Введение

Как и всякая техника, персональный компьютер нуждается в техническом обслуживании, настройке и наладке. Небрежное отношение к своей машине приводит к тому, что работа компьютера становится нестабильной и не эффективной. А потом происходит сбой, и компьютер перестает работать вовсе и приходится (в лучшем случае) менять операционную систему и заново переустанавливать все нужные программы. При этом возникает проблема сохранения и безопасности данных – очень серьезная и очень сложная проблема, неизбежно сопряженная с риском потери хранящейся в памяти компьютера информации и становящаяся особенно сложной при работе в сети.

Программное обеспечение и данные – это то, ради чего компьютер существует, и потеря или повреждение данных или не стабильная работа установленных программ является первоочередным риском, защита от которого практически равнозначна защите самого существования ПК. Поэтому обеспечение стабильной работы программ и обеспечение для пользователя возможности восстановления данных входят в число первоочередных задач, выполняемых операционной системой. Для этого в операционной системе существует целая группа программ, которые называются служебными.

Согласно справочной системе Windows «Служба – программа или процесс, выполняющий конкретную системную функцию по поддержке других программ, особенно на низком (близком к аппаратному) уровне». Служебные программы, таким образом, представляют собой группу программ, предназначенных для управления службами.

Служебные программы представлены двумя основными средствами обслуживания дискового накопителя (жесткого диска): дефрагментатор и Scan Disk (проверка диска). Что такое дефрагментация? Согласно справочной системе Windows «Дефрагментация – это процесс перезаписи частей файла в соседние сектора на жестком диске для ускорения доступа и загрузки. При обновлении файла компьютер стремится сохранить изменения в наибольшей свободной области на жестком диске. При этом происходит фрагментация, которая приводит к дополнительным затратам на поиск всех частей открываемого файла, что в свою очередь увеличивает время отклика системы». Попросту говоря, эта программа производит упорядочение положения файлов на диске, при котором файлы перестают располагаться на диске беспорядочно (фрагментарно) и их становится легче найти. Легче – значит быстрее, а чем быстрее поиск, тем меньше затраты оперативной памяти и лучше работа программы. Любой программы, потому что все программы обращаются к файлам и если они могут найти файлы быстро и легко, то и работают они хорошо и стабильно.

Проверка дисков используется для проверки жесткого диска на наличие логических и физических ошибок. Цель такой проверки заключается в поиске ошибок файловой системы (т. е. ошибок в именах и размещении файлов, а также их сохранении) и поврежденных секторов на жестком диске. Найденные поврежденные области могут быть исправлены. Таким образом, устраняется возможность сбоев, порождаемых ошибками файловой системы или нарушениями структуры поверхности диска. Последнее, в основном, относится к читаемости дискет – на дискетах часто появляются поврежденные («битые») кластеры: области поверхности, с которых информация не считывается. Программа Scan Disk может решить эту проблему, исправив ошибку и восстановив тем самым доступ к информации, которая в другом случае оказалась бы потерянной. Кроме того, при сбое работы операционной системы, повлекшем за собой перезагрузку системы, Scan Disk запускается автоматически и проводит работу по восстановлению нарушенной сбоем файловой системы. Среди служебных программ Windows хотелось бы отметить еще одну программу – «Очистка диска». Она используется для освобождения дискового пространства. Программа отыскивает файлы, пригодные (по ее мнению) для удаления и выводит их список, из которого пользователь выбирает – что удалить, а что оставить. С помощью такой программы можно освободить некоторую (не слишком большую) толику свободного пространства на диске. Но для компьютера в данном случае есть одно незыблемое правило: «Свободной памяти всегда не хватает!».

Служебные программы Windows являются довольно эффективным и мощным средством защиты системы и данных. Но гораздо больше возможностей представляет использование для подобных целей специализированных программ, наиболее известный и распространенный набор которых представлен в программном комплексе нортоновских утилит, разработанных под руководством Питера Нортона корпорацией Symantec.

Командные оболочки, обслуживающие диск и размещенные на нем данные, появились практически одновременно с IBM PC – уже на первых моделях персоналок IBM использовались менеджер файлов Norton Commander и Norton Utilities – программы для защиты данных и отладки системы.

Изначально нортоновские утилиты состояли из двух-трех программок. Впоследствии семейство программ нортоновских утилит разрастается, число входящих в него программ растет, но при этом сохраняется прежняя система «разделения труда» – обслуживание операционной системы (эта «специальность» появилась в результате «освоения» Windows – первые утилиты работали под DOS), обслуживание файловой системы и обслуживание диска. В комплекс каждой из специальностей нортоновских утилит входит по нескольку программ, которые буквально пронизывают «все поры» операционной системы и, при умелом и добросовестном подходе (а также некотором необходимом минимуме усердия), могут творить настоящие чудеса.

Утилиты Питера Нортона анализируют работу операционной системы и собранная ими информация (для обработки которой используется специальная программа – монитор) позволяет пользователю контролировать работу операционной системы по целому множеству параметров одновременно – по степени загруженности процессора, по количеству используемой оперативной памяти, по степени использования файла подкачки, по состоянию файловой системы, фрагментированности диска и т. д.

С помощью нортоновских утилит пользователь может контролировать уже не только количество свободного места на диске (которого всегда не хватает), но также и степень использования хранящихся на нем файлов, наличие копий и повторов и т. п. Можно проводить не только дефрагментацию, но и оптимизацию расположения файлов на диске, что значительно облегчает работу с файлами для программ. Проверка состояния файловой структуры диска и поверхности дискет и компакт-дисков становится гораздо более глубокой, эффективной и управляемой.

Возможности нортоновских утилит выходят далеко за рамки возможностей служебных программ Windows, включая в себя настройку работы операционной системы и автоматическое устранение ошибок и неисправностей, отладку редактора реестров, восстановление утраченных и удаленных (из Корзины) файлов, защиту от сбоев и еще многое другое.

Кроме этого, в комплекте с нортоновскими утилитами используется специальная программа для защиты от вирусов – знаменитый NAV, нортоновский антивирус: одна из самых лучших и надежных антивирусных программ.

Существует также специальный набор программ от Питера Нортона для обслуживания диска – Norton Disk Utilities.

Операционные системы «нового типа», т. е. Windows 2k – Windows 2000 и, особенно, Windows XP, создавались уже с учетом значительного опыта использования таких программ и потому включают большую часть их возможностей в систему своего сервиса (не всегда, правда, эффективно, что и признается руководством Microsoft – надо отдать им должное). Добавление новых возможностей, основанных на использовании опыта работы со специализированными программами по обслуживанию компьютерной системы, значительно повысило устойчивость и стабильность работы операционной системы Windows XP, заставив многих ее пользователей просто забыть о существовании сервисных программ.

Учитывают новые возможности и проблему «сетевой безопасности» – Windows 2k имеет систему блокировки доступа, систему авторизации, а Windows XP – систему ограниченного доступа к данным, при которой авторизованному пользователю по его логину выделяется определенный объем дискового пространства – и не более того. Кроме того, существует возможность управления доступом к отдельным папкам и дискам. Windows 2000 позволяет управлять возможностью конфигурирования системы установкой новых программ.

Вообще, средства конфигурирования системы при установке и удалении новых программ – это отдельная область обеспечения нормальной работы ПК, так как при этом возникает целый ряд проблем с дисковым пространством, оперативной памятью, режимами работы и прочее, включая сюда знаменитую «власть ключей», основанную на том, что программы надо удалять, а не стирать.

В этой книге описаны средства защиты файлов и операционной системы, использование служебных программ и работа с нортоновскими утилитами. Здесь есть описание свойств и работы со службами архивации и восстановления данных. Описаны тут и дисковые утилиты и средства обеспечения безопасности компьютера, системы и данных. В общем, эта книга – для читателя и пользователя, желающего узнать, как надо заботиться о своей персоналке и как сделать работу на ПК стабильной, эффективной и продуктивной.

Здесь следует подчеркнуть терминологический переход от «информации» к «данным». Так получается, что данные – это основа и основной элемент информации. Информация всегда состоит из огромного количества данных, которыми управляет компьютер. Этот факт делает проблему хранения информации на компьютере сложной и включающей в себя целый комплекс специфических «компьютерных» проблем, одной из которых как раз и является проблема восстановления и защиты данных.

В результате для компьютера используется такое разделение: информация существует виртуально, данные существуют физически. Они занимают место (объем) на «блинах», то есть пластинах, накопителя, HDD.

Отсюда двойственность проблемы восстановления и защиты данных на ПК: для того чтобы защитить данные, приходится использовать информацию. Что это за информация и как она используется? Прочтите эту книгу и узнаете.

Вернемся к операционной системе.

Как уже отмечалось, операционная система Windows XP, что означает «опытная», использующая опыт всех своих предшественниц, имеет целый ряд «встроенных», то есть служебных средств защиты информации, а также сохранения, защиты и восстановления данных. Здесь следует уделить немного внимания популярному вопросу отличия двух линеек Windows – Windows 9.х и Windows 2k. Как известно, последняя рассчитана на работу в сети, в отличие от первой, рассчитанной на работу с рабочей станцией локально, то есть без обязательного подключения к сети.

Несколько парадоксальным образом различие это для Windows 2k (и особенно для Windows XP, о которой здесь идет речь) выражается в том, что для этого вида операционных систем пользователю приходится выполнять значительную часть той работы, которую раньше выполнял рабочий персонал сети (если отказаться от предположения, что на ПК с операционной системой Windows XP будут работать только системные администраторы).

Это, в частности, означает, что отличительной чертой и принципиальным новшеством этой ОС становится невероятно развитая система служб, теперь уже практически полностью управляемая локальным пользователем, а также система шифрования файлов, призванная обеспечить сетевую информационную безопасность (Kerberos и EMS).

Другим принципиальным новшеством Windows XP является System Restore – служебная программа (средство) «Восстановление системы». Возможность восстановления системы является одним из наиболее радикальных отличий ОС Windows XP. Эта ОС позволяет пользователю, даже не слишком опытному, восстановить поврежденные системные файлы, восстановить поврежденный загрузчик системы, и даже восстановить поврежденную систему целиком. Правда, при этом следует также отметить и сильную устойчивость системы: ОС Windows XP на файловой системе FAT 32 вывести из строя очень сложно, а Windows XP на файловой системе NTFS почти невозможно.

Средство восстановления системы Windows XP очень простое: оно позволяет создать «точку изменения», пакет данных, в котором сохраняются сведения о текущем состоянии системы. В дальнейшем, при возникновении необходимости восстановить исходное состояние системы средство «Восстановление системы» (System Restore) сделает это автоматически. Все, что здесь требуется от пользователя – это просто следовать указаниям программы. Само средство появилось еще в Windows ME – последней ОС линейки Windows 9.x, но только в Windows XP оно было реализовано достаточно толково и практично.

Другое стандартное средство организации сохранения данных средствами ОС – это сжатие дисков. Сжатие дисков позволяет расширить доступный для сохранения информации объем, сохранив при этом расположенную на диске информацию. В результате появляется так называемый «уплотненный диск». Уплотненный диск не является физическим устройством (то есть он не существует в реальности и его не найти внутри системного блока ПК), но, тем не менее, ОС воспринимает его именно так. Все содержимое уплотненного диска – все папки и все расположенные в них файлы, в общем, все данные диска содержатся в одном файле. Это файл уплотненного диска – файл CVF, Compressed Volume File. Этот файл располагается на обычном, не уплотненном, диске, который называется несущим. Windows XP использует вместо сжатия дисков Мастер архивации данных, который также можно использовать и для их восстановления. Работа с этим Мастером (то есть программой-автоматом) подробно описана в данной книге.

Выше я говорил о нортоновских утилитах – семействе программ от Питера Нортона, предназначенных для обслуживания установленной на ПК системы. В этой книге имеется раздел с описанием основных свойств и особенностей предназначенных для защиты и восстановления данных программ из пакета нортоновских утилит для Windows: Norton Unerase, Wipe Info, Speed Disk и Norton Disk Doctor.

Первая из этих программ предназначена для восстановления удаленных из Корзины файлов и является дополнением к стандартной функции Recycle Bin. С помощью Norton Unerase пользователь может восстановить случайно удаленный файл даже после очистки корзины, а также получает возможность найти потерянные после унинсталляции программы данные.

Программа Speed Disk служит для дефрагментации дисков и оптимизации дискового пространства. Она располагает файлы на диске таким образом, чтобы максимально ускорить к ним доступ. При этом логическая структура файлов (расположение папок и файлов в папках и т. п.) сохраняется такой, какой ее сделал пользователь. Но эта программа также может производить и организацию на уровне папок, что позволяет существенно повысить общую производительность системы.

Программа Norton Disk Doctor (NDD) предназначена для восстановления данных из поврежденных кластеров на жестком диске или на дискете, что очень важно, так как ситуация, в которой документ записан на дискете без резервного копирования и вот теперь не читается, просто типична. Здесь без NDD не обойтись никак. Кроме того, особый интерес представляет особенность работы NDD под управлением Windows XP, в которой сканирование поверхности жесткого диска (функция NDD) выполняется очень оригинально.

Некоторую проблему для пользователей (особенно для пользователей, ранее не использовавших нортоновские утилиты) представляет установка этого программного комплекса. Проблемы, как правило, возникающие при этом, описаны в начале раздела, посвященного нортоновским утилитам.

Значительное место в книге уделено описанию политик безопасности для защиты и восстановления данных – одному из принципиальных новшеств операционной системы Windows XP.

В отличие от линейки Windows 9.x операционные системы Windows 2k – Windows 2000 и Windows XP используют систему контроля входа в операционную систему, основанную на использовании учетных записей. В операционной системе Windows XP одной из основ системы безопасности является политика учетных записей, основанная на использовании ограничения времени действия паролей и блокировки учетной записи.

Вообще, состояние учетной записи – это одно из стандартных средств безопасности Windows XP. Учетная запись пользователя – это запись, содержащая все сведения, определяющие пользователя в операционной системе Windows. К этим сведениям относятся имя пользователя и пароль, требуемые для входа пользователя в систему, имена групп, членом которых пользователь является, а также права и разрешения, которые он имеет при работе в системе и доступе к ее ресурсам. В Windows XP существует учетная запись гостя – встроенная учетная запись, используемая для входа в систему, если пользователь не имеет учетной записи на компьютере, в домене или в доверенных доменах. Использование учетной записи гостя позволяет получить доступ к локальному компьютеру для любого человека, но при этом невозможен доступ к сети. Учетная запись гостя может быть отключена.

Каждый пользователь – владелец учетной записи автоматически становится участником безопасности: ему назначается код безопасности для доступа к ресурсам.

Другим средством обеспечения безопасности является использование политики аудита. Здесь возможно несколько разных видов аудита: аудит событий входа в систему, аудит управления учетными записями, аудит входа в систему, аудит доступа к объектам, аудит отслеживания событий и т. д.

Выше я уже рассказал, что Windows XP «передоверяет» пользователю многие обязанности системного администратора. Примером этого может служить назначение прав пользователя. В зависимости от произведенных пользователем настроек учетных записей и входа в систему, пользователь, получающий доступ в систему (даже и на локальной рабочей станции без подключения к сети) может иметь различные так называемые «привилегии» – право выполнять конкретную задачу, обычно действующее не для конкретного объекта, а для системы в целом. Привилегии назначаются как часть настроек безопасности компьютера. В качестве прав выступают такие возможности как доступ к компьютеру из сети, работа в режиме операционной системы, настройка квот памяти, обход перекрестной проверки, отладка программ и другие.

Средством политики безопасности является также используемый в Windows 2k интерактивный вход в систему. Здесь есть такие возможности как управление отображением последнего имени пользователя, текст сообщения для пользователей при входе в систему, напоминание о сроке действия пароля и другие.

Помимо политик безопасности при работе на локальном компьютере существует также целый ряд политик сетевой безопасности: для клиента, для сервера, политика сетевого доступа, сетевой безопасности. Часть из них основана на использовании цифровой подписи.

Политики сетевого доступа управляют разрешениями – разрешением сохранять иена пользователей и паролей, сохранять пароли или учетные записи для проверки, разрешением анонимного доступа к именованным каналам и общим ресурсам и т. п.

Существует также несколько политик безопасности, связанных непосредственно с восстановлением данных и процедурой завершения работы на компьютере.

Политика безопасности в отношении средства восстановления основана на использовании консоли восстановления – специального элемента службы управления компьютером. С помощью консоли восстановления могут быть реализованы такие элементы политики безопасности как разрешение автоматического входа для администратора, разрешение доступа ко всем дискам и папкам, разрешение копирования дискет.

Политика безопасности в отношении процедуры завершения работы на компьютере управляет разрешениями на завершение работы системы без выполнения входа в систему, очисткой страничного файла виртуальной памяти, использование некоторых алгоритмов шифрования.

Локальный компьютер – компьютер, на котором пользователь выполнил вход в систему. Другими словами, это компьютер, доступный пользователю непосредственно, т. е. без коммуникационных линий и устройств, таких как сетевая плата или модем.

Владельцем в среде Windows называется пользователь, управляющий разрешениями объекта и предоставляющий разрешения другим пользователям. В среде Macintosh владельцем является пользователь, ответственный за установление разрешений для папки на сервере. Пользователь Macintosh, создавший папку на сервере, автоматически становится владельцем папки и может передать права владения другому пользователю. У каждого тома Macintosh на сервере также имеется владелец.

Выполнение большинства задач в Windows включает работу с файлами и папками. Windows использует структуру папок в качестве системы хранения файлов на компьютере, подобно бумажным папкам, в которых хранится содержимое картотеки. Папки могут содержать файлы различных типов – документы, музыкальные клипы, изображения, видео, программы и др. Можно создавать новые папки и копировать или перемещать в них файлы из других мест – из других папок, с других компьютеров или из Интернета. В папках можно создавать подпапки. Например, если для создания и хранения файлов используется папка «Мои документы», можно создать в ней новую папку для размещения этих файлов. Если новую папку понадобится перенести в другое место, ее можно без труда переместить вместе со всем содержимым, выбрав ее и перетащив мышью на новое место.

Архив – это набор файлов, папок и других данных, сжатых и сохраненных в файле или на одной или нескольких магнитных лентах.

Носитель – любой стационарный или съемный объект, пригодный для хранения данных.

Служба – программа или процесс, выполняющие конкретную системную функцию по поддержке других программ, особенно на низком (близком к аппаратному) уровне. Если доступ к службам осуществляется по сети, они могут быть опубликованы в Active Directory, что упрощает их администрирование и использование. Примеры служб: диспетчер учетных записей безопасности, служба репликации файлов, служба маршрутизации и удаленного доступа.

Администратор – в Windows XP Professional пользователь, ответственный за настройку и управление контроллерами домена и локальными компьютерами, ведение учетных записей пользователей и групп, присвоение паролей и разрешений, а также помогающий пользователям работать в сети. Администраторы являются членами одноименной группы и обладают полным доступом к домену или компьютеру. В Windows XP Home Edition пользователь, который имеет право вносить на компьютере изменения на уровне системы, устанавливать программное обеспечение и имеет доступ ко всем файлам на компьютере. Пользователь с учетной записью администратора компьютера имеет полный доступ к другим учетным записям пользователей на компьютере.

Удаленный компьютер – это компьютер, доступный пользователю только с применением коммуникационных линий и устройств, таких как сетевая плата или модем.

В процессе архивации в файле или на ленте создается резервная копия данных. Для архивации в файл необходимо задать имя файла и место, где он будет сохранен. Файлы архива обычно имеют расширение BKF, но его можно сменить на любое другое. Файл архива можно сохранить на жестком диске, дискете или на любом другом съемном либо несъемном носителе, на котором возможно сохранение файлов.

Для архивации данных на ленту необходимо, чтобы к компьютеру было подключен накопитель на магнитной ленте. Для управления накопителями на магнитной ленте используется оснастка «Съемные ЗУ» (подробнее о ней будет рассказано позже, в одном из разделов этой главы). Хотя программа архивации работает совместно со службой «Съемные ЗУ», для выполнения некоторых сопровождающих действий, например для подготовки и извлечения лент, может потребоваться оснастка «Съемные ЗУ».

Самая простая процедура архивации включает в себя следующие четыре этапа. Сначала следует выбрать файлы, папки и диски для архивации. В программе архивации диски, файлы и папки компьютера представлены в виде дерева, позволяющего выбирать файлы и папки для архивации. Открытие папок и выбор файлов в этом дереве выполняется так же, как и в проводнике Windows. Затем надо выбрать носитель или файл для создания архива данных. Есть два способа выбора носителя: архив данных можно создать в файле или на устройстве хранения данных. В качестве устройства хранения данных можно использовать жесткий диск, диск Zip либо съемный или несъемный носитель любого типа, доступный для сохранения файлов. Этот вариант доступен всегда. Архив данных можно создать на накопителе на магнитной ленте. Этот вариант доступен только при наличии накопителя на магнитной ленте, установленного на компьютере или подключенного к нему. Если данные архивируются на накопитель на магнитной ленте, этот носитель будет управляться оснасткой «Съемные ЗУ». После того как выбран объект архивации и задан носитель архива, нужно задать параметры архивации. Окно «Параметры» программы архивации позволяет настраивать параметры архивации. Чтобы настроить архивацию, следует выполнить в окне «Параметры» следующие действия. Сначала надо выбрать требуемый тип архивации.

Существуют следующие типы архивации: копирующий, ежедневный, разностный, добавочный и обычный. Затем надо указать, требуется ли вести журнал архивации. Если ведется файл журнала, можно также выбрать запись всех либо только основных событий. И, наконец, надо указать требуется ли архивировать данные, хранящиеся на присоединенных дисках. На завершающем этапе пользователь может назначить типы файлов, которые требуется исключить из операции архивирования. Последний шаг – указать, требуется ли проверять правильность архивации данных.

При запуске архивации будут запрошены сведения о текущем задании архивации и предоставлена возможность задать дополнительные параметры. После того как сведения о задании будут введены или изменены, будет начата архивация выбранных файлов и папок.

Если запланирована автоматическая архивация, сведения о задании все равно будут запрошены. Однако после ввода этих сведений архивация не будет начата, а будет добавлена как запланированная планировщиком заданий.

Так в общих чертах выглядит процедура архивации данных с помощью средств операционной системы. Собственно говоря, все содержание данной главы книги посвящено описанию подробностей этого процесса.

Прежде чем перейти к этому, более подробному, рассмотрению архивации данных, остановлю внимание читателя на нескольких подробностях общего характера, имеющих принципиальное значение.

Итак, архивация файлов и папок может проводиться только администратором или оператором архива. Пользователи, не являющиеся членами группы «Пользователи» или «Опытные пользователи», могут архивировать только свои собственные файлы и папки либо должны иметь не менее одного из следующих разрешений на доступ к архивируемым файлам и папкам: «Чтение», «Чтение и выполнение», «Изменение» или «Полный доступ». Затем, данные состояния системы включают системный реестр, службу каталогов и другие ключевые системные компоненты. Для архивации этих компонентов следует выполнить архивацию данных состояния системы (описанию процедуры архивации состояния данных системы посвящен целый раздел этой главы). Архивация данных состояния системы возможна только для локального компьютера. Архивировать данные состояния системы для удаленного компьютера нельзя. Архивацию можно запланировать для автоматического выполнения в определенное время или с определенной периодичностью. Для того чтобы сделать это, следует нажать кнопку «Запуск».

Для выполнения архивации файлов служб Windows Media (если на данном компьютере запущены службы Windows Media) следует прежде изучить раздел о выполнении архивации служб Windows Media электронной документации по службам Windows Media (они приведены в конце данной главы, в разделах «Архивация лицензий» и «Авторские права»).

Если для управления носителями используется оснастка «Съемные ЗУ» или для сохранения данных используется внешнее хранилище, следует регулярно архивировать файлы, находящиеся в следующих папках:

СистемныйКорневойКаталог \System32\Ntmsdata

СистемныйКорневойКаталог \System32\Remotestorage

Это гарантирует возможность восстановления всех данных, сохраненных во внешнем хранилище и на съемном ЗУ.

Кроме того я приведу здесь описание процедуры добавления пользователя в группу «Операторы архива» (чтобы в дальнейшем к ней более не возвращаться). Значение этой процедуры более подробно рассматривается в главе, посвященной политикам безопасности, в разделах о привилегиях и управлении доступом.

Группа – это совокупность пользователей, компьютеров, контактов и других групп. Группы могут использоваться для управления доступом или в качестве списков рассылки. Группы распространения применяются только в электронной почте. Группы безопасности используются как для управления доступом, так и в качестве списков рассылки.

Оператор архива – это тип локальной или глобальной группы, содержащий права пользователя, необходимые для архивации и восстановления файлов и папок. Члены группы «Операторы архива» могут архивировать и восстанавливать файлы и папки независимо от параметров владения, разрешений, шифрования и аудита.

Для того чтобы добавить пользователя в группу «Операторы архива», следует сначала открыть окно «Управление компьютером», а затем в дереве консоли щелкнуть узел «Группы»: «Управление компьютером» – «Локальные пользователи и группы» – Группы». В области сведений дважды щелкнуть значок «Служба факсов». В диалоговом окне «Свойства: Операторы архива» нажать кнопку «Добавить». В диалоговом окне «Выбор: Пользователи или Группы» ниже списка «Имя» ввести домен и имя пользователя, которого требуется сделать оператором архива: сначала вводится имя домена, затем обратную косую черту и имя пользователя. Например: \\Rewinder\Leopards. Для завершения процедуры следует нажать «Добавить», а затем – кнопку ОК.

Из особенностей данной процедуры здесь следует подчеркнуть вот что: для добавления пользователей в группу операторов контроллера домена необходимо использовать оснастку «Active Directory – пользователи и компьютеры». Добавлять пользователей в группу «Операторы архива» могут только члены группы «Администраторы». И, наконец, чтобы открыть оснастку «Управление компьютером», следует нажать кнопку Пуск и выбрать команду Панель управления, а затем дважды щелкнуть значок Администрирование и, также дважды, – значок Управление компьютером.

Active Directory – служба каталогов, хранящая сведения об объектах сети и предоставляющая эти данные пользователям и администраторам. Active Directory позволяет пользователям сети осуществлять доступ к предусмотренным ресурсам в рамках одного процесса подключения. Кроме того эта служба обеспечивает администраторов интуитивным иерархическим представлением сети и единым инструментом администрирования всех сетевых объектов.

А теперь перейдем к рассмотрению задач архивации и способов их решения средствами архивации операционной системы Windows.

К основным задачам архивации относятся: архивация файлов и папок в файл или на ленту;

восстановление файлов и папок с файлов или с ленты; архивация данных состояния системы;

восстановление данных состояния системы. Рассмотрим их в общем виде.

Архивация файлов и папок в файл или на ленту. Эта процедура основана на том, что программа архивации позволяет архивировать файлы и папки на случай сбоя жесткого диска или случайного удаления файлов.

Восстановление файлов и папок из файла или с ленты. Здесь программа архивации позволяет восстанавливать архивированные файлы и папки.

Архивация данных состояния системы. Программа архивации позволяет архивировать копии важных системных компонентов, таких как реестр, загрузочные файлы и база данных службы каталогов Active Directory.

Восстановление данных состояния системы. При восстановлении данных состояния системы (подробнее о данных состояния системы будет рассказано позже) программа архивации позволяет восстанавливать копии важных системных компонентов, таких как реестр, загрузочные файлы и база данных службы каталогов Active Directory.

Программа архивации поддерживает пять способов архивации данных на компьютере или в сети.

Копирующая архивация

Копирование всех выбранных файлов без отметки их как архивированных (атрибут «Архивный» не снимается). Копирование используется, когда требуется выполнить архивирование отдельных файлов в промежутке между созданием обычных и добавочных архивов, поскольку оно не влияет на другие операции архивирования.

Ежедневная архивация

Копирование всех файлов, измененных в течение дня до выполнения ежедневной архивации. Обработанные файлы не помечаются как архивированные (атрибут «Архивный» не снимается).

Разностная архивация

Архивация файлов, созданных или измененных со времени последней обычной или добавочной архивации. Файлы не помечаются как архивированные (атрибут «Архивный» не снимается). При создании обычного и разностного архива для восстановления файлов и папок потребуется наличие как последнего обычного, так и последнего разностного архива.

Добавочная архивация

Архивация только файлов, созданных или измененных с момента последней обычной или добавочной архивации. Файлы помечаются как архивированные (атрибут «Архивный» снимается). При использовании и обычного, и добавочного архива для восстановления данных потребуется наличие как последнего обычного, так и всех добавочных архивов.

Обычная архивация

Архивация всех выбранных файлов с отметкой их как архивированных (атрибут «Архивный» снимается). При выполнении обычной архивации для восстановления всех файлов требуется наличие только последней копии файла или ленты архива. Как правило, при первом создании архива выполняется обычная архивация.

Архивация данных с использованием и обычных, и добавочных архивов требует меньше всего места для хранения архивов и является самым быстрым способом архивации. Однако восстановление файлов может занять много времени, так как архив может храниться на нескольких дисках или лентах.

Архивация данных с использованием и обычных, и разностных архивов занимает больше времени, особенно при частом изменении данных, но она упрощает процесс восстановления данных, так как весь архив обычно хранится на небольшом количестве дисков или лент.

Теперь давайте рассмотрим, как производится выбор типа архивации стандартными средствами Windows.

Выбор типа архивации может быть произведен как с помощью интерфейса Windows, так и с помощью командной строки.

Для того чтобы провести выбор средства архивации с помощью интерфейса W indows, следует сначала запустить приложение «Архивация». По умолчанию программа архивации запускается в режиме мастера, если этот режим не отключен. Затем надо нажать кнопку «Расширенный» в окне мастера архивации. После этого в меню Сервис надо выбрать команду «Параметры». На вкладке «Тип архива» следует выбрать в списке «Используемый по умолчанию тип архива» требуемый тип архива.

Чтобы запустить архивацию, следует нажать кнопку Пуск и выбрать следующую последовательность команд: Все программы, Стандартные, Служебные и Архивация данных.

Напоминаю, что существует всего пять типов стандартных архивов Windows: копирующий, ежедневный, разностный, добавочный и обычный.

А теперь посмотрим, как сделать то же самое (выбрать тип архивации) с помощью командной строки.

Командная строка для Windows XP – это то, что раньше называлось «Сеанс DOS», т. е. команда «Командная строка» из меню «Стандартные программы» открывает окно сеанса DOS.

Итак, окно «Командная строка» открыто (т. е. запущена команда «Командная строка» из меню Стандартные). Чтобы задать тип архива, следует ввести: ntbackup backup /M тип архива. Что именно подразумевается под «/М тип архива», поясняется в следующей таблице.

Например, чтобы под именем «Задание 1» задать обычную архивацию (что такое «обычная архивация» см. ниже) данных состояния системы в файл C: \backup.bkf, введите: ntbackup backup systemstate /M normal /J "Задание 1" /F "C: \backup.bkf" Все другие параметры будут взяты из настроек программы архивации (это либо настройки по умолчанию самой операционной системы, либо постоянные или текущие настройки, сделанные пользователем).Обычная архивация – это архивация всех выбранных файлов с пометкой их как архивированных (т. е. атрибут архивирования снимается). При выполнении обычной архивации для восстановления всех файлов требуется наличие только последней копии файла или ленты архива. Как правило, при первом создании архива выполняется обычная архивация.Более подробно архивация с помощью командной строки (команды ntbackup) будет рассмотрена позже, в отдельном разделе этой главы.Здесь я хочу особо обратить внимание на некоторые технические подробности, связанные с использованием только что описанных процедур.Напоминаю, что для того чтобы открыть окно командной строки, следует нажать кнопку Пуск и выбрать команды: Все программы, Стандартные и Командная строка.Чтобы просмотреть полный синтаксис команды ntbackup, нужно ввести в командной строке:ntbackup /?Если другие параметры архивации не указаны, при выполнении команды ntbackup будут по умолчанию использованы тип архива, параметры проверки, уровень ведения журнала, аппаратное сжатие и другие параметры, заданные в программе архивации.А теперь перейдем к рассмотрению непосредственно самой программы «Архивация». Что это такое? Для чего эта программа предназначена?

Итак, как уже говорилось выше (во «Введении» к этой главе), программа архивации позволяет защитить данные от случайной утери в случае, если в системе возникнет сбой оборудования или носителя. Например, с помощью программы архивации можно создать резервную копию данных на жестком диске, а затем создать архив на другом устройстве хранения данных. Носителем архива может быть логический диск (например, жесткий диск), отдельное устройство (такое, как съемный диск) или целая библиотека дисков или лент, объединенная в пул носителей и управляемая сменщиком Robotic (для модемов, поддерживающих протокол HTS компании US Robotics). При случайном удалении или замене исходных данных на жестком диске из-за его сбоя данные могут быть легко восстановлены из архивной копии.

Программа архивации создает снимок состояния тома, представляющий собой точную копию содержимого жесткого диска на определенный момент времени, в том числе всех открытых файлов, используемых системой. Во время выполнения программы архивации пользователи могут продолжать работу с системой без риска потери данных.

Жесткий диск – это устройство, содержащее одну или несколько жестких пластин, покрытых магнитным материалом, на который могут быть записаны (или считаны) данные при помощи магнитных головок. Жесткий диск находится в герметичном защитном корпусе, что позволяет приблизить магнитную головку к поверхности на расстояние от 10 до 25 миллионных долей дюйма. Запись и чтение данных на жестком диске выполняются значительно быстрее, чем на гибком.

Том – область памяти на жестком диске. Том форматируется для определенной файловой системы, такой как FAT или NTFS, и обозначается буквой. Содержимое тома можно просмотреть, щелкнув его значок в проводнике Windows или в окне «Мой компьютер». Один жесткий диск может содержать несколько томов; тома также могут занимать несколько дисков.

Мгновенный снимок состояния тома – это том, представляющий собой дубликат исходного тома по состоянию на определенный момент времени.

Программа архивации предоставляет следующие возможности.

• Архивация выбранных файлов и папок на жестком диске.

• Восстановление архивированных файлов и папок на локальный жесткий диск или любой другой доступный диск.

• Использование средства аварийного восстановления системы для сохранения и восстановления всех системных файлов и параметров конфигурации, необходимых для восстановления системы после сбоя.

• Создание копии данных из любого внешнего хранилища или данных, хранящихся на присоединенных дисках.

• Создание копии данных состояния системы локального компьютера, включающих реестр, службы компонентов, базу данных Active Directory и базу данных служб сертификации.

• Создание копии системного раздела, загрузочного раздела и файлов, необходимых для загрузки системы в случае сбоя компьютера или сети.

• Планирование периодического выполнения архивации для получения текущих версий архивов.

Программа архивации позволяет архивировать и восстанавливать данные на томах с файловыми системами FAT и NTFS. Данные, архивированные с тома NTFS Windows XP, рекомендуется восстанавливать также на том NTFS Windows XP. В противном случае могут быть утеряны данные, а также некоторые атрибуты файлов и папок, такие как разрешения, параметры шифрованной файловой системы, сведения о дисковых квотах, присоединенных дисках и внешних хранилищах.

FAT32 – это файловая система, производная системы FAT. FAT32 поддерживает меньшие размеры кластеров, что позволяет более эффективно использовать дисковое пространство.

Файловая система NTFS – это улучшенная файловая система, обеспечивающая уровень быстродействия и безопасности, а также дополнительные возможности, недоступные ни в одной версии файловой системы FAT. Например, для обеспечения целостности данных тома в файловой системе NTFS используются стандартные технологии записи и восстановления транзакций. В случае сбоя компьютера целостность файловой системы восстанавливается с помощью файла журнала NTFS и данных о контрольных точках. В операционных системах Windows 2000 и Windows XP файловая система NTFS также обеспечивает такие дополнительные возможности, как разрешения для файлов и папок, шифрование, дисковые квоты и сжатие.

Программа архивации выполняет простые функции по управлению носителями, например форматирование. Более сложные задачи управления, такие как присоединение и отсоединение лент или дисков, выполняются службой «Съемные ЗУ» (более подробному рассмотрению работы с этой службой посвящен один из разделов этой главы).

Обобщим все сказанное здесь об этой программе – программе архивации. В результате получится вот такая краткая техническая справка.

Программа архивации: использование – при необходимости восстановления версии файла данных, сохраненной с помощью программы архивации. Выполняемые действия:

восстановление файлов из архивов. Доступность: во всех версиях Windows XP. По умолчанию данное средство в Windows XP Home Edition не устанавливается. Однако его можно установить с компакт-диска Windows XP Home Edition. При этом следует иметь в виду, что после обновления драйвера вход в систему возможен, но система нестабильна.

Перейдем к использованию самой программы.

Как мы только что выяснили, программа архивации относится к типу служебных программ. Служебная программа архивации помогает создать копию данных на жестком диске. Если исходные данные будут случайно удалены, заменены или станут недоступны из-за неисправности жесткого диска, можно использовать резервную копию для их восстановления. Для запуска этой программы нужно нажать кнопку Пуск и выбрать команды: Все программы, Стандартные, Служебные и Архивация данных.

Для правильной работы приложения «Архивация» должна быть запущена служба «Съемные ЗУ». Для помощи в восстановлении системы также можно использовать мастер аварийного восстановления системы (рассмотрению процедуры работы с этим мастером посвящен один из разделов главы, посвященной описанию средств восстановления системы).

Как я уже отмечал выше, главным отличием служебной программы архивации от внешних программ архивации, таких как WinRar и ей подобные, является возможность планирования работы программы, т. е. автоматизация. Рассмотрим планирование архивации подробнее.

Для того чтобы запланировать архивацию, следует начать, как всегда, с запуска программы «Архивация». Напоминаю, что по умолчанию программа архивации запускается в режиме мастера, если этот режим не отключен. Затем следует нажать кнопку «Расширенный» в окне мастера архивации, а после этого перейти на вкладку «Архивация» и выбрать в меню «Задание» команду «Создать». Нужно выбрать файлы и папки для архивации, установив флажки в списке «Установите флажки для всех объектов, которые вы хотите заархивировать». В списке «Размещение архива» нужно выбрать пункт «Файл» или накопитель на магнитной ленте и сохранить список выбранных файлов и папок, выбрав в меню «Задание» команду «Сохранить выделенные». В поле «Носитель архива или имя файла» надо ввести путь и имя файла архива или выбрать ленту. После этого надо задать параметры архивации – тип архива и тип журнала, выбрав в меню Сервис команду «Параметры», и нажать кнопку ОК. Нажав кнопку «Запуск» и следует внести изменения в диалоговом окне «Сведения о задании архивации».

Чтобы задать дополнительные параметры архивации, например проверку данных или аппаратное сжатие, надо нажать кнопку «Дополнительно» и, после завершения задания дополнительных параметров, – ОК.

В диалоговом окне Сведения о задании архивации надо нажать кнопку «Расписание», после чего ввести в диалоговом окне «Указание учетной записи» имя и пароль пользователя, учетная запись которого будет использована при выполнении данного запланированного задания архивации. В поле «Имя задания» диалогового окна «Параметры» запланированного задания следует ввести имя данного задания архивации и нажать кнопку «Свойства», чтобы указать дату, время и частоту выполнения этого задания. По завершении надо нажать кнопку ОК и затем еще раз ОК.

Следует помнить о том, что программа архивации позволяет архивировать данные с томов FAT16, FAT32 и NTFS. Данные, архивированные с тома NTFS Windows XP, рекомендуется восстанавливать также на том NTFS Windows XP; в противном случае могут быть утеряны данные и свойства файлов и папок. Некоторые файловые системы могут поддерживать не все средства других файловых систем. Например, при восстановлении на томе FAT или томе NTFS Windows NT 4.0 данных, архивированных с тома NTFS Windows XP, будут утеряны разрешения, параметры шифрованной файловой системы (EFS), сведения о дисковых квотах, присоединенных дисках и внешних хранилищах.

В заключение сделаю несколько замечаний относительно некоторых деталей планирования архивации.

Напоминаю еще раз, что архивация файлов и папок может проводиться только администратором или оператором архива. Операторы архива и администраторы могут архивировать и восстанавливать зашифрованные файлы и папки, не расшифровывая их.

Если планируется архивация на ленту, следует воспользоваться службой Съемные ЗУ, чтобы убедиться, что эта лента доступна в пуле носителей архивации.

Для возможности планирования заданий должна быть запущена служба планировщика заданий. Для запуска этой службы следует открыть окно командной строки (о котором так много написано выше) и ввести «net start schedule». Запуск, остановку и просмотр состояния служб можно также осуществлять в разделе «Службы» оснастки «Управление компьютером».

Чтобы заархивировать данные состояния системы, включающие такие компоненты, как реестр и служба каталогов Active Directory, необходимо установить флажок «Состояние системы» в списке «Установите флажки для всех объектов, которые вы хотите заархивировать».

Архивация данных состояния системы возможна только для локального компьютера. Данные состояния системы для удаленного компьютера архивировать нельзя.

В диалоговом окне «Параметры» запланированного задания можно удалить запланированное задание архивации, нажав кнопку «Удалить».

После того как задание запланировано, его параметры можно изменить, перейдя на вкладку «Запланированные задания» и щелкнув значок архива, отображающийся в календаре.

