Kuinka asentaa RSAT ja käyttää PowerShell-etäyhteyttä Windows-palvelimien hallintaan

Johdanto

Etäpalvelimen hallintatyökalut (RSAT) antavat järjestelmänvalvojille mahdollisuuden hallita Windows Server -rooleja asiakastyöasemalta sen sijaan, että he kirjautuisivat suoraan palvelimille. PowerShell-etäyhteys lisää automaatiota ja yksi-moneen hallintaa rutiinitarkastuksia ja muutoksia varten. Yhdessä RSAT ja etä PowerShell kattavat suurimman osan päivittäisestä hallinnasta Windows Server -ympäristöissä, hakemistosta ja politiikkatehtävistä infrastruktuuripalveluihin ja sovelluspalvelimiin.

Mitä ovat etäpalvelimen hallintatyökalut (RSAT)?

Etäpalvelimen hallintatyökalut (RSAT) ovat Microsoftin työkalupaketti, joka mahdollistaa järjestelmänvalvojien hallita Windows Server -rooleja ja -ominaisuuksia Windows-asiakaskoneelta. Sen sijaan, että kirjautuisi sisään verkkotunnusohjaimeen tai infrastruktuuripalvelimeen konsolin avaamiseksi, järjestelmänvalvoja asentaa RSATin hallintatyöasemalle ja suorittaa asiaankuuluvat lisäosat tai PowerShell-moduulit paikallisesti.

Mitä RSAT sisältää

RSAT ei ole yksi konsoli. Se on kokoelma rooliin liittyviä työkaluja, jotka voidaan asentaa Windows-ominaisuuksina. Yleisiä RSAT-komponentteja ovat:

• Active Directory -työkalut (mukaan lukien Active Directory PowerShell -moduuli)
• DNS-palvelintyökalut
• DHCP-palvelin työkalut
• Ryhmän politiikan hallintatyökalut
• Lisäroolityökalut ja hallintakonsolit ympäristöstä riippuen

Käytännön etu on johdonmukaisuus. Hyvin hallittu ylläpitäjän työasema RSAT:lla vähentää "puuttuvien työkalujen" aiheuttamaa aikahukkaa ja tukee parempaa operatiivista hygieniaa, koska työ tapahtuu hallitulta laitteelta sen sijaan, että se tapahtuisi tuotantopalvelimilta.

Missä RSAT sopii Windows Server -ympäristöihin

RSAT on arvokkaimmillaan Windows Server -ympäristöissä, joissa infrastruktuuriroolit ovat keskitettyjä ja niihin päästään toistuvasti. Monilla Windows-tunnuksilla, Windows Server Etätyöpöytä käytetään myös hallintapääsyyn yhdessä RSAT:n ja etä-PowerShellin kanssa. Tyypillisiä esimerkkejä ovat:

• Verkkotunnusohjaimet ja identiteettipalvelut
• DNS- ja DHCP-palvelimet
• Tiedostopalvelut ja jaettu infrastruktuuri
• Liiketoimintasovelluksia tukevat sovelluspalvelimet
• Etätyöpöytä liittyvät roolit, joissa järjestelmänvalvojien on säännöllisesti vahvistettava palvelut ja kokoonpano.

RSAT ei myönnä oikeuksia itsessään. Se yksinkertaisesti tuo esiin työkalut, jotka antavat järjestelmänvalvojille mahdollisuuden käyttää heille myönnettyjä oikeuksia. Siksi RSAT toimii parhaiten osana laajempaa toimintamallia: segmentoitua järjestelmänvalvojan pääsyä, delegoituja oikeuksia ja keskitettyä valvontaa.

Windows Server -ympäristöissä, joissa järjestelmänvalvojat tarvitsevat myös satunnaista täydellistä GUI-pääsyä isännöityihin sovelluksiin tai istuntoihin, TSplus Etäyhteys voi täydentää RSAT:ia ja PowerShell-etäyhteyttä.

Miksi ylläpitäjät käyttävät PowerShellia etäpalvelimen hallintaan?

