Správa Windows Serveru

Co zahrnují základy administrace Windows Serveru

Administrace Windows Serveru zahrnuje instalaci a správu rolí a funkcí, konfiguraci identity a přístupu, síťových služeb, úložišť a zabezpečení, automatizaci pomocí PowerShellu, monitorování, zálohování a obnovu. Cílem je udržet stabilní, bezpečné a auditovatelné prostředí pro provoz aplikací a služeb.

Volba edice, licencování a nasazení

• Edice: Standard (virtualizační práva pro 2 virtuální prostředí), Datacenter (neomezené virtuální prostředí, pokročilé funkce jako Shielded VMs), Essentials (pro malé organizace, omezení počtu uživatelů).
• Licencování: licencování na počet jader (min. 16 jader na server, 8 jader na CPU), CAL licence pro uživatele či zařízení; doplňkové licence RDS CAL, Exchange/SQL CAL dle potřeby.
• Instalační varianty: Desktop Experience (s grafickým uživatelským rozhraním) versus Server Core (bez GUI, menší povrch útoku, nižší systémové nároky); doporučuje se preferovat Server Core pro infrastrukturu.
• Scénáře nasazení: fyzický server, virtualizace (Hyper-V, VMware), cloudová nebo hybridní řešení (Azure Stack HCI, Azure IaaS), automatizované obrazy (WDS/MDT; Autopilot není pro servery k dispozici).

Počáteční konfigurace a zpevnění

• Identita a název: nastavení unikátního hostname, připojení do existující domény nebo vytvoření nové domény.
• Síť: konfigurace statické IP adresy, DNS směrující na interní resolvery, nastavení týmování síťových adaptérů (LBFO/SET) pro zajištění redundance.
• Aktualizace: zapnutí automatických aktualizací nebo připojení k WSUS serveru; definování údržbových oken pro instalaci aktualizací.
• Zabezpečení: nastavení firewallových profilů, aktivace Microsoft Defender for Endpoint (pokud je dostupný), politiky hesel a vícefaktorová autentizace (MFA) pro privilegované účty, omezení RDP přístupu (NLA, šifrování, just-in-time přístup).
• Správa: povolení WinRM pro vzdálenou správu, instalace Windows Admin Center pro centralizovanou správu.

Role a funkce: architektura a správa

Role představují primární serverové funkce (například Active Directory Domain Services, DNS, DHCP, File and Storage Services, IIS, Remote Desktop Services, Hyper-V), zatímco funkce poskytují podpůrné komponenty (např. .NET Framework, Failover Clustering). Instalace probíhá prostřednictvím Server Manageru, Windows Admin Center nebo PowerShellu (Install-WindowsFeature).

Active Directory Domain Services (AD DS)

• Plán domén a organizačních jednotek (OU): návrh hierarchie OU, delegace oprávnění, dědičnost a filtrování Group Policy (bezpečnostní/WMI filtry).
• Řadiče domény: minimálně dva na lokalitu, oddělení rolí FSMO, synchronizace času s externím NTP serverem na PDC Emulatoru.
• Účty a skupiny: oddělení administrátorských účtů od běžných uživatelů, využití skupinové strategie řízení přístupu (AGDLP/AGUDLP modely).
• Recyklační koš AD a auditování: povolení Recycle Bin pro rychlou obnovu objektů, aktivace pokročilých auditních politik.

DNS a DHCP: základ síťové identity

• DNS: integrace zón v AD pro redundanci, použití split-brain DNS, zabezpečené dynamické aktualizace, podporované záznamy (A/AAAA, PTR, CNAME, SRV), forwardery a podmíněné forwardery.
• DHCP: nasazení více rozsahů, rezervace IP adres pro kritické servery, DHCP Failover (load balancing nebo standby), integrace s NAP/NPS pro řízení přístupu.

File and Storage Services

• NTFS a sdílení přes SMB: model oprávnění na principu minimálních práv (least privilege), dědičnost oprávnění, Access-Based Enumeration, kvóty (FSRM) a filtrování typů souborů.
• DFS: DFS Namespaces pro sjednocenou strukturu sdílení, DFS Replication pro geografickou redundanci, plánování a omezení šířky pásma replikace.
• Úložiště: Storage Spaces a Storage Spaces Direct, tiering mezi SSD a HDD, deduplikace dat pro souborové servery, ReFS souborový systém pro specifické scénáře záloh a virtuálních strojů.

