Роль application server в windows server 2019

This lesson covers application servers, including Microsoft Exchange, SQL Server, SharePoint, and Forefront Threat Management Gateway. Activities include reviewing application server documentation, researching application server licensing costs, and downloading and experimenting with pre-built application server virtual hard drives.

Objectives and skills for the Understanding Server Roles portion of Windows Server Administration Fundamentals certification include:^[1]

• Identify application servers: mail servers; database servers; collaboration servers; monitoring servers; threat management

1. Wikipedia: Application server
2. Wikipedia: Microsoft Exchange Server
3. What’s new in Exchange Server
4. Wikipedia: Microsoft SQL Server
5. Introducing SQL Server 2019
6. Wikipedia: Microsoft SharePoint
7. Wikipedia: System Center Operations Manager

1. YouTube: Exchange 2019 Architecture
2. YouTube: Introducing SQL Server 2019
3. YouTube: What is SharePoint and why Organizations use SharePoint?
4. YouTube: What’s new in System Center?

1. Review Exchange Server Archictecture. Summarize the architecture of Exchange and describe the different roles.
2. Review Microsoft SQL Server. Using your preferred software vendor, identify costs for Microsoft SQL Server server and client licenses.
3. Review Get started with SharePoint. Review the things that can be done in SharePoint. Using your preferred software vendor, identify costs for Microsoft SharePoint server and client licenses.
4. Review Operations Manager. Using your preferred software vendor, identify costs for Microsoft System Center Operation Manager server and client licenses.
5. Review Windows and Containers. What is a container? What is the difference between a Container and a Virtual Machine?
6. Review How to Install Containers on Windows Server 2019 Install a Container, Docker, and test it.

• An application server can be either a software framework that provides a generalized approach to creating an application-server implementation or the server portion of a specific implementation instance.^[2]

• The Windows Application Server role includes Internet Information Services (IIS) to provide web server support, the .NET Framework to provide application support, ASP.NET to provide server side scripting, COM+ for application component communication, Message Queuing for multithreaded processing, and the Windows Communication Foundation (WCF) for application communication.^[3]

• Microsoft Exchange Server is a mail server, calendaring software and contact manager.^[4]

• Exchange Server supports SMTP for sending mail, POP3 and IMAP4 for accessing mail, and an HTTP/HTTPS interface known as Outlook Web Access for reading mail.^[5]

• Unlike other Office Server 2019 products such as SharePoint and Skype for Business, Exchange Server 2019 can only be deployed on Windows Server 2019. ^[6]

• One of the key features of the new release is that Exchange Server 2019 can be deployed onto Windows Server Core for the first time. ^[7]

• Exchange Server 2019 includes important changes to improve the security of client and server connections. The default configuration for encryption will enable TLS 1.2 only and disable support for older algorithms (namely, DES, 3DES, RC2, RC4 and MD5). ^[8]

• Microsoft SQL Server is a relational database management system used to store and retrieve data as requested by other software applications.^[9]

• SQL Server’s primary query languages are T-SQL and ANSI SQL.^[10]

• SQL Server 2017 introduced support for running on Linux Operating Systems. ^[11]

• Microsoft SharePoint is a web application platform for web-based content and document collaboration and management.^[12]

• SharePoint uses Microsoft SQL Server for its data storage.^[13]

• Microsoft’s hosted SharePoint is typically bundled in Microsoft 365 subscriptions, but can be licensed separately. SharePoint Online has the advantage of not needing to maintain one’s own servers, but as a result lacks the customization options of a self-hosted installation of SharePoint. ^[14]

• Microsoft System Center Operations Manager (SCOM) is a cross-platform data center management system for operating systems and hypervisors. It uses a single interface that shows state, health and performance information of computer systems and may generate alerts based on availability, performance, configuration or security situations.^[15]

• Containers are a technology for packaging and running Windows and Linux applications across diverse environments on-premises and in the cloud. ^[16]

software framework

A universal, reusable software platform to develop applications, products and solutions.^[17]

Click on a question to see the answer.

1. An application server can be either _____ or _____.

   An application server can be either a software framework that provides a generalized approach to creating an application-server implementation or the server portion of a specific implementation instance.

2. The Windows Application Server role includes _____ to provide web server support, _____ to provide application support, _____ to provide server side scripting, _____ for application component communication, _____ for multithreaded processing, and _____ for application communication.

   The Windows Application Server role includes Internet Information Services (IIS) to provide web server support, the .NET Framework to provide application support, ASP.NET to provide server side scripting, COM+ for application component communication, Message Queuing for multithreaded processing, and the Windows Communication Foundation (WCF) for application communication.

3. Microsoft Exchange Server is a _____ server, _____ software and _____ manager.

   Microsoft Exchange Server is a mail server, calendaring software and contact manager.

4. Exchange Server supports _____ for sending mail, _____ and _____ for accessing mail, and _____ known as Outlook Web Access for reading mail.

   Exchange Server supports SMTP for sending mail, POP3 and IMAP4 for accessing mail, and an HTTP/HTTPS interface known as Outlook Web Access for reading mail.

5. Unlike other Office Server 2019 products such as __________ and Skype for Business, Exchange Server 2019 can only be deployed on Windows Server ____.

   Unlike other Office Server 2019 products such as SharePoint and Skype for Business, Exchange Server 2019 can only be deployed on Windows Server 2019.

6. One of the key features of the new release is that Exchange Server 2019 can be deployed onto Windows Server ____ for the first time.

   One of the key features of the new release is that Exchange Server 2019 can be deployed onto Windows Server Core for the first time.

7. Exchange Server 2019 includes important changes to improve the security of client and server connections. The default configuration for encryption will enable ___ ___ only and disable support for older algorithms (namely, DES, 3DES, RC2, RC4 and MD5).

   Exchange Server 2019 includes important changes to improve the security of client and server connections. The default configuration for encryption will enable TLS 1.2 only and disable support for older algorithms (namely, DES, 3DES, RC2, RC4 and MD5).

8. Microsoft SQL Server is a _____ used to store and retrieve data as requested by other software applications.

   Microsoft SQL Server is a relational database management system used to store and retrieve data as requested by other software applications.

9. SQL Server’s primary query languages are _____ and _____.

   SQL Server’s primary query languages are T-SQL and ANSI SQL.

10. SQL Server 2017 introduced support for running on _____ Operating Systems.

    SQL Server 2017 introduced support for running on Linux Operating Systems.

11. Microsoft SharePoint is a web application platform for _____.

    Microsoft SharePoint is a web application platform for web-based content and document collaboration and management.

12. SharePoint uses _____ for its data storage.

    SharePoint uses Microsoft SQL Server for its data storage.

13. Microsoft’s hosted SharePoint is typically bundled in Microsoft 365 subscriptions, but can be licensed separately. SharePoint Online has the advantage of not needing to maintain one’s own _______, but as a result lacks the _____________ options of a ____-______ installation of SharePoint.

    Microsoft’s hosted SharePoint is typically bundled in Microsoft 365 subscriptions, but can be licensed separately. SharePoint Online has the advantage of not needing to maintain one’s own servers, but as a result lacks the customization options of a self-hosted installation of SharePoint.

14. Microsoft System Center Operations Manager (SCOM) is a _____. It uses a single interface that shows _____ of computer systems and may generate alerts based on _____.

    Microsoft System Center Operations Manager (SCOM) is a cross-platform data center management system for operating systems and hypervisors. It uses a single interface that shows state, health and performance information of computer systems and may generate alerts based on availability, performance, configuration or security situations.

15. __________ are a technology for packaging and running Windows and _____ applications across diverse environments on-premises and in the cloud.

    Containers are a technology for packaging and running Windows and Linux applications across diverse environments on-premises and in the cloud.

• Test your understanding of this lesson.
• Test your understanding of the key terms.

При установке Windows большая часть второстепенных подсистем не активируется или не устанавливается. Это сделано по причинам безопасности. Поскольку система по умолчанию защищена, системные администраторы могут сосредоточиться на проектировании системы, которая будет выполнять исключительно возложенные на нее функции и ничего лишнего. Для помощи при включении нужных функций, Windows предлагает выбрать роль сервера (Server Role).

Роли

Роль сервера — это набор программ, которые при правильной установке и настройке позволяют компьютеру выполнять определенную функцию для нескольких пользователей или других компьютеров в сети. В общих случаях все роли имеют следующие характеристики.

• Они определяют основную функцию, назначение или цель использования компьютера. Можно назначить компьютер для выполнения одной роли, которая интенсивно используется на предприятии, или для выполнения нескольких ролей, если каждая из них применяется лишь изредка.
• Роли предоставляют пользователям во всей организации доступ к ресурсам, которые управляются другими компьютерами, таким как веб-сайты, принтеры или файлы, хранящиеся на разных компьютерах.
• Они обычно имеют собственные базы данных, в которых создаются очереди запросов пользователя или компьютера либо записываются сведения о сетевых пользователях и компьютерах, имеющих отношение к роли. Например, Службы домена Active Directory содержат базу данных для хранения имен и иерархических связей всех компьютеров в сети.
• После правильной установки и настройки роли функционируют автоматически. Это позволяет компьютерам, на которых они установлены, выполнять назначенные задачи при ограниченном участии пользователя.