PowerShell on oletusarvoinen automaatioalusta Windows-hallintaan. RSAT tarjoaa käyttöliittymiä; PowerShell tarjoaa hallintaa, nopeutta ja toistettavuutta. Vaikka järjestelmänvalvoja suosii GUI-konsolia tietyissä tehtävissä, PowerShellista tulee välttämätön heti, kun palvelimien määrä kasvaa tai tehtävät on standardoitava.

Automaatio ja toistettavuus

PowerShell muuttaa manuaaliset menettelyt skripteiksi, joita voidaan käyttää uudelleen, tarkistaa ja parantaa. Se on tärkeää:

• Rutiinitarkastukset ennen huoltovälejä
• Peruskonfiguraation validointi (ominaisuudet, palvelut, rekisteriasetukset)
• Auditointitehtävät, kuten raporttien vienti tai konfiguraatiopoikkeamien vertailu
• Post-patch-tarkistustoimenpiteet uudelleenkäynnistysten ja päivitysten jälkeen

Skripti muuttuu myös dokumentaatioksi. Sen sijaan, että luotetaan heimotietoon, IT-tiimit voivat laatia käyttöohjeita, jotka tuottavat ennustettavia tuloksia Windows Server -ympäristöissä.

Yksi-moneen toiminnot

GUI-hallinta on yleensä yksi palvelin kerrallaan. PowerShell-etäyhteys mahdollistaa yksi-moneen-toimintoja, mikä auttaa:

• Saman komennon suorittaminen useilla palvelimilla
• Keräämällä lokit tai konfiguraatiotulosteet yhteen raporttiin
• Toimiminen johdonmukaisesti onnettomuuksien aikana (palvelun uudelleenkäynnistys, prosessin pysäyttäminen, isäntäkohtainen eristäminen)
• Ajan vähentäminen, joka kuluu samojen klikkausten toistamiseen eri järjestelmissä

Tämä on pääsyy, miksi PowerShell pysyy keskeisenä jopa organisaatioissa, jotka investoivat voimakkaasti graafisiin työkaluihin.

Mitä tapahtuu, kun tarvitset RSAT:ia ja Remote PowerShellia?

RSAT ja PowerShell Remoting päällekkäisyys, mutta ne ratkaisevat eri osia samasta ongelmasta. Monet Windows Server -työnkulut ovat nopeampia, kun molemmat ovat käytettävissä.

Yleiset tehtävät, jotka vaativat molempia

Jotkut tehtävät alkavat konsolissa ja päättyvät skriptiin, tai päinvastoin. Esimerkiksi:

• Käytä Ryhmäkäytäntöjen Hallintaa suunnitellaksesi politiikan, ja käytä sitten PowerShelliä raporttien viemiseen tai linkkien ja laajuuden vahvistamiseen.
• Käytä DNS-hallintaa tarkastellaksesi vyöhykettä interaktiivisesti, sitten käytä PowerShellia luodaksesi tai päivittääksesi tietueita suurissa erissä.
• Käytä Active Directory -käyttäjiä ja -tietokoneita käyttäjäobjektin tutkimiseen, ja käytä sitten AD-moduulia standardoitujen muutosten soveltamiseen monille käyttäjille.

Käytännössä RSAT on erinomainen löytämiseen ja kohdennettuihin muokkauksiin, kun taas PowerShell on erinomainen standardoituihin muutoksiin ja koko laivaston vahvistamiseen.

Mitä standardoida hallintatyöasemilla

Välineiden siirtymisen välttämiseksi ja vianetsintäajan vähentämiseksi monet IT-tiimit standardoivat:

• Mitkä RSAT-ominaisuudet on asennettu (täysi paketti vs minimaalinen kokoelma)
• PowerShell-moduulit ja versiot, joita käytetään runbookeissa
• Perusjoukko skriptejä terveyden tarkistuksia ja toistuvia toimintoja varten
• Käyttömenetelmät (verkkotunnuksen todennus, hyppyboksit, hallintaverkot)

Tämä tekee etähallinnasta luotettavampaa, erityisesti kun useat ylläpitäjät jakavat vastuuta Windows Server -ympäristöissä.

Kuinka asentaa etäpalvelimen hallintatyökalut PowerShellillä?

