Windows Server Admin — Cheat Sheet

Tag: windows server, active directory, powershell, gpo, hyper-v, dns, dhcp

Livello: intermedio

TL;DR: Riferimento rapido per amministrazione Windows Server, gestione Active Directory, policy GPO, servizi di rete core e automazione PowerShell.

Concetti chiave

Active Directory Domain Services (AD DS) gestisce identita', autenticazione Kerberos/NTLM e autorizzazioni centralizzate.

FSMO roles distribuiti tra Domain Controller: Schema, Domain Naming, PDC Emulator, RID Pool, Infrastructure Master.

Group Policy Objects (GPO) applicano configurazioni gerarchiche secondo l'ordine Local, Site, Domain, Organizational Unit (LSDOU).

DNS integrato in AD assicura la registrazione dinamica dei record SRV indispensabili per individuare i Domain Controller.

DHCP assegna lease IP dinamici, reservation per MAC address e opzioni di rete (router, server DNS, PXE).

Hyper-V fornisce virtualizzazione di tipo 1 integrata con supporto a failover clustering e live migration.

Storage Spaces Direct (S2D) e iSCSI consentono storage condiviso e resiliente per carichi clusterizzati.

Windows Admin Center e PowerShell forniscono gestione remota senza dipendere esclusivamente da Remote Desktop Protocol (RDP).

BitLocker e AppLocker rafforzano la sicurezza host tramite cifratura dei volumi e whitelisting dei binari eseguibili.

Domande tipiche e risposte pronte

Q: Come verifichi e risolvi un problema di replica tra Domain Controller?R: Controllo la topologia con repadmin /replsummary e repadmin /showrepl. Se riscontro errori, verifico la risoluzione DNS e la raggiungibilità RPC prima di forzare la sincronizzazione.

Q: Qual è la differenza tra l'assegnazione di permessi NTFS e permessi Share (condivisione)?R: La condivisione controlla l'accesso remoto via rete, mentre NTFS opera a livello di filesystem locale. Quando entrambi sono presenti, prevale la combinazione più restrittiva.

Q: In che ordine vengono elaborate le policy di gruppo (GPO) e cosa fa "Enforced"?R: L'ordine standard è Local, Site, Domain, OU (l'ultima vince). L'opzione Enforced blocca la sovrascrittura da parte di OU figlie e scavalca il "Block Inheritance".

Q: Come procedi al recupero di un oggetto eliminato accidentalmente in Active Directory?R: Se il Cestino di Active Directory (AD Recycle Bin) è attivo, uso Restore-ADObject. In alternativa ripristino da backup System State con ripristino autoritativo.

Insidie e errori comuni

Mancata configurazione del DNS primario delle schede di rete sui Domain Controller verso se stessi o altri DC.

Esecuzione non pianificata di gpupdate /force su larga scala che satura la banda dei Domain Controller.

Trasferimento errato dei ruoli FSMO tramite seize quando il titolare originario è ancora temporaneamente online.

Assegnazione dei permessi NTFS a singoli utenti anziché seguire la convenzione AGDLP (Account, Global, Domain Local, Permission).

Esaurimento dello spazio su disco C: a causa di log IIS o cartelle WinSxS non ripulite.

Mancato snapshot o backup dello stato di sistema prima di estendere lo schema Active Directory.

Snippet e comandi

# Verifica stato replica Active Directory
repadmin /replsummary
repadmin /showrepl * /csv > repl_status.csv

# Query salute e detentori ruoli FSMO
netdom query fsmo
Test-ComputerSecureChannel -Verbose

# Ricerca utenti disabilitati o inattivi da oltre 90 giorni
Search-ADAccount -AccountDisabled -UsersOnly
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly

# Aggiornamento e diagnostica Group Policy
gpupdate /force
gpresult /h C:\Reports\gpreport.html

# Test risoluzione DNS e record SRV del Domain Controller
Resolve-DnsName -Name _ldap._tcp.dc._msdcs.dominio.local -Type SRV

# Gestione servizi core da PowerShell
Get-Service -Name NTDS, DNS, DHCPServer, W32Time | Select-Object Name, Status, StartType
Restart-Service -Name DHCPServer -Force

Da ripassare

[ ] Procedura di seizing manuale dei ruoli FSMO tramite PowerShell

[ ] Configurazione della delega di amministrazione su Unità Organizzative (OU)

[ ] Creazione e gestione di Managed Service Accounts (gMSA)

[ ] Diagnostica handshake Kerberos e analisi ticket con klist

[x] Configurazione base di zone DNS forward e reverse lookup

[x] Gestione utenti e gruppi con Remote Server Administration Tools (RSAT)