Взаимодействие с Windows из среды Макинтош

Сегодня организации часто используют в своих средах как компьютеры Windows, так и компьютеры Макинтош, а обеспечение их совместной работы стало более простой задачей. Но это не всегда было так. В 1995 г. я начал работать в небольшом бюро обслуживания, также предоставляющем услуги Интернета, в г. Роли, шт. Северная Каролина, большинство сотрудников которого использовали компьютеры Макинтош, и всего несколько человек использовали Windows. Только перед моим уходом оттуда в 1996 г. мы смогли достичь определенного взаимодействия.

Для работы в сети компьютеры Макинтош используют AppleTalk, а в операционной системе Windows в качестве протокола по умолчанию используется протокол TCP/IP (компания Apple только приступила к работе с TCP/IP). Более того, на компьютерах Макинтош использовался собственный механизм совместного доступа к файлам, а в системе Windows использовался протокол, который стал называться SMB. Эти два механизма были настолько несовместимыми, что они были разделены на две отдельные сети, в основном из-за разговорчивости AppleTalk.

Время изменилось — сегодня можно не только разместить компьютеры Макинтош в сетевой инфраструктуре Windows, также можно интегрировать некоторые службы операционной системы. В статье Дона Джонса в этом номере рассматривается работа компьютеров Макинтош и Windows в сети. Я сосредоточусь на обеспечении действительного взаимодействия этих типов систем.

Для обеспечения взаимодействия компьютеров Макинтош и Windows необходима работа с программным обеспечением и службами операционной системы для достижения необходимой функциональности предприятия. Также предполагается базовый уровень оборудования, чтобы можно было в действительности обеспечить взаимодействие, а в качестве моста между двумя платформами часто используется виртуализация. Переход Макинтош от AppleTalk к TCP/IP был невероятно важен для взаимодействия с Windows. И, как вы увидите, переход на архитектуру на основе Intel был так же, если не более, важен.

Active Directory

Совершенно верно. Взгляните на рис. 1 и вы увидите тестовый домен Active Directory, установленный у меня дома — с компьютером iMac в качестве члена.

Рис. 1. Домен Active Directory с компьютером Макинтош

С момента первого выпуска OS X независимые поставщики программного обеспечения создали средства для определенной интеграции компьютеров Макинтош с Active Directory (или, например, позволяющие даже отправить групповую политику клиенту Mac). В операционной системе OS X 10.5 («Leopard»), выпущенной в 2007 г., определенная поддержка была интегрирована напрямую, что позволяет просто объединить компьютер Mac с доменом Windows Active Directory.

Компьютеры Макинтош в своей среде используют каталог LDAP Apple, Open Directory. Хотя Open Directory и Active Directory используют различные схемы, факт, что компьютер Макинтош может присоединиться к каталогу означает, что можно приступить к централизованному управлению ими. Скорее всего, вы вложили средства в инфраструктуру Active Directory и можете интегрировать компьютеры Макинтош в Active Directory, не затрачивая слишком много усилий.

Для интеграции компьютера Макинтош с Active Directory без использования продуктов сторонних разработчиков необходим компьютер Макинтош на основе Intel или PowerPC, работающий под управлением Mac OS X 10.5 или более поздней версии. После загрузки системы и входа в нее откройте папку Applications и перейдите к папке Utilities. В этой папке находится служебная программа, довольно логично называющаяся Directory Utility; запустите ее. Если на компьютере Макинтош уже имеется связанное отношение Open Directory, оно будет видно. В противном случае вы увидите примерно то, что показано на рис. 2.

Рис. 2. Программа Directory Utility для компьютеров Макинтош

Начните с открытия замка в левом нижнем углу и ввода учетных данных администратора. Затем щелкните знак +, чтобы добавить каталог. После открытия этого диалогового окна выберите Active Directory, после чего появится диалоговое окно, показанное на рис. 3.

Рис. 3. Добавление каталога Active Directory

Процесс присоединения системы Windows к Active Directory не сильно отличается, за исключением того, что все осуществляется на одной странице, а устаревшие учетные данные не принимаются (домен\пользователь). Учетные данные должны быть указаны в новой форме user@domain.tld. После присоединения каталог появится в программе Directory Utility (см. рис. 4). Обратите внимание, что при подсоединении всего нескольких компьютеров или необходимости использования графического интерфейса программа Directory Utility быстро выполнит нужные задачи. При необходимости присоединения нескольких компьютеров с помощью сценария или если вам удобнее работать с Terminal (командная оболочка Макинтош), также можно выполнить dsconfigad следующим образом (введите все в одной строке):

dsconfigad –f –a computername –domain yourforest
 .yourdomain.tld –u domainaccount –p domainpassword –lu
 localadminaccount –lp localadminpassword

Рис. 4. Active Directory на компьютере Макинтош

Обратите внимание на то, что при необходимости присоединения компьютера Макинтош как к Active Directory, так и к Open Directory, рекомендуется всегда сначала присоединять его к Active Directory, а затем к Open Directory.

