With the announcement of the next Windows Server release, called Windows Server 2025, Microsoft decided to organize the next Windows Server Engineering Summit. The Windows Server Summit 2024 will take place March 26-28, 2024, 8 AM – 4 PM Pacific Time with many sessions around Windows Server solutions.
I´m happy to be invited to hold two sessions, which I think are really important and value from Management and Migration purposes.
Today Windows Server 2008 (R2) / Windows 7 reaches her End of Live (14.01.20) date and doesn`t receive Security updates anymore.
I think it was a great time with Windows Server 2008. WS2008 launched Hyper-V, one of the most powerful hypervisor on the market and the foundation of today’s Azure infrastructure. With WS2008, the first version of the Server Manager, the pre-release version of Windows Admin Center, was released.
In this article, I will list some of your options to get extended support for available Windows Server 2008 (R2) – but I prefer to discuss new solutions to replace the outdated infrastructure. Use this date to consider a change to move your infrastructure to the same flexible and scalable environment you had when Windows Server 2008 was introduced.
I know the time is to short to demote the existing Windows Server 2008 R2 and migrate the workloads to a newer operating system. But now it’s time to modernize your landscape. See which solutions Microsoft offer to extend the time or to renew the infrastructure.
Soeben wurde Server Management Blog das Update 1802 von Project Honolulu freigegeben, “The Nextgen Serverconsole” wie das Tool auch gern bezeichnet wird.
Die Neuerungen beziehen sich vor allem auf Performance Verbesserungen und Unterstützung von HA-Umgebungen, sind also zunächst unter der Haube zu finden.
Seit heute ist die Preview von Project Honolulu – Next Server Manager Console zum Download verfügbar. In diesem Blog Beitrag gehe ich auf die Installation und Konfiguration von dem Tool ein.
Vorwort
Bei Project Honolulu handelt es sich um eine vollständig, webbasierte Oberfläche für das zentrale Server Management von Windows Servern (ab 2012). Bedeutet das Tool ist nur über ein Webbrowser erreichbar und kann auch nur von hier verwaltet werden, dies ist für die spätere Installation von Relevanz.
Da ich, aufgrund der freundlichen Unterstützung von ppedv, noch einen Gutschein für die Serverprüfung 70-659 hatte, habe ich diesen heute eingelöst.
Wenn man ein wenig Erfahrung im Bereich Hyper-V und der Verwaltung von Hyper-V mit dem SCVMM 2008 R2 hat, dann ist diese für viele sicherlich kein Hindernis.
Allerdings passten die Fragen zum Remotedesktop Service nicht so recht zu dieser Prüfung. Davon waren einige vorhanden die sich auf die Themen Verbindung, Lizenzierung und Broker bezogen.
Ansonsten bin ich ganz froh, dass ich den Gutschein erfolgreich nutzen konnte und die Prüfung bestanden habe. Wer noch weitere gehende Informationen sucht, sollte sich den folgenden Beitrag anschauen, besser hätte ich es nicht zusammenfassen können: Virtualboy Blog
Aufgrund eines Fehlers und wahrscheinlich, weil ich nicht aufgepasst habe, habe ich bei der Migration von ESXi auf Hyper-V eine VM gelöscht, auf der meine Offline CA gespeichert war. Natürlich hatte ich ausgerechnet von diesem Zertifikat keine Datensicherung des privaten Schlüssels. Da in der Root CA auch noch ein Designfehler vorhanden war bzgl. der CRL, habe ich mich dazu entschieden, ein neues Root Zertifikat zu erstellen und die vorhandenen Designfehler zu korrigieren.
Da sieht man mal wieder, wie wichtig eine vernünftige Planung, auch in einer Testumgebung ist und das man natürlich die Datensicherung, gerade von kritischen Geräten nicht vergessen sollte 😉
Die Grundkonfiguration lässt sich mit folgenden Schritten schnell erledigen:
1. Standard-Installation von Windows Server 2008 R2 Enterprise Edition (Aktivierung auch gleich erledigen)
Primären DNS-Suffix eintragen
Unter C: ein Verzeichnis ADCS mit zwei Unterverzeichnissen “Database” und “Logs” anlegen
Serverrolle Active Directory Zertifikatsdienste (Active Directory Certificate Services) installieren
Bei Rollendiesten “Zertifizierungsstelle” auswählen
Allgemeiner Name dieser Zertifizierungsstelle “F1NaLByte Root Authority” (denkt euch euren eigenen aus 😉 )
Gültigkeitsdauer, da es sich um eine Offline Root CA handelt, kann diese zwischen 20 und 30 Jahren liegen. Wenn dieses Zertifikat kompromitiert werden sollte, verliert es ohnehin seine Gültigkeit.
Zertifikatdatenbank, auswählen des im Vorfeld angelegenten Database-Verzeichnis für die Datenbank und Logs-Verzeichnis für die Logs.
Restliche Abfragen mit Standardwerten bestätigen. Daraufhin ist die Rolle installiert.
Konfiguration Sperrlistenverteilungspunkt
Nun müssen die Sperrlisteninformationen angepasst werden, dass ist wichtig! Hier sind zunächst alle Einträge mit “ldap” und “file” zu löschen, siehe Bild.
