Microsoft раньше срока выпустила новую windows 11. что в ней нового

Step 4: Binding the SSL certificate on the sync servers

Work Folders installs the IIS Hostable Web Core, which is an IIS component designed to enable web services without requiring a full installation of IIS. After installing the IIS Hostable Web Core, you should bind the SSL certificate for the server to the Default Web Site on the file server. However, the IIS Hostable Web Core does not install the IIS Management console.

There are two options for binding the certificate to the Default Web Interface. To use either option you must have installed the private key for the certificate into the computer’s personal store.

Utilize the IIS management console on a server that has it installed. From within the console, connect to the file server you want to manage, and then select the Default Web Site for that server. The Default Web Site will appear disabled, but you can still edit the bindings for the site and select the certificate to bind it to that web site.
Use the netsh command to bind the certificate to the Default Web Site https interface. The command is as follows:

Метод работы

Все операционные системы Windows, начиная с Windows NT 3.1 , поддерживают перемещаемые профили. Обычно автономный компьютер хранит документы пользователя, элементы рабочего стола, настройки приложений и внешний вид рабочего стола на локальном компьютере в двух разделенных частях, состоящих из части, которая может перемещаться, и дополнительной временной части, содержащей такие элементы, как кэш веб-браузера. Реестр Windows аналогично делится на поддержку роуминга; существуют кусты System и Local Machine, которые остаются на локальном компьютере, а также отдельный куст User (HKEY_CURRENT_USER), предназначенный для перемещения с помощью профиля пользователя.

Когда создается перемещающийся пользователь, информация профиля пользователя вместо этого сохраняется на централизованном файловом сервере, доступном с любого подключенного к сети настольного компьютера. Запрос входа на локальный компьютер проверяет, существует ли пользователь в домене, а не на локальном компьютере; на локальном компьютере уже существующая учетная запись не требуется. Если вход в домен прошел успешно, перемещаемый профиль копируется с центрального файлового сервера на настольный компьютер, и для пользователя создается локальная учетная запись.

Когда пользователь выходит из системы с настольного компьютера, перемещаемый профиль пользователя объединяется с локального компьютера обратно на центральный файловый сервер, не включая временные элементы локального профиля. Поскольку это слияние, а не перемещение / удаление, информация профиля пользователя остается на локальном компьютере в дополнение к слиянию с сетью.

Когда пользователь входит в систему на втором настольном компьютере, этот процесс повторяется, объединяя перемещаемый профиль с сервера на второй настольный компьютер, а затем снова сливаясь с рабочего стола на сервер, когда пользователь выходит из системы.

Когда пользователь возвращается к первому настольному компьютеру и входит в систему, перемещаемый профиль объединяется с предыдущей информацией профиля, заменяя ее. Если кэширование профиля включено, сервер может объединять только самые новые файлы с локальным компьютером, повторно используя существующие локальные файлы, которые не изменились с момента последнего входа в систему, и тем самым ускоряет процесс входа в систему.

Различия между редакциями Windows Server 2016 и 2019

Hyper-V — это бесплатная редакция Windows Server, предназначенная только для запуска роли гипервизора Hyper-V. Его цель — быть гипервизором для вашей виртуальной среды. У него нет графического интерфейса. По сути, это урезанная версия Server Core. Вы будете использовать sconfig.cmd, чтобы включить гипервизор, а затем управлять средой с помощью диспетчера Hyper-V (как часть RSAT) с рабочей станции Windows 10 в вашей сети. Рекомендуется использовать именно эту редакцию для вашего гипервизора, чтобы сохранить чистоту и простоту лицензирования.
Essentials — идеально подходит как для малого и среднего бизнеса, так и для людей с потребностями в базовых функциях сервера. Графический интерфейс в значительной степени такой же, как и в Standard, за исключением мастера настройки Essentials.

Права на виртуализацию
Вам разрешено запускать один физический экземпляр Essentials в качестве хоста Hyper-V, на котором размещен один виртуальный экземпляр Essentials. Вам нужно удалить все роли, кроме роли Hyper-V, из физического экземпляра Essentials для обеспечения соответствия. Essentials также подходит для одного виртуального экземпляра на любом другом гипервизоре.