Службы ролей

Службы ролей — это программы, которые обеспечивают функциональные возможности роли. При установке роли можно выбрать, какие службы она предоставляет другим пользователям и компьютерам на предприятии. Некоторые роли, такие как DNS-сервер, выполняют только одну функцию, поэтому для них нет служб ролей. Другие роли, такие как службы удаленных рабочих столов, имеют несколько служб, которые можно установить в зависимости от потребностей предприятия в удаленном доступе. Роль можно рассматривать как совокупность тесно связанных, взаимодополняющих служб ролей. В большинстве случаев установка роли означает установку одной или нескольких ее служб.

Компоненты

Компоненты — это программы, которые не являются непосредственно частями ролей, но поддерживают или расширяют функции одной или нескольких ролей либо целого сервера независимо от того, какие роли установлены. Например, компонент «Средство отказоустойчивости кластеров» расширяет функции других ролей, таких как Файловые службы и DHCP-сервер, позволяя им присоединяться к серверным кластерам, что обеспечивает повышенную избыточность и производительность. Другой компонент — «Клиент Telnet» — обеспечивает удаленную связь с сервером Telnet через сетевое подключение. Эта функция расширяет возможности связи для сервера.

Когда Windows Server работает в режиме основных серверных компонентов, поддерживаются следующие роли сервера:

• службы сертификатов Active Directory;
• доменные службы Active Directory;
• DHCP-сервер;
• DNS-сервер;
• файловые службы (в том числе диспетчер ресурсов файлового сервера);
• службы Active Directory облегченного доступа к каталогам;
• Hyper-V;
• службы печати и документов;
• службы потокового мультимедиа;
• веб-сервер (в том числе подмножество ASP.NET);
• сервер обновления Windows Server;
• сервер управления правами Active Directory;
• сервер маршрутизации и удаленного доступа и следующие подчиненные роли:
  • посредник подключений служб удаленных рабочих столов;
  • лицензирование;
  • виртуализация.

Когда Windows Server работает в режиме основных серверных компонентов, поддерживаются следующие компоненты сервера:

• Microsoft .NET Framework 3.5;
• Microsoft .NET Framework 4.5;
• Windows PowerShell;
• фоновая интеллектуальная служба передачи (BITS);
• шифрование диска BitLocker;
• сетевая разблокировка BitLocker;
• BranchCache
• мост для центра обработки данных;
• Enhanced Storage;
• отказоустойчивая кластеризация;
• Multipath I/O;
• балансировка сетевой нагрузки;
• протокол PNRP;
• qWave;
• удаленное разностное сжатие;
• простые службы TCP/IP;
• RPC через HTTP-прокси;
• сервер SMTP;
• служба SNMP;
• клиент Telnet;
• сервер Telnet;
• клиент TFTP;
• внутренняя база данных Windows;
• Windows PowerShell Web Access;
• служба активации Windows;
• стандартизированное управление хранилищами Windows;
• расширение IIS WinRM;
• WINS-сервер;
• поддержка WoW64.

Установка ролей сервера с помощью Server Manager

Для добавления открываем Server Manager, и в меню Manage жмем Add Roles and features:

Картинка с сайта: firstvds.ru

Откроется мастер добавления ролей и компонентов. Жмем Next

Картинка с сайта: firstvds.ru

Installation Type, выбираем Role-based or feature-based installation. Next:

Картинка с сайта: firstvds.ru

Server Selection — выбираем наш сервер. Жмем Next Server Roles — Выберите роли, если необходимо, выберите службы ролей и нажмите кнопку Next, чтобы выбрать компоненты. В ходе этой процедуры Мастер добавления ролей и компонентов автоматически информирует о возникших конфликтах на конечном сервере, которые могут помешать установке или нормальной работе выбранных ролей или компонентов. Также появляется запрос на добавление ролей, служб ролей и компонентов, необходимых для выбранных ролей или компонентов.

Установка ролей с помощью PowerShell

Открываем Windows PowerShell Вводим команду Get-WindowsFeature, чтобы просмотреть список доступных и установленных ролей и компонентов на локальном сервере. Результаты выполнения этого командлета содержат имена команд для ролей и компонентов, установленных и доступных для установки.

Картинка с сайта: firstvds.ru

Введите Get-Help Install-WindowsFeature для просмотра синтаксиса и допустимых параметров командлета Install-WindowsFeature (MAN).

Картинка с сайта: firstvds.ru

Вводим следующую команду (-Restart перезагрузит сервер, если при установке роли требуется перезагрузка).

Install-WindowsFeature –Name <feature_name> -Restart

Описание ролей и служб ролей

Ниже описаны все роли и службы ролей. Расширенную настройку посмотрим для самых часто встречающихся в нашей практике Web Server Role и Remote Desktop Services

Подробное описание IIS

Картинка с сайта: firstvds.ru

• Common HTTP Features — Основные HTTP компоненты
  • Default Document — позволяет устанавливать индексную страницу у сайта.
  • Directory Browsing — позволяет пользователям видеть содержимое каталога на веб-сервере. Используйте Directory Browsing для того, чтобы автоматически сгенерировать список всех каталогов и файлов, имеющихся в каталоге, когда пользователи не указывают файл в URL-адресе и индексная страница отключена или не настроена
  • HTTP Errors — позволяет настроить сообщения об ошибках, возвращаемых клиентам в браузере.
  • Static Content — позволяет размещать статический контент, например, картинки или html-файлы.
  • HTTP Redirection — обеспечивает поддержку перенаправления запросов пользователей.
  • WebDAV Publishing позволяет публиковать файлы с веб-сервера с помощью протокола HTTP.
• Health and Diagnostics Features — Компоненты диагностики
  • HTTP Logging обеспечивает ведение журнала активности веб-сайта для данного сервера.
  • Custom Logging обеспечивает поддержку создания кастомных логов, которые отличаются от “традиционных” журналов.
  • Logging Tools обеспечивает инфраструктуру для управления журналами веб-сервера и автоматизации общих задач ведения журнала.
  • ODBC Logging обеспечивает инфраструктуру, которая поддерживает ведение журнала активности веб-сервера в ODBC-совместимой базе данных.
  • Request Monitor предоставляет инфраструктуру для мониторинга состояния веб-приложений путем сбора информации о HTTP-запросах в рабочем процессе IIS.
  • Tracing предоставляет инфраструктуру для диагностики и устранения неполадок веб-приложений. При использовании трассировки неудачных запросов, вы можете отследить трудно-фиксируемые события, такие как плохая производительность или сбои аутентификации.
• Performance компоненты увеличения производительности веб-сервера.
  • Static Content Compression предоставляет инфраструктуру для настройки HTTP-сжатия статического содержимого
  • Dynamic Content Compression предоставляет инфраструктуру для настройки HTTP-сжатия динамического содержимого.
• Security компоненты безопасности
  • Request Filtering позволяет фиксировать все входящие запросы и фильтровать их на основании правил, установленных администратором.
  • Basic Authentication позволяет установить дополнительную авторизацию
  • Centralized SSL Certificate Support это функция, которая позволяет хранить сертификаты в централизованном месте, как общий файловый ресурс.
  • Client Certificate Mapping Authentication использует клиентские сертификаты для аутентификации пользователей.
  • Digest Authentication работает путем отправки хэша пароля в контроллер домена Windows, для аутентификации пользователей. Если вам необходимо более высокий уровень безопасности по сравнению с обычной проверкой подлинности, рассмотрите вопрос об использовании проверки подлинности Digest
  • IIS Client Certificate Mapping Authentication использует клиентские сертификаты для аутентификации пользователей. Сертификат клиента представляет собой цифровой ID, полученный из надежного источника.
  • IP and Domain Restrictions позволяет разрешать/запрещать доступ на основе запрашиваемого Ip-адреса или доменного имени.
  • URL Authorization позволяет создавать правила, ограничивающие доступ к веб-контенту.
  • Windows Authentication Эта схема аутентификации позволяет администраторам домена Windows пользоваться преимуществами доменной инфраструктуры для аутентификации пользователей.
• Application Development Features компоненты разработки приложений
• FTP Server
  • FTP Service Включает FTP публикации на веб-сервере.
  • FTP Extensibility Включает поддержку FTP функций, расширяющих возможности
• Management Tools инструменты управления
  • IIS Management Console устанавливает диспетчер IIS, который позволяет управлять Веб-сервером через графический интерфейс
  • IIS 6.0 Management Compatibility обеспечивает прямую совместимость для приложений и сценариев, которые используют Admin Base Object (ABO) и интерфейса службы каталогов (ADSI) API Active Directory. Это позволяет использовать существующие сценарии IIS 6.0 веб-сервером IIS 8.0
  • IIS Management Scripts and Tools предоставляют инфраструктуру для управления веб-сервером IIS программно, с помощью команд в окне командной строки или с помощью запуска сценариев.
  • Management Service предоставляет инфраструктуру для настройки интерфейса пользователя, диспетчера IIS.

