Windows Server: roles, PowerShell (Verbo-Substantivo), NTFS ACLs, Server Core, WSUS

A ideia que organiza o assunto

O Windows Server não foi feito para uma máquina, e sim para um parque de máquinas administrado de um ponto só. Tudo o que o tópico cobra sai dessa decisão: existe um diretório central que guarda as identidades (Active Directory), existe uma política que desce desse diretório para as máquinas (Group Policy), existe um ponto único que aprova o que será instalado em todas elas (WSUS) e existe um sistema de arquivos que sabe registrar, objeto por objeto, quem pode o quê (NTFS).

Debaixo disso há um único modelo de autorização, e vale a pena enunciá-lo porque ele resolve metade dos itens sozinho. Toda identidade é um SID; ao autenticar, o usuário recebe um token de acesso com o seu SID e o de todos os grupos a que pertence; todo objeto — arquivo, pasta, chave de registro, serviço, impressora — carrega um descritor de segurança com uma lista de ACEs. O sistema confronta o token com a lista e decide. É por isso que apagar um usuário não limpa as permissões que ele tinha: o que ficou gravado na pasta é o SID, não o nome.

Para a prova há uma segunda metade da ideia, e é a que realmente decide itens: o tópico quase nunca erra o conceito — ele erra o nome. A finalidade descrita está certa e o que está trocado é o verbo do cmdlet (Add-Computer onde caberia Reset-ComputerMachinePassword), o rótulo do modo (server-side onde a descrição é de client-side), a porta (8530 virando 80), o protocolo (SSH no lugar do RDP) ou a camada (NTFS descrito como se fosse SMB). Leia primeiro o nome próprio, depois a afirmação.

Por que se usa (e o que custa)

Ganha-se administração em escala. Uma conta vale em todas as máquinas do domínio; uma GPO muda o comportamento de milhares de estações sem tocar em nenhuma; um servidor WSUS decide qual correção entra e quando; o NTFS aplica a permissão no núcleo, de modo que nenhuma aplicação consegue esquecer de verificá-la.

Paga-se em acoplamento e em superfície. Tudo depende do controlador de domínio e do DNS que o publica: derrubado o DC, cai autenticação, política e compartilhamento. E o conforto gráfico tem preço — cada componente instalado é código que precisa ser corrigido, o que é exatamente o argumento do Server Core: menos interface, menos atualização, menos reinicialização, menos superfície de ataque, ao custo de administrar tudo remotamente e por linha de comando.

A formulação honesta: o Windows Server troca a autonomia da máquina isolada por centralização. Quase todo item do tópico pergunta quem, ao centro, é o dono daquela decisão.

Como funciona

Funções e recursos. O servidor nasce quase vazio e recebe funções (roles: AD DS, DNS, DHCP, IIS, Hyper-V, RDS, WSUS, Serviços de Arquivo) e recursos (features: Failover Clustering, .NET, Windows Server Backup). Instalam-se pelo Gerenciador do Servidor ou por PowerShell: Get-WindowsFeature lista, Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools instala, Uninstall-WindowsFeature remove. Instalar a função não a configura: promover o servidor a controlador de domínio ainda exige Install-ADDSForest ou Install-ADDSDomainController.

Active Directory. A floresta é o limite de segurança; dentro dela há domínios, e dentro dos domínios unidades organizacionais (OU), que existem para receber política e delegação — não para dar permissão de acesso, que é papel dos grupos. Os dados ficam em um banco ESE no arquivo NTDS.dit, e não em SQL Server. Cada domínio publica o SYSVOL, replicado entre os DCs, onde moram scripts e as GPOs. Cinco funções FSMO não são replicadas e residem em DCs específicos: Schema Master e Domain Naming Master na floresta; RID, PDC Emulator e Infrastructure Master no domínio. Ao entrar no domínio, a estação ganha uma conta de computador com senha própria, renovada periodicamente — quando essa senha dessincroniza, quebra-se o canal seguro.