Модель лицензирования
На базе процессора. Клиентские лицензии не требуются, но вы ограничены 25 пользователями и 50 устройствами, подключающимися к серверу.

Аппаратные ограничения
Essentials ограничен до 64 ГБ RAM и 2 CPU на компьютере, на котором он установлен.

Standard — идеально подходит для любой компании или для лиц, которым требуются расширенные функции, но при этом они не будут интенсивно виртуализироваться.

Права на виртуализацию
Разрешено запускать до двух виртуальных машин или контейнеров Hyper-V или один физический экземпляр со стандартной лицензией. Если вы используете роль Hyper-V только на физическом экземпляре, то можете использовать ее в качестве хоста Hyper-V, а затем разместить на этом хосте две виртуальные машины Hyper-V. Если вы хотите использовать несколько ролей на физическом экземпляре, вы не можете запускать виртуальную машину поверх с одной и той же лицензией.

Модель лицензирования
Основанная на ядре. Клиентские лицензии необходимы для каждого пользователя или устройства, которые подключаются косвенно или напрямую к серверу. Например, если вы используете сервер в качестве файлового сервера, вам потребуется лицензия CAL для каждой учетной записи пользователя или компьютера, которые обращаются к этому файловому серверу в сети.

Аппаратные ограничения
Стандарт ограничен максимум 24 ТБ оперативной памяти и 512 ядрами.

Datacenter — идеально подходит для любой компании с высокой степенью виртуализации. Вы приобретаете лицензию в зависимости от того, сколько ядер есть у ваших хостов, на которых может жить любая виртуальная машина с версией Datacenter (запускаться или потенциально запускаться после Vmotion). Это лицензирование, на первый взгляд, кажется дорогим, но оно позволяет создавать неограниченное количество виртуальных машин, работающих под управлением Datacenter на хостах, которые вы учитывали. Если у вас небольшое количество хостов (а впоследствии и ядер) и большое количество потенциальных виртуальных машин, тогда эта лицензия не представляет никакой сложности.

Права на виртуализацию
Неограниченное количество виртуальных машин или контейнеров Hyper-V. Как было озвучено выше, вы будете покупать лицензии в зависимости от того, сколько ядер у вас на хостах. На этом этапе вы можете запустить на хостах столько угодно виртуальных машин, используя любые роли.

Модель лицензирования
Основанная на ядрах. Убедитесь, что вы случайно не выбрали этот выпуск при установке на физический сервер, на котором не размещаются виртуальные машины. Клиентские лицензии необходимы для каждого пользователя или устройства, которые подключаются косвенно или напрямую к серверам в вашей среде.

Шаг 2. Создание общей папки для перенаправляемых папок

Если у вас еще нет общего файлового ресурса для перенаправляемых папок, выполните следующую процедуру, чтобы создать его на сервере под управлением Windows Server 2012 или более поздней версии.

Примечание

Если вы создаете общий ресурс на сервере под управлением другой версии Windows Server, некоторые функции могут отличаться или быть недоступны.

В области навигации Диспетчера сервера выберите Файловые службы и службы хранилища > Общие ресурсы. Откроется страница Общие ресурсы.

На странице Общие ресурсы выберите Задачи > Новый общий ресурс. Откроется мастер создания общих ресурсов.

На странице Выбор профиля выполните одно из следующих действий.
Если установлен диспетчер ресурсов файлового сервера и вы используете свойства управления папками, выберите Общий ресурс SMB — дополнительные.
Если диспетчер ресурсов файлового сервера не установлен и вы не используете свойства управления папками, выберите Общий ресурс SMB — быстрый профиль.

На странице Расположение общего ресурса выберите сервер и том, в котором хотите создать общий ресурс.

На странице Имя общей папки укажите имя (например, Users$ ) в поле Имя общей папки.

Совет
При создании общего ресурса необходимо скрыть его, добавив после его имени символ . Это закроет возможность его просмотра пользователям без соответствующих полномочий.

На странице Другие параметры снимите флажок Включить постоянную доступность, если он установлен. При необходимости установите флажки Включить перечисление на основе доступа и Шифрование доступа к данным.

