UC00242

Instalar, configurar e manter sistemas operativos de servidor

Instalação, contas e permissões, serviços de rede, backup, recuperação de desastres e RGPD

Curso profissional · 50h · Técnico/a Militar Naval

Plano

  1. Sistemas operativos de servidor: funções, características e tipos
  2. Aquisição, licenciamento e requisitos
  3. Instalação e otimização
  4. Processos e memória
  5. Armazenamento, RAID e sistemas de ficheiros
  6. Contas, grupos e permissões
  7. Domínios e Active Directory
  8. Servidores de ficheiros e de impressão
  9. Acesso remoto e clientes
  10. Rede, monitorização e segurança
  11. Backup, migração e virtualização
  12. Recuperação de desastres (RPO e RTO)
  13. RGPD, normas e regulamentos

Bloco 1 · Sistemas operativos de servidor

O que é um sistema operativo de servidor

Um sistema operativo de servidor gere o hardware e fornece serviços a outros computadores (os clientes), de forma contínua, segura e previsível.

  • Pode correr em máquina física, virtual ou em nuvem.
  • Privilegia estabilidade, administração remota, controlo de acesso e vários serviços em simultâneo.
  • Exemplos: Windows Server (proprietário) e Linux (open source, como Debian ou Ubuntu Server).

Um posto avariado afeta uma pessoa; um servidor avariado afeta toda a organização.

Funções de um servidor

Função Exemplo de serviço
Ficheiros SMB, NFS
Impressão Serviços de Impressão, CUPS
Diretório / domínio Active Directory, LDAP
DNS e DHCP DNS Server, BIND, Kea
Web e bases de dados IIS, Apache, Nginx, PostgreSQL
Backup e virtualização Windows Server Backup, Hyper-V, KVM

Boa prática: separar funções críticas. O controlador de domínio não deve ser também servidor web exposto.

Características de um sistema de servidor

  • Disponibilidade e estabilidade: semanas ou meses ligado.
  • Escalabilidade: mais processadores, memória e utilizadores.
  • Administração remota: PowerShell, SSH, consolas à distância.
  • Segurança e auditoria: autenticação central, permissões finas, registos.
  • Armazenamento avançado: RAID, volumes que crescem, quotas.
  • Funções modulares: instala-se só o necessário, reduzindo a superfície de ataque.
  • Automação: tudo o que a interface faz, um script repete.

Proprietário e open source

Aspeto Windows Server Linux
Código fechado aberto
Custo licenças por núcleo e por acesso normalmente gratuito; suporte pago opcional
Administração gráfica e PowerShell linha de comandos e ficheiros de texto
Integração forte com Active Directory flexível; Samba e LDAP
Atualizações Windows Update, WSUS apt, dnf

Nenhum é melhor em absoluto: decidem os requisitos, as competências e o custo total. Os ambientes mistos são comuns.

Interpretar manuais, guiões e tutoriais

  1. Identificar a versão a que o documento se refere.
  2. Preferir a fonte primária (documentação oficial, man, Microsoft Learn).
  3. Ler pré-requisitos e avisos antes dos passos.
  4. Testar primeiro em máquina virtual.
  5. Registar o que se fez (data, versão, comandos, resultado).

No terminal: man useradd, useradd --help. No PowerShell: Get-Help New-ADUser -Examples.

Bloco 2 · Aquisição, licenciamento e requisitos

Aquisição e licenciamento

  • Formas de aquisição: licenças em volume, OEM (com o servidor), retalho, subscrição e nuvem.
  • Open source: descarregar a imagem oficial e verificar a soma de verificação.
  • Windows Server: licença do servidor por núcleos, edições Standard e Datacenter com direitos de virtualização diferentes, e CAL por utilizador ou por dispositivo.
  • Linux: licenças como a GPL permitem usar, estudar, modificar e redistribuir, com obrigações a cumprir.
  • Manter sempre um inventário de licenças.

Requisitos do sistema

Recurso O que verificar
Processador 64 bits, núcleos, extensões de virtualização
Memória mínimo do sistema mais cada função, com margem
Armazenamento sistema, dados, registos, velocidade, redundância
Rede placas compatíveis, 1 Gbit/s ou mais
Firmware UEFI, Secure Boot, TPM quando exigido
Compatibilidade lista do fabricante e controladores

Dimensionar: somar, margem, arredondar, medir

Exemplo: controlador de domínio e ficheiros para 35 utilizadores.

  • Sistema 2 GB + diretório 2 GB + ficheiros 4 GB = 8 GB
  • Margem de 50%: 8 × 1,5 = 12 GB
  • Módulo comercial acima: 16 GB
  • Validar com medições durante duas semanas.

Dimensionar é estimar, acrescentar margem e confirmar com dados reais.

Bloco 3 · Instalação e otimização

Planear antes de instalar

Escrever antes de arrancar o instalador:

  1. Função do servidor e serviços.
  2. Nome segundo a convenção (SRV-FICH-01).
  3. IP estático, máscara, gateway e DNS.
  4. Discos: volume do sistema separado do dos dados; RAID.
  5. Edição e licença.
  6. Imagem ISO oficial com soma de verificação conferida e controladores.
  7. Plano de reversão e janela de intervenção.

