仔細閱讀了Windows Server 2008的說明書，發掘其對企業的幫助。
最顯著的改變
與從Windows 2000 Server到Windows Server 2003系統的改進——只進行了相當少的更新——不同，Windows Server 2008對構成Windows Server產品的內核代碼庫進行了根本性的修訂。
Windows Server 2008和Windows Vista系統——直接源自安全發展模式(secure development model)共享的基礎代碼數量很少。這是微軟公司編程方法的重大改變，其將安全代碼放置在了所有指令前面。因此，你在Vista 和Windows Server 2008系統都可以看到很多新的功能和更新，這都是增加了安全代碼庫同時提高了系統整合和可靠性的結果。
對Windows Server 2008更新包括對Server Core和Internet Information Services 7.0的徹底更新。以下是更新的詳細情況。
圖一，Server Core
Server Core
Server Core是Windows Server 2008最小的安裝選擇部分，其僅包括一個執行文件的子文件和服務器任務。管理是通過命令行(見圖一)或者通過一個未加入的結構文件。
據微軟公司說，"Server Core的設計目的是用于擁有很多服務器的企業(這些企業有的僅僅需要執行專門的任務，但是卻有著超出其所需的穩定性或者在高安全需求的IT環境。“因此，Core服務器所能擔當的角色很少。其僅是：
＊動態主機配置協議(Dynamic Host Configuration Protocol)服務器
?。蛎到y服務器
?。?strong>文件服務器，包括文件復制服務(file replication service)，分布式文件系統(distributed file system)，分布式文件復制系統(distributed file system replication)，網絡文件系統和單一執行個體存儲器(network file system and single instance storage)。
?。?strong>打印服務
＊區域控制器，包括一個只讀區域控制器
＊Active Directory Lightweight Directory Services服務器
?。猈indows服務器虛擬化
?。?strong>IIS，盡管只有正常功能的一小部分，確切地說，僅有靜態HTML主機，也沒有動態Web應用軟件支持
?。?strong>Windows多媒體服務(Windows Media Services)
其次，Server Core可作為微軟集成系統的一個部分，采用網絡下載平衡、主機Unix軟件，對這些組成部分的驅動用Bitlocker進行加密，遠程控制采用位于一臺客戶機上的Windows PowerShell，同時通過Simple Network Management Protocol進行監控。
大多數管理員感到將Server Core放置在分公司以執行區域控制器功能是對略陳舊的硬件(否則將被丟棄)的最佳利用。Server Core最小的footprint實現了操作系統用盡可能少的系統資源完成盡可能多的任務，而減少的attack surface和穩定性使得其成為類似用具的機器極佳選擇。其次，有一個分公司，你可以將Server Core和此功能相結合以配置只讀區域控制器，同時采用BitLocker對各部分進行加密，這就形成了一個輕量級的安全解決方案。
Server Core是一款令人驚嘆的新選擇，其適用于除了超小型企業外的所有企業。#p#
IIS的改進
令人尊敬的Microsoft Web服務器軟件到Windows Server 2008已經經歷了數次修訂。IIS 7首次完全公開并完全部件化——你可以只安裝你所需要的組件，因此更輕，響應更多且更不易被攻擊。IIS管理界面也完全重新設計。核心的改進包括：
＊全新的組件結構
在IIS歷史上，首次，管理員嘗試了可完全控制IIS的哪些部分被安裝并在特定時間運行。你可以運行你所需的特定服務。這樣系統也會更安全，并且易于管理，程序的執行情況也會更好。FastCGI支持意味著PHP和其他運行時間語言被快速執行，安裝Windows的機子之前沒有這一功能。
?。?strong>靈活的擴展模式
