Установка и настройка службы Active Directory

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

СОДЕРЖАНИЕ

1. Установка и настройка контроллера домена

1.1 Терминология Active Directory

1.2 Установка служб AD (Active Directory)

1.3 Настройка контроллера домена

2. Domain Name System (DNS)

2.1 Для чего он нужен DNS.

2.2 Структура DNS зон

2.3 Типы записей DNS и их создание.

2.3.1 Создание записи типа “SRV”

2.3.2 Создание записи типа “А” или “AAAA”

3. Установка и настройка RMS (Служба управления правами)

3.1 Требования для установки RMS

3.2 Установка Net framework 3.5 SP1

3.3 Создание пользователя для службы RMS

3.4 Установка RMS (Служба управления правами)

3.5 Действия на клиенте

4. Установка и настройка WDS (Windows Deployment Services)

4.1 Что такое WDS ?

4.2 Компоненты WDS

4.3 Установка WDS

4.4 Настройка службы WDS

4.5 Добавление образов в WDS

5/ Установка и настройка WSUS (Windows Server Update Services)

5.1 Установка Report Viewer

5.2 Установка WSUS.

5.3 Конфигурирование WSUS 3.0 SP2

5.4 Настройка объектов GPO на контроллере домена для WSUS

5.5 Поиск и одобрение обновлений WSUS

5.6 Действия, которые необходимо выполнить на клиенте.

5.7 Создание отчета об обновлениях установленных на клиенте

6. Установка LINUX (Ubuntu, Cent OS, Open BSD) по сети

6.1 Как это работает?

6.2 Требования

6.3 Установка tftpd32 v3.50

6.4 Настройка tftpd32 v3.50

6.5 Установка Ubuntu

6.6 Создание образа загрузочной дискеты

6.7 Действия на клиенте

7. Создание файлов ответов.

7.1 Требования для создания файлов ответов.

7.1.1 Установка Windows SIM

7.2 Примеры файлов ответов для одного образа Windows 7

7.2.1 Пример файла ответов UNATTEND.xml

7.2.2 Пример файла ответов IMAGE UNATTEND.xml

7.3 Описание файлов ответов UNATTEND.xml и IMAGE UNATTEND.xml

7.3.1 Описание тегов xml для файла ответов UNATTEND.xml

7.3.2 Описание тегов xml для файла ответов IMAGE UNATTEND.xml

7.4 Файлы ответов на WDS-сервере

7.5 Модификация PXE загрузчика

7.6 Пример установки образа ОС с файлами ответов.

7.7 Описание образов WDS

8. Установка и настройка KMS (Key Management Service)

8.1 Что такое KMS ?

8.2 Корпоративные ключи KMS и MAK

8.3 Схема работы KMS

8.4 Требования использования службы KMS в локальной

8.5 Действия необходимые для настройки KMS сервера.

8.6 Настройки KMS-сервера

9. Миграция параметров USMT (User State Migration Tool). (winXP и win 7).

9.1 Требования

9.2 Миграция файлов параметров из Windows XP в Windows 7

9.3 Проверка миграции файлов.

ПЕРЕЧЕНЬ УСЛОВНЫХ ОБОЗНАЧЕНИЙ

AD - Active Directory «Активные директории», AD -- LDAP-совместимая реализация службы каталогов корпорации Microsoft для операционных систем семейства Windows NT. Active Directory позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, развёртывать программное обеспечение на множестве компьютеров через групповые политики или посредством System Center Configuration Manager (ранее Microsoft Systems Management Server), устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на всех компьютерах в сети, используя Службу обновления Windows Server. Active Directory хранит данные и настройки среды в централизованной базе данных. Сети Active Directory могут быть различного размера: от нескольких сотен до нескольких миллионов объектов.

ASP (Active Server Pages) -- предшествовавшая ASP.NET технология создания динамических веб-страниц на основе сценариев. Входит в поставку IIS начиная с версии 3.0. Первая технология компании Microsoft, позволяющая динамически создавать веб-страницы на сторонесервера. ASP работает на операционных системах линейки Windows NT и на веб-сервере Microsoft IIS.

ASP.NET -- разработанная Microsoft технология; для IIS это -- основное на сегодняшний день средство создания веб-приложений и веб-служб. IIS 6.0 поставляется вместе с операционными системами, в которые также изначально входит .NET Framework, так что поддержка ASP.NET как будто уже встроена в IIS 6.0; для более ранних версий необходимо отдельно загрузить и установить .NET Framework.

BDC - резервный контроллер домена

CGI (Common Gateway Interface)-- стандартная межплатформенная низкоуровневая технология создания динамических веб-страниц. Стандарт интерфейса, используемого для связи внешней программы с веб-сервером. Программу, которая работает по такому интерфейсу совместно с веб-сервером, принято называть шлюзом, хотя многие предпочитают названия «скрипт» (сценарий) или «CGI-программа».

Checkbox - Галочка .

DFSN - ( Default-First-Site-Name ) - Имя сайта по умолчанию.

DNS (Domain Name System) -- система доменных имён-- компьютерная распределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись). Основой DNS является представление об иерархической структуре доменного имени и зонах. Каждый сервер, отвечающий за имя, может делегировать ответственность за дальнейшую часть домена другому серверу (с административной точки зрения -- другой организации или человеку), что позволяет возложить ответственность за актуальность информации на серверы различных организаций (людей), отвечающих только за «свою» часть доменного имени.

FastCGI -- клиент-серверный протокол взаимодействия веб-сервера и приложения.

FQDN (Fully Qualified Domain Name) - «полностью определённое имя домена», иногда сокращается до «полное имя домена») -- имя домена, не имеющее неоднозначностей в определении. Включает в себя имена всех родительских доменов иерархии DNS

FTP (File Transfer Protocol) - стандартный протокол, предназначенный для передачи файлов по TCP-сетям (например, Интернет). FTP часто используется для загрузки сетевых страниц и других документов с частного устройства разработки на открытые сервера хостинга.

HTTP (HyperText Transfer Prоtocоl) - протокол прикладного уровня передачи данных (изначально -- в виде гипертекстовых документов). Основой HTTP является технология «клиент-сервер», то есть предполагается существование потребителей (клиентов), которые инициируют соединение и посылают запрос, и поставщиков (серверов), которые ожидают соединения для получения запроса, производят необходимые действия и возвращают обратно сообщение с результатом. HTTP в настоящее время повсеместно используется во Всемирной паутине для получения информации с веб-сайтов.