В процессе планирования архивации возможно исключение из архива файлов определенного типа. Это значит, что файлы указанного типа (например. jpg или. mp3) архивироваться в процессе выполнения задания по архивации не будут.

После того как приложение «Архивация» запущено и в открывшемся окне мастера архивации нажата кнопка «Расширенный», в меню Сервис надо выбрать команду «Параметры», в котором на вкладке «Исключение файлов» проделать следующие действия: если требуется исключить файлы, принадлежащие всем пользователям, надо нажать кнопку «Добавить» под списком «Файлы, исключенные для всех пользователей»; если же требуется исключить лишь собственные файлы, то надо нажать кнопку «Добавить» под списком «Файлы, исключенные для пользователя».

В диалоговом окне «Добавление исключаемых файлов» следует выполнить одно из следующих действий: чтобы исключить зарегистрированный тип файла, надо выбрать его в списке «Зарегистрированный тип файла». Для того чтобы исключить особый тип файла, следует ввести в поле «Особая маска файла» точку и от одного до трех знаков расширения файла (например: «.jpg» или «.bmp»).

При желании пользователь может даже исключить тип файлов только в определенной папке или на жестком диске: для этого следует ввести путь в поле «Применяется к пути» и затем нажать кнопку ОК.

Зарегистрированный тип файлов – это типы файлов, занесенные в системный реестр и распознаваемые программами, установленными на компьютере.

Особый тип файла – обычно это расширения, созданные для файлов специальных типов.

Особые типы файлов не отслеживаются системным реестром.

При этом следует отметить, что если исключаются файлы в определенной папке (по определенному пути), то будут исключены также файлы из всех подпапок этой папки. Для того чтобы избежать этого, следует снять флажок «Применять ко всем подпапкам».

Чтобы изменить способ исключения файла из архива, нужно выбрать этот файл в списке «Файлы, исключенные для всех пользователей» или «Файлы, исключенные для пользователя» и нажать на кнопку «Изменить». Появится диалоговое окно «Добавление исключаемых файлов» с надписью «Не архивировать файлы следующих типов». Типы либо выбираются в списке «Зарегистрированные файлы», либо задаются по маске в поле «Особая маска файла», либо указывается путь к ним в поле «Применяется к пути».

Перейдем к рассмотрению следующей функции автоматической архивации данных с помощью служебной программы «Архивация» Windows – обновлению каталога.

Каталог носителя – это данные, сохраненные на носителе архива. Каталог носителя содержит список файлов и папок, помещенных в архив.

Каталог диска – это данные, сохраненные на локальном диске. Каталог диска содержит список файлов и папок, помещенных в архив.

Обновление каталога

Для обновления каталога следует на вкладке «Восстановление» щелкнуть правой кнопкой мыши носитель, содержащий архив, каталог для которого требуется обновить, и выбрать команду «Каталог». В ходе этой процедуры будет создан каталог на диске. Каталог на носителе создан не будет.

При создании каталога архива, сохраненного на ленте, необходимо предварительно выполнить одно из следующих действий.

Если все ленты архива имеются в наличии, не повреждены и не испорчены, нужно выбрать в меню Сервис команду «Параметры», перейти на вкладку «Общие» и убедится, что установлен флажок «Использовать каталоги носителей» для ускорения построения каталогов восстановления на диске. Это ускорит процесс построения каталога.

Если в наличии имеются не все ленты архива либо среди них есть поврежденные или испорченные, то нужно выбрать в меню Сервис команду «Параметры», перейти на вкладку «Общие» и убедиться, что флажок «Использовать каталоги носителей» для ускорения построения каталогов восстановления на диске снят. Это обеспечит построение полного и точного каталога, но займет больше времени.

Удаление каталога

Для удаления каталога следует, запустив служебную программу архивации и нажав на кнопку «Расширенный» в окне мастера архивации, перейти на вкладку «Восстановление» и кликнуть правой кнопкой мыши архив, содержащий каталог, который требуется удалить.

Затем следует выбрать команду «Удалить каталог», если архив был сохранен в файле, или команду «Удалить из системы», если архив был сохранен на ленте.

Эту процедуру следует выполнять, только если лента или файл повреждены или утеряны и требуется удалить их из каталога на диске.

Если выбрать команду «Удалить каталог», с диска будет удален каталог для выбранного архива. Сам архив удален не будет.

Если выбрать команду «Удалить из системы», с диска будет удален каталог для выбранного архива, а лента, если она является автономной, будет удалена из базы данных Съемные ЗУ.

Каталог носителя с ленты удален не будет.

Чтобы восстановить каталог для файла или ленты, на вкладке «Восстановление» надо кликнуть правой кнопкой мыши файл или ленту для создания каталога и выбрать команду «Занести файл в каталог» или «Каталог».

Рассмотрим теперь очень важный вопрос, а именно задание и настройку параметров архивации.

Задание параметров архивации возможно как с помощью интерфейса Windows, так и с помощью командной строки.

Для того чтобы задать параметры архивации с помощью интерфейса Windows, следует запустить программу «Архивация» и, нажав кнопку «Расширенный» в окне мастера архивации, выбрать в меню Сервис команду «Параметры», после чего на вкладке «Общие» установить нужные параметры.

Если при этом установлен флажок «Оценивать информацию о выборе файлов» перед выполнением операций архивации или восстановления, будет выполнена оценка количества файлов и байтов, архивируемых или восстанавливаемых в текущем задании. Эти сведения будут подсчитаны и выведены перед началом процесса архивации или восстановления.

Если установлен флажок «Использовать каталоги носителей для ускорения построения каталогов восстановления на диске», восстановление отмеченных объектов будет выполняться с использованием каталога носителя для построения каталога на диске. Это наиболее быстрый способ построения каталога на диске. Однако если требуется восстановить данные с нескольких лент, а лента с каталогом носителя отсутствует, либо если нужно восстановить данные с поврежденного носителя, этот флажок устанавливать не следует. После этого будет просмотрен весь архив (или все имеющиеся его части) и создан каталог на диске. Если размер архива велик, это может занять много времени.

Если установлен флажок «Проверять данные после завершения архивации» для проверки правильности архивации, данные из архива будут сравнены с исходными данными на жестком диске. Некоторые используемые файлы могут вызывать ошибки при проверке, но эти ошибки обычно можно игнорировать. Большое число таких ошибок может указывать на неполадки с используемым носителем или файлом архива. В этом случае следует повторить архивацию, используя другой носитель или файл.

Флажок «Архивировать содержимое подключенных дисков» позволяет архивировать данные, хранящиеся на присоединенном диске. Если этот флажок установлен, при архивации присоединенного диска будет выполнена архивация хранящихся на нем данных. В противном случае будут архивироваться только сведения о путях присоединенного диска.

Флажок «Выводить предупреждение, если служба съемных носителей не активна при запуске архивации» выводит предупреждение при запуске архивации, если служба Съемные ЗУ не работает. После этого служба съемных носителей запускается автоматически. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», флажок нужно установить.

Флажок «Выводить предупреждение, если при запуске архивации имеется совместимый импортируемый носитель» выводит предупреждение при запуске архивации, если в пуле импортированных носителей доступен новый носитель. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», этот флажок нужно установить.

Флажок «Выводить предупреждение при вставке нового носителя» выводит предупреждение при обнаружении службой «Съемные ЗУ» нового носителя. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», этот флажок нужно установить.

Если установлен флажок «Всегда перемещать новый импортированный носитель в пулы носителей архивации», новые носители, обнаруженные службой «Съемные ЗУ», автоматически будут перемещаться в пул носителей архивации. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если служба «Съемные ЗУ» не используется для управления носителями и нужно, чтобы все новые носители были доступны только для программы архивации, этот флажок следует установить.

Для задания параметров архивации с помощью командной строки следует открыть окно Командная строка, и чтобы после создания архива выполнялась его проверка, ввести:

ntbackup backup /V: yes|no

Например, чтобы под именем «Задание 1» задать архивацию всех файлов и папок с локального диска D: \ в файл C: \backup.bkf с проверкой архива после его создания, следует ввести: ntbackup backup D: \ /J "Задание 1" /F "C: \backup.bkf" /V: yes Все другие параметры будут взяты из настроек программы архивации.Напоминаю, что если не указаны другие параметры архивации, при выполнении команды ntbackup будут по умолчанию использованы тип архива, параметры проверки, уровень ведения журнала, аппаратное сжатие и другие параметры, заданные в программе архивации. А теперь, прежде чем перейти к рассмотрению выполнения архивации на съемные запоминающие устройства (съемные ЗУ), рассмотрим, что такое «консоль» и какое назначение она имеет для Windows XP. Для примера рассмотрим работу с консолью ММС.

Консоль MMC – это средство для создания, сохранения и открытия наборов средств администрирования, называемых консолями. Консоли содержат такие элементы, как оснастки, расширения оснасток, элементы управления, задачи, мастера и документация, необходимая для управления многими аппаратными, программными и сетевыми компонентами системы Windows. Можно добавлять элементы в существующую консоль MMC, а можно создавать новые консоли и настраивать их для управления конкретными компонентами системы.

Дерево консоли – левая область консоли MMC, отображающая объекты консоли. По умолчанию эта область присутствует в окне консоли, но может быть и скрыта. Объекты, находящиеся в дереве консоли, и их иерархическая организация определяют возможности консоли.

Для обращения к консоли используется run box или строка «Выполнить», расположенная справа от кнопки Пуск. Для запуска консоли MMC следует нажать эту кнопку и выбрать команду «Выполнить», а в поле «Открыть» надо ввести «mmc».

Консоль управления MMC (Microsoft Management Console) содержит средства администрирования, которые используются для администрирования компьютеров, служб, других системных компонентов и сетей. Для добавления одного или нескольких из этих средств администрирования, называемых оснастками, на консоль используется следующая процедура.

После того как консоль открыта, в меню «Консоль» следует выбрать команду «Добавить или удалить оснастку». Затем в диалоговом окне «Добавить/удалить оснастку» надо нажать кнопку «Добавить». В диалоговом окне «Добавить изолированную оснастку» надо выбрать оснастку, которую требуется добавить на консоль, и нажать кнопку «Добавить». Добавлять можно несколько оснасток, повторяя описанную здесь процедуру.

А теперь перейдем к рассмотрению использования непосредственно самой оснастки «Съемные ЗУ».

Итак, оснастка – тип инструмента, который можно добавить в консоль, производную от ММС. Изолированная оснастка может использоваться независимо от других оснасток, в то время как оснастка расширения может быть задействована только в качестве дополнения другой оснастки.

Съемные ЗУ – это служба управления съемными носителями (магнитными лентами и дисками) и запоминающими устройствами (библиотеками). Служба «Съемные ЗУ» позволяет приложениям совместно использовать ресурсы одного носителя.

Оснастка «Съемные ЗУ» упрощает отслеживание съемных носителей (таких как ленты или оптические диски) и управление содержащими их библиотеками (такими как устройства смены дисков).

Для того чтобы открыть оснастку «Съемные ЗУ», нужно обратиться к Панели управления и дважды кликнуть по значку «Администрирование», а затем выбрать в открывшемся меню пункт «Управление компьютером» (локальным) и кликнуть узел «Съемные ЗУ» в дереве консоли.

Перейдем к рассмотрению практических приемов архивации, начав их с рассмотрения архивации файлов в файл или на ленту, которая может производиться как с помощью интерфейса Windows, так и с помощью командной строки.

Для архивации файлов в файл или на ленту с помощью служебной программы архивации через интерфейс W indows следует после запуска программы архивации (которая по умолчанию запускается в виде мастера) нажать кнопку Расширенный в окне мастера архивации и затем перейти на вкладку «Архивация» и выбрать в меню «Задание» команду «Создать». После этого нужно выбрать файлы и папки для архивации, установив флажки в списке «Установите флажки для всех объектов, которые вы хотите заархивировать». В списке «Место назначения архива» нужно выбрать один из вариантов.

Для архивации файлов или папок в файл выбирается «Файл» (этот вариант выбран по умолчанию). Для архивации файлов и папок на ленту следует выбрать накопитель на магнитной ленте.

В поле «Носитель архива или имя файла» нужно сделать вот что: для архивации файлов и папок в файл ввести путь и имя файла архива (BKF) или нажать кнопку «Обзор», чтобы найти его. Для архивации файлов и папок на ленту следует выбрать нужную ленту.

Параметры «Тип архива» и «Тип журнала» задаются в окне «Параметры» (меню Сервис, команда Параметры). После того нужные значения параметров архивации установлены, можно нажимать кнопку ОК. После этого надо нажать кнопку «Архивировать» и внести изменения в диалоговом окне «Сведения о задании архивации».

Чтобы задать дополнительные параметры архивации, например проверку данных или аппаратное сжатие, надо нажать кнопку «Дополнительно» и, после установки нужных значений, кнопку ОК. Чтобы начать архивацию, надо нажать кнопку «Архивировать».

Производя архивацию файлов в файл или на ленту, следует помнить, что программа архивации позволяет архивировать данные с томов FAT16, FAT32 и NTFS. Данные, архивированные с тома NTFS Windows XP, рекомендуется восстанавливать также на том NTFS Windows XP; в противном случае могут быть утеряны данные и свойства файлов и папок. Некоторые файловые системы могут поддерживать не все средства других файловых систем. Например, при восстановлении на томе FAT или томе NTFS Windows NT 4.0 данных, архивированных с тома NTFS Windows XP, будут утеряны разрешения, параметры шифрованной файловой системы (EFS), сведения о дисковых квотах, присоединенных дисках и внешних хранилищах. Для архивации и восстановления файлов базы данных Microsoft SQL Server рекомендуется использовать встроенные служебные программы архивации и восстановления SQL. Некоторые накопители на магнитной ленте могут не поддерживать аппаратное сжатие.

Если мастер архивации и восстановления не запускается по умолчанию, для его использования следует выбрать в меню Сервис команду «Мастер восстановления».

Для архивации файлов в файл или на ленту с помощью командной строки следует открыть командную строку и, для выполнения архивации указанного вида, ввести: ntbackup backup @имя bks-файла /J " имя задания архивации " /F " имя файла " /T " имя ленты " /P " имя пула " / G " идентификатор guid " /N " носитель " /A

Например, чтобы под именем «Задание 1» задать архивацию всех файлов и папок с локального диска D: \ в файл C: \backup.bkf, следует ввести: ntbackup backup D: \ /J "Задание 1" /F "C: \backup.bkf" Все другие параметры будут взяты из настроек программы архивации.

Стирание данных с ленты

Для того чтобы стереть данные с ленты, следует запустить служебную программу архивации и нажать кнопку «Расширенный» в окне мастера архивации. Затем на вкладке «Восстановление и управление носителем» надо выбрать ленту, с которой требуется стереть данные. В меню «Сервис» надо выбрать команду «Обслуживание носителей», а затем – команду «Стереть».

Данные с ленты можно стереть, только если она находится в накопителе или в отсеке загрузчика устройства смены лент.

После стирания данных лента перемещается из пула носителей архивации в пул свободных носителей.

Для стирания данных с ленты можно также воспользоваться оснасткой «Съемные ЗУ». Кроме того команду «Стереть» можно выбрать из меню, щелкнув правой кнопкой мыши ленту на вкладке «Восстановление».

Форматирование ленты

Запустив служебную программу архивации и нажав кнопку «Расширенный» в окне мастера архивации на вкладке «Восстановление», надо кликнуть правой кнопкой мыши ленту, которую требуется отформатировать, и выбрать команду «Форматировать».

Некоторые накопители требуют форматирования ленты перед ее использованием и не поддерживают данную возможность. При отсутствии накопителя на магнитной ленте эта возможность недоступна.

Восстановление файлов из файла или с ленты

Для того чтобы восстановить файлы из файла или с ленты, надо, запустив служебную программу архивации и нажав на кнопку «Расширенный» в окне мастера архивации, перейти на вкладку «Восстановление и управление носителем» и в списке «Установите флажки для всех объектов, которые вы хотите восстановить» установить флажки для тех файлов и папок, которые требуется восстановить. Затем в списке «Восстановить файлы» надо выбрать один из следующих вариантов. «Исходное размещение» – восстановление файлов и папок из архива в папку (или папки), где они находились до архивации. «Альтернативное размещение» – восстановление файлов и папок из архива в указанную папку. Этот параметр позволяет сохранить структуру папок архивных данных. Все архивные папки и подпапки будут созданы в указанном альтернативном размещении. «Единственная папка» – восстановление файлов и папок из архива в указанную папку. При выборе этого параметра структура папок архивных данных не сохраняется. В указанной папке будут восстановлены только файлы.

Если выбран вариант «Альтернативное размещение» или «Единственная папка», в поле «Альтернативное размещение» надо ввести путь к нужной папке или нажать кнопку «Обзор», чтобы найти ее.

В меню «Сервис» надо выбрать команду «Параметры», перейти на вкладку «Восстановление» и выполнить одно из следующих действий.

Если в ходе восстановления не следует заменять файлы, уже имеющиеся на жестком диске, то надо выбрать вариант «Не заменять файл на компьютере». Если в ходе восстановления требуется заменить старые файлы на диске новыми файлами из архива, то надо выбрать вариант «Заменять файл на компьютере только если он старее». Если в ходе восстановления требуется заменять файлы на локальном диске независимо от того, как датированы файлы в архиве, тогда надо выбрать вариант «Всегда заменять файл на компьютере». Для принятия установленных параметров восстановления надо нажать кнопку ОК и затем «Восстановить».

Если требуется изменить дополнительные параметры восстановления, например восстановление настроек безопасности, базы данных съемных носителей или данных о точках соединений, надо нажать кнопку «Дополнительно». Завершив задание дополнительных параметров, надо нажать кнопку ОК и еще раз ОК – для того чтобы начать восстановление.

Если при восстановлении данных состояния системы не задано альтернативное размещение, данные состояния системы компьютера будут удалены и заменены восстанавливаемыми данными. Кроме того при восстановлении данных состояния системы в альтернативное размещение в указанную папку будут восстановлены лишь файлы реестра, файлы каталога SYSVOL, файлы сведений о базе данных кластера и системные загрузочные файлы. База данных службы каталогов Active Directory, база данных служб сертификации и база данных регистрации классов служб компонентов при указании альтернативного размещения восстановлены не будут.

При выборе варианта «Заменять файл на компьютере только если он старее» могут быть заменены некоторые или все файлы, находящиеся на диске.

Выбор варианта «Всегда заменять файл на компьютере» может привести к потере данных, если файл, над которым ведется работа, содержится в архиве.

Программа архивации позволяет архивировать данные с томов FAT16, FAT32 и NTFS.

Данные, архивированные с тома NTFS Windows XP, рекомендуется восстанавливать также на том NTFS Windows XP; в противном случае могут быть утеряны данные и свойства файлов и папок. Некоторые файловые системы могут поддерживать не все средства других файловых систем. Например, при восстановлении на томе FAT или томе NTFS Windows NT 4.0 данных, архивированных с тома NTFS Windows XP, будут утеряны разрешения, параметры шифрованной файловой системы (EFS), сведения о дисковых квотах, присоединенных дисках и внешних хранилищах.

Для архивации и восстановления файлов базы данных Microsoft SQL Server рекомендуется использовать встроенные служебные программы архивации и восстановления SQL.

Дополнительные сведения см. в документации Microsoft SQL Server.

Восстановление файлов и папок может проводиться только администратором или оператором архива. Для восстановления данных с ленты необходимо предварительно обновить ее каталог на носителе. Для восстановления файлов можно также воспользоваться мастером восстановления, выбрав в меню «Сервис» команду «Мастер восстановления».

Для восстановления данных состояния системы контроллера домена необходимо предварительно запустить компьютер в режиме восстановления службы каталогов. Это позволит восстановить каталог SYSVOL и базу данных службы каталогов Active Directory.

Восстановление данных состояния системы возможно только на локальном компьютере.

Восстановить данные состояния системы на удаленном компьютере нельзя.

Операторы архива и администраторы могут архивировать и восстанавливать зашифрованные файлы и папки, не расшифровывая их.

Перемотка ленты

Для того чтобы перемотать ленту, следует, запустив служебную программу архивации и нажав на кнопку «Расширенный» в окне мастер архивации, на вкладке «Восстановление» выбрать ленту, которую требуется перемотать. Затем в меню «Сервис» надо выбрать команду «Обслуживание носителей», а затем – команду «Перемотка». Команду «Перемотка» можно также выбрать в меню, щелкнув правой кнопкой мыши ленту на вкладке «Восстановление».

Пакетный файл – это файл ASCII (неформатированный текстовый файл), содержащий одну или несколько команд операционной системы. Имена пакетных файлов имеют расширения. cmd или. bat. Операционная система последовательно обрабатывает команды пакетного файла после ввода его имени в командной строке или запуска из другой программы. Пакетные файлы называются также командными файлами.

Архивация может выполняться из пакетного файла с помощью команды ntbackup и различных параметров командной строки. Однако есть два важных ограничения архивации данных с использованием пакетных файлов: с помощью команды ntbackup можно архивировать только папки целиком. Нельзя проводить архивацию отдельных файлов. Однако в командной строке можно указать файл с расширением BKS, который содержит список файлов, подлежащих архивации. Для архивации выбранных файлов необходимо наличие программы архивации с графическим интерфейсом. Это первое. И второе: команда ntbackup не поддерживает использование подстановочных знаков. Например, при задании шаблона *.txt архивация файлов с расширением TXT выполнена не будет.

Состояние системы – это множество системных данных, которое может быть сохранено в архиве, а затем восстановлено. Данные состояния системы включают реестр, базу данных регистрации классов COM и системные загрузочные файлы. Для серверов данные состояния системы включают также базу данных служб сертификации (если сервер используется в качестве сервера сертификации). Если сервер является контроллером домена, данные состояния системы включают также базу данных справочных служб Active Directory и каталог SYSVOL.

SYSVOL – общая папка, в которой хранится серверная копия общих файлов домена, которые реплицируются между всеми контроллерами домена.

Службы IIS – программные службы, поддерживающие создание, настройку и управление веб-узлами, а также другие средства Интернета. Службы IIS включают протоколы NNTP, FTP и SMTP.

Программа архивации позволяет архивировать и восстанавливать следующие системные компоненты:

• реестр;

• базу данных регистрации классов COM+;

• загрузочные файлы, в том числе системные файлы;

• базу данных служб сертификации;

• службу каталогов Active Directory;

• каталог SYSVOL;

• сведения о службе кластеров;

• метакаталог IIS;

• защищенные системные файлы Windows.

При архивации эти компоненты называются данными состояния системы.

Точный перечень компонентов, образующих данные состояния системы, зависит от операционной системы и конфигурации компьютера. Так, для Windows XP Pro данные состояния системы включают только реестр, базу данных регистрации классов COM+, защищенные файлы Windows и загрузочные файлы, а для семейства Windows 2000 Server данные состояния системы имеют гораздо более сложную организацию и состав. Здесь данные состояния системы включают реестр, базу данных регистрации классов COM+, защищенные файлы Windows и загрузочные файлы. В зависимости от конфигурации сервера в этот перечень могут быть включены и другие данные. Например, если сервер используется в качестве сервера сертификации, данные состояния системы включают в себя также базу данных служб сертификации. Если сервер является контроллером домена, данные состояния системы включают Active Directory и каталог SYSVOL.

Кроме того если на контроллере домена работает служба DNS, часть данных состояния системы, относящаяся к Active Directory, содержит также сведения о зоне DNS, интегрированные в сервер домена. Сведения о зоне DNS, не интегрированные в сервер домена, по умолчанию сохраняемые в виде файлов *.dns в каталоге \WINDOWS\SYSTEM32\ DNS, являются частью загрузочного тома и будут включены при выполнении полной архивации компьютера. Если на сервере работает служба кластеров, данные состояния системы будут включать в себя дополнительно все контрольные точки реестра ресурсов и журнал восстановления ресурса кворума, содержащий последние сведения базы данных кластера.

Контроллер домена – это компьютер в домене Windows, на котором выполняется служба Active Directory. Управляет входом пользователей в сеть, проверкой их подлинности и доступом к справочнику и общим ресурсам.

Загрузочный том – это том, содержащий операционную систему Windows и ее файлы поддержки. Загрузочный том также может быть (но необязательно) системным томом.

Ресурс кворума – это ресурс, выбранный для обслуживания конфигурационных данных, необходимых для восстановления кластера. Эти данные содержат все изменения, сделанные в базе данных кластера. Ресурс кворума обычно доступен для других ресурсов кластера, так что любой узел кластера имеет доступ к самым последним изменениям в базе данных. По умолчанию в кластере предусмотрен только один ресурс кворума.

Ресурс – это некоторая часть компьютера или сети, такая как диск, принтер или память, которая может быть предоставлена выполняющейся программе или процессу. Любой из четырех системных компонентов в диспетчере устройств, управляющих работой устройств компьютера. Это могут быть линии запросов на прерывание (IRQ), каналы прямого доступа к памяти (DMA), порты ввода-вывода и адреса памяти. Физический или логический элемент кластера серверов, для которого возможны: управление, подключение, отключение и перемещение между узлами. Ресурс всегда принадлежит только одному узлу.

Архивация или восстановление данных состояния системы выполняется сразу для всех данных состояния системы локального компьютера. Нельзя выполнить архивацию или восстановление отдельных компонентов данных, поскольку компоненты состояния системы взаимосвязаны. Однако можно восстановить данные состояния системы в альтернативное размещение. В этом случае будут восстановлены лишь файлы реестра, файлы каталога SYSVOL, файлы сведений о базе данных кластера и системные загрузочные файлы. База данных службы каталогов Active Directory, база данных служб сертификации и база данных регистрации классов COM+ при указании альтернативного размещения восстановлены не будут.

Для архивации файлов и папок необходимо обладать определенными разрешениями или правами пользователя.

Для восстановления данных состояния системы контроллера домена необходимо предварительно запустить компьютер в режиме восстановления службы каталогов. Это позволит восстановить каталог SYSVOL и службу Active Directory.

Для архивации и восстановления данных состояния системы необходимо быть администратором. Архивация и восстановление данных состояния системы возможны только для локального компьютера. Архивировать и восстанавливать данные состояния системы для удаленного компьютера нельзя.

Поскольку нельзя выбрать компоненты состояния системы для архивации, можно архивировать только все защищенные системные файлы, включенные в данные состояния системы, установив дополнительные параметры архивации.

Архивация данных состояния системы может быть выполнена как с помощью интерфейса Windows, так и с помощью командной строки.

Процедура архивации данных состояния системы

Для архивации данных состояния системы с помощью интерфейса W indows следует запустить служебную программу «Архивация» и, нажав кнопку «Расширенный» в окне мастера архивации, перейти на вкладку «Архивация», а затем установить в списке «Установите флажки для всех объектов, которые вы хотите заархивировать» флажок для объекта «Состояние системы». Это позволит заархивировать данные состояния системы вместе с остальными данными, отмеченными в текущем задании архивации.

Производя архивацию данных состоянии системы, обязательно следует помнить, что архивные копии данных состояния системы всегда должны быть свежими и надежными.

Подчеркиваю, что архивация файлов и папок может проводиться только администратором или оператором архива.

Если архивация данных состояния системы выполняется на ленту и программе архивации не удается найти свободные носители, можно воспользоваться службой «Съемные ЗУ» для добавления ленты в пул носителей архивации, чтобы программа архивации могла ее использовать.

Еще раз напоминаю, что архивация данных состояния системы возможна только для локального компьютера. Данные состояния системы для удаленного компьютера архивировать нельзя.

Для архивации данных состояния системы с помощью командной строки следует открыть командную строку и ввести: ntbackup backup systemstate

Например, чтобы под именем «Задание 1» задать архивацию данных состояния системы в файл C: \backup.bkf, следует ввести: ntbackup backup systemstate /J "Задание 1" /F "C: \backup.bkf" Все другие параметры будут взяты из настроек программы архивации. И, наконец, завершая главу о работе со служебной программой архивации Windows, рассмотрим работу с командой ntbackup.

Архивация может выполняться из командной строки или пакетного файла с помощью команды ntbackup и различных параметров командной строки.

Синтаксис

ntbackup backup [systemstate] " @имя_файла_bks " /J { " имя_задания " } [ /P { " имя_пула " }] [ / G { " идентификатор_guid " }] [ /T { " имя_ленты " }] [ /N { " носитель " }] [ /F { " имя_файла " }] [ / D { " описание " }] [ /DS { " имя_сервера "}] [ /IS { " имя_сервера " }] [ /A ] [ /V: { yes | no }] [ /R: { yes | no }] [ /L: { f | s | n }] [ /M { тип_архива }] [ /RS: { yes | no }] [ /HC: { on | off }] [ /SNAP: { on | off }]

Параметры

systemstate

Указывает, что следует выполнить архивацию данных о состоянии системы. При выборе данного параметра будет установлен обычный или копирующий тип архивации.

@имя_ bks_файла

Указывает имя файла (с расширением bks) со списком файлов для архивации в данном задании архивации. Перед именем файла должен стоять символ @. Этот файл содержит сведения о файлах и папках, подлежащих архивации. Этот файл должен быть создан с помощью программы архивации с графическим интерфейсом.

/J { " имя_задания " }

Указывает имя задания, которое будет упоминаться в файле журнала. Обычно имя задания описывает файлы и папки, подлежащие архивации в данном задании архивации, а также содержит дату и время архивации.

/P { " название_пула " }

Указывает пул носителей, носитель из которого будет использован. Обычно это подпул пула носителей архивации, такой как 4-мм DDS. Если этот подпул был выбран, невозможно использовать параметры командной строки /A , /G , /F или /T .

/G { " идентификатор_guid " }

Добавляет или заменяет данные на ленте. Не следует использовать этот параметр совместно с параметром /P .

/T { " имя_ленты " }

Добавляет или заменяет данные на ленте. Не следует использовать этот параметр совместно с параметром /P .

/N { " носитель " }

Указывает новое имя ленты. Не следует использовать параметр /A совместно с этим параметром.

/F { " имя_файла " }

Путь и имя файла на логическом диске. Совместно с этим параметром не следует использовать следующие параметры: /P /G /T .

/D { " описание " }

Указывает метку для каждого архива.

/DS { " имя_сервера " }

Производит архивацию файла службы каталогов указанного сервера Microsoft Exchange.

/IS { " имя_сервера " }

Производит архивацию файла банка сообщений указанного сервера Microsoft Exchange.

/A

Производит архивацию с добавлением в архив. Совместно с этим параметром следует использовать параметр /G или /T . Не следует использовать этот параметр совместно с параметром /P .

/V: { yes | no }

Проверяет данные после архивации.

/R: { yes | no }

Ограничивает доступ к этой ленте одним владельцем или членами группы «Администраторы».

/L: { f | s | n }

Указывает тип файла журнала: f – полный, s – сокращенный, n – нет (файл журнала не создается).

/M { тип_архива }

Указывает тип архива. Этот параметр должен иметь одно из следующих значений: normal, copy, differential, incremental или daily.

/RS: { yes | no }

Производит архивацию перемещенных данных на съемных носителях. Параметр командной строки /RS не требуется для архивации локальной базы данных съемных носителей (эта база данных содержит заместители мест файлов удаленного хранилища). При архивации папки %systemroot% программа архивации автоматически архивирует и базу данных съемных носителей.

/HC: { on | off }

Использует при возможности аппаратное сжатие.

/SNAP: { on | off }

Указывает, является (on) или не является (off) архив снимком состояния тома.

/M { тип_архива }

Указывает тип архива. Этот параметр должен иметь одно из следующих значений: normal, copy, differential, incremental или daily.

/?

Отображает справку в командной строке.

Восстановление файлов из командной строки с помощью команды ntbackup невозможно.

Если следующие параметры командной строки не заданы, будут использованы соответствующие настройки программы архивации с графическим интерфейсом: /V /R /L /M /RS /HC . Например, если в диалоговом окне «Параметры» программы архивации включено сжатие при архивации, при отсутствии параметра /HC в командной строке данные будут сжиматься. Но если в командной строке задан параметр /HC: off , он заменяет значение параметра диалогового окна «Параметры», и сжатие не используется.

Если управление носителями осуществляется службой «Съемные ЗУ» или для сохранения данных используется внешнее хранилище, следует регулярно архивировать файлы, находящиеся в следующих папках:

системный_корневой_каталог \System32\Ntmsdata системный_корневой_каталог \System32\Remotestorage Это будет гарантировать возможность восстановления всех данных, сохраненных во внешнем хранилище и на съемном ЗУ.

Условные обозначения форматирования

ПримерыРассмотрим несколько примеров выполнения архивации командой ntbackup.Пул носителей – это логическое объединение съемных носителей, подчиняющихся одной политике управления. Пулы носителей используются приложениями для получения доступа к конкретным лентам или дискам в библиотеках, управляемых программой «Съемные ЗУ».Предусмотрены четыре пула носителей: свободные, импортированные, неопознанные и для конкретных приложений. Каждый пул может объединять либо носители, либо другие пулы.Пул носителей архива – это логическое объединение носителей данных, зарезервированных для использования программой архивации Microsoft Windows. Для управления доступом к конкретным носителям в библиотеке используется компонент «Съемные ЗУ».

Пример 1

В этом примере создается обычный архив – «Задание 1» удаленного общего ресурса \\iggy-multi\c$. Для этого ленте из пула носителей «Backup» присваивается имя «Созданный из командной строки архив 1». Заданию архивации также будет дано описание «Архивация из командной строки». Архив будет проверен сразу после завершения архивации, доступ к нему будет предоставляться не только владельцу/администратору, будет вестись сокращенный журнал, архивация данных из внешнего хранилища выполняться не будет, а аппаратное сжатие будет включено. ntbackup backup \\iggy-multi\c$ /m normal /j "Задание 1" /p "Backup" /n "Созданный из командной строки архив 1" /d "Архивация из командной строки" /v: yes /r: no /l: s /rs: no / hc: on

Пример 2

В этом примере создается копирующий архив – «Задание 2» локального диска D: \. Архивируемые файлы и папки будут добавлены на ленту «Созданный из командной строки архив 1». Все другие параметры будут взяты из настроек программы архивации. ntbackup backup d: \ /j "Задание 2" /a /t "Созданный из командной строки архив 1" /m copy

Пример 3

В этом примере создается архив того типа, который указан в программе архивации. При этом будет использован файл со списком файлов для архивации Commandline.bks, расположенный в папке C: \Program Files\Windows NT\ntbackup\data\. Задание архивации будет названо «Задание 3», а название ленты «Созданный из командной строки архив 1» будет заменено на «Созданный из командной строки архив 2». ntbackup backup "@C: \Program Files\Windows NT\ntbackup\data\commandline.bks" /j "Задание 3" /t "Созданный из командной строки архив 1" /n "Созданный из командной строки архив 2"

Пример 4

Следующие примеры иллюстрируют выполнение архивации из командной строки. Все три примера используют тип архива, параметры проверки, уровень ведения журнала, аппаратное сжатие и другие параметры, заданные в программе архивации. В первом примере выполняется архивация ресурса \\iggy-multi\d$ в файл D: \Backup.bkf. Во втором примере архивация тех же данных в этот же файл. В третьем примере имеющийся архив заменяется новым архивом, содержащим те же данные. Во всех трех примерах букву диска можно заменить полным именем UNC (т. е. вместо файла архива d: \backup.bkf можно задать файл \\iggy-multi\d$\backup.bkf). ntbackup backup \\iggy-multi\d$ /j "Созданный из командной строки архив 4"/f "D: \backup.bkf" ntbackup backup \\iggy-multi\d$ /j "Созданный из командной строки архив 5"/f "D: \backup.bkf" /a ntbackup backup \\iggy-multi\d$ /j "Созданный из командной строки архив 6"/f "D: \backup.bkf" И, наконец, в завершение главы рассмотрим в качестве дополнительного вопроса архивацию и восстановление лицензий.

Если планируется заново установить или обновить операционную систему, перед обновлением или переустановкой необходимо сделать архивные копии своих лицензий. Рекомендуется также периодически сохранять архивные копии лицензий на дискету на случай их утраты или повреждения.

Авторские права

Авторские права предоставляют создателю оригинального произведения некоторые исключительные права собственности. Эти права защищены законами США и международными законами. Воспроизведение материалов, защищенных авторскими правами, без разрешения владельца авторских прав является незаконным.

Если пользователь копирует музыку или видео, которые им не создавались, он должен помнить, что эти произведения могут быть защищены авторскими правами. Владение компакт-диском или лицензированными файлами цифрового мультимедиа, загруженными из Интернета, не обязательно дает право на их распространение или предоставление их содержимого в общее пользование.

Основные сведения о лицензированных файлах

Лицензированные файлы – это файлы цифрового мультимедиа, защищенные лицензией, запрещающей их нелегальное распространение. Лицензия определяет, истек ли срок лицензирования и каким образом разрешается использовать данный файл. Например, в лицензии может быть сказано, допускается ли копирование файла на переносное устройство. Условия лицензии полностью определяются лицом или компанией, поставляющей данный файл. Проигрыватель Windows Media не может воспроизводить лицензированный файл без наличия лицензии.

Существуют различные способы приобретения лицензированных файлов; чаще всего их загружают с веб-узлов – поставщиков мультимедийного содержимого (например, компаний звукозаписи). Поставщик содержимого может выдать лицензию во время загрузки файла. В противном случае при воспроизведении файла, на который не имеется лицензии, проигрыватель Windows Media будет пытаться ее получить. Прежде чем получить лицензию, пользователю иногда приходится зарегистрироваться или уплатить взнос – по усмотрению поставщика содержимого. Если установлен флажок Получать лицензии автоматически и поставщик не требует взноса или регистрации, проигрыватель получает лицензию, не уведомляя об этом пользователя.

Другой способ получения лицензированных файлов – копирование с компакт-дисков при установленном флажке Защита содержимого . Все дорожки копируются в виде лицензированных файлов, и все лицензии выдаются одновременно. Лицензия на дорожки, скопированные с компакт-диска, разрешает воспроизводить эти дорожки на данном компьютере, копировать их на переносное устройство, не совместимое со стандартом SDMI, и копировать эти дорожки на компакт-диск.

Процесс управления лицензиями включает в себя их архивирование. Проигрыватель Windows Media копирует лицензии в другое местоположение, из которого они восстанавливаются в случае утери. Например, при переустановке или обновлении операционной системы на данном компьютере старые лицензии не действуют, пока их не восстановят. Если лицензированные файлы переносятся на новый компьютер, лицензии восстанавливаются на нем. Разрешается восстанавливать лицензии не более чем на четырех различных компьютерах. Если форматирование и переустановка системы Windows выполняется на одном и том же компьютере, то в целях учета количества восстанавливаемых лицензий этот компьютер считается «другим» компьютером. Корпорация Майкрософт отслеживает количество попыток восстановления лицензий.

Необходимо периодически архивировать лицензии на гибкий диск. При переустановке или обновлении операционной системы лицензии могут быть утеряны.

К лицензированным файлам применяются следующие правила.

• Лицензированные файлы разрешается воспроизводить вплоть до истечения срока лицензии. О сроках действия лицензии, если таковые установлены, сообщается при ее получении. По всем вопросам следует обращаться к соответствующему поставщику содержимого.

• Не разрешается копирование лицензий и совместное пользование лицензиями на разных компьютерах. При копировании лицензированного файла на другой компьютер или передаче копии указанного файла другому лицу вы или указанное лицо должны получить лицензию для этого компьютера (данный процесс запускается автоматически при воспроизведении файла на новом компьютере).

• Использование функциональной возможности «Копировать на компакт-диск или переносное устройство» для копирования лицензированных файлов на переносные устройства допускается только в том случае, если это разрешено лицензией.

Для просмотра сведений о лицензии следует кликнуть по файлу и затем в меню «Файл» выбрать команду «Свойства» и перейти на вкладку «Сведения о лицензии». Информация о лицензии для выбранного файла отображается в окне «Сведения о лицензии».

Сведения о лицензии можно также просмотреть, щелкнув файл правой кнопкой мыши и выбрав команду «Свойства » , а затем «Сведения о лицензии».

Для того чтобы отключить защиту содержимого при копировании компакт-дисков, следует выбрать в меню Сервис команду «Параметры» и кликнуть вкладку «Копирование музыки», а затем снять флажок «Защита содержимого». Защита содержимого включается по умолчанию для ограничения нелегального распространения музыкальных произведений, скопированных с компакт-диска. Эта функция применяется только к дорожкам, скопированным с компакт-диска в «Библиотеку мультимедиа» в формате Windows Media.

Для того чтобы отключить автоматическое получение лицензий, следует выбрать в меню Сервис команду «Параметры» и затем на вкладке «Проигрыватель» скинуть флажок «Получать лицензии автоматически».

