Windows Server 2003 元件與程式管理全解析：從安裝協定到安全基線強化

一、Windows 元件安裝與移除

「控制台 → 新增/移除程式 → 新增/移除 Windows 元件」啟動元件精靈。核心元件清單（視版本而異）：

• 附屬應用程式與工具、憑證服務、傳真服務、索引服務、Internet Explorer、IIS、管理與監視工具、訊息佇列、網路服務（含 DHCP、DNS、WINS）、其他網路檔案與列印服務、POP3 服務、遠端安裝服務、遠端儲存、終端機服務、終端機服務授權、UDDI 服務、更新根憑證、Windows 媒體服務。

操作：核取→安裝；取消核取→移除。帶陰影核取方塊表示僅安裝部分子元件，點「詳細資料」可細粒度選擇（如網路服務下的 DHCP）。安裝過程需插入 Windows Server 2003 光碟。

範例：安裝 DHCP 服務

1. 元件清單選「網路服務」→「詳細資料」→ 核取「動態主機設定協定 (DHCP)」→ 確定 → 下一步 → 插入光碟 → 完成。

二、外部程式安裝來源支援

• CD/軟碟：精靈 →「光碟或軟碟」→ 插入媒體 → 下一步 → 依畫面指示。
• 網路：精靈 →「網路」→ 指定 UNC 路徑（如 \\Server\Share\Setup.exe）。Windows Installer 會在檔案遺失/損壞或功能未安裝時自動提示插入原始媒體。

三、從 Windows NT 4.0 升級後套用 Windows Server 2003 安全基線 (ACL)

1. mmc → 加入「安全性設定與分析」嵌入式管理單元。
2. 右鍵 →「開啟資料庫」→ 命名（如 upgdbase） → 匯入範本 Setup Security.inf。
3. 右鍵 →「立即分析電腦」→ 接受預設錯誤日誌路徑。
4. 檢視結果：綠色勾號=符合；紅色 X=不符；無標記=未定義。展開帳號原則、本機原則、事件記錄、受限群組、系統服務逐項比對。
5. 視需求修改資料庫設定（右鍵屬性 → 核取「在資料庫中定義此原則」→ 變更數值）。
6. 右鍵 →「立即設定電腦」套用，衝突項將覆寫既有設定（建議先備份）。

四、工作群組環境：對非管理員套用本機群組原則

1. gpedit.msc →「使用者設定 → 系統管理範本」啟用所需限制（如隱藏網路鄰居、IE 圖示）。切勿誤限制管理員登入能力。
2. 關閉編輯器，以管理員登入驗證（預設原則亦套用管理員）。
3. 登出，依序以每位受限使用者登入一次（產生其 Registry.pol）。
4. 以管理員登入，啟用隱藏檔案顯示，備份 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
5. 再次開啟原則，將步驟 1 啟用的項目改為「未設定」（管理員恢復無限制）。
6. 關閉編輯器，將備份的 Registry.pol 覆寫回原位置（確認取代）。
7. 登出，以管理員登入驗證無限制；再以一般使用者登入驗證受限生效。

還原： 刪除/重命名 Registry.pol 重開機 → 開啟原則編輯器將所有項目設為「未設定」。

五、使用 NetShell 重設 TCP/IP 協定堆疊

TCP/IP 為核心元件無法解除安裝，網路異常時可重設：

netsh int ip reset resetlog.txt

效果等同重裝 TCP/IP，重寫登錄機碼：

• SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
• SYSTEM\CurrentControlSet\Services\DHCP\Parameters

日誌範例記錄 reset、added、deleted、old REG_* 等操作，供審計追蹤。int 為 interface 縮寫；netsh int ip reset ? 可查詢說明。

六、Sysprep 執行前植入自訂使用者設定

1. 建立測試帳號 Testuser 並加入 Administrators。
2. 以 Testuser 登入，自訂電源選項、桌面圖示大小等使用者層級設定。
3. 登出，管理員登入 →「系統內容 → 進階 → 使用者設定檔 → 設定」，將 Testuser 設定檔複製到 Default User，允許「Everyone」使用。
4. 刪除 Testuser，啟動 Sysprep。

此法僅適用於儲存於使用者設定檔的設定（如工作列自動隱藏、開始功能表小圖示），不適用於系統層級設定。

七、停用傳入 RAS/VPN 連線的 NetBT Proxy

1. regedit 定位 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Remoteaccess\Parameters\Ip\EnableNebtBcastFwd。
2. 值改為 0，重開機生效。預設啟用時 EnableProxy=2（位於 Netbt\Parameters）。

八、部署匿名存取的 IIS Web 伺服器

1. 安裝 IIS：元件精靈 →「Web 應用程式伺服器 → 詳細資料 → IIS → World Wide Web 服務 → 詳細資料」選擇 ASP、遠端管理 (HTML) 等子元件。
2. IIS 管理員 →「Web 網站 → 內容 → 目錄安全性 → 編輯」，勾選「啟用匿名存取」（帳號 IUSR_機器名）與「整合式 Windows 驗證」。
3. 「Web 網站/效能/主目錄」設定 IP、頻寬限制、連線數、實體路徑（建議 C:\Inetpub\wwwroot 非根目錄）、重新導向 URL 等。

九、系統效能監視與警示基準計數器

「系統監視器」加入計數器，「效能記錄與警示」建立警示規則（一般/動作/排程索引標籤）。建議最小監視集合：

警示動作可：記錄應用程式事件、發送網路訊息、啟動效能記錄、執行指定程式。排程索引標籤可設定自動啟動/停止時間。

十、總結與最佳實踐建議

1. 元件按需安裝：減少攻擊面，僅啟用業務必要服務（如 DHCP、DNS、IIS）。
2. 升級後必套 ACL：NT 4.0 升級保留舊權限模型，必須套用 Setup Security.inf 基線。
3. 原則最小權限：工作群組環境善用 Registry.pol 技巧隔離管理員與一般使用者權限。
4. 網路異常先重設 TCP/IP：netsh int ip reset 為無損修復首選動作。
5. Sysprep 映像標準化：植入 Default User 設定檔確保新用戶體驗一致性。
6. 關閉非必要協議代理：如非 NetBIOS 環境，停用 RAS/VPN NetBT Proxy 減少廣播風暴。
7. IIS 匿名存取最小化：僅啟用必要驗證方式，主目錄避開系統根目錄。
8. 效能監視常態化：建立基準計數器集合與警示門檻，異常早發現早處理。

掌握上述核心管理技能，可將 Windows Server 2003 打造為安全、穩定、易維運的企業級應用平台。