HTTPS (Hypertext Transfer Protocol Secure) - расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных. В отличие от HTTP, для HTTPS по умолчанию используется TCP-порт 443.

IIS (Internet Information Services) -проприетарный набор серверов для нескольких служб Интернета от компании Майкрософт. IIS распространяется с операционными системами семейства Windows NT.

IMAGE UNATTEND.xml - конфигурирование системы после заливки образа, этот так называемая стадия OOBE (Out-Of-Box-Experience).

IP (Internet Protocol) - межcетевой протокол. Относится к маршрутизируемым протоколам сетевого уровня семейства TCP/IP. Именно IP стал тем протоколом, который объединил отдельные подсети во всемирную сеть Интернет.

ISAPI (Internet Server Application Programming Interface)-- низкоуровневая технология, аналогичная интерфейсу модулей Apache, предоставляющая полный доступ ко всем возможностям IIS, возможность разработки веб-приложений в машинном коде и возможность переопределения части функций IIS и добавления к нему функций, как связанных с генерацией контента, так и не связанных с этим. Подсистема исполнения скриптов ASP и подсистема ASP.NET выполнены как модули ISAPI.

KKC (Knowledge Consistency Checker) - Проверки согласованности знаний является составной частью доменных служб Active Directory (AD DS), который отвечает за генерацию топологии репликации между контроллерами домена. Создание эффективной и отказоустойчивой топологии репликации является неотъемлемой частью достижения согласованности данных между контроллерами домена.

LDAP - (Lightweight Directory Access Protocol)-облегчённый протокол доступа к каталогам -- протокол прикладного уровня для доступа к службе каталогов X.500. LDAP -- относительно простой протокол, использующий TCP/IP и позволяющий производить операции авторизации (bind), поиска (search) и сравнения (compare), а также операции добавления, изменения или удаления записей. Обычно LDAP-сервер принимает входящие соединения на порт 389 по протоколам TCP или UDP. Для LDAP-сеансов, инкапсулированных в SSL, обычно используется порт 636 или LDAPS.

NNTP (Network News Transfer Protocol) - представляет собой сетевой протокол, распространения, запрашивания, размещения и получения групп новостей при взаимодействии между сервером групп новостей и клиентом.

OU - (Organizational Unit) Организационное подразделение в котором создаются объекты (группы, пользователи и т.д. )

PDC - первичный контроллер домена

RMS - (Rights Management Services) - технология защиты документов Microsoft Active Directory путем шифрования с применением ограничений доступа и лицензий доступа позволяющая сохранять ограничения даже после загрузки и открытия файла пользователем. Технология требует поддержки со стороны клиентского ПО применяемого для работы с документами, такую поддержку имеет Microsoft Office 2007 Enterprise, Professional Plus и Ultimate. AD RMS можно использовать параллельно с другими технологиями, например смарт-картами. Так же необходима поддержка со стороны клиентской ОС; в Windows 7, Windows Vista и Windows Server 2008 включён клиент AD RMS.

Служба FRS - использует контейнеры, объекты и атрибуты, которые хранятся в Active Directory и реплицируются между контроллерами определенного домена. Наиболее важное значение имеют объекты члена FRS и объекты подписчика FRS. К обязательным (в соответствии с определением класса схемы) и дополнительным атрибутам относят атрибуты Schedule, FRS-File-Filter, FRS-Folder-Filter и место расположения базы данных FRS. Определение схемы содержит определения контейнеров или место расположения объектов FRS. Дополнительные сведения см. в следующей статье базы знаний Майкрософт: [Ссылка 3]

Служба FRS поддерживает два типа наборов репликации: DFS и SYSVOL. Средство Dcpromo.exe косвенно создает контейнеры, объекты и атрибуты для наборов репликации SYSVOL. Оснастка DFS (Dfsgui.msc) создает объекты, когда включается репликация между двумя и более целями в корне или ссылке DFS, а также в случае добавления нового члена в набор репликации FRS.

RODC (Read-Only Domain Controllers) - Контроллеры домена только для чтения это новый тип контроллера доменов для Windows Server 2008. Благодаря функции RODC, организации могут с легкостью разворачивать контроллеры доменов в тех местах, где физически нельзя гарантировать безопасность. Основной задачей RODC является улучшение безопасности в офисах филиалов компании. В офисах филиалов компаний зачастую трудно обеспечить безопасность, необходимую для инфраструктуры IT, особенно для контроллеров доменов, содержащих незащищенные данные. Часто контроллеры доменов расположены под столами в офисах. Если кому-либо удается получить физический доступ к контроллеру, то ему не сложно будет манипулировать системой и получить доступ к данным. RODC решает эту проблему.

SID (Security Identifier) - Идентификатор безопасности -- структура данных переменной длины, которая идентифицирует учетную запись пользователя, группы, домена или компьютера (в Windows на базе технологии NT (NT4, 2000, XP, 2003, Vista). SID ставится в соответствие каждой учетной записи в момент её создания. Система оперирует с SID'ами учетных записей, а не их именами. В контроле доступа пользователей к защищаемым объектам (файлам, ключам реестра и т.п.) участвуют также только SID'ы.

SMTP (Simple Mail Transfer Protocol) - это широко используемый сетевой протокол, предназначенный для передачи электронной почты в сетях TCP/IP.

SMTP впервые был описан в RFC 821 (1982 год); последнее обновление в RFC 5321 (2008) включает масштабируемое расширение -- ESMTP (англ. Extended SMTP). В настоящее время под «протоколом SMTP», как правило, подразумевают и его расширения. Протокол SMTP предназначен для передачи исходящей почты, используя для этого порт TCP 25.

SSI (Server Side Includes) -- включение в одни страницы текста из других страниц. Строго говоря, веб-приложением не является, поскольку IIS поддерживает лишь ограниченный набор возможностей и без того мало функционального SSI. В частности, IIS5 поддерживает только статическое включение и игнорирует команды условного ветвления.

SYSVOL - папка, в которой хранится серверная копия общих файлов домена, которые должны быть общими для общего доступа и репликации во всем домене.

