Dokončete instalaci systému Windows Server 2025

Před zavedením ISO vyberte edici a typ instalace

Windows Server 2025 se dodává hlavně ve dvou edicích. Standard je vytvořen pro lehce virtualizované kanceláře a pokrývá dva virtuální počítače Windows Server na sadu licencí. Datacenter pokrývá neomezený počet virtuálních strojů na hostiteli a přidává funkce, jako je Storage Spaces Direct – většina kanceláří s jedním serverem to upřímně nepotřebuje. Během nastavování si také vyberete rozhraní: Desktop Experience vám poskytuje plnou pracovní plochu Windows, zatímco Server Core nemá žádnou pracovní plochu a je spravováno pomocí příkazů a vzdálených nástrojů.

Pro malou kancelář a první server zvolte Standardní s desktopovým prostředím. Server Core je štíhlejší a potřebuje méně restartů, ale vyberte si ho pouze v případě, že vám vyhovuje PowerShell – a nemůžete mezi nimi později přepínat bez přeinstalace.

Nainstalujte systém Windows a nastavte heslo seriózního správce

Zaveďte systém z ISO nebo USB, zvolte Vlastní: Instalovat pouze Windows a nainstalujte na disk nebo svazek RAID, který jste připravili pro systém. Nastavení vyžaduje heslo správce před prvním přihlášením – jedná se o nejvýkonnější účet, jaký kdy kancelář bude vlastnit, proto jej zajistěte dlouhým, jedinečným a uloženým v trezoru hesel ve stejný den, nikoli na poznámku.

Na ploše se dostanete na plochu a Správce serveru se otevře sám. Na Server Core se dostanete do nabídky SConfig — zadáním sconfig do libovolného příkazového řádku se kdykoli vrátíte:

sconfig

Do not install a single role yet. The next two steps decide how painless the rest of your year will be.

Přidejte serveru jeho identitu – statickou IP, název a časové pásmo

Server je jeden stroj, jehož adresa se nikdy nesmí přesouvat, protože každý druhý počítač na něj bude ukazovat pro přihlášení, DNS a soubory. Přidělte mu pevnou adresu uvnitř vaší sítě LAN, mimo rozsah, který váš router rozdává – například 192.168.1.10, když je router 192.168.1.1 a DHCP začíná na 192.168.1.100.

Nastavte statickou IP, masku podsítě a bránu ve vlastnostech síťového adaptéru (nebo pomocí možnosti SConfig 8). Poté počítač nyní přejmenujte – něco krátkého a založeného na rolích, jako je SRV-DC01. Přejmenování je dnes zdarma; po povýšení na doménový řadič se z toho stane procedura, kterou nechcete dělat náhodně. Nakonec nastavte správné časové pásmo a potvrďte, že hodiny jsou správné – přihlášení a certifikáty tiše závisí na přesném čase.

Úplná aktualizace před instalací jakékoli role

Tento krok netrpělivá nastavení přeskakují a je to ten, který později způsobí nejpodivnější chyby. Zbrusu nová instalace je u oprav měsíců pozadu a průvodci rolemi pravidelně selhávají na poloviční záplatě z důvodů, které vypadají jako černá magie.

Otevřete Nastavení → Windows Update a spusťte Zkontrolovat aktualizace. Vše nainstalujte, na požádání restartujte a poté znovu zkontrolujte — nové aktualizace se často objevují až po předchozím kole. Opakujte, dokud systém Windows neoznámí, že jste dvakrát za sebou aktuální, a ujistěte se, že nezůstalo žádné restartování. Teprve nyní je základna dostatečně stabilní, aby na ní bylo možné stavět.

Instalujte role v pořadí – Active Directory s DNS, poté DHCP

U typického kancelářského serveru mají první tři role přirozené pořadí, protože se každá opírá o tu předchozí.

Doménové služby Active Directory jsou na prvním místě – nainstalujte roli ze Správce serveru a poté spusťte průvodce povýšením a vytvořte doménu. Promotion automaticky nainstaluje a nakonfiguruje DNS pro doménu, což je přesně důvod, proč je AD na prvním místě. Název domény vybírejte záměrně – moderním vzorem je subdoména firemní domény, jako je ad.company.com; název jako office.local stále funguje v uzavřené kanceláři. Udržujte heslo DSRM v trezoru; je to nouzový klíč k doméně.

DHCP je na druhém místě – nainstalujte roli, poté ji autorizujte ve službě Active Directory a vytvořte rozsah adres. Neautorizovaný server DHCP v doméně záměrně odmítá rozdávat adresy — to je bezpečnostní prvek, nikoli chyba. Podle potřeby přidejte části Služby souborů a úložiště pro sdílení.

Dáváte přednost prostředí PowerShell? Pomocí těchto příkazů se nainstalují stejné role — nejprve Active Directory:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest

And DHCP after it:

Install-WindowsFeature DHCP -IncludeManagementTools

Oddělte systémový disk od datového disku

Ponechte Windows a role na C: a vše, co kancelář vytvoří – sdílené složky, uživatelské dokumenty, přesměrované profily – umístěte na samostatný datový svazek. Toto jediné rozhodnutí o rozložení se vám vrátí roky.

Data na vlastním svazku lze zálohovat, pořizovat snímky pomocí stínových kopií a dokonce je přesunout na nový server, aniž byste se dotkli systému. A pokud se datová jednotka zaplní, server se stále spouští a přihlašuje lidi — pokud se C: zaplní, vše se zastaví. Cílem zálohy by měl být opět jiný fyzický disk: oddíl na stejném disku není ochranou proti zániku tohoto disku.

Nastavení vzdálené správy s disciplínou

Tento server byste měli spravovat ze svého stolu, nikoli stát před ním – ale vzdálený přístup musí být dveře se zámkem, nikoli otevřené okno. Aktivujte Vzdálenou plochu pouze pro administrátory a ponechte zapnuté Ověřování na úrovni sítě.

Z vašeho vlastního počítače může Server Manager (prostřednictvím RSAT) nebo Windows Admin Center (bezplatné stažení od společnosti Microsoft) spravovat tento server a další z jedné konzoly.

Před příchodem uživatelů spusťte Basic Hardening Pass

Třicet minut kontrol je nyní levnější než jeden incident později. Potvrďte, že Windows Defender Firewall je zapnutý pro všechny profily – instalace rolí otevře pouze porty, které tyto role potřebují. Vytvořte si svůj vlastní pojmenovaný administrátorský účet a používejte jej pro administrátorskou práci, aby se v protokolech zobrazovala osoba, nikoli sdílený účet; ponechat vestavěného správce jako přihlašovací jméno.

Zkontrolujte, zda je povoleno podepisování SMB, a pro štěstí neinstalujte starší funkce, jako je SMBv1 – Server 2025 jej ve výchozím nastavení neinstaluje, a to je záměrné. Nakonec nastavte měsíční aktualizační okno a zapište si ho: servery se neopravují zodpovědně ani náhodou.

Zapněte zálohování ještě dnes a zapište si, co jste vytvořili

Když role fungují, nastavení není dokončeno. Je hotovo, když se server může vrátit ze špatného dne a když to někdo jiný pochopí.

Nainstalujte si funkci Windows Server Backup, nasměrujte ji na samostatný disk, zahrňte Bare Metal Recovery a naplánujte ji na dnešní večer.

Potom napište předávací dokument: název serveru, IP, doménu, role, plán zálohování, okno aktualizace a místo, kde jsou uloženy licence a hesla. Uložte kopii tohoto dokumentu mimo server – dokument, který existuje pouze na počítači, který popisuje, chybí přesně ve chvíli, kdy jej potřebujete.