Instalar e parametrizar SO de servidor · plataforma proprietária

Apresentação

UC00633 (50h · 4,5 pts) do curso Técnico de Sistemas de Computação e Redes. Aborda a instalação e parametrização de Windows Server: funções de servidor, Active Directory Domain Services, DNS, DHCP, servidor de ficheiros, Group Policy, segurança, cópias de segurança e monitorização. É o núcleo da administração de uma rede empresarial Microsoft.

Servidor vs cliente

Edições e modos

• Standard — funções gerais, 2 VMs licenciadas.
• Datacenter — virtualização ilimitada, recursos avançados (Storage Spaces Direct).
• Server Core — sem GUI: menor superfície de ataque, menos updates, menos recursos. Gerido remotamente (PowerShell, RSAT, Windows Admin Center).
• Desktop Experience — com GUI (mais fácil para aprender/gerir manualmente).

Licenciamento: por core físico + CALs (Client Access Licenses) por utilizador ou dispositivo.

Instalação

Semelhante ao cliente (boot, idioma, partição, edição). A diferença está depois: adicionar funções (roles) e funcionalidades (features) via Server Manager ou PowerShell.

Pós-instalação: nome do servidor fixo, IP estático (servidores não usam DHCP para si próprios), atualizações, hora sincronizada (crítico para AD/Kerberos).

Active Directory Domain Services (AD DS)

Conceitos

• Domínio — fronteira administrativa e de segurança (ex.: escola.local).
• Árvore — domínios com espaço de nomes contíguo.
• Floresta — conjunto de árvores; fronteira de segurança máxima.
• OU (Organizational Unit) — contentor para organizar objetos e aplicar GPO/delegação.
• Objetos — utilizadores, grupos, computadores, impressoras.
• Controlador de Domínio (DC) — servidor que aloja o AD e autentica.
• Catálogo Global — índice de toda a floresta.
• FSMO — 5 papéis de operações únicas (Schema, Domain Naming, RID, PDC, Infrastructure).

Promover a controlador de domínio

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSForest `
  -DomainName "escola.local" `
  -DomainNetbiosName "ESCOLA" `
  -InstallDns `
  -Force

O servidor reinicia como DC. O AD exige DNS — normalmente o DC é também servidor DNS.

Gestão de objetos

Ferramentas: Active Directory Users and Computers (ADUC), Active Directory Administrative Center, PowerShell.

New-ADOrganizationalUnit -Name "Professores" -Path "DC=escola,DC=local"

New-ADUser -Name "Ana Silva" -SamAccountName "asilva" `
  -Path "OU=Professores,DC=escola,DC=local" `
  -AccountPassword (Read-Host -AsSecureString) -Enabled $true

New-ADGroup -Name "GG_Professores" -GroupScope Global `
  -Path "OU=Professores,DC=escola,DC=local"

Add-ADGroupMember -Identity "GG_Professores" -Members "asilva"

Estratégia de grupos AGDLP: Accounts → Global → Domain Local → Permissions.

Ingressar clientes no domínio

# Executado na máquina cliente
Add-Computer -DomainName "escola.local" `
  -Credential ESCOLA\administrador -Restart

A partir daí: autenticação centralizada (Kerberos), GPO aplicadas, gestão remota.

DNS

O AD não funciona sem DNS correto. O DC tipicamente aloja a zona DNS do domínio.

• Zona de pesquisa direta — nome → IP.
• Zona de pesquisa inversa — IP → nome (PTR).
• Registos: A/AAAA (host), CNAME (alias), MX (mail), SRV (localiza serviços AD — críticos), NS, SOA.
• Reencaminhadores (forwarders) — resolução de nomes externos (ex.: 1.1.1.1, 8.8.8.8).
• Zonas integradas no AD — replicam automaticamente entre DCs, com segurança.

Diagnóstico: nslookup, Resolve-DnsName, dcdiag /test:dns.

DHCP

Atribui configuração IP automaticamente aos clientes.

Install-WindowsFeature DHCP -IncludeManagementTools

Add-DhcpServerv4Scope -Name "LAN-Alunos" `
  -StartRange 192.168.10.100 -EndRange 192.168.10.200 `
  -SubnetMask 255.255.255.0

Set-DhcpServerv4OptionValue -ScopeId 192.168.10.0 `
  -Router 192.168.10.1 -DnsServer 192.168.10.10 -DnsDomain "escola.local"

# Autorizar no AD (obrigatório em domínio)
Add-DhcpServerInDC

• Âmbito (scope) — intervalo de IPs e opções.
• Reservas — IP fixo por MAC (impressoras, servidores).
• Lease time — validade da concessão.
• Exclusões — IPs dentro do intervalo a não atribuir.
• DHCP failover — dois servidores para redundância.

