isLandcenter 非番中

Windows Update Service(WSUS) の日常の運用

Windows Update Service(WSUS 3.0) の日常の運用について説明します。

Windows 2008R2 で作る WSUS 3.0 sp2 Windows Update Server の続きです。

通常の Windows Update は月に一度の公開ですが、WSUS で見ると、毎日新しいアップデートが提供されていることがわかります。マイクロソフトから公開されるタイミングと、こちらの業務のタイミングが合わないと、忙しい時期にアップデートを取り込んでとっ散らかることもあります。

WSUS ではアップデートのタイミングをこちらで設定できるので、こちらの「心の準備」ができてから配信することが出来ます。

※　まず、重要なことは、パッチがリリースされたら、その配信直後にある不具合をしっかりチェックする事です。パッチを適用したら、再起動できないとか、致命的で修復困難なトラブルがあるかないかを数日チェックして、それから、「承認」の手続きに入ることです。大抵” Windows Update, 月例, n月度, 不具合”なんてキーワードで見つかります。また、「承認」するまえに WSUS と Windows サーバーをしっかりアップデートしてから、慌てて配信しないのが良いでしょう。２～３日、情報を集めて、問題がない事を確認してから配信するのがポイントです。もちろん管理者が十分なバックグラウンドジョブを抱えていないタイミングを選ぶのはとても大切な事です。

最新の同期状態をチェックし、アップデートがある場合、アップデート配信を「承認」し、配信日時を決めることが出来ます。ここでは「今すぐ配信」を開始するようにしてみました。



次に、アップデートが配信されているかの確認です。



アップデートの配信が終わった後は、サーバーに残った「不要になったアップデート」をクリーンアップします。この作業をやらないと、ディスクがとんでもないことになってしまうのでこまめにクリーンアップウィザードを使って、アップデートファイルからディスク容量を解放します。

承認済みのアップデートから「全て」を選ぶとアップデートファイル全体の何％が配信済みかがわかります。１００％配信が終わったアップデートは「拒否」して、クリーンアップウィザードを開始して、不要なファイルを削除します。


結構時間がかかる作業なので負荷の少ない時間帯を選んで実施するとよいでしょう。

-補足-
ちなみに WSUS と本家との「同期」というのはデータベースの同期であり、アップデートを受け取りキャッシュしておくものではないようです。zabbix でチェックしてみるとデータベースと「同期」した後は、時間をかけて本家からアップデートをダウンロードしていました。量にもよりますが、数十分から数時間ダウンロードを続けます。つまり「同期」は「見積もり」から「発注」までを意味して「納品」されるのはその後という事です。

この間は、Windows Update を実行しても登録したPCにアップデートは配信されません。 WSUS が完全にアップデートをダウンロードしてキャッシュして初めてPCへのアップデート配信が始まります。従って、実際の「同期」はエンドユーザが帰り始め、トラフィックが下がる午後７時から九時ごろ、早めに始めるのが効果的でしょう。

その他の情報は
islandcenter.jp

-関連記事-

Windows 2008R2 で作る WSUS 3.0 sp2 Windows Update Server

http://islandcnt.exblog.jp/17494887/

Squid Proxy 経由で WSUS 3.0 sp2, Windows10 Update がエラー

http://islandcnt.exblog.jp/237099978/

SUSE Linux 11 sp3 で KVM を使ってみた

手持ちのノートブックで SLES11sp3 を USB ブートできるようになったので、KVM を使ってみました。ちなみに、XEN と KVM はブートを切り替えてもライブラリの競合で両立はできないようです。

SUSE + XEN で構築した経験があれば、それほど違和感なくＶＭの作成、起動、遮断などを Virt-Manager から行うことが出来るでしょう。

-XENとKVMのコマンドの違い-

基本的なよく使うコマンドはほとんど違いがありません。

xm create MyVM -> virsh start MyVM
xm shutdown MyVM -> virsh shutdown MyVM
xm destroy MyVM -> virsh destroy MyVM
xm list -> virsh list --all
xm console MyVM -> virsh console MyVM

です。create が start になる程度なので、XEN から KVM への乗り換えはあまり苦にはならないでしょう。ただ xm create/destroy コマンドはほぼ左手だけで文字数も少ないのに virsh 両手は５キャラなので、怠惰な私には両手使ってタイプするのは面倒だなぁという感じがしました。

それぞれのコマンドは --help を付けるとヘルプが出てくるので、参考にしてください。

ただし SLES11 に限らず、KVM 固有のバグのようなのですが virsh console コマンドはエラーになりました。どうも起動する xml ファイルに仮想テキスト端末の定義を追加すると直るようなので、ググって調べてみてください。それほど難しい作業ではないようです。