Instalar o Windows Server

  1. Arrancar pelo suporte (USB, DVD ou ISO) e escolher idioma e teclado.
  2. Escolher a edição e a variante: Server Core (sem interface local) ou com Experiência de Ambiente de Trabalho.
  3. Instalação personalizada (limpa), não a atualização.
  4. Selecionar o disco e particionar (formatar destrói os dados).
  5. Definir a palavra-passe do Administrador e iniciar sessão.

O Server Core tem menos superfície de ataque e menos atualizações.

Configuração inicial no Windows Server

Rename-Computer -NewName "SRV-FICH-01" -Restart
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.10 `
  -PrefixLength 24 -DefaultGateway 192.168.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.5
Install-WindowsFeature FS-FileServer -IncludeManagementTools
Add-Computer -DomainName "corp.example.com" -Credential (Get-Credential) -Restart

Depois: atualizações, ativação, firewall, função e domínio.

Instalar o Linux (Debian ou Ubuntu Server)

  1. Arrancar pela ISO, escolher idioma e teclado.
  2. Rede com endereço estático e nome da máquina.
  3. Particionar: /boot e EFI, /, /var, volume de dados; LVM para crescer depois.
  4. Criar utilizador administrador (usa-se sudo, não root).
  5. Instalar o servidor SSH e o mínimo de software.
sudo apt update && sudo apt upgrade
sudo hostnamectl set-hostname srv-fich-01
sudo timedatectl set-timezone Europe/Lisbon

Verificar e otimizar

Verificar: versão (cat /etc/os-release, Get-ComputerInfo), rede, discos (lsblk, Get-Volume), serviços, atualizações, hora.

Otimizar com método:

  • desativar o que não se usa;
  • separar sistema e dados;
  • manter atualizações com teste prévio;
  • medir antes e depois;
  • documentar cada alteração e como a desfazer.

Bloco 4 · Processos e memória

Processos e serviços

  • Processo: programa em execução, com PID, proprietário e memória própria.
  • Serviço (Windows) ou daemon (Linux): processo em segundo plano.
  • Prioridade: em Linux, nice de −20 a 19.
  • Zombie: processo terminado cujo pai ainda não registou a saída.
Tarefa Windows Linux
Listar Get-Process ps aux
Terminar Stop-Process -Id kill, kill -9
Serviços Restart-Service systemctl restart

Memória: virtual, paginação e swap

  • A RAM é rápida e volátil; a memória virtual mapeia endereços para RAM ou disco.
  • Ficheiro de paginação (Windows) ou swap (Linux): extensão da RAM em disco, muito mais lenta.
  • Muita paginação é sinal de memória insuficiente (thrashing).
  • A cache usa a RAM livre: em free -h, o que conta é available.
  • Fuga de memória: o consumo de um processo só sobe.
  • Sem memória, o Linux pode ativar o OOM killer.

Bloco 5 · Armazenamento, RAID e sistemas de ficheiros

Discos, partições e volumes

  • HDD: mais capacidade e menor custo; SSD/NVMe: muito mais rápido.
  • MBR (limite de 2 TB) ou GPT (UEFI, discos grandes): em servidores atuais, GPT.
  • Camadas de flexibilidade: LVM (Linux), Espaços de Armazenamento (Windows).
  • Separar sistema e dados facilita backup e crescimento.

RAID: níveis e capacidade

Nível Capacidade útil Tolera
0 n × C nenhuma falha
1 C n − 1 do espelho
5 (n − 1) × C 1 disco
6 (n − 2) × C 2 discos
10 (n ÷ 2) × C 1 por espelho

Seis discos de 2 TB: RAID 5 = 10 TB, RAID 6 = 8 TB, RAID 10 = 6 TB.

RAID não é backup

  • O RAID protege contra a avaria de um disco.
  • Não protege de apagar um ficheiro, de ransomware, de corrupção lógica, de incêndio ou de roubo.
  • Um ficheiro apagado apaga-se também no espelho.
  • Um disco hot spare encurta o tempo em risco.
  • Uma matriz degradada continua a funcionar, mas sem redundância: monitorizar.
sudo mdadm --create /dev/md0 --level=1 --raid-devices=2 /dev/sdb /dev/sdc
cat /proc/mdstat

Sistemas de ficheiros

Sistema Onde Características
NTFS Windows ACL, quotas, cifragem, journaling
ReFS Windows Server resiliência, volumes grandes
ext4 Linux estável, journaling
XFS Linux ficheiros e volumes muito grandes
Btrfs Linux snapshots, somas de verificação
FAT32 e exFAT amovíveis sem permissões; FAT32 até 4 GB por ficheiro

Alertar quando o espaço livre desce abaixo de 20%.

Gerir o espaço

df -h
du -sh /dados/*
sudo lvextend -r -L +50G /dev/vg0/dados

Get-Volume
Resize-Partition -DriveLetter D -Size (Get-PartitionSupportedSize -DriveLetter D).SizeMax

Antes de apagar: perguntar ao dono dos dados e confirmar que há cópia válida.

Bloco 6 · Contas, grupos e permissões

Princípios de acesso

  • Identificação e autenticação: contas individuais, palavra-passe forte e segundo fator.
  • Autorização: o que cada conta pode fazer.
  • Mínimo privilégio: só o necessário.
  • Auditoria: as ações ficam registadas.

