Windows Server 2025 / Esercitazione finale su dominio, autorizzazioni, GPO e ripristino

Questa esercitazione finale di Windows Server 2025 collega DNS interno, identità di dominio, autorizzazioni delle condivisioni, Criteri di gruppo e backup. Il completamento richiede prove con utenti ordinari, risultato effettivo dei criteri e dati ripristinati verificati, oltre ai messaggi di successo delle console.

Confermare ambiente iniziale e criteri di riuscita

Usa il laboratorio isolato esistente: DC1, 172.24.50.10, fornisce Active Directory Domain Services (AD DS), i servizi di dominio, e DNS per ad.example.test. FS1, 172.24.50.20, è il file server membro e CLIENT1 è aggiunto al dominio. Se esiste DC2, 172.24.50.11, verifica anche la replica. Non ricreare dominio o ruoli già installati.

Servono labuser1 e le unità organizzative (OU) LabUsers, LabGroups, Workstations e Servers sotto Lab, con CLIENT1 in Workstations. FS1 deve avere un volume dati NTFS D: e una destinazione di backup separata E: prevista per la prova, con spazio sufficiente. Se le lettere hanno altri scopi, adatta preparazione e percorsi prima dei comandi; non formattare dischi per farli coincidere con l’esempio. Due dischi virtuali sullo stesso host permettono la pratica, ma non costituiscono un backup di produzione indipendente dal guasto dell’host.

Usa cartella, condivisione Capstone e gruppi nuovi. Fermati se i nomi esistono, senza sostituire oggetti precedenti. Registra identificativi degli oggetti creati e stato iniziale, inclusi titolo e testo del messaggio di accesso di CLIENT1 e GPO che li determina. Provare soltanto come amministratore può nascondere problemi di autorizzazione degli utenti ordinari.

Registrare una baseline sana di rete e dominio

Esegui queste query su CLIENT1 e controlla ogni risultato. FS1 deve risolversi in 172.24.50.20; record di servizio (SRV) e individuazione del controller devono corrispondere al dominio e whoami deve identificare l’utente di prova. Mantieni DNS interno: aggiungere DNS pubblico non risolve un errore nell’individuazione del dominio.

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

Registra stato dei ruoli, ora dei server e spazio libero su D: ed E: di FS1. Se esiste DC2, controlla repadmin /replsummary e registrazione DNS. Risolvi errori di rete, dominio e replica prima di aggiungere modifiche a criteri e autorizzazioni, così da poter distinguere la causa dei problemi successivi.

Creare il percorso di autorizzazione tramite gruppi

Su DC1 usa Windows PowerShell con privilegi elevati e un account autorizzato a creare gruppi e modificarne i membri. Verifica che OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test esista e labuser1 sia l’identità prevista; non inserire password nel codice. AGDLP significa Accounts → Global groups → Domain Local groups → Permissions: account, gruppi globali, gruppi locali di dominio e autorizzazioni. Procedi per parti e fermati a qualsiasi errore di query o creazione. Un errore di Get-ADGroup non dimostra che il nome sia libero. Se alcuni oggetti sono già stati creati, controllali e registra gli identificativi prima di ripetere.

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

Il risultato ricorsivo deve contenere labuser1 attraverso il gruppo globale. Disconnetti completamente la sessione su CLIENT1 e accedi nuovamente come tale utente per rinnovare il token di accesso, quindi verifica whoami /groups nella sua sessione ordinaria. Una query amministrativa non dimostra che il token dell’utente sia cambiato. La documentazione sui gruppi di sicurezza AD distingue ambito globale e locale di dominio.

Provare accessi consentiti e negati alla condivisione

Su FS1 con il ruolo file server esistente, apri Server Manager → Servizi file e archiviazione → Condivisioni → Attività → Nuova condivisione. Scegli Condivisione SMB – Rapida e crea la nuova cartella D:\Capstone con nome condiviso Capstone. Server Message Block (SMB) è il protocollo di condivisione. Se cartella o condivisione esistono già, fermati e verifica proprietario e finalità invece di riutilizzarle senza controllo.

1. Mantieni Controllo completo NTFS per SYSTEM e amministratori. Assegna Modifica ad AD\DL_FS_Capstone_Modify su questa cartella e sui file. Esamina ereditarietà ampia e Accesso effettivo dell’utente senza modificare l’ACL dell’intero D:. Valutare un percorso locale non prova da solo le autorizzazioni SMB.
2. Nelle autorizzazioni della condivisione assegna Cambia allo stesso gruppo locale di dominio, conservando l’amministrazione necessaria. Esamina le voci reali prima di rimuovere accessi Everyone estesi e non previsti da questa nuova condivisione.
3. Accedi a CLIENT1 come labuser1, apri \\fs1.ad.example.test\Capstone e salva sample.txt con capstone version A. Verifica riapertura e scrittura, evitando l’estensione involontaria sample.txt.txt.
4. Disconnetti completamente la sessione e accedi con l’account ordinario estraneo ai gruppi Capstone. Controlla identità e rifiuto sullo stesso percorso UNC, senza riutilizzare connessioni autenticate in precedenza come amministratore.