На странице Разрешения выберите Настройка разрешений доступа

Откроется диалоговое окно Дополнительные параметры безопасности.

Нажмите кнопку Отключение наследования, а затем щелкните элемент Convert inherited permissions into explicit permission on this object (Преобразовать наследуемые разрешения для объекта в явные).

Задайте разрешения, приведенные в следующих таблицах и рисунках.

Важно!
Выбор разрешений зависит от вашей конфигурации удаленного доступа, поэтому используйте подходящую вам таблицу.

Разрешения для файловых серверов без служб удаленных рабочих столов:
Учетная запись пользователя
Разрешение
Применяется к
Система
Полный доступ
Текущая папка, подпапки и файлы
Администраторы
Полный доступ
Только эта папка
Создатель/владелец
Полный доступ
Только вложенные папки и файлы
Группа безопасности с пользователями, которым необходимо размещать данные в общем ресурсе («Пользователи перенаправления папок»)
Вывод содержимого папки/чтение данных 1Создание папок/добавление данных 1Чтение атрибутов 1Чтение дополнительных атрибутов 1Чтение 1Обзор папок/выполнение файлов 1
Только текущая папка
Прочие группы и учетные записи
Нет (удалите все учетные записи, не перечисленные в этой таблице)

1 Дополнительные разрешения.

Разрешения для файловых серверов со службами удаленных рабочих столов:
Пользовательская учетная запись или роль
Разрешение
Применяется к
Система
Полный доступ
Текущая папка, подпапки и файлы
Администраторы
Полный доступ
Текущая папка, подпапки и файлы
Создатель/владелец
Полный доступ
Только вложенные папки и файлы
Прочие группы и учетные записи
Нет (удалите все прочие учетные записи из списка управления доступом)

Если ранее в этой процедуре вы выбрали профиль Общий ресурс SMB — дополнительные, также выполните следующие действия.
На странице Свойства управления выберите для «Использования папки» значение Файлы пользователя.
При необходимости выберите квоту, которая будет действовать для пользователей ресурса.

На странице Подтверждение щелкните элемент Создать.

Создание записей A и CNAME для AD FS

Чтобы создать записи A и CNAME для AD FS, выполните следующие действия.

На контроллере домена откройте раздел «Диспетчер DNS».

Разверните папку «Зоны прямого просмотра», щелкните правой кнопкой мыши домен и выберите Новый узел (A).

Откроется окно Новый узел. В поле Имя введите псевдоним для имени службы AD FS. В тестовом примере используется имя blueadfs.
Псевдоним должен совпадать с субъектом в сертификате, использованным для AD FS

Например, если субъектом был adfs.contoso.com, для псевдонима здесь было бы введено значение adfs.

Важно!
При настройке AD FS с помощью пользовательского интерфейса Windows Server, а не Windows PowerShell, необходимо создать запись A вместо CNAME для AD FS. Причина этого в том, что имя субъекта-службы, созданное с помощью пользовательского интерфейса, содержит только псевдоним, используемый для настройки службы AD FS в качестве узла.

В поле IP-адрес введите IP-адрес сервера AD FS

В тестовом примере используется адрес 192.168.0.160. Нажмите кнопку Добавить узел.

В папке «Зоны прямого просмотра» щелкните правой кнопкой мыши домен и выберите Новый псевдоним (CNAME).

В окне Новая запись ресурса добавьте имя псевдонима enterpriseregistration и введите FQDN для сервера AD FS. Этот псевдоним используется для присоединения устройств и должен иметь имя enterpriseregistration.

Нажмите кнопку ОК.

Чтобы выполнить те же действия через Windows PowerShell, используйте следующую команду. Команду необходимо выполнить на контроллере домена.

Никаких драйверов через Windows Update

Microsoft приняла решение отказаться от распространения драйверов устройств для операционных систем Windows 7 SP1, Windows Server 2008 и Windows Server 2008 R2 через «Центр обновления Windows» (Windows Update). Соответствующее уведомление опубликовано на портале сообщества Microsoft Tech Community.

Необходимость данного шага в Microsoft объясняют заботой о пользователях упомянутых выше ОС с истекшим сроком поддержки. С 9 мая 2021 г. установка драйверов таким способом может приводить к нежелательным для пользователя последствиям: снижению функциональности ОС или ее невозможности загрузиться.