Regra de ouro: atribuir permissões a grupos, nunca a pessoas.

Utilizadores e grupos: Windows e Linux

New-LocalUser -Name "tecnico1" -Password (Read-Host -AsSecureString)
New-LocalGroup -Name "Manutencao"
Add-LocalGroupMember -Group "Manutencao" -Member "tecnico1"

sudo groupadd vendas
sudo useradd -m -s /bin/bash -G vendas ana
sudo usermod -aG vendas rui
id ana
sudo usermod -L ana

Em usermod -aG, o -a é essencial: sem ele o utilizador perde os outros grupos.

Permissões em Linux

Notação Valor Significado
rwxr-x--- 750 dono tudo; grupo lê e entra; outros nada
rw-r--r-- 644 dono lê e escreve; os outros só leem
rwx------ 700 só o dono

r = 4, w = 2, x = 1. Numa pasta, x é poder entrar.

sudo chown root:vendas /dados/vendas
sudo chmod 2770 /dados/vendas
sudo setfacl -m g:direcao:rx /dados/vendas

O 2 (setgid) faz os ficheiros novos herdarem o grupo.

Permissões em Windows: NTFS e partilha

  • ACL com utilizador ou grupo e permissões (Leitura, Modificação, Controlo Total).
  • Herança das pastas para as subpastas.
  • Negar prevalece sobre Permitir: usar com parcimónia.
  • Num recurso partilhado valem duas camadas; aplica-se a mais restritiva.
icacls D:\Dados\Vendas /inheritance:r
icacls D:\Dados\Vendas /grant "CORP\GG_Vendas:(OI)(CI)M"
icacls D:\Dados\Vendas /grant "CORP\GG_Direcao:(OI)(CI)RX"
icacls D:\Dados\Vendas /grant "BUILTIN\Administrators:(OI)(CI)F"
icacls D:\Dados\Vendas /grant "NT AUTHORITY\SYSTEM:(OI)(CI)F"

Palavras-passe e ciclo de vida das contas

  • Palavras-passe longas (frases), verificação contra listas comprometidas, segundo fator em contas privilegiadas.
  • Bloqueio após tentativas falhadas.
  • Ciclo de vida: criação autorizada, alteração, revisão periódica, desativação imediata na saída.
  • Administrar com conta própria com privilégios, separada da conta do dia a dia.

Bloco 7 · Domínios e Active Directory

Grupo de trabalho e domínio

  • Grupo de trabalho: contas em cada computador; não escala.
  • Domínio: diretório central; autenticação única e políticas.
  • AD DS (Microsoft); em Linux, OpenLDAP e Samba como membro ou controlador compatível.

Pelo menos dois controladores de domínio, para a falha de um não parar a autenticação.

Conceitos do Active Directory

  • Domínio, floresta, UO (unidade organizacional), objetos.
  • DNS: os clientes encontram os controladores por registos DNS; usar o DNS do domínio.
  • Kerberos: exige hora sincronizada.
  • AGDLP: Contas, grupos Globais, grupos de Domínio Local, Permissões.
  • Estratégia simples para organizações pequenas: grupos de segurança por função.

Instalar o AD e gerir objetos

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName "corp.example.com" -DomainNetbiosName "CORP" -InstallDns
New-ADOrganizationalUnit -Name "Vendas" -Path "DC=corp,DC=example,DC=com"
New-ADGroup -Name "GG_Vendas" -GroupScope Global -GroupCategory Security `
  -Path "OU=Vendas,DC=corp,DC=example,DC=com"
Add-ADGroupMember -Identity "GG_Vendas" -Members "ana.silva"
Disable-ADAccount -Identity "ana.silva"
$pw = Read-Host -AsSecureString "Palavra-passe inicial"
Import-Csv C:\Temp\novos.csv -Delimiter ';' | ForEach-Object { New-ADUser -Name $_.Nome -SamAccountName $_.Conta -Enabled $true -AccountPassword $pw -ChangePasswordAtLogon $true }
Search-ADAccount -AccountDisabled -UsersOnly

Guardar a palavra-passe do DSRM em local seguro.

Políticas de grupo e perfis

  • GPO: política de palavras-passe, bloqueio de ecrã, unidades de rede, firewall, redirecionamento de pastas.
  • Ligam-se a domínio ou UO e são herdadas.
  • gpupdate /force aplica; gpresult /r mostra o aplicado.
  • Perfis: locais, móveis (roaming) ou com redirecionamento de pastas para o servidor, onde têm backup.

Diagnosticar um início de sessão que falha

  1. Conta bloqueada ou desativada? Get-ADUser ... -Properties LockedOut,Enabled
  2. DNS do cliente é o do domínio? ipconfig /all
  3. Hora certa? w32tm /query /status
  4. Canal seguro: Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
  5. Eventos: no controlador, 4740 (bloqueio) e 4771 (falha Kerberos); no posto, 4625 (falha de início de sessão).

Ordem: da conta para a rede.