TCP - Transmission Control Protocol (протокол управления передачей) -- один из основных сетевых протоколов Интернета, предназначенный для управления передачей данных в сетях и подсетях TCP/IP.

UDP - User Datagram Protocol -- протокол пользовательских датаграмм) -- один из ключевых элементов Internet Protocol Suite (более известного как TCP/IP), набора сетевых протоколов для Интернета. С UDP, компьютерные приложения могут посылать сообщения (в данном случае называемые дата граммами) другим хостам по IP-сети без необходимости предварительного сообщения для установки специальных каналов передачи или путей данных. Протокол был разработан Дэвидом П. Ридом в 1980 году. RFC 768.

UNATTEND.xml - Это файл ответов для начальной стадии установки (разбивка диска, подключение к WDS, Выбор образа системы)

X.500 - Служба каталогов. [Ссылка 4]

База AD -- представляет собой древовидную структуру каталогов в которых хранятся объекты. Каталоги имеют название Organizational Unit или организационное подразделение OU .

Домен - Это логическое объединение объектов, имеющих одну общую базу службы каталогов, возможно размещенную на нескольких (компьютерах) контроллерах.

Зампись MX ( Mail Exchanger) -- это один из типов записей в DNS, указывающий способ маршрутизации электронной почты. MX-записи для данного домена указывают серверы, на которые нужно отправлять электронную почту, предназначенную для адресов в данном домене. Кроме того, MX-записи указывают приоритет каждого из возможных серверов для отправки.

Имя хоста, указанного в записи MX, должно содержать IP-адрес, определённый с помощью записи IN A. Псевдонимы IN CNAME не могут иметь своих MX-записей.

Лес - это термин, применяемый для описания совокупности Active Directory деревьев. Каждое дерево в лесу имеет собственное отдельное пространство имен.

Начиная с 2010 года, в систему DNS внедряются средства проверки целостности передаваемых данных, называемые DNS Security Extensions (DNSSEC). Передаваемые данные не шифруются, но их достоверность проверяется криптографическими способами.

Основным компонентом IIS является веб-сервер, который позволяет размещать в Интернете сайты. IIS поддерживает протоколы HTTP, HTTPS, FTP, POP3, SMTP, NNTP.

Служба каталогов - это база данных, хранящая все системные объекты предприятия и их атрибуты (Пользователи, Компьютеры, Группы, Принтеры, Разделяемые папки (Шары) ,Групповые политики) и набор сервисов, предоставляющих доступ к этой базе данных и обслуживание базы.

Чтобы отправить электронную почту на определённый адрес, сервер-отправитель делает DNS-запрос, запрашивая MX-запись домена получателя электронного сообщения (то есть части адреса после символа «@»). В результате запроса возвращается список хостов почтовых, принимающих входящую почту для данного домена, а также величину приоритета для каждого из хостов. Сервер-отправитель затем пытается установить SMTP-соединение с одним из этих хостов, начиная с того, у кого значение величины приоритета наименьшее, перебирая каждый из них, пока не удастся установить соединение хотя бы с одним из них. Если же имеется несколько хостов с одинаковыми приоритетами, то должны быть предприняты попытки установить соединение с каждым из них.

ВВЕДЕНИЕ

Тема: Установка и настройка службы Active Directory

Объем работы: 113 стр.

Цель работы: Настроить программное обеспечение предприятия, которое позволит: централизованно хранить базу пользователей (AD) с отказоустойчивостью, предотвратить несанкционированное обращение к электронной информации (RMS), обеспечить обновление операционных систем и программного обеспечения (WSUS),обеспечить сетевую установку операционных систем. (WDS),автоматизировать установку операционных систем (файлы ответов),обеспечить автоматическую активацию ОС (KMS), перенести данные и параметры пользователей на Windows 7 (USMT).

Рекомендации по использованию: Рекомендую использовать данное программное обеспечение, на предприятиях или сетей с большим количеством компьютеров и пользователей.

1. УСТАНОВКА И НАСТРОЙКА КОНТРОЛЛЕРА ДОМЕНА ACTIVE DIRECTORY

Контроллер домена в компьютерных сетях - сервер, контролирующий область компьютерной сети (домен).

Существует два типа контроллера домена:

§ первичный контроллер домена (PDC)

§ резервный контроллер домена (BDC)

Контроллеры домена, работающие под управлением Windows Server 2003-2008, хранят данные каталога и управляют взаимодействиями пользователя и домена, включая процессы входа пользователя в систему, проверку подлинности и поиски в каталоге. Контроллеры домена создаются при использовании мастера установки Active Directory.

1.1 Терминология Active Directory

Контроллер домена - это сервер на котором располагается, база службы каталогов домена, а так же запущенные службы позволяющие получить доступ к этой базе. Для доступа к базе используется протокол LDAP и LDAPS. Контроллеров домена отвечающих за один и тот же домен может быть несколько, в этом случае между ними выполняется репликация базы данных.

В состав AD входит 5 служб:

1) AD DS (Active Directory Directory Services) - Службы с помощью которой организована работа базы данных.

2) AD CS (Active Directory Certification Services) - Отвечает за выфдачу сертификатов.

3) AD LDS (Active Directory Lightweight Directory Services) - Обеспечивает работу дополнительных экземпляров баз данных служб каталогов. Это необходимо для работы некоторых приложений.

4) AD RMS (Active Directory Rights Management Services) - Службы управления правами пользователей.

5) AD FS (Active Directory Federations Services) - Позволяет настроить доверительные отношения, между двумя организациями.

Структура базы LDAP

Рисунок 1.1 - Структура базы LDAP

LDAP - протокол прикладного уровня для доступа к службе каталогов X.500

LDAP -- относительно простой протокол, использующий TCP/IP и позволяющий производить операции авторизации (bind), поиска (search) и сравнения (compare), а также операции добавления, изменения или удаления записей. Обычно LDAP-сервер принимает входящие соединения на порт 389 по протоколам TCP или UDP. Для LDAP- сеансов, инкапсулированных в SSL, обычно используется порт LDAPS -636.



Рисунок 1.2 - Пример базы LDAP на основе нашего проекта .