Это связно с тем, что именно в мае Microsoft окончательно отказалась от использования алгоритма криптографического хеширования SHA-1 (Secure Hash Algorithm) во всех своих системах по причине его недостаточной безопасности в пользу SHA-2. Из-за этого разработчики больше не могут подписывать свои драйверы сертификатами безопасности (TLS/SSL), использующие алгоритм SHA-1 и вынуждены применять SHA-2, который не поддерживается службой Windows Update.

Рядовые пользователи Windows 7 больше не смогут устаналивать драйверы через Windows Update

Таким образом, чтобы обезопасить пользователей устаревших версий Windows и Windows Server от негативных последствий, Microsoft предусмотрительно заблокировала возможность установки новых, несовместимых с Windows Update драйверов.

Стоит также отметить, что корпоративные пользователи Windows 7 SP1 и Windows Server, участвующие в программе расширенных обновлений безопасности (Extended Security Updates), смогут установить новые версии драйверов, к примеру, с помощью «Службы обновления Windows Server» (Windows Server Update Service).

Поставщики теневого копирования

Существует два типа поставщиков теневого копирования: поставщики оборудования и поставщики программного обеспечения. Также существует системный поставщик, который является поставщиком программного обеспечения, встроенного в операционную систему Windows.

Поставщики оборудования

Поставщики оборудования теневого копирования действуют в качестве интерфейса между службой теневого копирования томов и уровнем оборудования, работая в сочетании с адаптером или контроллером оборудования для хранения данных. Работу по созданию и поддержке теневой копии выполняет массив хранения.

Служба теневого копирования томов предоставляет запрошенную теневую копию тома или томов, тогда как поставщики оборудования всегда оставляют теневую копию всего LUN.

Поставщик оборудования теневого копирования использует функции службы теневого копирования томов, которые определяют момент времени, позволяют синхронизировать данные, управляют теневой копией и предоставляют единый интерфейс с приложениями резервного копирования. Однако, в службе теневого копирования томов не определен базовый механизм, с помощью которого поставщик оборудования создает и поддерживает теневые копии.

Поставщики программного обеспечения

Поставщики программного обеспечения теневого копирования обычно перехватывают и обрабатывают запросы на чтение и запись операций ввода и вывода на программном уровне между файловой системой и программным обеспечением диспетчера томов.

Эти поставщики реализованы в виде компонента DLL в пользовательском режиме и, по крайней мере, одного драйвера устройства в режиме ядра, обычно драйвера-фильтра хранилища. В отличие от поставщиков оборудования, поставщики программного обеспечения создают теневые копии на уровне программного обеспечения, а не на уровне оборудования.

Поставщик программного обеспечения теневого копирования должен поддерживать представление тома «на момент времени», имея доступ к набору данных, который можно использовать для воссоздания состояния тома до момента создания теневой копии. Примером является метод «копирование при записи» системного поставщика. Однако служба теневого копирования томов не накладывает никаких ограничений на методы, используемые поставщиками программного обеспечения для создания и обслуживания теневых копий.

Поставщик программного обеспечения применим к более широкому спектру хранилищ, чем поставщик оборудования. Кроме того, он должен одинаково хорошо работать с базовыми дисками или логическими томами. (Логический том — это том, который создается путем объединения свободного места на двух или более дисках.) В отличие от теневых копий оборудования, поставщики программного обеспечения используют ресурсы операционной системы для обслуживания теневой копии.

Дополнительные сведения о базовых дисках см. в статье What Are Basic Disks and Volumes? (Что такое базовые диски и тома?) (https://go.microsoft.com/fwlink/?LinkId=180894) в TechNet.

Системный поставщик

В операционной системе Windows есть один поставщик теневых копий — системный поставщик. Хотя с Windows предоставляется поставщик по умолчанию, другие поставщики могут свободно предоставлять реализации, оптимизированные для их приложений хранения оборудования и программного обеспечения.

Чтобы поддерживать представление тома «на момент времени», содержащееся в теневой копии, системный поставщик использует метод «копирование при записи». Копии блоков на томе, измененные с начала создания теневой копии, хранятся в области хранения теневой копии.