Для архивирования лицензий следует выбрать в меню Сервис выбрать команду «Управление лицензиями» и затем нажать кнопку «Обзор» и в открывшемся окне обзора указать папку, в которой предполагается хранить архивные копии лицензий, а затем нажать кнопку ОК. При желании в том же окне можно создать папку, нажав кнопку «Создать папку». После того как папка указана или создана в окне «Управление лицензиями», следует нажать кнопку «Архивировать». Рекомендуется периодически архивировать лицензии на гибкий диск. Если операционная система будет заново установлена или обновлена, лицензии могут быть утрачены. Можно использовать архивные диски, чтобы перенести лицензии со старого компьютера на новый или с офисного – на домашний. Для восстановления лицензий следует обратиться к той же команде (Сервис – «Управление лицензиями») и затем совершить следующие действия: вставить в дисковод гибкий диск с лицензиями, если это необходимо. Выбрать папку, в которой хранятся архивные копии лицензий, и нажать кнопку ОК. Затем в диалоговом окне «Управление лицензиями» надо нажать кнопку «Восстановить» и следовать указаниям, выводящимся на экран. Возможно, чтобы восстановить лицензии, потребуется дважды выполнить эту процедуру, если лицензии восстанавливались ранее. Число попыток восстановления лицензий отслеживается корпорацией Майкрософт.

Средство «Восстановление системы» – компонент системы Windows XP Professional, с помощью которого при возникновении проблем можно восстановить предыдущее состояние компьютера без потери личных файлов (таких, как документы Word, перечень просмотренных страниц, рисунки, избранные файлы и сообщения электронной почты). Программа «Восстановление системы» ведет наблюдение за изменениями системы и некоторыми файлами приложений и автоматически создает легко идентифицируемые точки восстановления. Эти точки восстановления позволяют вернуть систему к состоянию на данный момент времени. Они создаются ежедневно, а также во время существенных системных событий (таких, как установка приложения или драйвера). Пользователь также имеет возможность в любое время создавать именованные точки восстановления.

Восстановление предыдущего состояния компьютера

Программа «Восстановление системы» постоянно автоматически отслеживает изменения, произошедшие на компьютере, и с указанными интервалами создает точки восстановления перед осуществлением изменений. Точки восстановления представляют сохраненные состояния компьютера. Также можно создать точки восстановления вручную перед внесением изменений в компьютер, чтобы сохранить состояние компьютера и параметров. Появляется возможность восстановить предыдущее состояние компьютера, выбирая по дате или времени точку восстановления, после которой были произведены изменения. Например, если случайно были удалены или повреждены наблюдаемые программные файлы (такие, как файлы с расширением. exe или. dll), то можно восстановить состояние компьютера, предшествующее внесению изменений. Программа «Восстановление системы» по умолчанию отслеживает и восстанавливает все разделы и диски на компьютере. Она также отслеживает настройку всех приложений и дисков, которые осуществляют пользователи с помощью CD-ROM или гибкого диска, сервера управления системой (SMS) или IntelliMirror. В некоторых случаях при восстановлении системы восстанавливается папка, имя которой совпадает с именем существующей папки. Чтобы не переписывать существующие файлы, программа «Восстановление системы» переименовывает папку, добавляя к ее имени числовой суффикс.

Раздел диска – часть физического диска, которая ведет себя как отдельное устройство. Для хранения данных на созданном разделе необходимо сначала отформатировать его и назначить букву диска. Разделы на базовых дисках называют базовыми томами; к ним относятся основные разделы и логические диски. Разделы на динамических дисках называют динамическими; к ним относятся простые, чередующиеся, составные, зеркальные тома и тома RAID-5.

Восстановление состояния компьютера без потери личных файлов

Восстановление системы не приводит к потере личных файлов или пароля. Такие элементы, как документы, сообщения электронной почты, перечень просмотренных страниц и последний пароль, сохраняются при восстановлении системы до более раннего состояния. Программа «Восстановление системы» обеспечивает сохранение личных файлов, не выполняя восстановление файлов в папке «Мои документы». Кроме того, данная программа не восстанавливает файлы данных с часто используемыми расширениями, такими как. doc и. xls. Если пользователь не уверен, что его личные файлы имеют часто используемые расширения имен файлов данных и необходимо их исключить из операции восстановления системы, то следует поместить их в папку «Мои документы». Если программа была установлена после создания точки восстановления, то в процессе восстановления эта программа может быть удалена. Файлы данных, созданные программой, не теряются. Однако для открытия этих файлов необходимо будет переустановить соответствующую программу.

Сохранение прошлых точек восстановления с давностью от одной до трех недель

Фактическое число сохраненных точек восстановления зависит от активности использования компьютера, размера жесткого диска (или размера раздела, содержащего каталог Windows XP Professional) и количества места на жестком диске, выделенного для хранения сведений программой «Восстановления системы».

Обнаружение дат, соответствующих точкам восстановления

При запуске программы восстановления системы появляется календарь, позволяющий пользователю найти даты, соответствующие точкам восстановления. Если компьютер используется не каждый день, то в течение нескольких дней может существовать только одна точка восстановления. Если компьютер используется ежедневно, то точка восстановления будет приходиться почти на каждый день, а некоторым датам могут соответствовать несколько точек восстановления.

Обязательно следует убедиться, что все восстановления обратимы.

Если пользователю не нравится состояние компьютера после его восстановления, то можно отменить восстановление или выбрать другую точку восстановления. Все удачные операции восстановления обратимы. Все неудачные операции обновления автоматически отменяются программой восстановления системы.

Мастер восстановления системы дает пошаговые инструкции для каждой задачи системы восстановления. При запуске мастера для восстановления предыдущего состояния компьютера отображаются следующие экраны.

Экран приветствия средства «Восстановление системы»: на этом экране предлагается параметр для восстановления более раннего состояния компьютера.

Выберите контрольную точку восстановления: этот экран позволяет выбрать в календаре дату, а затем выбрать точку для восстановления предыдущего состояния компьютера.

Подтверждение выбора точки восстановления: этот экран дает возможность отказаться от операции, а также сохранить все файлы и закрыть программы перед запуском операции восстановления. После подтверждения сделанного выбора начнется процесс восстановления, компьютер перезапустится и появится экран входа пользователя.

Восстановление завершено: этот экран показывает, что восстановление было выполнено успешно. Если восстановление выполнить не удастся, будет выведен экран «Восстановление не завершено» и состояние компьютера не изменяется.

Консоль восстановления – окно командной строки, предоставляющее ограниченный набор административных команд, предназначенных для восстановления компьютера.

Администратор – в Windows XP Professional пользователь, ответственный за настройку и управление контроллерами домена и локальными компьютерами, ведение учетных записей пользователей и групп, присвоение паролей и разрешений, а также помогающий пользователям работать в сети. Администраторы являются членами одноименной группы и обладают полным доступом к домену или компьютеру. В Windows XP Home Edition – пользователь, который имеет право вносить на компьютере изменения на уровне системы, устанавливать программное обеспечение и имеет доступ ко всем файлам на компьютере. Пользователь с учетной записью администратора компьютера имеет полный доступ к другим учетным записям пользователей на компьютере.

Безопасный режим – запуск Windows с использованием только основных файлов и драйверов и без поддержки сети. Безопасный режим доступен по нажатию клавиши F8 при загрузке системы. Этот режим позволит загрузить компьютер при наличии неполадок, мешающих его запуску в обычном режиме.

Если безопасный режим и другие особые варианты загрузки не помогают устранить неполадку, можно попробовать воспользоваться консолью восстановления. Данный способ рекомендуется только для опытных пользователей, которые могут воспользоваться основными командами для определения драйверов и файлов, вызвавших неполадку. Кроме того консоль восстановления могут использовать только члены группы «Администраторы».

С консоли восстановления можно запускать и останавливать службы, форматировать диски, считывать и записывать данные на локальный диск (включая диски, использующие файловую систему NTFS), а также выполнять многие другие задачи администрирования.

Консоль восстановления обычно используется, когда требуется восстановить систему, копируя файлы с гибкого диска или компакт-диска на локальный жесткий диск, или если требуется изменить параметры службы, мешающей правильной загрузке компьютера.

Консоль восстановления можно запустить двумя способами.

Если запустить компьютер не удается, консоль восстановления может быть запущена с установочного компакт-диска (эта процедура описана немного ниже).

Консоль восстановления также можно установить на локальном компьютере, чтобы она была доступной, если не удается перезапустить Windows. Тогда консоль восстановления можно будет выбрать в качестве одного из вариантов загрузки в меню доступных операционных систем.

После запуска консоли восстановления нужно будет выбрать установленную операционную систему (если на компьютере установлены две или несколько систем) и войти в систему, используя пароль администратора.

С помощью основных команд, предоставляемых консолью, можно совершать простые действия, такие как смена текущей папки или ее просмотр, а также более сложные, например восстановление загрузочного сектора.

Чтобы запустить консоль восстановления, необходимо перезагрузить компьютер и выбрать в списке доступных операционных систем консоль восстановления. Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, параметры сетевой политики могут запретить выполнение данной процедуры.

Если компьютер не загружается, запустите консоль восстановления с установочного компакт-диска, для чего следует выполнить следующую процедуру: во время работы Windows вставить установочный компакт-диск в дисковод для компакт-дисков и затем нажать кнопку Пуск и выбрать команду «Выполнить». После этого надо ввести следующую строку (D: – буква дисковода для компакт-дисков): D: \i386\winnt32.exe /cmdcons и затем следовать указаниям на экране.

Для вывода списка команд, доступных на консоли восстановления, введите в командной строке команду help.

•  Attrib

Смена атрибутов файла или папки.

•  Batch

Выполнение команд, указанных в текстовом файле.

•  Bootcfg

Настройка и восстановление файла параметров загрузки (boot.ini).

•  ChDir (Cd)

Вывод имени текущей папки или переход в другую папку.

•  Chkdsk

Проверка диска и вывод отчета о его состоянии.

•  Cls Очистка экрана.

•  Copy

Копирование одного файла в другую папку.

•  Delete (Del)

Удаление одного или нескольких файлов.

•  Dir

Вывод списка файлов и подпапок в папке.

•  Disable

Отключение системной службы или драйвера устройства.

•  Diskpart

Управление разделами на жестких дисках.

•  Enable

Запуск или включение системной службы или драйвера устройства.

•  Exit

Выход из консоли восстановления и перезапуск компьютера.

•  Expand

Извлечение файла из сжатого файла.

•  Fixboot

Запись в указанный раздел нового загрузочного сектора раздела.

•  Fixmbr

Восстановление основной загрузочной записи указанного диска.

•  Format Форматирование диска.

•  Help

Отображение списка команд консоли восстановления.

•  Listsvc

Вывод списка служб и драйверов, установленных на данном компьютере.

•  Logon

Вход в установленную копию операционной системы Windows.

•  Map

Отображение списка сопоставления букв дисков.

•  Mkdir (Md)

Создание каталога.

•  More Отображение текстового файла.

•  Net Use

Подключение сетевого ресурса к букве диска.

•  Rename (Ren)

Переименование одного файла.

•  Rmdir (Rd)

Удаление папки.

•  Set

Отображение и установка переменных среды.

•  Systemroot

Выбор в качестве текущей папки системного корневого каталога системы, в которую вошел пользователь.

•  Type

Отображение текстового файла.

Контрольные точки исходной системы

Такие контрольные точки создаются при первом запуске компьютера после обновления системы на Windows XP Professional или при первом запуске нового компьютера. Выбор этой точки возвратит Windows XP Professional и программы в начальное состояние. Все файлы данных с известными расширениями (такими как. doc, htm, xls и т. д.) и файлы в папке «Мои документы» не будут восстановлены. Если средство восстановления системы должно удалить все старые точки восстановления, чтобы освободить место на диске для новых изменений, будет создана новая точка восстановления и далее создание этих точек будет идти в обычном порядке.

Контрольные точки системы

Средство восстановления системы регулярно создает точки восстановления, даже если в системе не было сделано никаких изменений. Средством «Восстановление системы» автоматически создаются следующие точки восстановления: каждые 24 ч по календарному времени или каждые 24 ч при включенном компьютере. Если компьютер был выключен более 24 ч, средство восстановления системы создаст точку восстановления при следующем включении компьютера. Для создания точки восстановления по расписанию необходимо, чтобы компьютер находился в состоянии простоя несколько минут. Выбор этой точки возвратит Windows XP Professional и программы в начальное состояние. Все файлы данных с известными расширениями (такими как. doc, htm, xls и т. д.) и файлы в папке «Мои документы» не будут восстановлены.

Точки восстановления установки имени программы

При установке программ с помощью последних программ установки, типа Install Shield и Windows XP Professional Installer, система восстановления создает точку восстановления. Такие точки восстановления используются для отслеживания изменений в системе или для восстановления состояния компьютера, в котором он находился до установки программы. При выборе такой точки восстановления все установленные файлы будут удалены и исходные параметры реестра, все программы и системные файлы будут восстановлены в том виде, в котором они были до установки. Все файлы данных с известными расширениями (такими как. doc, htm, xls и т. д.) и файлы в папке «Мои документы» не будут восстановлены. Чтобы отменить изменения, внесенные программой, которая не использует один из указанных установщиков, выберите предшествующую точку восстановления, наиболее близкую к дате установки программы.

Точки восстановления для автоматического обновления Windows XP Professional

При использовании автоматического обновления Windows XP Professional для получения загруженных обновлений система восстановления создает точку восстановления до установки обновленного программного обеспечения. Если обновление загружено, но не установлено, то точка восстановления не создается. Точка восстановления создается только при начале установки компонентов. Эти точки используются для отслеживания изменений в системе и, в редких случаях, отслеживают конфликт этих обновлений с прочими программами, установленными на компьютере.

Точки восстановления, созданные вручную

Пользователь имеет возможность вручную создавать собственные точки восстановления с помощью мастера восстановления системы. Созданная точка восстановления отображается на экране «Выберите контрольную точку восстановления» с присвоенным ей именем и соответствующими значениями даты и времени ее создания. Точки восстановления можно создавать при настройке удачной конфигурации компьютера или перед внесением изменений, например перед установкой на компьютер программ, которые могут повлиять на его работу.

Точки восстановления операции восстановления

Каждый раз при выполнении восстановления в конфигурацию компьютера вносятся изменения. Для отслеживания этих изменений и обеспечения возможности их отмены средство восстановления создает точки восстановления операции восстановления. Чтобы отменить восстановление, выберите соответствующую точку восстановления операции восстановления на экране «Выберите контрольную точку восстановления» Мастера восстановления системы.

Точки восстановления неподписанных драйверов устройств

Обнаружив установку нового драйвера, который не подписан и не сертифицирован организацией Windows Hardware Quality Labs (WHQL), система восстановления сразу же создает точку восстановления. Если установка драйвера привела к нежелательным изменениям, можно на экране мастера восстановления системы «Выберите контрольную точку восстановления» выбрать такую точку восстановления, чтобы отменить эти изменения и вернуть компьютер к состоянию до установки драйвера.

Точки восстановления программы Microsoft Windows

При выполнении восстановления с использованием программы Backup программа «Восстановление системы» создает точки восстановления до начала архивации. Если после операции восстановления компьютер перешел в неверное состояние, можно на экране «Выберите контрольную точку восстановления» выбрать такие контрольные точки и вернуть компьютер к состоянию до выполнения восстановления по архивной копии.

При восстановлении системы обязательно следует помнить, что если выбранная точка восстановления была создана до установки программы, эта программа не будет работать после восстановления. При необходимости использовать данную программу следует установить ее заново. Средство восстановления системы не заменяет процесс отмены установки программы. Для полного удаления файлов, установленных программой, необходимо удалить программу, используя компонент «Установка и удаление программ» на панели управления или собственную программу отмены установки.

Программа «Восстановление системы» не отслеживает и не восстанавливает перенаправленные папки и любые настройки, связанные с перемещаемыми профилями пользователей. Программа «Восстановление системы» выполняет наблюдение и восстановление только дисков и разделов, указанных в ее конфигурации. Она не влияет на диски и разделы, которые были перенаправлены или исключены из наблюдения. При наличии зашифрованных файлов (таких, которые имеют расширение. exe или. dll) они никогда не будут расшифрованы. Чтобы удостовериться в этом, следует выключить программу «Восстановления системы» до начала шифрования файлов или папок, а затем запустить ее снова, после окончания. Или, если зашифрованные файлы уже существуют, включите и выключите систему восстановления. При выключении программы «Восстановление системы» все точки восстановления удаляются. Точки восстановления, созданные после повторного запуска «Восстановления системы», не содержат сведения о времени расшифровки файлов. Как правило, шифруются только файлы данных, которые не могут быть изменены программой «Восстановление системы».

Чтобы создать точку восстановления, следует обратиться к мастеру восстановления системы через центр справки и поддержки, и затем выбрать «Создание точки восстановления» и нажать кнопку «Далее». В поле «Описание точки восстановления» надо ввести имя этой точки. Мастер восстановления системы автоматически добавит к имени точки восстановления дату и время ее создания. Для завершения создания данной точки восстановления нажимается кнопка «Создать». Для отмены создания точки восстановления и возврата на экран приветствия средства «Восстановление системы» нажмите кнопку «Назад».

Для отмены создания точки восстановления и выхода из программы «Мастер восстановления системы» нажмите кнопку «Отмена».

Чтобы запустить мастер восстановления системы, надо нажать кнопку «Пуск» и выбрать команду «Справка и поддержка», а затем кликнуть ссылку «Производительность и обслуживание», затем – ссылку «Использование средства «Восстановление системы»» для отмены изменений, затем – ссылку «Запуск мастера восстановления системы».

Создание собственной точки восстановления может оказаться полезным при внесении изменений, которые могут привести к нестабильной работе компьютера.

Для просмотра или возврата к точке восстановления из окна «Восстановление системы» мастера восстановления системы надо выбрать «Восстановление более раннего состояния системы» и затем указать дату создания точки восстановления в календаре из окна «Выберите точку восстановления». Все точки восстановления соответствующей даты создания отображаются в поле со списком в алфавитном порядке справа от календаря.

Для запуска программы восстановления системы нужно не меньше 200 Мбайт дискового пространства (или места в разделе, содержащем папку Windows System). Если отсутствует достаточное свободное место на диске, то при установке операционной системы программа восстановления системы устанавливается, но не запускается. Если на диске нет как минимум 200 Мбайт свободного дискового пространства, то данную программу запустить невозможно. Когда программе «Восстановление системы» не хватает места на диске, наблюдение за всеми дисками будет приостановлено. Для всех дисков будет отображено состояние Отключено в столбце Состояние в группе «Параметры дисков» в окне Свойства системы. При остановке работы системы восстановления невозможно запустить программу «Мастер восстановления системы». При попытке запуска мастера появится диалоговое окно с сообщением об остановке работы средства «Восстановление системы». Наблюдение автоматически будет возобновлено после выделения на диске минимального необходимого объема в 200 Мбайт.

Для того чтобы выделить на диске больше места для архивирования точек восстановления, следует открыть компонент «Система» и выбрать диск из поля «Доступные диски», а затем нажать кнопку «Настройка». Если имеется только один диск или раздел, этот шаг можно пропустить. После этого в окне «Параметры диска <буква:>» нужно сдвинуть ползунок регулятора в группе «Использование дискового пространства», чтобы изменить объем, выделяемый для восстановления системы. Следует отметить, что нельзя выделить более 12 % доступного места на диске. Чтобы открыть окно «Свойства системы», нужно нажать кнопку Пуск , выбрать команду Панель управления , затем дважды кликнуть значок Система . В диалоговом окне « Свойства системы» надо выбрать команду «Восстановление системы».

Восстановление системы после обновления драйвера устройства

Средство «Восстановление системы» используется в случаях, когда после обновления драйвера устройства не удается восстановить стабильность системы с помощью средства отката драйверов. Для использования данного средства необходимо войти в систему в качестве администратора. В этой ситуации восстановление системы производит восстановление параметров системы и приложений, действовавших на указанный момент времени, а также отмену изменений ключевых файлов приложений, драйверов и операционной системы, сделанных с указанного момента времени. Файлы данных не затрагиваются.

При подозрении того, что причиной неполадки является одно или несколько устройств, необходимо войти в систему в качестве администратора и, используя средство «Восстановление системы», произвести отключение устройства и его драйверов.

Восстановление системы при подозрении о том, что причиной неполадки является одно или несколько устройств

Если при подозрении о том, что причиной неполадки является одно или несколько устройств, отключение или удаление устройства не привело к устранению неполадки, то необходимо войти в систему в качестве администратора и с помощью средства «Восстановление системы» произвести восстановление параметров системы и приложений, действовавших на указанный момент времени. Восстановление ключевых файлов приложений, драйверов и операционной системы, измененных с указанного момента времени. Файлы данных не затрагиваются.

Восстановление системы при подозрении о внесении нежелательных изменений

В случае если изменение параметров системы или приложения привело к ухудшению работы компьютера, а способ восстановления предыдущих параметров неизвестен, т. е. при подозрении о внесении любого из следующих изменений: изменение параметров системы или приложения, в том числе с помощью диалоговых окон свойств или системного реестра; установка, обновление или удаление приложений; добавление или удаление файлов, кроме файлов данных, следует произвести следующие действия.

При подозрении того, что причиной неполадки является установка приложения, сначала следует попробовать удалить это приложение. Если это не устранит неполадку, следует обратиться к средству «Восстановление системы» и произвести восстановление параметров системы и приложений, действовавших на указанный момент времени, а также восстановление ключевых файлов приложений, драйверов и операционной системы, измененных с указанного момента времени. Файлы данных не затрагиваются.

Если после установки приложения система работает нестабильно или приложение работает неправильно – бывает, что в некоторых случаях система предлагает восстановить или переустановить приложение из сетевого ресурса или с исходного установочного носителя (например, с компакт-диска). В этих случаях нужно просто следовать инструкциям на экране по восстановлению программы. При выводе такого предложения для восстановления программы можно воспользоваться одним из следующих средств.

Восстановление системы, когда устранить неполадку с помощью средства «Установка и удаление программ» не удается

В этом случае производится восстановление всех параметров системы и приложений, действовавших на указанный момент времени, а также восстановление ключевых файлов приложений, драйверов и операционной системы, измененных с указанного момента времени. В результате отменяются все изменения, внесенные в систему данной программой. Файлы данных не затрагиваются.

Откат драйверов устройств

Когда требуется только отменить обновление драйвера устройства (кроме драйвера принтера), выполняется повторная установка использовавшегося ранее драйвера устройства и восстановление всех параметров драйвера, измененных при добавлении нового драйвера. Другие файлы или параметры не затрагиваются. Откат драйверов принтера невозможен.

Установка и удаление программ

При подозрении того, что причиной неполадки является одна или несколько программ, выполняется удаление указанных программ.

Операционная система не загружается (экран входа в систему не выводится): загрузка последней удачной конфигурации

При подозрении того, что причиной сбоя является изменение, внесенное в систему перед перезагрузкой, следует использовать восстановление системы для восстановления параметров реестра и драйверов, действовавших при последней успешной загрузке компьютера.

Наборы аварийного восстановления системы следует создавать регулярно в рамках общего плана восстановления системы в случае сбоя. Аварийное восстановление системы должно быть последним средством, используемым только после исчерпания других возможностей, таких как загрузка в безопасном режиме или загрузка последней удачной конфигурации.

Система аварийного восстановления состоит из двух частей: архивации и восстановления. Архивация выполняется с помощью мастера аварийного восстановления системы, доступного из программы архивации. Этот мастер архивирует состояние системы, системные службы и все диски, связанные с компонентами операционной системы. Кроме того, он создает файл, содержащий сведения об архивации, конфигурациях дисков (включая базовый и динамический тома) и инструкции по выполнению восстановления.

Доступ к восстановлению выполняется нажатием клавиши F2 в ответ на соответствующее приглашение на текстовом этапе процесса установки. Средство аварийного восстановления системы считывает конфигурации дисков из созданного ею файла и восстанавливает все подписи дисков, тома и разделы, по крайней мере, на дисках, необходимых для загрузки компьютера. (Выполняется попытка восстановления конфигураций всех дисков, но при некоторых обстоятельствах это может оказаться невозможным.) Затем средство аварийного восстановления системы выполняет простую установку Windows и автоматически запускает процесс восстановления с использованием архива, созданного мастером аварийного восстановления системы.

Шифрованная файловая система (EFS) – средство Windows XP Pro, позволяющее пользователям шифровать файлы и папки на диске тома NTFS для защиты от злоумышленников.

Закрытый ключ – секретная половина криптографической пары, используемая при шифровании с применением открытых ключей. Закрытые ключи обычно используются при расшифровке симметричных ключей сеансов, создании цифровых подписей и расшифровке данных, зашифрованных соответствующим открытым ключом.

Агент восстановления – пользователь, которому выдан сертификат открытого ключа для восстановления пользовательских данных, закодированных шифрованной файловой системой (EFS).

Открытый ключ – несекретная половина криптографической пары, используемая при шифровании с применением открытых ключей. Открытые ключи обычно используются при шифровании ключей сеансов, проверке цифровых подписей и шифровании данных, предназначенных для расшифровки соответствующим закрытым ключом.

Восстановление очень важно, если данные зашифрованы сотрудником, который ушел или потерял закрытый ключ. Восстановление данных доступно для шифрованной файловой системы (EFS) как часть общей политики безопасности для системы. Например, если утерян сертификат шифрования файлов и связанный закрытый ключ (из-за сбоя диска или по какой-либо другой причине), восстановление данных возможно с помощью лица, назначенного агентом восстановления. Организация может после увольнения сотрудника восстановить данные, зашифрованные им.

Политика восстановления

Центр сертификации – организация, ответственная за предоставление и подтверждение подлинности открытых ключей, принадлежащих пользователям (конечным объектам) или другим центрам сертификации. В операции центра сертификации входят: связывание открытых ключей с составными именами посредством подписанных сертификатов, управление серийными номерами сертификатов и отзыв сертификатов.

Файловая система EFS использует политики встроенного восстановления данных. Recovery policy – это политика открытого ключа, которая обеспечивает назначение одной или нескольких учетных записей пользователя агентами восстановления шифрованных данных.

Политика восстановления по умолчанию настроена локально для автономных компьютеров. Для компьютеров, которые являются частью сети, политика восстановления настраивается на уровне домена, организационной единицы или отдельного компьютера и применяется ко всем компьютерам, работающим под управлением Windows XP, в пределах области влияния. Центр сертификации (ЦС) выдает сертификаты восстановления, и для управления ими используется оснастка «Сертификаты».

В домене Windows XP политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора. В политику в любое время можно добавить дополнительных агентов восстановления и удалить исходного агента.

Поскольку подсистема безопасности Windows XP обрабатывает приведение в исполнение, репликацию и кэширование политики восстановления, пользователи могут реализовывать шифрование файлов на системах, которые временно работают автономно, например на переносном компьютере. Этот процесс аналогичен входу в учетную запись домена с помощью кэшированных сведений.

Агенты восстановления

Сертификат X.509v3 – третья версия рекомендации ITU-T на X.509 для синтаксиса и формата сертификатов. Стандартный формат, используемый Windows XP в процессах, связанных с сертификатами. Сертификат X.509 содержит открытый ключ и сведения о лице или объекте, которому выдан сертификат, сведения о самом сертификате, а также дополнительные сведения о выдавшем его центре сертификации (ЦС).

Как уже говорилось, агентом восстановления называется пользователь, уполномоченный расшифровывать данные, зашифрованные другим пользователем. Агентам восстановления не нужны никакие другие разрешения для выполнения задачи. Использование агента восстановления может потребоваться, например, если сотрудник покидает организацию и остающиеся после него данные нужно расшифровать. Прежде чем добавлять в домен агента восстановления, необходимо убедиться, что каждому агенту восстановления был выдан сертификат X.509 версии 3.

У каждого агента восстановления есть специальный сертификат с соответствующим закрытым ключом, позволяющий восстанавливать данные в области влияния политики восстановления. Агенту восстановления следует использовать команду «Экспорт» из объекта MMC «Сертификаты» для создания в безопасном месте резервной копии сертификата восстановления и закрытого ключа. После создания резервной копии следует использовать объект MMC «Сертификаты» для удаления сертификата восстановления. Если требуется выполнить для пользователя операцию восстановления, следует сначала восстановить сертификат восстановления и связанный закрытый ключ с помощью команды «Импорт» из объекта MMC «Сертификаты». После восстановления данных сертификат восстановления снова должен быть удален. Нет необходимости повторять процесс экспорта.

Чтобы добавить агентов восстановления в домен, нужно добавить их сертификаты к существующей политике восстановления.

Сведения о добавлении и удалении агента восстановления не обновляются автоматически в существующих файлах системы EFS. Данные этих файлов обновляются при следующем открытии файла. Новые файлы используют текущие сведения агента восстановления.

Управление серт ификатами

Сертификат – цифровой документ, широко используемый для проверки подлинности и безопасного обмена данными в открытых сетях, таких как Интернет, экстрасети и интрасети. Сертификат связывает открытый ключ с объектом, хранящим соответствующий закрытый ключ. Сертификаты имеют цифровые подписи, поставленные выдавшими центрами сертификации, и могут предоставляться пользователю, компьютеру или службе. Наиболее широко применяемый формат для цифровых сертификатов определяется международным стандартом ITU-T X.509 версии 3.

Сертификат X.509v3 – третья версия рекомендации ITU-T на X.509 для синтаксиса и формата сертификатов. Стандартный формат, используемый Windows XP в процессах, связанных с сертификатами. Сертификат X.509 содержит открытый ключ и сведения о лице или объекте, которому выдан сертификат, сведения о самом сертификате, а также дополнительные сведения о выдавшем его центре сертификации (ЦС).

Шифрованная файловая система (EFS) с помощью криптографии открытого ключа шифрует содержимое файлов. В ней используются ключи, полученные от сертификата пользователя и дополнительных пользователей, а также от назначенных агентов восстановления шифрованных данных, которые настроены. Так как в сертификатах могут также содержатся сведения о закрытом ключе, сертификаты требуют правильного управления.

Сертификаты и закрытые ключи от всех назначенных агентов восстановления шифрованных данных нужно экспортировать на съемный диск или хранить в безопасности до тех пор, пока они не понадобятся. При экспортировании сертификата и закрытого ключа следует убедиться, что выбранный сертификат содержит «Шифрованную файловую систему» в предусмотренных назначениях и у него есть соответствующий закрытый ключ. Для просмотра предусмотренных назначений сертификата используйте оснастку «Сертификаты». Сертификаты и закрытые ключи можно использовать на нескольких компьютерах. Если в сети Windows XP используются перемещаемые профили, сертификат будет доступен на любом компьютере при входе в систему. В противном случае сертификаты и закрытые ключи необходимо экспортировать и импортировать вручную.

Восстановление данных состояния системы может быть произведено как с помощью интерфейса Windows, так и с помощью командной строки.

Для восстановления системы с помощью интерфейса Windows следует обратиться к служебной программе архивации данных и нажать кнопку «Расширенный» в окне мастера архивации. Затем в меню Сервис нужно выбрать команду Параметры и на вкладке «Общие» установить нужные параметры. Если установлен флажок «Оценивать информацию о выборе файлов перед выполнением операций архивации или восстановления», будет выполнена оценка количества файлов и байтов, архивируемых или восстанавливаемых в текущем задании. Эти сведения будут подсчитаны и выведены перед началом процесса архивации или восстановления. Если установлен флажок «Использовать каталоги носителей для ускорения построения каталогов восстановления на диске», восстановление отмеченных объектов будет выполняться с использованием каталога носителя для построения каталога на диске. Это наиболее быстрый способ построения каталога на диске. Однако если требуется восстановить данные с нескольких лент, а лента с каталогом носителя отсутствует, либо если нужно восстановить данные с поврежденного носителя, этот флажок устанавливать не следует. После этого будет просмотрен весь архив (или все имеющиеся его части) и создан каталог на диске. Если размер архива велик, это может занять много времени. Если установлен флажок «Проверять данные после завершения архивации», для проверки правильности архивации данные из архива будут сравнены с исходными данными на жестком диске. Некоторые используемые файлы могут вызывать ошибки при проверке, но эти ошибки обычно можно игнорировать. Большое число таких ошибок может указывать на неполадки с используемым носителем или файлом архива. В этом случае следует повторить архивацию, используя другой носитель или файл.

Флажок «Архивировать содержимое подключенных дисков» позволяет архивировать данные, хранящиеся на присоединенном диске. Если этот флажок установлен, при архивации присоединенного диска будет выполнена архивация хранящихся на нем данных. В противном случае будут архивироваться только сведения о путях присоединенного диска.

Флажок «Выводить предупреждение, если служба съемных носителей не активна при запуске архивации» выводит предупреждение при запуске архивации, если служба Съемные ЗУ не работает. После этого служба съемных носителей запускается автоматически. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», флажок нужно установить. Флажок «Выводить предупреждение, если при запуске архивации имеется совместимый импортируемый носитель» выводит предупреждение при запуске архивации, если в пуле импортированных носителей доступен новый носитель. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», этот флажок нужно установить. Флажок «Выводить предупреждение при вставке нового носителя» выводит предупреждение при обнаружении службой «Съемные ЗУ» нового носителя. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если предполагается архивация данных на ленту или другой носитель, управляемый службой «Съемные ЗУ», этот флажок нужно установить.

Если установлен флажок «Всегда перемещать новый импортированный носитель в пулы носителей архивации», новые носители, обнаруженные службой «Съемные ЗУ», автоматически будут перемещаться в пул носителей архивации. При архивации данных в файл, который затем будет записан на дискету, жесткий или съемный диск, этот флажок устанавливать не требуется. Если служба «Съемные ЗУ» не используется для управления носителями и нужно, чтобы все новые носители были доступны только для программы архивации, этот флажок следует установить.

Для восстановления данных с помощью командной строки используется команда ntbackup. При этом следует открыть окно «Командная строка», и чтобы после создания выполнялась его проверка, нужно ввести: ntbackup backup /V: yes|no

Например, чтобы под именем «Задание 1» задать архивацию всех файлов и папок с локального диска D: \ в файл C: \backup.bkf с проверкой архива после его создания, следует ввести: ntbackup backup D: \ /J "Задание 1" /F "C: \backup.bkf" /V: yes. Все другие параметры будут взяты из настроек программы архивации. Рассмотрим задание и настройку параметров восстановления.

Параметры восстановления устанавливаются с помощью служебной программы архивации. Для этого следует, нажав кнопку «Расширенный» в окне мастера архивации, в меню Сервис выбрать команду «Параметры» и на вкладке Восстановление выполнить одно из следующих действий: если в ходе восстановления не следует заменять файлы, уже имеющиеся на жестком диске, нужно выбрать вариант «Не заменять файл на компьютере». Если в ходе восстановления требуется заменить старые файлы на диске новыми файлами из архива, нужно выбрать вариант «Заменять файл на компьютере только если он старее». Если в ходе восстановления требуется заменять файлы на локальном диске независимо от того, как датированы файлы в архиве, выбирается вариант «Всегда заменять файл на компьютере». При выборе варианта «Заменять файл на компьютере только если он старее» могут быть заменены некоторые или все файлы, находящиеся на диске. Выбор варианта «Всегда заменять файл на компьютере» может привести к потере данных, если файл, над которым ведется работа, содержится в архиве.

При задании параметров восстановления возможно задание дополнительных параметров, для чего после нажатия кнопки «Расширенный» следует открыть вкладку «Восстановление и управление носителем» и выбрать файлы для восстановления, а затем нажать кнопку Восстановить. В окне «Подтверждение восстановления» надо нажать кнопку «Дополнительно» и установить дополнительные параметры восстановления, нажав после этого кнопку ОК. Описание всех параметров приведено в разделе «Примечания».

Если установлен флажок «Восстановление безопасности, для каждого файла и папки» будут восстановлены параметры безопасности. Параметры безопасности включают разрешения, элементы аудита и сведения о владельце. Этот флажок доступен, только если архивация данных проводилась с тома NTFS Windows XP и восстановление проводится также на том NTFS Windows XP.

Если установлен флажок «Восстановление базы данных съемных носителей», будет восстановлена база данных съемных носителей. Если управление носителями осуществляется без использования службы «Съемные ЗУ», устанавливать этот флажок не требуется. Кроме того в ходе восстановления будет удалена текущая база данных съемных ЗУ.

Если установлен флажок «Восстановление точек соединения, а также ссылок для файлов и папок ниже соединения на исходное размещение», будут восстановлены точки соединения на жестком диске, а также данные, на которые они указывают. Если этот флажок не установлен, точки соединения будут восстановлены как общие каталоги, но данные, на которые они указывают, будут недоступны. Кроме того если при восстановлении присоединенного диска также требуется восстановить его данные, необходимо установить этот флажок. Если этот флажок не установлен, будет восстановлена только папка, содержащая присоединенный диск.

Если установлен флажок «При восстановлении реплицируемых наборов данных помечать восстановленные данные как основные для всех реплик», восстановленные данные службы репликации файлов (FRS) будут реплицированы на другие серверы. При восстановлении данных FRS этот флажок должен быть установлен. Если этот флажок не установлен, восстанавливаемые данные FRS не смогут быть реплицированы на другие серверы, так как восстановленные данные будут старше текущих данных на других серверах. Это повлечет замену другими серверами восстановленных данных; и, таким образом, восстановление данных FRS будет предотвращено.

Если установлен флажок «Восстанавливать реестр кластера на кворумном диске и других узлах», база данных кворума кластера будет восстановлена и реплицирована на все узлы в кластере серверов. Когда этот параметр включен, после перезагрузки восстанавливаемого узла программа архивации останавливает службу кластера на всех других узлах кластера серверов.

Если установлен флажок «Сохранить существующие точки подключения томов», в ходе восстановления не будет выполняться замена никаких точек подключения томов, имеющихся в разделе или на томе, на который выполняется восстановление. Обычно этот флажок следует устанавливать при восстановлении данных на целом диске или разделе. Например, если при восстановлении данных на сменном диске этот диск разбит, отформатирован и на нем восстановлены точки подключения томов, это флажок следует установить, чтобы предотвратить восстановление точек подключения томов. Если при восстановлении данных в только что отформатированный раздел или диск требуется восстановить старые точки подключения томов, это флажок устанавливать не следует.

Возможны следующие изменения параметров средства «Восстановления системы».

Исключение наблюдения и восстановления для несистемного диска

Для исключения из наблюдения и восстановления несистемного диска следует открыть компонент «Свойства системы». Чтобы открыть окно «Свойства системы», нужно нажать кнопку Пуск, выбрать команду Панель управления, затем дважды кликнуть значок «Система». В диалоговом окне «Свойства системы» нужно выбрать команду «Восстановление системы» и убедиться, что флажок «Отключить восстановление системы на этом диске» находится в состоянии «Отключен». Затем в поле со списком «Параметры диска» нужно выбрать «Несистемный диск, который необходимо исключить» и нажать кнопку «Настройки», после чего убедиться, что флажок «Отключить восстановление системы на этом диске» снят.

Это действие невозможно выполнить, если был выбран системный диск или раздел, т. е. можно исключить наблюдение и восстановление только для несистемного диска или раздела. Изменения, выполненные для исключенного диска или раздела, не будут отменены при восстановлении системы.

Возобновление наблюдения средства «Восстановление системы»

Для того чтобы возобновить наблюдение средства «Восстановление системы», следует открыть компонент «Система» (так же, как описано выше) и убедиться, что флажок «Отключить восстановление системы на этом диске» в состоянии «Отключен». Затем в группе «Параметры дисков» нужно выбрать несистемный диск или раздел и нажать кнопку «Параметры», после чего надо убедиться в том, что флажок «Отключить восстановление системы на этом диске» снят.

Выделение большего объема на диске для восстановления системы

Для того чтобы выделить для восстановления системы больший объем на диске, следует открыть компонент «Система» и выбрать диск из поля «Доступные диски», а затем нажать кнопку Настройка. Если имеется только один диск или раздел, этот шаг можно пропустить. В окне «Параметры диска <буква:>» (например, «Параметры диска С) надо сдвинуть ползунок регулятора в группе «Использование дискового пространства», чтобы изменить объем, выделяемый для восстановления системы. Следует отметить, что нельзя выделить более 12 % доступного места на диске. При установке средства «Восстановление системы» для архивирования точек восстановления по умолчанию выделяется 12 % доступного пространства жесткого диска.

Напоминаю, что для восстановления системы нужно не меньше 200 Мбайт дискового пространства (или места в разделе, содержащем папку Windows System). Наилучшую производительность и надежность обеспечивает выделение максимально возможного объема.

Для того чтобы включить наблюдение для восстановления системы на диске, нужно открыть компонент «Система», открыть вкладку «Восстановление системы», выбрать диск, нажать кнопку «Параметры» и убедиться, что флажок «Отключить восстановление системы на этом диске» в состоянии «Отключен», после чего выставить этот флажок в положение «Включен». Для отключения восстановления системы на диске следует проделать все те же действия – открыть компонент «Система» Панели управления, выбрать вкладку «Восстановление системы», выбрать диск, нажать кнопку «Параметры» и, убедившись, что флажок на опции «Отключить восстановление системы на этом диске» выставлен, – скинуть его.

Для отключения восстановления системы есть две особенности. Первая из них заключается в том, что нельзя отключить восстановление на системном диске (это возможно только при отключении восстановления на всех дисках сразу), а вторая состоит в том, что если не удается отключить восстановление системы, это может означать, что администратор домена включил восстановление системы в групповую политику административной системы. В этом случае для отключения восстановления системы придется обратиться к системному администратору.