1.2 Установка служб AD (Active Directory)

1) ПУСК Выполнить “dcpromo“

2) Далее выполняется проверка данных необходимых для установки AD (Active Directory).

3) Далее запустится мастер AD (Active Directory). Так же можно использовать расширенный режим установки [Приложение А]

4) Далее (информация о совместимости операционных систем).

5) Далее (необходимо выбрать конфигурацию развертывания существующего или нового леса).

Т.к. это первый контроллер мы выбираем “Создать новый домен в новом лесу” и нажимаем далее .

Подчиненный контроллер домена необходимо включить в существующий лес.

6) Теперь нам необходимо ввести полное доменное имя так называемое FQDN (Fully Qualified Domain Name) , для нового домена леса.

Мы вводим имя нашего домена, а именно ( jdsons.com )

7) Далее мастер проверит введенное имя на уникальность .

8) После этого мастер предложит нам выбрать режим работы леса.

Т.к. В нашей сети помимо Windows 2008 server будут ещё использоваться Windows 2003 server, мы выбираем вариант (для установки доверительных отношений, репликации данных, создания сложных топологий репликации).

В режиме работы леса Windows Server 2003 доступны все возможности режима Windows 2000, а также ряд дополнительных:

- Репликация связанного значения, улучшающая репликацию изменений на членов групп.

- Более эффективное создание сложных топологий репликации с помощью KCC.

- Доверие леса, что предоставляет организациям удобство общего пользования внутренними ресурсами в нескольких лесах.

Все новые домены, созданные в этом лесу, будут автоматически функционировать в режиме работы домена Windows Server 2003.

9) Далее выбираем режим работы домена, т.к. в нашей сети используются и 2003 и 2008 сервера.

В основном режиме работы домена Windows Server 2003 доступны следующие возможности:

- универсальные группы

- вложение групп

- преобразование типа группы

- журнал SID

- Ограниченное делегирование, позволяющее приложению воспользоваться преимуществом безопасного делегирования пользовательских учетных данных с помощью протокола проверки подлинности Kerberos.

- Обновления LastLogonTimestamp: Атрибут lastLogonTimestamp обновляется до времени последнего входа пользователя или компьютера и реплицируется по всему домену.

- Возможность задать атрибут userPassword в качестве эффективного пароля для inetOrgPerson и пользовательских объектов.

- Возможность перенаправлять контейнеры "Пользователи" и "Компьютеры" для определения новых известных расположений учетных записей пользователей и компьютеров.

10) Далее устанавливаем дополнительные параметры контроллера домена.

Т.к. это первый контроллер домена он должен быть сервером глобального каталога и не может быть RODC .

Первый контроллер домена в лесу должен быть сервером глобального каталога и не может быть RODC.

Рекомендуется установить службу DNS-сервера на первый контроллер домена.

11) Далее выбираем где будит хранится База Данных и Файлы журнала и папка SYSVOL - папка, в которой хранится серверная копия общих файлов домена, которые должны быть общими для общего доступа и репликации во всем домене. Папка Sysvol на контроллере домена содержит следующие элементы:

1 NET Logon являются общими. Обычно эти размещения объектов политики для сетевых компьютеров-клиентов и сценариев входа в систему.

2 Сценарии входа пользователей для доменов, где администратор использует Active Directory-пользователи и компьютеры.

3 Групповой политики Windows.

4 Соединения файловой системы.

1) Служба репликации файлов (FRS) промежуточной папки и файлы, которые должны быть доступны и синхронизированных между контроллерами домена.

12) Далее устанавливаем пароль администратора для восстановления служб каталогов в случае сбоя.

13) Просмотр выбранных параметров.

Сделать данный сервер первым контроллером домена Active Directory в новом лесу.

Имя нового домена jdsons.com. Это имя является также именем нового леса.

NetBIOS-имя этого домена JDSONS.

Режим работы леса: Windows Server 2003

Режим работы домена: Windows Server 2003

Сайт: Default-First-Site-Name

Дополнительные параметры:

Контроллер домена только для чтения: Нет

Глобальный каталог: Да

DNS-сервер: Да

Создать DNS-делегирование: Нет

Папка базы данных: C:\Windows\NTDS

Папка файлов журнала: C:\Windows\NTDS

Папка SYSVOL: C:\Windows\SYSVOL

Служба DNS-сервера будет установлена на этом компьютере.

Служба DNS-сервера будет настроена на этом компьютере.

Данный DNS-сервер будет основным DNS-сервером для этого компьютера.

Пароль администратора нового домена будет таким же, как и пароль локального администратора этого компьютера.

14) Далее мастер доменных служб выполняет настройку доменных служб AD согласно выбранным параметрам. По желанию можно перезагрузить систему автоматически.

15) Мастер завершает работу нужно нажать “Готово”.

\1.3 Настройка контроллера домена

Настройка контроллера домена выполнялась мастером, нам лишь остается создать необходимые подразделения (OU), необходимых пользователей определить для них права и разрешения, а также включить их в соответствующие группы.

1) Создание подразделения



2) Создание группы пользователей (группы необходимы для удобства распределения и поиска необходимых пользователей, а так же для назначения групповых политик).

3) Создание пользователей

Заполнение данных (Имя, Фамилия, login - имя пользователя для входа в систему)

Далее необходимо задать пароль (в нашем случае, согласно политикам, это должен быть сложный пароль) На предприятии необходимо дать пользователю возможность самостоятельно назначить себе пароль для этого необходимо, установить checkbox “Требовать смену пароля при следующем входе в систему”. Пароль пользователя должен знать только сам пользователь !

В дополнительных свойствах пользователя необходимо назначить, адрес электронной почты, (это необходимо для обмена почтовыми сообщениями, а так же для службы управления правами RMS).

2. DNS (Domain Name System)

DNS (Domain Name System -- система доменных имён) -- компьютерная распределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись). DNS - подменяет имя на IP адрес.

2.1 Для чего он нужен DNS

DNS обладает следующими характеристиками:

§ Распределённость администрирования. Ответственность за разные части иерархической структуры несут разные люди или организации.

§ Распределённость хранения информации. Каждый узел сети в обязательном порядке должен хранить только те данные, которые входят в его зону ответственности и (возможно) адреса корневых DNS-серверов.