La scrittura tramite rete deve essere consentita sia dalle autorizzazioni della condivisione sia da NTFS. Se l’utente estraneo accede, controlla whoami, gruppi annidati, ereditarietà e altre voci di autorizzazione. Nascondere la cartella non blocca l’accesso diretto. Se serve un altro account, creane uno ordinario nuovo, dedicato alla prova, in LabUsers e senza appartenenza ai gruppi Capstone; annotane il nome. Non usare un amministratore per la prova negativa e non abilitare accesso guest per aggirare errori di autenticazione.

Dopo aver salvato A, chiudi l’editor. Su FS1 registra contenuto, hash SHA256 ed elenco di controllo di accesso (ACL) della cartella prima del backup. Conserva anche le autorizzazioni del file da Proprietà → Sicurezza → Avanzate. L’hash rappresenta i byte: non inventare un valore e non calcolare quello di A per la prima volta dopo la modifica in B. Get-FileHash permette il confronto successivo del contenuto ripristinato.

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

Applicare una GPO separata e verificarne il risultato

In Gestione Criteri di gruppo su DC1 apri Workstations sotto Lab e crea una nuova GPO Lab-Capstone collegata lì. Un oggetto Criteri di gruppo (Group Policy Object, GPO) e il collegamento alla OU sono elementi distinti; creare una GPO non la collega automaticamente. Mantieni separata Lab-Computer-Message. Fermati se Lab-Capstone esiste; registra nuovo oggetto e collegamento senza alterare criteri altrui.

1. Modifica Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni sicurezza → Criteri locali → Opzioni di sicurezza.
2. Imposta Accesso interattivo: titolo del messaggio per gli utenti che tentano l’accesso su Capstone lab e il testo del messaggio corrispondente su Course verification. Sono valori di laboratorio, non un avviso legale di produzione.
3. Controlla ordine dei collegamenti e altre GPO che configurano gli stessi valori. Non modificare il criterio predefinito del dominio né imporre un criterio globale per vincere un conflitto.
4. Su CLIENT1 esegui gpupdate /force in una console elevata, attendi l’esito ed esamina eventuale disconnessione o riavvio dopo aver salvato il lavoro.
5. Esegui gpresult /r /scope computer e controlla GPO applicate e rifiutate. Disconnettiti e verifica titolo e testo reali all’accesso. Per attribuire un conflitto usa anche Risultati Criteri di gruppo nella console di gestione.

Se il messaggio differisce, controlla OU del computer, filtri di sicurezza, ordine dei collegamenti e conflitti. La presenza della GPO in gpresult non dimostra da sola il valore vincente. La guida all’elaborazione dei Criteri di gruppo spiega ambito e precedenza. Per confrontare, disabilita soltanto il collegamento Lab-Capstone e rielabora i criteri. Confronta il messaggio con la situazione iniziale: altre GPO possono fornire valori precedenti e alcune impostazioni di sicurezza possono persistere. Rimuovere il collegamento o scegliere Non definito non garantisce un valore vuoto.

Salvare A e ripristinarla in un’altra posizione

Su FS1 verifica che Windows Server Backup sia installato e che E: sia la destinazione di prova autorizzata, distinta da D:. Conserva l’hash di A e controlla origine, destinazione e spazio prima di confermare il comando di backup. Usa diritti di backup e console elevata, attendi l’esito e poi consulta le versioni. -vssCopy crea un backup di copia tramite Volume Shadow Copy Service (VSS), il servizio Copia Shadow del volume. Non equivale automaticamente a un backup completo del sistema né garantisce coerenza di qualsiasi applicazione.

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

Registra completamento riuscito, ora e versione effettive e verifica che il catalogo contenga il file previsto. Un messaggio finale o una cartella di backup non bastano. Soltanto dopo modifica il nuovo D:\Capstone\sample.txt in capstone version B, salva e chiudi l’editor. Conserva B separatamente con nome nuovo senza sovrascrivere A o file aziendali. La prova simula una modifica indesiderata senza eliminare dati operativi.