Теперь, после присоединения системы к Active Directory, что можно сделать? Единственный почтовый клиент Макинтош, предоставляющий стандартный доступ к почте и календарю программе Exchange, Microsoft Entourage, не обладает достаточными возможностями, когда дело доходит до перечисления атрибутов каталогов, как это делает программа Microsoft Outlook. Поэтому помимо предоставления возможностей управления программа Directory Utility (также доступная в папке /Applications/Utilities) позволяет просматривать атрибуты каталогов пользователей, групп и многое другое (см. рис. 5).

Рис. 5. Программа Directory Utility позволяет просматривать атрибуты пользователей и групп

Как я уже отметил, доступно несколько приложений для управления системами Макинтош из Active Directory и даже из самой групповой политики — в плане управления практически рассматривающие Макинтош в качестве систем Windows. Рассмотрите такие приложения, как ADmitMac, Centrify DirectControl и другие.

Exchange

Многие годы для подключения системы Макинтош к Exchange пользователям требовалось использовать протокол POP3/SMTP или IMAP для доступа к Exchange или просто использовать веб-клиент Outlook. Однако все это является неудовлетворительным по сравнению с полными возможностями Exchange/Outlook.

Оба выпуска 2004 и 2008 системы Microsoft Office для Макинтош предоставляли полную поддержку Exchange через Entourage (как и Mac OS X Mail, но в этой программе отсутствует исходное ведение календаря). Хотя не доступны все возможности полной интеграции Active Directory с адресной книгой, вы получаете более надежные возможности работы с принудительной отправкой электронной почты (а также с приглашениями на собрании, контактами и календарем), чем при использовании протокола IP для доступа к Exchange. Entourage поддерживает все последние версии Microsoft Exchange.

Важно заметить, что Safari, стандартный веб-обозреватель Apple, при подключении к Exchange через Интернет поддерживает только облегченную версию веб-клиента Outlook. (Internet Explorer – это единственный веб-обозреватель, поддерживающий все функции веб-клиента Outlook.)

Защита доступа к сети

При использовании Windows Server 2008 и развертывании защиты доступа к сети необходимо обратить внимание на то, что корпорация Майкрософт предоставила лицензии на архитектуру NAP двум поставщикам, UNet и Avenda, для создания клиентов для компьютеров Макинтош (а также для Linux).

OCS и Messenger

Последний выпуск приложения Messenger for Mac 7 (обновление версии, изначально входившей в состав Microsoft Office 2008 для Макинтош) предоставляет поддержку другим пользователям MSN Messenger/Live Messenger. Что так же важно в организации Windows, теперь она поддерживает доступ к корпоративным реализациям Office Communication Server (OCS). На снимке экрана на рис. 6 показана область «Corporate» (Корпоративная) учетных записей Messenger, в которой можно указать информацию для подключения к OCS.

Рис. 6. Можно указать данные для подключения Messenger к OCS

Обратное подключение к Windows

Уже в течение некоторого времени корпорация Майкрософт предоставляет версию клиента удаленного рабочего стола для Макинтош. В прошлом году Майкрософт выпустила отличную новую версию, Клиент подключения к удаленному рабочему столу 2 (которая была обновлена в этом году), позволяющий компьютерам Макинтош подключаться к Windows — даже к системам Windows Vista и Windows Server 2008. На рис. 7 показан удаленный рабочий стол для Макинтош. Эта версия поддерживает перенаправление дисков, принтеров и звука, но в ней отсутствует поддержка перенаправления других устройств. Также добавлена возможность установки нескольких одновременных подключений.