Tämä osio kohdistuu tarkkaan työnkulkuun: kuinka asentaa Etäpalvelinhallintatyökalut PowerShellillä. Prosessi on suoraviivainen, ja se voidaan toistaa useilla koneilla, jos käytät provisionointiskriptejä.

Vaihe 1: Tarkista käytettävissä olevat RSAT-ominaisuudet

Avaa PowerShell järjestelmänvalvojana ja suorita:

Get-WindowsCapability -Name RSAT* -Online

Tämä luetteloi RSAT-ominaisuudet ja näyttää, onko kukin niistä asennettu. Avainkenttä on Tila:

• Ei läsnä tarkoittaa, että ominaisuus on saatavilla mutta ei asennettu
• Asennettu tarkoittaa, että kyky on jo olemassa

Jos järjestelmänvalvoja odottaa moduulia (kuten ActiveDirectory), mutta se puuttuu, tämä komento on nopein tapa vahvistaa, onko oikea toiminto asennettu.

Vaihe 2: Asenna kaikki RSAT-työkalut PowerShellin kautta

Asentaaksesi täydellisen RSAT-paketin, joka on saatavilla koneelle:

Get-WindowsCapability -Name RSAT* -Online | Add-WindowsCapability -Online

Tämä lähestymistapa on yleinen omistetuissa ylläpitoasemissa, koska se vähentää myöhempiä "yllätyksiä". Jos organisaatiosi suosii minimaalista jalanjälkeä, asenna vain tarvittavat toiminnot, mutta pidä valinta johdonmukaisena tiimin keskuudessa.

Vaihe 3: Asenna tietty RSAT-komponentti

Jos tarvitset vain yhden työkalupaketin, asenna se toiminto suoraan. Esimerkki Active Directorylle:

Add-WindowsCapability -Online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

Tämä on hyödyllistä tiimeille, jotka haluavat kevyitä versioita tai jotka erottavat vastuudet (esimerkiksi helpdesk vs infrastruktuuriadminit).

Varmista RSAT-asennus

Asennuksen jälkeen varmista, että liittyvä PowerShell-moduuli on olemassa. Active Directorya varten:

Get-Module -ListAvailable ActiveDirectory

Jos se ilmenee, tuo se sisään varmistaaksesi, että se latautuu oikein:

Import-Module ActiveDirectory

Tuolloin RSAT on asennettu ja valmis. Voit käyttää GUI-konsolia (Windows Työkalut) ja roolimoduuleja skripteissä.

Kuinka yhdistää etäpalvelimeen PowerShellin avulla?

PowerShell Remoting riippuu WinRM:stä. Verkkotunnusympäristöissä se on usein jo konfiguroitu, mutta monissa verkoissa se on edelleen otettava käyttöön ja validoitava. Hyvä etäyhteysasetelma antaa järjestelmänvalvojille nopean, hallitun pääsyn ilman, että jokaiselle tehtävälle tarvitaan interaktiivisia työpöytäsessioita.

Vaihe 1: Ota käyttöön PowerShell-etäyhteys palvelimella

Kohdepalvelimella suorita:

Enable-PSRemoting -Force

Tämä konfiguroi WinRM:n etäkäyttöä varten, luo kuuntelijat ja mahdollistaa palomuurisäännöt tavanomaisissa skenaarioissa. Hallituissa ympäristöissä ryhmäkäytännöt voivat pakottaa WinRM-asetuksia. Jos etäkäyttö "toimii hetken ja sitten lakkaa", käytäntö on vahva ehdokas.

Vaihe 2: Yhdistä etäpalvelimeen

Avaa interaktiivinen istunto (etäkuori):

Enter-PSSession -ComputerName SERVER01 -Credential DOMAIN\AdminUser

Tämä on vakiomalli PowerShellin yhdistämiseksi etäpalvelimeen ja yleinen lähestymistapa PowerShellin etäyhteyteen palvelimeen vianetsinnässä. Se on paras lyhytaikaisille, vuorovaikutteisille diagnostiikoille.

