Windows Server после установки - почти пустая система: всё, что делает его файловым сервером, контроллером домена или веб-сервером, добавляется ролями и компонентами. В этой статье - базовое управление сервером: первичная настройка, роли, службы, Active Directory, обновления и инструменты, включая PowerShell для удалённой работы.

Инструкция подходит для Windows Server 2016, 2019, 2022 и 2025.

Первичная настройка

Сразу после установки серверу нужно задать имя, сетевые параметры и часовой пояс, включить удалённое управление и, если нужно, ввести его в домен.

В графической версии всё это есть в «Диспетчере серверов» → «Локальный сервер»: щелчок по значению открывает нужное окно. В варианте Server Core (без графического интерфейса) и в любой версии из командной строки работает меню sconfig: пункты для имени компьютера, домена, сети, удалённого рабочего стола, обновлений и перезагрузки.

То же в PowerShell:

powershell
Rename-Computer -NewName "SRV-FS01" -Restart
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.20 -PrefixLength 24 -DefaultGateway 192.168.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.5,192.168.10.6
Add-Computer -DomainName corp.example -Credential CORP\admin -Restart

Статический адрес и DNS-серверы подробно разобраны в статье про статический IP в Windows. Для сервера в домене DNS-серверами должны быть контроллеры домена.

Роли, службы ролей и компоненты

Сервер и три блока ролей, у каждой свои вложенные элементы

  • Роль - основная функция сервера: DNS-сервер, DHCP-сервер, доменные службы Active Directory, файловые службы, веб-сервер IIS, службы удалённых рабочих столов.
  • Службы ролей - части роли, которые ставятся по отдельности. Например, у файловых служб это файловый сервер, пространства имён DFS, репликация DFS, диспетчер ресурсов файлового сервера.
  • Компоненты - вспомогательные возможности, не связанные с конкретной ролью: резервное копирование, отказоустойчивая кластеризация, средства удалённого администрирования, Telnet-клиент.

Установка и удаление

В «Диспетчере серверов» - «Управление» → «Добавить роли и компоненты» или «Удалить роли и компоненты». Мастер сам предложит зависимые компоненты.

В PowerShell:

powershell
Get-WindowsFeature                                  # список с отметками установленных
Get-WindowsFeature | Where-Object Installed         # только установленные
Install-WindowsFeature FS-DFS-Namespace -IncludeManagementTools
Uninstall-WindowsFeature Telnet-Client
Uninstall-WindowsFeature Web-Server -Remove         # удалить и сами файлы компонента

Ключ -IncludeManagementTools ставит вместе с ролью консоли и модули PowerShell для управления ей. Без него роль будет работать, но управлять ею локально будет нечем. Ключ -ComputerName выполняет установку на удалённом сервере.

Ключ -Remove при удалении убирает и файлы компонента с диска. Чтобы потом поставить его снова, понадобится источник: установочный образ (-Source) или Центр обновления Windows.

Что установлено и настроено

Список установленных ролей - в «Диспетчере серверов» на плитках панели мониторинга и в разделах ролей слева. Для каждой роли видны события, службы, результаты анализатора соответствия рекомендациям и счётчики производительности. Удобнее всего проверять командой Get-WindowsFeature | Where-Object Installed.

Контроллеры домена и рядовые серверы

В домене Active Directory сервер может быть:

  • контроллером домена - хранит копию базы Active Directory, проверяет подлинность пользователей и компьютеров, обычно также работает DNS-сервером;
  • рядовым сервером - член домена, выполняющий другие роли (файлы, печать, приложения);
  • автономным сервером - вне домена.

Сервер становится контроллером домена в два шага: установка роли и повышение.

powershell
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Новый лес:

powershell
Install-ADDSForest -DomainName corp.example -InstallDns

Дополнительный контроллер в существующем домене:

powershell
Install-ADDSDomainController -DomainName corp.example -InstallDns -Credential (Get-Credential CORP\admin)

Команды спросят пароль режима восстановления служб каталогов (DSRM) - сохраните его, он нужен для восстановления Active Directory. В домене должно быть не меньше двух контроллеров: при отказе единственного контроллера пользователи не смогут войти в систему.

Контроллер домена только для чтения (RODC)

RODC хранит копию Active Directory только для чтения и по умолчанию не кэширует пароли. Его ставят в филиалах, где сервер физически плохо защищён: если его украдут, злоумышленник не получит хеши паролей всех пользователей. Какие пароли RODC может кэшировать, задаётся политикой репликации паролей - обычно это пользователи и компьютеры самого филиала.

powershell
Install-ADDSDomainController -DomainName corp.example -ReadOnlyReplica -SiteName "Branch" -InstallDns

Перезапускаемые доменные службы

Доменные службы Active Directory работают как обычная служба Windows (NTDS), и её можно остановить, не перезагружая сервер. Это нужно для обслуживания базы: дефрагментации, переноса файлов базы, восстановления. Пока служба остановлена, контроллер не обслуживает вход, но другие контроллеры домена продолжают работать.

powershell
Stop-Service NTDS -Force
Start-Service NTDS

Инструменты администратора

Основные консоли, которые пригодятся на любом сервере:

Команда Что открывает
servermanager Диспетчер серверов
compmgmt.msc Управление компьютером: события, общие папки, пользователи, диски, службы
services.msc Службы
eventvwr.msc Просмотр событий
taskschd.msc Планировщик заданий
diskmgmt.msc Управление дисками
dsa.msc Active Directory - пользователи и компьютеры
dsac.exe Центр администрирования Active Directory
gpmc.msc Управление групповой политикой
dnsmgmt.msc, dhcpmgmt.msc Консоли DNS и DHCP

На рабочей станции администратора эти консоли ставятся в составе средств удалённого администрирования сервера (RSAT). В современных Windows это необязательные компоненты в «Параметрах» или команда Add-WindowsCapability.