IIS 7使得開發者可以進入一個全新的APIs套裝——可直接與IIS溝通，這使得模塊開發和定制更容易進行。開發者甚至可以進入內部結構、腳本，甚至可以登錄并管理IIS域——為勇于嘗試的管理員和第三方軟件供應商開了很多通路以擴展IIS的功能。
?。?strong>簡化結構以及應用軟件的配置功能
結構可以通過XML文件完全完成。中心IIS結構可以通過多個文件進行擴展，使得很多網站和應用軟件運行在相通的服務器上但是相互獨立，但是其結構仍易于管理。微軟公司最鐘愛IIS 7的組件是用相同配置的機器建立網絡田，因為新的服務器田已經聯機了，管理員可以輕松采用XCOPY同時通過新的服務器轉移當前結構文件。其次，新服務器上安裝的IIS與現有服務器上的相同。這或許是最大的好處，也是IIS 7進行的更新中最受歡迎之處。
＊委托管理功能
跟Active Directory——實現了使管理員分配許可以執行確定的管理功能很像，IIS管理員可以將一些功能的管理任務委托給其他人，例如網站所有者。
?。?strong>更多有效的管理功能
你不會再在大量標簽和對話框中尋找一個你需要更改的設置。創建一個新的網站只有一個對話框，增加一個應用軟件池同樣只有一個對話框。所有的工具以及功能都在控制臺的敏感區域。IIS Manager完全進行了重新設計，同時加入了一個新的管理有效性命令行：appcmd.exe。
圖二，IIS Manager
這一更改使得IIS的功能可與Apache的產品媲美，易管理性和模塊性都很好。
#p#
網絡的改進
Windows Server 2008小組進行了特別的努力以改進網絡性能和有效性。第一次，本地IPv4和IPv6支持同時具有了雙IP層結構。如果你已經在Windows Server 2003服務器上配置了IPv4和IPv6，你就知道進行交互操作有多麻煩。
通過將TCP/IP的個部分更好地整合，IPsec通信安全得到了提高。硬件得到了更有效的利用并且加快了網絡傳輸的速度。智能協調系統和優化算法有規律地運行以確保高效通信，同時APIs到網絡協議棧更直接地顯現，使得開發者更容易與網絡協議棧進行溝通。讓我們看看進行的改進。
TCP/IP網絡協議棧的改進
我之前間接提到過，Windows Server 2008的很多改進是對TCP/IP網絡協議棧的改變。其中一項改進是自動協調TCP窗口的大?。篧indows Server 2008可以通過每個連接來自動調整接收窗口的大小，提高同一網絡上服務器間大型數據傳輸的效率。微軟公司引用了如下例子：在10 Gigabit以太網絡上，信息包的規?？梢赃_到6 Megabytes。
Windows Server 2003的失效網關檢測法則只稍稍進行了改良：Windows Server 2008當前經常試圖通過其所認為的失效網關來進行TCP傳輸。如果傳輸沒有出現問題，Windows則將默認網關自動改變為之前檢測的失效網關(現在是有有效網關)。同時Windows Server 2008支持從CPU到網絡界面卡處理線路的脫機網絡處理功能，這就解放了CPU，使其可以管理其他處理程序。
網絡擴展也得到了改進。在之前的Windows Server版本上，一個網絡接口卡(NIC)僅與單一物理處理器相連接。然而，有了正確的網絡卡，Windows Server 2008支持擴展網絡接口卡，同時伴隨著多個CPU之間的傳輸——這一功能被稱為接收端調節(receive-side scaling)。這實現了單一網絡接口卡(位于高速下載服務器)可接收更大規模的通信量。這一功能尤其對多處理器服務器有利，因為通過增加處理器或者網絡接口卡，而不用增加整臺的服務器，通信量即可增加。
終端服務的改進
網絡軟件越來越流行。除了如下三個詳細介紹的新功能，工作組也改進了核處理功能，這包括對Terminal Services功能的單一簽署，監控范圍的和對此功能的絕對支持，與Windows System Resource Manager整合以更好的監控執行情況和資源利用情況，以及實現TS和客戶機的無縫連接。
Windows Server 2008有三個核心的新功能。第一個是Terminal Services RemoteApp。這一功能幾年前是由Citrix MetaFrame提供的，Windows Server 2008將支持開箱即用功能來解釋TS支持的服務器上直接運行的程序，但是在本地Windows復本內進行整合，增加了重新設置大小的應用軟件窗口區域，Alt-Tab交換功能，遠程組裝系統tray icon組件等等。用戶并不知道他們的應用軟件被寄存在其他地方，除非響應經常比較慢，比如因為網絡延時或者服務器超載。
