Supporto per Microsoft Vista nell'INFN: stato e prospettive Gianluca Peco Sezione di Bologna

overview Key Management System Hepix report Possibili approcci al supporto di Vista Organizzazione mini workshop Discussione

Example Configuration using MAK/KMS

How KMS Activation Works 1. Discover KMS host via registry or DNS SRV RR (_vlmcs._tcp) 2. Send RPC request to KMS host on 1688/TCP by default (~250b) Generate client machine ID (CMID) Assemble and sign request (AES encryption) On failure retry every 2 hours (default) 3. KMS host adds CMID to queue and responds with current count (~200b) itself 4. KMS client evaluates count vs. license policy and activates itself Store KMS host Product ID, intervals, and client hardware ID in license store On success renew activation every 7 days (default)

Activation Scenarios & Timeline GraceActivatedRFMGrace Automatic Activation Requests (2 hrs by def) Automatic Activation Renewal Requests (7 days by def) 30 days Re-activation after expiration 180 days (Each renewal extends this to the full 180 days) 30 days User Unable to Log On Automatic Activation Requests (2 hrs by def) 1.Machine automatically activates and re-activates within grace or expiration period 2.Machine goes out of 30 day grace period (or tolerance period) and into reduced functionality mode (RFM, which disables interactive log-on) 3.Admin user installs MAK key and activates within 30 day grace (activation does not expire)

KMS Deployment Details KMS Discovery – KMS attempts self-registration with DNS (via SRV resource records) DNS may require setting of permissions for KMS depending on network Client query obtains list of all KMS computers in the DNS domain and selects KMS at random KMS Communication – Uses anonymous RPC over TCP (must open firewall port) TCP port (default 1688) configurable via WMI (registry key) Requests are asynchronous and lightweight (200 bytes) A single KMS on a desktop machine can handle 20,000 requests / hour – Support for users that connect intermittently by automatic sensing when a machine comes online KMS Management – WMI support for remote management of clients and KMS service – All activity is logged in application event log of clients and KMS – Sample reporting utilities and MOM pack will be provided (Not available now)

Operazioni di attivazione Per effettuare l’attivazione di un SO Vista occorre eseguire da un CMD con privilegi di amministrazione 1.cscript \windows\system32\slmgr.vbs /ipk VKK3X-68KWM- X2YGT-QR4M6-4BWMV Imposta la chiave di attivazione KMS client 2.cscript \windows\system32\slmgr.vbs /skms vista.cnaf.infn.it Imposta il KMS Host 3.cscript \windows\system32\slmgr.vbs /ato Esegue la richiesta di attivazione

Stato sperimentazione KMS Gli host che attualmente partecipano al test : 1 mi.infn.it,3 pc.cnaf.infn.it,1 lnsw2k.lns.infn.it,2 bo.infn.it,1 ts.infn.it 3 non direttamente identificabili 20 VM totali tra bologna e cnaf 20 lnf.infn.it ( non incrementano il contatore ) Problematiche incontrate : I pc dei LNF risultano avere tutti lo stesso CMID quindi contano come 1 nel counter globale. Stiamo indagando la possibilita’ di modificare lo UUID del disco per evitare la reinstallazione ( cloning ) dei sistemi Un caso di incompatibilita’ del BIOS della macchina ( probabilmente OEM ) Allo stato attuale il quorum e’ ancora mantenuto attraverso le VM Nel caso di introduzione dei PC dei LNF nel quorum raggiungeremo quota 31 senza VM Allo stato attuale l’INFN utilizza 144 licenze di tipo MAK e 51 di tipo KMS piu’ un numero imprecisato di licenze OEM

Stato sperimentazione KMS (2) Consolidamento : Raggiungimento di un quorum senza VM Installazionue del KMS Host in una sala macchine con continuita’ elettrica Realizzazione di un sistema di backup. La ridondanza del sistema non rappresenta una criticita’. In caso di perdita totale del KMS Host e’ sufficiente una sostituzione e successiva riattivazione entro 30 gg. Una eventuale ridondanza implicherebbe un quorum doppio 25 client per ogni KMS Host Configurazione di una politica di firewall sul router perimetrale

Vista vs. XP Report by Principled Technologies: Responsiveness of Windows Vista ™, Windows Vista ™ SP1, and Windows XP ™ on common business tasks

Vista vs. XP  Source:

Deployment Progress Today 5% of all Windows workstations at CERN run Vista

Deployment Predictions (end of mainstream XP support) (end of extended XP support) Only security hotfixes for XP No Policy Change Vista by default on new PCs

Summary Vista Deployment Policy – Do not force people to run Vista if they do not want – Encourage people who could run Vista to try and to run it allows smoothly increase number of Vista computers before XP will have to be phased out Vista SP1 brings performance and reliability improvements, however requires significant effort to deploy Vista x64 will soon be available at CERN

Miniworkshop Windows Organizzazione di una giornata dedicata al’infrastruttura Windows INFN Possibili argomenti : – Raccolta e confronto di esperienze e problemi specifici delle singole sezioni – Vista Stato attuale Infrastruttura KMS ( Firewall policy, monitoraggio) Applicativi Tuning del sistema – Eventuale realizzazione di distribuzioni e immagini di sistemi operativi

Possibili approcci al supporto di Vista Nessun supporto ( lo stato attuale ) – Pro: Potenzialmente nessun impatto nelle infrastrutture di calcolo – Contro : Reinstallazione dei sistemi operativi Vista preinstallati ( driver ? Software OEM ? ), downgrade policy Supporto parziale – Pro: Il passaggio a Vista potrebe essere graduale permettendo di affrontare eventuali problematiche incontrate – Contro : parziale impegno da parte dei servizi per affrontare e risolvere i problemi di integrazione nelle infrastrutture esistenti Supporto totale Migrazione

Discussione

Plan for the nearest future Vista Readiness Check will run during the network installation wizard – If computer is not compliant with recommendations but on the list of supported models Windows XP is proposed by default but Windows Vista remains as an option – If computer is fully compliant with our recommendations Windows Vista is proposed by default but Windows XP remains as an option

First Year Security Report windows-vista-one-year-vulnerability-report.aspx