Windows Server 2025 / 域、权限、组策略与恢复综合实验

这项 Windows Server 2025 综合实验把内部 DNS、域身份、共享权限、组策略和备份连接起来。完成标准是普通用户访问测试符合预期、策略实际生效、恢复数据经过验证，而不只是管理控制台显示操作成功。

确认初始环境与通过条件

使用已有隔离实验环境：DC1 的地址为 172.24.50.10，为 ad.example.test 提供 Active Directory 域服务（Active Directory Domain Services，AD DS）和 DNS；FS1 的地址为 172.24.50.20，是域成员文件服务器；CLIENT1 已加入域。如果还有 172.24.50.11 的 DC2，也要检查复制。不要重新创建已经存在的域或服务器角色。

准备已有的 labuser1，以及 Lab 下的 LabUsers、LabGroups、Workstations、Servers 组织单位（OU），CLIENT1 应位于 Workstations。FS1 需要 NTFS 数据卷 D: 和专门准备的独立备份目标 E:，并有足够空间。如果盘符已有其他用途，应先调整准备步骤和命令路径，不要为了匹配示例而格式化磁盘。同一物理主机上的两块虚拟磁盘适合练习，但不构成独立于主机故障的生产备份。

使用新建的 Capstone 文件夹、共享和指定组。如果名称已存在就停止，不覆盖旧对象。记录新对象标识和原始状态，包括 CLIENT1 登录提示的标题、正文及决定这些值的 GPO。只用管理员验证访问，可能掩盖普通用户权限错误。

记录正常的网络和域基线

在 CLIENT1 逐项执行以下查询并检查结果。FS1 应解析到 172.24.50.20，服务记录（SRV）和域控制器发现应对应本域，whoami 应显示本次测试身份。客户端继续使用内部 DNS，添加公共 DNS 不能修复域发现问题。

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

记录角色状态、服务器时间，以及 FS1 的 D:、E: 剩余空间。如果存在 DC2，检查 repadmin /replsummary 和 DNS 注册情况。先解决网络、域或复制基线问题，再增加权限和策略变更，以免之后无法判断故障来源。

建立基于组的权限路径

在 DC1 使用提升权限的 Windows PowerShell，并使用获准创建组和修改成员关系的账号。先确认 OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test 已存在，labuser1 也是预定账号；不要把密码写入代码。AGDLP 表示 Accounts → Global groups → Domain Local groups → Permissions，即账号、全局组、域本地组、权限。分段执行，任何查询或创建报错都应停止。Get-ADGroup 查询失败不代表名称可用。如果已经创建部分对象，重试前先检查其标识与状态。

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

递归查询结果应通过全局组包含 labuser1。让该用户在 CLIENT1 完整注销后重新登录，刷新访问令牌，再在其普通会话运行 whoami /groups。管理员查询到组成员，不等于用户令牌已经更新。AD 安全组文档区分了全局组与域本地组的作用域。

验证共享访问的允许与拒绝

在已有文件服务器角色的 FS1 打开服务器管理器 → 文件和存储服务 → 共享 → 任务 → 新建共享，选择 SMB 共享－快速，新建 D:\Capstone，设置共享名称 Capstone。服务器消息块（Server Message Block，SMB）是共享访问协议。如果文件夹或共享已经存在，先停止并确认用途与所有者，不直接复用。

1. 在 NTFS 保留 SYSTEM 和管理员的完全控制，为 AD\DL_FS_Capstone_Modify 授予本文件夹及文件的修改权限。检查宽泛继承与该用户的有效访问，不修改整个 D: 的 ACL。只评估本地路径不能证明 SMB 共享权限。
2. 为同一域本地组授予共享的更改权限，并保留必要管理访问。检查实际权限项后，移除这个新共享中非预期的宽泛 Everyone 访问。
3. 在 CLIENT1 以 labuser1 登录，打开 \\fs1.ad.example.test\Capstone，新建 sample.txt 并保存 capstone version A。确认可以重新打开和写入，避免实际名称变成 sample.txt.txt。
4. 完整注销后换用未加入 Capstone 组的普通测试账号。确认身份，并验证同一 UNC 路径拒绝访问，不沿用此前以管理员身份认证的连接。

网络写入必须同时通过共享权限和 NTFS 权限检查。如果无关用户意外获得访问，检查 whoami、嵌套组、继承和其他允许项。隐藏文件夹并不能阻止直接访问。需要另一账号时，在 LabUsers 新建专用于本次测试的普通账号，不加入 Capstone 组，并记录名称。不要以管理员作为拒绝访问的测试对象，也不要启用来宾访问来绕过身份验证。

保存 A 后关闭编辑器。在备份前于 FS1 记录文件内容、SHA256 哈希和文件夹访问控制列表（ACL），另从属性 → 安全 → 高级记录文件权限。哈希对应文件字节，不能虚构数值，也不能等改成 B 后才首次计算 A 的哈希。之后使用 Get-FileHash对比恢复内容。

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

应用独立 GPO 并核实结果

在 DC1 的组策略管理中找到 Lab 下的 Workstations，创建新的 Lab-Capstone GPO 并链接到该 OU。组策略对象（Group Policy Object，GPO）和 OU 链接是不同配置项，单独创建 GPO不会自动建立链接。保留原有 Lab-Computer-Message。如果 Lab-Capstone 已存在就停止，记录新对象及链接，不修改其他策略。

