Windows Server 2025 / Abschlussübung zu Domäne, Berechtigungen, GPO und Wiederherstellung

Diese Windows-Server-2025-Abschlussübung verbindet internes DNS, Domänenidentitäten, Freigabeberechtigungen, Gruppenrichtlinien und Sicherung. Abgeschlossen ist sie erst mit Tests als gewöhnliche Benutzer, dem tatsächlichen Richtlinienergebnis und überprüften wiederhergestellten Daten; Erfolgsmeldungen der Verwaltungskonsolen allein genügen nicht.

Ausgangszustand und Erfolgskriterien prüfen

Verwenden Sie das vorhandene isolierte Labor: DC1 unter 172.24.50.10 stellt Active Directory Domain Services (AD DS), die Domänendienste, und DNS für ad.example.test bereit. FS1 unter 172.24.50.20 ist Mitgliedsdateiserver; CLIENT1 gehört zur Domäne. Falls DC2 unter 172.24.50.11 vorhanden ist, prüfen Sie auch die Replikation. Erstellen Sie bestehende Rollen und die Domäne nicht erneut.

Vorausgesetzt werden labuser1 sowie die Organisationseinheiten (OUs) LabUsers, LabGroups, Workstations und Servers unter Lab; CLIENT1 liegt in Workstations. FS1 benötigt ein NTFS-Datenvolume D: und das dafür vorgesehene separate Sicherungsziel E: mit genügend Platz. Haben diese Buchstaben bereits andere Aufgaben, passen Sie Vorbereitung und Pfade vor Befehlsausführung an; formatieren Sie keine Datenträger zur Anpassung an das Beispiel. Zwei virtuelle Datenträger desselben Hosts sind ein Übungsaufbau, keine vom Hostausfall unabhängige Produktionssicherung.

Verwenden Sie neue Capstone-Ordner, Freigaben und Gruppen. Stoppen Sie bei bereits vorhandenen Namen, statt bestehende Objekte zu ersetzen. Notieren Sie Kennungen der neu angelegten Objekte und den Ausgangszustand, einschließlich Titel und Text der CLIENT1-Anmeldemeldung sowie der dafür maßgeblichen GPO. Reine Administratortests können Berechtigungsfehler gewöhnlicher Benutzer verdecken.

Gesunde Netz- und Domänenbasis dokumentieren

Führen Sie diese Abfragen auf CLIENT1 aus und prüfen Sie jedes Ergebnis. FS1 muss zu 172.24.50.20 aufgelöst werden; Diensteintrag (SRV) und Domänencontrollersuche müssen zur Domäne passen, whoami muss die Testidentität zeigen. Verwenden Sie internes DNS. Öffentliches DNS als Ausweichserver behebt keine fehlerhafte Domänensuche.

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

Notieren Sie Rollenstatus, Serverzeit und freien Platz auf D: und E: von FS1. Bei vorhandenem DC2 prüfen Sie repadmin /replsummary und DNS-Registrierung. Beheben Sie Netz-, Domänen- und Replikationsfehler vor zusätzlichen Richtlinien- und Berechtigungsänderungen, damit die Ursache eines späteren Fehlers zugeordnet werden kann.

Gruppenbasierten Berechtigungspfad erstellen

Verwenden Sie auf DC1 eine erhöhte Windows PowerShell und ein Konto mit Rechten zum Erstellen der Gruppen und Ändern ihrer Mitgliedschaft. Prüfen Sie die vorhandene OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test und die vorgesehene Identität labuser1; Kennwörter gehören nicht in den Code. AGDLP steht für Accounts → Global groups → Domain Local groups → Permissions: Konten, globale Gruppen, domänenlokale Gruppen und Berechtigungen. Führen Sie die Schritte einzeln aus und stoppen Sie bei jedem Abfrage- oder Erstellungsfehler. Eine fehlgeschlagene Get-ADGroup-Abfrage beweist keinen freien Namen. Prüfen Sie bei Teilerfolgen vorhandene Objekte und Kennungen vor einem erneuten Durchlauf.

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

Das rekursive Ergebnis muss labuser1 über die globale Gruppe enthalten. Melden Sie diesen Benutzer auf CLIENT1 vollständig ab und erneut an, um sein Zugriffstoken zu erneuern, und prüfen Sie whoami /groups in seiner normalen Sitzung. Eine Administratorabfrage beweist keine Tokenänderung des Benutzers. Die Dokumentation zu AD-Sicherheitsgruppen unterscheidet globale und domänenlokale Geltungsbereiche.