Das ganze sollte, nach geänderter Konfiguration, folgendermaßen aussehen:
Konfiguration Stelleninformationen
Zuletzt sollte ebenfalls der Zugriff auf die Stelleninformationen angepasst werden.
Veröffentlichung der Sperrliste
Nächster Schritt ist die Konfiguration für das Veröffentlichungsintervall der Sperrliste. Da ich mit dieser Root CA nur meine Sub CA autorisiere, kann das Intervall ziemlich hoch eingestellt werden. Dies sollte aber im Einzelfall betrachtet werden. Bei Ausstellung von mehrere SubCA, sollte man das Intervall entsprechend der Anforderungen anpassen. In meinem Fall habe ich mich für 2 Jahre entschieden.
Zertifikatssperrliste Konfiguration
Nun muss noch die Zertifikatssperrliste veröffentlicht werden:
Ist der “File-Pfad” nicht verändert worden, so befindet sich die veröffentlichte Sperrliste nun an folgendem Ort: “C:WindowsSystem32CertSrvCertEnroll”
Diese beiden Dateien können nun mit dem Root- Zertifikat exportiert werden. Die beiden Dateien müssen unter der konfigurierten URL auf dem Webserver zur Verfügung gestellt werden.
Damit ist die Konfiguration der Offline Root CA abgeschlossen und alle notwendigen Dateien stehen zur Verfügung. Der nächste Schritt wäre die Erstellung einer untergeordneten Online CA (SubCA) die, beispielsweise, im Active-Directory veröffentlicht ist.
Aus dem nichts tauchten bei mir in der Ereignisanzeige die angegebenen Fehler auf, die aussagten, dass alle Webdienste nicht funktionieren. Nach diversen Recherchen, waren unterschiedliche Lösungsvorschläge. Überprüfen der ASP. Net Berechtigung, Neuinstallation des SelfupdateonPort80 (allerdings fragte ich mich, wass das mit dem Fehler zu tun haben sollte) usw.
Letztendlich habe ich den Fehler auf fehlende Berechtigung von .NET auf das Windows Temp- Verzeichnis eingrenzen können. Dort hatte cih letzte Woche was in Zusammenhang mit Sharepoint verstellt. Nachdem ich zunächst die Gruppe “Jeder” berechtigt habe, erzeugte der erneute aufruf von “wsusutil.exe checkhealth” wieder Informationen und keine Fehler. Danach habe ich die Berechtigung weiter eingeschränkt auf die Gruppe “IIS_IUSRS”. Ein erneuter Aufruf blieb weiterhin ohne Fehler.
Mit dem Webservern kann man auf Port 80 mehrere Domänen auf einer IP-Adresse, anhand des Hostnamen, hosten. Dies ist allerdings bei HTTPS-Verbindungen schwierig, da der Hostname ja durch das Zertifikat bereits ausgestellt wird und mehrere Hostnamen nicht zusammen mit einem Port und einer IP laufen können.
Es gibt allerdings einen Weg, wie man mehrere SSL-Verbindungen mit einem Webserver und einer IP realisieren kann.
Vorraussetzungen:
Ein Wildcard-Zertifikat (*.domain.de)
IP-Adresse für das Hosting mehrere Webseiten
Min. 2 Webseiten auf Port 80 mit Hostnamen (SSL-Hostname wird nachgetragen)
Um das ganze nun zu realisieren:
Eine Commando-Zeile mit administrativen Rechten aufrufen
Ins Verzeichnis C:WindowsSystem32inetsrv wechseln
Folgendes Kommando eingeben (ersetzen von {Sitename}, {IP} und {Hostheader} mit den gewünschten Werten)
appcmd set site /site.name:”Default Web Site” /bindings.[protocol=’https’,bindingInformation=’10.0.1.100:443:web1.f1nalbyte.de’].bindingInformation:*:443:web1.f1nalbyte.de
Nach einiger Recherche für ein Galleryalternative zu Tinywebgallery bin ich auf Galleryserverpro gestossen. Im Gegensatz zu Tinyweb basiert Galleryserverpro allerdings auf .Net und MS SQLLite / MS SQL Server und benötigt den IIS 6.0/7.0 oder höher als Webserver.
Nach dem ich mir die Demo angeschaut habe, hat mir das ganze einfach besser gefallen, als die bisherige Tinywebgallery. Ausserdem hatte ich mit den bisherigen Bildern von unserem Urlaub immer wieder Probleme. So habe ich mich entschieden heut Galleryserverpro zu installieren. Leider machte der IIS 7.5 ein wenig ärger und lies mich nur mit ein wenig Aufwand ein seperate Serviceaccount für den Application Pool angeben. So musste ich letztendlich den ehemaligen SPS Farmadmin Account verwenden, dieser scheint im System mehr Rechte zu haben. Das werde ichaber noch ändern, habe mir bereits mit “icacls” ein Auszug der Filesystemrechte gezogen und werde diese in den nächsten Tagen abgleichen.
Nachdem dieses Problem gelöst war, lief die Installation Problemlos. Bei der Insallation bin ich nach der sehr guten Dokumentation vorgegangen und hatte so auch keine Probleme. Nun haben wir eine, meiner Meinung nach, sehr professionelle Gallerie auf unseren Webspace die auch für viele Anwendungen verwendet werden kann.
