Windows Server 2025 / Projeto final: verificar domínio, permissões, GPO e restauração

Este projeto de conclusão do Windows Server 2025 integra DNS interno, identidades de domínio, permissões de compartilhamento, Política de Grupo e backup. Para concluí-lo, verifique os acessos com contas comuns, a aplicação da política prevista e a integridade dos dados restaurados; mensagens de sucesso no console não bastam.

Confirme o estado inicial e os critérios de conclusão

Use servidores isolados existentes: DC1 (172.24.50.10) fornece Active Directory (AD) e DNS para ad.example.test, FS1 (172.24.50.20) é um servidor de arquivos membro, e CLIENT1 está ingressado no domínio. Verifique também a replicação se DC2 (172.24.50.11) existir. Não recrie funções ou o domínio já instalados.

Os pré-requisitos são labuser1; LabUsers, LabGroups, Workstations e Servers sob a unidade organizacional (OU) Lab; CLIENT1 em Workstations; um volume de dados NTFS D: e um destino de backup separado E: no FS1. Se as letras das unidades já tiverem outras finalidades, adapte a preparação antes de executar os comandos. Dois discos virtuais em um host físico fornecem prática, mas não um domínio de falha independente para backup de produção.

Crie pastas, um compartilhamento e grupos novos para este exercício Capstone. Pare se esses nomes já existirem. Testes de acesso apenas para administradores podem ocultar problemas de permissão de usuários comuns.

Registre uma linha de base saudável da rede e do domínio

Execute essas consultas no CLIENT1. Confirme se FS1 resolve para 172.24.50.20 e se a descoberta do controlador de domínio é bem-sucedida. Mantenha o cliente no DNS interno; o DNS público não é uma solução alternativa para um problema de resolução de domínio.

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

Registre o estado da função, o horário do servidor e o espaço livre em D: e E: do FS1. Se o DC2 existir, inspecione repadmin /replsummary e o registro DNS. Corrija falhas básicas de rede ou replicação antes de adicionar novas políticas e alterações de permissões.

Monte a cadeia de permissões baseada em grupos

Execute os comandos no Windows PowerShell com privilégios elevados no DC1. Use o labuser1 existente sem colocar sua senha no código. AGDLP significa Accounts → Global groups → Domain Local groups → Permissions (contas → grupos globais → grupos locais de domínio → permissões):

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

Verifique se o labuser1 aparece no resultado recursivo. Saia e entre novamente no CLIENT1 para atualizar seu token de acesso, depois inspecione whoami /groups. Uma consulta de grupo a partir de uma sessão de administrador não prova que o token do usuário comum foi alterado.

Verifique os acessos permitidos e negados ao compartilhamento

No FS1 com a função de servidor de arquivos instalada, abra o Gerenciador de Servidores → Serviços de Arquivo e Armazenamento → Compartilhamentos → Tarefas → Novo Compartilhamento. Selecione Compartilhamento SMB – Rápido e crie D:\Capstone com o nome de compartilhamento Capstone. Não substitua pastas ou compartilhamentos existentes.

1. Mantenha SYSTEM e os administradores com Controle total nas permissões NTFS. Conceda AD\DL_FS_Capstone_Modify a permissão Modificar, revisando as permissões herdadas excessivamente amplas e o Acesso Efetivo para esta pasta de teste.
2. Conceda ao mesmo grupo local de domínio a permissão Alterar nas permissões de compartilhamento, mantendo o acesso administrativo de gerenciamento e removendo o acesso amplo não desejado do grupo Everyone (Todos).
3. Entre no CLIENT1 como labuser1, abra \\fs1.ad.example.test\Capstone e salve sample.txt contendo o texto capstone version A.
4. Entre com outra conta de teste comum que não pertença aos grupos Capstone e confirme que o acesso foi negado.

Tanto as permissões de compartilhamento quanto NTFS devem permitir a operação. Se o acesso for permitido indevidamente, inspecione a identidade real, grupos aninhados, herança e outras entradas que concedem acesso. Ocultar uma pasta não é controle de acesso. Se necessário, crie uma conta comum separada no LabUsers sem associação aos grupos Capstone; um administrador não é adequado para o teste negativo.

