Cellent AG auf den Microsoft Operations Manager 2005 Workgroup Edition aufmerksam. Da die Lizenzkosten sehr günstig für öffentliche Auftraggeber sind und das Produkt im Grunde alle Anforderungen erfüllte, kam eine nähere Evaluierung in Frage. Cellent machte uns darauf aufmerksam, dass im Sommer 2007 eine neue Version - Microsoft System Center Essentials 2007 - auf den Markt kommen soll, die genau die Anforderungen von kleinen und mittleren Unternehmen abdeckt. Wir haben durch Vermittlung von Cellent die Gelegenheit wahr genommen, an einem Technologieprogramm (Technology Adoption Program TAP) von Microsoft teilzunehmen und SCE2007 schon vor der offiziellen Veröffentlichung in unserer Umgebung zu implementieren und zu testen. Folgende Fallstudie stellt das Projekt kurz dar und beschreibt unsere ersten Erfahrungen mit dem Produkt...
]]>
AusgangssituationZiel des Projekts war primär die Überwachung unserer Windows-Infrastruktur bestehend aus
- 2 Domain Controllern im Verwaltungsnetz,
- Terminalserver-Farm mit 4 Anwendungsservern und 1 Logon-Server unter Citrix Presentation Server 4 (XPa)
- Mail Server MS Exchange 2003
- 3 Domain Controllern im Lehrenetz,
- 2 Print-Server mit dem Druckmanagementsystem Canon uniFlow,
- Diverse Dienste wie MS SQL-Server, IIS, etc. die auf diesen Servern laufen,
- ca. 40 Netzwerkkomponenten wie Switches, Router, etc.
Alle Server und Domänen laufen unter Windows Server 2003 im native Mode. Der Status der Server und Dienste sollen in einer einheitlichen Sicht dargestellt werden, so dass Administratoren nur ein Werkzeug benötigen, um Eventlogs und darin vorkommende Warnungen und Fehler der unterschiedlichen Server erkennen und darauf reagieren zu können. Die von uns betriebenen Server und Dienste unter Linux sollen wenn möglich eingebunden werden - es war aber schon vorher klar dass in diesem Bereich mit Problemen und Schwierigkeiten zu rechnen ist.
Was System Center Essentials 2007 kann
Ein Überblick über die Funktionalität kann sich jeder auf der Homepage von SCE verschaffen. Grundsätzlich lässt sich der Funktionsumfang in folgende Bereiche einteilen:
- Monitoring
- Reporting
- Softwareverteilung
- Patch Management und Inventarisierung
Monitoring
Das Monitoring erfolgt in den meisten Fällen mit Hilfe sog. "Management Packs". Management Packs können auf der einen Seite die Hardware von Servern überwachen (Temperatur, Lüfter, Festplatten, etc.) und werden von den namhaften Server-Herstellern meist schon mitgeliefert oder können kostenlos bezogen werden. Auf der anderen Seite überwachen Management Packs Grundfunktionen von Windows Betriebssystemen (Eventlog und Basisdienste) oder spezielle Dienste wie Active Diretory, Exchange Mailserver, Firewall, Proxy, etc. Management Packs existieren des Weiteren auch von anderen Herstellern für Produkte wie Citrix Presentation Server oder können sogar selbst individuell erstellt werden - allerdings nicht mir SCE2007 sondern ausschließlich mit dem großen Bruder Microsoft Operations Manager. Es gibt jedoch schon sehr viele vorgefertigte Management Packs, die einen Großteil der zu überwachenden Server und Dienste abdecken und nur eingebunden werden müssen.
Reporting
Die von SCE2007 gesammelten Daten können natürlich auch grafisch visualisiert werden. Die Möglichkeiten sind unendlich, z.B. kann der Stand des zur Verfügung stehenden freien Festplattenspeicherplatzes über einen bestimmten Zeitraum angezeigt werden. Die Reports sind in jeglicher Hinsicht individualisierbar und es sollten keine Wünsche offen bleiben.
Softwareverteilung
Diese Komponente kapselt die Grundfunktionen des Microsoft Configuration Managers 2007. Im Grunde genommen ist Softwareverteilung ja schon seit Windows 2000 über Funktionen von Active Directory (Remote Installation Services, etc) möglich. Software kann jedoch nur in Form von MSI-Paketen (Windows Installer) und EXE-Dateien verteilt werden. Da wir bisher keinerlei Erfahrung in der Paketierung von Software per MSI haben, beschränke ich mich hier auf die offiziellen Informationen.
Patch Management und Inventarisierung
Es handelt sich hierbei im Grunde um die ebenfalls separat kostenlos erhältliche Komponente Windows Update Services 3 (WSUS3). Mit Hilfe dieser Komponente können Patches von Microsoft im lokalen Netz auf einem Server gespeichert und an die Clients im Netz verteilt werden. Der Vorteil liegt einerseits darin, dass nicht jeder Client Rechner im lokalen Netz Patches über das Internet von den Microsoft Servern lädt. Andererseits können Administratoren Patches selektiv frei geben, nachdem sie in der eigenen IT-Infrastruktur auf Kompatibilität getestet wurden. Es ist außerdem für jeden Client Rechner abrufbar, auf welchem Patch Level er sich befindet, welche Software installiert ist und welche Hardwarekomponenten installiert sind.
