• Windows Server 2012/2012 R2: Tăng cường ảo hóa Hyper-V, quản lý hạ tầng, hỗ trợ điện toán đám mây
• 2016: Phát triển ảo hóa, Windows Server Containers, tăng cường bảo mật
• 2019: Bảo mật, hybrid cloud, tích hợp Azure
• 2022: Bảo mật nhiều lớp, kết nối đám mây lai, cải thiện hiệu năng
• 2025: Tiếp tục nâng cao bảo mật, hiệu năng, mở rộng, tích hợp đám mây lai

• Desktop Experience: Giao diện GUI đầy đủ, dễ thao tác trực quan, tốn tài nguyên hơn, nhiều thành phần không cần thiết
• Server Core: Tối giản, quản trị bằng PowerShell/CMD, nhẹ hơn, giảm bề mặt tấn công, phù hợp tự động hóa

• In-place Upgrade: Nâng cấp trên cùng hệ thống, giữ lại dữ liệu/ứng dụng, phụ thuộc tương thích
• Clean Install: Cài mới hoàn toàn, môi trường sạch, tốn thời gian triển khai lại

Máy chủ cần IP tĩnh để địa chỉ luôn ổn định, bảo đảm các máy trạm và dịch vụ mạng truy cập đúng máy chủ. Cấu hình: IPv4 Properties → nhập IP, Subnet Mask, Gateway, DNS → kiểm tra bằng ipconfig /all, ping, nslookup.

• Role = vai trò chính của Server. VD: AD DS (quản lý Domain), DNS Server, DHCP Server
• Feature = tính năng bổ trợ. VD: .NET Framework, Windows Server Backup, Failover Clustering
• Chỉ cài Role/Feature cần thiết → giảm tài nguyên, giảm bề mặt tấn công

• PowerShell Remoting: Dùng WinRM, bật bằng Enable-PSRemoting -Force, kiểm tra Test-WSMan
• Windows Admin Center (WAC): Quản trị Server qua giao diện web, thay thế nhiều MMC
• Answer File: File chứa thông tin trả lời cho quá trình cài đặt → triển khai tự động, đồng nhất nhiều Server

• Workgroup: Mạng ngang hàng, không quản lý tập trung, phù hợp mạng nhỏ
• Domain: Có Domain Controller quản lý tập trung User, Computer, Group Policy qua AD. Phù hợp tổ chức vừa/lớn

• Active Directory: Dịch vụ thư mục của Microsoft, lưu trữ và quản lý tập trung thông tin User, Computer, Group, tài nguyên
• Chức năng: Quản lý tập trung tài khoản/tài nguyên, xác thực người dùng, phân quyền, áp dụng GPO
• Thành phần luận lý: Object → OU → Domain → Domain Tree → Forest

Chuẩn bị: Hostname, IP tĩnh, DNS, kết nối mạng ổn định → Cài AD DS: Server Manager → Add Roles → AD DS → Promote: Promote to DC, chọn New Forest/Add DC → cấu hình DNS, DSRM password → Kiểm tra: ADUC, DNS, đăng nhập Domain, replication.

DNS giúp client tìm DC và các dịch vụ AD. Sai DNS → không Join Domain, không tìm DC, GPO không áp dụng. Kiểm tra: ipconfig /all, nslookup, dcdiag.

• OU: Container logic trong AD, tổ chức theo phòng ban/chức năng, liên kết GPO, phân quyền quản trị
• GPO: Computer Configuration (cấu hình máy) + User Configuration (cấu hình người dùng)
• LSDOU: Local → Site → Domain → OU. Chính sách áp dụng sau ưu tiên hơn
• Loopback Processing: Thay đổi cách xử lý User Configuration dựa trên máy tính đăng nhập (Merge/Replace)

• Điều kiện Join: Kết nối mạng DC, IP hợp lệ, DNS phân giải được Domain, thời gian đồng bộ
• Lỗi thường gặp: DNS sai, firewall, tên Domain sai, lệch thời gian, tài khoản không đủ quyền
• AD Replication: Đồng bộ thay đổi giữa các DC, dự phòng, phân tán tải xác thực

