Introduction
Este documento descreve as etapas para configurar a Instrumentação de Gerenciamento do Windows (WMI) no Controlador de Domínio do Windows para o Cisco Energywise Management (CEM). O WMI é usado para acessar remotamente as máquinas do Windows para coletar dados e executar comandos. Embora o script esteja disponível que executa todas as etapas necessárias de uma só vez, se o controlador de domínio estiver sendo usado para aplicar políticas nos dispositivos de domínio, é recomendável alterar as configurações na política de domínio, pois os dispositivos substituiriam as alterações locais. Este documento apresenta as etapas para configurar a política de grupo no Controlador de Domínio do Windows para preparar os dispositivos de domínio para interrogação WMI.
Note: Embora a WMI esteja disponível no Windows 2000 com SP2, o aplicativo CEM não oferece suporte ao Windows 2000. Para usar a WMI, o aplicativo CEM requer o Microsoft Windows XP Professional SP2 ou posterior.
Prerequisites
Requirements
A Cisco recomenda que você tenha acesso ao Controlador de Domínio do Windows, Cisco Energywise Management Suite e máquinas remotas (ativos).
Componentes Utilizados
As informações neste documento são baseadas no ambiente CEMS 5.2 no qual o conector do ativo do Ative Diretory (AD) é usado para extrair informações de WMI dos dispositivos remotos.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Configurar
Criar um novo Objeto de Política de Grupo
A primeira etapa é criar um novo objeto de política de grupo. O objeto de política de grupo pode ser criado no controlador de domínio em Gerenciamento de política de grupo, como mostrado:
Objeto de Política de Grupo
WMI: Configurar segurança COM
Para executar consultas WMI remotamente, são necessárias permissões COM específicas. Selecione o objeto de política de grupo criado na etapa anterior, clique com o botão direito do mouse e selecione editar e navegue até este local:
GPMC (Group Policy Management Console, Console de gerenciamento de política de grupo) > Configuração do computador\Configurações do Windows\Configurações de segurança\Políticas locais\Opções de segurança
Localize as capturas de tela para configurar permissões de acesso remoto para o usuário Administradores para as permissões COM para:
DCOM: Restrições de Acesso à Máquina na sintaxe SDDL (Security Descriptor Definition Language)
DCOM: Restrições de Lançamento de Máquinas na SDDL (Security Descriptor Definition Language)
Permissões DCOM
Selecione Definir esta definição de política e clique em Editar segurança. Forneça permissões de acesso local e remoto à conta que deseja usar para WMI.
Permissões de acesso DCOM
Atribuição de direitos de usuário
O aplicativo CEM requer tanto os arquivos de backup e os diretórios como os arquivos e diretórios de restauração para carregar o perfil do usuário quando ele tenta invocar um processo. Também exige o desligamento Forçado de um privilégio de desligamento remoto para permitir que a ação POWER_OFF funcione.
Essas alterações precisam ser feitas nas configurações de atribuição de direitos de usuário neste Objeto de política de grupo. Estes direitos devem ser fornecidos à conta utilizada para a WMI.
SeRemoteShutdownPrivilege - Forçar o desligamento de um sistema remoto
SeBackupPrivilege - Fazer backup de arquivos e diretórios
SeRestorePrivilege - Restaura arquivos e diretórios
SeNetworkLogonRight - Acesse este computador a partir da rede
SeSecurityPrivilege - Escolha Gerenciar auditoria e log de segurança
Essas configurações podem ser configuradas neste caminho:
GPMC (Group Policy Management Console, Console de gerenciamento de política de grupo) > Configuração do computador\Configurações do Windows\Configurações de segurança\Políticas locais\Atribuição de direitos de usuário
Atribuição de direitos de usuário
Configuração do firewall
Para efetuar chamadas WMI para um computador, a porta RPC (TCP 135) deve estar acessível externamente. Isso pode ser feito com o uso do Editor de Gerenciamento de Políticas de Grupo, na árvore de menus, navegue até Configuração do Computador > Políticas > Modelos Administrativos: Definições de política > Rede > Conexões de rede > Firewall do Windows
Selecione Perfil de domínio e clique duas vezes em Firewall do Windows: Permitir exceção de administração remota de entrada. O Firewall do Windows: A janela Permitir exceção de administração remota de entrada é exibida.
Clique em Enabled (Habilitado).
Certifique-se de especificar o endereço IP no campo Permitir mensagens de entrada não solicitadas desses endereços IP.
Você pode inserir * para permitir mensagens de qualquer rede ou, caso contrário, digitar uma lista separada por vírgulas que contenha endereços IP ou sub-redes específicos.
Configuração do firewall
Segurança de namespace WMI
Para habilitar o acesso WMI a uma máquina, permissões WMI específicas devem ser habilitadas para a conta usada. Esta configuração não pode ser feita através da Política de Grupo no Controlador de Domínio do Windows; ela precisa ser feita nas máquinas remotas com a ferramenta WmiSetNsSecurity.
Defina a segurança WMI e execute o comando (substitua %account% pela conta de usuário para a qual deseja definir a segurança) na ferramenta de linha de comando do Windows.
WmiSetNsSecurity Root\CIMV2 -r %account%
WmiSetNsSecurity Root\CIMV2\power -r %account%
WmiSetNsSecurity Root\Default -r %account%
WmiSetNsSecurity Root\WMI -r %account%
Essa configuração precisa ser enviada para todas as máquinas remotas que permanecem. Esta etapa também pode ser executada quando você cria um script de lote e o envia por meio de um script de logon de administrador ou de um script de inicialização de máquina em uma política de grupo.
Configurar permissões do sistema de arquivos.
O aplicativo CEM requer permissões completas para acessar a subpasta Cisco dentro da pasta Windows (por exemplo, C:\Windows\Cisco) para armazenar e executar scripts. Esta etapa precisa ser feita em ativos remotos e detalhes da configuração podem ser encontrados neste artigo na seção de permissão do sistema de arquivos remoto.
https://cem-update.cisco.com/download/files/5.0/docs/CEM_Online_Help/aa1808350.html
Configurar permissões do registro
O aplicativo CEM precisa de acesso ao registro do dispositivo para armazenar vários dados. Consulte a seção configurando permissões de registro neste artigo.
https://cem-update.cisco.com/download/files/5.0/docs/CEM_Online_Help/aa1808350.html
Verificar
Use esta seção para confirmar se a sua configuração funciona corretamente.
Verifique o funcionamento da WMI executando diagnósticos em um dos dispositivos de domínio da GUI do CEMS. Uma configuração bem-sucedida não deve mostrar nenhum erro relacionado à WMI.
Troubleshoot
Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.