ちなみに Windows 7 には Novell VMDP 2.1 の仮想化ドライバを導入しました。NIC は qemm の realtek 100M 物を選んでインストールしましたが VMDP2.1 では XEN の様に専用のドライバは入らないようです。

実際のオペレーション

sleskvm:/etc # cd kvm/
sleskvm:/etc/kvm # ls
vm
sleskvm:/etc/kvm # cd vm
sleskvm:/etc/kvm/vm # ls <--- VM の定義ファイルはここ
sles11sp3.xml w732kvm.xml
sleskvm:/etc/kvm/vm # virsh list <-- 起動中のVMのリスト
Id Name State
----------------------------------------------------
3 sles11sp3 running

sleskvm:/etc/kvm/vm # virsh list --all <"-- all" を付けると停止中のものも表示
Id Name State
----------------------------------------------------
3 sles11sp3 running
- w732kvm shut off

sleskvm:/etc/kvm/vm # virsh start w732kvm <--- Windows 7 を起動してみた。
Domain w732kvm started

sleskvm:/etc/kvm/vm # virsh console sles11sp3 <--- virsh console はエラー
Connected to domain sles11sp3
Escape character is ^]
error: internal error cannot find character device (null)


sleskvm:/etc/kvm/vm # virsh shutdown w732kvm　<--- シャットダウンしてみた
Domain w732kvm is being shutdown　<--- ちゃんとシャットダウンした

sleskvm:/etc/kvm/vm # virsh destroy sles11sp3 <--- いきなりブチ！
Domain sles11sp3 destroyed


-自動起動-

自動起動は　/etc/libvirt/qemu/autostart に /etc/kvm に作成された起動用 xml ファイルをコピーすることでホストが起動すると自動起動します。 virsh autostart MyVM コマンドで行うのが一番楽なようです。

sleskvm:/etc/kvm/vm # cd /etc/libvirt/qemu/
sleskvm:/etc/libvirt/qemu # ls
networks sles11sp3.xml w732kvm.xml
sleskvm:/etc/libvirt/qemu # virsh autostart sles11sp3 <-- autostart を指定
Domain sles11sp3 marked as autostarted

sleskvm:/etc/libvirt/qemu # ls
autostart networks sles11sp3.xml w732kvm.xml
sleskvm:/etc/libvirt/qemu # cd autostart
sleskvm:/etc/libvirt/qemu/autostart # ls <--- autostart ディレクトリが作られコピーされた。
sles11sp3.xml


-Windows7 でネットワークが切れる-

仮想化した Windows 7　では大きなファイルをネットワークからコピーしようとすると、いきなりネットワークが切れるという現象がありました。Windows 側からはRealtek Fast Nicと認識されているので、それ以上の速度が出るのか試してみたかったのですが、どうもダメなようです。

ちなみにデフォルトで使われた MAC Address の 52:54:00:xx:xx:xx は RealTek で登録されています。

仮想 sles11 では scp でファイルコピーしても問題がないし、カードは Realtek Fast Nic (100Mbps物) なのですが、100Mbps の上限の 11.5Mb/S 以上速度が出ているようなので、環境の問題ではなく Windows を KVM で仮想化したときの固有の問題のようです。


ちなみに Windows 7 仮想マシンには Novellの SUSE VMDP2.1 を導入しています。


※　追記
この問題は VM の作成の際に QEMM 用 NIC を選ぶことで回避できました。
http://opensuse-man-ja.berlios.de/opensuse-html/cha.kvm.inst.html#sec.libvirt.inst.vmm


SUSE の VMDP も正しく認識されています。


-さてどのハイパーバイザーか-

このPCは Windows 8.1 で Hyper-V が動くようにしています。同じ環境で KVM と Hyper-V を動かしてみると、やはり「軽さ」に関しては KVM に分がありそうです。

機能の豊富さや導入のし易さについては KVM の方が新しさを感じます。導入自体はそれほど差はないのですが、実際に初めて仮想化に挑戦するにはXEN より KVM の方が敷居の低さがあります。

XEN と KVM を比べると、安定感は実績が高く、私には勝手知ってる XEN に分があります。KVM で Windows を動かすにはまだちょっと不安を感じました。特に SUSE Linux Enterprise Server 11 sp3 で「はじめてオマケでついてきた」KVM なので、お客様にはまだ XEN をお勧めすることになるでしょう。

