по программному или аппаратному принципу, блокируют трафик DCOM через сетевые адаптеры компьютеров. Например, обычно удаленный доступ по протоколу WMI невозможен при попытке соединиться с компьютером, на котором работает служба брандмауэра «Microsoft Internet Security and Acceleration (ISA)». Для обеспечения удаленного доступа по протоколу WMI необходимо убедиться в том, что порты TCP/UDP, упоминавшиеся ранее для исключений «Удаленное управление» и «Служба доступа к файлам и принтерам», открыты на компьютере, на котором работает программный брандмауэр.

  Важно!

По умолчанию брандмауэр Windows настроен на блокирование удаленных запросов проверки подлинности и соединения с компьютером по протоколу WMI. В следующих разделах описывается способ разрешения требуемых исключений с помощью групповой политики Active Directory и сценарных команд.

Среды Active Directory

Редактор групповой политики служит для изменения политик подразделений (OU), в которые входят компьютеры, на которых предполагается выполнить оценку. Инструкции по использованию редактора групповых политик находятся на веб-узле по адресу http://support.microsoft.com/kb/307882.

1.

При использовании редактора групповых политик выберите меню «Конфигурация компьютера», затем выберите «Конфигурация Windows», «Параметры безопасности», «Локальные политики», а затем — «Параметры безопасности». Для политики «Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей» выберите настройку «Обычная — локальные пользователи удостоверяются как они сами».

2.

При использовании редактора групповых политик выберите «Конфигурация компьютера», «Административные шаблоны», «Сеть», «Сетевые подключения», «Брандмауэр Windows», затем выберите «Профиль домена».

3.

Для политики «Брандмауэр Windows: разрешить исключение для удаленного управления» выберите «Разрешено». В поле «Разрешить незапрошенные входящие сообщения от» введите IP-адрес или подсеть компьютера, выполняющего инвентаризацию.

4.

Для «Брандмауэр Windows: разрешить исключение для службы доступа к файлам и принтерам» выберите «Разрешено». В поле «Разрешить незапрошенные входящие сообщения от» введите IP-адрес или подсеть компьютера, выполняющего инвентаризацию.

После сохранения изменений политик необходимо дождаться применения настроек политик к компьютерам-клиентам; для этого может потребоваться до двух часов.

Рабочие группы и домены Windows NT 4.0

Для компьютеров, входящих в рабочую группу, требуется индивидуальная настройка вручную каждого компьютера. Для настройки исключений брандмауэра Windows в случае компьютеров из домена Windows NT 4.0 следует использовать сценарии входа в систему.

1.

При использовании инструмента «Локальная политика безопасности», вызываемого из меню «Администрирование» компьютера, который будет подвергаться инвентаризации, выберите «Локальные политики», затем — «Параметры безопасности». Для политики «Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей» выберите настройку «Обычная — локальные пользователи удостоверяются как они сами».

2.

Чтобы разрешить исключение для удаленного управления, на каждом компьютере запустите следующую команду вручную или из сценария входа в систему: netsh firewall add portopening protocol=tcp port=135 name=DCOM_TCP135

3.

Чтобы разрешить исключение для службы доступа к файлам и принтерам, на каждом компьютере запустите следующую команду вручную или из сценария входа в систему: netsh firewall set service type = fileandprintmode = enableprofile = all


**
**