Подробное описание RDS

Картинка с сайта: firstvds.ru

• Remote Desktop Connection Broker — Обеспечивает повторное подключение клиентского устройства к программам, на основе сеансов настольных компьютеров и виртуальных рабочих столов.
• Remote Desktop Gateway — Позволяет авторизованным пользователям подключаться к виртуальным рабочим столам, программам RemoteApp и основанных на сессиях рабочим столам в корпоративной сети или через Интернет.
• Remote Desktop Licensing — Средство управления лицензиями RDP
• Remote Desktop Session Host — Включает сервер для размещения программ RemoteApp или сеанса на основе рабочих столов.
• Remote Desktop Virtualization Host — позволяет настраивать RDP на виртуальных машинах
• Remote Desktop WebAccess — Позволяет пользователям подключаться к ресурсам рабочего стола с помощью меню Пуск или веб-браузера.

Рассмотрим установку и настройку сервера терминальных лицензий. Выше рассказано как устанавливать роли, установка RDS не отличается от установки других ролей, в Role Services нам потребуется выбрать Remote Desktop Licensing и Remote Desktop Session Host. После установки в Server Manager-Tools появится пункт Terminal Services. В Terminal Services есть два пункта RD Licensing Diagnoser, это средство диагностики работы лицензирования удаленных рабочих столов, и Remote Desktop Licensing Manager, это средство управления лицензиями.

Запустим RD Licensing Diagnoser

Картинка с сайта: firstvds.ru

Здесь мы видим, что доступных лицензий пока нет, т. к. не задан режим лицензирования для сервера узла сеансов удаленных рабочих столов. Сервер лицензирования указывается в локальных групповых политиках. Для запуска редактора выполним команду gpedit.msc. Откроется редактор локальной групповой политики. В дереве слева раскроем вкладки:

• «Конфигурация компьютера» (Computer Configuration)
• «Административные шаблоны» (Administrative Templates)
• «Компоненты Windows» (Windows Components)
• «Службы удаленных рабочих столов» (Remote Desktop Services)
• «Узел сеансов удаленных рабочих столов» (Remote Desktop Session Host)
• «Лицензирование» (Licensing)

Откроем параметры Use the specified Remote Desktop license servers

Картинка с сайта: firstvds.ru

В окне редактирования параметров политики включаем сервер лицензирования (Enabled) . Затем необходимо определить сервер лицензирования для службы удаленных рабочих столов. В моем примере сервер лицензирования находится на этом же физическом сервере. Указываем сетевое имя или IP-адрес сервера лицензий и нажимаем OK. Если в дальнейшем будет изменяться имя сервера, сервер лицензий, то потребуется изменить в этом же разделе.

Картинка с сайта: firstvds.ru

После этого в RD Licensing Diagnoser можно увидеть, что сервер терминальных лицензий настроен, но не включен. Для включения запускаем Remote Desktop Licensing Manager

Картинка с сайта: firstvds.ru

Выбираем сервер лицензирования, со статусом Not Activated . Для активации кликаем по нему правой кнопкой мыши и выбираем Activate Server. Запустится Мастер активации сервера. На вкладке Connection Method выбираем Automatic Connection. Далее заполняем информация об организации, после этого сервер лицензий активирован.

Active Directory Certificate Services

Службы AD CS предоставляют настраиваемые услуги по выдаче цифровых сертификатов, которые используются в системах безопасности ПО, применяющих технологии открытых ключей, и по управлению этими сертификатами. Цифровые сертификаты, предоставляемые AD CS, можно использовать для шифрования и цифрового подписывания электронных документов и сообщений.Эти цифровые сертификаты можно использовать для проверки в сети подлинности учетных записей компьютеров, пользователей и устройств.Цифровые сертификаты используются для обеспечения:

• конфиденциальности с помощью шифрования;
• целостности с помощью цифровых подписей;
• проверки подлинности с помощью привязывания ключей сертификата к учетным записям компьютеров, пользователей и устройств в сети.

AD CS можно использовать для повышения безопасности путем привязки удостоверения пользователя, устройства или службы к соответствующему закрытому ключу. В число применений, поддерживаемых AD CS, входят безопасные многоцелевые расширения стандарта почты Интернета (S/MIME), защищенные беспроводные сети, виртуальные частные сети (VPN), протокол IPsec, шифрованная файловая система (EFS), вход с помощью смарт-карт, протокол безопасности передачи данных и протокол безопасности транспортного уровня (SSL/TLS) и цифровые подписи.

Active Directory Domain Services

Используя роль сервера доменных служб Active Directory (AD DS), можно создать масштабируемую, безопасную и управляемую инфраструктуру для управления пользователями и ресурсами; кроме того, можно обеспечить работу приложений, поддерживающих каталоги, например Microsoft Exchange Server. Доменные службы Active Directory предоставляют распределенную базу данных, в которой хранятся сведения о сетевых ресурсах и данные приложений с поддержкой каталогов, а также осуществляется управление этой информацией. Сервер, на котором выполняются AD DS, называется контроллером домена. Администраторы могут использовать AD DS для упорядочения в иерархическую вложенную структуру таких элементов сети, как пользователи, компьютеры и другие устройства. Иерархическая вложенная структура включает лес Active Directory, домены в лесу и организационные подразделения в каждом домене. Средства безопасности интегрированы в AD DS в виде проверки подлинности и контроля доступа к ресурсам в каталоге. С помощью единого входа в сеть администраторы могут управлять по сети данными каталога и организацией. Авторизованные пользователи сети также могут использовать единый вход в сеть для доступа к ресурсам, расположенным в любом месте сети. Доменные службы Active Directory предоставляют следующие дополнительные возможности.

• Набор правил — схема, определяющая классы объектов и атрибуты, которые содержатся в каталоге, ограничения и пределы для экземпляров этих объектов, а также формат их имен.
• Глобальный каталог, содержащий сведения о каждом объекте в каталоге. Пользователи и администраторы могут использовать глобальный каталог для поиска данных каталога независимо от того, какой домен в каталоге действительно содержит искомые данные.
• Механизм запросов и индексирования, благодаря которому объекты и их свойства могут публиковаться и находиться сетевыми пользователями и приложениями.
• Служба репликации, которая распределяет данные каталога по сети. Все контроллеры домена, доступные для записи в домене, участвуют в репликации и содержат полную копию всех данных каталога для своего домена. Любые изменения данных каталога реплицируются в домене на все контроллеры домена.
• Роли хозяев операций (известные также как гибкие операции с единым хозяином, или FSMO). Контроллеры доменов, исполняющие роли хозяев операций, предназначены для выполнения специальных задач по обеспечению согласованности данных и исключению конфликтующих записей в каталоге.

Active Directory Federation Services

AD FS предоставляют конечным пользователям, которым требуется доступ к приложениям на защищенном с помощью AD FS предприятии, в партнерских организациях федерации или в облаке, возможности упрощенной и безопасной федерации удостоверений и веб-службы единого входа (SSO) В Windows Server AD FS включают службу роли службы федерации, действующую в качестве поставщика удостоверений (выполняет проверку подлинности пользователей для предоставления маркеров безопасности для приложений, доверяющих AD FS) или в качестве поставщика федерации (применяет маркеры от других поставщиков удостоверений и затем предоставляет маркеры безопасности для приложений, доверяющих AD FS).

Active Directory Lightweight Directory Services

Службы Active Directory облегченного доступа к каталогам (AD LDS) — это протокол LDAP, который обеспечивает гибкую поддержку приложений, работающих с каталогами, без зависимостей и связанных с доменами ограничений доменных служб Active Directory. AD LDS можно запускать на рядовых или изолированных серверах. На одном сервере можно запустить несколько экземпляров AD LDS с независимо управляемыми схемами. С помощью роли службы AD LDS можно предоставить службы каталогов для приложений с поддержкой каталогов, не используя служебные данные доменов и лесов и не требуя единой схемы для всего леса.

Active Directory Rights Management Services

Службы AD RMS можно использовать, чтобы расширить стратегию безопасности в организации, обеспечив защиту документов с помощью управления правами на доступ к данным (IRM). AD RMS позволяет пользователям и администраторам назначать разрешения доступа к документам, рабочим книгам и презентациям с помощью политик IRM. Это позволяет защитить конфиденциальную информацию от печати, пересылки или копирования пользователями, не имеющими на это прав. После того как разрешения для файла ограничены с помощью IRM, ограничения доступа и использования применяются независимо от местоположения информации, так как разрешение для файла хранится в самом файле документа. С помощью AD RMS и IRM отдельные пользователи могут применять свои личные настройки, касающиеся передачи личных и конфиденциальных сведений. Они также помогут организации применять корпоративную политику для управления использованием и распространением конфиденциальных и личных сведений. Решения IRM, поддерживаемые службами AD RMS, используются для обеспечения следующих возможностей.