Erlaubten und verweigerten Freigabezugriff testen

Öffnen Sie auf FS1 mit vorhandener Dateiserverrolle Server-Manager → Datei-/Speicherdienste → Freigaben → Aufgaben → Neue Freigabe. Wählen Sie SMB-Freigabe – Schnell und erstellen Sie den neuen Ordner D:\Capstone mit Freigabenamen Capstone. Server Message Block (SMB) ist das Freigabeprotokoll. Existiert Ordner oder Freigabe bereits, stoppen Sie und klären Sie Eigentum und Zweck, statt sie ungeprüft zu übernehmen.

1. Behalten Sie SYSTEM und Administratoren mit NTFS-Vollzugriff bei. Gewähren Sie AD\DL_FS_Capstone_Modify Ändern für diesen Ordner und seine Dateien. Prüfen Sie breite Vererbung und Effektiven Zugriff des Benutzers, ohne die ACL des gesamten D:-Volumes zu ändern. Die Auswertung eines lokalen Pfads allein beweist keine SMB-Berechtigung.
2. Gewähren Sie derselben domänenlokalen Gruppe Ändern in der Freigabe und erhalten Sie erforderlichen administrativen Zugriff. Entfernen Sie unbeabsichtigte breite Everyone-Einträge dieser neuen Freigabe erst nach Prüfung der tatsächlichen Rechte.
3. Melden Sie sich auf CLIENT1 als labuser1 an, öffnen Sie \\fs1.ad.example.test\Capstone und speichern Sie sample.txt mit capstone version A. Prüfen Sie erneutes Öffnen und Schreiben und vermeiden Sie die unbemerkte Erweiterung sample.txt.txt.
4. Melden Sie sich vollständig ab und als gewöhnliches Konto ohne Capstone-Gruppen an. Prüfen Sie Identität und verweigerten Zugriff auf denselben UNC-Pfad; verwenden Sie keine zuvor als Administrator authentifizierte Verbindung.

Schreiben über das Netz muss sowohl durch Freigabe- als auch NTFS-Rechte erlaubt sein. Bei unerwartet erlaubtem Zugriff prüfen Sie whoami, verschachtelte Gruppen, Vererbung und weitere Zulassen-Einträge. Verbergen eines Ordners verhindert direkten Zugriff nicht. Falls nötig, erstellen Sie ein neues ausschließliches gewöhnliches Testkonto in LabUsers ohne Capstone-Mitgliedschaft und notieren dessen Namen. Ein Administrator eignet sich nicht als Negativtest; aktivieren Sie keinen Gastzugang als Umgehung.

Schließen Sie nach dem Speichern von A den Editor. Erfassen Sie auf FS1 vor der Sicherung Inhalt, SHA256-Hash und die Zugriffssteuerungsliste (ACL) des Ordners. Dokumentieren Sie zusätzlich die Dateiberechtigungen über Eigenschaften → Sicherheit → Erweitert. Der Hash bezieht sich auf die Dateibytes; erfinden Sie keinen Wert und ermitteln Sie A nicht erst nach dem Wechsel zu B. Get-FileHash ermöglicht später den Inhaltsvergleich.

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

Separate GPO anwenden und Ergebnis prüfen

Öffnen Sie auf DC1 die Gruppenrichtlinienverwaltung und erstellen Sie in Workstations unter Lab eine neue verknüpfte GPO namens Lab-Capstone. Ein Gruppenrichtlinienobjekt (Group Policy Object, GPO) und seine OU-Verknüpfung sind getrennte Elemente; das Erstellen einer GPO allein verknüpft sie nicht. Lassen Sie Lab-Computer-Message bestehen. Ist Lab-Capstone schon vorhanden, stoppen Sie; dokumentieren Sie neues Objekt und Verknüpfung ohne fremde Richtlinien zu verändern.

1. Bearbeiten Sie Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen.
2. Setzen Sie Interaktive Anmeldung: Nachrichtentitel für Benutzer, die sich anmelden wollen auf Capstone lab und den zugehörigen Nachrichtentext auf Course verification. Das sind Laborwerte, kein produktiver Rechtshinweis.
3. Prüfen Sie Verknüpfungsrangfolge und weitere GPOs mit denselben Werten. Ändern Sie nicht die Standarddomänenrichtlinie und erzwingen Sie keine globale Richtlinie nur zur Konfliktumgehung.
4. Führen Sie auf CLIENT1 gpupdate /force in erhöhter Konsole aus, warten Sie auf das Ergebnis und prüfen Sie Abmelde- oder Neustartanforderungen mit zuvor gespeicherter Arbeit.
5. Prüfen Sie mit gpresult /r /scope computer angewendete und abgewiesene GPOs. Melden Sie sich ab und kontrollieren Sie tatsächlichen Titel und Text bei der Anmeldung. Zur Konfliktzuordnung verwenden Sie zusätzlich Gruppenrichtlinienergebnisse in der Verwaltungskonsole.