Hyper-V a virtualizace

• Host a síť: konfigurace virtuálních switchů (External/Internal/Private), NIC Teaming/SET, SR-IOV, VLAN trunking.
• Konfigurace virtuálních strojů: generace 2, Secure Boot, virtuální TPM (vTPM) pro šifrování s BitLockerem na hostiteli, dynamická správa paměti, checkpointy (doporučuje se uvážlivé používání v produkci).
• Vysoká dostupnost: Failover Clustering pro Hyper-V, Cluster Shared Volumes, živá migrace virtuálních strojů a plánování údržby.

Remote Desktop Services (RDS)

• Role: RD Connection Broker, RD Web Access, RD Gateway (SSL/TLS, zásady přístupu), RD Session Host a RemoteApp.
• Bezpečnost: vícefaktorová autentizace (MFA) přes RD Gateway, politiky pro řízení sezení, řízení tiskových úloh a přesměrování zařízení, omezení sdílení schránky (clipboard).

IIS a webové služby

• Struktura: weby, aplikace, aplikační pooly (nastavení identity, recyklace), moduly a handlery.
• Výchozí HTTPS: používání TLS 1.2/1.3, moderní šifrovací sady, HTTP Strict Transport Security (HSTS), automatizovaná obnova certifikátů (např. skrze ACME API).
• Publikace a Web Application Firewall (WAF): ARR/Reverse Proxy, integrace s Application Gateway/WAF, logování a monitorování provozu.

Skupinové politiky (GPO) a bezpečnostní baseline

• Bezpečnostní baseline: nasazení doporučených baseline (například CIS/Microsoft Security Baselines), oddělení politik pro servery, řadiče domény a pracovní stanice.
• Konfigurace: zabezpečení RDP, podepisování a šifrování SMB, LAPS/Entra LAPS pro správu lokálních hesel, řízení firewallu a auditních politik.
• Údržba: vyhodnocení aplikace politik pomocí Group Policy Results a Modeling, verzování a dokumentace změn v politikách.

Zálohování a obnova

• Strategie 3-2-1-1-0: více kopií záloh, offline nebo immutable uložiště, pravidelné testování obnovy, ověřování konzistence dat.
• System State a Active Directory: pravidelné zálohy stavu systému pro řadiče domény, autoritativní a neautoritativní obnova, ochrana proti USN rollbacku.
• Windows Server Backup / VSS: plánované zálohy, granulární obnova souborů, možnost bare-metal recovery.

Aktualizace, WSUS a životní cyklus

• WSUS: schvalování aktualizací podle skupin (pilotní, produkční), automatické schvalování kritických záplat, nastavení údržbových oken.
• Ovladače a firmware: koordinace s výrobci hardwaru, zajištění kompatibility s clusterovými prostředími a Hyper-V.
• Životní cyklus: plánování upgradu na novější verze Windows Serveru, zajištění dlouhodobé podpory, rozhodování mezi in-place upgradem a side-by-side migrací.

Monitorování, protokolování a audit

• Event Log: centralizace protokolů pomocí Windows Event Forwarding, korelace bezpečnostních událostí, definice retenční politiky logů.
• Výkon: Performance Monitor (měření CPU, RAM, diskových operací a latence, síťové aktivity), Resource Monitor a spouštění Data Collector Sets.
• Alerting: integrace se SIEM/SOAR systémy, notifikace přes e-mail, SMS nebo Microsoft Teams, sledování metrik dostupnosti a kapacity.

PowerShell a automatizace

• Moduly: ActiveDirectory, DnsServer, DhcpServer, Hyper-V, Storage, NetTCPIP, GroupPolicy.
• Vzdálená správa: WinRM, Just-Enough Administration (JEA) pro granulární delegaci oprávnění, skriptování rutinních úloh.
• Idempotence: Desired State Configuration (DSC) pro udržení konfigurace, integrace s CI/CD procesy a GitOps přístupem.