• Administrator: Quyền quản trị rất cao. Rủi ro: lộ credential → mất kiểm soát
• Guest: Quyền hạn chế, nên vô hiệu hóa khi không cần
• Domain Admins: Quyền quản trị cao trong Domain
• Enterprise Admins: Phạm vi quản trị ở mức Forest
• Account Operators: Quản lý tài khoản/nhóm. Backup Operators: Sao lưu/khôi phục

• Domain Local: Cấp quyền tài nguyên trong Domain
• Global: Tập hợp User cùng vai trò trong 1 Domain
• Universal: Phạm vi nhiều Domain trong cùng Forest

AGUDLP: Accounts → Global → Universal → Domain Local → Permissions
Không cấp quyền trực tiếp cho từng User mà đưa vào nhóm → cấp Permission cho nhóm → dễ quản trị, dễ thay đổi nhân sự.

New-ADOrganizationalUnit -Name GIANGVIEN -Path "dc=caothang,dc=edu,dc=vn"
New-ADGroup -Name GV -Path "ou=GIANGVIEN,..." -GroupScope Global -GroupCategory Security
New-ADUser -Name "Le Van An" -SamAccountName anlv -Path "ou=GIANGVIEN,..." -Enabled $true
Add-ADGroupMember -Identity GV -Members anlv
Get-ADUser -Filter * -SearchBase "ou=GIANGVIEN,dc=caothang,dc=edu,dc=vn"
Get-ADUser -Identity anlv

1. Vô hiệu hóa tài khoản, thu hồi quyền truy cập (nhóm, VPN, email)
2. Xử lý dữ liệu: xác định Home Folder, tài liệu cần bàn giao, backup theo chính sách
3. Kiểm tra lại: logon, quyền, thiết bị đã thu hồi

• Minimum Password Length: Độ dài tối thiểu
• Password Complexity: Yêu cầu chữ hoa/thường/số/ký tự đặc biệt
• Password History: Ngăn dùng lại mật khẩu cũ
• Maximum Password Age: Chu kỳ bắt buộc đổi mật khẩu
• Minimum Password Age: Thời gian tối thiểu trước khi được đổi lại

• Account Lockout Threshold: Số lần đăng nhập sai trước khi khóa
• Account Lockout Duration: Thời gian tài khoản bị khóa
• Reset Account Lockout Counter After: Thời gian reset bộ đếm

Cần kết hợp mật khẩu mạnh, MFA, audit logon, giám sát bất thường.

• Computer Configuration: Áp dụng cho máy tính, xử lý khi máy khởi động
• User Configuration: Áp dụng cho tài khoản người dùng, xử lý khi đăng nhập
• Loopback Processing: Thay đổi cách xử lý User Configuration dựa trên máy tính đăng nhập. Chế độ Merge hoặc Replace

• Audit Policy: Ghi log bảo mật (Audit Logon, Audit Object Access)
• Security Options: Ẩn username đăng nhập cuối cùng (Interactive logon)
• Chặn USB: Computer Configuration → Removable Storage Access → Deny read/write
• Firewall qua GPO: Computer Configuration → Windows Defender Firewall → Inbound/Outbound Rules
• Credential Theft: Cô lập máy nghi nhiễm → vô hiệu hóa credential → kiểm tra logon → phòng ngừa (MFA, least privilege)

• MBR: Chuẩn truyền thống, giới hạn kích thước đĩa và số lượng partition
• GPT: Chuẩn hiện đại, hỗ trợ đĩa lớn, nhiều partition, có cơ chế dự phòng thông tin phân vùng
• File Server 10TB → nên chọn GPT

• Simple: Trên 1 Dynamic Disk
• Spanned: Ghép nhiều đĩa thành 1 volume, không chịu lỗi
• Striped: Phân tán dữ liệu nhiều đĩa → tăng hiệu năng, không chịu lỗi
• Mirrored: 2 bản sao trên 2 đĩa → chịu lỗi 1 đĩa. Dung lượng = ổ nhỏ nhất
• RAID-5: Striping + Parity, tối thiểu 3 đĩa, chịu lỗi 1 đĩa. Dung lượng = (N−1) × ổ nhỏ nhất