RedHat では XEN をサポートしないのに対して、SUSE では XEN も KVM も両方選択できるという点は非常に底が広く、評価できる点です。

islandcenter.jp

SUSE Linux Enterprise 11 でUSB でKVMブートシステムを作った。

USB 3.0 のスティックメモリを購入したので SUSE Linux 11 sp3 の起動専用の USB メモリを作ってみました。出来ればWindows のパーティションやブートローダーを壊したくないので通常は Windows で起動して、USB で起動すれば KVM ホストとして起動できる方です。KVM のイメージを USB に作るわけには行かないので、Windows のパーティション内にKVM の仮想イメージを作ります。

Windows 自体はパーティションのリサイズを行っておいてあるので C: と D-Drive: を作っておきました。

本当は XEN 環境も作りたかったのですが UEFI ブートすると XENの DOM-U が Kernel Panic を起こすようで、GRUB ブートしなければなりません。

しかし手持ちの機材では GRUB で USB ブートできないようでした。
勉強ついでに KVM を使って仮想サーバーを起動してみることにしました。

-USB-DVD起動に Bios を変更-

最近はほとんど DVD メディアを使うこともないので、USB接続の DVD-ROM/RAM を使っています。ほとんどのケースでは、BIOS の起動順序が HDD の UEFI パーティションからのブートなので、USB-DVD をつないだ場合は優先順位を変えなければなりません。DEL キーとか F2/F12 などのキーで BIOS セットアップ画面から変更します。

-パーティション-

DVD ブートしてインストールを開始して（手順は省く）デフォルトのインストーラはＨＤＤのパーティションにインストールしようとします。インストールのサマリ画面から Partition を選んで yast の Partitioner を起動します。 sda と USB メモリである sdb が見えることを確認します。サイズをよく確認してUSBメモリであることを確認します。

通常は /Windows/C などをマウントしようとするでしょう。Partitioner から sda のマウントポイントをすべて Edit して Do not mount partion とします。

USBメモリがフォーマット済みであれば Delete します。Create から sdb の USB メモリを選んでパーティションをセットアップします。

出来上がりがこちら、別パーティションの D-Drive: だけ /windows にマウントするようにしました。他にあまり保存する必要のないディレクトリなどは tmpfs にマウントするようにしました。」



-インストールタイプ-

インストールタイプは SLES11sp3 より KVM Host が選べるようになりました。ただしこれでは X アプリケーションが動作しないのでアクティベーションなどで必要になるよう gnome デスクトップと FireFox を選択します。SLESの場合、あまり余計なアプリケーションはないので、

インストールするパッケージのサマリはこんな感じです。


-インストール開始-

USB 3.0 だから早かろうは間違えでした。SSD と同じとは言え、所詮は１チップのメモリなので、書き込み時間は尋常じゃないくらい時間がかかります。普段ならHDDに２０分位でインストールが終わるのですが、この環境では３時間くらいかかりました。

ちなみに、同じ作業を USB2.0 で行うと一晩かかります。まぁその分 USB 3.0 のメリットと言えばメリットなのでしょうね。

インストールした後は FireFox から software.opensuse.org を開いて ntfs を検索して ntfs-3g のパッケージを１クリックインストールします。これで D-Drive への読み書きができるようになります。

インストールが終わったら USB-DVD ドライブを外して Bios 起動をSUSE Linux に変更します。これで HDD ブートではなく USB から UEFI ブートすることが出来るようになりました。この辺は機材によって色々違うので結構悩ましいところです。（もう一台のノートは UEFI ブート出来なかった）

-使用感-

USB 3.0 での起動は割と高速です。アプリケーションの動作も割とそこそこに動きます。しかし書き込み速度には難があるようですね。

これで SUSE Linux Enterprise Server 11 sp3 で実装された KVM のテスト環境ができるようになりました。

islandcenter.jp

ZENworks Configration Management(ZCM11)をご紹介します。

ZENworks Configuration Management (ZCM) 11 sp2 をご紹介します。

ドメイン不要でユーザ管理

ZCM を導入すると、ドメイン不要、CAL不要で eDirectory などの LDAPによるローカルユーザ管理を行えます。まぁCALを買うよりユーザ単位で購入するので若干コストはかかりますが。そのコスト以上の効果があることをご理解いただければありがたいです。

また、ディレクトリサービスの OU, グループ、ユーザ単位でポリシー管理が行えます。ポリシーベースでディレクトリサービスを設計することなく、ネットワークの構成、組織の構成に合わせて、柔軟に運用ポリシーを設計し、ユーザに割り当てることができます。管理者、パワーユーザ、リモートデスクトップの許可をすべて集中管理することができます。