Системный поставщик может предоставлять производственный том, который можно записать и прочитать обычным образом. Если требуется теневая копия, он логически применяет различия к данным в производственном томе для предоставления полной теневой копии.

Для системного поставщика область хранения теневой копии должна находиться в томе NTFS. Том для теневого копирования не обязательно должен быть томом NTFS, однако среди подключенных к системе томов должен быть по крайней мере один том NTFS.

Файлы компонентов, из которых состоит системный поставщик — swprv.dll и volsnap.sys.

Встроенные модули записи VSS

Операционная система Windows включает набор модулей записи VSS, которые отвечают за перечисление данных, необходимых для различных функций Windows.

См. сведения об этих модулях записи на следующей странице веб-документации Майкрософт:

Встроенные модули записи VSS

Вопросы и ответы

Я хочу выполнить дедупликацию данных в наборе данных для рабочей нагрузки X. Поддерживается ли это?
Мы полностью гарантируем целостность данных при применении дедупликации данных с любой рабочей нагрузкой, кроме включенных в список несовместимых с дедупликацией. Для рекомендуемых рабочих нагрузок корпорация Майкрософт также гарантирует повышение производительности. Производительность других рабочих нагрузок в значительной мере зависит от того, какие действия они выполняют на сервере. Необходимо определить, каким образом дедупликация данных повлияла на вашу рабочую нагрузку и допустимо ли такое влияние для этой нагрузки.

Каковы требования к размеру тома для дедуплицированных томов?
В Windows Server 2012 и Windows Server 2012 R2 размер тома следует выбирать осторожно, чтобы дедупликация данных выполнялась в соответствии со скоростью обновления данных в томе. В большинстве случаев максимальный размер дедуплицированного тома для рабочей нагрузки с высокой скоростью обновления данных составляет 1–2 ТБ

Мы рекомендуем в любом случае не превышать размер 10 ТБ. Эти ограничения устранены в Windows Server 2016. Дополнительные сведения см. в статье .

Нужно ли изменять расписание или другие параметры дедупликации данных для рекомендуемых рабочих нагрузок?
Нет, предоставленные были созданы для предоставления разумных значений по умолчанию для рекомендуемых рабочих нагрузок.

Лучше всего, если для дедупликации данных будет выделено по 1 ГБ памяти на каждый 1 ТБ логических данных. Например, если вы оптимизируете том размером 10 ТБ, оптимальный объем памяти для дедупликации составит 10 ГБ (). Такое соотношение обеспечит максимальную производительность для заданий дедупликации данных.

Каковы требования к объему хранилища для дедупликации данных?
В Windows Server 2016 дедупликация данных может поддерживать тома размером до 64 ТБ. Дополнительные сведения см. в статье (Новые возможности функции дедупликации данных).

Настройка рабочих папок

Чтобы настроить рабочие папки, выполните следующие действия:

Откройте Диспетчер сервера.
Выберите Файловые службы и службы хранилища, а затем — Рабочие папки.
на странице Рабочие папки запустите Мастер создания общих ресурсов синхронизации и нажмите кнопку Далее.
На странице Сервер и путь выберите сервер, на котором следует создать общий ресурс синхронизации, введите локальный путь к месту хранения данных рабочих папок и нажмите кнопку Далее.

Если путь не существует, вам будет предложено создать его. Нажмите кнопку ОК.
На странице Структура папок пользователя выберите Псевдоним пользователя и нажмите кнопку Далее.
На странице Имя общего ресурса синхронизации введите имя общего ресурса синхронизации. В тестовом примере используется имя WorkFolders. Щелкните Далее.
На странице Доступ к синхронизации добавьте пользователей или группы, у которых будет доступ к новому общему ресурсу синхронизации. В тестовом примере предоставьте доступ всем пользователям домена. Щелкните Далее.
На странице Политики безопасности компьютеров выберите Шифровать рабочие папки и Автоматически блокировать страницу и требовать пароль. Щелкните Далее.
На странице Подтверждение нажмите кнопку Создать, чтобы завершить процесс настройки.