Bezpečnost: identita, přístup a šifrování

• Privilegovaná identita: oddělení administrátorských účtů, přístup řízený na základě rolí (RBAC), Privileged Access Management/Privileged Identity Management (PAM/PIM), schválené skokové servery (PAW/Jump Host).
• Řízení přístupů: využití NTFS oprávnění a skupinové politiky, omezení lokálních administrátorů, AppLocker/WDAC pro whitelistování aplikací.
• Šifrování: BitLocker pro operační systém a uživatelská data, EFS pro vybrané scénáře, použití TLS 1.2/1.3, správné nastavení KMS/HSM a rotace kryptografických klíčů.
• Antimalware a EDR: Microsoft Defender Antivirus a EDR, pravidla Attack Surface Reduction (ASR), řízení PowerShell skriptů (Constrained Language Mode, digitální podpisy).

Certifikáty a PKI

• Active Directory Certificate Services (AD CS): návrh hierarchie certifikačních autorit (Root CA offline, Subordinate CA online), správu šablon certifikátů, automatická registrace certifikátů (autoenrollment).
• Správa TLS: centralizovaná politika šifrovacích algoritmů a délky klíčů, rotace a inventarizace certifikátů, zajištění dostupnosti CRL a OCSP služeb.

Failover Clustering a vysoká dostupnost

• Základy clusteru: volba modelu kvora (Node Majority, Node and Disk/File Share Witness), validace clusteru pomocí Cluster Validation nástrojů.
• Role clusteru: File Server cluster (Scale-Out File Server), Hyper-V, SQL Server Always On; plánování údržby s rolovanými aktualizacemi pomocí Cluster Aware Updating.

Síťové služby a zabezpečení

• Windows Firewall s pokročilým zabezpečením: definice pravidel pro profily doména, soukromá a veřejná síť, příchozí a odchozí provoz, IPSec politiky.
• IP adresace a směrování: týmování síťových adaptérů (NIC Teaming), VLAN, Quality of Service (QoS), SMB Direct (RDMA) pro vysoký výkon souborových služeb.
• VPN a vzdálený přístup: RRAS, IKEv2, SSTP; integrace s NPS pro řízení přístupových politik a accounting.

Řešení problémů a provozní excelence

• Diagnostické nástroje: Event Viewer, Reliability Monitor, Best Practices Analyzer (BPA), příkazy netsh/nbtstat/příkazy PowerShell pro síť, DISM a SFC pro kontrolu integrity systému.
• Provozní postupy: správa změn (change management), plánování údržby, schvalování a plány pro návrat k předchozí konfiguraci (rollback), správa konfigurace (CMDB) a verzování GPO a infrastruktury jako kódu (IaC).
• Dokumentace: runbooky, seznamy kontaktů, diagramy závislostí, postupy havarijní obnovy.

Hybridní scénáře a cloudová integrace

• Identita: synchronizace identit do cloudu, federace, Password Hash Sync nebo Pass-through Authentication, podmíněný přístup a vícefaktorová autentizace (MFA).
• Zálohy a disaster recovery (DR): replikace dat do cloudových regionů, využití objektového úložiště pro zálohy, Azure Site Recovery.
• Monitorování: centralizace metrik a logů v cloudových SIEM/observability nástrojích, automatizovaný alerting a playbooky pro reakci na incidenty.

Kontrolní seznam pro nový Windows Server

• Zvolená edice, aktivované licence, instalovaná varianta Server Core (při možnosti).
• Aktualizovaný firmware/BIOS, ovladače a kumulativní aktualizace operačního systému.
• Statická IP adresa, správně nastavené DNS, synchronizace času, aktivovaný firewall.
• WinRM povolen, přidání do domény, aplikace základních GPO a bezpečnostní baseline.
• Instalované role a funkce, oddělené disky pro OS, data a logy, aktivované auditování.
• Nasazené monitorování, zálohování a testované obnovení System State a dat.
• Zdokumentované konfigurace a zavedená pravidla změn.

Závěr

Základy administrace Windows Serveru spočívají v promyšleném návrhu identity, síťových služeb, úložišť a vysoké dostupnosti, podpořených bezpečnostními zásadami a pravidelnými aktualizacemi. Efektivní provoz vyžaduje automatizaci pomocí PowerShellu a Desired State Configuration, důsledné monitorování a jasně definované provozní postupy včetně zálohování a havarijní obnovy. Dodržováním těchto principů dosáhnete stabilního, bezpečného a udržitelného prostředí pro vaše klíčové služby.