Administrace Windows Serveru

Co zahrnují základy administrace Windows Serveru

Administrace Windows Serveru zahrnuje instalaci a správu rolí a funkcí, konfiguraci identity a přístupu, síťových služeb, úložišť a zabezpečení, automatizaci pomocí PowerShellu, monitorování, zálohování a obnovu. Cílem je udržet stabilní, bezpečné a auditovatelné prostředí pro běh aplikací a služeb.

Volba edice, licencování a nasazení

• Edice: Standard (virtualizační práva pro 2 OSE), Datacenter (neomezené OSE, pokročilé funkce jako Shielded VMs), Essentials (pro malé organizace, omezení počtu uživatelů).
• Licencování: jádrové licence (min. 16 jader na server, 8 jader na CPU), CAL pro uživatele či zařízení; doplňky RDS CAL, Exchange/SQL CAL dle potřeby.
• Instalační varianty: Desktop Experience (GUI) vs. Server Core (bez GUI, menší povrch útoku, nižší nároky); doporučeno preferovat Server Core pro infrastrukturu.
• Scénáře nasazení: fyzický server, virtualizace (Hyper-V, VMware), cloud/hybrid (Azure Stack HCI, Azure IaaS), automatizované image (WDS/MDT, Autopilot pro servery ne).

Počáteční konfigurace a zpevnění

• Identita a název: nastavení unikátního hostname, připojení do domény nebo vytvoření nové domény.
• Síť: statická IP, DNS směrující na interní resolvery, konfigurace týmování (LBFO/SET) pro redundanci.
• Aktualizace: zapnutí automatických aktualizací nebo připojení k WSUS; definování údržbových oken.
• Zabezpečení: firewall profily, zapnutí Microsoft Defender for Endpoint (pokud je k dispozici), politiky hesel a MFA pro privilegované účty, omezení RDP (NLA, šifrování, just-in-time přístup).
• Správa: povolit WinRM pro vzdálenou správu, instalace Windows Admin Center pro centralizovanou administraci.

Role a funkce: architektura a správa

Role představují serverové účely (např. Active Directory Domain Services, DNS, DHCP, File and Storage Services, IIS, Remote Desktop Services, Hyper-V), funkce poskytují podpůrné komponenty (např. .NET Framework, Failover Clustering). Instalace probíhá přes Server Manager, Windows Admin Center nebo PowerShell (Install-WindowsFeature).

Active Directory Domain Services (AD DS)

• Plán domén a OU: navrhnout hierarchii OU, delegace práv, Group Policy dědičnost a filtrace (security/WMI).
• Řadiče domény: minimálně dva na lokalitu, oddělené role FSMO, časová synchronizace s externím NTP na PDC Emulatoru.
• Účty a skupiny: oddělit Admin účty od běžných, použít skupinové řízení přístupu (AGDLP/AGUDLP).
• Recyklační koš AD a audit: povolit pro rychlou obnovu objektů, zapnout Advanced Audit Policy.

DNS a DHCP: základ síťové identity

• DNS: integrované zóny v AD pro redundanci, split-brain DNS, zabezpečené dynamické aktualizace, podpůrné záznamy (A/AAAA, PTR, CNAME, SRV), forwardery a podmíněné forwardery.
• DHCP: více rozsahů, rezervace pro kritické servery, DHCP Failover (load balance/standby), NAP/NPS integrace pro řízení přístupu.

File and Storage Services

• NTFS a sdílení SMB: model oprávnění (least privilege), dědičnost, Access-Based Enumeration, kvóty (FSRM) a screening typů souborů.
• DFS: DFS Namespaces pro jednotnou strukturu, DFS Replication pro geografickou redundanci, plánování a omezení šířky pásma.
• Úložiště: Storage Spaces/Storage Spaces Direct, tiering (SSD/HDD), deduplikace pro souborové servery, ReFS pro určité scénáře záloh/VM.

Hyper-V a virtualizace

• Host a síť: vSwitch (External/Internal/Private), NIC Teaming/SET, SR-IOV, vLAN trunking.
• VM konfigurace: generace 2, Secure Boot, vTPM pro šifrování (BitLocker v hostu), dynamická paměť, checkpointy (používat s rozmyslem v produkci).
• Vysoká dostupnost: Failover Clustering pro Hyper-V, Cluster Shared Volumes, živá migrace a plán údržby.

Remote Desktop Services (RDS)

• Role: RD Connection Broker, RD Web Access, RD Gateway (SSL/TLS, zásady přístupu), RD Session Host a RemoteApp.
• Bezpečnost: MFA přes RD Gateway, politiky sezení, řízení tisku a přesměrování zařízení, omezení clipboardu.

IIS a webové služby

• Struktura: weby, aplikace, aplikační pooly (identity, recyklace), moduly a handlery.
• HTTPS by default: TLS 1.2/1.3, moderní šifrovací sady, HSTS, automatizovaná obnova certifikátů (ACME API).
• Publikace a WAF: ARR/Reverse Proxy, integrace s Application Gateway/WAF, logování a monitoring.

Skupinové politiky (GPO) a baseline

• Bezpečnostní baseline: nasadit doporučené baseline (např. CIS/Microsoft Security Baselines), oddělit politiky pro servery, řadiče domény a stanice.
• Konfigurace: hardening RDP, SMB podepisování a šifrování, LAPS/Entra LAPS pro lokální hesla, řízení firewallu a auditních politik.
• Údržba: vyhodnocení výsledků přes Group Policy Results/Modeling, verzování a dokumentace změn.