Основные компьютеры для перемещаемых профилей пользователей и перенаправления папок

Теперь вы можете для каждого пользователя домена назначить набор компьютеров, которые называются основными, что позволяет контролировать использование технологий перемещаемого профиля и (или) перенаправления папок. Назначение основных компьютеров — простой и эффективный способ сопоставления данных и настроек пользователя с конкретными компьютерами или устройствами. Это упрощает контроль со стороны администратора, повышает безопасность данных и позволяет защитить профили пользователей от повреждения.

Какую пользу приносят основные компьютеры?

Назначение основных компьютеров для пользователей дает четыре ключевых преимущества.

Администратор указывает, на каких компьютерах пользователи могут получить доступ к своим перенаправленным данным и настройкам. Так, он может разрешить перемещение данных и настроек пользователя между настольным компьютером и ноутбуком, а также запретить их перемещение на любой другой компьютер, например расположенный в конференц-зале.
Назначение основных компьютеров снижает риск нарушения безопасности и конфиденциальности, когда на компьютере, за которым работал пользователь, остаются личные или корпоративные данные. Это полезно, например, когда генеральный директор временно использует компьютер какого-либо сотрудника, чтобы после его работы на компьютере не осталось конфиденциальных или корпоративных данных.
Назначение основных компьютеров позволяет администратору снизить риск неверной настройки или повреждения профиля, что может быть следствием перемещения данных между системами разной конфигурации, например 32- и 64-разрядной.
При первом входе на неосновной компьютер, например сервер, потребуется меньше времени, так как перемещаемый профиль пользователя и (или) перенаправленные папки не скачиваются. Время выхода из системы тоже сокращается, поскольку отсутствует необходимость в передаче изменений профиля пользователя на файловый ресурс общего доступа.

Как изменяют ситуацию основные компьютеры?

Чтобы ограничить загрузку личных данных пользователей на основные компьютеры, с помощью технологий перемещаемых профилей и перенаправления папок производятся следующие проверки логики при входе:

Операционная система Windows проверяет новые параметры групповой политики (Загружать перемещаемые профили только на основные компьютеры и Перенаправлять папки только на основных компьютерах), чтобы определить, будет ли атрибут msDS-Primary-Computer в доменных службах Active Directory (AD DS) влиять на принятие решения о перемещении профиля пользователя или перенаправлении папок.
Если этот параметр политики обеспечивает поддержку основных компьютеров, Windows проверяет наличие в схеме доменных служб Active Directory поддержки атрибута msDS-Primary-Computer . Если она есть, Windows проверяет, назначен ли компьютер, на который заходит пользователь, для него основным:
1. если компьютер является одним из основных для этого пользователя, в Windows к нему применятся параметры перемещаемых профилей пользователей и перенаправления папок;
2. в противном случае Windows загрузит кэшированный локальный профиль пользователя (при наличии) или создаст новый. Кроме того, Windows удалит все существующие перенаправленные папки в порядке, который указан в ранее примененном параметре групповой политики, сохраненном в локальной конфигурации перенаправления папок.

Дополнительные сведения см. в разделе Deploy Primary Computers for Folder Redirection and Roaming User Profiles

Требования

До начала развертывания репликации распределенной файловой системы (DFS) необходимо настроить серверы следующим образом.

Обновите схему доменных служб Active Directory (AD DS), чтобы включить в нее дополнения для Windows Server 2003 R2 или более поздней версии. Нельзя использовать реплицируемые папки, доступные только для чтения, с дополнениями схемы для Windows Server 2003 R2 или более ранних версий.
Убедитесь, что все серверы в группе репликации находятся в одном и том же лесу. Репликация на серверах, находящихся в разных лесах, недоступна.
Установите репликацию DFS на все серверы, которые будут членами группы репликации.
Чтобы проверить совместимость антивирусного программного обеспечения с репликацией распределенной файловой системы (DFS), свяжитесь с поставщиком антивирусного программного обеспечения.
Найдите все папки, которые требуется реплицировать, на томах, форматированных в файловой системе NTFS. Репликация DFS не поддерживает файловые системы ReFS (Resilient File System) и FAT. Также репликация DFS не поддерживает репликацию содержимого общих томов кластера.