Windows Server 2008的第二個核心功能是管理員創建.RDP文檔——這是Terminal Services連接(用戶讀和用來給特定程序配置一個RDP成分)基于文本文件。他們也可創建.MSI文件，其最大的優點是.MSI文件傳統上可輕松通過自動系統管理方式(例如Systems Management Server, Group Policy和IntelliMirror等等)進行配置。
第三個核心功能是終端服務網關(Terminal Services Gateway)。這一功能使得用戶可以從英特網的任意一個網絡入口進入存放于Terminal Services的應用軟件，通過一個經過加密的HTTPS通道來保障其安全性。這一網關可以穿過防火墻發送連接，也可正常通過NAT轉換環境——在過去這一技術是受阻的。
這樣公司就不需要給遠程用戶配置VPN通路，目的僅為了訪問Terminal Services服務器。其次，自從數據經HTTPS進行發送，幾乎所有人(甚至在RDP協議受防火墻阻擋的地區)都可以訪問這一部分。管理員可以建立連接授權政策——詳細說明被允許通過TS網關服務器來訪問TS的用戶組。
最后的一項核心功能是TS網絡訪問功能(TS Web Access)，這一功能使管理員可在網頁上公開顯示可實現的遠程終端服務的程序(TS Remote Programs)。這一功能是和終端服務遠程軟件(Terminal Services RemoteApp)功能同時工作的。用戶可以瀏覽他們想運行的應用軟件列表，點擊，然后就可以無縫嵌入這一應用軟件——利用了終端服務遠程程序(Terminal Services RemoteApp)的所有功能，然而保留了這一功能：在同一Web Access站點存有其他程序。這一服務可以分清由同一用戶放置的多個程序應該被放置在相同的Terminal Services部分，這樣資源管理會輕松一些，同時你甚至可以利用內置Web組件將SharePoint站內的TS Web Access進行整合。
Active Directory：只讀域控制器
Windows Server 2008引入了只讀域控制器理念，這一理念對于分公司和其他地區(服務器充當域控制器，不能采用保護數據中心其他服務器的辦法進行物理保護)。只讀域控制器有一個Active Directory的只讀復本，這就實現了快速登錄和快速獲取驗證，節省了網絡資源，同時也有長期安全益處。沒有入侵者可以對一個分公司快速訪問域控制器(接著會被復制到公司主菜單)進行更改，因為這一域控制器是只讀的。這一只讀域控制器也可以緩存分公司用戶提交的報告并通過用戶的登錄請求，但是只有一種提交方式可通過正軌的可寫入的域控制器，然而，由于安全原因，這一緩存在Password Replication Policy中被設置成默認值。
#p#
安全性能的提高
從Windows被研發出來，安全問題就一直困擾著微軟公司，但是在近幾年，隨著越來越多的人聯網，越來越多的漏洞被發現。事實上，每月的系統補丁發布是涉及不夠嚴密的結果。這些類型的缺陷是微軟希望在Windows Server 2008系統中避免的。
你將看到Windows Server 2008進行了很多更新，包括提高了進入內核的層級數目，分開服務以降低緩沖器超載的可能，同時減少高風險特權層以減少受攻擊層面的規模。
而操作系統的基礎設計更改，Windows Server 2008組也設計了一些排除安全隱患和病毒入侵的功能，同時也設計了防止企業數據泄露和被奪取的功能。讓我們看看這些功能改進：
操作系統文件保護
一個新的功能，確保了服務器導入處理的完整進行。Windows Server 2008創建了一個基于正在采用的內核文件的確認鑰，這是你的系統和驅動器一個特定的硬件提取層，始于導入階段。在這一密鑰創建后，如果任何后期導入文件更改，操作系統將被告知并中止這一導入處理，這樣你就可以進行問題糾正。
操作系統文件保護也擴展了每個磁盤驅動器上的二進制影像。這種模式的操作系統文件保護包括了一個文件系統過濾器驅動——可讀下載在內存上的每一頁，檢查無用信息同時確認任何試圖下載到保護過程的圖像(一般來說對攻擊最敏感)。這些雜亂信息被存放在一個特定的系統目錄下，或者存放在一個嵌入驅動器上的一個安全文件X.509證明。如果任何測試結果都失敗了，操作系統文件保護將中止這一處理過程以保證服務器安全。這一保護避免了疑似病毒的入侵。
BitLocker