§ Кеширование информации. Узел может хранить некоторое количество данных не из своей зоны ответственности для уменьшения нагрузки на сеть.

§ Иерархическая структура, в которой все узлы объединены в дерево, и каждый узел может или самостоятельно определять работу нижестоящих узлов, или делегировать (передавать) их другим узлам.

§ Резервирование. За хранение и обслуживание своих узлов (зон) отвечают (обычно) несколько серверов, разделённые как физически, так и логически, что обеспечивает сохранность данных и продолжение работы даже в случае сбоя одного из узлов.

DNS важна для работы Интернета, так как для соединения с узлом необходима информация о его IP-адресе, а для людей проще запоминать буквенные (обычно осмысленные) адреса, чем последовательность цифр IP-адреса. В некоторых случаях это позволяет использовать виртуальные серверы, например, HTTP-серверы, различая их по имени запроса. Первоначально преобразование между доменными и IP-адресами производилось с использованием специального текстового файла hosts, который составлялся централизованно и автоматически рассылался на каждую из машин в своей локальной сети. С ростом Сети возникла необходимость в эффективном, автоматизированном механизме, которым и стала DNS.

Подробнее о DNS [Ссылка 1]

2.2 Структура DNS

Структура DNS зон нашего предприятия.

www.jdsons.com.

Буквы (имена) в треугольнике - это зоны, за каждую зону может отвечать отдельный сервер, что позволит распределить обязанности по администрированию.

Домен “.” - является корнем дерева. Полное - абсолютное или полностью определенное, fully qualified domain name - доменное имя заканчивается точкой, обозначающей корень доменного дерева, но часто эта завершающая точка опускается. Доменами верхнего уровня выступают двухбуквенные национальные домены или трехбуквенные домены ru, ua, com, edu, org, net, gov, int, и т.д.

2.3 Типы записей DNS и их создание

Запись A (address record) или запись адреса связывает имя хоста с адресом IP. Например, запрос A-записи на имяreferrals.icann.org вернет его IP адрес --192.0.34.164

Запись AAAA (IPv6 address record) связывает имя хоста с адресом протокола IPv6. Например, запрос AAAA-записи на имя K.ROOT-SERVERS.NET вернет его IPv6 адрес -- 2001:7fd::1

Запись CNAME (canonical name record) или каноническая запись имени (псевдоним) используется для перенаправления на другое имя

Запись MX (mail exchange) или почтовый обменник указывает сервер обмена почтой для данного домена.

Запись NS (name server) указывает на DNS-сервер для данного домена.

Запись PTR (pointer) или запись указателя связывает IP хоста с его каноническим именем. Запрос в домене in-addr.arpa на IP хоста в reverse форме вернёт имя (FQDN) данного хоста (см. Обратный DNS-запрос). Например, (на момент написания), для IP адреса192.0.34.164: запрос записи PTR 164.34.0.192.in-addr.arpa вернет его каноническое имя referrals.icann.org. В целях уменьшения объёма нежелательной корреспонденции (спама) многие серверы-получатели электронной почты могут проверять наличие PTR записи для хоста, с которого происходит отправка. В этом случае PTR запись для IP адреса должна соответствовать имени отправляющего почтового сервера, которым он представляется в процессе SMTP сессии.

Запись SOA (Start of Authority) или начальная запись зоны указывает, на каком сервере хранится эталонная информация о данном домене, содержит контактную информацию лица, ответственного за данную зону, тайминги (параметры времени) кеширования зонной информации и взаимодействия DNS-серверов.

SRV-запись (server selection) указывает на серверы для сервисов, используется, в частности, для Jabber и Active Directory.

SRV-запись -- стандарт в DNS, определяющий местоположение, то есть имя хоста и номер порта серверов для определенных служб. Определяется в RFC 2782.

2.3.1 Создание записи типа “SRV”

1) В DNS можно создать запись “SRV” Для этого нужно выбрать пункт меню “Другие новые записи”

2) В появившемся списке нужно найти запись типа SRV.

3) Заполнить необходимые поля, такие как (Служба для которой создается SRV-запись, Протокол, Приоритет, Вес и Порт), а так же нужно указать узел службы.

Домен - доменное имя, для которого эта запись действует.

Служба - указывается символьное имя службы.

Протокол - транспортный протокол используемый сервисом, как правило TCP или UDP.

Приоритет - приоритет целевого хоста, более низкое значение означает более предпочтительный.

Вес - относительный вес для записей с одинаковым приоритетом.

Порт - Порт TCP или UDP, на котором работает сервис.

Узел этой службы - канонические имя машины, предоставляющей сервис.

Запись SRV - Позволяет администраторам использовать несколько серверов для одного домена DNS, просто перенося службу TCP/IP с одного узла администрирования на другой, и назначать некоторые узлы-поставщики служб в качестве основных серверов служб, а другие узлы - в качестве вспомогательных или архивных.

DNS-клиенты, используя SRV-запросы, обращаются за определенной службой TCP/IP и протоколом, направляются на определенный домен DNS и получают имена всех доступных серверов. RFC 2052

Создание записи типа “А” или “AAAA”

1) В DNS создается запись узла, тип записи “A”. IPv4

В которой определяется соответствие имени и IP адреса.

Видео демонстрация создания записи “A” для IPv4.

Запись типа “АААА” - это тоже самое, что и запись типа “А” только для IPv6 .

3. УСТАНОВКА И НАСТРОЙКА RMS

Windows Rights Management Services (RMS) (Служба Управления Правами)- это дополнительная служба помогающая предотвратить несанкционированное обращение к электронной информации в онлайновом и автономном режиме, внутри границ корпоративного брандмауэра и за его рамками.

RMS расширяет стратегию безопасности предприятия, защищая информацию с помощью строгих политик использования, которые сопровождают эти данные, куда бы они не попали. Сотрудники, работающие с информацией, могут четко определить, как адресат может использовать полученную информацию. В частности, можно определить, кто может открывать, редактировать, переадресовывать и/или выполнять иные операции с этой информацией. Организации могут создавать собственные шаблоны политик разграничения доступа, такие как «Конфиденциально-Только для чтения». Эти шаблоны можно непосредственно применять к таким документам, как стратегические бизнес-планы, финансовые отчеты, спецификации продукции, сведения о клиентах и электронные письма.

