Организация корпоративной службы обмена сообщениями

Для организации корпоративной службы обмена сообщениями после многих опробованных продуктов был выбран jabber-сервер Wildfire (теперь - OpenFire) и jabber-клиент pandion.

http://www.pandion.be/download/
http://www.igniterealtime.org/downloads/index.jsp

Установка сервера - следовать указаниям мастера, Next-Next. Если нужно установить сервер как windows-сервис (не требует пользовательского сеанса) после установки запустить

C:\Program Files\Wildfire\bin\wildfire-service.exe /install

В службах windows добавится служба WildFire. Желательно в DNS добавить А-запись с именем IM-домена, наример, imserver с ip-адресом сервера (или добавить в файле hosts на всех компьютерах, если не развернут DNS), иначе привязка клиентов будет производиться к имени сервера.

Настройка сервера возможна правкой C:\Program Files\Wildfire\conf\wildfire.xml или, что гораздо удобнее, мастером через web-интерфейс http:\\imserver:9090, вот его шаги:

- Welcome to Setup (приветствие), необходимо выбрать язык, вероятно, анлийский. На работе пользователей это не отразиться, т.к. клиенты поддерживают русский, да и вообще, любой язык

- Server Settings, указать домен imserver, можно изменить порты администрирования

- Database Settings (база данных) Standard Database Connection если есть сервер СУБД, на котором можно создать базу для wildfire или Emdedded Database (встроенная база на HSQLDB)

- Profile Settings (настройки профилей) - рассматривается корпоративный вариант с наличием домена Windows - выбрать Directory Server (LDAP), все пользователи сервера будут read-only считываться из Active Directory, но можно выбрать вариант самому добавлять пользователей (Default)

1.Profile Settings: Connection Settings (Настройка соединения)

Server Type: Active Directory
Host: имя любого контроллера домена
Port: 389
Base DN: DC=Домена,DC=com (в базу IM-сервера импортируются все учетные записи пользователей, компьютеров и групп домена, можно указать distinguished name - месторасположение учетных записей пользователей в AD точнее, например, DC=Users,DC=Домен,DC=com)
Administrator DN: CN=jabber_user,CN=Users,DC=Домена,DC=com (необходимо создать заранее в AD доменную учетную запись пользователя, например, jabber_user, от имени которой будет читаться AD)
Password: пароль данной учетной записи

Проверить доступность учетной записи нажав Test Settings

2. Ничего не нужно менять, проверить доступность нажав Test Settings

3. Ничего не нужно менять, проверить доступность нажав Test Settings

- Добавить логины администраторов IM-сервера по SAMAccountName (ivanov, petrov), проверить доступность нажав Test около пиктограммы шестеренки

- Setup Complete!

Будет предложено войти в консоль (Login to the admin console) - не получится, надо рестартовать службу чтобы считать данные с AD.

Вход в консоль http:\\imserver:9090 по SAMAccountName, например, ivanov и пароль (не ivanov@domain.com или domain\ivanov или ivanov@imserver)

Для работы неоходима по крайней мере одна общая группа, т.к. сервер WildFire хоть и импортирует все учетные записи в свою базу данных, но они недоступны клиентам без Share.

Для создания общей группы, точнее, для пометки существующей группы Active Directory как общей необходимо зайти на http:\\imserver:9090, далее на вкладку Users/Groups, Group Summary, найти в списке импортированных из Active Directory групп необходимую группу и щелкнуть по ней. В свойствах группы по-умолчанию будет выделен параметр Enable contact list group sharing, необходимо лишь вписать отображаемое имя (кодировка броузера должна установлена в Юникод) и решить, необходимо ли другим группам видеть участников данной группы, для чего установить птичку Share group with additional users и быбрать группы. Нажать Save Contact List Settings, теперь все пользователи, запустившие Pandion увидят в контакт-листе участников своей share-группы.

Клиента Pandion можно установить на один компьютер, затем папку с программой из Program Files выложить на сетевой ресурс и запускать с сети pandion.exe без установки у пользователей.

Настройки pandion храняться в профиле пользователя в папке C:\Documents and Settings\%USERNAME%\Application Data\Pandion

Ошибка в системном журнале, источник AutoEnrollment

После установки на один из контроллеров домена центра сертификации на втором контроллере в системный журнал стала записываться ошибка:

Источние: AutoEnrollment, Код (ID): 13, Автоматическая подача заявки на сертификат Локальная система: не удалось подать заявку на один сертификат Контроллер домена (0x80070005). Отказано в доступе.

По умолчанию контроллеры доменане добавляются в группу CERTSVC_DCOM_ACCESS, имеющей необходимые полномочия. Для решения проблемы необходимо добавить проблемный контроллер домена или группу Контроллеры домена в группы CERTSVC_DCOM_ACCESS

Решение из Базы Знаний: Description of the changes to DCOM security settings after you install Windows Server 2003 Service Pack 1

Вход в домен с помощью смарт-карт

Для реализации данной задачи понадобится служба сертификации, входящая в состав Windows Server 2003, но не установленная по умолчанию. И, разумеется, драйвера смар-карты (например, eToken).