Política de grupo. A GPO desce na ordem L-S-D-OU (local, site, domínio, OU), e a última a aplicar prevalece, salvo Enforced e Block Inheritance. A atualização é automática a cada 90 minutos com deslocamento aleatório de até 30, e a cada 5 minutos nos controladores de domínio; gpupdate /force antecipa e gpresult mostra o resultado. É por GPO que se diz ao cliente quando o Windows Update Agent procura e instala correções e de qual servidor WSUS ele as busca.

PowerShell. É um shell de objetos: o pipeline não transporta texto, e sim objetos .NET, com suas propriedades e métodos — daí Get-Process | Where-Object {$_.CPU -gt 10} | Sort-Object CPU funcionar sem recortar colunas. O nome de todo cmdlet obedece a Verbo-Substantivo, com o verbo tirado de uma lista aprovada (Get-Verb) e o substantivo sempre no singular: Get-Service, New-ADUser, Restart-Computer, Install-WindowsFeature. Os antigos comandos sobrevivem como aliases (dir, ls, cd, cat, ps, kill), e por isso não provam nada sobre o nome verdadeiro. Comparação é feita com operadores de traço — -eq, -ne, -gt, -lt, -like, -match —, nunca com ==. A execução remota usa WinRM (Enable-PSRemoting, Invoke-Command, Enter-PSSession). A execution policy limita a execução de scripts e é padrão RemoteSigned no Windows Server, mas não é fronteira de segurança: ela evita acidente, não atacante.

NTFS. É o sistema de arquivos local do Windows: registro de transações (journaling), MFT, cotas por usuário e por volume, cópias de sombra, compressão, criptografia EFS, fluxos alternativos, links simbólicos e, sobretudo, ACLs. Compressão e EFS são mutuamente exclusivas no mesmo arquivo. As permissões básicas são seis — Controle total, Modificar, Ler e executar, Listar conteúdo da pasta, Leitura, Gravação — e cada uma é um atalho para um conjunto de permissões especiais, que podem ser editadas uma a uma. As permissões herdam da pasta-mãe e acumulam-se pela soma dos grupos do usuário; um Negar explícito derruba qualquer Permitir. Ferramentas: icacls (sucessor do cacls), takeown, Get-Acl e Set-Acl, e a aba Acesso Efetivo.

Compartilhamento. Quem leva o arquivo pela rede é o SMB, não o NTFS — NTFS não atravessa a rede nem interopera com outro sistema operacional; é o SMB (e, do lado Unix, o Samba ou o NFS) que faz isso. O compartilhamento tem a sua própria lista, com apenas três permissões — Ler, Alterar, Controle total —, que valem para a pasta inteira e só quando o acesso vem pela rede. Daí a regra que a banca adora: pela rede, vale a mais restritiva entre a permissão de compartilhamento e a permissão NTFS; localmente, o compartilhamento simplesmente não é consultado.

Server Core. É uma opção de instalação sem interface gráfica: sem Explorer, sem MMC local, sem navegador. Configura-se pelo sconfig, por PowerShell e remotamente (Gerenciador do Servidor, RSAT, Windows Admin Center). Nas versões 2012 e 2012 R2 era possível converter entre Core e GUI adicionando ou removendo o recurso de interface; a partir do 2016 a conversão deixou de existir — a escolha é feita na instalação e mudá-la exige reinstalar.

WSUS. O servidor sincroniza o catálogo com o Microsoft Update, o administrador aprova cada atualização e os clientes a buscam do servidor interno em vez da Internet. Os clientes são apontados por GPO; os servidores WSUS encadeiam-se em upstream e downstream, e o downstream pode ser réplica (herda aprovações e grupos, console somente leitura) ou autônomo (recebe as atualizações, mas aprova por conta própria). Computadores entram em grupos de duas maneiras, e só uma vale por vez: server-side targeting, em que o administrador move a máquina para o grupo no console, e client-side targeting, em que a própria máquina se declara, por GPO ou registro. O banco padrão é o WID, podendo ser SQL Server, e a sincronização entre servidores usa 8530 (HTTP) e 8531 (HTTPS).