По умолчанию восстановление системы начинает работу при первом запуске нового компьютера или после завершения установки операционной системы, вне зависимости от наличия 200 Мбайт свободного пространства на жестком диске (или в разделе, где находится каталог Windows System).

При отсутствии достаточного свободного места на диске при установке Windows можно включить восстановление системы (используя вышеописанные действия) после освобождения достаточного дискового пространства.

При отсутствии свободного места на диске программа восстановления системы становится неактивной. При выделении достаточного места на диске программа восстановления системы будет автоматически запущена, но все точки восстановления будут утеряны.

Когда программа «Восстановление системы» отключается для диска или раздела, все точки восстановления, сохраненные для этого диска или раздела, будут удалены. Изменения, выполненные для исключенного диска или раздела, не будут отменены при восстановлении системы.

Для того чтобы отменить последнее восстановление системы, следует получить доступ к средству «Восстановление системы» через центр справки и поддержки (раздел «Выбор задания» – пункт «Отмена изменений с помощью средства «Восстановление системы»»), а затем выбрать «Отменить последнее восстановление», сохранить все файлы и программы и нажать кнопку «Далее».

Для запуска мастера восстановления системы из центра справки и поддержки следует нажать кнопку Пуск и выбрать команду «Справка и поддержка», а затем кликнуть ссылку «Производительность и обслуживание», а после нее – ссылку «Использование средства «Восстановление системы» для отмены изменений», затем – ссылку Запуск мастера восстановления системы. Если необходимо отменить последнее восстановление, нужно установить переключатель в положение «Восстановление более раннего состояния компьютера» в окне «Восстановление системы», а затем выбрать подобную операцию восстановления контрольной точки, указанную в мастере восстановления системы.

При запуске компьютера в безопасном режиме запуск программы восстановления производится так же, как описано выше – через центр справки и поддержки, после чего следует перейти к выполнению инструкций, появляющихся на экране.

При загрузке в безопасном режиме средство «Восстановление системы» не создает точки восстановления. Таким образом, невозможно отменить восстановление, выполненное, когда компьютер был в безопасном режиме.

В безопасном режиме можно выполнить восстановление системы по любой точке восстановления. Если нет возможности запустить компьютер в стандартном режиме, можно использовать систему восстановления для возврата к моменту времени, когда при запуске компьютера возникали ошибки.

Чтобы восстановить состояние на время, когда компьютер запускался без ошибок, нужно выбрать точку восстановления, максимально близкую к времени запуска компьютера без ошибок.

Если наблюдение средства «Восстановление системы» приостановлено из-за отсутствия свободного места на диске, то, находясь в безопасном режиме, невозможно включить ее, освободив дополнительное дисковое пространство. Необходимо перезапустить компьютер в стандартном режиме и освободить больше дискового пространства.

STOP-ошибка – серьезная ошибка, оказывающая влияние на работоспособность операционной системы и связанная с риском потери данных. Операционная система отображает экран с сообщением об остановке и завершает свою работу ввиду возможности испортить данные. STOP-ошибка называется также неустранимой системной ошибкой.

Событие – любое существенное событие в системе или приложении, о котором уведомляются пользователи или добавляется запись в журнал.

Чтобы выбрать действия, которые система Windows должна выполнять при возникновении неустранимой ошибки, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы» (если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры) и открыть компонент «Система» Панели управления. Затем на вкладке «Дополнительно» в группе «Загрузка и восстановление» надо нажать кнопку «Параметры» и в открывшемся окне «Загрузка и восстановление» в группе «Отказ системы» установить флажки, соответствующие действиям, которые должна будет выполнять система Windows при возникновении неустранимой ошибки: записать событие в системный журнал – сведения о событии будут записаны в системный журнал; отправить административное оповещение – системному администратору направляется уведомление; выполнить автоматическую перезагрузку – Windows автоматически выполнит перезагрузку.

В группе «Запись отладочной информации» выберите тип сведений, которые система Windows должна будет записывать в случае возникновения неустранимой ошибки.

Файл подкачки – скрытый файл на жестком диске, используемый Windows для хранения частей программ и файлов данных, не помещающихся в оперативной памяти. Файл подкачки и физическая (оперативная) память составляют виртуальную память. По мере необходимости Windows перемещает данные из файла подкачки в оперативную память (для их использования программой) и обратно (для освобождения места для новых данных). Файл подкачки называется также файлом виртуальной памяти.

Виртуальная (оперативная) память – временное хранилище, используемое компьютером для выполнения программ, превышающих размер доступной оперативной памяти. Например, программы могут использовать до 4 Гбайт виртуальной памяти на жестком диске, в то время как оперативная память компьютера составляет всего 32 Мбайт. Данные программы, для которых нет свободного места в оперативной памяти, сохраняются в файлах подкачки.

Малый дамп памяти задает запись минимального набора сведений, необходимых для определения причины неполадок. Для этого варианта требуется, чтобы размер файла подкачки на загрузочном томе компьютера составлял как минимум 2 МБ; Windows каждый раз при возникновении неустранимой ошибки будет автоматически создавать новый файл.

Эти файлы будут храниться в папке, заданной в поле Папка малого дампа.

Дамп памяти ядра задает запись только памяти ядра, благодаря чему процесс записи данных в журнал при внезапной остановке системы протекает быстрее. На загрузочном томе для файла подкачки необходимо выделить, в зависимости от размера оперативной памяти, от 50 МБ до 800 МБ. Файл будет сохранен в папке, указанной в поле Файл дампа памяти.

Полный дамп памяти задает запись всего содержимого системной памяти при возникновении неустранимой ошибки. Для этого варианта необходимо иметь на загрузочном томе файл подкачки, размер которого равен объему всей физической оперативной памяти плюс 1 МБ.

Файл будет сохранен в папке, указанной в поле Файл дампа памяти.

При выборе варианта «Записать событие в системный журнал» или «Отправить административное оповещение» необходимо иметь на загрузочном диске файл подкачки размером не менее 2 МБ.

Если выбрать вариант «Дамп памяти ядра» или «Полный дамп памяти» и установить флажок «Затирать существующий файл дампа», Windows всегда будет записывать данные в один и тот же файл. Чтобы дампы памяти сохранялись в разных файлах, снимите флажок «Затирать существующий файл дампа» и изменяйте имя файла после каждой неустранимой ошибки.

Можно высвободить некоторое количество памяти, сняв флажки «Записать событие в системный журнал» и «Отправить административное оповещение». Объем сэкономленной при этом памяти зависит от типа компьютера; обычно он составляет 60–70 КБ.

При обращении в службу технической поддержки корпорации Майкрософт по поводу возникающих системных ошибок может потребоваться файл дампа системной памяти, который генерируется в результате установки соответствующего параметра группы «Запись отладочной информации».

Программа очистки диска помогает очистить пространство на жестком диске. Программа очистки диска проверяет диск и выводит перечень временных файлов, файлов кэша Интернета, а также ненужных программных файлов, удаление которых не приведет к негативным последствиям. Можно выбрать удаление некоторых или всех этих файлов.

Чтобы запустить программу «Очистка диска», нужно нажать кнопку Пуск, затем выбрать команды «Все программы», «Стандартные», «Служебные» и «Дефрагментация диска». Кроме того запустить программу очистки диска можно из окна контекстного меню диска, открытого из папки «Мой компьютер» – нажав на кнопку «Очистка диска».

Для обнаружения ошибок файловой системы и поврежденных секторов на жестком диске можно использовать служебную программу проверки диска, для запуска которой следует открыть окно «Мой компьютер» и выбрать локальный диск, который требуется проверить, а затем в меню Файл выбрать команду «Свойства». На вкладке «Сервис» в группе «Проверка диска» надо нажать кнопку «Выполнить проверку». В группе «Параметры проверки диска» следует установить флажок «Проверять и восстанавливать поврежденные сектора».

Перед запуском проверки диска следует закрыть все файлы на нем. Если том используется, на экран будет выведено сообщение с предложением выполнить проверку диска после перезагрузки системы. При положительном ответе проверка диска будет запущена после перезагрузки компьютера. Во время проверки диск недоступен для выполнения других задач. При использовании файловой системы NTFS Windows выполняет запись всех транзакций для файлов, автоматически заменяет поврежденные кластеры и сохраняет на томе NTFS копию наиболее важных данных о каждом из файлов.

Программа «Доктор Ватсон» обнаруживает сведения о сбоях системы и программ и записывает их в файл журнала. При возникновении программной ошибки программа «Доктор Ватсон» запускается автоматически.

Чтобы запустить программу «Доктор Ватсона», надо нажать кнопку Пуск и выбрать пункт «Выполнить». В поле «Открыть» надо ввести drwtsn32. «Доктор Ватсон» не может предотвратить возникновение ошибок, но сведения, записываемые в файл журнала, могут использоваться техническим персоналом для диагностики неполадок.

Безопасное хранение данных подразумевает возможность хранения данных на диске в зашифрованной форме. Шифрованная файловая система (EFS) позволяет пользователям зашифровывать данные, хранимые на диске.

Шифрование – это процесс преобразования данных в формат, недоступный для чтения другим пользователям. После того как файл был зашифрован, он автоматически остается зашифрованным в любом месте хранения на диске.

Расшифровка – это процесс преобразования данных из зашифрованной формы в его исходный формат. После того как файл был расшифрован, он остается расшифрованным в любом месте хранения на диске.

Шифрованная файловая система (EFS) предоставляет следующие возможности.

• Пользователи могут зашифровывать свои файлы при сохранении их на диск. Шифрование можно разрешить, установив флажок в диалоговом окне Свойства данного файла.

• Доступ к зашифрованным файлам можно получить просто и быстро. При доступе пользователей к своим файлам с диска данные отображаются в виде обычного текста.

• Шифрование данных выполняется автоматически и является полностью прозрачным для пользователя.

• Для расшифровки файла пользователь должен снять флажок шифрования в диалоговом окне Свойства данного файла.

• Администраторы могут восстанавливать данные, зашифрованные другим пользователем. Это позволяет получить доступ к данным, если пользователь, зашифровавший данные, в настоящее время не доступен или соответствующий закрытый ключ утерян.

EFS позволяет зашифровывать данные только при сохранении их на диск. Для шифрования данных при их передаче по сети TCP/IP доступны две дополнительных возможности – безопасность протокола IP (IPSEC) и шифрование PPTP.

Шифрование и расшифровка данных с помощью шифрованной файловой системы

Шифрованная файловая система (EFS) имеет следующие возможности.

• Шифрование данных.

• Доступ к зашифрованным данным.

• Копирование, перемещение и переименование зашифрованных данных.

• Расшифровка данных.

Шифрование данных

При использовании стандартной конфигурации шифрованной файловой системы (EFS) никаких действий администратора не требуется – пользователи могут сразу начинать шифрование файлов. Шифрованная файловая система автоматически создает пару ключей шифрования для пользователя, если она отсутствует.

Шифрованная файловая система использует алгоритм шифрования Data Encryption Standard (DESX).

Службы шифрования доступны из проводника Windows. Файлы и папки могут также быть зашифрованы пользователями с помощью функции командной строки cipher. Чтобы получить дополнительные сведения о команде cipher, следует набрать cipher /? в командной строке.

Шифрование файлов пользователями выполняется установкой свойств шифрования для папок и файлов, как устанавливаются и другие атрибуты, например «Только чтение», «Сжатый» или «Скрытый». Если папка шифруется пользователем, все файлы и подпапки, созданные в зашифрованной папке или добавленные в нее, автоматически шифруются.

Пользователям рекомендуется использовать шифрование на уровне папки.

Сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия. Папки, отмеченные для шифрования, фактически не шифруются. Шифруются только файлы в папке, так же как любые новые файлы, которые создаются или перемещаются в папку.

Доступ к зашифрованным данным

Пользователи получают доступ к зашифрованным файлам сразу после расшифровки файлов. Таким образом, когда пользователь получает доступ к зашифрованному файлу на диске, он получает возможность читать содержимое файла обычным способом. При повторном сохранении пользователем файла на диске EFS производит повторное прозрачное шифрование файла.

Копирование, перемещение и переименование шифрованных данных

При копировании или перемещении незашифрованных файлов в зашифрованную папку они автоматически шифруются в новой папке. Однако обратная операция не приведет к автоматической расшифровке файлов. Файлы остаются зашифрованными, пока не будут явно расшифрованы или перемещены с тома NTFS. Переименование файла также не влияет на состояние его шифрования.

Расшифровка данных

Для расшифровки файла нужно снять флажок «Шифрование» в диалоговом окне «Свойства» данного файла. После расшифровки файл остается незашифрованным до тех пор, пока он не будет снова зашифрован. Автоматическое повторное шифрование файла невозможно, даже при условии что этот файл находится в зашифрованной директории.

Для расшифровки файла пользователь должен снять флажок Шифрование в диалоговом окне «Свойства» данного файла или воспользоваться командой cipher.

Архивирование и восстановление зашифрованных данных

Основными административными задачами при работе с шифрованной файловой системой (EFS) являются архивирование файлов, восстановление зашифрованных файлов и данных, а также настройка политики восстановления.

Архивирование и восстановление зашифрованных файлов

Архивные копии зашифрованных файлов также будут зашифрованы с использованием программы архивации для Windows XP.

После восстановления зашифрованные данные остаются в зашифрованном виде.

Восстановление зашифрованных данных

Восстановление данных подразумевает процесс расшифровки файла без закрытого ключа пользователя, зашифровавшего файл.

Может потребоваться восстановить данные с помощью агента восстановления в следующих случаях.

• Пользователь покидает организацию.

• Закрытый ключ утерян пользователем.

• Получен запрос правительственного учреждения.

При восстановлении файла агентом восстановления выполняются следующие действия.

1. Архивация зашифрованных файлов.

2. Перемещение архивных копий в безопасную систему.

3. Импорт сертификата восстановления и закрытого ключа.

4. Восстановление архивных файлов.

5. Расшифровка файлов с помощью проводника Windows или команды EFS cipher .

Настройка политики восстановления

Для определения политики восстановления данных рядовых серверов домена, автономных серверов или серверов рабочих групп можно воспользоваться оснасткой «Групповая политика». Сертификат восстановления можно либо запросить, либо экспортировать и затем импортировать.

Можно делегировать управление политикой восстановления назначенному администратору. Хотя число администраторов, которые могут восстанавливать зашифрованные данные, нужно ограничивать, наличие нескольких агентов восстановления позволяет иметь дополнительный источник, если восстановление необходимо.

Шифрование и расшифровка данных

Как уже говорилось, шифрованная файловая система (EFS) позволяет безопасно хранить данные. Напоминаю, что EFS делает это возможным благодаря шифрованию данных в выбранных файлах и папках NTFS (и только NTFS). Поскольку EFS интегрирована в файловую систему, ею легко управлять, она надежна и прозрачна для пользователя. Это особенно удобно для защиты данных на компьютерах, которые могут оказаться уязвимыми для кражи, таких как переносные компьютеры. Файлы и папки на томах с файловой системой FAT не могут быть зашифрованы или расшифрованы. EFS также разработана для безопасного хранения данных на локальных компьютерах. Поэтому она не поддерживает безопасную передачу файлов по сети. Другие технологии, например протокол IPSec, можно использовать совместно с EFS для обеспечения альтернативного решения.

Использование ключей шифрования

Пользователю достаточно один раз задать шифрование файла, и фактический процесс шифрования и расшифровки данных будет для него полностью прозрачным. Пользователям не обязательно понимать весь процесс. Однако следующее объяснение шифрования и расшифровки данных может оказаться полезным для администраторов.

Шифрование файлов происходит следующим образом.

Каждый файл имеет уникальный ключ шифрования файла, который позже используется для расшифровки данных файла. Ключ шифрования файла сам по себе зашифрован – он защищен открытым ключом пользователя, соответствующим сертификату EFS. Ключ шифрования файла также защищен открытым ключом каждого дополнительного пользователя EFS, уполномоченного расшифровывать файлы, и ключом каждого агента восстановления. Сертификат и закрытый ключ системы EFS могут выдать несколько источников, включая созданные автоматически сертификаты и сертификаты, выданные центрами сертификации корпорации Майкрософт или другими центрами сертификации.

Расшифровка файлов происходит следующим образом.

Для расшифровки файла необходимо сначала расшифровать его ключ шифрования. Ключ шифрования файла расшифровывается, если закрытый ключ пользователя совпадает с открытым. Не только пользователь может расшифровать ключ шифрования файла. Другие назначенные пользователи и агенты восстановления также могут расшифровать файл, используя собственный закрытый ключ. Закрытые ключи содержатся в защищенном хранилище ключей, а не в диспетчере учетных записей безопасности (SAM) или в отдельном каталоге.

Хранение зашифрованных файлов на удаленных серверах

В Windows XP поддерживается хранение зашифрованных файлов на удаленных серверах. Пользователи могут удаленно использовать шифрованную файловую систему, когда оба компьютера являются членами одного леса Windows XP. Зашифрованные данные не шифруются при передаче по сети, а только при сохранении на диске. Исключения составляют случаи, когда система включает протокол IPSec или протокол WebDAV. IPSEC шифрует данные при передаче по сети TCP / IP. Если файл был зашифрован перед копированием или перемещением в папку WebDAV на сервере, он останется зашифрованным при передаче и во время хранения на сервере.

Зашифрованные файлы недоступны для клиентов Macintosh. Не поддерживается хранение сертификатов и закрытых ключей шифрованной файловой системы на смарт-картах. Не поддерживается усиленная защита закрытых ключей для закрытых ключей EFS.

Прежде чем файлы на удаленных серверах смогут шифроваться пользователями, администратор должен назначить удаленный сервер доверенным для делегирования. Это позволит всем пользователям шифровать файлы на этом сервере.

Закрытый ключ – секретная половина криптографической пары, используемая при шифровании с применением открытых ключей. Закрытые ключи обычно используются при расшифровке симметричных ключей сеансов, создании цифровых подписей и расшифровке данных, зашифрованных соответствующим открытым ключом.

Шифрованная файловая система (EFS) – средство Windows XP, позволяющее пользователям шифровать файлы и папки на диске тома NTFS для защиты от злоумышленников.

Агент восстановления – пользователь, которому выдан сертификат открытого ключа для восстановления пользовательских данных, закодированных шифрованной файловой системой (EFS).

Восстановление очень важно, если данные зашифрованы сотрудником, который ушел или потерял закрытый ключ. Восстановление данных доступно для шифрованной файловой системы (EFS) как часть общей политики безопасности для системы. Например, если утерян сертификат шифрования файлов и связанный закрытый ключ (из-за сбоя диска или по какой-либо другой причине), восстановление данных возможно с помощью лица, назначенного агентом восстановления. Организация может после увольнения сотрудника восстановить данные, зашифрованные им.

Шифрование с применением открытых ключей

Метод шифрования, использующий два математически связанных шифровальных ключа. Один ключ называется закрытым и хранится в недоступном месте. Другой ключ называется открытым и свободно предоставляется любым потенциальным пользователям. Как правило, отправитель использует открытый ключ получателя для шифрования данных. Только получатель имеет связанный закрытый ключ для расшифровки этого сообщения. Связь между открытым и закрытым ключами настолько сложна, что, при условии достаточной длины ключей, невозможно вычислить один ключ на основе другого. Шифрование с применением открытых ключей называется также асимметричным шифрованием.

Политика восстановления

Файловая система EFS использует политики встроенного восстановления данных. Recovery policy – это политика открытого ключа, которая обеспечивает назначение одной или нескольких учетных записей пользователя агентами восстановления шифрованных данных.

Политика восстановления по умолчанию настроена локально для автономных компьютеров. Для компьютеров, которые являются частью сети, политика восстановления настраивается на уровне домена, организационной единицы или отдельного компьютера и применяется ко всем компьютерам, работающим под управлением Windows XP, в пределах области влияния. Центр сертификации (ЦС) выдает сертификаты восстановления, и для управления ими используется оснастка «Сертификаты».

В домене Windows XP политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора. В политику в любое время можно добавить дополнительных агентов восстановления и удалить исходного агента.

Поскольку подсистема безопасности Windows XP обрабатывает приведение в исполнение, репликацию и кэширование политики восстановления, пользователи могут реализовывать шифрование файлов на системах, которые временно работают автономно, например на переносном компьютере. Этот процесс аналогичен входу в учетную запись домена с помощью кэшированных сведений.

Агенты восстановления

Сертификат X.509v3 – третья версия рекомендации ITU-T на X.509 для синтаксиса и формата сертификатов. Стандартный формат, используемый Windows XP в процессах, связанных с сертификатами. Сертификат X.509 содержит открытый ключ и сведения о лице или объекте, которому выдан сертификат, сведения о самом сертификате, а также дополнительные сведения о выдавшем его центре сертификации (ЦС).

Агентом восстановления называется пользователь, уполномоченный расшифровывать данные, зашифрованные другим пользователем. Агентам восстановления не нужны никакие другие разрешения для выполнения задачи. Использование агента восстановления может потребоваться, например, если сотрудник покидает организацию и остающиеся после него данные нужно расшифровать. Прежде чем добавлять в домен агента восстановления, необходимо убедиться, что каждому агенту восстановления был выдан сертификат X.509 версии 3.

У каждого агента восстановления есть специальный сертификат с соответствующим закрытым ключом, позволяющий восстанавливать данные в области влияния политики восстановления. Агенту восстановления следует использовать команду Экспорт из объекта MMC «Сертификаты» для создания в безопасном месте резервной копии сертификата восстановления и закрытого ключа. После создания резервной копии следует использовать объект MMC «Сертификаты» для удаления сертификата восстановления. Если требуется выполнить для пользователя операцию восстановления, следует сначала восстановить сертификат восстановления и связанный закрытый ключ с помощью команды Импорт из объекта MMC «Сертификаты». После восстановления данных сертификат восстановления снова должен быть удален. Нет необходимости повторять процесс экспорта.

Чтобы добавить агентов восстановления в домен, нужно добавить их сертификаты к существующей политике восстановления.

Сведения о добавлении и удалении агента восстановления не обновляются автоматически в существующих файлах системы EFS. Данные этих файлов обновляются при следующем открытии файла. Новые файлы используют текущие сведения агента восстановления.

Чтобы восстановить зашифрованный файл или папку

Чтобы восстановить зашифрованный файл или папку, следует использовать программу «Архивация данных» или другое средство архивации для восстановления пользовательской архивной версии зашифрованного файла или папки на компьютер, где размещен сертификат восстановления файла.

Процедура восстановления зашифрованных данных начинается с обращения к проводнику Windows. Правой кнопкой мыши следует кликнуть зашифрованную папку или диск, а затем выбрать команду «Свойства». На вкладке «Общие» надо нажать кнопку «Дополнительно» и снять флажок «Шифровать содержимое для защиты данных». Затем нужно сделать резервную копию расшифрованного файла или папки и вернуть резервную копию пользователю.

Резервная копия расшифрованного файла или папки может быть возвращена пользователю как вложение в сообщение электронной почты, на гибком диске или как общий файл в сети.

Также можно транспортировать закрытый ключ и сертификат агента восстановления, импортировать закрытый ключ и сертификат, расшифровать файл или папку и удалить импортированный закрытый ключ и сертификат. В ходе данной процедуры закрытый ключ менее защищен, чем в вышеописанной, и не требует никаких операций архивации и сохранения или перемещения файла.

Агенту восстановления следует использовать команду «Экспорт из объекта MMC «Сертификаты»» для экспорта на гибкий диск сертификата восстановления файлов и закрытого ключа. Гибкий диск следует хранить в безопасном месте. Если сертификат восстановления файлов или закрытый ключ на компьютере поврежден или удален, можно использовать команду «Импорт из объекта MMC «Сертификаты»» для замены поврежденного или удаленного сертификата и закрытого ключа файлами, заархивированными на гибком диске.

Восстановление зашифрованного файла или папки без сертификата шифрования файла

Для восстановления зашифрованного файла или папки без сертификата шифрования файла следует запустить служебную программу архивации и воспользоваться ею для создания копии файла в случае его потери или повреждения. Затем надо отправить исходный зашифрованный файл назначенному агенту восстановления. Агент восстановления должен использовать свои сертификаты и закрытые ключи для расшифровки файла. Агент восстановления должен отослать расшифрованный файл обратно, используя любой назначенный способ передачи файлов.

Администратор локального компьютера является агентом восстановления по умолчанию, если компьютер не находится в среде домена Active Directory. В среде домена Active Directory администратор, который вошел в первый контроллер домена, является агентом восстановления по умолчанию.

Отправить файл назначенному агенту восстановления можно несколькими способами, включая архивацию файла на ленту или гибкий диск.

Файлы, заархивированные с помощью программы архивации или других средств, остаются зашифрованными в месте размещения заархивированных файлов. Исходные файлы можно расшифровать или изменить, не влияя на зашифрованное состояние резервных копий.

Зашифрованные файлы или папки могут быть восстановлены самостоятельно, если на гибком диске хранится резервная копия сертификата шифрования файла и закрытого ключа в файле формата. pfx. Для импорта файла. pfx с гибкого диска в хранилище «Личные» следует использовать команду «Импорт из объекта MMC «Сертификаты»».

Чтобы создать на гибком диске резервную копию ключей восстановления, используемых по умолчанию

Для создания резервной копии ключей восстановления следует запустить консоль управления (ММС). Напоминаю, что для этого следует воспользоваться строкой «Выполнить» в меню Пуск – нажать кнопку Пуск, выбрать команду «Выполнить», ввести «mmc» и нажать кнопку OK. В появившемся меню «Консоль» следует выбрать команду «Добавить/удалить оснастку» и нажать кнопку «Добавить». В группе «Добавить изолированную оснастку» надо выбрать «Сертификаты» и нажать кнопку «Добавить». Затем следует установить переключатель в положение «Моей учетной записи пользователя» и нажать «Готово». Завершая процедуру, надо кликнуть по кнопке «Закрыть», а затем – ОК. После этого надо дважды кликнуть «Сертификаты» – «Текущий пользователь», дважды «Личные» и также дважды – «Сертификаты». После этого надо выбрать сертификат, имеющий текст «Восстановление файлов» в столбце «Назначение». Этот сертификат следует кликнуть правой кнопкой мыши и выбрать «Все задачи», а затем «Экспорт», после чего остается только следовать инструкциям мастера экспорта сертификатов для экспорта сертификата и связанного закрытого ключа в файл формата. pfx.

Эта операция должна быть выполнена с учетной записью агента восстановления, у которого есть сертификат восстановления и закрытый ключ в личных хранилищах.

Перед внесением любых изменений в политику восстановления, используемую по умолчанию, следует проверить безопасность ключей восстановления, используемых по умолчанию. В домене ключи восстановления, используемые по умолчанию, хранятся на первом контроллере домена. Напоминаю, что администратор домена по умолчанию является агентом восстановления.

Чтобы добавить агента восстановления для локального компьютера

Для того чтобы добавить агента восстановления для локального компьютера следует нажать кнопку Пуск, выбрать команду «Выполнить», вести «mmc» и нажать OK. В открывшейся консоли управления следует выбрать команду «Добавить/удалить оснастку» и нажать кнопку «Добавить». Затем в группе «Добавить изолированную оснастку» надо выбрать «Групповая политика» и нажать кнопку «Добавить». После этого надо проверить, чтобы в поле «Объект групповой политики» был отображен «Локальный компьютер». Теперь можно нажимать кнопку «Готово», затем кликнуть кнопку «Закрыть» и – OK. После этого в дереве консоли следует отыскать подузел «Политики открытого ключа»: «Политика «Локальный компьютер» – «Конфигурация компьютера» – «Конфигурация Windows» – «Параметры безопасности» – «Политики открытого ключа». Затем в области сведений надо кликнуть правой кнопкой мыши «Агенты восстановления шифрованных данных» и выбрать команду «Добавить» в контекстном меню, а затем – просто следовать инструкциям мастера добавления агента восстановления.

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.

Добавление агента восстановления из файла идентифицирует пользователя как USER_UNKNOWN. Это происходит потому, что имя не сохраняется в файле.

Перед добавлением или созданием агента восстановления необходимо задать конфигурацию групповой политики на компьютере. Мастеру добавления агента восстановления сообщается имя пользователя с опубликованным сертификатом восстановления. Другим способом является использование мастера для поиска файлов с расширением. cer, содержащих сведения о добавляемом агенте восстановления.

Чтобы изменить политику восстановления для локального компьютера

Для того чтобы изменить политику восстановления для локального компьютера, следует запустить консоль управления (это делается точно так же, как и в предыдущем пункте: Пуск – «Выполнить» – «mmc» – ОК), после чего в меню «Консоль» выбирается та же команда: «Добавить/удалить оснастку» – «Добавить». В группе «Добавить изолированную оснастку» надо выбрать объект «Групповая политика» и нажать кнопку «Добавить». Здесь, так же как и раньше, следует проверить, чтобы в поле «Объект групповой политики» был отображен «Локальный компьютер», после чего можно нажимать на кнопку «Готово», затем – «Закрыть» и – OK.

После этого следует обратиться к объекту «Политика «Локальный компьютер»» и выбрать там подузел «Политики открытого ключа» (этот подузел находится все там же: «Политика «Локальный компьютер»» – «Конфигурация компьютера» – «Конфигурация Windows» – «Параметры безопасности» – «Политики открытого ключа». Далее – в деревер консоли надо выбрать узел «Агенты восстановления шифрованных данных» и выполнить одно из следующих действий.

Для назначения пользователя дополнительным агентом восстановления с помощью мастера добавления агента восстановления надо кликнуть кнопку «Добавить».

Для запроса нового сертификата восстановления файлов с помощью мастера запроса сертификатов следует нажать кнопку «Создать». Чтобы выполнить эту процедуру, необходимо иметь соответствующие разрешения на запрос сертификата и центр сертификации должен быть настроен на выпуск сертификатов такого типа.

Чтобы удалить политику EFS и всех агентов восстановления, надо нажать «Удалить политику». При выборе данного параметра пользователь не сможет шифровать файлы на компьютере. Перед изменением политики восстановления следует создать на гибком диске резервную копию ключей восстановления.

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.

Компьютер выпускает используемый по умолчанию самозаверяющий сертификат, который указывает на локального администратора как на агента восстановления по умолчанию. Если пользователь, который первый раз вошел в систему после установки, создает вторую учетную запись с помощью мастера создания нового пользователя, то вторая учетная запись становится агентом восстановления по умолчанию.

Если сертификат агента восстановления по умолчанию удален и другого агента в политике нет, компьютер будет иметь пустую политику восстановления. Пустая политика восстановления означает, что агента восстановления не существует. Это отключает EFS и, следовательно, запрещает пользователям шифровать файлы на этом компьютере.

В домене политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена как на агента восстановления.

Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора.

Изменения в сертификат восстановления файла можно внести, щелкнув сертификат правой кнопкой мыши и затем нажав «Свойства». Например, сертификату можно дать понятное имя и ввести текстовое описание.

Чтобы добавить агента восстановления для домена

Для того чтобы добавить агента восстановления для домена, следует открыть оснастку «Пользователи и компьютеры Active Directory» (для запуска оснастки «Пользователи и компьютеры Active Directory» надо открыть подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена) и кликнуть правой кнопкой домен, политику восстановления которого требуется изменить, а затем выбрать команду «Свойства». После этого надо открыть вкладку «Групповая политика», кликнуть правой кнопкой политику восстановления, которую требуется изменить, и выбрать команду «Изменить». В дереве консоли надо выбрать знакомый путь: «Агенты восстановления шифрованных данных» – «Конфигурация компьютера» – «Конфигурация Windows» – «Параметры безопасности» – «Политики открытого ключа» – «Агенты восстановления шифрованных данных». В области сведений надо кликнуть правой кнопкой, выбрать команду «Добавить» и затем просто следовать инструкциям.

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.

Данную операцию можно выполнить на любых сайтах, доменах и подразделениях из леса (совокупность деревьев директорий всех обслуживаемых компьютеров) Active Directory.

Добавление агента восстановления из файла идентифицирует пользователя как USER_UNKNOWN. Это происходит потому, что имя не сохраняется в файле.

Перед добавлением или созданием агента восстановления необходимо задать конфигурацию групповой политики на компьютере.

Чтобы изменить политику восстановления для домена

Для того чтобы изменить политику восстановления для домена, следует открыть оснастку «Пользователи и компьютеры Active Directory» (как это делается, описано в предыдущем пункте) и кликнуть правой кнопкой домен, политику восстановления которого требуется изменить, а затем выбрать команду «Свойства», после чего – открыть вкладку «Групповая политика». Теперь надо кликнуть правой кнопкой политику восстановления, которую требуется изменить, и выбрать команду «Изменить». Затем в дереве консоли надо выбрать «Агенты восстановления шифрованных данных» (путь тот же, что и в предыдущем разделе) и в области сведений правой кнопкой мыши кликнуть агента восстановления шифрованных данных, а затем выбрать соответствующую команду. Перед изменением политики восстановления следует создать на гибком диске резервную копию ключей восстановления. Чтобы увидеть сделанные изменения, надо кликнуть объект «Агенты восстановления шифрованных данных» правой кнопкой мыши.

Для выполнения описанной процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.

В домене политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор первого домена выдает самозаверяющий сертификат, который указывает на администратора домена как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, надо войти в первый контроллер домена с учетной записью администратора.

Чтобы создать резервную копию ключей восстановления, используемых по умолчанию, на гибком диске

Для того чтобы создать резервную копию ключей восстановления, следует запустить консоль управления (Пуск – «Выполнить» – «mmc» – ОК), затем в открывшемся «Консоль» выбрать команду «Добавить/удалить оснастку» и нажать кнопку «Добавить». Затем в группе «Добавить изолированную оснастку» надо выбрать «Сертификаты» и нажать кнопку «Добавить». После этого надо установить переключатель в положение «Моей учетной записи пользователя» и нажать «Готово» – «Закрыть» и ОК. Затем надо дважды кликнуть «Сертификаты – текущий пользователь», дважды – «Личные» и снова дважды «Сертификаты». После этого надо выбрать сертификат, имеющий текст «Восстановление файлов» в столбце «Назначение» и, кликнув сертификат правой кнопкой, выбрать «Все задачи», а затем «Экспорт». После этого можно спокойно следовать инструкциям мастера экспорта сертификатов для экспорта сертификата и связанного закрытого ключа в файл формата. pfx.

Эта операция должна быть выполнена с учетной записью агента восстановления, у которого есть сертификат восстановления и закрытый ключ в личных хранилищах.

Перед внесением любых изменений в политику восстановления, используемую по умолчанию, следует проверить безопасность ключей восстановления, используемых по умолчанию. В домене ключи восстановления, используемые по умолчанию, хранятся на первом контроллере домена. Администратор домена по умолчанию является агентом восстановления.

Одним из достоинств операционной системы Windows XP является возможность установки и использования нескольких (более чем одной) операционных систем.

Для того чтобы выбрать операционною систему, загружаемую по умолчанию (если на компьютере установлено более одной операционной системы), надо открыть компонент Панели управления «Система» и на вкладке «Дополнительно» в группе «Загрузка и восстановление» нажать кнопку «Настройка». После этого в группе «Загрузка операционной системы» в списке «Операционная система, загружаемая по умолчанию» надо выбрать операционную систему, которая должна будет запускаться по умолчанию при включении или перезагрузке компьютера. Теперь надо установить флажок «Отображать список операционных систем» и ввести число секунд, в течение которых должен отображаться этот список, прежде чем начнется автоматическая загрузка операционной системы, выбираемой по умолчанию.

Чтобы вручную отредактировать файл вариантов загрузки, надо нажать кнопку « Изменить» . При этом следует иметь в виду, что корпорация Майкрософт настоятельно рекомендует не изменять файл вариантов загрузки (boot.ini). Изменение этого файла может нарушить работоспособность компьютера. Поэтому мы помещаем здесь описание основных возможных вариантов загрузки на случай не предвиденных осложнений.

Если компьютер не загружается в обычном режиме, можно попробовать загрузить его в безопасном режиме. В безопасном режиме Windows использует настройки по умолчанию (монитор VGA, поддержка сети отсутствует, драйвер мыши Microsoft и минимальный набор драйверов устройств, необходимых для запуска Windows).

Если компьютер не загружается после установки нового программного обеспечения, следует попробовать запустить его в безопасном режиме с минимальным набором служб и изменить настройки компьютера или удалить новое программное обеспечение, которое, возможно, и является причиной сбоя. При необходимости можно переустановить операционную систему или пакет обновления.

Если при загрузке в безопасном режиме неполадки не возникают, можно удалить настройки по умолчанию и минимальный набор драйверов устройств как возможные причины этих неполадок.

Доступны следующие варианты загрузки.

Безопасный режим

Загрузка с использованием только основных файлов и драйверов (драйвер мыши, кроме драйвера мыши для последовательного порта; монитор; клавиатура; диски; видеоадаптер; стандартные системные службы; отсутствие сетевых подключений). Если загрузить компьютер в безопасном режиме не удается, для восстановления системы может потребоваться использование консоли восстановления.

Безопасный режим с загрузкой сетевых драйверов

Загрузка с использованием только основных файлов и драйверов, а также сетевых подключений.

Безопасный режим с поддержкой командной строки

Загрузка с использованием только основных файлов и драйверов. После входа в систему вместо графического интерфейса Windows выводится командная строка.

Включить протоколирование загрузки

При загрузке система записывает в файл перечень всех драйверов и служб, которые были загружены (или не загружены). Этот файл называется ntbtlog.txt и хранится в каталоге %windir%. При загрузке компьютера в безопасном режиме, в безопасном режиме с загрузкой сетевых драйверов и в безопасном режиме с поддержкой командной строки в журнал загрузки добавляется список всех загружаемых драйверов и служб. Журнал загрузки полезен для определения точной причины неполадок при загрузке системы.

Включить режим VGA

Загрузка с использованием основного драйвера VGA. Этот режим полезен, если причиной неправильной загрузки Windows является новый драйвер для видеоадаптера. Основной драйвер видеоадаптера всегда используется при загрузке в безопасном режиме («Безопасный режим», «Безопасный режим с загрузкой сетевых драйверов» или «Безопасный режим с поддержкой командной строки»).

Загрузка последней удачной конфигурации

Загрузка с использованием данных реестра и драйверов, сохраненных Windows при последнем завершении работы. Все изменения, сделанные со времени последней успешной загрузки, будут утеряны. Данный вариант следует использовать только в случае неправильной конфигурации. Он не устраняет неполадки, вызванные повреждением или отсутствием драйверов или файлов.

Восстановление службы каталогов

Этот вариант предназначен для серверных операционных систем и используется только для восстановления каталога SYSVOL и службы каталогов Active Directory на контроллере домена.

Режим отладки

Загрузка с отправкой данных об отладке на другой компьютер через прямое кабельное подключение. Если для установки Windows используется или использовалась служба удаленной установки, могут быть доступны дополнительные варианты, связанные с восстановлением системы при помощи служб удаленного доступа.

Для архивации файлов и папок необходимо обладать определенными разрешениями или правами пользователя. Члены локальных групп «Администраторы» и «Операторы архива» могут архивировать любой файл или папку на локальном компьютере, к которому относится локальная группа. Кроме того администраторы и операторы архива на контроллере домена могут архивировать любые файлы или папки на любом компьютере в этом домене или в домене, с которым установлены двусторонние доверительные отношения (кроме данных состояния системы; см. примечание). Пользователи, не являющиеся администраторами или операторами архива, могут архивировать только собственные файлы и папки либо должны иметь не менее одного из следующих разрешений на доступ к файлам и папкам, которые требуется архивировать: «Чтение», «Чтение и выполнение», «Изменение» или «Полный доступ».

Кроме того необходимо быть уверенным, что доступ к жесткому диску не будет ограничен дисковыми квотами: это сделает архивацию данных невозможной. Чтобы узнать, существуют ли ограничения дисковых квот, надо кликнуть правой кнопкой мыши диск, на котором требуется сохранить данные, выбрать команду Свойства и перейти на вкладку Квота .

Доступ к архиву можно ограничить, установив в диалоговом окне Сведения о задании архивации флажок «Разрешить доступ к архивным данным только владельцам и администраторам» . Если этот флажок установлен, восстановление файлов и папок из архива сможет выполнять только администратор или пользователь, создавший архив.

Архивировать и восстанавливать данные состояния можно только на локальном компьютере. Более того, для архивации и восстановления данных состояния системы необходимо быть администратором локального компьютера. Прав оператора архива на локальном компьютере для этого недостаточно. Для архивации и восстановления данных состояния системы на удаленном компьютере недостаточно даже прав администратора на этом удаленном компьютере.