Более подробная информация [Ссылка 5]

Требования для установки RMS

1) Net framework 3.5 SP1

2) Электронная почта должна быть указана в свойствах пользователя.

3.1 Установка Net framework 3.5 SP1

1) Загрузка Net framework 3.5 SP1

4. УСТАНОВКА И НАСТРОЙКА WDS

4.1 Что такое WDS и зачем он нужен ?

WDS (Windows Deployment Services) или Служба развертывания Windows - Служба WDS предназначена для централизованной установки систем на большом количестве компьютеров. С помощью WDS можно устанавливать как чистые системы, так и предварительно созданные образы, включающие в себя уже установленное ПО и драйвера (Такие образы то же можно создавать средствами WDS).

4.2 Компоненты WDS

Для работы WDS необходимы следующие компоненты:

Роль WDS содержит в себе 2 компоненты:

1) Deployment Server (Сервер развертывания) - Обеспечивает хранение образов и работу с ними.

2) Transport Server (Транспортный сервер) - Осуществляет передачу бразов с Deployment Server на конечный клиент.

Для того чтобы служба WDS работала в сети необходимо следующее

1) AD DS (Active Directory Directory Services) - Службы с помощью которой организована работа базы данных.

2) DNS (Domain Name System) - система доменных имён -- компьютерная распределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись).

3) DHCP (Dynamic Host Configuration Protocol) - это сетевой протокол, позволяющий компьютерам автоматически получать IP-адрес и другие параметры, необходимые для работы в сети TCP/IP. Данный протокол работает по модели «клиент-сервер». Для автоматической конфигурации компьютер-клиент на этапе конфигурации сетевого устройства обращается к так называемому серверу DHCP, и получает от него нужные параметры. Сетевой администратор может задать диапазон адресов, распределяемых сервером среди компьютеров. Это позволяет избежать ручной настройки компьютеров сети и уменьшает количество ошибок. Протокол DHCP используется в большинстве сетей TCP/IP.

4.3 Установка WDS

1)Установка роли “службы развертывания Windows”

2)Компоненты, которые входят в состав службы WDS. Это “Сервер развертывания” и “Транспортный сервер”.

3)Ход установки.

4.4 Настройка службы WDS

1) Запускаем мастер. Предварительно был настроен DHCP и создан дополнительный раздел, на котором будут храниться файлы образов и файлы ответов.

2) Выбираем другой жесткий диск (в нашем случае, это раздел диска).

3) Т.к. сервис DHCP будит, запущен на одном из роутеров, то галочки “Не прослушивать порт 67” и “Настроить для тега 60 DHCP-параметра значение “PXE Client”” устанавливать не нужно, а 60-тег для DHCP нужно настроить на роутере со службой DHCP в ручную.

4) Если на клиенте нет операционной системы, или в настройках BIOS\boot в первом пункте установлено значение “PXE UNDI …” - это означает что клиент готов для установки ОС. Следовательно, чтобы избежать установки ОС на нежелательные компьютеры, было принято решение установить галочку “Уведомлять администратора” - таким образом администратор сам решает на какие клиентские компьютеры будит установлена та или иная операционная система.

5) Запуск служб развертывания.

4.5 Добавление образов в WDS

1)Добавляем образ установки (это весь Windows с программами сжатый в один файл с расширением *.wim).

2) Образы можно помещять в группы для удобства, даем имя этой группе.

“Windows 7 Enterprice”.

3) Далее выбираем папку с образами, в нашем случае это второй раздел нашего диска.

4) После выбора папки и завершения действий, образы появятся в виде списка, после чего к ним можно будит подключать файлы ответов.

Так же необходимо подключить и образы загрузки, таким же образом.

5. УСТАНОВКА И НАСТРОЙКА WSUS

компьютерный сеть контроллер домен

Report Viewer - Программа для создания отчетов по обновлениям, к примеру на какие компьютеры, какие обновления были установлены.

WSUS (Windows Server Update Services) - Сервер обновлений Windows. Если такой сервис присутствует на предприятии, то пользователя не нужно обратятся за обновлениями в интернет, они загружают обновления с сервера WSUS, что экономит интернет трафик. Сервер загружает обновления на свой диск, а клиенты при необходимости забирают нужные обновления сервера.

Для установки WSUS нам понадобится пакет “WSUS30-KB972455-x86” и “Report Viewer”.

5.1 Установка Report Viewer

1) Запуск мастера установки

2) Лицензионное соглашение.

3) Конфигурирование инсталлятора.

4) Завершение установки

5.2 Установка Windows Server Update Services

1) Запускается мастер служб WSUS

2) Выбираем полную установку сервера с консолью администрирования. Т.к. нам необходимо настраивать обновления WSUS на сервере, было принято решение выбрать полную установку.

3) Предупреждение (необходимо установить дополнительные компоненты).

4) Установка дополнительных компонентов необходимых для работы WSUS.

5) Продолжаем установку WSUS 3.0 SP2 (принимаем соглашение).

7) Указываем папку и которой клиенты будут получать обновления.

8)Указываем папку, в которой будет храниться база данных.

9)Можно указать какой Web-сайт будит использоваться для Web-служб WSUS 3.0 SP2. Было принято решение установить рекомендованное значение “Использовать существующий веб-узел IIS по умолчанию”.

10) Вся информация об установке.

11) Установка

12) Установка завершена.

5.3 Конфигурирование WSUS 3.0 SP2

1) Запускается мастер конфигурирования WSUS

2) Предложение принять участие в программе улучшение качества Центра обновления Microsoft

3) Настройка выше стоящего сервера для синхронизации содержимого.

Т.к. это первый сервер мы можем синхронизировать его с центром обновления Microsoft.

4) Далее настраиваем прокси-сервер для выхода в интернет.

5) Установка соединения.

6) Загрузка информации об обновлениях.

7) Выбор языков загружаемых обновлений.

8) Выбор обновлений, которые нужно загружать на сервер, для последующей установки их на клиентские компьютеры. Обновления, выбранных программных продуктов будут загружены на наш сервер WSUS.

9) Выбор классов для синхронизации , существует 9 классов обновлений:

- Драйверы - Программный компонент, предназначенный для поддержки нового оборудования.

