Begriffdefinitionen

Windows Server 2012 führte die Unterstützung für das Projizieren einer virtuellen NUMA-Topologie (Non-Uniform Memory Access, nicht einheitlicher Speicherzugriff) in virtuelle Computer mit Hyper-V ein. Diese Funktionalität kann dabei helfen, die Leistung von Arbeitsauslastungen auf virtuellen Computern zu verbessern, die mit großen Arbeitsspeichermengen konfiguriert sind.

NUMA-Topologie in virtuellen Computern mit Hyper-V

Beim Start eines virtuellen Computers versucht Hyper-V, sämtlichen Arbeitsspeicher für diesen virtuellen Computer aus einem einzelnen physischen NUMA-Knoten zuzuweisen, sofern genügend Arbeitsspeicher verfügbar ist. Wenn ein einzelner Knoten die Arbeitsspeicheranforderungen für den virtuellen Computer nicht erfüllen kann, weist Hyper-V Arbeitsspeicher aus einem anderen physischen NUMA-Knoten zu. Dies wird als NUMA-Aufteilung bezeichnet.

https://msdn.microsoft.com/de-de/library/dn282282(v=ws.11).aspx

Mit SR-IOV (Single-Root I/O Virtualization) können mehrere virtuelle Computer die gleichen physischen PCIe-Hardwareressourcen (Peripheral Component Interconnect Express) verwenden. Wenn keine ausreichenden Ressourcen verfügbar sind, wird die Netzwerkkonnektivität vom virtuellen Switch bereitgestellt. Für SR-IOV müssen bestimmte Hardware und besondere Treiber auf dem Gastbetriebssystem installiert werden, und Sie müssen sie möglicherweise im BIOS des Computers aktivieren.

Mit der neuen Hyper-V-Funktion SR-IOV können Sie einen Netzwerkadapter, der E/A-Virtualisierung mit Einzelstamm (Single-Root I/O Virtualization, SR-IOV) unterstützt, einem virtuellen Computer direkt zuzuweisen. SR-IOV maximiert den Netzwerkdurchsatz und minimiert gleichzeitig die Netzwerklatenz sowie den für die Verarbeitung des Netzwerkverkehrs erforderlichen Zentralprozessormehraufwand.

Der Rollendienst Internetdrucken dient dem Erstellen einer Website, auf der Benutzer Druckaufträge auf dem Server verwalten können. Benutzer mit installiertem Internetdruckclient können zudem über das Internet Printing Protokoll (IPP) Verbindungen mit freigegebenen Druckern herstellen.

Authentifizierungsrichtliniensilos und die zugehörigen Richtlinien stellen eine Möglichkeit dar, Anmeldeinformationen mit erhöhten Rechten auf Systeme zu beschränken, die nur für ausgewählte Benutzer, Computer oder Dienste relevant sind. Silos können mit dem Active Directory-Verwaltungscenter und den Active Directory Windows PowerShell-Cmdlets in den Active Directory-Domänendiensten (Active Directory Domain Services, AD DS) definiert und verwaltet werden.

Authentifizierungsrichtliniensilos sind Container, denen Administratoren Benutzerkonten, Computerkonten und Dienstkonten zuweisen können. Über die Authentifizierungsrichtlinien, die auf diesen Container angewendet werden, können dann Gruppen von Konten verwaltet werden. Daher muss der Administrator nicht mehr im gleichen Umfang wie bisher den Ressourcenzugriff einzelner Konten verfolgen, und es wird verhindert, dass böswillige Benutzer durch den Diebstahl von Anmeldeinformationen Zugriff auf andere Ressourcen erlangen.

Mit Funktionen, die in Windows Server 2012 R2 eingeführt wurden, können Sie Authentifizierungsrichtliniensilos erstellen, die eine Gruppe von Benutzern mit erhöhten Rechten beherbergen. Sie können diesem Container Authentifizierungsrichtlinien zuordnen, um die Verwendung privilegierter Konten in der Domäne zu begrenzen. Wenn Konten zur Sicherheitsgruppe "Geschützte Benutzer" gehören, werden zusätzliche Kontrollmechanismen angewendet, z. B. die exklusive Verwendung des Kerberos-Protokolls.

Damit können Sie die Nutzung hochwertiger Konten auf hochwertige Hosts begrenzen. Beispielsweise könnten Sie ein neues Silo für Administratoren der Gesamtstruktur erstellen, das Unternehmens-, Schema- und Domänenadministratoren enthält. Anschließend könnten Sie das Silo mit einer Authentifizierungsrichtlinie konfigurieren, sodass eine kennwort- und smartcard-basierte Authentifizierung von Systemen, die keine Domänencontroller oder Domänenadministratorkonsolen sind, fehlschlägt.