1. Apri Windows Server Backup → Ripristina e seleziona la copia effettiva di FS1 su E: con l’ora annotata. Se la versione corretta manca, fermati; non scegliere semplicemente l’ultima.
2. Scegli File e cartelle e verifica D:\Capstone\sample.txt nella versione selezionata. Se manca, riesamina gli elementi inclusi nel backup.
3. Scegli un’altra posizione in una sottocartella nuova, univoca e vuota sotto D:\CapstoneRestore. Annota il percorso; non scegliere posizione originale o cartella già utilizzata da un ripristino.
4. Esamina gestione delle collisioni, ripristino delle autorizzazioni di sicurezza e riepilogo di origine e destinazione. Avvia il ripristino solo dopo il controllo, attendi l’esito finale e fermati in caso di errori.
5. Trova il percorso effettivo di sample.txt ripristinato, leggi A ed esegui Get-FileHash -LiteralPath per quel percorso con -Algorithm SHA256. Deve corrispondere all’hash di A registrato prima del backup, non all’hash attuale di B.
6. Controlla che D:\Capstone\sample.txt contenga ancora B e che la copia separata di B sia conservata. Trovare A in un’altra cartella non dimostra che l’originale sia intatto: verifica entrambi.

Anche le opzioni di ripristino richiedono versione, elemento e destinazione corretti. Confronta ACL ripristinate e registrazione iniziale, oltre al contenuto. Recuperare byte e recuperare accesso sono verifiche distinte. Non sostituire i dati correnti prima della convalida; in questa esercitazione B resta nel percorso originale e A nella destinazione alternativa.

Per verificare accesso reale al file recuperato senza concedere accesso interattivo a FS1, usa una condivisione temporanea limitata. Verifica che CapstoneRestoreCheck non esista. Nella stessa procedura di condivisione di FS1 seleziona soltanto la cartella di questa esecuzione del ripristino e crea quel nome con Lettura per AD\DL_FS_Capstone_Modify e amministrazione necessaria. Controlla ACL di cartella e file, conserva SYSTEM e amministratori e non aggiungere permessi NTFS estesi per forzare il risultato. Da CLIENT1 labuser1 deve leggere A tramite \\fs1.ad.example.test\CapstoneRestoreCheck, mentre l’account negativo deve essere respinto. Usa percorso relativo reale e sessioni separate senza salvare nuovamente A. Se ACL recuperate o ereditarietà della destinazione impediscono l’accesso, documenta differenza e correzione limitata prima dell’accettazione.

Questa condivisione in Lettura verifica lettura e rifiuto, non la scrittura della copia ripristinata; Modifica è stata provata sulla condivisione originale. La guida alla valutazione delle autorizzazioni effettive distingue accesso UNC e calcolo locale. Conserva risultati e ACL e rimuovi poi soltanto CapstoneRestoreCheck da Condivisioni. Rimuoverla non richiede di eliminare i file: mantieni A, B e backup fino alla fine della verifica e alla decisione sulla conservazione.

Conservare prove e pulire solo ciò che è stato creato

• Mantieni una scheda con indirizzi, DNS, ruoli, OU, account e gruppi, autorizzazioni di cartella e condivisione, oggetto e collegamento GPO, versione di backup e percorsi effettivi del ripristino.
• Registra separatamente identità ammesse e respinte, risultati, criterio effettivo, contenuto e hash di A ripristinata, conservazione di B e verifica di accesso al file recuperato.
• Documenta errori, causa, correzione, nuova verifica e tempo di ripristino realmente misurato, indicandone l’inizio. Non registrare tempi ipotetici come misure.
• Identifica dipendenze condivise da host, archiviazione e alimentazione ancora presenti nel laboratorio. Completare l’esercizio non dimostra recupero dalla perdita dell’intero host.

Per pulire, disabilita o rimuovi prima soltanto il collegamento Lab-Capstone, aggiorna CLIENT1 e confronta entrambi i valori del messaggio con quelli iniziali. Se resta un valore di laboratorio, individua il criterio effettivo e ripristina la baseline documentata tramite una configurazione circoscritta e approvata, verificandola prima di rimuovere l’oggetto di prova. Non azzerare tutte le opzioni di sicurezza. La documentazione sulla persistenza delle impostazioni di sicurezza spiega perché ritirare una definizione non cancella sempre il valore. Decidi la conservazione di dati, ripristini e backup; rimuovi solo condivisioni e gruppi creati per questa prova ed eventualmente il nuovo account negativo. Mantieni OU preesistenti e condivisioni non coinvolte.

La prova è superata con accesso ordinario consentito e negato come previsto, criterio corretto e recupero di A con hash corrispondente mentre B rimane intatta. In caso di problemi confronta DNS e dominio, identità e token, autorizzazioni SMB e NTFS, criterio effettivo e catalogo di backup. Non nascondere il problema ampliando indiscriminatamente i permessi, disabilitando firma SMB o allentando il firewall.