Servidor de ficheiros

Partilhas e permissões

Duas camadas de permissões — aplica-se a mais restritiva:

• Permissões de partilha (acesso pela rede).
• Permissões NTFS (no sistema de ficheiros, mais granulares).

Boas práticas: - Permissões a grupos do AD, nunca a utilizadores individuais. - Estrutura de pastas clara por departamento/função. - Documentar quem tem acesso a quê.

FSRM e DFS

• FSRM (File Server Resource Manager) — quotas por pasta, bloqueio de tipos de ficheiro (file screening), relatórios.
• DFS (Distributed File System) — espaço de nomes lógico (\\escola\dados) independente do servidor físico; DFS Replication mantém cópias sincronizadas entre servidores.
• Shadow Copies (VSS) — "versões anteriores" para o utilizador recuperar ficheiros sem chamar o IT.

Group Policy (GPO)

Configuração centralizada aplicada a Sites, Domínios e OUs.

• Computer Configuration — aplica-se à máquina (no arranque).
• User Configuration — aplica-se ao utilizador (no login).

Exemplos de uso: - Política de senhas e bloqueio de conta (Default Domain Policy). - Mapeamento de unidades de rede e impressoras. - Restrições de software (AppLocker), USB. - Configuração de segurança, firewall, fundo do ambiente de trabalho. - Implantação de software (MSI).

Ordem de aplicação LSDOU: Local → Site → Domínio → OU (a última vence, salvo bloqueio/enforced).

gpupdate /force        # forçar aplicação
gpresult /r            # políticas resultantes

Outras funções comuns

• Print Server — gestão centralizada de impressoras.
• RDS (Remote Desktop Services) — sessões/área de trabalho remota.
• IIS — servidor web (ver UC00627).
• Hyper-V — virtualização de servidores.
• WSUS — distribuição controlada de atualizações.
• Certificate Services (AD CS) — PKI interna.

Segurança do servidor

1. Server Core quando possível — menos superfície de ataque e updates.
2. Menor privilégio — contas de serviço dedicadas; separar contas de administração (tiered admin); não navegar/ler email no servidor.
3. Firewall do Windows ativa + segmentação de rede (VLANs).
4. Patches com janela de manutenção e testes.
5. Auditoria — eventos de logon, alterações no AD, acesso a ficheiros sensíveis.
6. Redundância — pelo menos 2 controladores de domínio.
7. LAPS — senhas de administrador local únicas e geridas.
8. Hardening segundo baselines (CIS, Microsoft Security Baselines).

Cópias de segurança e recuperação

• Windows Server Backup ou solução empresarial (Veeam, Veritas).
• System State — inclui AD, registo, ficheiros de arranque. Imprescindível num DC.
• Regra 3-2-1: 3 cópias, 2 suportes, 1 fora do local. Backups imutáveis contra ransomware.
• Testar restauros regularmente — backup não testado não é backup.
• Restauro do AD:
• Não-autoritativo — DC recupera e sincroniza dos outros.
• Autoritativo — força a versão restaurada a prevalecer (recuperar OU apagada).
• DSRM (Directory Services Restore Mode) — modo especial para recuperar o AD.
• Plano de Disaster Recovery documentado e ensaiado.

Monitorização

• Event Viewer — Sistema, Segurança, Directory Service, DNS.
• Performance Monitor / Resource Monitor — CPU, memória, disco, rede.
• dcdiag / repadmin — saúde e replicação do AD.
• Alertas proativos: serviços parados, disco cheio, falhas de replicação, tentativas de logon falhadas.
• Ferramentas externas: PRTG, Zabbix, Nagios, Windows Admin Center.

Apêndices

A · Comandos essenciais

Install-WindowsFeature <Role> -IncludeManagementTools
Install-ADDSForest -DomainName "x.local" -InstallDns
Get-ADUser / New-ADUser / New-ADGroup / Add-ADGroupMember
Add-DhcpServerv4Scope ; Add-DhcpServerInDC
gpupdate /force ; gpresult /r
dcdiag ; repadmin /replsummary
wbadmin start backup    # cópia de segurança

B · Glossário

AD DS. Active Directory Domain Services. CAL. Client Access License. DC. Domain Controller. DFS. Distributed File System. DSRM. Directory Services Restore Mode. FSMO. Flexible Single Master Operations. GPO. Group Policy Object. OU. Organizational Unit. System State. Conjunto de dados críticos do servidor (inclui AD).

C · Recursos

• Microsoft Learn · Windows Server · learn.microsoft.com.
• AD DS Documentation · docs sobre design de florestas/domínios.
• Microsoft Security Baselines · hardening recomendado.
• Windows Admin Center · gestão moderna unificada.