驅動器加密需求是最近安全性保護的流行方式，同時在Windows Vista和Windows Server 2008中微軟公司都增加了被稱為BitLocker的功能。
BitLocker是設計在特定的環節——竊賊可能獲取到硬盤物理通路。沒有加密術，黑客就可以輕松導入另一個操作系統或者運行攻擊工具并訪問文件，這樣就完全繞開了NTFS文件系統許可。Windows 2000 Server和Windows Server 2003中的加密文件系統(Encrypting File System)有了進一步的改進，通常擾亂了驅動器上的bit，但是進行文件加密的密鑰不像想象中那樣安全性強。有了BitLocker，密鑰被存放在系統主板的Trusted Platform Module芯片上，或者是在導入前插入的USB閃存驅動器上。
BitLocker已經徹底完成：當被激活的時候，可對整個Windows進行加密，包括用戶數據和系統文件、休眠文件、頁面文件和臨時文件。導入過程自身也受BitLocker的保護，這一功能創建了一個基于個人導入文件所有權的信息。因此如果已經修正并被替換，比如，一個Trojan文件，BitLocker將找出問題并阻止導入。相對于EFS的局限性，這的確有了很大進步，同時一個很明顯的改進在于未經加密的驅動器系統安全的提高。
設備安裝控制
另一個困擾企業的安全問題是USB拇指驅動的增多。無論你將文件服務器的許可設定的多安全，無論你將文檔的銷毀功能設置的多細致，也無論你在eyes-only文檔上采用了何種類型的內置控制，一個用戶可以輕易地將一個拇指驅動插入USB端口并復制數據，從而完全繞過了企業的物理安全系統。
這些驅動器里通常包括一些企業中敏感度非常高的信息。但是卻經常發現安全性不高。問題很明顯，一些企業將棄用的USB端口用澆水粘住。這是一種有效的方法，但是卻很不整潔。
對于Windows Server 2008系統，一個管理員必須有能力阻止所有新設備安裝，包括USB拇指驅動、外置硬盤驅動和其他新設備。你可以輕松地在配置一臺服務器的同時不安裝任何新設備。基于設備級別或者設備的ID，你也可以設置一些特例，比如，允許安裝鍵盤和鼠標，但是其他外置設備都禁制安裝?；蛘吣憧梢栽试S特定ID的設備安裝。以上都可以通過Group Policy進行配置，同時這些政策都是計算機級別的設置。
Windows防火墻有著更先進的安全性
Windows Server 2003 Service Pack 1的Windows Firewall版本和Windows XP Service Pack 2的完全相同。作為一時的權宜之計，微軟暫且將Service Pack 1和這一款防火墻進行了綁定，公司方面說，他們將進行防火墻開發，并在下一版本的Windows中進行改進。
擁有Advanced Security功能的新款Windows防火墻將防火墻和Ipsec管理功能結合進便利的微軟管理控制臺(Microsoft Management Console) 管理插件。防火墻驅動被重新建構以與過濾器和Ipsec相協調。有了更多的管理功能，這樣你可以更方便地指定明確的安全需求，比如驗證和加密。
設置可構建在每個Active Directory計算機或者用戶組基礎上。外置過濾器已經被激活，除了Windows Firewall之前版本的內置過濾器外什么都沒有。對每臺計算機的總體支持也得到了提升，當前有一個何時機器被連接到區域的概況，一份個人網絡連接的概況和公共網絡連接(如無線熱區)的概況?？梢胂嚓P政策，這就實現了多個計算機防火墻結構的協調和簡單管理。
#p#
網絡訪問保護
病毒和惡意軟件在運行在用戶區域之前即被軟件攔截，但是保護的終極目標應該是實現這些病毒軟件完全無法進入網絡。在Windows Server 2008中，管理員將根據基線對計算機進行檢查。如果發現計算機存在問題，則這一系統不能訪問網絡，也就是被隔離，直到用戶修復其機器，才被獲準進入健康區域。
這一功能被稱為網絡訪問保護(Network Access Protection)功能，這一功能可以被拆分為三個核心部分：
健康政策確認——試圖連接到網絡的機子經檢查并檢驗其特定健康標準(由管理員設定)的合規性。(參看圖四：Windows Vista的確認標準)。
健康政策的服從可用于檢查配置，沒有進行驗證的計算機可通過Systems Management Server或其他管理軟件(例如Microsoft Update或Windows Update)自動更新或者確認。