Рис. 7. Подключение компьютера Макинтош к Windows

Управление правами на доступ к данным

Как я отмечал в статье рубрики «Материалы о рабочей среде» за ноябрь 2008г., в настоящий момент корпорация Майкрософт не поддерживает доступ к документам, защищенным с помощью управления правами на доступ к данным (IRM), из Microsoft Office for Mac 2004 или 2008 (см. "Открытие документов, защищенных с помощью IRM, в Office для Macintosh невозможно"). В этих версиях можно открывать документы Office Open XML — последняя версия поддерживает исходное открытие, а старая версия поддерживает исходное открытие с установленными последними обновлениями и средством преобразования форматов. Но обе версии не поддерживают прямое открытие документов, защищенных системой IRM, поэтому в системах Макинтош отсутствует собственный способ взаимодействия с электронной почтой, защищенной системой IRM.

Если пользователю Mac необходим доступ к защищенному IRM содержимому, наиболее целесообразно использовать одну из технологий виртуализации для Mac и запустить присоединенный к домену экземпляр Windows, обеспечивающий управление и простую интеграцию с IRM. В системе Windows должна быть установлена копия системы Office 2003 или Office 2007 с корпоративной лицензией, настроенная для работы с IRM.

Единственная сложность этого решения заключается в том, что теперь необходимо управление другой системой Windows (помимо системы Макинтош). Но это, конечно, одна из палок о двух концах виртуализации — ненадлежащее управление может привести к распространению установок Windows. Также существует возможная проблема необходимости изучения работы Office в Windows и в Mac.

Единственная альтернатива виртуализации также заключается в использовании второй установки Windows и более сложна для конечного пользователя. Можно использовать том Boot Camp, на котором установлена система Windows, настроенная описанным выше способом; но система Windows должна быть непосредственно запущена на томе Boot Camp в Mac (мы подробно рассмотрим Boot Camp далее). Вкратце рассмотрим Boot Camp и виртуализацию в системе Макинтош. Обсуждение Boot Camp и виртуализации основано на использовании Macintosh на основе Intel. Устаревшие компьютеры Макинтош с архитектурой PowerPC обеспечивают только эмуляцию с помощью продуктов эмуляции программного обеспечения, таких как Microsoft Virtual PC, а не подлинную виртуализацию.

Совместная платформа

Несколько лет назад компания Apple перешла от архитектуры на основе PowerPC на Intel x86, позволяя снизить стоимость платформы с одновременным повышением производительности благодаря неспециализированному оборудованию. Что может быть настолько же важным, теперь у Макинтош общая платформа с Windows, хотя в системах Макинтош используется не BIOS, а EFI. Кроме того, используется тип раздела GPT вместо типа раздела основной загрузочной записи (MBR), используемого в 32- и 64-разрядных системах Windows.

Все первые системы компании Apple были одноядерными и 32-разрядными. Все выпускаемые сегодня системы Mac поддерживают x64 и оборудованы двухъядерными процессорами — обеспечивая весьма удовлетворительные результаты при использовании программного обеспечения виртуализации и отличную работу при запуске Windows XP или Windows Vista с Aero через Boot Camp.

Использование EFI и GPT (кстати, они были разработаны преимущественно компанией Intel и используются в архитектуре 64-разрядного процессора Intel Itanium) позволило компании Apple избежать множества проблем устаревшей архитектуры BIOS и обеспечить гораздо более гибкие сценарии разметки дисков по сравнению с Windows. MBR-диски имеют множество ограничений относительно количества создаваемых томов, их типов и размера. GPT разработан специально для преодоления этих ограничений.

В результате перехода на архитектуру x86 выросло количество лиц, стремящихся запустить Windows XP в Mac OS. Сложности этого довольно значительны, поскольку 32-разрядная система Windows не поддерживает ни EFI, ни GPT. Компания Apple создала простую служебную программу Boot Camp, бета-версия которой была изначально доступна для загрузки, а теперь она включена только в OS X 10.5. Обеспечивая эмуляцию BIOS и довольно творческий формат раздела «наложения», при использовании которого диск размечается с помощью соответствующих записей разделов MBR и GPT, система Windows может загружаться с собственного тома, в том время как система Mac продолжает работу в собственном томе.

Использование программы Boot Camp осуществляется очень просто; она оперативно перераспределяет разделы диска и помогает в установке Windows. Единственный минус программы Boot Camp заключается в том, что для переключения операционных систем необходимо перезагрузить Mac в Windows, а затем снова выполнить перезагрузку, чтобы вернуться в Mac. Короче говоря, все работает — особенно для таких технологических фанатов, как читатели TechNet Magazine (но должен сказать, что мне не нравится неудобство реального процесса).