• Storage Spaces: Gom nhiều ổ vật lý → Storage Pool → Virtual Disk, resiliency (mirror/parity)
• Data Deduplication: Loại bỏ dữ liệu trùng, tiết kiệm dung lượng
• BitLocker: Mã hóa ổ đĩa. Recovery Key phải lưu trữ an toàn, riêng biệt
• Shadow Copies/VSS: Bản sao tại thời điểm, người dùng khôi phục qua Previous Versions. Không thay thế backup
• Disk Quota: Giới hạn dung lượng User trên volume. FSRM Quota mạnh hơn (theo folder, template, notification)

Get-Disk → Initialize-Disk → New-Partition → Format-Volume. Kiểm tra: Get-Volume, Get-Partition.

Loại	Sao lưu gì	Khôi phục cần	Ưu/Nhược
Full	Toàn bộ dữ liệu	Chỉ cần bản Full	Dễ quản lý, tốn thời gian/dung lượng
Incremental	Thay đổi từ lần sao lưu gần nhất	Full + tất cả Incremental	Tiết kiệm, khôi phục phức tạp
Differential	Thay đổi từ lần Full gần nhất	Full + Differential mới nhất	Khôi phục đơn giản hơn Incremental

RPO: Lượng dữ liệu tối đa chấp nhận mất. RTO: Thời gian tối đa để khôi phục.

• 3-2-1: 3 bản sao dữ liệu, 2 loại phương tiện khác nhau, 1 bản sao ở địa điểm khác/offline
• System State Backup: Chứa các thành phần quan trọng OS + AD trên DC. Dùng để phục hồi AD khi DC lỗi (DSRM)

• Bare-Metal Recovery: Phục hồi toàn bộ máy từ backup (hỏng ổ đĩa, mất OS, thảm họa)
• Mã hóa backup: Dùng BitLocker cho ổ lưu trữ backup. Key quản lý riêng biệt
• Test-Restore: Kiểm tra backup có thể khôi phục thành công, đo thời gian khôi phục
• Ransomware: Cô lập → xác định phạm vi → thu hồi credential → khôi phục từ backup sạch → vá lỗ hổng, tăng MFA

• DFS Namespace: Không gian tên logic, truy cập dữ liệu bằng đường dẫn thống nhất
• DFS Replication: Đồng bộ dữ liệu giữa các server/folder target (DFSR)
• Lợi ích: Đơn giản hóa đường dẫn, hỗ trợ nhiều chi nhánh, giảm phụ thuộc 1 File Server

• Share Permission: Áp dụng khi truy cập qua mạng
• NTFS Permission: Áp dụng cả local và qua mạng
• Effective Permission qua mạng = quyền hạn chế hơn giữa Share và NTFS

• Read: Đọc/xem dữ liệu
• Modify: Đọc + tạo/sửa/xóa
• Full Control: Modify + quản lý quyền/owner
• Inheritance: Quyền cha truyền xuống con. Có thể tắt inheritance khi cần tách quyền

• ABE (Access-Based Enumeration): Ẩn thư mục mà User không có quyền truy cập. Không thay thế Permission
• Offline Files: Client lưu bản sao nội bộ khi mất kết nối, đồng bộ khi kết nối lại
• FSRM Quota: Quản lý quota theo folder (mạnh hơn NTFS Disk Quota theo User/volume). Soft Quota để giám sát/cảnh báo
• Print Server: Quản lý máy in tập trung. Deploy printer qua GPO Preferences

Loại	Lưu trữ	Ưu điểm	Nhược điểm
Local	Trên máy trạm	Dễ quản lý	Phụ thuộc từng máy
Roaming	Trên Server	Đổi máy vẫn giữ môi trường	Profile lớn → chậm logon
Mandatory	Profile mẫu cố định	Thống nhất, không bị thay đổi	User không lưu được tùy chỉnh