Политика безопасности хранения данных Windows XP разрешает администратору определить два свойства для групп с особыми требованиями к безопасности («групп с ограниченным доступом»). Это свойства «Члены группы» и «Член групп». Список «Члены группы » позволяет определить, кто входит в данную группу с ограниченными правами и кто не входит в нее. Список «Член групп » показывает, каким другим группам принадлежит данная группа с ограниченным доступом. При активизации групповой политики ограничения доступа все текущие члены группы с ограниченным доступом, отсутствующие в списке «Члены группы » , удаляются из группы. Все пользователи из списка «Члены группы » , не являющиеся в этот момент членами данной группы с ограниченным доступом, добавляются в нее. Папка «Группы с ограниченным доступом» доступна только в объектах групповой политики, связанных с доменами, подразделениями и сайтами. Она не отображается в объекте «Политика локального компьютера». Если группа с ограниченным доступом определена так, что в ней нет ни одного члена (т. е. список «Члены группы » пуст), при применении данной политики в системе из группы удаляются все ее члены. Если пуст список «Член групп » , никаких изменений с группами, в которые входит данная группа с ограниченным доступом, не производится. По умолчанию: не определен. Пустой список «Члены группы » означает, что в группе с ограниченным доступом нет членов; пустой список «Член групп » означает, что группы, которым принадлежит данная группа с ограниченным доступом, не заданы.

Политика безопасности Windows XP позволяет администратору определить режим запуска всех системных служб (ручной, автоматический или отключение), а также разрешения на доступ к ним («Запуск», «Остановка», «Приостановка»). По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

Политика безопасности Windows XP позволяет администратору определить разрешения на доступ к разделам реестра (в таблицах DACL) и параметры аудита реестра (в таблицах SACL). По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера». Также администратор может определить разрешения на доступ к объектам файловой системы (в таблицах DACL) и параметры аудита этих объектов (в таблицах SACL). По умолчанию: не определен, не отображается в объекте «Политика локального компьютера».

Привилегия – право пользователя выполнять конкретную задачу, обычно действующее не для конкретного объекта, а для системы в целом. Привилегии назначаются администраторами отдельным пользователям или группам пользователей как часть настроек безопасности компьютера.

Чтобы упростить администрирование учетных записей пользователей, следует назначать привилегии учетным записям групп, а не отдельных пользователей. При назначении привилегий учетной записи группы пользователям, включаемым в эту группу, эти привилегии назначаются автоматически. Этот способ администрирования привилегий гораздо удобнее, чем назначение отдельных привилегий пользователю при создании учетной записи.

В следующей таблице перечислены и описаны привилегии, которыми могут быть наделены пользователи.

Некоторые из этих привилегий имеют более высокий приоритет, чем разрешения объекта. Например, пользователь домена может являться членом группы «Операторы архива», которая имеет право выполнения задач архивирования на всех серверах домена. Однако для этого требуется наличие разрешения на чтение всех файлов на этих серверах, в том числе и тех файлов, для которых владельцы установили разрешения, явно запрещающие доступ других пользователей, включая и членов группы «Операторы архива». В данном случае право пользователя выполнять архивирование получает приоритет над всеми разрешениями для файлов и каталогов.

Параметры журнала событий и просмотра событий

Максимальный размер журнала приложений

Задает максимальный размер журнала событий приложений, который не может превышать 4 ГБ. По умолчанию: 512 КБ. Не отображается в объекте «Политика локального компьютера».

Максимальный размер журнала безопасности

Задает максимальный размер журнала событий безопасности, который может составлять как минимум 4 ГБ. По умолчанию: 512 КБ. Не отображается в объекте «Политика локального компьютера».

Максимальный размер системного журнала

Задает максимальный размер журнала системных событий, который не может превышать 4 ГБ. По умолчанию: 512 КБ. Не отображается в объекте «Политика локального компьютера».

Запретить доступ локальной группы гостей к журналу приложений

Определяет, запрещен ли гостям доступ к журналу событий приложений. По умолчанию: отключен. Не отображается в объекте «Политика локального компьютера».

Запретить доступ локальной группы гостей к журналу безопасности

Определяет, запрещен ли гостям доступ к журналу событий безопасности. По умолчанию: отключен. Не отображается в объекте «Политика локального компьютера». Для доступа к журналу безопасности пользователь должен обладать правом Управление аудитом и журналом безопасности.

Запретить доступ локальной группы гостей к системному журналу

Определяет, запрещен ли гостям доступ к журналу системных событий. По умолчанию: отключен. Данный параметр не отображается в объекте «Политика локального компьютера».

Сохранение событий в журнале приложений

Определяет, за какой период времени (в днях) следует сохранять события в журнале приложений, если в нем задан метод сохранения записей «По дням». Это значение следует устанавливать только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер журнала приложений достаточно велико для того, чтобы вместить все события за этот период. По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера». Для доступа к журналу безопасности пользователь должен обладать правом Управление аудитом и журналом безопасности.

Сохранение событий в журнале безопасности

Определяет, за какой период времени (в днях) следует сохранять события в журнале безопасности, если в нем задан метод сохранения записей «По дням». Это значение следует устанавливать только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер журнала безопасности достаточно велико для того, чтобы вместить все события за этот период. По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

Сохранение событий в системном журнале

Определяет, за какой период времени (в днях) следует сохранять события в системном журнале, если в нем задан метод сохранения записей «По дням». Устанавливайте это значение только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер системного журнала достаточно велико для того, чтобы вместить все события за этот период. По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

Сохранение событий в журнале приложений

Определяет метод перезаписи журнала приложений. Если архивировать журнал приложений не требуется, в диалоговом окне «Свойства данной политики» надо установить флажок «Определить следующий параметр политики» и установить переключатель в положение «Затирать старые события по необходимости». Если журнал архивируется с определенным интервалом, в диалоговом окне Свойства данной политики надо установить флажок «Определить следующий параметр политики» и установить переключатель в положение «Затирать старые события по дням», а затем задать необходимое число дней для параметра «Сохранение событий в журнале приложений, дней». Значение параметра Максимальный размер журнала приложений должно быть достаточно большим, чтобы вместить все события за этот период. Если в журнале необходимо сохранять все события, в диалоговом окне «Свойства данной политики» должен быть установлен флажок «Определить следующий параметр политики» и установлен переключатель в положение «Не затирать события (чистка журнала вручную)». В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

Сохранение событий в журнале безопасности

Определяет метод перезаписи журнала безопасности. Если архивировать журнал безопасности не требуется, в диалоговом окне Свойства данной политики следует установить флажок «Определить следующий параметр политики» и установить переключатель в положение «Затирать старые события по необходимости». Если журнал архивируется с определенным интервалом, в диалоговом окне Свойства данной политики должен быть установлен флажок «Определить следующий параметр политики», установлен переключатель в положение «Затирать старые события по дням» и задано необходимое число дней для параметра «Сохранение событий в журнале безопасности, дней». Значение параметра «Максимальный размер журнала безопасности» должно быть достаточно большим, чтобы вместить все события за этот период. Если в журнале необходимо сохранять все события, в диалоговом окне «Свойства данной политики» надо установить флажок «Определить следующий параметр политики» и установить переключатель в положение «Не затирать события (чистка журнала вручную)». В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

Сохранение событий в системном журнале

Определяет метод перезаписи системного журнала. Если архивировать системный журнал не требуется, в диалоговом окне «Свойства данной политики» должен быть установлен флажок «Определить следующий параметр политики» и установлен переключатель в положение «Затирать старые события по необходимости». Если журнал архивируется с определенным интервалом, в диалоговом окне «Свойства данной политики» надо установить флажок «Определить следующий параметр политики», установить переключатель в положение «Затирать старые события по дням» и задать необходимое число дней для параметра «Сохранение событий в системном журнале, дней». Значение параметра «Максимальный размер системного журнала» должно быть достаточно большим, чтобы вместить все события за этот период. Если в журнале необходимо сохранять все события, в диалоговом окне «Свойства данной политики» надо выставить флажок «Определить следующий параметр политики» и установить переключатель в положение «Не затирать события (чистка журнала вручную)». В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию: не определен. Не отображается в объекте «Политика локального компьютера».

При помощи оснастки «Шаблоны безопасности» можно создать политику безопасности для компьютера или сети. Можно управлять всей безопасностью системы, используя только одну эту оснастку. Оснастка «Шаблон безопасности» не предоставляет новых параметров безопасности, а просто упорядочивает и предоставляет удобный доступ ко всем имеющимся атрибутам безопасности для упрощения администрирования. При импорте шаблона безопасности в объект групповой политики облегчается администрирование домена, так как безопасность настраивается для домена или подразделения только один раз. Чтобы применить шаблон безопасности на локальном компьютере, можно использовать средство «Анализ и настройка безопасности». Шаблоны безопасности можно использовать, чтобы определить представленные далее элементы.

Все шаблоны хранятся в текстовых файлах с расширением. inf. Это позволяет копировать, вставлять, импортировать и экспортировать любые атрибуты шаблона. В шаблоне безопасности могут храниться все атрибуты безопасности, за исключением политик безопасности IP и политик открытого ключа. Новые и готовые шаблоныМожно создавать шаблоны безопасности, соответствующие требованиям пользователя, или использовать готовые шаблоны. Перед изменением параметров безопасности необходимо определить параметры безопасности системы, используемые по умолчанию, а также их назначение. Существует несколько готовых шаблонов, которые рекомендуется использовать для защиты системы в зависимости от потребностей конкретного пользователя. Эти шаблоны используются для выполнения представленных далее действий.• Восстановление параметров по умолчанию (Setup security.inf).• Внедрение среды повышенной защиты (Hisecws.inf).• Внедрение среды с более низким уровнем защиты, но с большей совместимостью (Compatws.inf).• Защита корневого каталога системы (Rootsec.inf).

Политика паролей

Требовать неповторяемости паролей

Определяет число новых паролей, которые должны быть сопоставлены учетной записи пользователя, прежде чем можно будет снова использовать старый пароль. Это значение должно принадлежать диапазону от 0 до 24. Данная политика позволяет администраторам повышать уровень безопасности, запрещая все время использовать одни и те же старые пароли. Чтобы добиться эффективной сменяемости паролей, не разрешайте немедленную замену паролей при настройке параметра «Минимальный срок действия пароля». По умолчанию: 1.

Максимальный срок действия пароля

Определяет период времени (в днях), в течение которого можно использовать пароль, прежде чем система потребует от пользователя заменить его. Можно задать значение в диапазоне от 1 до 999 дней или снять всякие ограничения срока действия, установив число дней равным 0.

По умолчанию: 42.

Минимальный срок действия пароля

Определяет период времени (в днях), в течение которого необходимо использовать пароль, прежде чем пользователь сможет заменить его. Можно задать значение в диапазоне от 1 до 999 дней или разрешить немедленное изменение, установив число дней равным 0.

Минимальный срок действия пароля должен быть меньше, чем «Максимальный срок действия пароля». Чтобы параметр «Требовать неповторяемости паролей» действовал эффективно, должен быть установлен минимальный срок действия пароля, отличный от 0.

Если этого не сделать, пользователь сможет перебрать все свои пароли и дойти до старого пароля, который он предпочитает. Тем не менее по умолчанию для данного параметра устанавливается нулевое значение, чтобы администратор мог задать пароль для пользователя и потребовать от него сменить этот пароль после входа в систему. Если число обязательных неповторяющихся паролей установить равным 0, пользователю не нужно будет выбирать новый пароль. Поэтому число неповторяющихся паролей по умолчанию равно 1. По умолчанию: 0.

Минимальная длина пароля

Определяет наименьшее число символов, которые может содержать пароль учетной записи пользователя. Можно задать значение в диапазоне от 1 до 14 символов или отменить использование пароля, установив число символов равным 0. По умолчанию: 0.

Пароль должен отвечать требованиям сложности

Определяет, должны ли пароли отвечать требованиям сложности.

Если эта политика включена, пароли должны удовлетворять следующим минимальным требованиям.

• Пароль не может содержать имя учетной записи пользователя или какую-либо его часть.

• Пароль должен состоять не менее чем из 6 символов.

• В пароле должны присутствовать символы 3 категорий из числа следующих 4:

прописные буквы английского алфавита от A до Z;

строчные буквы английского алфавита от a до z;

десятичные цифры (от 0 до 9);

символы, не принадлежащие алфавитно-цифровому набору (например,! $, #, %).

Проверка соблюдения этих требований выполняется при изменении или создании паролей. По умолчанию: отключен.

Хранить пароли всех пользователей в домене, используя обратимое шифрование Определяет, следует ли в системах Windows 2000 Server, Windows 2000 Professional и Windows XP Professional хранить пароли, используя обратимое шифрование. Эта политика обеспечивает поддержку приложений, использующих протоколы, которым для проверки подлинности нужно знать пароль пользователя. Хранить пароли, зашифрованные обратимыми методами, – это все равно что хранить их открытым текстом. Поэтому данную политику следует использовать лишь в исключительных случаях, если потребности приложения оказываются важнее, чем защита пароля. Эта политика является обязательной при использовании протокола проверки подлинности CHAP в средствах удаленного доступа или службах IAS. Она также необходима при использовании проверки подлинности методом Digest Authentication в информационных службах Интернета (Internet Information Services, IIS). По умолчанию: отключен.

Политика блокировки учетной записи

Блокировка учетной записи на…

Определяет число минут, в течение которых учетная запись остается блокированной, прежде чем будет автоматически разблокирована. Этот параметр может принимать значения от 1 до 99 999 мин. Если установить значение 0, учетная запись будет блокирована на все время до тех пор, пока администратор не разблокирует ее явным образом. Если пороговое значение блокировки определено, данный интервал блокировки должен быть больше или равен интервалу сброса. По умолчанию: не определен, поскольку данный параметр имеет смысл только при заданном параметре «Пороговое значение блокировки».

Пороговое значение блокировки

Определяет число неудачных попыток входа в систему, после которых учетная запись пользователя блокируется. Блокированную учетную запись нельзя использовать до тех пор, пока она не будет сброшена администратором или пока не истечет ее интервал блокировки.

Можно задать значение в диапазоне от 1 до 999 или запретить блокировку данной учетной записи, установив значение 0. Попытки входа с неверным паролем на рабочие станции или рядовые серверы, заблокированные с помощью клавиш CTRL+ALT+DEL или экранных заставок, защищенных паролем, не считаются неудачными попытками входа. По умолчанию:

отключен.

Сброс счетчика блокировки через…

Определяет число минут, которые должны пройти после неудачной попытки входа в систему, прежде чем счетчик неудачных попыток будет сброшен в 0. Этот параметр может принимать значения от 1 до 99 999 минут. Если определено пороговое значение блокировки, данный интервал сброса не должен быть больше интервала «Блокировка учетной записи на…». По умолчанию: не определен, поскольку данный параметр имеет смысл только при заданном параметре «Пороговое значение блокировки».

Центр распространения ключей

Сетевая служба, предоставляющая билеты сеансов и временные ключи сеансов, используемые протоколом проверки подлинности Kerberos V5. В Windows 2000 и Windows XP центр распределения ключей выполняется как привилегированный процесс на всех контролерах доменов.

Протокол проверки подлинности Kerberos V5

Механизм проверки подлинности, используемый для проверки подлинности пользователя или узла. Протокол Kerberos V5 является стандартной службой проверки подлинности для Windows 2000. Протокол Kerberos используется для проверки подлинности службами безопасности IP (IPSec) и контроля доступа QoS.

Принудительные ограничения входа пользователей

Определяет, должен ли центр распределения ключей Kerberos V5 проверять каждый запрос билета сеанса на соответствие политике прав пользователей, действующей на компьютере назначения. Проверка каждого такого запроса является необязательной, поскольку она требует времени и может замедлить сетевой доступ к службам.

Если эта политика включена, пользователь, запрашивающий билет сеанса, должен для его получения обладать правом на «Локальный вход в систему» (если запрашиваемая служба запущена на том же компьютере) или правом на «Доступ к компьютеру из сети» (если запрашиваемая служба находится на удаленном компьютере). Если данная политика отключена, эта проверка не выполняется. По умолчанию: включен.

Максимальный срок жизни билета службы

Определяет максимальный интервал времени (в минутах), в течение которого полученный билет сеанса разрешается использовать для доступа к конкретной службе. Это значение должно быть больше 10 минут, но не превышать значения «Максимальный срок жизни билета пользователя».

Если клиент, запрашивающий подключение к серверу, предъявляет просроченный билет сеанса, сервер возвращает сообщение об ошибке. Клиент должен запросить новый билет сеанса в центре распределения ключей Kerberos V5. Однако после того как подключение пройдет проверку подлинности, срок действия билета теряет смысл. Билеты сеансов применяются только для проверки подлинности на новых подключениях к серверам. Если во время работы подключения истечет срок действия билета, использовавшегося для проверки подлинности при установке этого подключения, выполняемые операции не прерываются. По умолчанию: 600 минут (10 часов).

Максимальный срок жизни билета пользователя

Определяет максимальный интервал времени (в часах), в течение которого действует пользовательский билет TGT (ticket-granting ticket – билет на выдачу билета). По истечении срока действия билета TGT необходимо запросить новый билет или возобновить существующий. По умолчанию: 10 часов.

Максимальный срок жизни для возобновления билета пользователя

Определяет период времени (в днях), в течение которого можно возобновить пользовательский билет TGT. По умолчанию: 7 дней.

Максимальная погрешность синхронизации часов компьютера

Определяет максимальное расхождение (в минутах) между показаниями часов клиента и сервера, при котором Kerberos V5 считает их идущими синхронно. Для предотвращения атак, основанных на повторном воспроизведении трафика, Kerberos V5 использует отметки времени. Чтобы этот механизм работал надлежащим образом, часы клиента и сервера должны быть синхронизированы с максимально возможной точностью. Иными словами, на обоих компьютерах должно быть установлено одинаковое время и одинаковая дата.

Поскольку часы двух компьютеров часто выпадают из синхронности, администраторы могут с помощью данной политики установить максимальный допуск рассогласования часов, приемлемый для Kerberos V5. Если расхождение между показаниями часов клиента и часов сервера меньше заданного этой политикой значения, любая отметка времени, используемая в сеансе связи между двумя компьютерами, будет считаться достоверной. По умолчанию: 5 минут.

Политика аудита

Аудит событий входа в систему

Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на другом компьютере, при условии что данный компьютер используется для проверки подлинности учетной записи. Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждой успешной попытки входа в систему. Аудит отказов означает создание записи аудита для каждой неудачной попытки входа в систему. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок «Определить следующие параметры политики» и снимите флажки «Успех» и «Отказ». Если аудит успешных попыток входа в систему включен на контроллере домена, в журнал будет заноситься запись о каждом пользователе, прошедшем проверку на этом контроллере домена, несмотря на то что пользователь на самом деле входит в систему на рабочей станции домена. По умолчанию: «Нет аудита» для контроллеров домена; не определен для рядового компьютера домена.

Аудит управления учетными записями

Определяет, подлежат ли аудиту все события, связанные с управлением учетными записями на компьютере. К таким событиям относятся, в частности, следующие:

• создание, изменение или удаление учетной записи пользователя или группы;

• переименование, отключение или включение учетной записи пользователя;

• задание или изменение пароля.

Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного события управления учетными записями. Аудит отказов означает создание записи аудита для каждого неудачного события управления учетными записями. Чтобы отключить аудит, в диалоговом окне «Свойства» данного параметра политики установите флажок «Определить следующие параметры политики» и снимите флажки «Успех» и «Отказ». По умолчанию: «Нет аудита».

Аудит доступа к службе каталогов

Определяет, подлежит ли аудиту событие доступа пользователя к объекту каталога Active Directory, для которого задана собственная системная таблица управления доступом (SACL). По умолчанию эта политика отменяет аудит для объекта групповой политики «Стандартный контроллер домена» и не определена для рабочих станций и серверов, на которых она не имеет смысла. Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользователя к объекту Active Directory, для которого определена таблица SACL. Аудит отказов означает создание записи аудита при каждой неудачной попытке доступа пользователя к объекту Active Directory, для которого определена таблица SACL. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики надо отключить флажок Определить следующие параметры политики и снять флажки Успех и Отказ . Следует отметить, что системную таблицу управления доступом для объекта Active Directory можно установить на вкладке Безопасность диалогового окна Свойства этого объекта. Данная политика аналогична политике «Аудит доступа к объектам», только она применяется к объектам Active Directory, а не к объектам файловой системы и реестра.

По умолчанию: «Нет аудита» для контроллеров домена; не определен для рядового компьютера домена.

Аудит входа в систему

Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на данном компьютере, а также подключиться к этому компьютеру через сеть.

Если на контроллере домена ведется учет успешных попыток для политики «Аудит событий входа в систему», попытки входа в систему на рабочих станциях не будут подлежать аудиту.

События входа в систему регистрируются только при попытках интерактивного и сетевого входа на сам контроллер домена. Короче говоря, политика «Аудит событий входа в систему» действует там, где размещена учетная запись, а политика «Аудит входа в систему» – там, где предпринимается попытка входа.

Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждой успешной попытки входа в систему. Аудит отказов означает создание записи аудита для каждой неудачной попытки входа. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики надо установить флажок «Определить следующие параметры политики» и снять флажки «Успех» и «Отказ». По умолчанию: «Нет аудита».

Аудит доступа к объектам

Определяет, подлежит ли аудиту событие доступа пользователя к объекту – например, к файлу, папке, разделу реестра, принтеру и т. п., – для которого задана собственная системная таблица управления доступом (SACL). Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользователя к объекту, для которого определена таблица SACL. Аудит отказов означает создание записи аудита при каждой неудачной попытке доступа пользователя к объекту, для которого определена таблица SACL. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики надо установить флажок «Определить следующие параметры политики» и снять флажки «Успех» и «Отказ». Следует отметить, что системную таблицу управления доступом для объекта файловой системы можно установить на вкладке Безопасность диалогового окна Свойства этого объекта. По умолчанию: «Нет аудита».

Аудит изменения политики

Определяет, подлежит ли аудиту каждый факт изменения политик назначения прав пользователей, политик аудита или политик доверительных отношений.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном изменении политик назначения прав пользователей, политик аудита или политик доверительных отношений. Аудит отказов означает создание записи аудита при каждой неудачной попытке изменения политик назначения прав пользователей, политик аудита или политик доверительных отношений. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики надо установить флажок «Определить следующие параметры политики» и снять флажки «Успех» и «Отказ». По умолчанию: «Нет аудита».

Аудит использования привилегий

Определяет, подлежит ли аудиту каждая попытка пользователя воспользоваться предоставленным ему правом. Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного применения права пользователя. Аудит отказов означает создание записи аудита для каждого неудачного применения права пользователя. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики надо установить флажок «Определить следующие параметры политики» и снять флажки «Успех» и «Отказ».

По умолчанию: аудиту не подлежат попытки применения нижеуказанных прав пользователей, даже если для политики «Аудит использования привилегий» задан аудит успехов или аудит отказов:

• обход перекрестной проверки;

• отладка программ;

• создание маркерного объекта;

• замена маркера уровня процесса;

• создание журналов безопасности;

• архивирование файлов и каталогов;

• восстановление файлов и каталогов.

Аудит отслеживания процессов

Определяет, подлежат ли аудиту такие события, как активизация программы, завершение процесса, повторение дескрипторов и косвенный доступ к объекту.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного события, связанного с отслеживаемым процессом. Аудит отказов означает создание записи аудита для каждого неудачного события, связанного с отслеживаемым процессом. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики должен быть установлен флажок Определить следующие параметры политики и снят флажки «Успех» и «Отказ». По умолчанию: «Нет аудита».

Аудит системных событий

Определяет, подлежат ли аудиту события перезагрузки или отключения компьютера, а также события, влияющие на системную безопасность или на журнал безопасности.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного системного события. Аудит отказов означает создание записи аудита для каждого неудачного завершения системного события. Чтобы отключить аудит, в диалоговом окне «Свойства данного параметра политики» надо установить флажок «Определить следующие параметры политики» и снять флажки «Успех» и «Отказ». По умолчанию: «Нет аудита».

Назначение прав пользователя

Доступ к компьютеру из сети

Определяет, каким пользователям и группам разрешается подключаться к компьютеру через сеть. По умолчанию:

• на рабочих станциях и серверах:

администраторы;

операторы архива;

опытные пользователи;

пользователи;

все;

• на контроллерах домена:

администраторы;

прошедшие проверку;

все.

Работа в режиме операционной системы

Разрешает процессу проходить проверку подлинности как обычному пользователю и таким образом получать доступ к тем же ресурсам, что и любой пользователь. Эта привилегия требуется только для служб проверки подлинности низкого уровня.

Потенциально доступ не ограничен ресурсами, назначенными пользователю по умолчанию, поскольку для процесса вызова может потребоваться, чтобы в описатель доступа были внесены еще какие-либо разрешения. Более важным является тот фактор, что процесс вызова может создать анонимный описатель, способный поддержать любые разрешения на доступ. Кроме того этот описатель не может служить уникальным идентификатором при отслеживании событий в журнале аудита.

Процессы, которым необходима эта привилегия, должны использовать учетную запись LocalSystem , уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию. По умолчанию: Local System.

Добавление рабочих станций в домен

Определяет, какие группы и пользователи могут добавлять рабочие станции в домен. Эта политика действует только на контроллерах домена. По умолчанию таким правом обладает любой пользователь, прошедший проверку подлинности; он может создать до 10 учетных записей компьютеров в домене.

Компьютер, учетная запись которого добавлена в домен, может участвовать в выполнении сетевых операций, использующих содержимое Active Directory. Например, рабочая станция, добавленная в домен, получает возможность распознавать учетные записи и группы, существующие в Active Directory. По умолчанию: «Прошедшие проверку». Пользователи, обладающие разрешением на создание объектов-компьютеров в контейнере Active Directory, также могут создавать учетные записи компьютеров в домене. Но для них число создаваемых учетных записей не ограничено значением 10. Кроме того владельцем учетных записей компьютеров, созданных в соответствии с политикой «Добавление рабочих станций в домен», является группа «Администраторы домена», а владельцем учетной записи, созданной на основе разрешения для контейнера, является ее создатель. Если пользователь обладает одновременно разрешением на создание объектов в контейнере и правом «Добавление рабочих станций в домен», компьютер добавляется в домен в соответствии с разрешениями для контейнера, а не правом пользователя.

Настройка квот памяти для процесса

Определяет, какие учетные записи могут использовать процесс, обладающий разрешением «Запись свойства» для доступа к другому процессу, с целью увеличить назначенную последнему квоту ресурсов процессора. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов. По умолчанию: «Администраторы». Эту привилегию можно использовать для настройки системы, но ее использование может вызвать неблагоприятные последствия, например, в случае атаки типа «отказ в обслуживании».

Разрешать вход в систему через службу терминалов

Определяет, каким пользователям и группам разрешается входить в систему в качестве клиента служб терминалов.

По умолчанию:

• на рабочих станциях и серверах: «Администраторы», «Пользователи удаленного рабочего стола»;

• на контроллерах домена: «Администраторы».

Следует обратить особое внимание на то, что этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.

Архивирование файлов и каталогов

Определяет, какие пользователи могут архивировать содержимое системы, невзирая на имеющиеся разрешения для файлов и каталогов. Эта привилегия эквивалентна предоставлению указанным пользователям и группам следующих разрешений на доступ ко всем файлам и папкам системы:

• обзор папок / выполнение файлов;

• содержание папки / чтение данных;

• чтение атрибутов;

• чтение дополнительных атрибутов;

• чтение разрешений.

По умолчанию данной привилегией обладают: «Администраторы» и «Операторы архива».

Обход перекрестной проверки

Определяет, какие пользователи могут проходить по дереву каталога, независимо от того, имеются ли у них разрешения на доступ к этому каталогу. Эта привилегия не позволяет пользователю выводить список содержимого каталога, а только перемещаться по его структуре. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию:

• на рабочих станциях и серверах:

администраторы;

операторы архива;

опытные пользователи;

пользователи;

все.

• на контроллерах домена:

администраторы;

прошедшие проверку.

Изменение системного времени Определяет, какие пользователи и группы могут изменять время и дату на встроенных часах компьютера. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.По умолчанию:• на рабочих станциях и серверах:администраторы;опытные пользователи;• на контроллерах домена:администраторы;операторы сервера.Создание файла подкачкиОпределяет, какие пользователи и группы могут создавать файл подкачки и изменять его размер. Для создания файла подкачки нужно указать его размер для выбранного диска на вкладке Параметры быстродействия окна свойств системы. По умолчанию: «Администраторы».Создание маркерного объектаОпределяет, какие учетные записи могут использоваться процессами для создания описателя, позволяющего получать доступ к любым локальным ресурсам, если описатель строится с помощью функции NtCreateToken() или другого API-интерфейса. Процессам, которым необходима эта привилегия, рекомендуется использовать учетную запись LocalSystem, уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию. По умолчанию: «Локальная система».Создание постоянных объектов совместного использованияОпределяет, какие учетные записи могут использоваться процессами для создания объекта каталога в диспетчере объектов Windows 2000 Server, Windows 2000 Professional или Windows XP Professional. Эта привилегия необходима для компонентов режима ядра, которые расширяют пространство имен объектов Windows 2000 Server, Windows 2000 Professional и пространство имен объекта Windows XP Professional. Поскольку компоненты, работающие в режиме ядра, уже обладают этой привилегией, им не нужно специально назначать ее. По умолчанию: «Локальная система».Отладка программОпределяет, какие пользователи могут запускать программу отладки для любого процесса.Эта привилегия обеспечивает широкие возможности доступа к особо важным компонентам операционной системы.По умолчанию отладку программ выполняют: администраторы; локальная система.Отказ в доступе к компьютеру из сетиОпределяет, каким пользователям запрещается доступ к данному компьютеру через сеть. Эта политика отменяет политику «Доступ к компьютеру из сети», если учетная запись пользователя контролируется обеими политиками. По умолчанию:• на рабочих станциях и серверах:администраторы;операторы архива;опытные пользователи;пользователи;все.• на контроллерах домена:администраторы;прошедшие проверку;все.Отказ во входе в качестве пакетного заданияОпределяет, какие учетные записи запрещается использовать при входе в систему в качестве пакетного задания. Эта политика отменяет политику «Вход в качестве пакетного задания», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.Отказать во входе в качестве службыОпределяет, каким учетным записям запрещается регистрировать процесс в качестве службы. Эта политика отменяет политику «Вход в качестве службы», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.Отклонить локальный входОпределяет, каким пользователям запрещается вход в систему на данном компьютере. Эта политика отменяет политику «Локальный вход в систему», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.Запретить вход в систему через службу терминаловОпределяет, каким пользователям и группам запрещается входить в систему в качестве клиента служб терминалов. По умолчанию: не определен. Следует обратить особое внимание на то, что этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.Разрешение доверия к учетным записям компьютеров и пользователей при делегировании Определяет, какие пользователи могут устанавливать атрибут Доверен для делегирования для объекта «Пользователь» или «Компьютер». Пользователь или объект, наделенный данной привилегией, должен иметь право записи во флаги управления учетной записью объекта «Пользователь» или «Компьютер». Серверный процесс, который работает на компьютере (или в контексте пользователя), доверенном для делегирования, может получать доступ к ресурсам другого компьютера, используя делегированные учетные данные клиента, при условии, что для учетной записи клиента не установлен флаг управления «Учетная запись не может быть делегирована». Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов. По умолчанию: «Администраторы» на контроллерах доменов. Неправильное употребление этой привилегии или параметра «Доверен для делегирования» может сделать сеть уязвимой для атак, в которых «троянские кони» выдают себя за входящих клиентов и используют их учетные данные для доступа к сетевым ресурсам.Принудительное удаленное завершение работыОпределяет, каким пользователям разрешено завершать работу компьютера из удаленного узла сети. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов. По умолчанию:• на рабочих станциях и серверах: «Администраторы»;• на контроллерах домена: «Администраторы», «Операторы сервера».Создание журналов безопасностиОпределяет, какие учетные записи могут быть использованы процессом для добавления записей в журнал безопасности. Журнал безопасности используется для отслеживания попыток несанкционированного доступа в систему. По умолчанию: «Локальная система».Увеличение приоритета диспетчированияОпределяет, какие учетные записи могут использовать процесс, обладающий разрешением«Запись свойства» для доступа к другому процессу, с целью повысить назначенный последнему приоритет выполнения. Пользователь, обладающий этой привилегией, может изменять приоритет планирования процесса в окне диспетчера задач. По умолчанию:«Администраторы».Загрузка и выгрузка драйверов устройствОпределяет, какие пользователи могут динамически загружать и выгружать драйверы устройств. Эта привилегия необходима для установки драйверов устройств Plug and Play. По умолчанию: «Администраторы».Закрепление страниц в памятиОпределяет, какие учетные записи могут использовать процесс для хранения данных в физической памяти, избегая подкачки страниц в виртуальную память на диск. Применение этой привилегии может существенно сказаться на системной производительности, поскольку приводит к уменьшению объема свободной оперативной памяти. По умолчанию: не определен.Вход в качестве пакетного заданияПозволяет пользователю входить в систему с помощью средства обработки пакетных заданий. Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному. По умолчанию: «Локальная система».Следует обратить особое внимание на то, что в системах Windows 2000 Server, Windows 2000 Professional и Windows XP Professional планировщик заданий автоматически предоставляет это право как обязательное.Вход в качестве службыОпределяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.По умолчанию: не определен.Локальный вход в системуОпределяет, какие пользователи могут входить в систему на данном компьютере.По умолчанию:• на рабочих станциях и серверах: «Администраторы», «Операторы архива», «Опытные пользователи», «Пользователи» и «Гость»;• на контроллерах домена: «Операторы учета», «Администраторы», «Операторы архива» и «Операторы печати».Управление аудитом и журналом безопасностиОпределяет, какие пользователи могут задавать параметры аудита доступа к объектам для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра. Эта политика не позволяет пользователю включать аудит доступа к файлам и объектам в целом.Для этого необходимо настроить параметр «Аудит доступа к объектам» в папке «Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политики аудита».Просмотр записей о событиях аудита в журнале безопасности осуществляется в окне просмотра событий. Пользователь, обладающий такой привилегией, может также просматривать и очищать журнал безопасности.По умолчанию: «Администраторы».Изменение параметров среды оборудованияОпределяет, каким группам безопасности разрешено изменять значения общесистемных параметров среды. По умолчанию: «Администраторы», «Локальная система».Выполнение задач по обслуживанию томовОпределяет, какие пользователи и группы имеют полномочия на выполнение процедур обслуживания томов, таких как очистка диска и дефрагментация диска. По умолчанию:«Администраторы».Профилирование одного процессаОпределяет, какие пользователи могут вести наблюдение за рабочими характеристиками несистемных процессов. По умолчанию: «Администраторы», «Локальная система».Профилирование загруженности системыОпределяет, какие пользователи могут вести наблюдение за рабочими характеристиками системных процессов. По умолчанию: «Администраторы», «Локальная система».Отключение компьютера от стыковочного узлаОпределяет, может ли пользователь отключать переносной компьютер от стыковочного узла, не входя в систему.Если эта политика включена, пользователь должен войти в систему перед тем, как отключать компьютер от стыковочного узла. Если эта политика отключена, пользователь может отсоединять компьютер от стыковочного узла, не входя в систему. По умолчанию: отключен.Замена маркера уровня процессаОпределяет, какие учетные записи пользователей могут инициировать процесс замены стандартного маркера, связанного с запущенным подпроцессом. По умолчанию: «Локальная система».Восстановление файлов и каталоговОпределяет, какие пользователи могут восстанавливать архивированные файлы и каталоги, невзирая на имеющиеся у них разрешения для этих файлов и каталогов, а также назначать любого действительного участника безопасности владельцем объекта.По умолчанию: Рабочие станции и серверы: «Администраторы», «Операторы архива», контроллеры домена: «Администраторы», «Операторы архива», «Операторы сервера».Завершение работы системыОпределяет, какие пользователи могут, войдя на локальный компьютер, завершить работу операционной системы с помощью команды Завершение работы. По умолчанию:• рабочие станции и серверы: «Администраторы», «Операторы архива», «Опытные пользователи», «Пользователи»;• контроллеры домена: «Операторы учета», «Администраторы», «Операторы архива», «Операторы сервера», «Операторы печати».Синхронизация данных службы каталоговОпределяет, какие пользователи и группы имеют полномочия синхронизировать данные, относящиеся к службе каталогов. Эта процедура также называется синхронизацией Active Directory. По умолчанию: не определен.Смена владельца файлов или иных объектовОпределяет, какие пользователи могут становиться владельцем любого объекта системы, контролируемого средствами безопасности, в том числе объектов Active Directory, файлов и папок, принтеров, разделов реестра, процессов и потоков. По умолчанию:«Администраторы».

Учетные записи как средства безопасности

Состояние учетной записи «Администратор»

Определяет, включена или отключена учетная запись «Администратор» в обычном режиме работы. При загрузке в безопасном режиме учетная запись «Администратор» всегда включена, независимо от данного параметра. По умолчанию: включен.

Если попытаться вновь включить учетную запись «Администратор» после того, как она была отключена, но ее текущий пароль не удовлетворяет требованиям, предъявляемым к паролям, учетную запись включить не удастся. В этом случае какой-либо другой член группы «Администраторы» должен установить пароль для учетной записи «Администратор» в оснастке «Локальные пользователи и группы».

Отключенная учетная запись «Администратор» может в определенных обстоятельствах вызвать затруднения при выполнении процедур технического обслуживания. Например, если в среде домена по какой-либо причине возникает сбой на безопасном канале, образующем соединение с доменом, и на компьютере нет другой локальной учетной записи «Администратор», нужно будет для устранения неполадок перезагрузиться в безопасном режиме.

Состояние учетной записи «Гость»

Определяет, включена или выключена учетная запись «Гость». По умолчанию: отключен.

Если учетная запись «Гость» отключена и параметр безопасности «Сетевой доступ: модель совместного доступа и безопасности» имеет значение «Только гости», вход в сеть, например, с помощью сервера сети Microsoft (служба SMB), выполнить не удастся.

Ограничить использование пустых паролей только для консольного входа

Определяет, могут ли сетевые службы, такие как службы терминалов, Telnet и FTP, при удаленном интерактивном входе в систему использовать локальные учетные записи с пустыми паролями. Если этот параметр включен, то для интерактивного входа в систему с удаленного клиентского компьютера необходимо будет использовать локальную учетную запись с непустым паролем. По умолчанию: включен.

• Данный параметр не влияет на интерактивный вход, выполняемый непосредственно на консоли.

• Действие данного параметра не распространяется на вход в сеть с использованием учетных записей домена.

• Приложения, использующие процедуры удаленного интерактивного входа, могут обходить ограничение, устанавливаемое этим параметром.

Переименование учетной записи администратора

Определяет, следует ли сопоставить идентификатору безопасности учетной записи «Администратор» другое имя учетной записи. Всем известно, что на любом компьютере Windows 2000 Server, Windows 2000 Professional или Windows XP Professional существует учетная запись «Администратор», поэтому если ее переименовать, посторонним людям будет немного труднее угадать новую комбинацию имени и пароля такого привилегированного пользователя. По умолчанию: «Администратор».

Переименование учетной записи гостя

Определяет, следует ли сопоставить идентификатору безопасности учетной записи «Гость» другое имя учетной записи. Всем известно, что на любом компьютере Windows 2000 Server, Windows 2000 Professional или Windows XP Professional существует учетная запись «Гость», поэтому если ее переименовать, посторонним людям будет немного труднее угадать новую комбинацию имени и пароля такого пользователя. По умолчанию: «Гость».

Аудит как средство безопасности

Аудит доступа глобальных системных объектов

Определяет, следует ли проводить аудит доступа к глобальным системным объектам. Если эта политика включена, то при создании системных объектов, таких как события, семафоры и устройства DOS, для каждого из них будет создаваться стандартная системная таблица управления доступом (SACL). Если при этом также включена политика Аудит доступа к объектам, доступ к таким системным объектам подлежит аудиту. По умолчанию: отключен.

Аудит прав на архивацию и восстановление

Определяет, следует ли проводить аудит применения всех пользовательских привилегий, в том числе права «Архивация и восстановление», если включена политика «Аудит использования привилегий». Если включить этот параметр при действующей политике

«Аудит использования привилегий», для каждого архивируемого или восстанавливаемого файла будет регистрироваться событие аудита. Если включить эту политику при действующей политике «Аудит использования привилегий», каждый факт применения прав пользователя будет заноситься в журнал безопасности. Если отключить эту политику, то использование прав «Архивация и восстановление» не будет контролироваться средствами аудита, даже при включенной политике «Аудит использования привилегий». По умолчанию: отключен.

Немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности

Определяет, должна ли система завершать работу, если она не может вести журнал событий безопасности. Если эта политика включена и в журнал безопасности по какой-либо причине не удается внести запись о событии аудита, система прекращает работу. Обычно это происходит, если журнал аудита безопасности заполнен и для него задан один из двух методов сохранения записей: «Не затирать события» или «Затирать старые события по дням». Если журнал безопасности заполнен и существующую запись нельзя затереть, а данный параметр безопасности при этом включен, появится сообщение о неустранимой ошибке:

STOP: C0000244 {Неудачная попытка аудита}

Неудачная попытка выполнения аудита безопасности.

Для восстановления нормального режима работы необходимо, чтобы администратор вошел в систему, создал архивную копию журнала (необязательное действие) и установил данный параметр требуемым образом. По умолчанию: отключен.