Bei abweichender Meldung prüfen Sie Computer-OU, Sicherheitsfilter, Verknüpfungsrangfolge und Konflikte. Ein GPO-Name in gpresult beweist nicht allein den wirksamen Einzelwert. Der Leitfaden zur Gruppenrichtlinienverarbeitung erläutert Geltung und Vorrang. Deaktivieren Sie zum Vergleich nur die Lab-Capstone-Verknüpfung und verarbeiten Sie Richtlinien erneut. Vergleichen Sie die Meldung mit dem dokumentierten Ausgangszustand: Andere GPOs können frühere Werte liefern, und Sicherheitseinstellungen können bestehen bleiben. Aufheben einer Verknüpfung oder Nicht definiert garantiert keine Löschung.

Version A sichern und an anderem Ort wiederherstellen

Prüfen Sie auf FS1 die installierte Windows Server-Sicherung und E: als freigegebenes Übungsziel getrennt von D:. Bewahren Sie den A-Hash auf und kontrollieren Sie Quelle, Ziel und Platz vor Bestätigung des Sicherungsbefehls. Verwenden Sie Sicherungsrechte und eine erhöhte Konsole, warten Sie das Ergebnis ab und fragen Sie danach die Versionen ab. -vssCopy erstellt eine Kopiesicherung mit dem Volumeschattenkopie-Dienst (VSS). Das ist weder automatisch eine vollständige Systemsicherung noch ein Konsistenznachweis für jede Anwendung.

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

Notieren Sie erfolgreichen Abschluss, tatsächlichen Zeitpunkt und Version und prüfen Sie den vorgesehenen Dateieintrag im Katalog. Eine Abschlussmeldung oder ein Sicherungsordner allein genügt nicht. Ändern Sie erst dann die neue D:\Capstone\sample.txt zu capstone version B, speichern und schließen Sie den Editor. Bewahren Sie B zusätzlich unter einem neuen Namen auf, ohne A oder Geschäftsdaten zu überschreiben. Damit simulieren Sie eine unerwünschte Änderung ohne produktive Dateien zu löschen.

1. Öffnen Sie Windows Server-Sicherung → Wiederherstellen und wählen Sie die tatsächliche FS1-Sicherung auf E: zum notierten Zeitpunkt. Fehlt die richtige Version, stoppen Sie; wählen Sie nicht ungeprüft die neueste.
2. Wählen Sie Dateien und Ordner und prüfen Sie D:\Capstone\sample.txt in dieser Version. Fehlt die Datei, klären Sie die ursprüngliche Sicherungsauswahl.
3. Wählen Sie einen anderen Speicherort in einem neuen eindeutig benannten leeren Unterordner von D:\CapstoneRestore. Notieren Sie den Pfad; verwenden Sie weder Originalort noch ein früheres Wiederherstellungsverzeichnis.
4. Prüfen Sie Kollisionsbehandlung, Wiederherstellung der Sicherheitsberechtigungen sowie Quell- und Zielzusammenfassung. Starten Sie danach die Wiederherstellung, warten Sie bis zum Abschluss und stoppen Sie bei Fehlern.
5. Ermitteln Sie den tatsächlichen Pfad der restaurierten sample.txt, lesen Sie Inhalt A und berechnen Sie mit Get-FileHash -LiteralPath für diesen Pfad und -Algorithm SHA256 den Hash. Er muss dem vor der Sicherung aufgezeichneten A-Hash entsprechen, nicht dem heutigen B-Hash.
6. Prüfen Sie ausdrücklich, dass D:\Capstone\sample.txt weiterhin B enthält und die separate B-Kopie erhalten ist. Ein gefundenes restauriertes A allein beweist nicht, dass das Original unberührt blieb.

Auch die Wiederherstellungsoptionen verlangen richtige Version, Element und Ziel. Vergleichen Sie neben Inhalt auch restaurierte ACLs mit den Aufzeichnungen. Datenbytes und Zugriff wiederherzustellen sind unterschiedliche Prüfungen. Ersetzen Sie aktuelle Daten erst nach erfolgreicher Bewertung; in dieser Übung bleibt B am ursprünglichen Ort und A liegt am alternativen Ziel.