Если у пользователя имеется приложение, для которого требуется доступ к реальному оборудованию компьютера (например, насыщенное графикой приложение или периферийное устройство, подключенное через FireWire), программа Boot Camp может быть именно тем, чем нужно. Виртуализация может обеспечить почти такие же результаты, хотя и с некоторыми ограничениями. Основная проблема Boot Camp , вероятно, состоит в том, что для систем Windows с исходными конфигурациями недоступны тома, отформатированные с файловой системой HFS+ Mac, а системы Macs не могут выполнять запись (хотя могут выполнять чтение) в тома, отформатированные в NTFS.

Я хотел бы уделить одному минуту и описать две бесплатные программы и один коммерческий продукт, еще более упрощающие использование Boot Camp. Бесплатная программа rEFIt позволяет создавать более гибкие конфигурации загрузки в системах Mac, чем сценарий BootCamp с одним томом (программа Boot Camp позволяет устанавливать только один экземпляр Windows). С помощью rEFIt я установил на компьютере Macintosh три загрузочные системы, Mac OS X (установлена первой), Windows XP (установлена с помощью Boot Camp) и Windows Vista Ultimate (установлена с помощью rEFIt). Программу rEFIt следует использовать осторожно (прочтите документацию) — это очень мощное средство, которое в случае неправильного использования может повредить систему.

Также бесплатная программа NTFS-3G позволяет системе Mac OS X выполнять не только чтение, но и запись на тома, отформатированные в NTFS. Наконец, программа MacDrive 7 (49,95 долларов США для одной системы) – это, насколько мне известно, единственный способ обеспечения для тома Windows, загруженного с помощью Boot Camp, возможности чтения и записи на том, отформатированный в файловую систему HFS+ Mac OS X.

Виртуализация

Хотя компания Connectix, продавшая свои средства эмуляции и виртуализации корпорации Майкрософт, разработала Virtual PC для Mac, в действительности это было средство эмуляции, а не виртуализации. В сущности, продукт эмулировал набор инструкций x86 на компьютерах с архитектурой PowerPC. Результат был функциональным, но недостаточно быстрым для повседневного использования. Сегодня программа Microsoft Virtual PC работает только на устаревших компьютерах Макинтош с архитектурой PowerPC. Но после известного перехода Apple на архитектуру x86 для компьютеров Макинтош стали доступными как минимум три продукта виртуализации. Некоторые из них даже предоставляют эмуляцию GPU, обеспечивая запуск в системах Mac насыщенных графикой приложений (или, что еще лучше, игр) — и обеспечивают производительность, соответствующую или приближающуюся к работе на физическом оборудовании.

Основные продукты виртуализации Mac – VMware Fusion и Parallels Desktop for Mac. Оба продукта позволяют загружать одни и те же разделы Boot Camp виртуально и через Boot Camp (предоставляя преимущества обоих способов) и обеспечивают «прозрачный» режим, в котором приложения, выполняющиеся на виртуальной машине Windows, выглядят так, как если бы они были запущенны непосредственно на компьютере Макинтош. Они также поддерживают перетаскивание между виртуальными машинами Mac и Windows.

Имейте в виду, что виртуализация клиента IRM делает возможным обход защиты IRM — довольно просто сделать снимок запущенной в системе Макинтош виртуальной машины Windows. Но как я отмечал в статье рубрики «Материалы о рабочей среде» за ноябрь 2008г., IRM хорошо работает только до перехода на «аналоговый путь», что гораздо проще сделать злоумышленнику на виртуальной машине — это следует учесть.

Конечно, было бы здорово, если бы можно было предоставить пользователям Mac (или любой другой платформы) возможности пользователей Windows с такой же простотой использования. Некоторые инструменты (например, приложения IRM, SQL Server или Microsoft .NET) не могут выполняться в исходной среде и должны использоваться из установки Windows, виртуализованной или созданной с помощью Boot Camp (или и то, и другое). В все приложения, для которых требуются современные GPU или DirectX 10, должны выполняться через установку Windows, запущенную с помощью Boot Camp. Виртуализация обеспечивает великолепную связь приложений, поддерживающих только Windows, и пользователей, которым необходимо использовать компьютеры Макинтош.

Заключение

Благодаря переходу на архитектуру Intel x86, множеству доступных сегодня приложений и решений виртуализации/исходной загрузки обеспечение взаимодействия платформ Mac и Windows осуществляется просто, как никогда ранее. Необходимость изоляции пользователей Макинтош в вашей организации в отдельной сети и отсутствие простого способа совместного использования файлов с компьютерами Windows ушли в прошлое.