- Критические обновления - Широко распространяемое исправление для специальной проблемы, обусловленной критической ошибкой, которая не связана с проблемой безопасности.

- Накопительные обновления - накопительный набор исправлений, обновления безопасности, критические обновления, упакованные обновления вместе, для упрощения развертывания. Накопительные обновления направлены на конкретные области, такие как "Безопасность" или компонентов продуктов, таких как "IIS".

- Обновления определений - Широко распространяемые и часто выходящие обновления программного обеспечения, содержащие дополнения к базе определений продукта. Базы данных определений обычно используются для обнаружения объектов со специальными атрибутами, таких как программы, написанные злоумышленниками, Web-узлы созданные для несанкционированного получения закрытых данных, или нежелательная электронная почта.

- Обновления системы безопасности - Широко распространяемое исправление проблемы безопасности в определенном продукте.

- Обновления - Широко распространяемое исправление для специальной проблемы, обусловленной некритической ошибкой , которая не связана с проблемой безопасности.

- Пакеты новых функций - Выпуск новых функций, которые обычно включаются в следующую версию продукта.

- Пакеты обновления - накопительный набор исправлений, обновлений безопасности, критических обновлений, исправлений дефектов продукции найденных в продукте с момента его выпуска. Пакеты также могут содержать ограниченное число клиентов запрашивающих конструктивные изменения или особенности.

- Средства - Программа или функция, помогающая в выполнении одной задачи или набора задач.

Было принято решение выбрать все классы т.к. неизвестно какие классы обновлений нам понадобятся в будущем.

10) Настройка автоматической синхронизации.

Было принято решение синхронизировать обновления 1 раз в день. в 8:00 утра.

11) Завершение первоначальной настройки сервера.

12) Рекомендации по интеграции WSUS в сферу IT.

Описание рекомендаций.

1 Использование SSL с WSUS - Для защиты развернутой копии WSUS можно использовать протокол SSL. Использование SSL позволяет клиентским компьютерам и подчиненным серверам WSUS производить проверку подлинности сервера WSUS. Протокол SSL также используется WSUS для шифрования метаданных (сведений об обновлениях), которыми обмениваются клиенты и подчиненные серверы WSUS. Следует отметить, что протокол SSL используется WSUS только для защиты метаданных, но не содержимого (самих файлов обновлений). Этот способ также используется Центром обновления Майкрософт для распространения обновлений.

2 Создание группы компьютеров - На этом этапе на сервере WSUS создаются группы компьютеров. Любая группа, кроме группы «Не назначенные компьютеры», может содержать вложенные группы. Это новая функция версии WSUS 3.0.

3 Назначение компьютеров в группы со стороны клиента с помощью групповой политики - Перед выполнением этой операции необходимо создать группу компьютеров. Рекомендуется создать новый объект групповой политики, содержащий только параметры WSUS. Этот объект групповой политики необходимо связать с подходящим контейнером Active Directory. В простой среде можно связать один объект групповой политики WSUS с доменом.

4 Автоматическое одобрение установки обновлений - Администратор может установить правила для автоматического одобрения свежих обновлений сразу после их синхронизации. При таком одобрении могут учитываться классы обновлений, продукты и группы компьютеров. Кроме того, можно задать автоматическое одобрение новых редакций обновлений, автоматическое удаление устаревших обновлений и автоматическое одобрение обновлений WSUS. Все эти правила можно включить или выключить в любое время.

5.4 Настройка объектов GPO на контроллере домена для WSUS

1)Создание GPO (объекта групповой политики) WSUS

Путь к настройкам (Политика WSUS Конфигурация компьютера Политики Административные шаблоны Компоненты Windows Центр обновления Windows).

2) Настройка автоматического обновления (3- автоматическая загрузка и уведомление об установке, установка по расписанию ежедневно в 3:00 )

3) Указывается служба размещения обновлений Microsoft в интрасети.

Т.е. куда клиенты будут, обращается за обновлениями.

4) Частота поиска автоматических обновлений.

5) Разрешить немедленную установку обновлений. Указывает, будет ли служба автоматического обновления устанавливать некоторые обновления без прерывания работы служб Windows и без перезагрузки Windows.

6) Указывает, будет ли служба автоматического обновления доставлять с веб-сайта Центра обновления Windows как важные, так и рекомендуемые обновления.

5.5 Поиск и одобрение обновлений WSUS

После того как WSUS и политики GPO будут установлены и настроены необходимо выполнить синхронизацию нашего сервера с сервером Microsoft.

Перед тем, как одобрять какие либо обновления, необходимо синхронизировать их с сайтом Microsoft.

Процент выполнения синхронизации в данный момент (12%). Необходимо дождаться завершения синхронизации, для того чтобы WSUS мог определить каким компьютерам необходимы обновления. Примерное время синхронизации составило 5ч. 26 мин. (время может отличатся в зависимости от выбора синхронизируемых обновлений и скорости их загрузки).

1) Поиск в полученных обновлениях, находим нужное обновление.

Было принято решение одобрить обновление для Media Center Windows 7 (KB2284742). Для проверки работоспособности.

2) Одобрение обновления.

3) Одобрение обновления Media Center Windows 7 (KB2284742) выполнено.

5.6 Действия, которые необходимо выполнить на клиенте

1) Выполнить поиск обновлений (Панель управления\Система и безопасность\Центр обновления Windows ) Нажимаем на кнопку “Проверка обновлений” После чего выполнится поиск доступных обновлений.

2)Устанавливаем найденные обновления .

3) Подготовка к установке.

4) Если обнавления успешно установлены появится щиток зеленого цвета.

5) После установки необходимо выключить или перезагрузить компьютер.

6) Сравнение номеров обновлений.

6. УСТАНОВКА LINUX (UBUNTU, CENT OS, OPEN BSD) ПО СЕТИ

6.1 Как это работает?

Принцип работы такой же как и WDS для Windows систем, только настраивается сетевая установка LINUX иначе.

Клиент загружается по сети с помощью PXE-загрузчика, PXE-загрузчик получает IP-адрес от DHCP-сервера встроенного в программу tftpd32 которая установлена на сервере, за тем клиент скачивает загрузчик и ждет ввода команды:

1) ENTER - клиент загрузится с локального диска.

2) Dos - загрузится досовская дискетка (загрузочная дискета). После чего начинается установка linux ничем не отличающаяся от установки linux с диска.