1. 编辑计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项。
2. 将“交互式登录：试图登录的用户的消息标题”设为 Capstone lab，将对应消息正文设为 Course verification。这是实验提示，不是生产法律告知。
3. 核对链接顺序和设置相同两个值的其他 GPO，不修改默认域策略，也不为压过冲突就强制应用全局策略。
4. 在 CLIENT1 的提升权限控制台运行 gpupdate /force，等待结果，保存工作后再评估任何注销或重启要求。
5. 运行 gpresult /r /scope computer 检查已应用和被拒绝的 GPO，再注销并确认实际登录提示标题和正文。需要追查冲突时，也使用组策略管理中的组策略结果。

提示不符合预期时，检查计算机所属 OU、安全筛选、链接顺序和冲突。gpresult 列出 GPO 不等于已证明某个设置的最终值。组策略处理指南说明了作用范围和优先级。要比较结果，可只禁用 Lab-Capstone 链接并重新处理策略，然后与记录的基线提示对照。其他 GPO 可能提供旧值，部分安全设置也可能保留。取消链接或选择“未定义”不保证提示自动变空。

备份 A 并恢复到其他位置

在 FS1 确认已安装 Windows Server Backup，且 E: 是获准的测试备份目标，与 D: 不同。保留 A 的哈希，检查源、目标和空间，再确认备份命令。使用备份所需权限和提升权限的控制台，等待备份结果后再查询版本。-vssCopy 通过卷影复制服务（Volume Shadow Copy Service，VSS）执行副本备份，不等于完整系统备份，也不保证任意应用的一致性。

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

记录实际成功结果、时间和版本，确认目录中包含预定文件。只有结束提示或备份文件夹还不够。确认之后才把新建的 D:\Capstone\sample.txt 改为 capstone version B，保存并关闭编辑器。另以新名称保留 B 的副本，不覆盖 A 或业务文件。这样可以模拟非预期修改，而不用删除业务数据。

1. 打开 Windows Server Backup → 恢复，选择 E: 上 FS1 的实际备份及记录时间。如果找不到正确版本就停止，不直接选最新版本。
2. 选择文件和文件夹，确认该版本含有 D:\Capstone\sample.txt。如果没有，先检查原备份范围。
3. 选择恢复到其他位置，在 D:\CapstoneRestore 下使用新建、名称唯一且为空的本次恢复子文件夹。记录路径，不选原位置，也不复用旧恢复目录。
4. 核对名称冲突处理、安全权限恢复选项以及源和目标摘要后开始恢复。等待最终结果，遇到错误就停止检查。
5. 找到恢复后 sample.txt 的实际路径，读取内容 A，再使用 Get-FileHash -LiteralPath 指定该路径并加 -Algorithm SHA256。结果应匹配备份前记录的 A 哈希，不是当前 B 的哈希。
6. 明确检查 D:\Capstone\sample.txt 仍为 B，另存的 B 副本也仍存在。找到另一位置的 A，不足以证明原文件未变，应分别核实。

恢复选项同样要求正确的版本、项目和目标。除内容外，还要把恢复后的 ACL 与备份前记录比较；恢复字节和恢复访问能力是不同检查。验证前不要替换当前文件，本实验应让 B 留在原位置，A 出现在另一恢复位置。

要验证恢复文件的真实访问而不授予 FS1 交互式登录权限，可以建立受限临时共享。先确认 CapstoneRestoreCheck 不存在，在 FS1 的同一共享向导中仅选择本次恢复文件夹，以该名称创建共享，为 AD\DL_FS_Capstone_Modify 授予读取并保留必要管理权限。检查文件夹和文件 ACL，保留 SYSTEM 与管理员，不为强行得到通过结果而添加宽泛 NTFS 权限。在 CLIENT1 分别使用独立会话，labuser1 应能通过 \\fs1.ad.example.test\CapstoneRestoreCheck 读取恢复的 A，无关测试账号则应被拒绝。使用实际文件相对路径，不重新保存 A。如果恢复 ACL 或目标继承导致访问异常，先记录差异和限定范围的修正，再决定是否通过。

临时共享的读取权限只验证读取与拒绝，不证明恢复副本可写；修改权限已在原共享中测试。有效权限评估指南区分 UNC 远程访问与本地计算。保留结果和 ACL 后，只从共享管理中移除 CapstoneRestoreCheck。取消共享不要求删除文件，应保留 A、B 和备份，直到复核完成并决定保留方式。

保存运维证据并定向清理

• 保存地址、DNS、角色、OU、账号与组、文件夹和共享权限、GPO 对象及链接、备份版本和实际恢复路径的配置记录。
• 分别记录允许与拒绝测试的身份和结果、实际生效策略、恢复 A 的内容与哈希、B 的保留情况，以及恢复文件的访问测试。
• 记录失败、原因、修正、再次验证和实际恢复耗时，注明从哪个事件开始计时，不把估计时间写成测量结果。
• 列明实验仍然共用的主机、存储和电源依赖。完成本实验不代表已证明整个主机丢失后的恢复能力。

清理时先只禁用或移除 Lab-Capstone 链接，更新 CLIENT1，并把登录提示的两个值与原始记录对比。如果实验值仍保留，查明实际生效策略，通过范围受限且获准的配置恢复记录的基线，复查后再撤掉测试对象，不要重置所有安全设置。安全设置持久性文档解释了移除定义不一定清除数值的原因。决定测试数据、恢复副本和备份的保留期限，再移除仅由本实验创建的共享、组，以及适用时的新建拒绝测试账号。保留已有 OU 和无关共享。

通过条件是普通用户的允许与拒绝结果符合设计、策略正确，并恢复出与原记录哈希一致的 A，同时保持 B 完整。排错时分层核对 DNS 与域、身份与令牌、SMB 和 NTFS 权限、实际策略及备份目录。不要通过泛化授权、关闭 SMB 签名或放宽防火墙来掩盖问题。