Bloco 8 · Servidores de ficheiros e de impressão

Servidor de ficheiros: SMB e NFS

  • SMB/CIFS: Windows e Samba; o SMB1 está obsoleto e deve estar desativado.
  • NFS: típico de Unix e Linux.
New-SmbShare -Name "Vendas" -Path "D:\Dados\Vendas" `
  -FullAccess "CORP\Domain Admins" -ChangeAccess "CORP\GG_Vendas"
Get-SmbShareAccess -Name "Vendas"

Extras: quotas e filtros (FSRM), cópias sombra e DFS.

Partilhar com Samba

[vendas]
   path = /dados/vendas
   read only = no
   valid users = @vendas
   create mask = 0660
   directory mask = 2770

testparm
sudo smbpasswd -a ana
sudo systemctl restart smbd

A conta Samba é distinta da conta Linux. As permissões do sistema de ficheiros continuam a aplicar-se.

NT_STATUS_ACCESS_DENIED: sudo pdbedit -L, id nome, ls -ld /dados/vendas, sudo smbstatus.

Servidor de impressão

  • Instala-se o controlador uma vez, no servidor; os clientes recebem-no.
  • Permissões por grupo; gestão central de filas.
Add-PrinterPort -Name "IP_192.168.10.50" -PrinterHostAddress 192.168.10.50
Add-Printer -Name "Impressora-Contabilidade" -DriverName "<nome do controlador>" `
  -PortName "IP_192.168.10.50" -Shared -ShareName "ImpContab"

lpstat -p -d
sudo lpadmin -p ContabLaser -E -v ipp://192.168.10.50/ipp/print -m everywhere

Bloco 9 · Acesso remoto e clientes

Protocolos de acesso remoto

Protocolo Porta Nota
SSH TCP 22 cifrado; chaves
RDP TCP 3389 nunca exposto à internet
WinRM TCP 5985 e 5986 PowerShell remoto
VPN conforme a tecnologia preferido para trabalho remoto
Telnet TCP 23 obsoleto e inseguro

A porta aberta para administrar é a porta mais atacada.

SSH em Linux e endurecimento

sudo apt install openssh-server
ssh-keygen -t ed25519
ssh-copy-id ana@192.168.10.20

Em /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
AllowGroups acesso-ssh

Antes: sudo groupadd acesso-ssh e sudo usermod -aG acesso-ssh ana.

sudo sshd -t
sudo systemctl reload ssh

Não fechar a sessão até testar uma segunda ligação.

RDP e PowerShell Remoting

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' `
  -Name "fDenyTSConnections" -Value 0
Enable-NetFirewallRule -Group "@FirewallAPI.dll,-28752"
Enable-PSRemoting -Force
Enter-PSSession -ComputerName SRV-FICH-01
  • NLA ativa; acesso por grupo (Remote Desktop Users).
  • Acesso externo só por VPN ou gateway com autenticação forte.

Instalar e configurar clientes

  • Windows: IP/DNS por DHCP, Add-Computer -DomainName, início de sessão de domínio, gpresult /r, unidades e impressoras.
  • Linux: mount -t cifs //192.168.10.10/Vendas /mnt/vendas -o username=ana.silva,domain=CORP; credenciais em ficheiro com permissões 600.
  • Imagem de referência ou políticas para tornar o processo repetível.
  • Posto bem configurado: nome certo, hora certa, atualizações, proteção ativa.

DHCP e DNS

Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerv4Scope -Name "LAN" -StartRange 192.168.10.100 -EndRange 192.168.10.200 `
  -SubnetMask 255.255.255.0
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.0 -Router 192.168.10.1 -DnsServer 192.168.10.5
  • Num domínio, o DHCP é autorizado no AD (Add-DhcpServerInDC).
  • Servidores com IP fora do intervalo; impressoras com reserva.

Bloco 10 · Rede, monitorização e segurança

Monitorizar rede e aplicações

Domínio Indicadores Alerta típico
CPU % e carga média mais de 85% sustentado
Memória disponível, swap disponível abaixo de 10-15%
Disco espaço, latência, SMART livre abaixo de 20%
Rede débito, erros, latência perdas anormais
Serviços ativo, porta a responder serviço parado

Ferramentas open source: Zabbix, Nagios ou Icinga, Prometheus com Grafana; recolha por SNMP ou agentes.

Instalar a monitorização: Prometheus e node_exporter

sudo apt install prometheus prometheus-node-exporter
  • Agente node_exporter na porta 9100; Prometheus recolhe, guarda o histórico e avalia os alertas.
  • Estado dos serviços: no pacote Debian o módulo systemd já vem ligado; confirma com curl -s http://localhost:9100/metrics | grep node_systemd_unit_state (noutras instalações: ARGS="--collector.systemd" em /etc/default/prometheus-node-exporter).
  • Em /etc/prometheus/prometheus.yml: rule_files e scrape_configs com o job_name: node e targets: ['localhost:9100'].
  • Porta 9100 só para o servidor de monitorização.