訪問限制——NAP的強制裝置?？梢詫崿F在僅監控模式下運行NAP，這一模式將連接到網絡計算機的從規和確認聲明進行了記錄。但是處于活動模式的計算機無法進行確認，這些計算機則被加入網絡的訪問限制區域(這一區域阻隔幾乎所有網絡訪問并限制了一系列特定的hardened服務器(包含了使服務器正常運行最常見的工具)?？磮D三來了解一些控制(準予、限制和禁制網絡訪問)的大概情況。
圖三——新的網絡政策
了解到NAP是進行檢查的唯一平臺，在配置了Windows Server 2008后很多部分仍是需要的。這些需求包括系統安全代理(system health agents)以及系統安全驗證(system health validators)，這些確保了每臺客戶機都經檢查和驗證。Windows Vista系統發布時將系統安全代理和驗證設置成了缺省值，這樣就可自行定制(見圖四)。
圖四——Vista系統的System Health Validator
#p#
易管理性改進
服務器僅在管理員合理配置的情況下有效。傳統上Windows Server產品相當容易操作，但是Windows Server 2008對于最初的設置和結構有了很大的改進。
圖五——新增角色精靈
對于查看服務器的信息來說，考慮到其穩定性和整合性以及對安裝任務的管理(見圖五)，還有其經提高的解決修復結構故障能力，服務器管理家(Server Manager)是一個one-stop shop。Server Manager替代了Configure Your Server、Manage Your Server和Security Configuration Wizard界面。其集中了多種MMC 3.0快照技術，使得你可以看到什么任務和功能被安裝到了指定的機器上，同時給你一份管理相關組件的文件。
Windows配置服務(Windows Deployment Services)
多數管理員開始喜歡遠程安裝服務(Remote Installation Services)，Windows 2000 Server和Windows Server 2003的新增功能。其提供了定制安裝功能同時很輕松即可去除這一功能。在Windows Server 2008中，微軟從根本上修訂了遠程安裝服務并重新命名為Windows Deployment Services。
Windows Deployment Services采用了PXE和一個操作系統的TFTP。但是當前其也在安裝流程中包括進來Windows PE——一個圖像的前終端，替換了難看且功能很少基于文本的藍屏設置語句(從Windows NT 3.0開始一直采用)。你尅創建很多不同的圖像，同時將其存放在Windows Deployment Services機上(見圖六)，同時你可以直接將這些圖片通過網絡單播或多播輸出給企業的網絡用戶。
圖六——Windows配置服務(Windows Deployment Services)
#p#
性能和可靠性升級
在Windows Server 2008眾多改進中，其性能和可靠性也得到了提高。比如，Windows Server之前版本的查看功能，有兩種工具，這兩種工具——Task Manager和Performance Monitor——在每次更新發布中都未改進。在Windows Server 2008中，這兩個工具結合進了一個界面，被稱為Performance Diagnostics Console(同時與上述Server Manager功能進行了整合)，為了實現更輕松地查看服務器任務完成情況的統計報告。
資源查看(Resource View)普通卻功能強大，對特定處理流程和服務利用機器內現有資源的情況進行查看。Reliability Monitor顯示了服務器是按規律運行或是穩定性降低的具體細節。比如，你可以查看基于如軟件安裝、應用軟件缺陷以及硬件問題、Windows故障和其他缺陷而產生的問題或功能降低。Reliability Monitor有一個“穩定性索引”——有1到10十個等級，是絕對權威的穩定性評級。
其次，Event Viewer被重新設計，無論對于本服務器還是對于其他服務器的日志，其訪問許可都更高效。你可以很方便地過濾日志查看，訂閱和不訂閱其他服務器上的關鍵日志，同時對日志條目進行記錄，所有都由一個控制臺完成(見圖七)。
圖七——事件查看功能