Загрузочная дискета создается ранее на основе необходимого образа операционной системы (Ubuntu, Cent OS или Open BSD).

6.2 Требования

1) На компьютере под управлением Windows должен быть установлен tftpd32 v3.500 (бесплатный TFTP/DHCP сервер).

2) Клиентский компьютер должен поддерживать PXE-загрузку.

3) Образ ОС которую нужно установить.

6.3 Установка tftpd32 v3.50

1) Скачиваем и устанавливаем tftpd.

Соглашаемся с лицензией



2) Оставляем галочки как есть, и выбираем запуск после установки.

3) Создаем папку TFTPD в корне диска C:\ в ней создаем папку root в которой будут находится файлы связанные с linux.

4) Установка завершена.

5) Каталог TFTPD в корне диска C:\TFTPD\root был создан при установке tftpd 32.

6.4 Настройка tftpd32 v3.50

1) После установки tftpd v3.500 заходим в “Settings”.

2) Нужно убедится в том, что на вкладке “GLOBAL” выбраны TFTP и DHCP.

3) На вкладке TFTP необходимо указать путь к каталогу C:\TFTPD .



4) Необходимо настроить DHCP-сервер.

1) Указываем начальный IP-адрес для выдачи.

2) Количество выдаваемых адресов не менее “1”

3) Имя загрузочного файла linux указываем позже.

4) Так же нужно указать:

DNS-сервер (172.16.100.1)

Шлюз (172.16.100.254)

Маску сети (255.255.255.0)

Имя домена (jdsons.com)

6.5 Установка Ubuntu

1) Необходимо скачать файлы для сетевой загрузки https://launchpad.net/ubuntu/+archivemirrors Выбираем “Europe” путь (http://ftp.hosteurope.de/mirror/archive.ubuntu.com/dists/maverick/main/installer- installer-i386/current/images/netboot/) и скачиваем файл netboot.tar.gz .

Нужно выбрать необходимую архитектуру.

2) Скачанный файл нужно распаковать в C:\TFTPD\root .

3) Необходимо скопировать файл C:\tftpd\root\ubuntu-installer\amd64\pxelinux.cfg\default в C:\tftpd\root\pxelinux.cfg

4) После распаковки архива указать в настройках программы tftpd32 в DHCP загрузочный файл pxelinux.0 .

6.6 Создание образа загрузочной дискеты

1) Нужно установить программу для создания загрузочных дискет (мы использовал WinImagе )



2) Создание образа дискеты

Выбираем образ linux который хотим установить в нашем случае это (ubuntu-11.04-server-i386).



3) Сохраняем образ дискеты.

4) Выбираем путь для сохранения образа дискеты.

5) Полученный файл необходимо переместить в папку C:\TFTPD\root .

6.7 Действия на клиенте

1) Нужно убедится в том, что на клиенте в BIOS сетевой загрузчик находится на первом месте.

7. СОЗДАНИЕ ФАЙЛОВ ОТВЕТОВ

Файлы ответов необходимы для автоматизации установки ОС windows.

7.1 Требования для создания файлов ответов

1) Для создания файлов ответов, необходимо установить дополнительные компоненты из дистрибутива KB3AIK_RU

Windows SIM - System Image Manager, который входит в состав AIK - Windows Automated Installation Kit .

7.2 Установка Windows SIM

Запускается мастер, нужно принять лицензионное соглашение.

Интерфейс Диспетчера образов системы Windows, с файлом ответов.

При создании файла ответов существует 7 этапов установки системы (передачи или проходы). Некоторые проходы являются обязательными при установке системы, в некоторые системы нужно переводить с помощью специальных команд.

Семь этапов начального конфигурирования установки Windows с помощью файлов ответов:

Windows PE - Первая фаза установки Windows которая заканчивается копированием образа Install.wim (разбивка жесткого диска, подключение к WDS добавление драйверов для Windows PE и т.д.) В WDS входящим в состав Win2008R2 драйвера в образ WindowsPE можно добавлять через консоль WDS. В Win2008 нужно пользоваться или утилитами командной строки(imagex, dism), или с помощью Windows SIM создавать соответствующий файл ответов. Речь здесь идет только о тех драйвера, без которых не сможет начаться установка системы (Сетевая карта, HDD).

Offline Servicing- этот этап начинается после копирования образа но перед его конфигурированием. На этом этапе обычно выполняется установка дополнительных драйверов, обновлений, языковых пакетов

Specialize- выполняется на этапе конфигурирования системы, но до появления окна приветствия. На этом этапе можно настроить сетевые параметры, принадлежность к домену, локализацию системы, часовой пояс, имя компьютера

OOBE System- Эту фазу называют еще Windows Welcome. Это финальное конфигурирование системы, настройка режима обновления, создание пользователей и т.п.

Audit System- В эту фазу можно войти только по выполнении команды sysprep /audit. Это можно сделать как в уже распечатанной система, так и в нераспечатанном нажав Shift+F12. В этом режиме создается временная учетная запись администратора, и можно будет внести изменения в настройку системы, не распечатывая ее.

Audit User- настройка профиля обычного пользователя. Настройки применяются к профилю Default User, на базе которого создаются все остальные профили. В этот режим можно войти командой sysprep /audit. В этом режиме можно назначить тему рабочего стола, разместить ярлыки на рабочем столе и т.п.

Generalize- переход в него выполняется командой sysprep /generalize. Это удаление из OS специфичной информации, например не очищать журналы системы при запечатывании компьютера.

7.2 Примеры файлов ответов для одного образа Windows 7

Пример файла ответов UNATTEND.xml для первоначального этапа конфигурирования установки системы. (Дирекция)

<?xml version="1.0" encoding="utf-8"?>

<unattend xmlns="urn:schemas-microsoft-com:unattend">

<settings pass="windowsPE">

<component name="Microsoft-Windows-International-Core-WinPE" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">

<SetupUILanguage>

<UILanguage>ru-RU</UILanguage>

</SetupUILanguage>

<InputLocale>0419:00000419</InputLocale>

<SystemLocale>ru-RU</SystemLocale>

<UILanguage>ru-RU</UILanguage>

<UILanguageFallback>ru-RU</UILanguageFallback>