Dois alertas e a prova

Em /etc/prometheus/alertas.yml:

groups:
- name: servidor
  rules:
  - alert: EspacoLivreBaixo
    expr: node_filesystem_avail_bytes{fstype=~"ext4|xfs"} / node_filesystem_size_bytes{fstype=~"ext4|xfs"} < 0.20
    for: 5m
  - alert: ServicoSambaParado
    expr: node_systemd_unit_state{name="smbd.service",state="active"} == 0
    for: 2m

promtool check config /etc/prometheus/prometheus.yml
sudo systemctl restart prometheus
sudo systemctl stop smbd      # ver http://localhost:9090/alerts; depois: start

Registos e monitorização de segurança

Evento Windows Linux
Início de sessão com sucesso 4624 last, auth.log
Falha de início de sessão 4625 (onde a sessão foi tentada); 4771 (no controlador) lastb, auth.log
Conta bloqueada 4740 faillock, auth.log 
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20

sudo journalctl -u ssh --since "1 hour ago"

Procedimentos de segurança no servidor

  1. Atualizações com teste prévio.
  2. Firewall com negar por defeito.
  3. Reduzir a superfície de ataque.
  4. Mínimo privilégio e segundo fator.
  5. Segmentação (VLAN).
  6. Antivírus/EDR e backups protegidos.
  7. Cifragem: BitLocker (Windows), LUKS (Linux).
  8. Segurança física da sala.
sudo ufw allow from 192.168.10.0/24 to any port 22 proto tcp
sudo ufw enable

Bloco 11 · Backup, migração e virtualização

Tipos de backup

Tipo O que copia Restauro
Completo tudo uma cópia
Incremental o alterado desde a última cópia completo mais todos os incrementais
Diferencial o alterado desde o último completo completo mais o último diferencial

Cópias de estado do sistema, de imagem e snapshots (que não substituem o backup).

Regra 3-2-1

  • 3 cópias dos dados.
  • 2 tipos de suporte diferentes.
  • 1 cópia fora do local.

Variante atual: uma cópia imutável ou offline contra ransomware e zero erros na verificação (3-2-1-1-0).

Um backup que nunca foi restaurado é uma esperança, não um backup.

Janela, espaço e ferramentas

Tempo = dados ÷ débito. 2 TB (2 000 000 MB) a 100 MB/s: 20 000 s, cerca de 5,6 horas.

Install-WindowsFeature Windows-Server-Backup
wbadmin start backup -backupTarget:E: -include:D: -allCritical -quiet
wbadmin get versions

rsync -a --delete /dados/ /mnt/backup/dados/
tar -czf /mnt/backup/dados-$(date +%F).tar.gz /dados
0 2 * * * /usr/local/bin/backup-dados.sh

Plano de backup, migração e reposição

Plano de backup: o que, com que frequência, para onde, quem, retenção, teste e restauro.

Migração: inventariar, escolher estratégia, backup, ensaio, janela e plano de reversão, migrar, validar, manter o antigo durante um período.

A migração em paralelo é, em regra, mais segura que a atualização no próprio sítio.

Virtualização

  • Hypervisor: Hyper-V, KVM, VMware ESXi, Proxmox VE.
  • Vantagens: aproveitamento do hardware, isolamento, ambientes de teste, snapshots, restauro e migração mais simples.
  • Cuidados: o anfitrião é ponto único de falha; licenças dos sistemas convidados; backup das VM e do anfitrião.

Bloco 12 · Recuperação de desastres

DRP, BCP e desastres

  • Desastre: evento que impede os sistemas críticos de funcionar por tempo inaceitável (incêndio, inundação, energia, avaria, ransomware, erro humano).
  • DRP: como repor sistemas e dados.
  • BCP: continuidade do negócio no seu todo (pessoas, instalações, processos).

RPO e RTO

  • RPO: perda máxima de dados aceitável, em tempo. Manda na frequência da cópia.
  • RTO: tempo máximo para repor o serviço. Manda na solução de recuperação.
  • MTD: tempo máximo tolerável de paragem; o RTO tem de ser menor.

RPO de 4 horas: cópia, pelo menos, de 4 em 4 horas.

Metodologia de planeamento

  1. Inventário de sistemas e dependências.
  2. Análise de impacto (BIA).
  3. Avaliação de riscos.
  4. RPO e RTO por serviço, validados pela direção.
  5. Estratégias: backup, replicação, reserva, nuvem.
  6. Escrever o plano: ordem de recuperação, contactos, cópias.
  7. Testar.
  8. Manter e rever.

Ordem de reposição: rede, DNS, controlador de domínio, ficheiros, impressão, aplicações.

Exemplo: RPO, RTO e a solução

Serviço RPO RTO Solução
Ficheiros 12 h 24 h dois backups por dia e cópia externa
Faturação 15 min 4 h replicação de registos para servidor de reserva e backup diário

Restaurar 1,5 TB a 100 MB/s: 15 000 s, cerca de 4,2 h, só a cópia. Com instalação e validação, 6,2 h: não cumpre um RTO de 4 h.

Bloco 13 · RGPD, normas e regulamentos

RGPD no trabalho do técnico

  • Regulamento (UE) 2016/679 (RGPD); em Portugal, complementado pela Lei n.º 58/2019, na redação em vigor. Autoridade: CNPD.
  • Dado pessoal: informação relativa a pessoa singular identificada ou identificável.
  • O técnico implementa as medidas e trata dados nos próprios sistemas (contas, registos, backups).

Princípios: licitude, finalidade, minimização, exatidão, limitação da conservação, integridade e confidencialidade, responsabilidade.