• Постоянные политики использования, которые остаются с информацией независимо от ее перемещения, отправки или пересылки.
• Дополнительный уровень конфиденциальности для защиты конфиденциальных данных — например, отчетов, спецификаций продуктов, сведений о клиентах и сообщений электронной почты — от намеренного или случайного попадания в чужие руки.
• Предотвращение несанкционированной пересылки, копирования, изменения, печати, передачи по факсу или вставки ограничиваемого содержимого авторизованными получателями.
• Предотвращение копирования ограничиваемого содержимого с помощью функции PRINT SCREEN в Microsoft Windows.
• Поддержка срока действия файла, предотвращающего просмотр содержимого документов по истечении заданного периода времени.
• Внедрение корпоративных политик, управляющих использованием и распространением содержимого в организации

Application Server

Сервер приложений предоставляет интегрированную среду для развертывания и выполнения пользовательских бизнес-приложений на базе сервера.

DHCP Server

DHCP — это технология «клиент-сервер», с помощью которой DHCP-серверы могут назначать или сдавать в аренду IP-адреса компьютерам и другим устройствам, являющимся DHCP-клиентами.Развертывание в сети DHCP-серверов обеспечивает автоматическое предоставление клиентским компьютерам и другим сетевым устройствам на базе IPv4 и IPv6 действительных IP-адресов и дополнительных конфигурационных параметров, необходимых данным клиентам и устройствам.Служба DHCP-сервера в Windows Server включает поддержку основанных на политике назначений и обработку отказов протокола DHCP.

DNS Server

Служба DNS — это иерархическая распределенная база данных, содержащая сопоставления доменных имен DNS с различными типами данных, таких как IP-адреса. Служба DNS позволяет использовать понятные имена, такие как www.microsoft.com, для облегчения нахождения компьютеров и других ресурсов в сетях, работающих на базе протокола TCP/IP. Служба DNS в Windows Server обеспечивает дополнительную улучшенную поддержку Модулей безопасности DNS (DNSSEC), включая регистрацию в сети и автоматизированное управление параметрами.

FAX Server

Факс-сервер отправляет и получает факсы, а также дает возможность управлять ресурсами факса, такими как задания, настройки, отчеты и факс-устройства на вашем факс-сервере.

File and Storage Services

Администраторы могут использовать роль «Файловые службы и службы хранилища» для настройки нескольких файловых серверов и их хранилищ, а также для управления этими серверами с помощью диспетчера серверов или Windows PowerShell. Некоторые конкретные приложения включают следующие функции.

• Рабочие папки. Использовать, чтобы разрешить пользователям хранение рабочих файлов и доступ к ним на личных компьютерах и устройствах помимо корпоративных ПК. Пользователи получают удобное место для хранения рабочих файлов и доступа к ним из любого места. Организации контролируют корпоративные данные, храня файлы на централизованно управляемых файловых серверах и при необходимости задавая политики устройств пользователей (такие как шифрование и пароли блокировки экрана).
• Дедупликация данных. Использовать для снижения требований к месту на диске для хранения файлов, экономя средства на хранилище.
• Сервер цели iSCSI. Использовать для создания централизованных, программных и аппаратно-независимых дисковых подсистем iSCSI в сетях хранения данных (SAN).
• Дисковые пространства. Использовать для развертывания хранилища с высоким уровнем доступности, отказоустойчивого и масштабируемого за счет применения экономичных стандартизованных в отрасли дисков.
• Диспетчер серверов. Использовать для удаленного управления несколькими файловыми серверами из одного окна.
• Windows PowerShell. Использовать для автоматизации управления большинством задач администрирования файловых серверов.

Hyper-V

Роль Hyper-V позволяет создавать виртуализованную вычислительную среду с помощью технологии виртуализации, встроенной в Windows Server, и управлять ею. При установке роли Hyper-V выполняется установка необходимых компонентов, а также необязательных средств управления. В число необходимых компонентов входят низкоуровневая оболочка Windows, служба управления виртуальными машинами Hyper-V, поставщик виртуализации WMI и компоненты виртуализации, такие как шина VMbus, поставщик службы виртуализации (VSP) и драйвер виртуальной инфраструктуры (VID).

Network Policy and Access Services

Службы сетевой политики и доступа предоставляют следующие решения для сетевых подключений:

• Защита доступа к сети — это технология создания, принудительного применения и исправления политик работоспособности клиента. С помощью защиты доступа к сети системные администраторы могут устанавливать и автоматически применять политики работоспособности, которые включают в себя требования к программному обеспечению, обновлениям для системы безопасности и другие параметры. Для клиентских компьютеров, не соответствующих требованиям политики работоспособности, можно ограничить доступ к сети до тех пор, пока их конфигурация не будет обновлена в соответствии с требованиями политики.
• Если развернуты точки беспроводного доступа с поддержкой 802.1X, вы можете использовать сервер политики сети (NPS) для развертывания методов аутентификации на основе сертификатов, которые более безопасны, чем аутентификация на основе паролей. Развертывание оборудования с поддержкой 802.1X с сервером NPS позволяет обеспечить аутентификацию пользователей интрасети до того, как они смогут подключиться к сети или получить IP-адрес от DHCP-сервера.
• Вместо того чтобы настраивать политику доступа к сети на каждом сервере доступа к сети, можно централизованно создать все политики, в которых будут определены все аспекты запросов на сетевое подключение (кто может подключаться, когда разрешено подключение, уровень безопасности, который необходимо использовать для подключения к сети).

Print and Document Services

Службы печати и документов позволяют централизовать задачи сервера печати и сетевого принтера. Эта роль также позволяет получать отсканированные документы с сетевых сканеров и передавать документы в общие сетевые ресурсы — на сайт Windows SharePoint Services или по электронной почте.

Remote Access

Роль сервера удаленного доступа представляет собой логическую группу следующих технологий сетевого доступа.

• DirectAccess
• Маршрутизация и удаленный доступ
• Прокси-сервер веб-приложения

Эти технологии являются службами ролей роли сервера удаленного доступа. При установке роли сервера удаленного доступа можно установить одну или несколько служб ролей, запустив мастер добавления ролей и компонентов.

Картинка с сайта: firstvds.ru

В Windows Server роль сервера удаленного доступа обеспечивает возможность централизованного администрирования, настройки и наблюдения за службами удаленного доступа DirectAccess и VPN со службой маршрутизации и удаленного доступа (RRAS). DirectAccess и RRAS можно развернуть на одном пограничном сервере и управлять ими с помощью команд Windows PowerShell и консоли управления (MMC) удаленного доступа.

Remote Desktop Services

Службы удаленных рабочих столов ускоряют и расширяют развертывание рабочих столов и приложений на любом устройстве, повышая эффективность удаленного работника, одновременно обеспечивая безопасность критически важной интеллектуальной собственности и упрощая соответствие нормативным требованиям. Службы удаленных рабочих столов включают инфраструктуру виртуальных рабочих столов (VDI), рабочие столы на основе сеансов и приложения, предоставляя пользователям возможность работать в любом месте.

Volume Activation Services

Службы активации корпоративных лицензий — это роль сервера в Windows Server начиная с Windows Server 2012, которая позволяет автоматизировать и упростить выдачу корпоративных лицензий на программное обеспечение Microsoft, а также управление такими лицензиями в различных сценариях и средах. Вместе со службами активации корпоративных лицензий можно установить и настроить службу управления ключами (KMS) и активацию с помощью Active Directory.

Web Server (IIS)

Роль веб-сервера (IIS) в Windows Server обеспечивает платформу для размещения веб-узлов, служб и приложений. Использование веб-сервера обеспечивает доступ к информации пользователям в Интернете, интрасети и экстрасети. Администраторы могут использовать роль веб-сервера (IIS) для настройки и управления несколькими веб-сайтами, веб-приложениями и FTP-сайтами. В число специальных возможностей входят следующие.

• Использование диспетчера служб IIS для настройки компонентов IIS и администрирования веб-сайтов.
• Использование протокола FTP для разрешения владельцам веб-сайтов отправлять и загружать файлы.
• Использование изоляции веб-сайтов для предотвращения влияния одного веб-сайта на сервере на остальные.
• Настройка веб-приложений, разработанных с использованием различных технологий, таких как Classic ASP, ASP.NET и PHP.
• Использование Windows PowerShell для автоматического управления большей частью задач администрирования веб-сервера.
• Объединение нескольких веб-серверов в ферму серверов, которой можно управлять с помощью IIS.

Windows Deployment Services

Службы развертывания Windows позволяют развертывать операционные системы Windows по сети, что означает возможность не устанавливать каждую операционную систему непосредственно с компакт-диска или DVD-диска.