ZENworks ZCM11 How to work Dynamic Local User
https://www.youtube.com/watch?v=YLNP8BygSVI


例えば、同じ部門でも、Windows Update Service にパイロット的にパッチを配布するポリシーだとか、タイミングをグループに分けて配信するとか、できるだけ同じディレクトリであっても Update Service を分散させるなどのこともできるわけです。

ZENworks ZCM11 DIstribute GroupPolicy into WS
https://www.youtube.com/watch?v=-FrJbSXW-QQ


コンピュータに割り当てたポリシーはあまりユーザには変更してもらいたくないものです。リセットした WSUS の機能を強制的に再割り当てします。

Dynamic Local User(DLU)機能は、LDAP ソースを使って自動的にローカルユーザを作成する機能です。
Dynamic Local User & install Libre Office
https://www.youtube.com/watch?v=5ECLVk-kbPI
削除したユーザとプロファイルがネットワークの認証によって自動的に作成されます。


アプリケーションの自動配布

一般のユーザにはあまり管理者権限は与えたくないものです。しかし、アプリケーションは一台一台インストールするのは面倒くさい。ということで、MSIパッケージをパワーユーザが直接インストールせず、ZCMを通じてインストールできるという訳です。

このデモでは LibreOffice を一般のパワーユーザーに配信するデモです。
Distribute Office Application Via ZCM11
https://www.youtube.com/watch?v=yvXBW1A4P6k

一般ユーザではMSIインストーラの起動、アプリケーションの削除が拒否されています。

従来 NAL(Network Application Launcher)と呼ばれた、ZENworks の原点となった機能です。ZCMでは Bundle と呼ばれる機能に名前が変わりました。




複数のLDAPユーザソースを単一のポリシーで管理

組織はアメーバのように分割、結合します。複数のドメインや異なるディレクトリソースであっても ZENworks であれば複数の LDAP ソースを使って単一の運用ポリシーにまとめることができます。

Novell ZCM How to setup Multiple User Ldap Source
https://www.youtube.com/watch?v=E961k50FOPw






エージェントの自動配信

他所から借り物です。

ZCM : Deploying The Agent
https://www.youtube.com/watch?v=9tIxmor5KZY

残念ながら Windows7 ではうまく動かなかったので借りてきました。バグなのかパッチがあるのか、おそらく Windows7 の強力なブロックを突破できませんでした。シンクライアントを使ったターミナルサービス接続だからでしょうか。ちょっと実機で試してみる必要がありそうです。

ということで手動でインストールする方法です。
Novell ZCM11sp2 PreAgenhttps://www.youtube.com/watch?v=aQkGoTJBFrUtPkg Agent Install and Regstration
https://www.youtube.com/watch?v=M_EVSo8yZdQ


ヘルプデスク機能

ヘルプデスク機能はリモートコンピュータへのファイルの配信、リモートビューと制御、リブート、起動などを行う機能です。ここでは実際にリモートコンピュータをリブートしてみました。

Novell ZCM11 Remote Workstation Reboot
https://www.youtube.com/watch?v=aQkGoTJBFrU


BIOSにパスワードをかけられると、効果はないのはご愛嬌ですね。

ヘルプデスク機能として、リモートデスクトップ管理ができます。
http://www.youtube.com/watch?v=QEJZQfazVZI&feature=youtu.be


ヘルプデスク担当者が接続を要求する際に、相手にパスワードをセットしてもらうか、「リクエストされているダイアログ」でＯＫボタンを押すと、ヘルプデスクがユーザのデスクトップ画面をそのまま操作できます。ここでコマンドプロンプトを「管理者で実行」すれば、一般ユーザでは行えない必要なアプリケーションのインストールや設定変更を「居ながらに」行うことが出来ます。フロアを駆け回る必要はありません。また、ちょっとユーザＰＣのメンテナンスをする場合、ユーザさんに「机からどいてもらって」修正するわけですが、その必要もないわけです。管理者にとっても、利用者さんにとっても非常に生産性が上がることになります。

--
このような機能が ZENworks Configuration Management の概要です。沢山のドメインが乱立して管理が行き届かない組織、何らかの理由があってドメインが使えないネットワーク。リモート拠点のヘルプデスクサービスが必要なネットワーク。

samba4 が本格的に利用されると、Windows の CAL が不要になりますが、ネットワークの管理はやっぱり面倒なものです。

islandcenter.jp