Medidas técnicas e violações de dados

Exigência Medida no servidor
Confidencialidade permissões por grupo, cifragem
Integridade auditoria, controlo de alterações
Disponibilidade RAID, redundância, monitorização
Restabelecer o acesso backup 3-2-1, DRP, testes
Responsabilidade registos, documentação

Violação: notificar a CNPD sem demora injustificada e, sempre que possível, em 72 horas; comunicar aos titulares se o risco for elevado; documentar sempre.

Outras normas e boas práticas

  • Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, de 4 de dezembro), que transpõe a Diretiva (UE) 2022/2555; Quadro Nacional de Referência e orientações do Centro Nacional de Cibersegurança.
  • ISO/IEC 27001: gestão da segurança da informação.
  • Em organismos públicos e em contexto militar, as regras internas de segurança e de classificação da informação, com a Autoridade Nacional de Segurança (Gabinete Nacional de Segurança).
  • Regra de ouro: perguntar qual é o regulamento interno e cumpri-lo.

Atitudes: responsabilidade, autonomia, respeito pelas normas, sentido crítico e de organização.

Obrigado

UC00242 · Instalar, configurar e manter sistemas operativos de servidor

NOTAS DO PROFESSOR - enfatizar: a diferença de impacto entre um posto e um servidor justifica o rigor do planeamento. - erro comum/pergunta: confundir sistema de servidor com 'um Windows com mais memória'. A otimização é outra. - exemplo/analogia: a cozinha de um restaurante: ninguém a vê, mas tudo depende dela.

NOTAS DO PROFESSOR - enfatizar: uma máquina pode ter várias funções, mas cada função acrescenta risco. - erro comum/pergunta: achar que o DNS e o DHCP são a mesma coisa. Um dá endereços, o outro traduz nomes. - exemplo/analogia: uma morada (IP) e o nome de uma pessoa (DNS): a lista telefónica é o DNS.

NOTAS DO PROFESSOR - enfatizar: superfície de ataque: menos serviços ativos, menos portas expostas. - erro comum/pergunta: pensar que um servidor precisa de ambiente gráfico. Muitos não têm. - exemplo/analogia: uma casa com menos portas e janelas é mais fácil de vigiar.

NOTAS DO PROFESSOR - enfatizar: a decisão é técnica e económica, não de preferência. - erro comum/pergunta: dizer que open source é 'sem custos'. Há suporte, formação e tempo. - exemplo/analogia: escolher uma ferramenta de oficina: depende da obra, não da marca.

NOTAS DO PROFESSOR - enfatizar: a versão do documento é a primeira coisa a confirmar. - erro comum/pergunta: copiar comandos de um fórum para produção sem testar. - exemplo/analogia: um manual de uma versão antiga é um mapa de uma cidade que mudou.

NOTAS DO PROFESSOR - enfatizar: usar mais licenças do que as compradas é uma infração. - erro comum/pergunta: achar que a CAL é a licença do servidor. São coisas distintas. - exemplo/analogia: a CAL é o bilhete de cada pessoa que entra na sala.

NOTAS DO PROFESSOR - enfatizar: consultar os requisitos na documentação da versão a instalar. - erro comum/pergunta: confundir requisito mínimo com recomendado. - exemplo/analogia: o mínimo faz arrancar, o recomendado faz trabalhar.

NOTAS DO PROFESSOR - enfatizar: a validação posterior com medições reais. - erro comum/pergunta: dimensionar só pelo mínimo do fabricante. - exemplo/analogia: comprar um fato para o tamanho que a pessoa vai ter, não para o de hoje.

NOTAS DO PROFESSOR - enfatizar: a instalação é a parte curta; o planeamento é o que a faz correr bem. - erro comum/pergunta: instalar com DHCP e esquecer de fixar o IP. - exemplo/analogia: antes de construir, a planta.

NOTAS DO PROFESSOR - enfatizar: a escolha do disco: apagar partições perde dados. - erro comum/pergunta: escolher a atualização quando se queria instalação limpa. - exemplo/analogia: a instalação limpa é uma casa nova; a atualização é uma obra na casa velha.

NOTAS DO PROFESSOR - enfatizar: a ordem: nome, rede, atualizações, função, domínio. - erro comum/pergunta: usar o DNS público num servidor de domínio. - exemplo/analogia: configurar o equipamento antes de o pôr ao serviço.

NOTAS DO PROFESSOR - enfatizar: trabalhar com sudo e não como root. - erro comum/pergunta: editar a rede sem consultar o manual da versão (Netplan ou ifupdown). - exemplo/analogia: o sudo é a chave de emergência que se pede e se regista.

NOTAS DO PROFESSOR - enfatizar: sem medição não há otimização, há palpite. - erro comum/pergunta: desativar um serviço sem saber o que depende dele. - exemplo/analogia: o médico mede a tensão antes e depois do tratamento.

NOTAS DO PROFESSOR - enfatizar: tentar terminar com o pedido normal antes de forçar. - erro comum/pergunta: usar `kill -9` por defeito: pode corromper dados. - exemplo/analogia: pedir a alguém que saia da sala antes de chamar a segurança.

NOTAS DO PROFESSOR - enfatizar: 'free' baixa não é problema; 'available' baixa é. - erro comum/pergunta: entrar em pânico por a RAM livre estar baixa em Linux. - exemplo/analogia: uma secretária pequena: os papéis passam para o arquivo e tudo abranda.