O que decide os itens

Compartilhamento × NTFS — a distinção mais cobrada do tópico:

	permissão de compartilhamento	permissão NTFS
onde vale	só no acesso pela rede	rede e local
granularidade	a pasta compartilhada inteira	pasta e arquivo, individualmente
quantas	3: Ler, Alterar, Controle total	6 básicas + especiais
depende do sistema de arquivos	não (funciona até em FAT)	sim, exige NTFS
padrão ao criar	Todos = Ler	herdada da pasta-mãe
combinação	pela rede vale a mais restritiva das duas	soma-se entre grupos

Precedência entre ACEs — de cima para baixo, o primeiro que casar decide:

ordem	regra
1	Negar explícito (definido no próprio objeto)
2	Permitir explícito
3	Negar herdado da pasta-mãe
4	Permitir herdado

Consequência que cai: um Permitir explícito no arquivo vence um Negar herdado da pasta; e permissões de grupos diferentes somam-se, salvo negativa.

Copiar × mover — o item clássico de ACL:

operação	o que acontece com as permissões
copiar, para qualquer lugar	herda as da pasta de destino
mover no mesmo volume NTFS	mantém as originais
mover para outro volume	é cópia e exclusão: herda as do destino
copiar para FAT/exFAT	perde ACL, EFS e fluxos alternativos

Cmdlets que a banca troca:

par	quem faz o quê
New-ADUser × Add-ADGroupMember	cria a conta × acrescenta membro a um grupo
Add-ADGroupMember × Add-ADPrincipalGroupMembership	adiciona membros a um grupo × adiciona um usuário a vários grupos
Add-Computer × Reset-ComputerMachinePassword	ingressa no domínio × ressincroniza a senha da conta de computador
Test-ComputerSecureChannel -Repair	conserta o canal seguro sem sair do domínio
Install-WindowsFeature × Install-ADDSDomainController	instala a função × promove o servidor a DC
Get-Service × Set-Service × Restart-Service	consulta × configura × derruba e sobe
-Include × -Exclude	restringe ao que casar × tira do conjunto
-Name × -DisplayName	nome curto do serviço × nome de exibição
Get-Acl × Set-Acl	lê o descritor × grava o descritor
Stop-Computer × Restart-Computer	desliga × reinicia

Verbos aprovados e o que significam — o verbo errado é item pronto:

verbo	ação
Get × Set	consultar × alterar
New × Add	criar o objeto × acrescentar a um existente
Remove × Clear	excluir o objeto × esvaziar o conteúdo
Start × Enable	executar agora × habilitar
Test	verificar estado, sem alterar
Invoke	executar em outro contexto ou máquina

WSUS — os dois direcionamentos, que a banca inverte:

	quem decide o grupo	como
server-side targeting	o administrador, no console do WSUS	move o computador para o grupo manualmente
client-side targeting	o próprio cliente	GPO ou chave de registro informam o nome do grupo

E os dois modos de servidor secundário: réplica herda aprovações e grupos do upstream (console somente leitura); autônomo recebe as atualizações e aprova localmente.

Componente × papel — atribuições que o item costuma trocar:

afirmação descrita	de quem realmente é
compartilhar arquivos entre Windows e Linux	SMB/Samba (ou NFS), não NTFS
conexão de área de trabalho remota	RDP, porta 3389 — não SSH
autenticar e guardar objetos do domínio	AD DS sobre banco ESE (NTDS.dit) — não SQL Server
assinar respostas DNS e garantir origem e integridade	DNSSEC — cache é outra coisa
reduzir espaço guardando um bloco único e referências	deduplicação de dados
rodar a conta de administrador com privilégio reduzido	UAC (modo de aprovação de administrador)
conceder ou negar acesso à rede conforme a saúde da estação	NAP/NPS
apontar quais atualizações entram no parque	WSUS com aprovação
definir quando o cliente procura e instala atualização	GPO sobre o Windows Update Agent
análise preditiva local por aprendizado de máquina	Insights do Sistema (2019)

NTFS × ReFS — ReFS resiste melhor a corrupção, mas não tem EFS, compressão de arquivo nem cota de disco, e não serve de volume de inicialização; por isso as funções do servidor continuam pedindo NTFS.