• NTUSER.DAT: Chứa Registry của User (HKEY_CURRENT_USER)
• AppData: Local, LocalLow, Roaming → chứa dữ liệu ứng dụng, cache
• Folder Redirection: Chuyển Documents về File Server → giảm profile size → giảm slow logon khi dùng Roaming Profile
• Cấu hình: User Configuration → Windows Settings → Folder Redirection → Documents → đường dẫn UNC

• Logon Script: net use Z: \\SERVER\DATA /persistent:yes. GPO Preferences Drive Maps linh hoạt hơn
• Home Folder: Thư mục cá nhân tập trung trên File Server, mỗi User có riêng, dễ backup/quota
• AppLocker: Kiểm soát ứng dụng. Rule dựa trên Publisher, Path, Hash. Luôn Audit trước → rồi mới Enforce

• Tổ chức máy vào OU LAB, GPO riêng, hạn chế Local Admin
• Dùng Mandatory Profile hoặc cơ chế restore image/snapshot
• Kiểm soát phần mềm bằng AppLocker, định kỳ cập nhật
• Profile Cleanup: Xác định profile cũ/không dùng → backup/bàn giao → xóa theo tiêu chí → loại trừ Profile hệ thống

#	Chương	Đáp án
(1)	Ch.1	Desktop Experience (GUI)
(2)	Ch.1	Server Core
(3)	Ch.2	Organizational Unit (OU)
(4)	Ch.2	Domain Tree
(5)	Ch.3	New-ADUser
(6)	Ch.3	Add-ADGroupMember
(7)	Ch.4	Account Lockout Policy
(8)	Ch.4	gpupdate /force
(9)	Ch.5	2 (ổ đĩa)
(10)	Ch.5	1000 GB (= (3−1)×500)
(11)	Ch.6	Differential Backup
(12)	Ch.6	System State Backup
(13)	Ch.7	Read
(14)	Ch.7	Access-Based Enumeration (ABE)
(15)	Ch.8	Mandatory Profile
(16)	Ch.8	Home Folder

#	Mục đích	Đáp án
(1)	Tạo OU	New-ADOrganizationalUnit
(2)	Tạo Group	New-ADGroup
(3)	Tạo User	New-ADUser
(4)	Đưa User vào Group	Add-ADGroupMember -Identity GV -Members anlv
(5)	Liệt kê User trong OU	Get-ADUser -Filter * -SearchBase "ou=GIANGVIEN,dc=caothang,dc=edu,dc=vn"
(6)	Xem thông tin User	Get-ADUser -Identity anlv

Thông số: Tốc độ đồng bộ Profile = 10 MB/s, chi phí nhân công = 1.000.000 VNĐ/giờ

1. Tổng chi phí nhân công:
Thời gian = 1,5h (cài đặt) + 0,5h (cấu hình AD) + 0,25h × 3 User (Home Folder) = 2,75 giờ
Chi phí = 2,75 × 1.000.000 = 2.750.000 VNĐ

2. Thời gian khóa tài khoản:
Account Lockout Duration = 56 giờ → Tài khoản bị khóa = 56 giờ

3. Dung lượng RAID-5:
3 ổ × 300 GB → (3−1) × 300 = 600 GB

4. Thời gian đồng bộ Profile:
200 MB ÷ 10 MB/s = 20 giây

1. Số DC tối thiểu:
1200 users ÷ 500 = 2,4 → làm tròn lên = 3 DC
(4 chi nhánh → 4 DC nếu tính theo chi nhánh, nhưng tối thiểu theo user = 3)

2. Dung lượng ổ đĩa Home Folder:
500 users × 2,5 GB = 1.250 GB
Dự phòng 20% = 1.250 × 0,2 = 250 GB
Tổng = 1.250 + 250 = 1.500 GB

Loại	Công thức
RAID-5	(N − 1) × dung lượng ổ nhỏ nhất
Mirrored	Dung lượng ổ nhỏ nhất
Chi phí nhân công	Tổng giờ × đơn giá/giờ
Thời gian đồng bộ	Kích thước Profile ÷ tốc độ truyền
Account Lockout	Theo Duration đã cấu hình (không phụ thuộc số lần sai)
Dung lượng + dự phòng	Tổng dung lượng × (1 + % dự phòng)