NOTAS DO PROFESSOR - enfatizar: LVM e Espaços de Armazenamento permitem aumentar volumes mais tarde. - erro comum/pergunta: partir os discos sem pensar em crescimento. - exemplo/analogia: um armário com prateleiras ajustáveis.

NOTAS DO PROFESSOR - enfatizar: fazer a conta no quadro com os valores da turma. - erro comum/pergunta: achar que RAID 0 é redundante. - exemplo/analogia: RAID 1 é ter duas cópias do mesmo caderno na mesma gaveta.

NOTAS DO PROFESSOR - enfatizar: a frase 'RAID não é backup' é o erro mais caro. - erro comum/pergunta: só descobrir o disco avariado quando falha o segundo. - exemplo/analogia: dois cofres na mesma sala: o incêndio apanha os dois.

NOTAS DO PROFESSOR - enfatizar: o journaling permite recuperar após corte de energia. - erro comum/pergunta: usar FAT32 num servidor de ficheiros. - exemplo/analogia: o journaling é o diário de bordo: se o navio parar, sabe-se onde estava.

NOTAS DO PROFESSOR - enfatizar: libertar espaço é decisão do dono dos dados. - erro comum/pergunta: apagar ficheiros 'antigos' sem confirmar. - exemplo/analogia: quem limpa o arquivo pergunta antes a quem pertence.

NOTAS DO PROFESSOR - enfatizar: quando alguém muda de departamento, muda de grupo e nada mais. - erro comum/pergunta: contas partilhadas: impedem saber quem fez o quê. - exemplo/analogia: o crachá do funcionário abre as portas do seu cargo, não as de quem o conhece.

NOTAS DO PROFESSOR - enfatizar: o -a de usermod. - erro comum/pergunta: entrar como root em vez de usar sudo. - exemplo/analogia: o -a é 'acrescentar'; sem ele é 'substituir'.

NOTAS DO PROFESSOR - enfatizar: fazer a conta de 7 = 4 + 2 + 1. - erro comum/pergunta: dar 777 para 'resolver'. - exemplo/analogia: 777 é deixar a porta de casa aberta porque a chave não funcionava.

NOTAS DO PROFESSOR - enfatizar: partilha e NTFS: vale a mais restritiva. - erro comum/pergunta: dar Controlo Total para 'não haver problemas'. - exemplo/analogia: dois porteiros em série: passa-se só se ambos deixarem.

NOTAS DO PROFESSOR - enfatizar: a conta de quem sai deve ser desativada no mesmo dia. - erro comum/pergunta: renovações forçadas muito frequentes levam a palavras-passe fracas. - exemplo/analogia: a chave do ex-funcionário deve ser recolhida à saída.

NOTAS DO PROFESSOR - enfatizar: a vantagem da autenticação e das políticas centralizadas. - erro comum/pergunta: ter um só controlador e sem backup do estado do sistema. - exemplo/analogia: um cartão único para todo o edifício, em vez de uma chave por porta.

NOTAS DO PROFESSOR - enfatizar: DNS e hora são as duas dependências que mais falham. - erro comum/pergunta: configurar um cliente com DNS público. - exemplo/analogia: o DNS é o endereçamento do correio do domínio.

NOTAS DO PROFESSOR - enfatizar: a palavra-passe do DSRM é indispensável para recuperar o AD. - erro comum/pergunta: perder a palavra-passe do DSRM. - exemplo/analogia: é a chave do cofre de recuperação do edifício.

NOTAS DO PROFESSOR - enfatizar: redirecionar Documentos para o servidor protege os dados do utilizador. - erro comum/pergunta: pôr o computador na UO errada e não receber as políticas. - exemplo/analogia: a GPO é o regulamento interno que todos os postos recebem.

NOTAS DO PROFESSOR - enfatizar: seguir sempre a mesma ordem de diagnóstico. - erro comum/pergunta: reiniciar o servidor sem ter visto os registos. - exemplo/analogia: o médico faz as perguntas por ordem antes de receitar.

NOTAS DO PROFESSOR - enfatizar: partilha mais NTFS: as duas camadas. - erro comum/pergunta: partilhar com 'Todos' e Controlo Total. - exemplo/analogia: a partilha é a porta do edifício; o NTFS são as portas dos gabinetes.

NOTAS DO PROFESSOR - enfatizar: testparm valida a configuração antes de reiniciar. - erro comum/pergunta: esquecer o smbpasswd. - exemplo/analogia: o Samba é um intérprete: Linux fala 'POSIX', o cliente fala 'SMB'.

NOTAS DO PROFESSOR - enfatizar: o servidor de impressão não deve ser o controlador de domínio. - erro comum/pergunta: inventar o nome do controlador: usar Get-PrinterDriver. - exemplo/analogia: um único posto de correio em vez de uma impressora por secretária.

NOTAS DO PROFESSOR - enfatizar: autenticação forte, canal cifrado, mínimo de contas. - erro comum/pergunta: publicar a porta 3389 na internet. - exemplo/analogia: a entrada de serviço tem de ter a fechadura mais forte.