Windows Server Essentials Experience

Данная роль позволяет решать следующие задачи:

• защищать данные сервера и клиентов, создавая резервные копии сервера и всех клиентских компьютеров в сети;
• управлять пользователями и группами пользователей через упрощенную панель мониторинга сервера. Кроме того, интеграция с Windows Azure Active Directory *обеспечивает пользователям простой доступ к интернет-службам Microsoft Online Services (например, Office 365, Exchange Online и SharePoint Online) с помощью их учетных данных домена;
• хранить данные компании в централизованном месте;
• интегрировать сервер с интернет-службами Microsoft Online Services (например, Office 365, Exchange Online, SharePoint Online и Windows Intune):
• использовать на сервере функции повсеместного доступа (например, удаленный веб-доступ и виртуальные частные сети) для доступа к серверу, компьютерам сети и данным из удаленных расположений с высокой степенью безопасности;
• получать доступ к данным из любого места и с любого устройства с помощью собственного веб-портала организации (посредством удаленного веб-доступа);
• управлять мобильными устройствами, с которых осуществляется доступ к электронной почте организации с помощью Office 365 посредством протокола Active Sync, из панели мониторинга;
• отслеживать работоспособность сети и получать настраиваемые отчеты о работоспособности; отчеты можно создавать по требованию, настраивать и отправлять по электронной почте определенным получателям.

Windows Server Update Services

Сервер WSUS предоставляет компоненты, которые необходимы администраторам для управления обновлениями и их распространения через консоль управления. Кроме того, сервер WSUS может быть источником обновлений для других серверов WSUS в организации. При реализации служб WSUS хотя бы один сервер служб WSUS в сети должен быть подключен к Центру обновления Майкрософт для получения информации о доступных обновлениях. В зависимости от безопасности сети и ее конфигурации администратор может определить, сколько других серверов напрямую подключено к Центру обновления Майкрософт.

Обзор

Ссылки по теме:

• Документация по Windows Server

Каналы распространения

• Long-Term Servicing Channel (LTSC)
  • поставляется в виде ISO образа
  • включает редакции Standard и Datacenter (без рабочего стола)
  • есть возможность выбрать вариант с рабочим столом для обоих редакций
• Semi-Annual Channel (SAC)
  • поставляется в виде образов отдельных контейнеров с основными сервисами
  • контейнер nano Server

Основные области применения

• гибридное облако
• безопасность
• платформа приложений
• гиперконвергентная инфраструктура (HCI)

Возможности

• Windows Admin Center — веб сервис для управления инфраструктурой серверов и кластеров
  • можно ставить на Windows Server 2019, Windows 10, также поддерживается установка на предыдущие версии для серверов и рабочих станций
  • может управлять серверами и рабочими станциями различных версий
  • поставляется бесплатно (либо в составе ОС)
• Системная аналитика
  • подсистема анализа и прогнозирования на базе машинного обучения
  • анализирует системные данные, такие как события и счетчиков производительности
  • предоставляет аналитические результаты

Windows Server release information

Оригинальные ISO

Файл:	SW_DVD9_Win_Server_STD_CORE_2019_64Bit_English_DC_STD_MLF_X21-96581.iso
Семейство:	Operating Systems
Версия:	Windows Server 2019 (Updated Sept 2018) - re-release
Язык:	Английский (США) - (en)
CRC-32:	4b67205e
MD5:	f1222583e87a979c516e431d10ae0b16
SHA-1:	e1da51796746668fb36864a7c3c6460d01f7d0aa
SHA-256:	61a391f0dc98e703da674df3c984ac2eb432ff757f949385360e68476c920478
SHA-512:	6eaf8b8e55b5ece6ea5ab6cd99e625de665e683c72f91405efd5c84b4167020251dacb0a7485682979241370cd24ab7ce3b3ed7b8d724ed5a41ec51e0ff0bb92
SHA3-256:	63a9737bf4f8591f08b0529e921dbca999afbf67b3b360125f7f99696217be02
SHA3-512:	be45b7e57178fb6243af2568045907dd97d554a928a53e216ca165012090731fe9c7af40e9697fe886f49b547981e489c6fc7d1bf6116220a90de709b65e72ff
Размер:	4.51 GB (4843016192 байт)

Установка

При установке Windows Server 2019 можно выбрать одну из четырех редакций:

• Windows Server 2019 Standard
• Windows Server 2019 Standard (Desktop Experience)
• Windows Server 2019 Datacenter
• Windows Server 2019 Datacenter (Desktop Experience)

В русском дистрибутиве список редакций выглядит так:

• Windows Server 2019 Standard
• Windows Server 2019 Standard (возможности рабочего стола)
• Windows Server 2019 Datacenter
• Windows Server 2019 Datacenter (возможности рабочего стола)

Windows Server 2019 Nano - является контейнером и может работать только внутри другой редакции ОС Windows.

Windows Server 2019 Standard

Редакция без полноценного графического интерфейса, считается базовой и рекомендуется для всех сервисов, которые могут работать без графического интерфейса.

Установка

Выбор языковых настроек

Language to install:      [English(United States)]
Time and currency format: [English(United States)]
Keyboard or input method: [US]

Важно: Нельзя выбирать русские параметры, т.к. по умолчанию задается только одна раскладка и если она не [US], то вы не сможете вводить никакие команды

После установки

Смените региональные настройки на русские

# 203 Russia
# 244 United States
Set-WinHomeLocation -GeoId 203

Добавьте русскую раскладку

Get-ItemProperty "HKCU:\Keyboard Layout\Preload\"
New-ItemProperty "HKCU:\Keyboard Layout\Preload\" -Name 2 -Type String -Value "00000419"

Если необходимо, то измените сочетание клавиш для смены раскладки

Get-ItemProperty "HKCU:\Keyboard Layout\Toggle\"
Set-ItemProperty "HKCU:\Keyboard Layout\Toggle\" -Name "HotKey" -Value 2
# 1 - Alt+Shift
# 2 - Ctrl+Shift

Проверьте настройки «Current User» и скопируйте их на системный профиль и профиль по умолчанию, после чего смените локаль на русскую

intl.cpl

Formats
  Format: Russian (Russia)
Administrative
  [Copy settings]
    Current User
      Display language: English (United States)
      Input language:   English (United States) - US
      Format:           Russian (Russia)
      Location:         Russia
    Copy your current settings to:
      [v] Welcome screen and system accounts
      [v] New user accounts
    [OK]
  [Change system locale ...]
    Russian (Russia)
    [ ] Beta: Use Unicode UTF-8 for worldwide language support  
  Перезагрузка

При установке с русского дистрибутива, важно выбрать

Устанавливаемый язык:               [Русский]
Формат времени и денежных единиц:   [Английский(США)]
Метод ввода (раскладка клавиатуры): [США]

Далее делаем все так же как и для англоязычного дистрибутива

Конфигурация

Включение RDP

powershell

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0

Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

утилиты, команды

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
netsh advfirewal firewall set rule group="Remote Desktop" new enable=yes

Управление

Общее

Приложения

• Windows Admin Center

powershell

clear-host           # очистка экрана (синонимы: clear, cls)

get-childitem        # список дочерних объектов (синонимы: dir,ls), умеет перечислять каталоги и файлы, переменные среды, реестр
ls C:\              
ls ENV:\
ls ENV:\username
ls HKLM:\SOFTWARE

Stop-Computer        # выключить компьютер
Restart-Computer     # перегрузить компьютер

# информация об ОС
systeminfo /fo csv | ConvertFrom-Csv | select OS*, System*

# полный номер версии ОС
cmd /c ver

# смена имени компьютера
Rename-Computer -NewName MyComp
Restart-Computer

# вывод имени компьютера
(Get-ComputerInfo).CsName
dir env:\computername

# список устройств с проблемой драйвера
Get-PnpDevice | where { ($_.Status -ne "OK") -and ($_.Present) }

# проверка активации
# если status=1, значит успешно активирована
Get-CimInstance -ClassName SoftwareLicensingProduct |where PartialProductKey | select Name, ApplicationId, LicenseStatus | Format-List *

Просмотр логов

# Вывод последних 100 записей из лога System
Get-EventLog -LogName System -Newest 100

Включение удаленного управления

# если категория сети на сетевом интерфейсе public, то необходимо изменить на private
Set-NetConnectionProfile -InterfaceIndex <номер_интерфейса> -NetworkCategory Private

# включение удаленного управления
Enable-PSRemoting -force

# определение доверенных хостов, которым разрешено подключение
Set-Item WSMan:\localhost\Client\TrustedHosts -Value *

# удаленное подключение
Enter-PSSession -ComputerName <server_IP> -Credential .\Administrator

утилиты, команды (выполняется в command shell, т.е. в cmd)

cls                  # очистка экрана
shutdown /s /t 0     # выключить компьютер
shutdown /r /t 0     # перегрузить компьютер

dir                  # перечисление каталогов и файлов
reg                  # работа с реестром
set                  # перечисление переменных среды

# вывод имени компьютера
echo %computername%

# работа с драйверами устройств
pnputil /?

# информация о системе (версия ОС, версия BIOS, процессоры, память, и т.д.)
systeminfo

# полный номер версии ОС
ver

Смена SID с помощью sysprep

# выполняется в command shell

cd C:\Windows\System32\sysprep
sysprep.exe

# в графическом окне
Enter System Out-of-Box Experience (OOBE)
[v] Generalize
Shutdown options
[Shutdown]

# Enter System Out-of-Box Experience (OOBE) - запустить мастер первичной настройки ОС при следующем старте системы
# Generalize - удалить SID и драйвера специфичные для текущего оборудования