Lopeta istunto, kun olet valmis:

Exit-PSSession

Vinkki: jos sinulla on nimien ratkaisuongelmia, yritä käyttää palvelimen FQDN:ää lyhyen nimen sijaan. Kerberos- ja sertifikaatti-identiteettitarkistukset voivat olla herkkiä nimivääristymille.

Vaihe 3: Suorita etäkomentoja ilman vuorovaikutteista istuntoa

Skriptausta ja automaatiota varten, käytä Invoke-Command :

Invoke-Command -ComputerName SERVER01 -ScriptBlock { Get-Service }

Tämä suoritetaan etäpalvelimella ja palauttaa tuloksen paikallisesti. Se on tyypillisesti suosituin malli toistettaville toiminnoille, koska sen pakkaaminen skripteihin, tulosten kirjaaminen ja virheiden käsittely on helpompaa.

Vaihe 4: Kestävät istunnot toistuvaa työtä varten

Jos sinun tarvitsee suorittaa useita komentoja, käytä pysyvää istuntoa:

$session = New-PSSession -ComputerName SERVER01 -Credential DOMAIN\AdminUser Invoke-Command -Session $session -ScriptBlock { Get-Process } Remove-PSSession $session

Tämä estää toistuvan uudelleen yhdistämisen ja on hyödyllinen ylläpitokirjoituksissa, jotka suorittavat kiinteän tarkistusten ja toimintojen sekvenssin.

Miten voit vianjohdattaa PowerShell-etäyhteyksiä?

Etäkäyttövirheet näyttävät usein samankaltaisilta, mutta syyt jakautuvat yleensä kolmeen kategoriaan: WinRM-konfiguraatio, verkko/palomuuri ja todennus/luottamus. Diagnoosi ensin kategoria, sitten korjaa soveltuva.

WinRM-palvelu ja etäyhteysasetukset

Aloita WinRM-palvelu palvelimella:

Get-Service WinRM

Jos se ei ole käynnissä:

Aloita palvelu WinRM

Sitten sovella etäyhteysasetuksia uudelleen:

Enable-PSRemoting -Force

Jos palvelu on käynnissä, mutta yhteydet epäonnistuvat edelleen, tarkista, pakottaako ryhmäkäytäntö WinRM-kuuntelimen asetuksia tai rajoittaako se sallittuja asiakkaita.

Palomuuri ja portti 5985

Jos virhe on aikakatkaisu tai ei-voida-yhteyttä -viesti, vahvista palomuurisäännöt palvelimella:

Enable-NetFirewallRule -DisplayGroup "Windows Remote Management"

Myös validoi verkko-profiilin luokittelu ja kaikki verkon segmentointisäännöt hallintatyöaseman ja palvelimen välillä. Jos hallintapolku ylittää a VPN etätyöpöydälle malli, varmista, että reititys- ja palomuurisäännöt sallivat WinRM-liikenteen päästä päähän. Etäyhteys, joka toimii "palvelimen VLAN:issa" mutta epäonnistuu "ylläpitoaliverkosta", on yleensä ACL- tai palomuuripolitiikkaongelma.

Luotetut isännät ei-alueen skenaarioissa

Työryhmäympäristöissä TrustedHosts saattavat olla vaadittuja asiakkaalla:

Set-Item WSMan:\localhost\Client\TrustedHosts -Value "SERVER01"

Pidä TrustedHosts kapeina ja tarkkoina. Vältä laajoja jokerimerkkiyksityiskohtia, ellei sinulla ole vahvoja kompensoivia kontrollimekanismeja ja ymmärrä turvallisuusvaikutuksia.

Todennusongelmat ja "kaksinkertainen hyppy"

Muutamat mallit aiheuttavat toistuvaa hämmennystä:

• Väärä tietokoneen nimi: Kerberos ja henkilöllisyystarkistukset voivat epäonnistua, jos DNS-nimet eivät vastaa sitä, mitä palvelin odottaa.
• Riittämättömät oikeudet: Etäkäyttö toimii, mutta komennot epäonnistuvat, koska tilillä ei ole oikeuksia kohdejärjestelmässä.
• Kaksoishyppy: Toisen resurssin käyttäminen etäistunnon sisällä (kuten tiedostojako tai toinen palvelin) voi epäonnistua delegointirajoitusten vuoksi.