Другой вариант - Windows Admin Center, веб-консоль Microsoft для управления серверами и кластерами через браузер. Особенно удобна для Server Core.

Хорошая практика - управлять серверами удалённо со своей рабочей станции, а не входить на каждый сервер через удалённый рабочий стол.

Службы

Три шестерёнки, одна вращается, под ними переключатели

Службы - программы, работающие в фоне без входа пользователя. Управляются в оснастке services.msc, в «Диспетчере серверов» (раздел роли → «Службы»), в диспетчере задач и из командной строки.

Запуск, остановка, приостановка

powershell
Get-Service Spooler
Stop-Service Spooler
Start-Service Spooler
Restart-Service Spooler
Suspend-Service, Resume-Service    # приостановить и возобновить (если служба поддерживает)

Старые команды net stop spooler и net start spooler тоже работают.

Тип запуска

  • Автоматически - при загрузке системы;
  • Автоматически (отложенный запуск) - вскоре после загрузки, чтобы не замедлять её;
  • Вручную - по запросу другой программы или администратора;
  • Отключена - не запускается вообще.
powershell
Set-Service Spooler -StartupType Disabled
sc.exe config Spooler start= delayed-auto

В sc.exe после знака равенства обязателен пробел.

Учётная запись службы

На вкладке «Вход в систему» в свойствах службы выбирается, от чьего имени она работает: «Локальная система», «Локальная служба», «Сетевая служба» или отдельная учётная запись. Для служб, которым нужен доступ к сетевым ресурсам, лучше использовать управляемые учётные записи служб (gMSA): Active Directory сама меняет их пароль.

Встроенным учётным записям «Локальная служба» и «Сетевая служба» прав меньше, чем «Локальной системе», поэтому для своих служб выбирайте их, если хватает прав.

Восстановление после сбоя

Вкладка «Восстановление» определяет, что делать, если служба упала: при первом, втором и последующих сбоях можно перезапустить службу, запустить программу или перезагрузить компьютер. Обычно для важных служб ставят «Перезапуск службы» на первые два сбоя.

batch
sc.exe failure Spooler reset= 86400 actions= restart/60000/restart/60000//

Здесь счётчик сбоев сбрасывается через сутки (86 400 секунд), а первые два сбоя вызывают перезапуск через минуту.

Отключение ненужных служб

Отключать службы «для скорости» на сервере стоит только понимая, что делает каждая. Правильный путь - не устанавливать лишние роли и компоненты: тогда лишних служб и не будет. Явные кандидаты на отключение - службы, связанные с функциями, которые на сервере не нужны, например диспетчер печати на контроллере домена (это ещё и рекомендация по безопасности). Перед отключением проверьте зависимости на вкладке «Зависимости» в свойствах службы.

Обновления

Обновления на сервере устанавливаются через Центр обновления Windows: в графической версии - в «Параметрах», в Server Core - через sconfig. В домене поведение задаётся групповой политикой: «Конфигурация компьютера» → «Административные шаблоны» → «Компоненты Windows» → «Центр обновления Windows». Основные параметры:

  • Настройка автоматического обновления - загружать и устанавливать автоматически, по расписанию, или только уведомлять;
  • Указать расположение службы обновлений Майкрософт в интрасети - адрес сервера WSUS, если обновления раздаются изнутри сети. WSUS есть и в Windows Server 2025, но с 2024 года Microsoft считает его устаревшим и больше не развивает;
  • параметры, запрещающие автоматическую перезагрузку при вошедших пользователях.

Для серверов обычно выбирают загрузку с установкой в окно обслуживания или ручную установку, чтобы перезагрузка не случилась посреди рабочего дня. Историю установленных обновлений показывает Get-HotFix.

В Windows Server 2025 появились горячие исправления (hotpatch): часть обновлений безопасности ставится без перезагрузки. Для серверов вне Azure это платная подписка через Azure Arc.

PowerShell и удалённое управление

PowerShell - основной инструмент администратора Windows Server: всё, что делается в консолях, можно сделать командами и повторить на десятках серверов.

Удалённое управление (WinRM) включено на Windows Server по умолчанию. Если нет, его включает команда Enable-PSRemoting.

powershell
Enter-PSSession -ComputerName SRV-FS01                     # интерактивный сеанс
Invoke-Command -ComputerName SRV-FS01,SRV-FS02 -ScriptBlock { Get-Service Spooler }

Для работы с Active Directory есть модуль ActiveDirectory (ставится вместе со средствами AD DS или RSAT):

powershell
Get-ADUser -Identity ivanov -Properties LastLogonDate
New-ADUser -Name "Петров Пётр" -SamAccountName petrov -Path "OU=Users,DC=corp,DC=example" -AccountPassword (Read-Host -AsSecureString) -Enabled $true
Get-ADComputer -Filter * -SearchBase "OU=Servers,DC=corp,DC=example"
Search-ADAccount -LockedOut

Найти нужную команду помогают Get-Command *DnsServer* и Get-Help Install-WindowsFeature -Examples.