Cota do NTFS × cota do FSRM — a do NTFS é por usuário e por volume; a do Gerenciador de Recursos de Servidor de Arquivos é por pasta, com limites rígidos ou flexíveis e notificação.

Números que caem

RDP (Área de Trabalho Remota)	3389 TCP
WSUS, upstream e clientes (2012 em diante)	8530 HTTP · 8531 HTTPS
WSUS 3.2 e anteriores	80 · 443
WinRM / PowerShell remoto	5985 HTTP · 5986 HTTPS
LDAP · LDAPS	389 · 636
Catálogo Global	3268 · 3269
Kerberos · kpasswd	88 · 464
SMB	445
DNS · DHCP	53 · 67/68
RADIUS (NPS)	1812 autenticação · 1813 contabilização
atualização de GPO	90 min + até 30 min aleatórios; DC a cada 5 min
detecção padrão do Windows Update Agent	22 horas
funções FSMO	5 — 2 de floresta, 3 de domínio
permissões NTFS básicas × de compartilhamento	6 × 3
nome de arquivo NTFS · caminho clássico	255 caracteres · 260 (MAX_PATH)
arquivo máximo em FAT32	4 GB
política de senha padrão do domínio	histórico 24 · máxima 42 dias · mínima 1 dia · tamanho 7
tempo de vida do objeto excluído (tombstone)	180 dias
conversão Server Core ↔ GUI	só em 2012 e 2012 R2

Como a CEBRASPE derruba você aqui

Atribuição errada — 35% dos itens errados, a assinatura do tópico. O rótulo esconde o que de fato acontece: a capacidade descrita existe e está descrita corretamente, e o nome colado nela é o do vizinho. O RDS “utiliza o protocolo SSH como base para conexões de área de trabalho remota” — é o RDP, na 3389. O DNSSEC é “utilizado para melhorar o desempenho do servidor e reduzir o tráfego de rede” — guardar resposta para reduzir tráfego é o cache do DNS; o DNSSEC assina registros e até aumenta o tamanho das respostas. Os objetos do domínio “ficam armazenados em um gerenciador de banco de dados do SQL Server” — ficam no NTDS.dit, sobre o ESE, em cada controlador. O NTFS “oferece uma solução de compartilhamento de arquivos em ambientes heterogêneos” — o NTFS é sistema de arquivos local e não trafega em rede; quem compartilha entre Windows e Linux é o SMB/Samba. Batize a descrição antes de olhar o nome, e só então compare os dois.

No PowerShell, a atribuição errada mora no verbo. O cmdlet existe, a sintaxe está impecável e ele não faz aquilo. Add-ADPrincipalGroupMembership apresentado como se “é criada uma conta de usuário User1 e, por padrão, concedida a associação ao grupo usuários do domínio” — Add acrescenta ao grupo um objeto que já existe; criar é New-ADUser. Add-Computer apresentado como quem “corrigirá o problema que surge quando a senha do computador não está sincronizada” — ingressar no domínio é uma coisa; reparar o canal seguro é Reset-ComputerMachinePassword ou Test-ComputerSecureChannel -Repair. Leia o verbo isolado: Add acrescenta, New cria, Test verifica, Reset conserta.

Inversão — 31%, e quase sempre sobre uma capacidade. O item nega o que o produto faz, ou afirma o que ele não faz. Nega: o Word “não é capaz de fazer a conversão de um arquivo PDF para um arquivo com formato editável do tipo .docx” (faz, desde o 2013, sem software de terceiros); a deduplicação “elimina permanentemente todas as cópias redundantes, sem manter mecanismos de referência” (é justamente o ponto de nova análise apontando para o repositório de blocos que reconstrói o arquivo); criar conta local “antes da instalação dos serviços de domínio Active Directory é impossível” (é possível — o que deixa de existir é a base local depois da promoção). Afirma: “há a possibilidade de upgrade de arquiteturas de computador de 32 bits para 64 bits” — não há, exige instalação limpa, e essa mesma afirmação reaparece em outro item com outra grafia. E há a inversão de quem decide: a política de grupo aplicando atualizações “devendo novas atualizações de segurança ser obrigatoriamente aplicadas com autorização do usuário do computador” — a GPO existe justamente para dispensar essa autorização — e o “do lado do servidor (server-side targeting)” descrito com o mecanismo do lado do cliente. Pergunte em que sentido a capacidade corre e quem decide.