No FS1, registre o conteúdo do arquivo criado, o hash SHA256 e a lista de controle de acesso à pasta (ACL) antes do backup:

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

Aplique uma GPO separada e verifique a configuração efetiva

No Gerenciamento de Política de Grupo no DC1, crie e vincule um novo Objeto de Política de Grupo (GPO) Lab-Capstone à OU Workstations. Mantenha os objetos existentes, como Lab-Computer-Message, separados. Um objeto GPO e seu link de OU são itens de configuração distintos.

1. Edite Configuração do Computador → Políticas → Configurações do Windows → Configurações de Segurança → Políticas Locais → Opções de Segurança.
2. Defina a opção de logon interativo « Título da mensagem para usuários que tentam fazer logon » como Capstone lab e o texto da mensagem como Course verification.
3. Verifique a ordem dos vínculos em relação a outros GPOs definindo os mesmos valores.
4. No shell elevado do CLIENT1, execute gpupdate /force e revise qualquer requisito de desconexão ou reinicialização.
5. Execute gpresult /r /scope computer, em seguida, desconecte-se e verifique a mensagem de logon.

Se o valor for diferente, inspecione a OU à qual o computador pertence, filtragem de segurança, ordem dos vínculos e conflitos. Desabilitar temporariamente apenas o link Lab-Capstone e reprocessar a política permite comparar o resultado anterior. Outro GPO pode fornecer um valor anterior; remover um link não garante uma configuração em branco.

Faça backup da versão A e restaure em um local separado

Confirme se o Windows Server Backup está instalado no FS1 e se E: é o destino de teste separado pretendido. Mantenha o hash da versão A, revise fonte e destino na referência de comando de backup e leia a confirmação antes de prosseguir:

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

Registre o horário do backup bem-sucedido e os itens disponíveis. Altere apenas o novo sample.txt para que contenha capstone version B e guarde uma cópia de B em separado. Isso simula uma alteração indesejada sem excluir arquivos existentes ou corromper um volume.

1. Abra o Windows Server Backup → Recuperar e selecione o horário real do backup em E:.
2. Escolha Arquivos e pastas e confirme que D:\Capstone\sample.txt está disponível.
3. Selecione a recuperação em outro local em uma nova pasta de execução vazia com nome único em D:\CapstoneRestore.
4. Revise as opções de tratamento de colisão e restauração de segurança, e então recupere.
5. Encontre o sample.txt restaurado e compare o conteúdo A e seu hash SHA256 com o registro pré-backup.
6. Confirme que o arquivo atual D:\Capstone\sample.txt ainda contém B.

As opções de comando de recuperação também exigem a versão correta, o item e o destino. Compare também as listas de controle de acesso (ACLs) restauradas com o acesso real. Decida se irá substituir os dados atuais somente após a validação; este exercício não sobrescreve automaticamente o original.

Registre evidências operacionais e faça a limpeza seletivamente

• Mantenha um registro de configuração para endereços, DNS, funções, OUs, grupos, compartilhamento, GPO e versão de backup.
• Registre separadamente as identidades permitidas e negadas, o resultado da política e o hash restaurado.
• Documente falhas, ações corretivas, verificação e tempo de recuperação.
• Identifique dependências de hospedagem, armazenamento e energia compartilhadas que ainda estejam presentes no laboratório.

Para a limpeza, desvincule o Lab-Capstone primeiro e verifique o resultado da política anterior. Decida a retenção dos dados de compartilhamento de teste, cópias restauradas e backups, e então remova apenas os grupos recém-criados e a conta adicional usada no teste de acesso negado, se apropriado. Preserve as OUs existentes LabUsers e LabGroups e os compartilhamentos não relacionados.

Os critérios de conclusão são os acessos permitidos e negados verificados com contas comuns, a aplicação da política prevista e a restauração da versão confirmada. Em caso de falha, examine cada camada em vez de afrouxar indiscriminadamente o firewall, a assinatura ou as permissões.