In jedem Modul ist es kontextabhängig möglich, weitere sinnvolle Aktionen auszuführen, z.B. kann eine Remote-Desktop-Verbindung zu einem Client aufgebaut werden oder auf Servern diverse MMCs gestartet werden.
Ablauf des Projekts
Geplant waren insgesamt 5 Tage Implementierungszeit durch die Fa. Cellent. In dieser Zeit wurde der SCE-Server installiert und die Management Agents auf die oben genannten Server verteilt. Außerdem wurden die Management Packs in SCE importiert und konfiguriert. Zur sinnvollen Nutzung des Monitoring mussten dann außerdem für jedes Management Pack Filter und Schwellenwerte für Benachrichtigungen gewählt und eingerichtet werden, schließlich sind Administratoren bestrebt, nur die wesentlichen Informationen zu sehen und nicht mit einer immensen Flut an Warnmeldungen überschwemmt zu werden. Aufgabe von Cellent war dabei ausdrücklich, diese Filter und Schwellenwerte aus der Erfahrung mit anderen Kunden zu definieren. Zum Schluß wurden noch die Netzwerkkomponenten mit Hilfe des Agentless Monitoring eingebunden. Es besteht dabei die Möglichkeit, eine Überwachung der Komponenten per SNMP oder im einfachsten Fall per Ping zu definieren.
Im Laufe der Installation stellten sich sehr schnell die Schwachpunkte des Produkts heraus. Die Lizenz von SCE2007 beinhaltet die Überwachung von 30 Servern und 500 Clients - allerdings müssen die Rechner alle in einer einzigen Windows-Domäne sein. Server und Rechner in anderen Domänen oder standalone können nicht überwacht werden. Dies trifft auch auf diejenigen Client Rechner zu, auf denen die SCE-Anwendungskonsole läuft, mit deren Hilfe Administratoren SCE2007 bedienen, da die Kommunikation zwischen Konsole und SCE-Server über digitale Zertifikate erfolgt und verschlüsselt wird und auf die Rechtestruktur im Active-Directory der Domäne aufsetzt.
Was sich Microsoft dabei gedacht hat, erschließt sich mir nicht, denn einerseits ist die Anzahl der enthaltenen Server- und Client Lizenzen so großzügig bemessen, daß sie auch für große mittelständische Unternehmen ausreichen. Andererseits kann man gerade bei den kleineren Unternehmen mit kleinerem Budget für die IT nicht davon ausgehen, dass eine homogene Infrastruktur mit einer einzigen Windows 2003 Domäne vorhanden ist. Es ist eher wahrscheinlich, dass eine nicht unerhebliche Anzahl an Servern und Rechnern standalone oder in mehreren Domänen betrieben werden. In diesem Fall muss der "große Bruder" von SCE2007 - Microsoft Operations Manager 2007 - eingesetzt werden, der jedoch die Komponenten für die Softwareverteilung und das Patch-Management nicht enthält. Es bleibt zu hoffen, dass Microsoft die Lizenzpolitik überdenkt und die Möglichkeit zur Überwachung mehrerer Domänen frei gibt. Besser wäre im Gegenzug, die enthaltenen Server- und Clientlizenzen zu reduzieren.
Unsere Terminalserver-Farm konnte per Management-Pack nicht eingebunden werden. Dies war jedoch kein Problem von SCE 2007 sondern von Citrix - Management Packs sind ausschließlich für die Enterprise Versionen, nicht für die von uns eingesetzte XPa verfügbar.
Die Einbindung von Linux Servern ist generell möglich, Management Packs existieren von Fremdanbietern für diverse Hardware und Dienste. Microsoft hat in den letzen Wochen auch entsprechende Firmenübernahmen getätigt, so dass zukünftig eine größere Verfügbarkeit zu erwarten ist. Da in unserem Projekt jedoch weitere Kosten angefallen wären, haben wir auf die Integration verzichtet.
Des weiteren setzt SCE2007 auf .NET 3.0 auf, auf Rechnern mit weniger als 1GB Hauptspeicher macht das Arbeiten mit der Konsole keinen Spaß, da die Geschwindigkeit des Rechners doch sehr in die Knie geht.
Fazit
SCE 2007 ist durchaus geeignet, die Administration von Windows Netzwerken effizienter und kostengünstiger zu gestalten. Das Produkt ist innerhalb weniger Tage installiert und konfiguriert, die Lizenz und Dienstleistungskosten bewegen sich in erträglichem Rahmen. Das Konzept überzeugt und deckt alle Anforderungen ab, die bei der täglichen Arbeit als Administrator auftreten - sofern man eine einzige Windows-Domäne zu administrieren hat. Aufgrund dieser Beschränkung ist das Produkt jedoch für die Berufsakademie Stuttgart ungeeignet und wir werden den Microsoft Operations Manager 2007 in Produktion nehmen. Die Lizenzkosten sind zwar höher und der Funktionsumfang scheint durch das Fehlen der Module Softwareverteilung und Patch-Management zwar geringer, da wir jedoch für beide Aufgaben schon andere Produkte im Einsatz haben, ist dieser Umstand für uns nicht wesentlich.
]]>
![Reblog this post [with Zemanta]](http://img.zemanta.com/reblog_e.png?x-id=1cfeb4e1-10da-46a1-862b-4d6923a4d5de)