Установка центра сертификации (необходим инсталляционный диск Windows Server 2003).
Если не установлен IIS, то рекомендуется его установить, сертификатами гораздо удобнее управляь через веб-интерфейс. Пуск -> Панель управления -> Установка и удаление программ -> Установка компонентов Windows -> Сервер приложений -> Службы IIS, поставить галочку напротив пункта Служба WWW. Можно еще добавить поддержку ASP, но мастер все равно об этом попросит при установке центра сертификации.
Далее установить центр сертификации Пуск -> Панель управления -> Установка и удаление программ -> Установка компонентов Windows, поставить галочку напротив пункта Службы сертификации, мастер предупредит о том, что компьютер, на котором установлен центр сертификатов, в будущем нельзя будет переименовать до удаления данной службы. Далее мастер предложит выбрать тип и имя нового центра сертификации. Выбрать тип Корневой ЦС предприятия (предполагается, что данный ЦС будет использоваться в среде Active Directory), нажать Далее.
По завершении установки необходимо добавить несколько шаблонов в оснастке управления центром сертификации Пуск -> Администрирование -> Центр сертификации. В открытом окне должен появиться новый центр сертификации и доступные для него папки. Зайти в Шаблоны сертификатов, кликнуть правой кнопкой, выбрать пункт Создать -> Выдаваемый шаблон сертификата, выбрать Агент подачи заявок. Так же добавить Вход со смарт картой.

Далее необходимо оборудовать компьютер, на котором будут выдаваться смарт-карты. Установить драйвера используемых смарт-карт (собственно это надо сделать на всех компьютерах, на которых будут они использоваться), далее необходимо в броузере разрешить ActiveX в Свойства обозревателя -> Безопасность -> Другой –> "Использование элементов управления ActiveX, не помеченных, как безопасные для использования" установить в Включить.
Теперь необходимо выдать сертификат агента подачи заявок для выдачи запроса от имени другого пользователя: зайти в броузере на страницу управления (http://имя_сервера/certsrv), выбрать Запрос сертификата -> расширенный запрос сертификата -> Создать и выдать запрос к этому ЦС. Изменить Шаблон сертификата на ранее установленный Агент подачи заявок (больше можно ничего не менять) нажать Выдать, после чего будет выдан сертификат и предложено его установить, что и следует сделать.

Теперь можно выдавать пользовательские смарт-карты. Зайти в броузере на страницу управления, выбрать Запрос сертификата -> расширенный запрос сертификата -> "Запросить сертификат для смарт-карты от имени другого пользователя с помощью станции заявок на сертификаты смарт-карт". На данной странице в необходимо убедится, что в Шаблон сертификата установлен Вход со смарт-картой, Центр сертификации соответствует устанвленному, Поставщик услуг криптографии (CSP) соответствует смарт-карте, Сертификат подписи администратора тот, который был только что выдан.
Остается только вставить пустую смарт-карту, выбрать из каталога заявляемого пользователя и нажать Заявка, на что будет предложено ввести PIN смарт-карты и запишется выданный сертификат.

Однако, для входа пользователя по выданному сертификату остался еще один шаг. В оснастке Active Directory - пользователи и компьютеры в свойствах пользователя на закладке Учетная запись в Параметры записи установить птичку Для интерактивного входа в сеть нужна смарт-карта.

Кроме того, иногда бывает, что при загрузке компьютера приглашение вставить сматр-карту может и не появится. И чтобы войти в сеть необходимо достать и заново вставить сматр-карту.

Активирование сервера терминалов Windows Server 2003

По умолчанию сервер терминалов не требует вмешательства в процессы лицензирования в течение 120 дней.

Иначе необходимо установить и активировать сервер терминальных лицензий.

Установка (необходим инсталляционныйдиск). Пуск -> Панель управления -> Установка и удаление программ -> Установка компонентов Windows, поставить галочку напротив пункта Лицензирование сервера терминалов (Terminal Server Licensing), Далее, затем Готово.

Активация (необходимо подключение к интернету). Пуск -> Администрирование -> Лицензирование сервера терминалов. Установленный сервер находится в состоянии Не активирован. Щелкнуть правой кнопкой по серверу, выбрать пункт Активировать сервер. Тип подключения Автоматический. Необходимо ввести свои личные данные (имя, фамилию, организацию, страну - которые были введены при установке Windows, хотя возможно и произвольные). Следующую страничку (e-mail, адрес) можно пропустить нажав Далее. Активация должна пройти успешно (иной ситуации видеть не приходилось, возможно данные действия проводились лишь для сбора статистики).
После успешной активации вам будет предложено добавить лицензии. Запустится мастер, который спросит тип лицензии, которую вы желаете установить. Выбираем Предприятие (Enterprise Agreement), далее необходимо ввести число активации (Enrollment Number). Не помню откуда у меня (скорее всего ya.ru) - 4965437. Далее указать продукт - Windows 2003 Server, тип лицензии - На устройство. Количество любое до 999, нажать Готово.