Время

powershell

Get-TimeZone                  # получить текущую временную зону
Get-TimeZone -ListAvailable   # список доступных временных зон
Set-TimeZone -id "..."        # установка текущей временной зоны по id
Set-TimeZone -Name "..."      # установка текущей временной зоны по StandardName

Настройка NTP

• How to configure an authoritative time server in Windows Server

# включение NTP сервера
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\w32time\TimeProviders\NtpServer" -Name "Enabled" -Value 1

# проверка правила файрвола, разрешающего доступ к серверу времени
# на контроллерах домена оно включается в составе группы "Active Directory Domain Services"
Get-NetFirewallRule -DisplayName "Active Directory Domain Controller - W32Time (NTP-UDP-In)"
Get-NetFirewallRule | where {$_.DisplayName -match "W32time"}

# задание списка вышестоящих серверов времени для обновления (по умолчанию "time.windows.com,0x8")
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\services\W32Time\Parameters" -Name "NtpServer" -Value "0.pool.ntp.org,0x1 1.pool.ntp.org,0x1 2.pool.ntp.org,0x1"


# выставление флагов (значение по умолчанию 0x0A)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\services\W32Time\Config" -Name "AnnounceFlags" -Value <0x05 или 0x0A>

# AnnounceFlags:
#   0x00 Not a time server
#   0x01 Always time server
#   0x02 Automatic time server
#   0x04 Always reliable time server
#   0x08 Automatic reliable time server

Restart-Service w32Time

Для управления синхронизацией времени можно также использовать утилиту w32tm /?

• W32tm

Дисковая подсистема

powershell

Get-Disk             # список физических дисков
Get-Volume           # список томов
Get-SMBOpenFile      # список файлов открытых по сети
Close-SMBOpenFile    # закрыть файл открытый по сети

утилиты

diskpart             # управление дисками и томами
openfiles            # управление открытыми по сети файлами (для управления локальными файлами нужна доп. настройка ОС)

Локальные группы и пользователи

powershell

Get-LocalUser        # вывести список локальных пользователей
Get-LocalGroup       # вывыести список локальных групп

# Список членов локальной группы
Get-LocalGroup -Name Administrators | Get-LocalGroupMember

# смена паролья локального администратора
Set-LocalUser -Name Administrator -Password $( Read-Host "pass" -AsSecureString )

Active Directory

powershell

Управление пользователями

# получить список всех пользователей AD в заданном контейнере
Get-ADUser -filter 'Name -like "*"' -SearchBase <путь_к_контейнеру> | ft name

# добавление нового пользователя
New-ADUser -Name <общее_имя> -PasswordNeverExpires $true -SamAccountName <имя_учетки> -path <путь_к_контейнеру>

# смена пароля пользователя AD
Set-ADAccountPassword <имя_учетки> -NewPassword $( Read-Host "Enter new password" -AsSecureString )

# установка атрибута смены пароля при входе
Set-ADUser <имя_учетки> -PasswordNeverExpires $false -ChangePasswordAtLogon $true

# включение учетки
Set-ADUser <имя_учетки> -Enabled $true

Управление группами

# список групп заданного типа
Get-ADGroup -filter 'GroupScope -eq "Global"' | ft Name
Get-ADGroup -filter 'GroupScope -eq "DomainLocal"' | ft Name
Get-ADGroup -filter 'GroupScope -eq "Universal"' | ft Name

# добавление учетки в группу
Add-ADGroupMember <имя_группы> -Members <имя_учетки>

Другое

# включение компьютера в домен
$credential = New-Object System.Management.Automation.PSCredential("Administrator@firma.ru",(Read-Host "password" -AsSecureString))
Add-Computer -DomainName "firma.ru" -Credential $credential [-OUPath ...]

# Работа с группами
Get-ADGroup
Get-ADGroupMember

# Работа с OU
Get-ADOrganizationalUnit

# определение Forest Level
Get-ADForest | select ForestMode

# определение Domain Level
Get-ADDomain | select DomainMode

Сеть

Ссылки по теме

• Настройка сети с помощью PowerShell (IP адрес, DNS, шлюз, маршруты)
• Объединение сетевых карт (Nic Teaming) в Windows Server 2019

powershell

# список командлетов включенных в модуль NetTCPIP
get-command -module NetTCPIP

# Список сетевых адаптеров
Get-NetAdapter

# переименование адаптера
Rename-NetAdapter -Name "Ethernet 3" -NewName "LAN"

# вывести текущие IPv4 адреса
Get-NetIPAddress -AddressFamily IPv4

# вывести текущие IP адреса (другой способ)
Get-NetIPConfiguration

# отключение DHCP на интерфейсе
Set-NetIPInterface -InterfaceIndex <номер_интерфейса> -Dhcp Disabled

# Set-NetIPAddress использует параметр IPAddress для поиска, но не для изменения
# для ручной настройки IP адреса, используйте командлет New-NetIPAddress
# например так
$ipParams = @{
InterfaceIndex = 4
IPAddress = "192.168.0.10"
PrefixLength = 24
AddressFamily = "IPv4"
DefaultGateway = "192.168.0.1"
}
New-NetIPAddress @ipParams

# после добавления IP адреса не забудьте проверить текущий список IP и корректность маршрута по умолчанию, лишнее удаляйте

# удаление IP адреса добавленного вручную
Remove-NetIPAddress -IPAddress <IP_адрес>

# вывод списка маршрутов
Get-NetRoute

# удаление маршрута
Remove-NetRoute -DestinationPrefix <префикс_назначения> ... прочие параметры однозначно идентифицирующие маршрут

# перезагрузка интерфейса, желательна после изменения конфигурации
Restart-NetAdapter -InterfaceAlias <имя_интерфейса>

# установка главного (primary) DNS суффикса
Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters -Name 'NV Domain' -Value 'example.com'
Restart-Computer

# указание DNS серверов для интерфейса
Set-DnsClientServerAddress -InterfaceIndex <номер_интерфейса> -ServerAddresses <IP_DNS1>,<IP_DNS2>

# проверка очередности DNS серверов
Get-NetAdapter LAN | Get-DnsClientServerAddress

# проверка флага RegisterThisConnectionAddress
Get-NetAdapter <имя_адаптера> | Get-DnsClient

# параметры сетевого подключения
Get-NetConnectionProfile
# в том числе выводит тип сети
# NetworkCategory  : Public

# изменение сети на private
Set-NetConnectionProfile -InterfaceIndex <номер_интерфейса> -NetworkCategory Private

# разрешение DNS имени
Resolve-DNSName <dns_name>

# выключение IPv6
Get-NetAdapterBinding -ComponentID ‘ms_tcpip6’ | Disable-NetAdapterBinding -ComponentID ‘ms_tcpip6’ -PassThru

Объединение сетевых карт (Nic Teaming)

• В Диспетчере серверов создаем группу и задаем ее имя
• Включаем в нее сетевые интерфейсы
• В разделе «Дополнительно» выбираем режим поддержки группы (Teaming Mode), доступны следующие настройки
  1. Режим поддержки групп
  2. Режим балансировки нагрузки
  3. Резервный адаптер
  4. Основной групповой интерфейс

Режим поддержки групп, возможны 3 варианта

1. Не зависит от коммутатора (Switch independent)
   • можно включать в разные коммутаторы
   • не нужно ничего настраивать на стороне коммутаторов
   • балансируется только исходящий трафик
   • входящий трафик приходит на основной адаптер группы, если он выходит из строя, то все входящие идут на другой адаптер группы
2. Статическая поддержка групп (Static Teaming) (IEE 802.3ad draft v1)
   • Необходима настройка на стороне коммутатора, порты вручную объединяются в группу
   • Все адаптеры должны быть подключены к одному коммутатору
   • Данный режим обычно поддерживают коммутаторы серверного класса
   • Исходящие будут балансироваться по алгоритму заданному на стороне сервера
   • Входящие будут балансироваться по алгоритму заданному на стороне коммутатора
3. LACP (Link Aggregation Control Protocol), IEE 802.1.ax
   • Необходима настройка на стороне коммутатора
   • Нет привязки к конкретным портам, настройка осуществляется на уровне коммутатора
   • Переключение в другой порт обычно не требует внесения изменений в настройку коммутатора
   • Согласование портов происходит динамически по протоколу LACP

Режим балансировки нагрузки также имеет 3 варианта

1. Хеш адреса (Address Hash)
2. Порт Hyper-V (Hyper-V Port)
3. Динамический (Dynamic)

Firewall

powershell

# список команд
Get-Command -Module NetSecurity

# список групп правил файрвола
Get-NetFirewallRule | select DisplayGroup -Unique

# список правил файрвола в заданной группе
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | ft Enabled, Name, DisplayName, Action, Profile

Hyper-V

Ссылки по теме:

• Using FreeRDP to connect to the Hyper-V console
• Работа с Hyper-V и Windows PowerShell
• Сжатие виртуальных динамических дисков Hyper-V