Windows Server 2008提供了一個集成系統的單一混合模式類型，這一模式替代了舊的quorum和Windows Server 2003中的多結點設置集成系統。在這一新的混合quorum模式中，有一個叫“votes”的部分，同時一個集成系統是默認設計以承受單vote的缺失。集成系統的每個結點都有一個vote，以作為集成系統的存儲源。因此，如果一個quorum磁盤丟失了，集成系統可繼續工作，因為僅僅是一個vote不存在了。
#p#
用一個共享quorum磁盤(集成系統所必須的資源)對舊的Windows Server 2003模式進行重建，你可以很輕松地給quorum磁盤(被稱為目標磁盤)分配一個vote，同時不是集成系統的每個結點都有vote。更方便的是，這一目標磁盤不必是一個物理磁盤：其可以是一個網絡共享文件。
圖八——缺陷的集成管理
正如你已經看到的，進行集成的實質目的是使集成配置的靈活性更強，而對缺陷的耐受力也會比之前更強。
協同其他重新設計的管理控制臺，你當前可以由修訂的Failover Cluster Management來進行服務器集成系統管理。(見圖八)
#p#
Hyper-V
最后介紹的是Hyper-V，這一產品是微軟對于當前橫掃IT業的競賽重整硬件協助虛擬化戰略做出的回答。用微軟的話說，Hyper-V是新一代基于系統管理程序虛擬化的平臺，整合了可實現動態增加物理和虛擬化資源的操作系統。
這意味著什么?Hyper-V的三個主要組成部分：系統管理程序，虛擬化堆棧和新的虛擬化輸入/輸出模式。Windows系統管理程序的基本任務是創建不同區隔——每種虛擬化代碼將在其中運行。虛擬化堆棧和輸入/輸出組件提供了與Windows系統自身的互動以及與所創建不同區隔間的互動。
這三個組件是順序工作的。采用配置了Intel VT或AMD-V的處理器服務器，Hyper-V與系統管理程序(處理器上一個很小的軟件層級)進行交互。這一軟件運行在單一物理處理器上，提供了對處理器——處理器的主機操作系統可以被用來有效管理多個虛擬機，多個虛擬操作系統——的管理。由于沒有可安裝的第三方軟件產品或者驅動器，你大可放心軟件病毒不會被引入系統。
伴隨高效的流程管理，你可以給虛擬機的主機增加資源。從處理器到內存到網卡到附加存儲媒體，你可以在不減少任何服務也不影響用戶的情況下給機器增加這些設備。你也可以配置64位的客戶機，對于企業來說，轉移位采用64位軟件好處很多。你可以在轉移過程中進行虛擬化，節省整體的配置資金，接著估算當你完成遷移后，需要多少物理服務器。
進行虛擬化不僅僅是為了減少機器復制并節約資金，同時也是為了保證提供比未進行虛擬化的服務器更多的服務。因此，Hyper-V涵蓋了對多客戶機集成系統的支持功能。其次，你可以集成多個運行Hyper-V組件的物理服務器，這樣虛擬機可以在核心主機出現問題時轉移到其他主機上。
最后，你可以在不停機的情況下，從一臺物理主機上將虛擬機從一臺機器遷移到另一臺，在明顯限制對產品的不利影響同時，簡化服務、計劃和從重組。你也可以利用Windows Server 2008新的磁盤功能——實現了多地理位置的集成，也就是說，在美國不同的海岸或者在不同的大陸都可是實現集成。在進行集成時，機器之間不需要有一個共享的磁盤，在采用Windows Server 2003系統時，這是必須的。
Figure 9 - Hyper-V Management Console
圖九——Hyper-V管理控制臺(Hyper-V Management Console)
其次，你可以在安裝了Server Core的Windows Server 2008上安裝Hyper-V，以利用其穩定性并減少這類配置的多余功能(當然這些功能可提高產品的可用性)。
有了新的Hyper-V管理控制臺，Hyper-V管理變的更加容易。見圖九
采用Hyper-V前，你需要一些硬件配置，特別是一臺能支持64比特的操作系統機子。你需要安裝Windows Server 2008企業級，64位版本，而其無法在虛擬機上運行，因為需要硬件協助進行虛擬化。
盡管功能強大的Windows Server 2008已經發布，Hyper-V當前是測試版本。微軟公司仍承諾在六個月內發布Hyper-V的RTM版本。
總結：
Windows Server 2008與Windows Server 2003相比，總體來說是一款功能強大并且可靠性好的產品。易管理性、安全性、性能、可靠性和效率都是開發組關注的，他們努力的結果是開發出了一款連接緊密、標準統一的操作系統。這一操作系統建立在堅實的基礎之上，又著眼于未來技術，而其運行安全可靠，因此是企業一個好的選擇。