Generalização — 19%. “qualquer usuário criado em uma estação Windows 2012 R2 será administrador do domínio” — conta criada na estação é local, nasce apenas no grupo Usuários e sequer existe no domínio. O AD operando “dentro de um único domínio somente, mas não múltiplos domínios” — árvore, floresta e relações de confiança existem para o contrário exato. Excluída a conta, “automaticamente são removidas todas as permissões e acessos” — o que fica na lista de controle de acesso é o SID, que permanece órfão até alguém removê-lo à mão. E o IIS que “limita-se ao suporte ao HTTP/HTTPS” — o FTP é serviço de função do próprio IIS. O Windows Server quase nunca faz limpeza automática nem concede privilégio por padrão: achado o absoluto, procure o contraexemplo.

O que sobra é pouco, e falta um formato esperado. Troca de termo aparece duas vezes (a conta de domínio descrita como quem dá “identificadores distintos” por recurso, quando ela existe para eliminá-los; “O Pacote MSI, apesar de ser limitado”, quando o limitado é o pacote da Microsoft Store). Escopo esticado, uma: o NFS ampliado para “uma ampla variedade de recursos de rede, incluindo-se serviços de arquivos e impressão” — impressora é SMB/CIFS. E número alterado, o formato que se esperaria de um tópico cheio de portas e intervalos, não aparece uma única vez entre os itens errados medidos: a tabela de Números serve aqui para confirmar uma frase, não para caçar pegadinha.

Um quarto dos itens errados deste tópico não fala de Windows. Seis dos vinte e seis são Linux ou Debian, no mesmo bloco de prova: o SELinux “implementado em nível de usuário” (é módulo do kernel, avaliado a cada chamada de sistema), “As ferramentas tiger e flawfinder” para auditoria de host (o flawfinder é analisador estático de código C; a dupla é tiger com checksecurity), “qualquer usuário criado em um servidor Linux é do tipo root”, e permissões de arquivo “que se tornam inalteráveis após a criação desse arquivo”. Estude os dois sistemas juntos: a banca cobra um pelo outro na mesma questão.

Erros clássicos

Somar compartilhamento com NTFS. Não se somam: pela rede vale a mais restritiva das duas listas. Compartilhamento “Controle total” com NTFS “Leitura” dá leitura; o inverso também.

Esquecer que o compartilhamento não protege o acesso local. Quem senta no servidor, ou entra por Área de Trabalho Remota, só é contido pelo NTFS.

Achar que herdado vence explícito. A ordem é: negar explícito, permitir explícito, negar herdado, permitir herdado. Um Permitir no próprio arquivo derruba o Negar que veio da pasta.

Confundir copiar com mover. Só o mover dentro do mesmo volume preserva as permissões originais; qualquer outra operação herda as do destino.

Supor que excluir o usuário limpa as permissões. Fica o SID órfão nas ACLs, e recriar a conta com o mesmo nome não devolve o acesso — o SID é novo.

Tratar NTFS como protocolo de rede. NTFS é sistema de arquivos local; quem compartilha é o SMB. E cota do NTFS é por usuário no volume, não por pasta.

Confiar no alias do PowerShell. ls, dir e cat são apelidos; o nome real é Get-ChildItem e Get-Content, e é o nome real que a prova cobra — sempre Verbo-Substantivo, com o substantivo no singular.

Instalar a função e dar por configurado. Install-WindowsFeature coloca os binários; a promoção a controlador de domínio, a criação da zona DNS e o escopo DHCP são passos à parte.

Imaginar que dá para virar Server Core depois. Só o 2012 e o 2012 R2 permitiam ir e voltar; do 2016 em diante, a escolha é da instalação.

Achar que o WSUS instala o que quiser. Ele só distribui o que foi aprovado; e quem manda no quando do cliente é a política de grupo, não o console.