Get-Command -Module hyper-v    # список всех команд в модуле hyper-v

Get-VM                         # список виртуальных машин

Get-VM myVM | Get-Member       # вывод списка всех параметров и методов объекта

# вывод основных параметров
$VM = Get-VM myVM
$VM| ft Name,ProcessorCount,MemoryStartup
$VM.NetworkAdapters
$VM.HardDrives
$VM.DVDDrives

Start-VM -Name myVM            # запуск машины myVM
Stop-VM  -Name myVM            # штатное завершение работы гостевой системы, если нет активных сессий
Stop-VM  -Name myVM -Force     # штатное завершение работы гостевой системы, завершение всех сессий и принудительное завершение процессов, которые не могут корректно завершиться
Stop-VM  -Name myVM -Save      # сохранить текущее состояние и выключить (аналог гибернации)
Stop-VM  -Name myVM -Turnoff   # выключить виртуальную машину (аналог выключения питания)

Suspend-VM -Name myVM          # поставить виртуальную машину на паузу (аналог сна)
Resume-VM  -Name myVM          # снять виртуальную машину с паузы

Get-VMSnapshot -VMName myVM    # вывести список snapshot-ов

# создать snapshot для виртуальной машины myVM и присвоить ему имя BeforeUpdates
Checkpoint-VM -Name myVM -SnapshotName BeforeUpdates

# восстановление на момент создания указанной контрольной точки (изменения текущего состояния до момента вышестоящей контрольной точки теряются)
Restore-VMSnapshot -VMName myVM -SnapshortName <имя_контрольной_точки>

# удаление контрольной точки 
Remove-VMSnapshot -VMName myVM -SnapshortName <имя_контрольной_точки>

# удаление контрольной точки включая все дочерние 
Remove-VMSnapshot -VMName myVM -SnapshortName <имя_контрольной_точки> -IncludeAllChildSnapshots

Пример создания новой виртуальной машины

$VMName="SRV01"
$VM = @{  
   Name = "$VMName"
   Generation = 2
   MemoryStartupBytes = 4GB      
   NewVHDPath = "$VMName.vhdx"     
   NewVHDSize = 50GB
   BootDevice = "VHD"
   SwitchName = "Default Switch"
}
New-VM @VM
Set-VMProcessor -VMName $VMName -Count 4
Add-VMDvdDrive -VMName $VMName -Path "D:\hyper-v\iso\win2019.iso"

# смотрим текущий порядок загрузки
$Boot = (Get-VMFirmware -VMName $VMName).BootOrder
$Boot

# задаем нужный порядок загрузки
Set-VMFirmware -VMName $VMName -BootOrder $Boot[2],$Boot[0],$Boot[1]

# отключаем создание автоматических контрольных точек, как минимум на период установки ОС
Set-VM -Name $VMName -AutomaticCheckpointsEnabled $false

# отключение динамической памяти, по необходимости (динамическая память может создать проблемы с производительностью)
Set-VMMemory -VMName $VMName -DynamicMemoryEnabled $false

Переключение виртуальной машины на другой виртуальный коммутатор

Get-VM myVM | Get-VMNetworkAdapter | Connect-VMNetworkAdapter -SwitchName "NewSwitch"

Подключение к консоли гостевой машины на Hyper-V из Linux

# получите идентификатор гостевой машины
(Get-VM <имя>).id

# подключение из ubuntu 20.04 (проверено)
sudo apt install freerdp2-x11
xfreerdp /cert-ignore /u:<username> /vmconnect:<vmid> /v:<hypervhost>

# в других дистрибутивах Linux возможен еще такой вариант (не проверено)
xfreerdp -ignore-certificate -no-nego -u <username> -pcb <vmid> -t 2179  <hypervhost>

Управление ролями и компонентами

# вывод дерева ролей и компонентов
Get-WindowsFeature     

# установка компонента
Install-WindowsFeature "<имя_компонента>"

# удаление компонента
Uninstall-WindowsFeature -Name "<имя_компонента>" -Remove

Управление модулями Powershell

Get-Module -list

Управление пакетами

# вывод списка установленных провайдеров пакетов
Get-PackageProvider

# Установка провайдера пакетов
Install-PackageProvider -Name <имя_провайдера>

Удаление провайдера пакетов

# определение пути размещения провайдера пакетов
(Get-PackageProvider -Name <имя_провайдера>).ProviderPath

# обычно Windows загружает дополнительные провайдеры пакетов из каталога поиска провайдеров пакетов C:\Program Files\PackageManagement\ProviderAssemblies
# если провайдер расположен в другом месте, то вопрос удаления необходимо дополнительно изучить
# для удаления провайдера достаточно удалить все его файлы и подкаталог
# файлы провайдеров обычно открыты и просто так удалить не получится
# сначала файлы провайдера нужно переместить за пределы каталога провайдеров и перегрузить компьютер
# после этого можно удалить файлы и подкаталоги провайдера

# пример удаления провайдера пакетов NuGet
move "C:\Program Files\PackageManagement\ProviderAssemblies\nuget\2.8.5.208\Microsoft.PackageManagement.NuGetProvider.dll" C:\
rmdir "C:\Program Files\PackageManagement\ProviderAssemblies\nuget" -Recurse
Restart-Computer
del "C:\Microsoft.PackageManagement.NuGetProvider.dll" 

Обновление

Ссылки по теме

• Что означают названия продуктов Windows 10 в WSUS

# Установка пакетного провайдера NuGet
Install-PackageProvider -Name NuGet -MinimumVersion 2.8.5.201 -Force

Install-Module -Name PSWindowsUpdate

Get-Content Function:\Start-WUScan
Get-Command -Module WindowsUpdateProvider

Терминальная ферма

# список серверов терминальной фермы и их ролей
# выполняется на активном RDCB
Get-RDServer     

Установка приложений или правка реестра на хосте с установленным RDSH

# переключение текущей сессии в режим установки
change user /install

... устанавливаем приложения, правим реестр и т.п. ...

# переключение текущей сессии в режим выполнения
change user /execute

Возможности (Capabilities)

Список возможностей (на 5.07.2021)

• Accessibility.Braille
• Browser.InternetExplorer
• Hello.Face.17658
• Hello.Face.Migration.17658
• Kernel.Soft.Reboot
• Language.Basic*
• Language.Fonts.*
• Language.Handwriting*
• Language.OCR*
• Language.Speech*
• Language.TextToSpeech*
• MathRecognizer
• Media.WindowsMediaPlayer
• Microsoft.Onecore.StorageManagement
• Microsoft.Windows.StorageManagement
• Msix.PackagingTool.Driver
• NetFX3
• OpenSSH.Client
• OpenSSH.Server
• Print.EnterpriseCloudPrint
• Print.MopriaCloudService
• RIP.Listener
• ServerCore.AppCompatibility
• Tools.DTrace.Platform
• Tools.Graphics.DirectX
• WMI-SNMP-Provider.Client
• XPS.Viewer

Полный список содержит множество вариаций для различных языков, поэтому я использовал символ маски *, для обозначения группы элементов. Также из имени удален номер версии.

Особенности (Features)

Обзор

Особенности (Feature) бывают трех типов (FeatureType)

• Role
• Role Service
• Feature

На верхнем уровне иерархии особенностей располагаются роли и простые особенности.
Сервисы обычно входят в состав ролей.
Простые особенности также могут содержать вложенную иерархию особенностей.

Роли

• Active Directory Certificate Services
• Active Directory Domain Services
• Active Directory Federation Services
• Active Directory Lightweight Directory Services
• Active Directory Rights Management Services
• Device Health Attestation
• DHCP Server
• DNS Server
• Fax Server
• File and Storage Services
• Host Guardian Service
• Hyper-V
• Network Policy and Access Services
• Print and Document Services
• Remote Access
• Remote Desktop Services
• Volume Activation Services
• Web Server (IIS)
• Windows Deployment Services
• Windows Server Update Services

Особенности верхнего уровня (не имеющие статус роли)

• .NET Framework 3.5 Features
• .NET Framework 4.7 Features
• Background Intelligent Transfer Service (BITS)
• BitLocker Drive Encryption
• BitLocker Network Unlock
• BranchCache
• Client for NFS
• Containers
• Data Center Bridging
• Direct Play
• Enhanced Storage
• Failover Clustering
• Group Policy Management
• Host Guardian Hyper-V Support
• I/O Quality of Service
• IIS Hostable Web Core
• Internet Printing Client
• IP Address Management (IPAM) Server
• iSNS Server service
• LPR Port Monitor
• Management OData IIS Extension
• Media Foundation
• Message Queuing
• Multipath I/O
• MultiPoint Connector
• Network Load Balancing
• Network Virtualization
• Peer Name Resolution Protocol
• Quality Windows Audio Video Experience
• RAS Connection Manager Administration Kit (CMAK)
• Remote Assistance
• Remote Differential Compression
• Remote Server Administration Tools
• RPC over HTTP Proxy
• Setup and Boot Event Collection
• Simple TCP/IP Services
• SMB 1.0/CIFS File Sharing Support
• SMB Bandwidth Limit
• SMTP Server
• SNMP Service
• Storage Replica
• Telnet Client
• TFTP Client
• VM Shielding Tools for Fabric Management
• WebDAV Redirector
• Windows Biometric Framework
• Windows Defender Antivirus
• Windows Identity Foundation 3.5
• Windows Internal Database
• Windows PowerShell
• Windows Process Activation Service
• Windows Search Service
• Windows Server Backup
• Windows Server Migration Tools
• Windows Standards-Based Storage Management
• Windows Subsystem for Linux
• Windows TIFF IFilter
• WinRM IIS Extension
• WINS Server
• Wireless LAN Service
• WoW64 Support
• XPS Viewer