Zálohování a obnova

• Strategie 3-2-1-1-0: více kopií, offline/immutable vrstva, pravidelné testy obnovy, ověřování konzistence.
• System State a AD: pravidelné zálohy System State pro řadiče domény, autoritativní a neautoritativní obnova, ochrana před USN rollbackem.
• Windows Server Backup / VSS: plánované úlohy, granulární obnova souborů, bare-metal recovery.

Aktualizace, WSUS a životní cyklus

• WSUS: schvalování aktualizací podle prstenců (pilot, broad), auto-approval pro kritické záplaty, maintenance windows.
• Driver a firmware: koordinace s výrobci, kompatibilita s clusterem a Hyper-V.
• Životní cyklus: plán upgrade na novější verze, dlouhodobá podpora, in-place vs. side-by-side migrace.

Monitorování, protokolování a audit

• Event Log: centralizace (Windows Event Forwarding), korelace bezpečnostních událostí, retenční politika logů.
• Výkon: Performance Monitor (počítadla CPU, RAM, disk IOPS/latence, síť), Resource Monitor a spouštěče Data Collector Sets.
• Alerting: napojení na SIEM/SOAR, e-mail/SMS/Teams notifikace, metriky dostupnosti a kapacity.

PowerShell a automatizace

• Moduly: ActiveDirectory, DnsServer, DhcpServer, Hyper-V, Storage, NetTCPIP, GroupPolicy.
• Vzdálená správa: WinRM, Just-Enough Administration (JEA) pro granulární delegaci, skriptování opakovaných úloh.
• Idempotence: Desired State Configuration (DSC) k udržení konfigurací, integrace s CI/CD a GitOps přístupem.

Bezpečnost: identity, přístup a šifrování

• Privilegovaná identita: oddělené administrátorské účty, role-based access, PAM/PIM, schválené skokové servery (PAW/Jump Host).
• Řízení přístupů: NTFS a skupiny, omezení lokálních administrátorů, AppLocker/WDAC pro whitelisting aplikací.
• Šifrování: BitLocker pro OS a data, EFS pro vybrané scénáře, TLS 1.2/1.3, správně nastavené KMS/HSM a rotace klíčů.
• Antimalware a EDR: Microsoft Defender Antivirus/EDR, ASR pravidla, řízení PowerShell skriptů (Constrained Language Mode, podpisy).

Certifikáty a PKI

• AD CS: návrh hierarchie (Root CA offline, Subordinate CA online), šablony certifikátů, automatické vydávání (autoenrollment).
• Správa TLS: jednotná politika algoritmů a klíčů, rotace a inventarizace certifikátů, CRL/OCSP dostupnost.

Failover Clustering a vysoká dostupnost

• Základy clusteru: quorum model (Node Majority, Node and Disk/File Share Witness), ověření pomocí Cluster Validation.
• Role clusteru: File Server (SOFS), Hyper-V, SQL Always On; plán údržby s rolovanými aktualizacemi (Cluster Aware Updating).

Síťové služby a zabezpečení

• Windows Firewall s pokročilým zabezpečením: pravidla pro profily doména/soukromá/veřejná, příchozí/odchozí, IPSec politiky.
• IP adresace a směrování: týmování NIC, VLAN, QoS, SMB Direct (RDMA) pro vysoký výkon souborových služeb.
• VPN a vzdálený přístup: RRAS, IKEv2, SSTP; integrace s NPS pro zásady přístupu a accounting.

Řešení problémů a provozní excelence

• Diagnostické nástroje: Event Viewer, Reliability Monitor, BPA (Best Practices Analyzer), netsh/nbtstat/PowerShell cmdlety pro síť, DISM a SFC pro integritu systému.
• Provozní postupy: change management, údržbová okna, schvalování a rollback plány, evidence konfigurací (CMDB) a verzování GPO/IaC.
• Dokumentace: runbooky, kontaktní listy, diagramy závislostí, postupy havarijní obnovy.

Hybridní scénáře a cloud integrace

• Identita: synchronizace do cloudu, federace, Password Hash Sync či Pass-through Authentication, podmíněný přístup a MFA.
• Zálohy a DR: replikace do cloudových regionů, objektová úložiště pro zálohy, Site Recovery.
• Monitorování: centralizace metrik a logů do cloudového SIEM/observability stacku, alerting a playbooky reakce.

Kontrolní seznam pro nový Windows Server

• Zvolená edice, aktivované licence, instalována varianta Server Core (pokud možné).
• Aktualizovaný firmware/BIOS, ovladače a kumulativní záplaty OS.
• Statická IP, správné DNS, časová synchronizace, zapnutý firewall.
• WinRM povolen, přidán do domény, aplikovány základní GPO a bezpečnostní baseline.
• Instalované role/funkce, oddělené disky pro OS/data/logy, zapnuté auditování.
• Nasazené monitorování, zálohování a test obnovy System State/dat.
• Dokumentovány konfigurace a zavedena pravidla změn.

Závěr

Základy administrace Windows Serveru stojí na promyšleném návrhu identit, síťových služeb, úložiště a vysoké dostupnosti, posílených bezpečnostními zásadami a pravidelnými aktualizacemi. Efektivní provoz vyžaduje automatizaci pomocí PowerShellu a DSC, důsledné monitorování a jasně definované provozní postupy včetně zálohování a havarijní obnovy. Dodržováním těchto principů dosáhnete stabilního, bezpečného a udržitelného prostředí pro vaše klíčové služby.