Устройства как средства безопасности

Разрешено форматировать и извлекать съемные носители

Определяет, каким пользователям разрешается форматировать съемные носители NTFS и извлекать их из устройств. Это право может быть предоставлено группам «Администраторы», «Администраторы и опытные пользователи» и «Администраторы и интерактивные пользователи». По умолчанию: «Администраторы».

Отладка программ

Определяет, какие пользователи могут запускать программу отладки для любого процесса.

Эта привилегия обеспечивает широкие возможности доступа к особо важным компонентам операционной системы. По умолчанию:

• администраторы;

• локальная система.

Запретить пользователям установку драйверов принтера

Чтобы локальный компьютер мог выполнять печать на сетевом принтере, необходимо установить на компьютере драйвер этого принтера. Данный параметр безопасности определяет, кому при добавлении сетевого принтера разрешается устанавливать драйвер принтера. Если параметр включен, то устанавливать драйвер при добавлении сетевого принтера разрешается только группе «Администраторы и опытные пользователи». Если параметр отключен, то устанавливать драйвер при добавлении сетевого принтера может любой пользователь. Этот параметр позволяет запретить пользователям, не имеющим достаточных полномочий, загружать и устанавливать драйвер принтера, взятый из ненадежного источника. По умолчанию: включен на серверах; отключен на рабочих станциях.

• Если администратор установил путь доверительных отношений для загрузки драйверов, данный параметр утрачивает силу. Если используются доверенные пути, подсистема печати будет пытаться загрузить драйвер именно по такому пути. В случае успешной загрузки драйвер устанавливается от имени любого пользователя. Если загрузка по доверенному пути завершается неудачно, драйвер не устанавливается и сетевой принтер не добавляется.

• Если данный параметр включен, но на локальном компьютере уже имеется драйвер для сетевого принтера, пользователи все равно могут добавлять сетевой принтер.

• Этот параметр не влияет на возможность добавления сетевого принтера.

Разрешить доступ к дисководам компакт-дисков только локальным пользователям

Определяет, доступен ли компакт-диск одновременно локальным и удаленным пользователям. Если эта политика включена, она разрешает доступ к компакт-дискам только пользователям, вошедшим в систему в интерактивном режиме. Если эта политика включена и в системе нет ни одного пользователя, вошедшего в интерактивном режиме, компакт-диск будет доступен по сети. По умолчанию: отключен.

Разрешить доступ к дисководам гибких дисков только локальным пользователям Определяет, доступны ли съемные носители на гибких дисках одновременно локальным и удаленным пользователям. Если эта политика включена, она разрешает доступ к гибким дискам только пользователям, вошедшим в систему в интерактивном режиме. Если эта политика включена и в системе нет ни одного пользователя, вошедшего в интерактивном режиме, гибкий диск будет доступен по сети. По умолчанию: отключен.

Поведение при установке неподписанного драйвера

Определяет, что происходит при попытке установить драйвер устройства (с помощью API-функции Setup), не имеющий сертификата WHQL (Windows Hardware Quality Lab). Возможны следующие варианты:

• успешная установка без предупреждения;

• предупреждать, но разрешать установку;

• не разрешать установку.

По умолчанию: Предупреждать, но разрешать установку.

Контроллер домена как средство безопасности

Разрешить операторам сервера задавать выполнение заданий по расписанию

Определяет, разрешено ли группе «Операторы сервера» планировать задания с помощью команды AT. По умолчанию: не определен (система считает, что параметр отключен).

Данный параметр безопасности действует только в отношении средства планирования по команде AT, но не планировщика заданий.

Запретить изменение пароля учетных записей компьютера

Определяет, принимает ли контроллер домена запросы на изменение пароля для учетной записи компьютера. Если этот параметр включен на всех контроллерах домена, то члены этого домена не смогут менять пароли учетных записей своих компьютеров, что делает их уязвимыми для внешних атак. По умолчанию: отключен.

Член домена как средство безопасности

Всегда требуется цифровая подпись или шифрование потока данных безопасного канала Определяет, можно ли установить безопасный канал связи с контроллером домена, который не способен подписывать или шифровать весь трафик этого канала. Если этот параметр включен, то безопасный канал нельзя будет устанавливать ни с одним контроллером домена, не обеспечивающим подписывание или шифрование всех данных канала. Если параметр отключен, безопасный канал установить можно, но уровень шифрования и подписывания придется согласовывать. По умолчанию: отключен.

Следует обратить особое внимание на следующие особенности: прежде чем включать этот параметр на рядовом сервере или рабочей станции домена, необходимо убедиться, что все контроллеры этого домена могут шифровать или подписывать все данные безопасного канала. Это означает, что все такие контроллеры домена должны работать под управлением Windows NT 4.0 с пакетом обновления 4 или более поздней версии. Прежде чем включать этот параметр на контроллере домена, необходимо убедиться, что все контроллеры всех доверенных доменов и доменов-доверителей могут шифровать или подписывать все данные безопасного канала. Это означает, что все такие контроллеры доменов должны работать под управлением Windows NT 4.0 с пакетом обновления 4 или более поздней версии. Если эта политика включена, автоматически включается политика «Член домена: цифровая подпись данных безопасного канала, когда это возможно».

Шифрование данных безопасного канала, когда это возможно

Обеспечивает шифрование всего трафика безопасного канала, если контроллер домена, с которым установлена связь, также может шифровать весь этот трафик. По умолчанию: включен. Следует обратить особое внимание на следующие особенности: не существует причин, по которым этот параметр следовало бы отключить. Это привело бы не только к нежелательному снижению уровня потенциальной конфиденциальности безопасного канала, но и уменьшило бы его пропускную способность, поскольку одновременное прохождение нескольких вызовов API-функций по этому безопасному каналу возможно только в случае, если его трафик подписан или зашифрован.

Цифровая подпись данных безопасного канала, когда это возможно

Обеспечивает подписывание всего трафика безопасного канала, если контроллер домена, с которым установлена связь, также может подписывать весь этот трафик. По умолчанию: включен. Следует обратить особое внимание на следующие особенности: не существует причин, по которым этот параметр следовало бы отключить. Это привело бы не только к нежелательному снижению уровня потенциальной целостности безопасного канала, но и уменьшило бы его пропускную способность, поскольку одновременное прохождение нескольких вызовов API-функций по этому безопасному каналу возможно только в случае, если его трафик подписан или зашифрован. Если политика «Член домена: шифрование данных безопасного канала», когда этот возможно включена, данный параметр также включается неявным образом.

Максимальный срок действия пароля учетных записей компьютера

Определяет максимальный допустимый срок службы пароля учетной записи компьютера. По умолчанию: 30 дней. Следует обратить внимание на то, что этот параметр применяется к компьютерам Windows 2000, но он недоступен при использовании средств диспетчера настройки безопасности на этих компьютерах.

Т ребует стойкого ключа сеанса (W indows 2000 или выше)

Определяет, можно ли установить безопасный канал связи с контроллером домена, который не способен шифровать трафик этого канала с помощью стойкого (128-разрядного) ключа.

Если этот параметр включен, то безопасный канал нельзя будет устанавливать ни с одним контроллером домена, не обеспечивающим шифрование всех данных канала стойким ключом. Если параметр отключен, допускаются 64-разрядные ключи сеансов. По умолчанию: отключен. При использовании этой политики обязательно следует учесть следующие обстоятельства: прежде чем включать этот параметр на рядовом сервере или рабочей станции домена, необходимо убедиться, что все контроллеры этого домена могут шифровать данные безопасного канала с использованием стойкого (128-разрядного) ключа. Это означает, что все такие контроллеры домена должны работать под управлением Windows 2000. Прежде чем включать этот параметр на контроллере домена, необходимо убедиться, что все контроллеры всех доверенных доменов и доменов-доверителей могут шифровать данные безопасного канала с использованием стойкого (128-разрядного) ключа. Это означает, что все такие контроллеры доменов должны работать под управлением Windows 2000.

Отключить изменение пароля учетных записей компьютера

Определяет, должен ли член домена периодически менять свой пароль учетной записи компьютера. Если этот параметр включен, член домена не будет пытаться сменить пароль учетной записи компьютера. Если параметр отключен, член домена будет пытаться сменить пароль учетной записи компьютера в соответствии с параметром «Член домена: максимальный срок действия пароля учетных записей компьютера», который по умолчанию задает смену пароля каждые 30 дней. По умолчанию: отключен.

• Данный параметр включать не следует. Пароли учетных записей компьютеров используются для установки безопасного канала связи между рядовыми членами и контроллерами домена, а также между контроллерами одного домена. По такому каналу передаются особо важные данные, необходимые для выполнения авторизации и проверки подлинности.

• Этот параметр не следует применять в конфигурациях с двумя операционными системами, использующими одну и ту же учетную запись компьютера. Если требуется обеспечить при загрузке возможность выбора из двух систем, присоединенных к одному домену, присвойте им разные имена компьютеров.

Интерактивный вход в систему: Не отображать последнего имени пользователя Определяет, отображается ли на экране входа в Windows имя последнего пользователя, вошедшего на данный компьютер. Если эта политика включена, то имя последнего пользователя, успешно вошедшего в систему, не отображается в диалоговом окне Вход в Windows. Если политика отключена, имя последнего пользователя должно отображаться на экране. По умолчанию: отключен.

Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL Определяет, должен ли пользователь, прежде чем войти в систему, нажать клавиши CTRL+ALT+DEL. Если эта политика включена на компьютере, пользователь не должен для входа в систему нажимать CTRL+ALT+DEL. В таком случае компьютер становится уязвимым для атак, основанных на перехвате паролей пользователей. Если потребовать нажатия клавиш CTRL+ALT+DEL перед входом в систему, то пользователям будет гарантирован надежно защищенный канал передачи паролей. Если эта политика отключена, то любой пользователь должен будет перед входом в Windows нажимать CTRL+ALT+DEL (если только он не входит в систему с помощью смарт-карты). По умолчанию: отключен на рабочих станциях и серверах домена; включен на автономных рабочих станциях.

Интерактивный вход в систему: текст сообщения для пользователей при входе в систему

Задает текстовое сообщение, показываемое пользователям при входе в систему. В такие сообщения часто включаются сведения юридического характера, например, предупреждения о последствиях неправомерного использования корпоративных данных или о возможном аудите выполняемых пользователями действий. По умолчанию: без сообщения. При использовании данной политики обязательно следует учитывать следующие особенности:

В Windows XP Professional включена поддержка настройки заставок для входа в систему, которые могут содержать свыше 512 символов, в том числе комбинации «возврат каретки/перевод строки». Однако клиенты Windows 2000 не могут интерпретировать и отображать текст сообщений, создаваемых на компьютерах Windows XP Professional. Необходимо воспользоваться компьютером Windows 2000 и создать политику сообщения при входе в систему, применяемую к компьютерам Windows 2000. Если такая политика была создана на компьютере Windows XP Professional и затем обнаружилось, что эти сообщения неправильно отображаются на компьютерах Windows 2000, следует выполнить следующие действия: отменить определение параметра; заново определить параметр на компьютере Windows 2000.

Если просто изменить на компьютере Windows 2000 политику сообщения для входа, определенную в Windows XP Professional, это не даст желаемого результата. Сначала нужно отменить определение параметра.

Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему

Разрешает задать заголовок, который должен будет отображаться в титульной строке окна, содержащего сообщение политики «Интерактивный вход в систему: текст сообщения для пользователей при входе в систему». По умолчанию: без сообщения.

Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)

Определяет, сколько раз пользователь может войти в домен Windows, используя учетные данные из кэша. Сведения из учетных записей домена, используемые при входе в систему, могут помещаться в локальный кэш, чтобы в случае, если при очередной попытке входа связаться с контроллером домена не удастся, пользователь все равно мог бы войти в систему.

Данный параметр задает число уникальных пользователей, для которых сведения, необходимые для входа в систему, заносятся в локальный кэш.

Если контроллер домена недоступен и учетные данные пользователя содержатся в кэше, пользователь получает следующее сообщение:

Не удалось подключиться к контроллеру вашего домена. Вход выполнен с использованием учетных данных, сохраненных в кэше. Изменения в профиле, внесенные с момента последнего входа в систему, могут быть недоступны.

Если контроллер домена недоступен и учетных данных пользователя в кэше нет, пользователь получает следующее сообщение:

Подключение к системе сейчас невозможно, так как домен <ИМЯ_ДОМЕНА> недоступен.

По умолчанию: 10. Если установить данный параметр равным 0, локальное кэширование сведений, используемых при входе в систему, отключается. Максимальное значение параметра равно 50.

Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее Определяет, за сколько дней до истечения срока действия пароля следует предупреждать об этом пользователей. Если пользователя заблаговременно предупредить, он успеет подготовить новый, достаточно надежный пароль. По умолчанию: 14 дней.

Интерактивный вход в систему: требовать проверки на контроллере домена для отмены блокировки

Для снятия блокировки с компьютера необходимо предоставить сведения, используемые при входе в систему. Для учетных записей домена данный параметр определяет, нужно ли для снятия блокировки обращаться на контроллер домена. Если этот параметр отключен, пользователь может разблокировать компьютер, используя учетные данные из кэша. Если параметр включен, контроллер домена должен проверить подлинность учетной записи домена, используемой для снятия блокировки с компьютера. По умолчанию: отключен. Этот параметр применяется к компьютерам Windows 2000, но он недоступен при использовании средств диспетчера настройки безопасности на этих компьютерах.

Интерактивный вход в систему: поведение при извлечении смарт-карты

Определяет, что происходит при извлечении смарт-карты пользователя, вошедшего в систему, из устройства чтения смарт-карт. Возможны следующие варианты: нет действия; блокировка рабочей станции; принудительный выход из системы.

Если в диалоговом окне» Свойства данной политики» выбран вариант «Блокировка рабочей станции», станция при извлечении смарт-карты будет заблокирована; таким образом, пользователь может уйти с рабочего места, взяв с собой смарт-карту, – его сеанс доступа останется под защитой. Если в окне «Свойства этой политики» выбран вариант «Принудительный выход из системы», при извлечении смарт-карты произойдет автоматическое завершение сеанса работы пользователя. По умолчанию: никаких действий.

Политики безопасности типа «Клиент сети Microsoft»

К лиент сети Microsoft: использовать цифровую подпись (всегда)

Определяет, всегда ли компьютер должен использовать цифровую подпись в клиентских сеансах связи. Протокол проверки подлинности SMB (Server Message Block) в системах Windows 2000 Server, Windows 2000 Professional и Windows XP Professional поддерживает взаимную проверку подлинности, позволяющую отражать атаки «третьей стороны» (man-in-the-middle), и проверку подлинности сообщений, обеспечивающую защиту от атак через активные сообщения. Средства подписывания SMB обеспечивают такую проверку, помещая в каждый пакет SMB цифровую подпись, которая затем проверяется и клиентом, и сервером.

Чтобы использовать подписи SMB, необходимо разрешить или потребовать добавление подписей как на клиентском компьютере SMB, так и на сервере SMB. Если подписи SMB разрешены на сервере, то клиенты, на которых они также разрешены, будут использовать этот протокол подписывания пакетов во всех последующих сеансах. Если подписи SMB являются обязательными на сервере, клиент сможет установить сеанс только при условии, что на нем подписи SMB по крайней мере разрешены. Если данная политика включена, то клиент SMB обязан будет подписывать пакеты. Если политика отключена, от клиента SMB не требуется подписывать пакеты. По умолчанию: отключен. Использование подписей SMB неблагоприятно отражается на производительности системы. Этот процесс не требует дополнительной полосы пропускания сети, но использует больше ресурсов процессора как на стороне клиента, так и на стороне сервера.

К лиент сети Microsoft: использовать цифровую подпись (с согласия сервера)

Если эта политика включена, клиент SMB (Server Message Block) должен будет подписывать пакеты SMB при взаимодействии с сервером SMB, на котором подписывание пакетов SMB разрешено или является обязательным. По умолчанию: включен.

Клиент сети Microsoft: посылать незашифрованный пароль сторонним SMB-серверам

Если эта политика включена, перенаправителю SMB (Server Message Block) разрешается открытым текстом передавать пароли серверам SMB сторонних разработчиков, не поддерживающим шифрование паролей во время проверки подлинности. По умолчанию:

отключен.

Политики безопасности типа «Сервер сети Microsoft»

С ервер сети M icrosoft: длительность простоя перед отключением сеанса Определяет продолжительность непрерывного интервала простоя сеанса протокола SMB (Server Message Block), который должен пройти, прежде чем сеанс будет приостановлен. С помощью этой политики администраторы могут определять, когда компьютер должен остановить сеанс SMB, на котором не наблюдается никакой активности. Если клиент возобновит работу, сеанс автоматически восстановится.

Значение 0 этого параметра означает, что простаивающий сеанс должен быть отключен сразу, насколько это возможно. Максимальное значение равно 99 999 (208 дней); такое значение фактически отключает политику. По умолчанию: 15 минут для серверов; не определен для рабочих станций.

С ервер сети M icrosoft: использовать цифровую подпись (всегда)

Эта политика, будучи включена, требует, чтобы сервер SMB (Server Message Block) подписывал пакеты SMB. По умолчанию: отключен.

Сервер сети Microsoft: использовать цифровую подпись (с согласия клиента)

Эта политика, будучи включена, требует, чтобы сервер SMB (Server Message Block) подписывал пакеты SMB. По умолчанию: отключен на рабочих станциях; включен на серверах.

Сервер сети Microsoft: отключать клиентов по истечении разрешенных часов входа

Определяет, следует ли отключать пользователей, работающих на локальном компьютере после установленного для них допустимого срока. Этот параметр влияет на работу компонента SMB (Server Message Block). Если эта политика включена, то клиентские сеансы с участием службы SMB будут принудительно прекращаться по истечении периода времени, отведенного клиенту для работы в систему. Если эта политика отключена, установленный сеанс клиента может продолжаться по истечении периода, разрешенного для клиента. По умолчанию: не определен.

Политики сетевого доступа как средства безопасности

Доступ к сети: Разрешить трансляцию анонимного SID в имя

Определяет, может ли анонимный пользователь запрашивать атрибуты идентификатора безопасности (SID) другого пользователя. Если эта политика включена, пользователь, зная идентификатор безопасности администратора, может связаться с компьютером, на котором действует данная политика, и получить имя администратора по этому идентификатору. По умолчанию: отключен на рабочих станциях; включен на серверах. Учетные записи доменов контролируются только одной политикой учетных записей. Она должна быть определена в стандартной политике домена и реализовываться контроллерами этого домена. Контроллер домена всегда получает политику учетных записей из объекта групповой политики «Стандартная политика домена», даже если к подразделению, в котором этот контроллер домена содержится, применяется еще и другая политика учетных записей. Присоединяемые к домену рабочие станции и серверы (т. е. рядовые компьютеры) по умолчанию используют ту же стандартную политику и для своих локальных учетных записей. Однако политики локальных учетных записей рядовых компьютеров могут отличаться от политики учетных записей домена, если они принадлежат подразделению, в котором определена своя политика учетных записей. Параметры Kerberos не применяются к рядовым компьютерам.

Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями

Определяет, какие дополнительные разрешения будут предоставлены анонимным подключениям к компьютеру. Windows дает возможность анонимным пользователям выполнять определенные операции, например, проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двустороннее отношение доверия. Анонимный пользователь по умолчанию имеет те же права доступа к конкретному ресурсу, которые предоставляются группе «Все» для этого ресурса. Этот параметр безопасности позволяет наложить на анонимное подключение следующие дополнительные ограничения: отсутствуют – оставить разрешения по умолчанию; не разрешать перечисление учетных записей SAM – этот вариант заменяет в разрешениях на доступ к ресурсам группу «Все» группой «Прошедшие проверку». По умолчанию: включен на рабочей станции; отключен на сервере.

Очень важно обратить внимание на то, что эта политика не действует на контроллерах домена.

Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями

Определяет, разрешается ли анонимным пользователям проводить перепись учетных записей

SAM и общих ресурсов. Windows дает возможность анонимным пользователям выполнять определенные операции, например, проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двустороннее отношение доверия. Если нужно запретить анонимным пользователям перепись учетных записей SAM и общих ресурсов, включите эту политику. По умолчанию: отключен.

Сетевой доступ: не разрешать средству сохранения имен пользователей и паролей сохранять пароли или учетные данные для проверки в домене

Определяет, должно ли средство сохранения имен пользователей и паролей сохранять пароли или учетные данные, чтобы позднее использовать их при проверке подлинности пользователя домена. Если этот параметр включен, средству сохранения имен пользователей и паролей запрещается сохранять пароли и учетные данные. По умолчанию: отключен.

Сетевой доступ: разрешить применение разрешений для всех к анонимным пользователям Определяет, какие дополнительные разрешения предоставляются при анонимном подключении к компьютеру. Windows дает возможность анонимным пользователям выполнять определенные операции, например, проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двустороннее отношение доверия. По умолчанию из маркера, создаваемого для анонимных подключений, удаляется идентификатор безопасности «Все». Поэтому разрешения, предоставленные группе «Все», не применяются к анонимным пользователям. Если данный параметр установлен, анонимный пользователь получит доступ только к тем ресурсам, для которых ему явным образом предоставлено разрешение. Если эта политика включена, при создании описателя для анонимного подключения в него добавляется идентификатор безопасности «Все». В таком случае анонимные пользователи будут иметь доступ ко всем ресурсам, на которые группе «Все» предоставлены разрешения. По умолчанию: отключен.

Сетевой доступ: разрешать анонимный доступ к именованным каналам

Определяет, каким сеансам связи (каналам) будут назначаться атрибуты и разрешения, допускающие анонимный доступ. По умолчанию: не определен.

Сетевой доступ: пути в реестре доступны через удаленное подключение

Определяет, будут ли пути в реестре доступны для обращения к разделу winreg с целью получения разрешений на доступ к этим путям. По умолчанию: не определен.

Сетевой доступ: разрешать анонимный доступ к общим ресурсам

Определяет, какие сетевые ресурсы доступны анонимным пользователям. По умолчанию: не определен.

Сетевой доступ: модель общего доступа и безопасности для локальных учетных записей

Определяет метод проверки подлинности при входе в сеть с использованием локальных учетных записей. Если этот параметр имеет значение Классический, то при проверке подлинности локальной учетной записи используются предъявляемые при входе в сеть учетные данные. Если параметр имеет значение Только гости, то при входе в сеть с использованием локальной учетной записи последней автоматически сопоставляется гостевая учетная запись. Классическая модель позволяет с высокой степенью точности контролировать доступ к ресурсам. С ее помощью можно дифференцировать типы доступа к одному и тому же ресурсу для различных пользователей. В гостевой модели все пользователи считаются равноправными. Все они проверяются как пользователи группы «Гость» и обладают одинаковыми разрешениями на доступ к каждому конкретному ресурсу – либо «Только чтение», либо «Изменение».

Итак, существуют две модели доступа: «Классическая» – подлинность локальных пользователей проверяется по их учетным данным; «Только гости» – локальные пользователи проверяются как гости.

По умолчанию: «Только гости» в Windows XP Professional.

Действие данного параметра не распространяется на вход в сеть с использованием учетных записей домена. Действие параметра не распространяется на интерактивный вход в сеть,

выполняемый в удаленном режиме с использованием таких служб, как Telnet или службы терминалов. Если компьютер не присоединен к домену, данный параметр также определяет внешний вид вкладок Доступ и Безопасность проводника Windows: они настраиваются в соответствии с выбранной моделью доступа и безопасности.

Особого внимания заслуживают следующие особенности данной политики.

• В случае гостевой модели любой пользователь, имеющий доступ к данному компьютеру через сеть (в том числе анонимный пользователь Интернета), получит доступ и к общим ресурсам этого компьютера. Компьютер следует защитить от несанкционированного доступа с помощью брандмауэра подключения к Интернету (ICF) или аналогичного средства.

Точно так же в случае классической модели локальные учетные записи должны быть защищены паролем; в противном случае любой пользователь сможет с помощью такой учетной записи получить доступ к общим системным ресурсам.

• Данная политика неприменима на компьютерах Windows 2000.

Политики сетевой безопасности

С етевая безопасность: не хранить хеш-значений LAN M anager при следующей смене пароля Определяет, сможет ли протокол LAN Manager при очередной смене пароля сохранить хеш-коды для нового пароля. По умолчанию: отключен.

Сетевая безопасность: принудительный вывод из сеанса по истечении допустимых часов работы

Определяет, следует ли отключать пользователей, работающих на локальном компьютере после установленного для них допустимого срока. Этот параметр влияет на работу компонента SMB (Server Message Block). Если эта политика включена, то клиентские сеансы с участием сервера SMB будут принудительно прекращаться по истечении периода времени, отведенного клиенту для входа в систему. Если эта политика отключена, установленный сеанс клиента может продолжаться по истечении периода времени, разрешенного для клиента. По умолчанию: включен.

Учетные записи доменов контролируются только одной политикой учетных записей. Она должна быть определена в стандартной политике домена и реализовываться контроллерами этого домена. Контроллер домена всегда получает политику учетных записей из объекта групповой политики «Стандартная политика домена», даже если к подразделению, в котором этот контроллер домена содержится, применяется еще и другая политика учетных записей. Присоединяемые к домену рабочие станции и серверы (т. е. рядовые компьютеры) по умолчанию используют ту же стандартную политику и для своих локальных учетных записей. Однако политики локальных учетных записей рядовых компьютеров могут отличаться от политики учетных записей домена, если они принадлежат подразделению, в котором определена своя политика учетных записей. Параметры Kerberos не применяются к рядовым компьютерам.

Сетевая безопасность: уровень проверки подлинности LAN Manager

Определяет, какие протоколы проверки подлинности типа «запрос/ответ» должны использоваться при входе в сеть. От выбранного варианта зависит уровень протокола проверки подлинности, используемого клиентами, согласуемый уровень безопасности сеанса, а также уровень проверки подлинности, принимаемый серверами.

•  Отправлять LM и NTLM ответы: клиенты используют протоколы LM и NTLM для проверки подлинности и никогда не используют протокол NTLMv2 для обеспечения безопасности сеанса; контроллеры домена допускают проверку подлинности по протоколам LM, NTLM и NTLMv2.

•  Отправлять LM и NTLM – использовать сеансовую безопасность NTLMv2 при согласовании: клиенты используют протоколы LM и NTLM для проверки подлинности и протокол NTLMv2 для обеспечения безопасности сеанса, если сервер поддерживает безопасность сеанса по протоколу NTLMv2; контроллеры домена допускают проверку подлинности по протоколам LM, NTLM и NTLMv2.

•  Отправлять только NTLM ответ: клиенты используют протокол NTLM для проверки подлинности и протокол NTLMv2 для обеспечения безопасности сеанса, если сервер поддерживает безопасность сеанса по протоколу NTLMv2; контроллеры домена допускают проверку подлинности по протоколам LM, NTLM и NTLMv2.

•  Отправлять только NTLMv2 ответ: клиенты используют только протокол NTLMv2 для проверки подлинности, а также для обеспечения безопасности сеанса, если сервер поддерживает безопасность сеанса по протоколу NTLMv2; контроллеры домена допускают проверку подлинности по протоколам LM, NTLM и NTLMv2.

•  Отправлять только NTLMv2 ответ, отказывать LM: клиенты используют только протокол NTLMv2 для проверки подлинности, а также для обеспечения безопасности сеанса, если сервер поддерживает безопасность сеанса по протоколу NTLMv2; контроллеры домена допускают проверку подлинности только по протоколам NTLM и NTLMv2, отвергая LM.

•  Отправлять только NTLMv2 ответ, отказывать LM и NTLM: клиенты используют только протокол NTLMv2 для проверки подлинности, а также для обеспечения безопасности сеанса, если сервер поддерживает безопасность сеанса по протоколу NTLMv2; контроллеры домена допускают проверку подлинности только по протоколу NTLMv2, отвергая LM и NTLM.

По умолчанию: отправлять LM и NTLM ответы на сервере; не определен на рабочих станциях.

Данный параметр может влиять на возможности сетевого взаимодействия компьютеров Windows 2000 Server, Windows 2000 Professional и Windows XP Professional с клиентами Windows NT 4.0 и более ранних версий. Например, на момент составления данной справки компьютеры с системой Windows NT 4.0, использовавшейся до выпуска пакета обновления SP4, не поддерживают NTLMv2. Системы Windows 95 и Windows 98 не поддерживают NTLM.

Сетевая безопасность: минимальная сеансовая безопасность для клиентов на базе NTLM SSP (включая безопасный RPC)

Определяет минимальные стандарты безопасности для сеансов связи между приложениями для клиента. Windows NT поддерживает два варианта проверки подлинности по схеме «запрос/ответ» при входе в сеть: LAN Manager (LM); NTLM версии 1. Протокол LM обеспечивает совместимость с уже действующими платформами клиентов и серверов.

Протокол NTLM обеспечивает повышенный уровень безопасности для подключений между клиентами и серверами. По умолчанию: не определен.

Этот параметр применяется ко всем компьютерам Windows 2000, но не доступен для просмотра на этих компьютерах.

Сетевая безопасность: минимальная сеансовая безопасность для серверов на базе NTLM SSP (включая безопасный RPC)

Определяет минимальные стандарты безопасности для сеансов связи между приложениями на сервере. Windows NT поддерживает два варианта проверки подлинности по схеме «запрос/ ответ» при входе в сеть: LAN Manager (LM); NTLM версии 1. Протокол LM обеспечивает совместимость с уже действующими платформами клиентов и серверов. Протокол NTLM обеспечивает повышенный уровень безопасности для подключений между клиентами и серверами. По умолчанию: не определен.

Этот параметр применяется ко всем компьютерам Windows 2000, но не доступен для просмотра на этих компьютерах.

Политики консоли восстановления как средства безопасности

Консоль восстановления: разрешить автоматический вход администратора Определяет, нужно ли вводить пароль учетной записи администратора для получения доступа к системе. Если эта политика включена, консоль восстановления не будет требовать пароль от администратора – он автоматически войдет в систему. По умолчанию: отключен.

Консоль восстановления: разрешить копирование дискет и доступ ко всем дискам и папкам

При включении данного параметра становится доступной команда консоли восстановления SET, которая позволяет настраивать следующие переменные среды консоли восстановления.

•  AllowWildCards: включение поддержки подстановочных знаков для некоторых команд (таких, как DEL).

•  AllowAllPaths: разрешение доступа ко всем файлам и папкам на данном компьютере.

•  AllowRemovableMedia: разрешение копирования файлов на съемные носители, такие как гибкий диск.

•  NoCopyPrompt: отмена запроса подтверждения при записи поверх существующего файла.

По умолчанию: отключен.

Политики безопасности в отношении процедуры завершения работы

Завершение работы: разрешить завершение работы системы без выполнения входа в систему Определяет, можно ли завершать работу компьютера, не входя в Windows. Если эта политика включена, на экране входа в Windows становится доступна команда Завершение работы. Если эта политика отключена, команда завершения работы на экране входа в Windows не отображается. В этом случае пользователь должен будет для завершения работы системы успешно войти на компьютер и получить право Завершение работы системы. По умолчанию: включен на рабочих станциях; отключен на серверах.

Завершение работы: очистка страничного файла виртуальной памяти

Определяет, следует ли очищать файл подкачки виртуальной памяти при завершении работы системы. Виртуальная память использует системный файл подкачки для вытеснения неиспользуемых страниц памяти на диск. На работающем компьютере этот файл подкачки открывается исключительно операционной системой и надежно защищен. Однако в конфигурациях, допускающих загрузку нескольких операционных систем, может возникнуть необходимость очищать файл подкачки при завершении работы системы. Иначе какие-либо секретные данные из памяти процесса, которые могли бы остаться в файле подкачки, окажутся доступны постороннему пользователю, если он непосредственно откроет файл подкачки. Когда эта политика включена, файл подкачки очищается при каждом завершении работы системы. Кроме того если данный параметр безопасности включен, то на переносном компьютере при выключении спящего режима будет заполняться нулями файл hiberfil.sys. По умолчанию: отключен.

Системная криптография: использовать FIPS-совместимые алгоритмы для шифрования Определяет, будет ли поставщик службы безопасности TLS/SSL поддерживать только шифровальный набор TLS_RSA_WITH_3DES_EDE_CBC_SHA. Это, по сути, означает, что поставщик поддерживает только протокол TLS в качестве клиента и в качестве сервера (если такая конфигурация имеет место). При этом для шифрования трафика TLS используется только алгоритм Triple DES, для обмена ключами TLS и проверки их подлинности – только алгоритм открытых ключей RSA, а для хеширования TLS – только алгоритм хеширования SHA-1. В службе EFS (Encrypting File System – шифрованная файловая система) для шифрования содержимого файлов Windows NTFS применяется только алгоритм шифрования Triple DES. По умолчанию служба EFS для шифрования файлов использует алгоритм DESX. По умолчанию: отключен.

Системные объекты: владелец по умолчанию для объектов, созданных членами группы администраторов

Определяет, кто по умолчанию является владельцем создаваемых системных объектов – группа «Администраторы» или создатель объекта. По умолчанию: «Администраторы» (на серверах).

Системные объекты как элементы и средства политик безопасности

С истемные объекты: учитывать регистр для подсистем, отличных от Windows Определяет, распространяется ли требование независимости от регистра символов на все подсистемы. Подсистема Win32 не требует учитывать регистр символов. Однако в других подсистемах, таких как POSIX, ядро поддерживает различение регистров символов. Если этот параметр включен, то все объекты каталога, символические ссылки и объекты ввода-вывода, включая файлы, используются без учета регистра символов. При отключении этого параметра подсистема Win32 не сможет перейти в режим учета регистра символов. По умолчанию: включен.

Системные объекты: усилить разрешения по умолчанию для внутренних системных объектов (например, символических ссылок)

Определяет уровень строгости стандартной избирательной таблицы управления доступом (DACL) для объектов. Служба Active Directory ведет глобальный список общих системных ресурсов, таких как имена устройств DOS и семафоры. Благодаря этому можно отыскивать нужные объекты и предоставлять их в общий доступ различным процессам. При создании объекта создается стандартная таблица DACL, соответствующая данному типу объектов; в ней указано, кто имеет доступ к объекту и какие предоставляются разрешения. Если данная политика включена, стандартная таблица DACL становится более строгой: пользователям, не являющимся администраторами, разрешается читать содержимое общих объектов, но запрещается изменять общие объекты, созданные другими пользователями. По умолчанию: включен.

Дисковые квоты отслеживают и контролируют использование места на диске для томов NTFS. Администраторы могут настроить Windows таким образом, чтобы:

• запрещать использование дискового пространства сверх указанного предела и регистрировать случаи превышения этого предела пользователями;

• регистрировать события превышения пользователями указанного порога предупреждения, т. е. отметки, при прохождении которой пользователь приближается к заданному для него пределу использования дискового пространства.

При включении дисковых квот можно задать два значения: предел дисковой квоты и порог предупреждения дисковой квоты. Например, можно задать для пользователя дисковую квоту в 500 мегабайт (МБ) и порог предупреждения дисковой квоты в 450 МБ. В этом случае пользователь сможет хранить на соответствующем томе не более 500 MБ файлов. Систему дисковых квот можно настроить таким образом, чтобы при сохранении пользователем на томе более 450 МБ файлов создавалась запись о событии системы. Для управления квотами на томе необходимо входить в состав группы «Администраторы».

Можно разрешить пользователям превышать заданные квоты. Включение квот без ограничения использования дискового пространства полезно в случаях, когда не требуется запрещать пользователям доступ к тому, но требуется отслеживать использование дискового пространства отдельными пользователями. Также можно включить или отключить режим регистрации событий превышения пользователями заданных для них квот или порогов предупреждения.

Отслеживание использования тома всеми пользователями начинается автоматически с момента включения дисковых квот для тома.

Квоты можно включать на локальных томах, сетевых томах и съемных дисках с файловой системой NTFS. Кроме того для сетевых томов должен быть предоставлен общий доступ к корневому каталогу тома, а съемные диски должны быть предоставлены для общего доступа.

Тома, отформатированные с использованием версии NTFS, использовавшейся в Windows NT 4.0, автоматически обновляются программой установки Windows.

Нельзя использовать сжатие файлов для предотвращения превышения пользователями заданных квот, поскольку сжатые файлы отслеживаются по их несжатому размеру.

Например, если файл размером 50 МБ сжать до 40 МБ, Windows сопоставит с квотой его исходный размер, 50 МБ.

При расчете использования тома сжатыми папками Windows, наоборот, использует размер папок после сжатия. Например, если папку размером 500 МБ сжать до 300 МБ, Windows сопоставит с квотой 300 МБ.

Дисковые квоты применяются к томам и позволяют задавать жесткие и нежесткие условия хранения данных для каждого пользователя.

Имеется возможность создавать сценарии, которые будут использовать команду fsutil quota для задания пределов квот при каждом добавлении нового пользователя или для автоматического отслеживания пределов квот, составления из них отчета и для автоматической отправки их по электронной почте администратору системы.

Чтобы запретить выделение места на диске для пользователей, превысивших заданный предел, следует выполнить следующие действия. Открыть папку «Мой компьютер» и кликнуть правой кнопкой значок тома, для которого требуется запретить использование места на диске, а затем выбрать команду «Свойства». В диалоговом окне Свойства надо открыть вкладку «Квота». На вкладке «Квота» надо установить флажок «Включить управление квотами», выставить флажок «Не выделять место на диске при превышении квоты» и нажать кнопку OK.

Когда система дисковых квот запрещает выделять место на диске для пользователей тома, превысивших заданную предельную квоту, пользователи не могут записывать на том дополнительные данные без предварительного удаления или перемещения с тома части существующих файлов. Ответ системы пользователю, превышающему предельную квоту, зависит от каждой отдельной программы. Программа при этом действует так же, как при переполнении диска.

Задание значения дисковых квот для использования по умолчанию

С помощью интерфейса Windows

Для того чтобы задать дисковые квоты с помощью интерфейса Windows следует открыть системную папку «Мой компьютер» и кликнуть правой кнопкой значок тома, для которого требуется задать значения квоты по умолчанию, а затем выбрать команду «Свойства». В диалоговом окне «Свойства» надо открыть вкладку «Квота» и установить флажок «Включить управление квотами» на вкладке «Квота», после чего выбрать параметр «Выделять на диске не более». Будут активизированы поля для задания предельной квоты и порога предупреждения. Затем надо ввести числовые значения в эти поля, выбрать нужные единицы измерения из раскрывающегося списка и нажать кнопку OK. Можно использовать дробные значения (такие как 20,5 МБ).

Если том не отформатирован для файловой системы NTFS или если пользователь не входит в группу Администраторы, вкладка «Квота» не отображается в диалоговом окне тома «Свойства» – это значит, что квотировать можно тома NTFS.

Хранить данные на томе, для которого включены дисковые квоты, могут любые пользователи, имеющие доступ к этому тому для записи и не превысившие заданную квоту.

При первой записи данных на том, для которого включены квоты, система дисковых квот назначает пользователю предельную квоту и порог предупреждения, заданные по умолчанию.

С помощью командной строки

Для того чтобы задать значения дисковых квот с помощью командной строки следует открыть окно «Командная строка» и ввести: fsutil quota modify [буква_тома] [порог] [предел]

[имя_пользователя]

Для задания значений квоты по умолчанию том должен быть отформатирован в файловой системе NTFS. Чтобы просмотреть полный синтаксис этой команды, введите в командной строке: fsutil /? Работа с командой fsutil: quota описана в следующем разделе.

Эта команда управляет дисковыми квотами на томах NTFS, чтобы обеспечить более точный контроль за хранением файлов в сети.

Синтаксис

fsutil quota [ disable ] имя_тома fsutil quota [ enforce ] имя_тома fsutil quota [ modify ] имя_тома порог предел [ имя_пользователя ]

fsutil quota [ query ] имя_тома fsutil quota [ track ] имя_тома fsutil quota [ violations ]

Параметры

disable

Отключает отслеживание и задание квот на указанном томе.

enforce

Задает использование квот на указанном томе.

modify

Вносит изменения в существующую дисковую квоту или создает новую квоту.

query

Перечисляет все существующие дисковые квоты.

track

Отслеживает использование диска на указанном томе.

violations

Производит поиск в системе и в журналах приложений и выводит сообщение, что были выявлены нарушения квот или что пользователем достигнут порог или предел квоты.

имя_тома

Указывает букву для тома (с последующим двоеточием).

порог

Предельный размер, по достижении которого выдается предупреждение.

предел

Максимальный допустимый размер занятого места на диске.

имя_пользователя

Задает имя домена или пользователя.

Поскольку дисковые квоты наблюдают за использованием тома отдельными пользователями, использование места на диске каждым из пользователей не влияет на дисковые квоты для других пользователей того же тома. Например, если для тома F задана квота в 500 МБ и пользователь сохранит на нем 500 МБ файлов, этот пользователь не сможет записать дополнительные данные на том F без предварительного удаления или перемещения с этого тома существующих данных. Однако другие пользователи смогут продолжать сохранять на этом томе до 500 МБ каждый при наличии свободного дискового пространства.