Active Directory Domain Services

Этапы:

• Настройте сетевой интерфейс:
  • статический IP адрес
  • маску подсети
  • шлюз по умолчанию
• Смените имя компьютера на нужное и перегрузите компьютер
• Если компьютер клонирован с образа, то смените SID, в win2019 это важно, потому что в win2019 домен примет SID от первого контроллера, что создаст проблемы с включением в домен серверов с этого же образа.
• При включенном IPv6 добавление нового контроллера домена может зависнуть, нужно разбираться в причинах или отключить IPv6 на всех контроллерах домена
• Установите роль DNS сервера
• Установите роль Active Directory Domain Services
• Перегрузите компьютер
• Повысьте сервер до контроллера домена

# проверка конфигурации IP
Get-NetIPConfiguration
Get-NetIPAddress -AddressFamily IPv4

Установите роль DNS сервера

Install-WindowsFeature DNS

# Если не планируете разрешать имена от корня,
# то укажите DNS сервер для форвардинга

Set-DNSServerForwarder -IPAddress <DNS_сервер> -IncludeManagementTools

Установите роль Active Directory Domain Services

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Создание нового леса

$params = @{
DomainName = "example.com"
CreateDnsDelegation = $false
DatabasePath = "C:\Windows\NTDS"
DomainMode = 7
DomainNetbiosName = "EXAMPLE"
ForestMode = "7"
InstallDns = $true
LogPath = "C:\Windows\NTDS"
NoRebootOnCompletion = $true
SysvolPath = "C:\Windows\SYSVOL"
Force = $true
}

Install-ADDSForest @params

Restart-Computer

Первая перезагрузка займет немного больше времени чем обычно.

Обратите внимание, что повышение до контроллера домена сбросила на сетевом интерфейсе порядок опроса DNS серверов на 127.0.0.1. В более ранних версиях Windows такая настройка могла создать проблему при загрузке, т.к. служба DNS стартовала позже и не могла ответить контроллеру. Если контроллер будет постоянно долго висеть на загрузке, то попробуйте изменить порядок DNS серверов, указав первым соседний контроллер домена.

Добавление контроллера домена в существующий домен

Install-ADDSDomainController -DomainName "example.com"

Remote Desktop Services

Состав роли, редакция: Windows Server 2019 Standard

[ ] Remote Desktop Services
    [ ] Remote Desktop Licensing

Состав роли, редакция: Windows Server 2019 Standard (Desktop Experience)

[ ] Remote Desktop Services
    [ ] Remote Desktop Connection Broker
    [ ] Remote Desktop Gateway
    [ ] Remote Desktop Licensing
    [ ] Remote Desktop Session Host
    [ ] Remote Desktop Virtualization Host
    [ ] Remote Desktop Web Access

Сокращения:

• RDWA (Remote Desktop Web Access)
• RD Licensing (Remote Desktop Licensing)
• RDCB (Remote Desktop Connection Broker)
• RDVH (Remote Desktop Virtualization Hosts)
• RDSH (Remote Desktop Session Host)
• RDG (Remote Desktop Gateway)

Схемы развертывания:

1. Стандарт — RDCB, RDWA, RDSH — ставятся на 3 разных сервера
2. Быстрый старт — все компоненты ставятся на один сервер
3. Multipoint — вариант для учебных заведений, к серверу подключается несколько мониторов по HDMI и клавиатур по USB, Multipoint дает каждому свой рабочий стол.

• PSD (Personas Sessin Desktop) — нужно разобраться, это что-то типа каждому пользователю по своей виртуальной среде, типа почти как по своей виртуалке, но в рамках одной ОС сервера.
• RDCH — ?

Примеры установки

• win2019: Установка одного терминального сервера
• win2019: Установка терминальной фермы

Известные проблемы:

• RDP, черный экран

DNS Server

KMS SRV Record

Add-DnsServerResourceRecord -Srv -Name "_VLMCS._tcp" -ZoneName "mydomain.ru" -DomainName "kms.mydomain.ru" -Priority 0 -Weight 0 -Port 1688

DHCP Server

• Установка и настройка контроллера домена на Windows Server 2012R2 с помощью PowerShell

Не стоит экспериментировать с DHCP в рабочем сегменте сети. Ваш тестовый DHCP может выдать кому-то некорректный IP адрес, что может создать серьезные проблемы для всей сети.

Приведенные ниже инструкции предполагают, что будущий DHCP сервер уже включен в домен и все команды выполняются на DHCP сервере.

Установка роли DHCP сервера

# добавление роли и средств управления
Add-WindowsFeature -Name DHCP -IncludeManagementTools

# добавление локальных групп "DHCP Users" и "DHCP Administrators"
# если DHCP сервер является контроллером домена, то добавляются домен-локальные группы
Add-DHCPServerSecurityGroup

# перезапуск сервиса DHCP
Restart-Service DHCPServer

# добавление сервера в список авторизованных серверов в Active Directory
Add-DhcpServerInDC -DnsName <dhcp_server>

# получение списка DHCP серверов авторизованных в Active Directory
Get-DhcpServerInDC

# задание учетки, под которой DHCP сервис будет вносить изменения в DNS
# имя необходимо задавать в формате domain\user или user@domain.ru
Set-DHCPServerDnsCredential -Credential (Get-Credential)

# Добавление области
Add-DHCPServerv4Scope -Name <name> -StartRange <IP1> -EndRange <IP2> -SubnetMask <маска подсети> -State Active

# вывод текущего списка областей
Get-DHCPServerv4Scope

# определение опций на уровне сервера, которые наследуются всеми областями
Set-DHCPServerv4OptionValue -DnsServer <IP_dns1>, <IP_dns2> -DnsDomain <dns_domain> -Router <IP_gateway>

# вывод списка опций заданных на уровне сервера
Get-DHCPServerv4OptionValue
# удаление опции заданной на уровне сервера
Remove-DHCPServerv4OptionValue -OptionId <option_id>

# определение опций на уровне области
Set-DhcpServerv4OptionValue -ScopeId <scope_id> -Router <IP_gateway>

# вывод списка опций заданных на уровне области
Get-DHCPServerv4OptionValue -ScopeId <scope_id>

# удаление опции заданной на уровне области
Remove-DHCPServerv4OptionValue  -ScopeId <scope_id> -OptionId <option_id>

Текст ниже пока только скопипастил из статьи выше.
Нужно протестировать и причесать.

# Если после конфигурации DHCP выходит сообщение, что конфигурация не настроена, то выполняем:
Set-ItemProperty -Path registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ServerManager\Roles\12 -Name ConfigurationState -Value 2

# перезагрузка
Restart-Computer -Force

Windows Server Update Services

WSUS (Windows Server Update Services) — предназначен для централизации процесса обновления систем на базе Microsoft Windows

Ссылки по теме

• Windows Server Update Services best practices
• The complete guide to WSUS and Configuration Manager SUP maintenance

Install-WindowsFeature -Name UpdateServices -IncludeManagementTools

# настраиваем каталог данных WSUS
# каталог данных не рекомендуется размещать на системном диске
mkdir D:\WSUS
& 'C:\Program Files\Update Services\Tools\WsusUtil.exe' postinstall CONTENT_DIR=D:\WSUS

# определение в качестве вышестоящего источника обновлений Microsoft Update
Set-WsusServerSynchronization -SyncFromMU

# корректировка конфигурации WSUS
$wsus = Get-WsusServer
$wsusConfig = $wsus.GetConfiguration()

# включение языка
$wsusConfig.AllUpdateLanguagesEnabled = $false
$wsusConfig.SetEnabledUpdateLanguages("ru")
$wsusConfig.Save()

$subscription = $wsus.GetSubscription()
$subscription.StartSynchronizationForCategoryOnly()

Get-WsusProduct | where-Object {
    $_.Product.Title -in (
    'SQL Server 2019',
    'Exchange Server 2010',
    'Windows Server 2019')
} | Set-WsusProduct
 
Get-WsusClassification | Where-Object {
    $_.Classification.Title -in (
    'Update Rollups',
    'Security Updates',
    'Critical Updates',
    'Service Packs',
    'Updates')
} | Set-WsusClassification

$subscription.SynchronizeAutomatically=$true
$subscription.SynchronizeAutomaticallyTimeOfDay= (New-TimeSpan -Hours 0)
$subscription.NumberOfSynchronizationsPerDay=1
$subscription.Save()

# запуск синхронизации
$subscription.StartSynchronization()

# проверка текущего процесса синхронизации
$subscription.GetSynchronizationStatus()

Лабы

• win2019: Внедрение домена