Prüfen Sie tatsächlichen Zugriff auf die restaurierte Datei über eine begrenzte temporäre Freigabe, ohne dem Benutzer Anmeldung auf FS1 zu gewähren. Vergewissern Sie sich, dass CapstoneRestoreCheck frei ist. Wählen Sie im gleichen FS1-Freigabeassistenten ausschließlich den restaurierten Durchlaufordner und erstellen Sie die Freigabe mit Lesen für AD\DL_FS_Capstone_Modify und nötiger Administration. Prüfen Sie Ordner- und Datei-ACL, erhalten Sie SYSTEM und Administratoren und fügen Sie keine pauschalen NTFS-Rechte zur Ergebnismanipulation hinzu. Auf CLIENT1 muss labuser1 A über \\fs1.ad.example.test\CapstoneRestoreCheck lesen können, während das Negativtestkonto abgewiesen wird. Verwenden Sie den tatsächlichen relativen Dateipfad und getrennte Sitzungen; speichern Sie A nicht erneut. Verhindern restaurierte ACL oder Zielvererbung den Zugriff, dokumentieren Sie Unterschied und begrenzte Korrektur vor der Abnahme.

Diese temporäre Lesefreigabe prüft Lesen und Abweisung, nicht Schreibrechte der restaurierten Kopie. Ändern wurde an der ursprünglichen Freigabe getestet. Die Anleitung zur Bewertung effektiver Berechtigungen unterscheidet UNC-Zugriff und lokale Auswertung. Bewahren Sie Ergebnisse und ACLs auf und entfernen Sie danach ausschließlich CapstoneRestoreCheck unter Freigaben. Das Entfernen der Freigabe erfordert keine Dateilöschung; behalten Sie A, B und Sicherung bis zum Prüfabschluss und zur Aufbewahrungsentscheidung.

Nachweise sichern und gezielt aufräumen

• Führen Sie eine Konfigurationsaufzeichnung zu Adressen, DNS, Rollen, OUs, Konten und Gruppen, Ordner- und Freigaberechten, GPO-Objekt und Verknüpfung, Sicherungsversion und tatsächlichen Rücksicherungspfaden.
• Notieren Sie getrennt erlaubte und abgewiesene Identitäten, Ergebnisse, wirksame Richtlinie, restaurierten A-Inhalt und Hash, erhaltenes B sowie den Zugriffstest auf die restaurierte Datei.
• Dokumentieren Sie Fehler, Ursache, Korrektur, erneute Prüfung und tatsächlich gemessene Wiederherstellungsdauer samt Messbeginn. Erfassen Sie keine angenommenen Zeiten als Messwerte.
• Benennen Sie weiterhin gemeinsam verwendete Host-, Speicher- und Stromabhängigkeiten. Die abgeschlossene Übung beweist keine Wiederherstellung nach Verlust des gesamten Hosts.

Deaktivieren oder entfernen Sie zum Aufräumen zunächst ausschließlich die Lab-Capstone-Verknüpfung, aktualisieren Sie CLIENT1 und prüfen Sie beide Meldungswerte gegen die Ausgangsaufzeichnung. Bleibt ein Laborwert bestehen, ermitteln Sie die wirksame Richtlinie und stellen Sie die dokumentierte Baseline über eine begrenzte freigegebene Konfiguration wieder her. Prüfen Sie erneut, bevor das Testobjekt entfällt; setzen Sie nicht sämtliche Sicherheitseinstellungen zurück. Die Dokumentation zur Beständigkeit von Sicherheitseinstellungen erklärt, weshalb das Entfernen einer Definition den Wert nicht immer entfernt. Entscheiden Sie über Aufbewahrung von Testdaten, Rücksicherungen und Backups. Entfernen Sie nur hier neu angelegte Freigaben und Gruppen sowie gegebenenfalls das zusätzliche Negativtestkonto; erhalten Sie bestehende OUs und fremde Freigaben.

Bestanden ist die Übung mit vorgesehenem erlaubtem und verweigertem Benutzerzugriff, korrekter Richtlinie und restauriertem A mit passendem Hash bei unverändertem B. Vergleichen Sie bei Fehlern DNS und Domäne, Identität und Token, SMB- und NTFS-Rechte, wirksame Richtlinie sowie Sicherungskatalog. Verbergen Sie Fehler nicht durch pauschale Rechte, deaktivierte SMB-Signierung oder gelockerte Firewallregeln.