Vianetsinnässä erota "En voi yhdistää" ja "Yhdistin, mutta toiminto epäonnistui". Ne viittaavat eri korjauksiin.

Mitä voit tehdä, kun PowerShell-etäyhteys ei riitä?

Vaikka PowerShellin etäyhteydet ovat ihanteellisia komentorivihallintaan, monet IT-tiimit tarvitsevat silti täydellistä graafista etäyhteyttä Windows-palvelimiin ja liiketoimintasovelluksiin. Jotkut toimittajien työkalut ovat vain graafisia käyttöliittymiä, jotkin tehtävät tarvitsevat visuaalista kontekstia, ja jotkin kuormitukset vaativat ylläpitäjien vuorovaikutusta palvelimella isännöidyn sovelluksen kanssa tarkalleen kuten käyttäjät tekevät. Kun ylläpitäjät palaavat interaktiivisiin istuntoihin, a turvallinen RDP-konfigurointilista auttaa standardoimaan kovettamista ja vähentämään altistumista.

Miksi GUI-pääsyä tarvitaan edelleen

Yleisiä tapauksia ovat:

• Suorittaminen MMC-laajennuksia tai myyjäkonsolien, jotka eivät toimi hyvin skriptien kanssa
• Vianetsintä sovelluksen käyttöliittymän virheiden ja käyttäjäympäristön ongelmien ratkaisemiseksi
• Suorittaminen tehtäviä, jotka vaativat vuorovaikutteista vahvistusta (asentajat, taikurit, visuaaliset lokit)
• Tukeminen liiketoimintasovelluksille, jotka on julkaistu Windows Serveristä

PowerShell on edelleen paras työkalu automaatioon ja toistettaviin toimintoihin, mutta GUI-pääsy on usein tarpeen täydellisen kuvan saamiseksi.

Miten TSplus Remote Access täydentää RSAT:ia ja PowerShellia?

TSplus Etäyhteys tarjoaa turvallisen tavan käyttää Windows-työpöytiä ja Windows-sovelluksia etäyhteydellä, mukaan lukien verkkopohjaiset käyttötilanteet. Ympäristöissä, joissa järjestelmänvalvojat ja käyttäjät tarvitsevat luotettavaa pääsyä Windows Server -isännöityihin sovelluksiin, TSplus Remote Access voi täydentää RSAT:ta ja PowerShelliä kattamalla interaktiiviset käyttötilanteet:

• Turvallinen pääsy palvelin työpöytiin tai julkaistuihin sovelluksiin, kun graafinen käyttöliittymätyö on tarpeen.
• Monikäyttäjä samanaikaiset istunnot, joissa se on sopivaa jaettujen palvelinympäristöjen osalta
• Vähemmän riippuvuutta monimutkaisista VPN-reitityksistä rutiininomaisissa pääskenaarioissa
• Käytännöllinen vaihtoehto pk-yrityksille, jotka tarvitsevat etätoimitusta ilman täydellisen RDS-infrastruktuurin rakentamista.

Toimintamalli pysyy yksinkertaisena: käytä RSAT:ia ja PowerShellia rakenteelliseen hallintatyöhön ja käytä turvallista graafista käyttöliittymäpääsyä, kun työ vaatii vuorovaikutteista hallintaa tai sovellusten toimitusta.

Päätelmä

RSAT plus PowerShell Remoting on yksi tehokkaimmista yhdistelmistä Windows Server -hallintaan. Asenna RSAT PowerShellin avulla standardoidaksesi hallintatyöasemasi, ota käyttöön WinRM-etäyhteys palvelimilla ja valitse oikea etäyhteysmalli tehtävälle: interaktiiviset istunnot vianetsintään ja Invoke-Command automaatioon ja toistettavuuteen. Kun työ vaatii täydellistä GUI-käyttöoikeutta tai käyttäjätukea, lisää etäyhteys- ja tukikerros, joka täydentää komentorivityökalujasi sen sijaan, että se korvaisi niitä.