NOTAS DO PROFESSOR - enfatizar: testar o acesso por chave antes de desativar a palavra-passe. - erro comum/pergunta: ficar sem acesso por erro na configuração. - exemplo/analogia: manter uma porta aberta enquanto se troca a fechadura da outra.

NOTAS DO PROFESSOR - enfatizar: dar acesso por grupo, não por conta. - erro comum/pergunta: abrir o RDP na firewall para 'qualquer origem'. - exemplo/analogia: a VPN é o corredor privado até ao edifício.

NOTAS DO PROFESSOR - enfatizar: nunca escrever a palavra-passe no fstab. - erro comum/pergunta: deixar o posto fora da UO e sem políticas. - exemplo/analogia: uma linha de montagem: cada posto sai igual.

NOTAS DO PROFESSOR - enfatizar: servidores fora do intervalo distribuído. - erro comum/pergunta: dois servidores DHCP na mesma rede. - exemplo/analogia: o DHCP é o balcão que dá a cada visitante o seu lugar.

NOTAS DO PROFESSOR - enfatizar: a linha de base: sem saber o que é normal, não se vê o anormal. - erro comum/pergunta: alertas demais que ninguém lê. - exemplo/analogia: o painel de instrumentos do carro.

NOTAS DO PROFESSOR - enfatizar: o agente mede, o servidor recolhe e decide quando alertar. - erro comum/pergunta: deixar a porta 9100 aberta a toda a rede. - exemplo/analogia: o agente é o sensor no motor; o servidor é o painel de instrumentos.

NOTAS DO PROFESSOR - enfatizar: provocar o alerta de propósito para ver Pending e Firing. - erro comum/pergunta: alertar sem a cláusula `for` e receber avisos por picos breves. - exemplo/analogia: o alarme só toca se a luz de aviso ficar acesa dois minutos seguidos. - avisos por correio exigem o Alertmanager, componente à parte.

NOTAS DO PROFESSOR - enfatizar: ativar a auditoria, senão os eventos não existem. - erro comum/pergunta: guardar os registos só no servidor comprometido. - exemplo/analogia: o registo de entradas de um edifício.

NOTAS DO PROFESSOR - enfatizar: permitir a porta 22 antes de ativar a firewall. - erro comum/pergunta: confiar só na firewall. - exemplo/analogia: as camadas de uma cebola, não uma única muralha.

NOTAS DO PROFESSOR - enfatizar: calcular o número de conjuntos a restaurar. - erro comum/pergunta: tratar snapshots como backup: vivem no mesmo armazenamento. - exemplo/analogia: incremental é o diário; diferencial é o resumo da semana.

NOTAS DO PROFESSOR - enfatizar: testar o restauro com regularidade. - erro comum/pergunta: guardar a cópia no mesmo servidor. - exemplo/analogia: não guardar todos os ovos no mesmo cesto, nem na mesma casa.

NOTAS DO PROFESSOR - enfatizar: `--delete` espelha também os erros: manter histórico. - erro comum/pergunta: destino do backup igual à origem. - exemplo/analogia: o cronómetro do backup tem de caber na noite.

NOTAS DO PROFESSOR - enfatizar: o plano de reversão antes de começar. - erro comum/pergunta: desativar o servidor antigo no próprio dia. - exemplo/analogia: mudar de casa: a antiga só se entrega quando a nova estiver pronta.

NOTAS DO PROFESSOR - enfatizar: a licença do convidado também conta. - erro comum/pergunta: não fazer backup do anfitrião. - exemplo/analogia: um prédio com vários apartamentos independentes.

NOTAS DO PROFESSOR - enfatizar: o DRP é parte do BCP, não o mesmo. - erro comum/pergunta: pensar que o desastre é só catástrofe natural. - exemplo/analogia: o DRP é o plano de evacuação e de regresso.

NOTAS DO PROFESSOR - enfatizar: RPO é perda de dados, RTO é tempo de paragem. - erro comum/pergunta: trocar os dois. - exemplo/analogia: RPO é até onde recuo o relógio; RTO é quanto tempo demoro a reabrir.

NOTAS DO PROFESSOR - enfatizar: testar: um plano nunca testado é um palpite. - erro comum/pergunta: esquecer as dependências (ficheiros precisam do AD e do DNS). - exemplo/analogia: o plano de emergência a bordo: lê-se antes, ensaia-se e atualiza-se.

NOTAS DO PROFESSOR - enfatizar: verificar sempre se a solução cumpre o RPO e o RTO. - erro comum/pergunta: backup diário para um RPO de 15 minutos. - exemplo/analogia: o teste de restauro mostra os minutos reais.

NOTAS DO PROFESSOR - enfatizar: o responsável pelo tratamento decide; o técnico executa e protege. - erro comum/pergunta: achar que um endereço IP nunca é dado pessoal. - exemplo/analogia: os dados pessoais são o dinheiro dos outros que guardamos no cofre.

NOTAS DO PROFESSOR - enfatizar: o técnico reporta de imediato; quem notifica é o responsável. - erro comum/pergunta: apagar registos ao detetar o incidente. - exemplo/analogia: preservar o local, como num acidente.

NOTAS DO PROFESSOR - enfatizar: cumprir as normas é parte do critério de desempenho. - erro comum/pergunta: improvisar quando a norma interna existe. - exemplo/analogia: as normas são o regulamento de bordo.