Windows Server 2025 / 総合実習：ドメイン・共有・GPO・バックアップを検証する

この総合実習では内部DNS、ドメインID、共有権限、グループポリシー、バックアップをつなぎます。管理画面の成功ではなく、一般ユーザーの許可と拒否、設定の実結果、検証したファイルの復元を完了条件にします。

開始状態と合格条件を確認する

既存のDC1 .10、メンバーFS1 .20、参加済みCLIENT1を同じ隔離環境で使います。DC2 .11があるなら複製も確認します。ADや役割を作り直さず、labuser1、Lab配下のLabUsers・LabGroups・Workstations・Servers、CLIENT1の配置、FS1のNTFS D:と別のE:を確認します。

同一ホストの二ディスクは独立した本番保護ではありません。Capstone名がすでに使われていれば止めます。ドライブ文字に既存用途があれば準備を調整してください。

正常な通信と所属を記録する

CLIENT1で内部DNSを使い、FS1の.20とDC検出を確認します。

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

時刻、役割、D:とE:の空きも控えます。DC2があればrepadmin /replsummaryと登録を確認します。基礎の不具合を残したまま権限やGPOを追加せず、外部DNSでドメインの問題を隠さないでください。

グループでアクセス権の経路を作る

DC1の管理者PowerShellで実行し、既存labuser1を利用します。パスワードはソースに書きません。AGDLPで利用者、業務グループ、権限用グループ、リソースを結びます。

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

再帰結果にlabuser1が含まれることを確認します。CLIENT1で入り直し、本人のwhoami /groupsを確認します。管理者側のグループ問い合わせだけでは利用者のトークン更新を証明できません。

共有の許可と拒否を交差確認する

1. FS1のファイルと記憶域サービス → 共有 → 新しい共有でSMB共有・簡易を選び、新規D:\CapstoneをCapstoneとして公開します。
2. NTFSはSYSTEMと管理者の必要権を残し、AD\DL_FS_Capstone_Modifyへ変更を許可します。継承の広い権限も調べます。
3. 共有側は同グループへ変更を許可し、不要なEveryoneを整理します。
4. CLIENT1のlabuser1から\\fs1.ad.example.test\Capstoneへsample.txtをcapstone version Aで作ります。
5. Capstoneグループ外の一般ユーザーで拒否されることを確認します。

管理者は否定試験に向きません。必要ならLabUsersへ専用の一般ユーザーを別途作ります。予想外に許可される場合は実ID、入れ子、継承、他の許可を調べます。非表示はアクセス制御ではありません。FS1で内容、SHA-256、ACLを控えます。

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

専用GPOで最終設定を確認する

GPMCでLab-CapstoneをWorkstationsへ作成・リンクします。既存のLab-Computer-Messageは別に維持します。コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプションへ進みます。

対話型ログオンのタイトルを「総合実習」、本文を「講座の動作確認」にし、同じ設定の既存GPOとのリンク順序を確認します。CLIENT1の管理者シェルでgpupdate /force、gpresult /r /scope computerを実行し、サインアウト後の画面を確認します。

値が違えばPCのOU、フィルター、順序、競合を調べます。比較ではLab-Capstoneのリンクだけを一時停止して更新し、前の結果を確認して戻します。別GPOが値を供給するため、リンク解除で空になるとは限りません。

Aをバックアップして別場所へ復元する

FS1のWindows Server BackupとE:を確認します。Aのハッシュを残し、取得コマンドの対象と保存先を確認してプロンプトを読みます。

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

成功した時刻と項目を控えてから、今回のsample.txtだけをcapstone version Bへ変え、Bも別に保管します。業務データの削除や領域破壊は不要です。

1. 回復ウィザードでE:の実際の取得日時を選びます。
2. ファイルとフォルダーからD:\Capstone\sample.txtを確認します。
3. 別場所としてD:\CapstoneRestore配下の一意の空フォルダーを選びます。
4. 競合とセキュリティの復元設定を読み、復元します。
5. 復元したAのハッシュを取得前と比較し、元のBが維持されたことも確認します。

回復コマンドの条件も同じく版、項目、先が重要です。ACLと実アクセスも比較し、元を置き換える判断は検証後に別途行います。

証拠を整理して追加物だけを戻す

IP、DNS、役割、OU、グループ、共有、GPO、取得版を一つの台帳にし、許可と拒否の利用者、ポリシー結果、復元ハッシュを分けて記録します。失敗、修正、再確認、時間と、ホスト・電源・保存装置の共通障害も残します。

整理はLab-Capstoneのリンクから確認し、元の設定を再確認します。データ、復元先、バックアップの保持を決めてから今回のグループと否定試験用アカウントだけを対象にします。既存OUや別共有は維持します。原因を層ごとに調べ、規則や署名、権限の広い緩和で合格扱いにしないでください。