Дисковые квоты основаны на владении файлами и не зависят от расположения папки с файлами пользователя на томе. Например, если пользователи переместят свои файлы из одной папки тома в другую папку того же тома, объем дискового пространства, используемого этими пользователями на томе, не изменится. Однако, если пользователи скопируют свои файлы в другую папку того же тома, объем используемого дискового пространства удвоится. При смене владельца файла, имеющего размер 200 КБ, объем дискового пространства, используемого его бывшим владельцем, уменьшится на 200 КБ, а объем дискового пространства, используемого новым владельцем файла, увеличится на 200 КБ.

Дисковые квоты

Не выделять место на диске при превышении квоты

Пользователи, превышающие предельную квоту, будут получать сообщение Windows о недостатке места на диске и не смогут записывать дополнительные данные на том без предварительного удаления или перемещения с этого тома части существующих файлов.

В отдельных приложениях предусмотрен особый порядок действий в данной ситуации. Ситуация воспринимается приложением как переполнение диска. Если снять данный флажок, пользователи не смогут превышать предельную квоту. Включение квот без ограничения использования дискового пространства полезно в случаях, когда не требуется запрещать пользователям доступ к тому, но требуется отслеживать использование дискового пространства отдельными пользователями. Также можно включить или отключить режим регистрации событий превышения пользователями заданных для них квот или порогов предупреждения.

Выделять на диске не более

Укажите объем дискового пространства, выделяемого новым пользователям тома, а также порог, по достижении которого в системный журнал будет записано событие.

Администраторы могут просматривать эти события в окне просмотра событий. Можно использовать дробные значения (такие как 20,5). Выберите единицы измерения для предельной квоты и порога предупреждения из раскрывающегося списка (например, КБ, МБ, ГБ и т. д.).

Регистрация превышения квоты пользователем

Если квоты включены, при превышении пользователями заданной предельной квоты в системный журнал на локальном компьютере заносится событие. Администраторы могут просматривать эти события в окне просмотра событий, отбирая их по типу.

По умолчанию события квоты записываются в системный журнал на локальном компьютере каждый час. Интервал записи событий квоты в системный журнал на локальном компьютере можно изменить с помощью команды fsutil behavior .

Регистрация превышения порога предупреждения

Если квоты включены, при превышении пользователями заданного порога предупреждения в системный журнал на локальном компьютере заносится событие. Администраторы могут просматривать эти события в окне просмотра событий, отбирая их по типу.

По умолчанию события квоты записываются в системный журнал на локальном компьютере каждый час. Интервал записи событий квоты в системный журнал на локальном компьютере можно изменить с помощью команды fsutil behavior .

Программа просмотра событий выстраивает хронологический список сведений о том, кто из пользователей и когда превысил порог предупреждения дисковой квоты и предельную дисковую квоту. Однако эта программа не позволяет узнать, кто из пользователей в настоящий момент превышает порог предупреждения. Для поиска этих сведений надо нажать кнопку «Записи квот».

Дисковые квоты применяются только к томам и не зависят ни от структуры папок на томах, ни от схемы размещения томов на физических дисках.

Если том содержит несколько папок, то квоты применяются ко всем папкам этого тома одинаково. Например, если \\Production\QA и \\Production\Public – общие папки на томе F, то файлы, хранимые пользователями в этих папках, не могут занимать на диске больше места, чем предельная квота, заданная для тома F.

Если один физический диск содержит несколько томов и квоты применяются к каждому тому, то каждая квота применяется только к указанному тому. Например, если два различных тома предоставлены для общего доступа как том F и том G, то квоты для каждого из этих томов отслеживаются независимо, даже если они расположены на одном физическом диске.

Если один том занимает несколько физических дисков, то ко всему составному тому применяется одна квота. Например, если том F имеет предельную квоту в 500 мегабайт (МБ), то пользователи не смогут сохранить на томе F более 500 МБ, независимо от того, расположен ли том F на одном физическом диске или занимает целых три.

Оснастка «Управление дисками» – это служебная программа управления жесткими дисками и содержащимися на них томами или разделами. С помощью этой программы можно инициализировать новые диски, создавать тома, форматировать тома для использования файловых систем FAT, FAT32 или NTFS, а также создавать отказоустойчивые дисковые системы. Оснастка «Управление дисками» позволяет выполнять задачи по работе с дисками без перезагрузки компьютера и прерывания сеансов пользователей; большинство изменений вступает в силу незамедлительно.

Оснастка «Управление дисками», заменившая служебную программу «Администратор дисков», которая использовалась в Windows NT 4.0, предлагает следующие возможности.

Упрощенные задачи и интуитивный интерфейс пользователя. Оснастка «Управление дисками» является простой в использовании. Контекстные меню, открывающиеся щелчком правой кнопки мыши, отображают задачи, которые можно выполнить над выбранным объектом. Мастера помогают поэтапно выполнять задачи по созданию разделов или томов, а также выполнять инициализацию или преобразование дисков.

Хранение базовых и динамических дисков. Базовые диски содержат базовые тома, такие, как основные разделы, дополнительные разделы и логические диски. Базовые диски используются на переносных компьютерах или в ситуациях, когда требуется установить несколько операционных систем на разных разделах одного диска.

Динамические диски содержат динамические тома, с помощью которых доступны некоторые возможности, недоступные при работе с базовыми дисками, такие, как создание отказоустойчивых томов. Можно расширять динамические тома или создавать зеркальные динамические тома, а также добавлять новые динамические диски без перезагрузки компьютера.

Управление локальными и удаленными дисками. При помощи оснастки «Управление дисками» можно управлять удаленными компьютерами, на которых запущена операционная система Windows 2000 или Windows XP, на которых вы являетесь участником группы

«Администраторы».

Подключенные диски. Программу «Управление дисками» можно использовать для подключения или присоединения локального диска к любой пустой папке локального тома NTFS. Подключенные диски облегчают доступ к данным и обеспечивают гибкое управление запоминающими устройствами в зависимости от состояния рабочей среды и загруженности системы. Ограничение числа дисков двадцатью шестью из-за количества букв латинского алфавита не распространяется на подключенные диски. Таким образом, подключенные диски можно использовать, если на компьютере необходимо иметь более 26 дисков.

Служба диспетчера логических дисков: служба диспетчера логических дисков использует группы дисков для управления информацией о текущем состоянии дисков на компьютере.

Поддержка MBR-дисков и GPT-дисков. Оснасткой «Управление дисками» поддерживаются диски с основной загрузочной записью на компьютерах с процессором типа x86 и MBR-диски и диски в таблицах разделов GUID (GPT) – на компьютерах с процессором Itanium.

Управление дисками с командной строки. Программа DiskPart, позволяющая выполнять задачи работы с дисками с командной строки, является альтернативой использованию оснастки «Управление дисками». С помощью DiskPart можно создавать сценарии для автоматизации ряда задач, таких, как создание томов или преобразование дисков в динамические.

Динамический диск – физический диск, доступный только для Windows 2000 и Windows XP. Динамические диски предоставляют возможности, не поддерживаемые базовыми дисками, такие как поддержка томов, занимающих несколько дисков. Динамические диски используют скрытую базу данных для отслеживания сведений о динамических томах на диске и других динамических дисках компьютера. Для преобразования базовых дисков в динамические используется оснастка «Управление дисками» или служебная программа командной строки DiskPart. При преобразовании базового диска в динамический все существующие базовые тома становятся динамическими.

Базовый диск – физический диск, к которому может обращаться MS-DOS и все операционные системы семейства Windows. Базовые диски могут содержать до четырех основных разделов (до трех при наличии дополнительного раздела с несколькими логическими дисками). При необходимости создания разделов, занимающих несколько дисков, необходимо сначала преобразовать базовый диск в динамический с помощью средства «Управление дисками» или служебной программы командной строки Diskpart.exe.

Отказоустойчивость – способность аппаратных или программных компонентов компьютера обеспечивать целостность данных при сбоях в работе оборудования. Средства обеспечения отказоустойчивости предусмотрены во многих серверных операционных системах. К ним относятся зеркальные тома, тома RAID-5 и кластеры серверов.

Динамические диски предоставляют возможности, недоступные для базовых дисков, например возможность создания томов, расположенных на нескольких дисках (составных и чередующихся), и отказоустойчивых томов (зеркальных и RAID-5). Все тома на динамических дисках называются динамическими томами.

Существует пять типов динамических томов: простые, составные, чередующиеся, зеркальные и RAID-5. Зеркальные тома и тома RAID-5 являются отказоустойчивыми и доступны только на компьютерах под управлением операционных систем Windows 2000 Server, Windows 2000 Advanced Server, Windows 2000 Datacenter Server и Windows XP. Однако компьютер под управлением Windows XP Professional можно использовать для создания зеркальных томов и томов RAID-5 в этих операционных системах.

Простой том – динамический том, включающий дисковое пространство единственного динамического диска. Простой том может включать в себя один раздел или несколько связанных вместе разделов на одном диске. Простой том можно расширить в пределах одного диска или на дополнительные диски. При расширении простого тома на несколько дисков он становится составным. Новые простые тома могут создаваться только на динамических дисках. Простые тома не являются отказоустойчивыми, но на их основе можно создавать зеркальные тома.

Составной том – динамический том, включающий дисковое пространство нескольких физических дисков. Размер составного тома можно увеличить, расширив том на дополнительные динамические диски. Новые составные тома могут создаваться только на динамических дисках. Составные тома не являются отказоустойчивыми и для них не предусмотрено создание зеркальных томов.

Чередующийся том – динамический том, хранящий данные в виде полос на нескольких физических дисках. Данные в таком томе равномерно размещаются на дисках чередующимися полосами. Чередующиеся тома обладают самым высоким быстродействием среди томов всех типов, доступных в Windows, однако они не являются отказоустойчивыми. Если диск в чередующемся томе станет неисправным, данные всего тома будут потеряны. Чередующиеся тома могут создаваться только на динамических дисках. Для них не предусмотрено создание зеркальных или дополнительных томов.

Зеркальный том – отказоустойчивый том, размещающий две копии данных на двух физических дисках. Зеркальный том обеспечивает избыточность данных путем использования двух идентичных томов (так называемых зеркал) для дублирования содержащихся на нем данных. Зеркала всегда располагаются на разных дисках. При сбое одного из физических дисков данные на этом диске становятся недоступными, но система продолжает работать, используя зеркало на оставшемся диске. Зеркальные тома можно создавать только на динамических дисках.

Том RAID-5 – отказоустойчивый том, содержащий обычные данные и данные четности, чередуемые полосами по трем и более физическим дискам. Данные четности – это расчетные значения, используемые для восстановления обычных данных при возникновении неисправности. Данные, находившиеся на неисправной области диска, могут быть восстановлены при помощи оставшихся данных и данных четности. Тома RAID-5 можно создавать только на динамических дисках, при этом для томов RAID-5 не предусмотрено создание зеркальных или дополнительных томов.

Независимо от используемого динамическим диском стиля разделов (основная загрузочная запись или таблица с GUID разделов) допускается создание до 2000 динамических томов в каждой группе дисков, однако не рекомендуется создавать на одном диске более 32 динамических томов.

Ограничения для динамических дисков и динамических томов

При работе с динамическими томами действуют следующие ограничения.

При установке Windows XP Professional. Если динамический том создается на незанятом месте динамического диска, на этот том невозможно будет установить Windows XP Professional. Однако том можно расширить (если это простой или составной том). Ограничения при установке появляются потому, что при установке Windows XP Professional распознаются только динамические тома, записи которых имеются в таблице разделов.

На переносных компьютерах. Динамические диски не поддерживаются на портативных компьютерах, съемных дисках, отключаемых дисках, использующих интерфейсы USB (Universal Serial Bus) и IEEE 1394 (также называется FireWire), а также на дисках, подключенных к общей шине SCSI. Если при работе с переносным компьютером щелкнуть правой кнопкой мыши диск в списке или в графическом представлении окна управления дисками, возможность преобразования диска в динамический будет отсутствовать.

На компьютерах с двумя операционными системами. Доступ к динамическим томам и содержащимся на них данных, а также создание таких дисков невозможны на компьютерах под управлением MS-DOS, Windows 95, Windows 98, Windows Millennium Edition, Windows NT 4.0 или Windows XP Home Edition, имеющих конфигурацию двойной загрузки с Windows XP Professional или Windows XP. Чтобы обеспечить доступ к этим данным с компьютеров под управлением перечисленных операционных систем, данные следует хранить на базовых томах. Сведения о базовых томах см. в разделе Базовые диски и тома.

При расширении тома. Базовый том, преобразованный в динамический, может иметь или не иметь запись в таблице разделов в зависимости от того, был ли этот том системным или загрузочным разделом. Если преобразованный том был системным или загрузочным разделом, его запись сохраняется в таблице разделов. На этот том можно установить операционную систему Windows XP Professional, но его нельзя расширить. Если преобразованный том не был системным или загрузочным разделом, его записи нет в таблице разделов. На этот том нельзя установить операционную систему Windows XP Professional, но его можно расширить.

В Windows 2000 тома, преобразованные из разделов, имеют запись в таблице разделов. В Windows XP Professional записей томов, преобразованных из разделов, в таблице разделов нет, если только эти разделы не были системными или загрузочными. Чтобы определить в оснастке «Управление дисками», существует ли запись тома в таблице разделов, щелкните этот том правой кнопкой мыши. Если команда Расширить том недоступна, значит, запись этого тома имеется в таблице разделов.

Операционная система Windows XP Professional может быть установлена только на простых и зеркальных динамических томах, причем эти тома должны иметь записи в таблице разделов, т. е. должны быть системными или загрузочными.

Использование простых томов

Простой том – это часть физического диска, которая ведет себя как независимое устройство. Простые тома являются динамическими хранилищами, которые эквивалентны основным разделам в операционной системе Windows NT 4.0 и более ранних версиях. При наличии только одного динамического диска они являются единственным типом тома, который можно создать.

Создание и расширение простых томов

Новые простые тома могут создаваться только на динамических дисках. Простые тома не могут содержать разделы или логические диски, а доступ к ним невозможно получить в операционных системах MS-DOS или Windows, отличных от Windows 2000 или Windows XP

Professional. Следует создавать разделы вместо динамических томов, если на компьютере также установлена операционная система Windows NT 4.0 или более ранней версии, Windows 95, Windows 98, Windows Millennium Edition или MS-DOS.

Можно увеличить размер существующего простого тома, расширив том в невыделенную область на том же или на другом диске. Для расширения простого тома необходимо, чтобы этот том был не отформатирован или отформатирован при помощи версии NTFS, используемой Windows 2000 или Windows XP Professional. В Windows XP Professional простые тома могут быть расширены, если они не являются системными разделами, загрузочными разделами или простыми томами, которые раньше были разделами на базовых дисках, преобразованных в динамические с помощью Windows 2000. При расширении простого тома на том же диске том остается простым томом, и можно создать его зеркальную копию.

Простой том также можно расширить на величину разделов других динамических дисков этого компьютера. При расширении простого тома на один или несколько других дисков он становится составным томом. После расширения составного тома нельзя удалить его часть, не удалив весь том. Составные тома не могут быть зеркально отображены или включены в чередующийся том.

Для получения сведений о процедуре создания и расширения простых томов см. раздел

Управление простыми томами.

Назначение буквы диска

Операционная система Windows позволяет создать более 26 томов, однако не дает возможности назначить имена более чем 26 томам одновременно. Буквы «A» и «B» зарезервированы для дисководов гибких дисков, но можно назначать эти буквы съемным дискам, если компьютер не имеет соответствующего дисковода гибких дисков. Жесткие диски компьютера получают буквы от «C» до «Z», тогда как сопоставленным сетевым дискам буквы назначаются в обратном порядке (от «Z» до «B»).

Операционная система Windows использует механизм статического назначения имен. Это означает, каждое имя всегда обозначает один и тот же жесткий диск и том. Добавление в систему нового жесткого диска никак не влияет на статически присвоенные имена существующих дисков.

Назначение дискам имен требует особой осторожности, поскольку многие программы как для MS-DOS, так и для Windows часто ссылаются на конкретные имена дисков. В переменной среды path имена дисков присутствуют в явном виде.

Форматирование и создание меток томов

До начала использования созданных томов для хранения файлов и каталогов необходимо отформатировать каждый том в необходимую файловую систему. В это же время целесообразно присвоить разделам поясняющие их назначение метки.

Если том отформатирован в файловую систему NTFS, то можно включить сжатие данных.

Если у тома нет ни назначенной буквы, ни точки подключения, то до начала его форматирования необходимо назначить ему букву или указать точку подключения.

Удаление томов

Прежде чем удалить тома, следует убедиться, что все нужные данные сохранены на другом носителе и проверены. В Windows XP Pro невозможно удалить системный том или загрузочный том.

Использование составных томов

Составные тома – это объединение незанятого места нескольких дисков в один логический том, что позволяет эффективно использовать все свободное место и все буквы дисков в системе с несколькими дисками.

При необходимости создать том, но при отсутствии для этого свободного места на одном диске, можно создать том, объединив разделы на нескольких дисках в один составной том. Размер незанятого места, которое используется для создания составного тома, может быть различным. Составные тома устроены таким образом, что вначале заполняется свободное место на одном диске составного тома, затем на следующем и т. д.

Составные тома позволяют сохранять больше данных на диске без использования точек подключения. При объединении нескольких дисков в один составной том, освобождаются буквы диска, которые могут быть использованы для создания большого тома для файловой системы.

Увеличение размера существующего тома называется расширением. Существующие составные тома, отформатированные в файловую систему NTFS, могут быть расширены на величину свободного места на всех дисках. Однако после расширения составного тома нельзя удалить его часть, не удаляя всего тома. Объект «Управление дисками» отформатирует новые области, не оказывая воздействия на существующие файлы на исходном составном томе.

Составные тома, отформатированные в файловую систему FAT, расширить невозможно.

До начала внесения любых изменений на составные тома необходимо создать резервные копии всех данных на томе.

Составные тома не могут быть отраженными или чередующимися, а также отказоустойчивыми. Если появился сбой на одном из дисков, содержащих составной том, то весь том будет подвержен сбою, а все данные потеряны.

Новые составные тома могут создаваться только на динамических дисках. Для создания составного тома необходимо как минимум два динамических диска. В MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows XP Home Edition и других операционных системах отсутствует динамическое хранилище, и они не могут распознавать чередующиеся тома, созданные в Windows 2000 или Windows XP Professional. Поэтому при создании составного тома на компьютере с двумя операционными системами диски, составляющие этот том, не будут использоваться вышеперечисленными операционными системами.

Использование чередующихся томов

Чередующиеся тома создаются путем объединения свободного места на нескольких дисках в один большой логический том. Чередующимися томами используется технология RAID-0, распределяющая данные на несколько дисков. Чередующиеся тома не могут быть отраженными, расширенными или отказоустойчивыми. Если появился сбой на одном из дисков, содержащих чередующийся том, то весь том будет подвержен сбою. Лучше всего отводить под чередующиеся тома пары идентичных дисков.

На чередующихся дисках данные разделены на блоки, которые размещаются на дисках в том же порядке, что и на составных томах. В чередующихся наборах каждый файл распределяется по блокам сразу между несколькими дисками, в результате чего запись на эти диски выполняется одновременно.

Несмотря на отсутствие отказоустойчивости чередующиеся тома обеспечивают наибольшее быстродействие из всех стратегий Windows по управлению дисками, а также производительность ввода/вывода, посредством передачи запросов ввода/вывода на все диски. Например, чередующиеся тома обеспечивают наибольшее быстродействие в следующих случаях: чтение из больших баз данных или запись в них; сбор данных из внешних источников при очень высокой скорости передачи; загрузка образов программы, библиотек динамической компоновки (DLL) или библиотек времени исполнения.

В операционных системах MS-DOS, Windows 95, Windows 98, Windows Millennium Edition, Windows NT 4.0, Windows XP Home Edition и других отсутствует динамическое хранилище, и они не могут распознавать любые чередующиеся тома, созданные в операционной системе Windows 2000 или Windows XP Professional. Поэтому при создании чередующегося тома на компьютере с двумя операционными системами этот том не будут использоваться вышеперечисленными операционными системами.

Использование зеркальных томов

Зеркальный том является отказоустойчивым томом, обеспечивающим избыточность данных путем использования двух копий томов (так называемых зеркал) для дублирования содержимого тома. Все данные зеркального тома записываются в оба зеркала, расположенных на разных физических дисках. При сбое одного из физических дисков данные на этом диске становятся недоступными, но система продолжает работать, используя неповрежденный диск. При повреждении одного из зеркал зеркального тома необходимо разделить этот том и превратить оставшийся том в отдельный со своим собственным именем. Затем следует создать новый зеркальный том с помощью свободного пространства такого же либо большего размера на другом диске.

Зеркальные тома доступны на всех компьютерах, работающих под управлением Windows 2000 Server, Windows 2000 Advanced Server или Windows 2000 Datacenter Server. Зеркальные тома не доступны на компьютерах, работающих под управлением Windows 2000 Professional, Windows XP Home Edition, Windows XP Professional или Windows XP 64-Bit Edition. Тем не менее допускается использование компьютера с операционной системой Windows 2000 Professional или Windows XP Professional для создания зеркальных томов на удаленном компьютере с операционной системой Windows 2000 Server, Windows 2000 Advanced Server или Windows 2000 Datacenter Server.

Поскольку операция двойной записи может снизить быстродействие системы, многие конфигурации зеркальных томов используют дублирование, при котором каждый диск зеркального тома размещается на отдельном контроллере диска. Дублированный зеркальный том обеспечивает наивысшую надежность хранения данных, поскольку подсистема ввода/вывода дублируется: если происходит сбой контроллера диска, другой контроллер (и диск этого контроллера) продолжает работать. Если используется один контроллер, а не два, и в его работе произошел сбой, ни одно из зеркал зеркального тома не будет доступным, пока не заменен контроллер.

Почти любой том можно сделать зеркальным, включая системные и загрузочные тома. Невозможно расширить зеркальный том, чтобы увеличить его размер позже. На компьютерах с процессорами Itanium нельзя создать зеркальную копию системного раздела EFI дисков с таблицей разделов GUID (GPT).

При создании зеркальной копии системного или загрузочного тома можно сделать конфигурацию более отказоустойчивой, использовав разные контроллеры для каждого диска зеркального тома. Такой подход обеспечивает минимальные потери при сбое жесткого диска или контроллера диска. Лучше всего отводить под зеркальные тома пары идентичных дисков. При выполнении дублирования рекомендуется использовать идентичные диски и контроллеры, особенно если необходимо создать зеркальную копию системного или загрузочного тома.

При создании зеркальной копии системного тома необходимо всегда проверять, можно ли запустить Windows XP Professional с каждого зеркала, если происходит сбой в работе одного из дисков. Всегда используйте идентичные диски и контроллеры, чтобы избежать возможных сложностей с загрузкой.

Преимущества зеркальных томов

Зеркальные тома, использующие массив RAID-1, работают медленнее, чем тома RAID при чтении данных, и быстрее при записи данных. Операции считывания в случайном порядке выполняются более эффективно на зеркальных томах, при этом быстродействие совпадает с быстродействием операции на чередующихся томах. В Windows 2000 можно использовать распределение нагрузки между физическими дисками при операциях считывания. Технологии SCSI и Fibre Channel позволяют одновременно выполняться операции считывания обоих дисков.

В отличие от томов RAID-5, зеркальный том с отсутствием избыточности оказывает меньше влияния на быстродействие системы, поскольку оставшийся диск содержит все данные; для запуска системы нет необходимости восстанавливать данные. При настройке загрузочного тома на зеркальном томе нет необходимости переустанавливать Windows 2000, чтобы перезагрузить компьютер после сбоя в работе диска.

По сравнению с томом RAID-5 зеркальный том: имеет более низкую стоимость, поскольку для него необходимо только два диска (для тома RAID-5 необходимо не менее трех дисков); использует меньше системной памяти; обеспечивает высокий уровень общей производительности; не снижает производительность во время сбоя, за исключением выполнения считывания больших объемов данных. Однако если возникает ошибка записи, избыточность данных теряется.

Недостатки зеркальных томов

Операции записи на диск для зеркальных томов выполняются медленнее, поскольку данные должны записываться на оба диска. Однако этот недостаток может быть слегка компенсирован, поскольку запись на оба диска обычно может выполняться одновременно.

Снижение быстродействия также возникает при ресинхронизации системой зеркального тома. В результате выполнения процесса ресинхронизации зеркала тома содержат идентичные данные. Выполнение синхронизации влияет на быстродействие, поскольку для копирования данных на компьютере выполняется много операций ввода/вывода.

Различия между зеркальным томом и томом RAID-5: каждый гигабайт зеркального тома обходится дороже; зеркальный том менее эффективно использует место на диске. Поскольку данные дублируются, для зеркального тома необходимо больше места на диске, чем для тома RAID-5.

Использование томов RAID-5

Том RAID-5 – это отказоустойчивый том с данными и четностью, периодически чередующийся и состоящий из трех или более дисков. Данные, находившиеся на неисправной области диска, могут быть восстановлены при помощи оставшихся данных и данных четности. Тома RAID-5 являются хорошим выбором при организации надежной системы, в которой преобладают операции чтения данных.

Тома RAID-5 имеют более высокую скорость чтения данных, чем зеркальные тома. В то же время, при отказе одного из компонентов, например при сбое диска, скорость чтения падает из-за необходимости восстанавливать данные на основе сведений о четности. Тем не менее этот способ предпочтительнее зеркальных томов для приложений, требующих обеспечения отказоустойчивости и выполняющих преимущественно чтение данных. Производительность при записи данных ограничена необходимостью вычисления данных четности. При этом в обычном режиме любая операция записи требует втрое больше памяти, чем операция чтения. Более того, при повреждении тома операция чтения требует втрое больше памяти, чем до повреждения. В обоих случаях причиной является необходимость вычисления данных четности.

Тома RAID-5 предусматривают использование одного блока четности на каждую полосу данных. В результате набор должен включать не менее трех дисков. Блоки четности равномерно распределены по томам, что позволяет лучше сбалансировать ввод/вывод между дисками.

Отказоустойчивость, обеспечиваемая томами RAID-5, требует включения в том только одного дополнительного диска. Однако недостатком по сравнению с зеркальными томами является замедление работы при отказе одного из дисков. Если требуется использовать пространство в томе RAID-5 для других целей, предварительно создайте резервную копию данных, расположенных на этом томе, для дальнейшего использования. Затем удалите том.

Тома RAID-5 недоступны в операционных системах Windows XP Home Edition и Windows XP Professional, они не могут быть расширены и нельзя создать зеркальную копию этих томов. Тем не менее допускается использование компьютера с операционной системой Windows XP Professional для создания томов RAID-5 на удаленном компьютере с операционной системой Windows 2000 Server, Windows 2000 Advanced Server или Windows 2000 Datacenter Server.

Преобразование базового диска в динамический и обратно

Преобразование базового диска в динамический

Для того чтобы преобразовать базовый том в динамический с помощью интерфейса Windows следует открыть узел «Управление компьютером» (локальным) и в дереве консоли кликнуть компонент «Управление дисками» («Управление компьютером» – «Запоминающие устройства» – «Управление дисками»). После этого надо кликнуть правой кнопкой мыши базовый диск, который требуется преобразовать, выбрать команду «Преобразовать в динамический диск» и затем просто следовать инструкциям на экране.

Если данная команда не отображается, возможно вместо диска выбран том, диск уже может быть преобразован в динамический или компьютер является переносным. (Динамические диски не поддерживаются на портативных компьютерах, съемных дисках, отключаемых дисках, использующих интерфейсы USB (Universal Serial Bus) и IEEE 1394 (также называется FireWire), а также на дисках, подключенных к общей шине SCSI.) Помимо этого, можно преобразовать диски кластера, подключенные к общей шине SCSI или Fibre Channel, в динамические диски. Службой кластеров поддерживаются только базовые диски.

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.

После преобразования базового диска в динамический, динамические тома не могут быть обратно преобразованы в разделы. Вместо этого необходимо удалить все динамические тома на диске и выполнить команду «Преобразовать в базовый диск». Если требуется сохранить данные на диске, надо создать их резервную копию или переместить на другой том. Перед преобразованием дисков следует закрыть все программы, выполняемые на этих дисках.

Чтобы успешно выполнить преобразование, каждый диск с основной загрузочной записью, подлежащий преобразованию, должен содержать не менее 1 Мбайт незанятого места для размещения базы данных динамического диска. В Windows 2000 и Windows XP Professional это пространство автоматически резервирует при создании разделов или томов на диске, но на дисках с разделами или томах, созданных в других операционных системах, этого места может не быть. (Это пространство может существовать, даже если оно не отображается в окне «Управление дисками».)

После преобразования динамический диск не будет содержать базовых томов (основных разделов или логических дисков), и не сможет быть доступен в операционных системах MS-DOS, Windows 95, Windows 98, Windows Millennium Edition, Windows NT и Windows XP Home Edition. Получить доступ к динамическим дискам можно только в Windows 2000 и Windows XP Professional.

При преобразовании базового диска в динамический все существующие разделы базового диска или логические диски преобразуются в простые тома динамического диска.

Не следует преобразовывать диски, содержащие несколько установок Windows 2000 или Windows XP Professional, в динамические диски. При преобразовании диска в динамический записи всех разделов этого диска удаляются, за исключением записей загрузочных и системных томов установленной операционной системы. При преобразовании диска в динамический не проверяются другие установки Windows и удаляются записи разделов всех других загрузочных томов на диске. Помимо этого, записи реестра, относящихся к тому второй установки устаревают, и эту операционную систему уже невозможно запустить.

Для того чтобы преобразовать базовый диск в динамический с помощью командной строки следует открыть окно «Командная строка» и ввести: diskpart. Затем в командной строке DISKPART надо ввести: list disk. После этого надо записать номер диска, который требуется преобразовать в динамический. В командной строке DISKPART надо ввести: select disk n и, затем, в командной строке DISKPART надо ввести: convert dynamic

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры. Преобразование динамического диска обратно в базовыйДля того чтобы преобразовать динамический том обратно в базовый с помощью интерфейса Windows, следует сначала создать резервные копии всех томов на диске, который требуется преобразовать из динамического в базовый, или переместить их.После надо открыть узел «Управление компьютером» (локальным) и в дереве консоли кликнуть «Управление дисками». После этого надо кликнуть правой кнопкой мыши динамический диск, который требуется преобразовать в базовый, и выбрать команду «Удалить том» для каждого тома на диске. После удаления всех томов на диске надо кликнуть его правой кнопкой мыши и выбрать команду «Преобразовать в базовый диск».Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры.Диск может быть преобразован в базовый, только если он пуст. Если требуется сохранить данные на диске, перед преобразованием диска в базовый создайте их резервную копию или переместите их на другой том.После преобразования динамического диска обратно в базовый на нем можно создавать только разделы и логические диски.Чтобы преобразовать динамический том обратно в базовый с помощью командной строки следует также сначала создать резервные копии всех томов на диске, который требуется преобразовать из динамического в базовый, или переместить их и только после этого открыть окно «Командная строка» и ввести: diskpart. В появившейся командной строке DISKPART надо ввести: list volume и записать номера томов, которые требуется удалить. Затем в командной строке DISKPART надо ввести: select volume=n и: delete volume, после чего: list disk и записать номер диска, который требуется преобразовать в базовый. После всего этого в командной строке DISKPART надо ввести: select disk n и: convert basic.

Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Если компьютер подключен к сети, то параметры сетевой политики могут запретить выполнение данной процедуры. Диск может быть преобразован в базовый, только если он пуст. Если требуется сохранить данные на диске, перед преобразованием диска в базовый создайте их резервную копию или переместите их на другой том.После преобразования динамического диска обратно в базовый на нем можно создавать только разделы и логические диски – независимо от способа преобразования.

Состояние базового диска: «Не проинициализирован»

Причина

Диск не имеет действительной подписи. После установки нового диска операционная система Windows XP должна записать подпись диска, маркер конца сектора (также называемый словом подписи) и основную загрузочную запись или таблицу GUID разделов, после чего становится возможным создание разделов на диске. При первом запуске консоли «Управление компьютером» после установки нового диска открывается окно мастера со списком новых дисков, обнаруженных Windows XP. Если прервать работу мастера до записи подписи диска, то диск останется в состоянии Не проинициализирован.

Решение

Диск следует инициализировать. На короткое время будет отображаться состояние «Инициализация», а затем диск получит состояние «Исправен». Состояние базового или динамического диска: «Не читается»Причина

Базовый диск может быть недоступен, возможны сбои оборудования, повреждение диска или ошибки ввода-вывода. Может быть повреждена копия базы данных конфигурации дисков системы. На диске с состоянием «Не читается» отображается значок ошибки. Состояние «Не читается» может также отображаться для дисков, когда набирается рабочая скорость вращения или во время повторного сканирования всех дисков системы программой «Управление дисками». В некоторых случаях невозможность прочитать диск означает, что он неисправен и не может быть восстановлен. Состояние «Не читается» для динамических дисков обычно является следствием повреждения или ошибок ввода-вывода скорее части диска, чем сбоя целиком всего диска.

Решение

Следует повторить сканирование дисков или перезагрузить компьютер и проверить, изменится ли состояние диска. Состояние динамического диска: «Инородный»Причина

Состояние «Инородный» возникает при перемещении динамического диска на локальный компьютер с компьютера, на котором установлена Windows 2000 или Windows XP Professional. На диске с состоянием «Инородный» отображается значок предупреждения. В некоторых случаях для диска, который был подключен к системе, может отображаться состояние «Инородный». Данные конфигурации динамических дисков хранятся на всех динамических дисках, поэтому сведения о дисках, принадлежащих системе, теряются при сбое всех динамических дисков.

Решение

Следует добавить диск в конфигурацию системы компьютера, чтобы получить доступ к данным на диске. Чтобы добавить диск в конфигурацию системы компьютера, надо импортировать чужой диск, щелкнув правой кнопкой мыши диск и выбрав команду «Импорт чужих дисков». Все тома, существующие на чужом диске, станут видимы и доступны после его импорта. Состояние динамического диска: «Работает (ошибки)»Причина

Возникают ошибки ввода/вывода на разделе динамического диска. Значок предупреждения отображается на динамическом диске с ошибками.

Решение

Если ошибки ввода/вывода являются временными, следует вернуть состояние «Подключен». Состояние динамического диска: «Не подключен» или «Отсутствует»Причина

Динамический диск с состоянием «Не подключен» может быть поврежден или временно недоступен. Значок ошибки появляется на отключенном динамическом диске. Если состояние диска «Не подключен» и имя диска изменяется на «Отсутствует», это значит, что диск был только что доступен для системы, но в данный момент не может быть найден и определен. Отсутствующий диск может быть поврежден, выключен или отсоединен.

Решение

1. Подключение отключенного или отсутствующего диска. Надо устранить все неполадки диска, контроллера или подключения и убедиться, что физический диск включен, подключен к сети и подсоединен к компьютеру. Затем заново подключить диск с помощью команды «Реактивизировать диск». Если состояние диска остается «Не подключен», имя диска «Отсутствует» и ошибка диска не может быть устранена, можно изъять диск из системы с помощью команды «Изъять диск». Однако прежде чем диск можно будет изъять, необходимо удалить все тома (или зеркала) на диске. Зеркальные тома можно сохранить на диске, удалив зеркало вместо всего тома. Удаление тома приведет к потере всех находящихся на нем данных, поэтому изымать его следует только в случае абсолютной уверенности в том, что диск поврежден без возможности восстановления и не пригоден для дальнейшего использования.2. Подключение отключенного диска, все еще имеющего имя (не отсутствующего).В окне оснастки «Управление дисками» надо кликнуть правой кнопкой мыши диск и выбрать команду «Реактивизировать диск», чтобы подключить диск заново. Если состояние диска продолжает оставаться «Не подключен», следует проверить кабели и контроллер диска, а также убедиться в исправности физического диска. Затем надо устранить неисправности и снова попытаться реактивизировать диск. Если реактивизация прошла успешно, состояние всех томов диска должно автоматически вернуться к значению «Исправен».Состояние базового или динамического диска: «Неудача»Причина

Не удается запустить автоматически базовый том, поврежден диск или повреждена файловая система. Если диск или файловую систему восстановить невозможно, состояние «Неисправен» указывает на потерю данных.

Решение

Если том является базовым томом с состоянием «Неудача», надо убедиться, что физический диск включен, подключен к сети и подсоединен к компьютеру. Другие действия пользователя с базовыми томами невозможны. Если том является динамическим томом с состоянием «Неудача», следует убедиться, что диски подключены. Если диски не подключены, надо вернуть диски в состояние «Подключен». Если диск успешно реактивизирован, том автоматически перезапускается и возвращается в состояние «Исправен».Если динамический диск возвращается в состояние «Подключен», а том не возвращен в состояние «Исправен», его можно реактивизировать вручную. Зеркальные тома и тома RAID-5 с устаревшими данными не будут автоматически перезапущены после подключения базового диска. Если диски, содержащие не устаревшие данные, отключены, эти диски должны быть подключены первыми, чтобы данные были синхронизированы. В противном случае следует реактивизировать зеркальный том или том RAID-5 вручную, а затем запустить Chkdsk.exe: нажать кнопку Пуск, выбрать команду «Выполнить» и вести chkdsk (после чего нажать кнопку ОК).Состояние базового или динамического диска: «Нет данных»Причина

Состояние «Нет данных» обычно возникает, когда поврежден загрузочный сектор тома (обычно из-за вируса) и невозможно получить доступ к данным тома. Состояние «Нет данных» возникает также, когда установлен новый диск, но не выполнялся мастер создания подписи диска.

Решение

Диск надо инициализировать. Состояние динамического тома: «Неполные данные»Причина

Были перемещены некоторые, но не все диски тома на нескольких дисках. Данные этого тома будут уничтожены, если оставшиеся диски, содержащие данный том, не будут перемещены, а затем одновременно импортированы. Отсутствующие диски не могут быть импортированы позже для восстановления данных.

Решение

Надо переместить все диски тома на нескольких дисках на компьютер, а затем импортировать диски. Состояние динамического тома: «Исправен (под угрозой)»Причина

Указывает, что динамический том в настоящее время доступен, но обнаружены ошибки ввода-вывода на содержащем его динамическом диске. При обнаружении ошибки ввода-вывода в любой части диска все тома диска будут иметь состояние «Исправен (под угрозой)». На томе появится значок предупреждения. Когда том имеет состояние «Исправен (под угрозой)», диск, на котором находится том, обычно имеет состояние «Подключен (ошибки)».

Решение

После этого диску возвращается состояние «Подключен». После возвращения диска в состояние «Подключен» том должен вернуться в состояние «Исправен». Если сохраняется состояние «Исправен (под угрозой)», то диск, вероятно, начинает отказывать. В этом случае следует создать архивную копию данных и немедленно заменить диск. Состояние зеркального тома: «Нет избыточности данных»Причина

Была импортирована только одна половина зеркального тома. В оснастке «Управление дисками» импортированная часть зеркального диска обладает состоянием Отказавшая избыточность, пока диск, содержащий половину зеркала, которая не была импортирована, имеет состояние «Отсутствует». Диски с состоянием «Отсутствует» не могут быть импортированы позже для восстановления избыточности.

Решение

Чтобы избежать этого, следует подключить все диски, содержащие этот том, на новый компьютер одновременно, а затем импортировать все диски вместе. Если зеркальный том больше не нужен, можно разделить зеркальный набор и сохранить другую половину зеркала как простой том. Кликнув правой кнопкой мыши зеркальный том с состоянием «Отказавшая избыточность», надо выбрать команду «Удалить зеркало». В диалоговом окне «Удалить зеркало» надо кликнуть диск с состоянием «Отсутствует» и нажать кнопку «Удалить зеркало». Импортированная половина зеркала с состоянием «Отказавшая избыточность» становится простым томом с состоянием «Исправен». Состояние зеркального тома: «Отказавшая избыточность»Причина

Один или несколько компонентов зеркального тома повреждены, и том более не обладает отказоустойчивостью. Чтобы избежать потери данных, следует попытаться восстановить том как можно быстрее.

Решение

Если состояние динамического тома «Отключен» или «Отсутствует» (доступ к нему получить нельзя), в графическом представлении отсутствующего или неподключенного диска отображается значок (X). Если состояние диска «Работает (ошибки)», в графическом представлении диска выводится значок (!).Состояние зеркального тома: «Устаревшие данные»Причина

Если при импорте дисков, содержащих зеркальный том, один из томов на дисках содержит устаревшие сведения о зеркале, в диалоговом окне «Импорт чужих дисков» отображается состояние «Устаревшие данные» Эта проблема может возникать, если тома на перемещаемых дисках имели до перемещения состояние, отличное от «Исправен».

Решение

Следует переместить диски обратно на компьютер, на котором они были изначально установлены. В окне «Управление дисками» выберите в меню «Действие» команду «Повторить сканирование дисков» или перезапустить компьютер, чтобы проверить правильность установки всех дисков. Если до перемещения диски имели состояние «Отказавшая избыточность», то при перемещении их обратно состояние их будет все еще иметь значение «Отказавшая избыточность». Следует убедиться, что состояние диска, содержавшего устаревшие сведения о зеркале, не имеет значение «Не подключен». Если состояние имеет значение «Не подключен», следует проверить оборудование, при необходимости подключив диск заново и реактивизировав его.Если состояние тома все еще имеет значение «Отказавшая избыточность», том надо реактивизировать. Управление дисками попытается заново подключить диск. Будет отображено предупреждение, указывающее, что управлению дисками, возможно, не удастся вернуть все данные на томе. Если том успешно подключен, его состояние становится «Исправен», а все зеркальные тома на диске ресинхронизируются. Теперь можно перемещать все диски, содержащие этот том, на другой компьютер. Однако если перемещены все диски кроме одного, состояние диска в диалоговом окне «Импорт чужих дисков» будет иметь значение «Нет избыточности данных». Отсутствующие диски должны быть подсоединены и импортированы одновременно.Состояние тома RAID-5: «Нет избыточности данных»Причина

Были перемещены некоторые, но не все диски тома RAID-5. Отсутствующие диски не могут быть импортированы позже для восстановления избыточности. Если необходимо импортировать только некоторые диски, том RAID-5 получает состояние «Отказавшая избыточность».

Решение

Чтобы избежать этого, следует переместить все диски, содержащие этот том, на новый компьютер одновременно, а затем импортировать все диски вместе. Состояние тома RAID-5: «Отказавшая избыточность»Причина

Один или все компоненты тома RAID-5 повреждены, и том более не обладает отказоустойчивостью. Чтобы избежать потери данных, следует попытаться восстановить том как можно быстрее.

Решение

Если состояние динамического тома «Отключен» или «Отсутствует» (доступ к нему получить нельзя), в графическом представлении отсутствующего или неподключенного диска отображается значок (X). Если состояние диска «Работает (ошибки)», в графическом представлении частично неисправленного диска отображается значок (!). Состояние тома RAID-5: «Устаревшие данные»Причина

Если при импорте дисков, содержащих том RAID-5, один из томов на дисках содержит устаревшие сведения о четности, в диалоговом окне Импорт чужих дисков отображается состояние «Устаревшие данные». Эта проблема может возникать, если тома на перемещаемых дисках имели до перемещения состояние, отличное от «Исправен».

Решение

Следует переместить диски обратно на компьютер, на котором они были изначально установлены. В окне «Управление дисками» надо выбрать в меню «Действие» команду «Повторить сканирование дисков» или перезапустить компьютер, чтобы проверить правильность установки всех дисков. Если до перемещения диски имели состояние «Отказавшая избыточность», то при перемещении их обратно состояние их будет все еще иметь значение «Отказавшая избыточность». Надо убедиться, что состояние диска, содержавшего устаревшие сведения о зеркале или четности, не имеет значение «Не подключен». Если состояние имеет значение «Не подключен», следует проверить оборудование, при необходимости подключить диск заново и реактивизировать его. Если состояние тома все еще имеет значение «Отказавшая избыточность», том следует реактивировать. Управление дисками попытается заново подключить диск. Будет отображено предупреждение, указывающее, что управлению дисками, возможно, не удастся вернуть все данные на томе.Если том успешно подключен, его состояние становится «Исправен», а четность томов RAID-5 восстанавливается. Теперь можно перемещать все диски, содержащие этот том, на другой компьютер. Однако если перемещены все диски кроме одного, состояние диска в диалоговом окне «Импорт чужих дисков» будет иметь значение «Нет избыточности данных». Отсутствующие диски должны быть подсоединены и импортированы одновременно.

Назначение

Norton Utilities – интегрированный набор программ, с помощью которых пользователь может произвести диагностирование и фиксацию возникающих при работе своего компьютера проблем, выполнить проверку установленной на нем системы и сделать ее устойчивой к различным сбоям. Используя нортоновские утилиты, пользователь может ускорить работу своей персоналки и восстановить затертые и утерянные файлы, а также протестировать аппаратную часть (т. е. «железо») и ускорить жесткий диск. Благодаря утилитам Питера Нортона пользователь может обезопасить свои программы и хранимые данные, восстановить систему и данные в случае крэша, собирать, анализировать и хранить информацию о системе и ее состоянии, а также своевременно обнаруживать и устранять компьютерные проблемы.

Общие сведения

Основа устойчивой и эффективной работы ПК – хорошее состояние жесткого диска и корректная установка операционной системы. С помощью такой программы как Norton Disk Doctor нортоновские утилиты помогут Вам поддерживать диск в хорошем состоянии, не допуская нарушения его целостности (т. е. возникновения поврежденных («битых», bad) кластеров), а с помощью программы Norton Win Doctor своевременно обнаружат и помогут устранить ошибки, накапливающиеся в ходе работы операционной системы и делающие ее неустойчивой. Кроме того, постоянно находящиеся в оперативной памяти компьютера программы Norton Utilities (программы – мониторы, такие как Norton System Doctor и Norton Win Doctor) могут устранять возникающие ошибки автоматически, по мере их возникновения.

Для периодической всесторонней проверки системы существует утилита Norton System Check, делающая работу на компьютере не только быстрой и эффективной, но еще и безопасной.

Для подготовки системы против сбоев и восстановления данных у нортоновских утилит есть специальный «спасательный дисковый набор» – Norton Rescue Disk, который содержит критическую информацию, с помощью которой можно запустить компьютер в случае сбоя и получить доступ к данным. Эти диски содержат информацию об изменении конфигурации системы, производимой пользователем в ходе работы на компьютере и отслеживаемую средствами Norton System Doctor.

Norton Zip Disk – «спасательный диск» нортоновских утилит – содержит специальную программу: Rescue Recovery Wizard, с помощью которой пользователь может загрузить систему и восстановить ее после сбоя.

«Спасательный набор» – Rescue Disks – может быть создан и на обычных трехдюймовых дискетах. Он содержит набор инструкций по использованию и восстановлению системы с его помощью.

При удалении файла с помощью команды «Удалить» Проводника Windows файл попадает в Корзину, где и хранится как временная копия, с помощью которой его можно, при желании, восстановить. При этом файл продолжает занимать место на диске. После очистки корзины возможность восстановить файл с помощью обычной корзины утрачивается. Но и такой файл можно восстановить, используя средство Norton Protection, которое защищает Корзину, и позволяет восстановить утраченные файлы, в том числе и старые копии, поверх которых программа записала новый файл.

Восстановление файлов производится с помощью программы Norton UnErase Wizard.

Утилиты Питера Нортона выполняют дефрагментацию данных (и делают это значительно эффективнее служебных программ Windows), проводят оптимизацию системы, настраивая при этом файл подкачки, производят реорганизацию системного реестра, оптимизируют процесс загрузки программ, учитывают частоту использования файлов для составления списков удаления редко используемых файлов, помогают очистить дисковое пространство и т. д. и т. п.

С помощью Norton Utilities можно не только поддерживать работоспособность установленной на компьютере системы, но еще и проводить диагностику состояния аппаратной части. С помощью утилиты Norton Diagnostics пользователь может провести всестороннюю проверку системной платы, памяти (оперативной и дисковой), дисковода CD-ROM, последовательных портов, модема, принтера, клавиатуры, мыши, звуковой и видео платы и т. п.

В нортоновских утилитах существует такая программа как Live Update. Она может помочь пользователю загрузить и установить модификации к установленному на его компьютере программному обеспечению и аппаратным средствам через Интернет. Кроме того, с помощью Live Update пользователь может обновлять базы данных для своих вирусных программ.

Norton Utilities позволяют получить детальную информацию о состоянии системы с помощью System Information – программы, которая анализирует систему и сообщает технические детали о ее конфигурации и текущем состоянии.

Некоторые из нортоновских утилит даже не требуют обязательной установки на жестком диске компьютера – их можно запустить с компакт диска, что очень полезно, в случае аварийной ситуации на ПК. С компакт диска запускаются утилиты Norton Disk Doctor, Norton Win Doctor. Для Windows 9x с компакт диска можно запустить еще и Norton UnErase Wizard, Norton Wipe Info.

Установка нортоновских утилит

Нортоновские утилиты, появившиеся вместе с IBM PC, развивались в ногу с этим типом ПК. Поэтому когда Wintel в очередной раз менял платформу программного обеспечения для своих ПК, Symantec делала то же самое. Таким образом, на данный момент существует несколько «больших семей» нортоновских утилит, естественно, не ладящих между собой.

Самой старой «семьей» Питера Нортона являются утилиты под DOS, которые также использовались и для Windows 3.x (с некоторыми добавлениями). Затем появились первые утилиты, предназначенные только для работы под управлением операционной системы. Это были утилиты для Windows 95, принципиально отличавшиеся от досовских как составом, так и видом, методами и техникой работы. После них появились утилиты для Windows 98, не содержащие принципиальных отличий NU 95. Следует ли говорить, что использование «старых», предназначенных для работы под DOS, нортоновских утилит (ко времени появления утилит для Windows 95 существовала и активно использовалась уже восьмая версия NU DOS) было не только невозможно, но и чревато самыми катастрофическими последствиями. Разработчики даже сочли своим долгом сделать в поставляемом вместе с установочным пакетом файле с инструкциями специальное предупреждение о том, что использование под Windows 95/98 досовских (версии 8.0) утилит может привести к серьезным дисковым проблемам.

И вот, наконец, вершина эволюции – появление нортоновских утилит 2001 (NU 5), аккумулирующих в себе весь опыт работы с Windows и все достижения своих предшественников. В инструкции по установке этого набора программ в первую очередь сообщается о том, что данный пакет утилит поддерживает Windows 95 не полностью, а только начиная с тридцативдухбитной Windows OSR 2, известной также как версия 950 В.

Из всего изложенного следует, что процесс установки NU – процедура тонкая, деликатная и ответственная, требующая знания известных подробностей. Вот давайте их и рассмотрим.

Итак, некоторые подробности установки пакета нортоновских утилит. Поскольку в дальнейшем рассматриваться будут в основном именно NU 2001, как итоговый вариант развития таких программ, то и здесь я расскажу о подробностях установки именно этого пакета.

Начну с того, что перед установкой этого пакета лучше удалить имеющиеся версии нортоновских утилит. При этом возможно возникновение некоторых проблем с файлами nprotect.vxd, но они сами собой устранятся после установки новых утилит. После удаления пакета нортоновских утилит обязательно требуется перезагрузка перед повторной установкой. При удалении может появиться окно запроса об удалении общих файлов (файлов, используемых другими приложениями). Лучше всего будет удалить их все. Удалять утилиты лучше всего (и безопаснее всего) с помощью программы «Установка и удаление программ» Панели управления Windows (кстати, разработчики NU 2001 настоятельно рекомендуют на тот случай, если для удаления все же не используется Панель управления Windows, пользоваться программой Norton Clean Sweep). При установке NU 2001 программа Live Update может быть занесена в список установленных программ Панели управления Windows как отдельная программа – в этом случае она и удаляется тоже отдельно.

NU по разному работают под управлением ОС типа Windows 9x и Windows 2k: различия заключаются не только в составе (для Windows 2k количество утилит уменьшено едва ли не на половину), но также и в процедуре работы с программами – под управлением Windows 2k утилиты работают практически в автоматическом режиме и возможности пользователя в управлении работой программ и их настройкой совсем невелики (фактически, они сводятся к указанию объектов и выбору режимов).

При установке NU 2001 с двойной загрузкой (например, через менеджер загрузки) требуется отдельная установка для каждой из операционных систем – для Windows 9.x и для Windows 2000 / NT. Если каждая из операционных систем будет иметь в распоряжении свой собственный диск, то именно на этот диск и следует ставить «ее» версию утилит.

В процессе установки пользователь получает возможность выбора устанавливаемых программ и, при желании, может ставить одну программу и не ставить другую. При этом необходимо учитывать, что нортоновские утилиты – не простой набор программ, а интегрированный и потому работа одной программы обязательно отражается на работе еще нескольких. Вследствие этого наличие одной программы (выбранной пользователем для установки) может потребовать (и, как правило, требует) установки еще нескольких.

Для установки Norton System Check требуется, чтобы также были установлены и следующие программы: Norton Disk Doctor, Norton Win Doctor, Norton Optimization Wizard. Но, вообще говоря, наиболее эффективно Norton System Check работает при полной установке всех программ пакета, так как эта программа монитор предназначенная для автоматического отслеживания и устранения возникающих в ходе работы компьютера проблем, для этого должна постоянно обращаться к различным утилитам.

Установка Norton System Doctor требует наличия Live Update.

Наконец, существуют «базовые» программы, без установки которых работа NU вообще невозможна. Такие программы должны быть установлены обязательно. Они не доступны для выбора и в окне выбора их опции не активны (выделены серым цветом). При наведении на такую опцию указателя мыши в нижней части окна установки появляется сообщение о том, что данная программа относится к категории базовых программ, необходимых для работы всего пакета в целом.

Здесь следует отметить, что установка нортоновских утилит не означает автоматического создания «спасательного набора» Rescue Disks – этот набор требует отдельной процедуры, выполняемой уже после установки пакета. Но это можно сделать (при желании) также и при установке пакета.

Еще одно, достаточно серьезное обстоятельство, связанное с установкой пакета, заключается в том, что в пакет входят еще и собственные DOS-ие утилиты, т. е. утилиты, предназначенные для работы в режиме DOS в различных аварийных ситуациях. Например, в состав DOS-го дополнительного пакета входит такое средство восстановления системы как Disk Editor. Так вот, эти, дополнительные, утилиты не поддерживают систему NTFS, что обязательно следует учитывать при установке утилит.

И еще одна особенность NU 2001, на которую следует обратить внимание, прежде чем браться за их установку состоит в том, что эти утилиты при установке под Windows 9x не поддерживают NTFS или диски с FAT 16 с кластерами 64 килобайт. Эти возможности существуют только при установке под Windows NT или Windows 2000.

Интегратор Norton Utilities

Объединенным средством быстрого доступа к нортоновским утилитам после их установки является Интегратор, значок которого при установке пакета автоматически появляется на Рабочем столе.

В левой части окна интегратора располагается список групп утилит, разделенных по «специальностям», т. е. по выполняемым типам задач.

Первой группой является группа «Устранение проблем», в которую входят Speed Disk (оптимизация дисков) и Norton Optimize Wizard (ускорение запуска приложений). Вторая группа (она видна на рисунке) включается в себя Norton System Doctor (непрерывное слежение за состоянием компьютера), UnErase Wizard (восстановление удаленных файлов), Norton Disk Doctor (поиск и устранение ошибок на диске), Norton WinDoctor (поиск и устранение ошибок в работе Windows), Norton System Check (быстрая проверка всех компонентов системы. Следующая группа – профилактика. Она включает в себя: System Information (сбор информации о системе), Norton WipeInfo (безопасное удаление данных), Image (резервное сохранение критической информации диска), Norton File Compare (сравнение и обновление разных версий файла), Norton Diagnostics (проверяет систему на наличие неполадок в аппаратуре). И, наконец, последняя группа – настройка реестра и отслеживание его изменений. Степень осторожности, необходимая при работе с этим крайне важным элементом системы, достаточно ясно выражена в названии группы – «Справочная информация». Вот так: справочная и не ни в коем случае не более того. В нее входят только две программы: Norton Regedit (просмотр и редактирование системного реестра), Norton Registry Tracker (отслеживание изменений в реестре Windows).

Верхнюю часть окна занимают кнопки доступа к системным возможностям пакета: обновление и модификация установленных программ с помощью Live Update, создание или изменение «спасательного набора» Rescue Disk и настройка параметров работы набора нортоновских утилит.

Окно «Параметры» интегратора Norton Utilities – средство настройки работы утилит по проверке, настройке и отладке системы. С помощью вкладки «Расписание проверки системы» можно установить частоту, время и дату проведения проверок, а также выбрать выполняемые задачи.

С помощью другой вкладки: Norton Protection можно настроить систему защиты и восстановления данных: включить или выключить защиту, установить сроки очистки защищаемых файлов, указать, какие типы файлов нуждаются в защите, а какие – нет. С помощью вкладки «Автозапуск программ» можно включить или отключить режим автоматического запуска при старте Windows программ Norton Disk Doctor, Norton System Doctor.

А теперь перейдем к рассмотрению непосредственно самих программ и работы с ними. Рассмотрим их в том же порядке и составе, в котором они указаны в Интеграторе, т. е., начиная с группы «Устранение проблем», в которую входят две программы: Speed Disk (оптимизация дисков) и Norton Optimize Wizard (ускорение запуска приложений).

Оптимизация дисков с помощью программы Speed Disk

Программа Speed Disk предназначена для оптимизации жестких дисков. И делает она это очень эффективно – гораздо эффективнее служебных программ Windows. Speed Disk оптимизирует диск максимально. В общем, Speed Disk выполняет ту же работу, что и стандартный служебный дефрагментатор Windows, но достигает при этом максимально возможного эффекта.

Итак, Speed Disk производит дефрагментацию файлов и перестраивает их для быстрого доступа (для самого быстрого). Speed Disk версии NU 2001 был серьезно улучшен и, в сущности, представляет собой почти идеальный вариант такого рода программы. Помимо дефрагментации Speed Disk еще и оптимизирует файл подкачки (swap файл).

При запуске программа проводит анализ жесткого диска и сообщает пользователю полученные сведения, предлагая выбрать один из нескольких вариантов оптимизации, в зависимости от степени фрагментации файлов на диске.

Кроме оптимизации Speed Disk также улучшает возможности восстановления удаленных или поврежденных файлов.

Использование Speed Disk также уменьшает износ считывающих головок диска, так как после оптимизации требуется значительно меньше проходов для записи файла.

Регулярное использование Speed Disk обеспечит оптимально эффективное состояние жесткого диска и, соответственно, хранящихся на нем данных. Автоматический запуск Speed Disk при нарастании дефрагментации производится программой Norton System Doctor.

Speed Disk использует карту диска, на которой отображаются перемещаемые файлы (она видна на рисунке). Для настройки карты используется кнопка «Легенда», которая открывает окно «Легенда». В этом окне диск представлен блоками, которые отображаются разными цветами. Цвет зависит от состояния блока. В зависимости от своего состояния блоки делятся в Speed Start на множество разных категорий – занятые, свободные, блоки памяти, файла подкачки и т. д. Оптимизированные блоки выделяются зеленым цветом и потому конечным результатом является представление возможно большей части карты (т. е. диска) в зеленом цвете. Отображение карты занимает довольно много оперативной памяти и потому для ускорения процедуры ее можно отключить с помощью специальной кнопки «Скрыть карту». Параметры программы настраиваются в специальном окне параметров, которые открывается командой «Параметры» из раскрывающегося списка кнопки «Свойства».

В окне «Параметры» есть вкладка «Оптимизация», на которой есть три опции, с помощью которых пользователь задает способ оптимизации. Всего их три: полня оптимизация, упорядочивание только места, занятого файлами и упорядочивание свободного места. Самый сложный способ – полная оптимизация, так как она требует довольно сложных настроек (они описаны ниже). Самая быстрая и легкая оптимизация – это, как правило, упорядочивание файлов (она чаще всего и требуется).

На вкладке «Оптимизация» есть кнопка «Настроить», которая открывает окно «Настройки полной оптимизации». Окно настроек содержит семь вкладок, задающих параметры процедуры и порядок расположения файлов при оптимизации. Эта настройка не является обязательной, и воспользоваться ею или нет – зависит от желания пользователя. Программа выполнит всю «механическую» часть работы по размещению файлов автоматически, а от пользователя требуется лишь задать алгоритм этой процедуры в настройках программы. Таким образом, Speed Start улучшает сохранность данных, одновременно облегчая доступ к ним за счет упорядочивания их местоположения, как на диске, так и в системе.

В процессе оптимизации программа помещает в начало диска (откуда легче всего получить доступ к файлу) часто употребляемые файлы, а файлы, к которым обращаются редко размещаются в конце диска. В целом структура оптимизации диска представлена в виде схемы в окне настроек процедуры оптимизации. Основа структуры – частота использования файлов. Часто используемые файлы расположены в начале диска. Редко используемые – в конце. Вслед за часто используемыми файлам располагаются папки и файлы, не отнесенные к определенной категории (они занимают большую часть файлового пространства диска). Затем следуют файлы редко изменяемые. За ними – часто изменяемые. За ними программа располагает файлы, помещаемые в конец папки. Между файлами этой категории и файлами, которые используются редко, располагается свободное пространство диска.

Файлы, помещенные в начало, конец и середину диска (т. е. часто используемые, редко используемые, часто изменяемые и редко изменяемые) сортируются по дате последнего обращения: день, неделя, месяц, год. Кроме того, при размещении внутри своих папок эти элементы сортируются стандартным образом: по имени, расширению, дате, времени и размеру. Порядок сортировки, расположение субдиректорий (вложенных папок) задаются пользователем, который волен вовсе отказаться от сортировки.

Для файлов, помещаемых перед свободным пространством, пользователь может задать тип файла. Это должны быть легко фрагментируемые файлы, для оптимизации которых не потребуется особых усилий. Этот тип не следует путать с другим типом файлов – файлы в конце. Это файлы, которые программа в ходе оптимизации помещает в конец диска по желанию пользователя, который должен задать спецификацию таких файлов, выбрав ее в окне выбора файлов. Таким образом, это файлы для перемещения в конец диска не по частоте использования, а по желанию пользователя, который должен иметь для этого достаточные основания, так как процедура обращения к таким файлами будет затруднена их местоположением. При этом размещение таких файлов в конце диска не отразится на их представлении в обычном списке файлов стандартных окон Windows (или панелей Shell manager) – только на обращении к ним программ. Пользователь может также расположить некоторые папки в начало диска, часть из них расположить впереди других. Для этого ему нужно выставить флажок на опции «Поместить папки в начало» вкладки «Папки» окна настроек полной оптимизации. В результате схема оптимизированной структуры изменится – теперь она будет начинаться с папок. После того как опция «Поместить папки в начало» активирована, становится доступной кнопка «Добавить» с помощью которой пользователь может составить список помещаемых в начало диска папок.

Кроме этого, существует теще категория неперемещаемых файлов. Программа обычно определяет некоторую часть файлов как не перемещаемые, но пользователь может добавить к ним свои файлы, если не хочет, по каким-то причинам, чтобы они были перемещены. Спецификация этих файлов задается пользователем на вкладке «Неперемещаемые» окна «Настройка полной оптимизации». При желании пользователь может присоединить к этой категории также файлы с атрибутами «Скрытый», «Системный» и «Только для чтения», выставив флажок в соответствующих опциях в нижней части вкладки.

В раскрывающемся списке кнопки «Свойства» есть команда «Отчет о фрагментации», открывающая окно этого отчета. Окно «Отчет о фрагментации диска» состоит из двух частей. Левая часть представляет стандартное дерево директорий, а правая содержит таблицу со списком файлов выбранной папки и указанием степени их фрагментации, а также количества фрагментов и кластеров для каждого файла по списку.

И еще одна подробность, связанная с использованием карты диска и относящаяся к отчету о фрагментации. Кликнув мышью по любому месту карты, пользователь открывает окно «Содержимое блока», в котором состояние блока показано цветом, и содержится таблица, в которой указан номер кластера и имя файла, а также его состояние (оптимизирован он уже или все еще фрагментирован).

Сделанные настройки можно сохранить, нажав кнопку «Сохранить» на вкладке «Оптимизация» окна «Параметры Speed Disk».

Диск, выбираемый для оптимизации, должен быть помечен галочкой в окне настроек параметров программы, на той же вкладке – «Оптимизация». На этой же вкладке пользователь может, при необходимости, отключить оптимизацию файла подкачки, а также установить параметры безопасности: проверку записей и чистку свободного пространства. Использование проверки записи является дополнительной мерой для того чтобы избежать потери или искажения данных при перемещении, но оно отнимает довольно много ресурсов и существенно увеличивает время, затрачиваемое программой на оптимизацию. Чистка свободного места удаляет «космический мусор» – т. е. фрагменты старых данных, которые иначе засоряют блоки, помеченные как «свободные».

Speed Disk, как и большинство программ пакета нортоновских утилит, может работать в фоновом режиме, когда окно его свернуто в трей (правый нижний угол рабочего стола, рядом с часами). Работа в таком режиме требует отдельной настройки, так как при работе Speed Disk в фоновом режиме пользователь может работать с другой программой. Когда эта программа обращается к жесткому диску и производит запись на него, то Speed Disk делает паузу и возвращается к работе через промежуток времени, указанный на вкладке «Расширенные» (Advanced) окна «Параметры». Этот промежуток задается пользователем произвольно, но по умолчанию он равен одной минуте.

Вот собственно, и все, что касается настройки и работы программы Speed Disk, производящей оптимизацию работы жесткого диска. А теперь давайте перейдем к рассмотрению сопряженной с ней программы Norton Optimize Wizard, используемой для оптимизации реестра системы, файла подкачки и ускорения запуска приложений.

Оптимизация системного реестра и файла подкачки с помощью Norton Optimize Wizard

Когда компьютеру при работе не хватает оперативной памяти, он обращается к жесткому диску, размещая часть данных на нем в виде временных файлов. Используемая при этом часть дискового пространства получила название «файл подкачки» или swap файл. Размер файла подкачки динамически изменяется в соответствии с потребностями работы операционной системы. Одним из побочных эффектов этого является увеличение фрагментации диска. Пользователь может устанавливать максимальный размер swap файла произвольно, и это уменьшит фрагментацию диска от использования файла подкачки, но оптимальный его размер (не слишком большой и не слишком маленький) представляет собой серьезную проблему, так как работа разных приложений требует разного размера swap.

Программа Norton Optimize Wizard предназначена как раз для решения этой проблемы. Мастер оптимизации настроит оптимальный для работы Вашей системы размер файла подкачки. Если система использует не один диск, а несколько, программа Norton Optimize Wizard поместит файл подкачки на самый быстрый из них. Если провести оптимизацию диска с помощью Speed Disk уже после того, как мастер оптимизации выполнит свою работу, то файл подкачки вообще перестанет фрагментироваться.

Системный реестр является базой данных, в которых система хранит информацию о своей аппаратной и программной конфигурации. Поэтому он имеет принципиальное значение для операционной системы. Norton Optimize Wizard реорганизует системный реестр для оптимального размещения и поиска в нем необходимых для работы операционной системы данных.

О том что такое системный реестр и почему он так важен для системы я расскажу подробнее в другом разделе – разделе о работе с Norton Regedit и Norton Registry Tracker, т. е. группой «Справочная информация». Сейчас ограничусь тем, что скажу, что системный реестр – большая база данных, используемая Windows и другими прикладными программами, чтобы хранить информацию об аппаратной и программной конфигурации системы. При работе компьютера информация непрерывно записывается и удаляется из системного реестра. При удалении данных из реестра занимаемое ими место нередко остается пустым, что снижает общую эффективность использования дисковой памяти. Мастер оптимизации способен решить эту проблему, сделав настройку системного реестра оптимальной как для работы системы, так и для использования дискового пространства.

С Norton Optimize Wizard сопряжена еще одна программа – Speed Start, отвечающая за оптимизацию запуска (старта) приложений системы. Speed Start запускается автоматически и постоянно присутствует в оперативной памяти, отслеживая и анализируя каждый старт любого приложения. Затем эта программа производит действия, необходимые для того чтобы программа запускалась наиболее оптимальным для системы образом. Поскольку операционные системы, начиная с Windows 98 и старше, оснащены собственной системой быстрого запуска, то Speed Start используется только работы с Windows 95 (напоминаю, что NU 2001 поддерживают только Windows 95 версии 950 В или OSR 2). Поскольку Windows 95 уже не используется так широко как раньше, то я не стану здесь описывать работу Speed Start.

Norton Optimize Wizard запускается (как и все остальные программы пакета нортоновских утилит) с помощью Интегратора. Поскольку эта программа – Мастер, то ее работа практически полностью автоматизирована и от пользователя требуется только выбрать, что оптимизировать – файл подкачки или системный реестр (или и то и другое вместе). Если размер файла подкачки уже является оптимальным, то в окне Мастера появится сообщение об этом. По завершении работы Мастера компьютер автоматически перезагружается.

А теперь перейдем следующей группе утилит – группе «Оптимизация», в которую наиболее часто используемые программы NU 2001. Можно сказать, что эта группа является основной в наборе.

Непрерывное слежение за состоянием компьютера Norton System Doctor

Norton System Doctor – программа монитор, анализирующая состояние системы и отображающая его в своем главном окне с помощью многочисленного набора разнообразных датчиков и сенсоров. Каждый датчик (сенсор) отображает информацию определенного вида. Виды объединяются в следующие типы: датчики памяти, дисковые датчики, системные датчики, датчики сети и Интернет, датчики производительности и, наконец, датчики информации. Пользователь может составлять любые комбинации датчиков и сенсоров для получения нужной ему конфигурации поставляемой ими информации, но при этом следует помнить, что работа некоторых датчиков отнимает много компьютерных ресурсов и потому перегрузка системы датчиками и процессами чревата зависанием, как самого монитора, так и работающих приложений. Если активный датчик или сенсор обнаруживает проблемы, то он выводит соответствующее сообщение, а программа пытается исправить проблему самостоятельно и, если не может справиться, то предлагает запустить соответствующую утилиту для устранения ошибки. Запуск утилит также можно производить и непосредственно из главного окна программы. При автоматическом исправлении обнаруженных ошибок программа монитор запускает нужную утилиту самостоятельно, но в фоновом режиме. Поэтому процедура автоматического устранения проблем сопровождается резким скачком потребления ресурсов компьютера. Norton System Doctor может работать как в развернутом виде, так и в фоновом режиме, когда он свернут, но доступен через значок в трее. При работе в развернутом виде пользователь может управлять набором датчиков, перемещая их, включая, отключая, активировать одни датчики и удалять с главной панели другие. В свернутом виде программа работает в той конфигурации датчиков и сенсоров, которая была установлена в момент свертывания. Срабатывание датчика в фоновом режиме также приводит к появлению сообщения с предложением запустить соответствующую утилиту.

Рассмотрим типы и виды датчиков, а затем их настройку и работу с ними.

Типы и виды датчиков и сенсоров Norton System Doctor

Всего в Norton System Doctor используется около сорока датчиков, которые разделены на указанные выше шесть типов. Существует три основных формы датчиков: график (диаграмма), стоп-сигнал и календарь. В первом формате данные представляются в окне датчика в виде графика – диаграммы или гистограммы или в виде полосового, аналогового или цифрового сигнала. Во втором формате (стоп-сигнал) датчик, подобно сигналу светофора, только сообщает об одном из трех возможных состояний системы в заданной для него области – нормальное (зеленый сигнал), опасное (красный сигнал) и требующее внимания (желтый сигнал). Наконец, календари отображают текущее время и дату, а также время работы Windows.

Рассмотрим датчики первого типа – датчики памяти. К датчикам памяти относятся: датчик памяти DOS, датчик загрузки памяти, датчик физической памяти, датчики размера и использования файлов подкачки, датчик ресурсов пользователя (USER) и датчик виртуальной памяти.

Датчик памяти DOS контролирует доступность нижней памяти на Вашем компьютере. Объем нижней памяти составляет первые шестьсот сорок килобайт ОЗУ, за что ее и называют нижней. Windows 9x использует DOS для драйверов устройств, загружающих реальный режим, в котором работает операционная система. Прикладные программы, разработанные под DOS или для Windows 3x, также используют нижнюю память, оставшуюся свободной от использования указанными драйверами. Если этой памяти не хватает, то программа не запускается. Для того чтобы пользователь мог управлять использованием нижней памяти и существует этот датчик. Для Windows 2k и, особенно, Windows XP такой проблемы не существует, потому что Windows вообще заменяет драйверы реального режима виртуальными, а для Windows XP DOS эмулируется полностью – поэтому нет необходимости в управлении нижней памятью. Это, в частности, означает, что некоторые прикладные программы, требующие DOS памяти и не работающие под Windows 9x, будут запускаться под Windows XP в режиме совместимости.

Загрузку верхней памяти, т. е. собственно оперативной памяти или ОЗУ, контролирует датчик загрузки памяти, который показывает сколько оперативной памяти отведено работе приложений и системы. При недостатке оперативной памяти – вся область датчика оказывается заполненной – следует закрыть часть используемых приложений, чтобы обеспечить стабильную работу системы и избежать зависания. Собственно говоря, уже пятидесяти процентное показание датчика означает, что свободной оперативной памяти уже нет и система обращается к виртуальной памяти файла подкачки, что существенно замедляет работу ПК.

Объем свободной, т. е. доступной для приложений оперативной памяти, контролируется другим датчиком – датчиком физической памяти, который показывает количество свободной оперативной памяти. Объем свободной оперативной памяти не равен разности между занятой ОЗУ и полным ее объемом, так как операционная система использует часть оперативной памяти для своих операций в качестве буфера системы ввода-вывода. Поэтому свободной оказывается только небольшая часть от общего объема ОЗУ. Буфер системы ввода-вывода – это тип кэша (короткой памяти), который использует RAM (ОЗУ), чтобы временно хранить данные с диска. Доступ к данным с дискеты или CD-ROM производится относительно медленно по сравнению с доступом к данным в RAM. Использование при этом буферов системы ввода-вывода позволяет получить увеличение скорости от двух до десяти раз.

Аналогично контролю состояния ОЗУ (RAM) – датчик загрузки и датчик свободной памяти – производится контроль состояния файла подкачки: здесь используются так же два датчика – датчик размера файла подкачки и датчик использования (загрузки) swap.

Первый из них показывает, сколько свободного дискового пространства используется для swap: размер файла подкачки динамически изменяется согласно потребностям системы. Размеры swap могут отображаться как виде графика, так и виде цифр, указывающий конкретный объем swap (мегабайты, килобайты), или в виде процентов от общего свободного пространства диска.

Второй датчик показывает, какой именно объем из общего объема, отведенного системой под swap, используется в данный момент для хранения временных файлов, т. е. насколько эффективно используется файл подкачки. Подобно первому датчику, этот датчик также может отображать информацию, как в виде диаграммы, так и в виде цифр (мегабайты, килобайты), или в виде процента от общего объема swap.

Виртуальная память системы состоит из свободного пространства файла подкачки и всего остального свободного дискового пространства. Потенциально виртуальная память может быть использована для хранения временных файлов при запуске новых приложений в дополнение у же имеющимся при недостатке всей остальной памяти – оперативной и файла подкачки. Поэтому уменьшение объема виртуальной памяти делает невозможной работу сложных программ, требующих большого количества памяти. В основном это относится к играм, требующим поддержки 3 D (Unreal, Quake), но сюда также относятся и программы для работы с графикой, звуком и видео (Corel, Pinnacle, Ulead, Cool Edit Pro), которые используют в работе временные файлы, сохраняемые на жестком диске и занимающие просто огромное пространство (особенно для видео). Если система использует несколько дисков, то виртуальную память можно оптимизировать, перемещая swap на более быстрый диск или увеличивая его объем.

Датчик ресурсов User показывает, какой ресурс памяти доступен для пользователя (user) Windows в процентах от общего ресурса пользователя. Истощение пользовательских ресурсов требует закрытия приложений так же, как и перегрузка оперативной памяти.

Следующая группа датчиков – это дисковые датчики. Они собирают и отображают информацию о состоянии диска и его поверхности, о работе диска и эффективности его использования.

Первый из этих датчиков – датчик оптимизации диска – показывает степень оптимизации (дефрагментации) диска. Если уровень фрагментации диска слишком высок, программа монитор автоматически запускает процедуру дефрагментации диска. Если система использует несколько дисков, то пользователь может установить датчик оптимизации для каждого из дисков или для всех вместе. Информация датчика используется утилитами Disk Doctor и Speed Disk. Поэтому обнаружение проблем сопровождается обращением к обеим программам. Пользователь может настроить проверку состояния диска датчиком от тридцати секунд до одного раза в неделю (обычно используется среднее значение, равное двум часам) и установить режим автоматической запуска процедуры оптимизации диска при достижении уровня фрагментации, заданного пользователем в окне настроек датчика.

Следующий датчик – датчик состояния диска, который следит за общим состоянием локальных жестки дисков системы, которое определяется состоянием файловой системы. Таким образом, датчик состояния диска – это, в основном, датчик состояния файловой системы диска. Он представляет собой стоп-сигнал, который срабатывает при нарушении целостности файловой системы или возникновении каких-то проблем в этой области. При этом на датчике «загорается» красный сигнал. Датчик использует информацию утилит Disk Doctor и Disk Image с интервалом обновления от одной секунды до одного раза в неделю. Датчик может контролировать как все жесткие диски, так и отдельный локальный диск. В последнем случае программа также может контролировать состояние дисков Jaz и Zip Iomega.

Датчик Image контролирует создание образа диска. Образ диска создается программой Image, информацию которой использует датчик и которая описана ниже. Если образ диска уже создан программой Image, то датчик, который имеет формат стоп-сигнала, показывает зеленый сигнал. Когда период времени, указанный для обновления снимка уже прошел и наступило время сделать новый снимок цвет сигнала сменяется на красный. Чем чаще и больше производится изменений в конфигурации системы в связи с установкой новых программ или средств, или просто изменением ее основных настроек для работы специальных приложений (смена DirectX, установка драйверов DivX, смена драйверов аппаратного обеспечения или периферии, смена Ulead на Pinnacle или наоборот и т. п.), тем чаще следует обновлять снимок Image.

Следующий датчик является одним из самых важных и самых сложных датчиков программы монитора. Это датчик Disk Doctor, который контролирует целостность логической структуры диска и размещенных на нем данных. Датчик производит анализ системы на предмет наличия в ней ошибок таблиц размещения файлов, файлов с общими кластерами, потерянных кластеров – в общем, выполняет всю ту работу, которую проделывает при проверке системы служебная программа Windows – Scan Disk. Disk Doctor выполняет эту работу на гораздо более серьезном уровне и значительно более эффективно. Поэтому после установки NU 2001 программа Интегратор предлагает заменить Scan Disk на Disk Doctor. Такая замена, в частности, означает, что при сбоях системы, приводящих к перезагрузке системы с помощью клавиши Reset на системном блоке ПК (так называемый «горячий старт») вместо запускавшейся раньше проверки состояния системы и поиска потерянных в результате сбоя кластеров, программы Scan Disk теперь будет запускаться Disk Doctor, который выполняет такую проверку более основательно и эффективно, но, зато, и гораздо дольше. Вообще, первое время, работа Disk Doctor будет требовать очень много ресурсов и значительно затруднять работу системы. Но зато впоследствии, когда состояние дисков будет отлажено набором утилит, такие проверки не будут требовать от системы особенных усилий и вполне смогут выполняться в фоновом режиме. Впрочем, это относится практически ко всем утилитам Питера Нортона.

Пользователь может установить отдельный датчик для каждого из используемых системой локальных жестких дисков (или виртуальных дисков – секторов большого жесткого диска). Датчик Disk Doctor имеет форму стоп-сигнала, на котором загорается красный свет при обнаружении проблем, связанных с областью информации датчика (состояние логической структуры и поверхности диска). При обнаружении проблем программа монитор обратиться к утилите Disk Doctor в фоновом режиме и попытается устранить проблему автоматически. Если ей это не удастся, то программа выведет сообщение, в котором предложит пользователю запустить Disk Doctor и попытаться решить проблему с его помощью самостоятельно.

Датчик реагирует также на возникновение проблем с загрузочным сектором и таблицей разделов (но не проверяет их – этим занимаются сами утилиты: Disk Doctor, Speed Disk и т. д.).

Загрузочный сектор (Boot Sector) – это сектор диска, в котором хранится начальный блок загрузки системы или данных. Он представляет собой первый физический сектор на дискете или стартовом секторе логического диска (раздела жесткого диска). Загрузочный сектор идентифицирует структуру организации данных системы – размеры секторов, кластеров и т. п. Загрузочные диски содержат в Boot Sector программу, которая загружает операционную систему.

Блок начальной загрузки (Boot) хранится в загрузочном секторе и представляет собой, как уже говорилось, первый физический сектор дискеты или первый логический сектор раздела жесткого диска. Каждый логический диск включает такой блок, в котором хранится информация о логической и физической организации диска: число байтов в секторе, размер кластера (число секторов в кластере), число секторов на диске, число секторов на дорожке, число сторон на диске, байт описателя средств.

Главный блок начальной загрузки (Master Boot) представляет собой информацию, содержащуюся в первом секторе жесткого диска. Master Boot включает таблицу разделов диска и производит идентификацию активного раздела диска, с помощью которого обычно и загружается операционная система. Он создается при форматировании диска.

Повреждение любого из этих элементов – Boot Sector, Boot, Master Boot – перекрывает доступ к данным и делает загрузку системы не возможной. Восстановление поврежденного загрузочного сектора можно считать почти чудом. Стопроцентно эффективных средств их восстановления практически не существует и, в любом случае, восстановление загрузочного сектора – весьма трудоемкая работа. Наверное, именно поэтому загрузочный сектор и его элементы являются одной из излюбленных мишеней для вирусных атак.

Таблица разделов содержится в пределах Master Boot и содержит информацию, которая определяет один или более разделов физического представления жесткого диска в операционной системе.