Prostředky (resources) jsou např. úseky paměti, které dané zařízení používá (nejčastěji pro V/V a komunikaci). Pokročilá nastavení zařízení jsou často např. u (bezdrátových) síťových karet. Ve vlastnostech zařízení jsou uvedeny (kromě jiného) různé identifikátory zařízení, jenž jsou potřeba např. při konfiguraci některých zásad v zásadách skupiny. Vzdálený přístup k RPC rozhraní Plug and Play byl odebrán ve Windows 8 / Windows Server 2012; Správce zařízení připojený ke vzdálenému počítači (např. přes Správu počítače) skončí chybou „Access denied“. Vzdáleně se dnes zařízení spravují přes PowerShell remoting: Invoke-Command -ComputerName PC01 { Get-PnpDevice -Status Error } nebo přes pnputil ve vzdálené relaci (Enter-PSSession). Windows 11 nabízí běžnému uživateli přehled zařízení v Nastavení > Bluetooth a zařízení (Bluetooth, tiskárny, myš, dotykové zařízení, USB); odkaz „Další nastavení zařízení a tiskárny“ tam otevírá klasické Zařízení a tiskárny, ne Správce zařízení. Správce zařízení zůstává nástrojem správce; z Nastavení je odkazován ze stránky Systém > O systému (Související odkazy / Související nastavení – popisek ověřit na 25H2). Zdroj: https://www.digitalcitizen.life/ways-open-device-manager-windows/ Zdroj: https://learn.microsoft.com/en-us/troubleshoot/windows-server/system-management-components/error-connect-device-manager-remotely Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/install/viewing-hidden-devices

Na záložce Podrobnosti lze nalézt detailní informace o daném zařízení, jako je třeba jeho ID hardwaru, ID kompatibility nebo ID instance zařízení, podle kterých se např. určuje, který ovladač pro dané zařízení nainstalovat nebo zda se má vůbec instalace ovladače povolit (zásady omezení instalace zařízení). Na záložce Upřesnit lze nalézt pokročilé možnosti nastavení konkrétního zařízení, které se obecně liší pro každé zařízení. Pro bezdrátové síťové karty je například zajímavé nastavení bezdrátového režimu nebo vysílací energie, jenž může často pomoci při problémech se slabým signálem nebo s automatickým výběrem bezdrátového režimu, který část zařízení kolem nepodporuje. Snímky jsou z Windows 11 24H2 (síťový adaptér Microsoft Hyper-V).

Dříve se stávalo, že více zařízení využívalo stejné IRQ a docházelo ke konfliktům, dnes lze IRQ sdílet mezi více zařízeními (u PCIe se používají MSI/MSI-X přerušení, konflikty prakticky nevznikají). Konfliktní rozsahy paměti mezi různými zařízeními často vedly k BSOD. Záložka Řízení spotřeby: „Povolit počítači vypínat zařízení z důvodu úspory energie“ a „Povolit zařízení probouzet počítač“ – totéž lze nastavit z příkazové řádky pomocí powercfg /deviceenablewake a /devicedisablewake (viz část Správa napájení). Snímek Prostředky: Správce zařízení › Zobrazit › Prostředky podle typu (syntetická zařízení Hyper-V záložku Prostředky ve vlastnostech nemají); snímek Řízení spotřeby: vstupní zařízení HID (Windows 11 24H2). Ukázat Správce zařízení: Zobrazení podle připojení je výhodné např. při zjišťovaní, ke kterému USB rozbočovači je připojeno nějaké zařízení. Pod skrytými zařízeními jsou hlavně nízkoúrovňové ovladače jádra a jiné non-PnP ovladače a dále zařízení, která už nejsou připojena (non-present devices). V podrobnostech o ovladači lze nalézt cesty k souborům ovladače.

Každý ovladač má ve svém .inf souboru uloženy identifikátory (ID hardwaru, ID kompatibility), jenž určují, pro které zařízení je určen. Pokud vyhovuje více ovladačů, vybírá se podle hodnocení (rank): přesnější shoda ID a podepsaný ovladač vyhrávají, datum a verze rozhodují až poté. Kandidáty pro konkrétní zařízení vypíše pnputil /enum-devices /instanceid <ID> /drivers. DCH (Declarative, Componentized, Hardware Support Apps) jsou zásady návrhu ovladačů zavedené s Windows 10: instalace jen deklarativními direktivami INF (žádné co-installery), oddělení základního ovladače od rozšíření OEM a UI výrobce dodávané jako aplikace z Microsoft Store (HSA). Takové ovladače je možné servisovat nezávisle na OS a jsou základem pro distribuci přes Windows Update. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/develop/windows-driver-types Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/pnputil-command-syntax

Ve Windows 10/11 se ovladače z Windows Update dělí na „automatické“ (výrobce je označil jako povinné/doporučené – nainstalují se v rámci běžného vyhledávání aktualizací) a „manuální“ (zobrazí se ve Volitelných aktualizacích a uživatel si je musí vybrat). Windows Update také automaticky hledá ovladač při připojení nového zařízení, pro které není ovladač v úložišti. Na měřených připojeních (metered connection) Windows aktualizace ovladačů nestahuje – platí od Windows 8. Zásada „Do not include drivers with Windows Updates“ (Konfigurace počítače > Šablony pro správu > Součásti systému Windows > Windows Update > Správa aktualizací nabízených ze služby Windows Update; registr HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\ExcludeWUDriversInQualityUpdate=1) vyloučí ovladače z kvalitativních aktualizací; ovladače nutné pro upgrade funkce se mohou nainstalovat i tak. Český název zásady v editoru ověřit na stanici. Intune: Zařízení > Windows > Zásady aktualizací ovladačů (Windows driver update policies) – Intune předá schválené ovladače službě Windows Autopatch / Windows Update for Business deployment service, která řídí Windows Update na zařízeních. Režim automatického schvalování nasadí každý nový „doporučený“ ovladač po zvolené prodlevě; ruční režim vyžaduje schválení správcem. Vyžaduje Microsoft Entra joined / hybrid joined zařízení a odesílání diagnostických dat alespoň na úrovni Required. WSUS: v červnu 2024 Microsoft oznámil konec synchronizace ovladačů do WSUS k 18. 4. 2025; 7. 4. 2025 na základě zpětné vazby rozhodnutí odložil a synchronizace ovladačů pokračuje (WSUS jako celek je deprecated od 9/2024, viz L12). Zdroj: https://learn.microsoft.com/en-us/windows/deployment/update/waas-wu-settings Zdroj: https://learn.microsoft.com/en-us/intune/device-updates/windows/manage-driver-updates Zdroj: https://techcommunity.microsoft.com/blog/windows-itpro-blog/continuing-wsus-support-for-driver-synchronization/4401042

Dialog Nastavení instalace zařízení se od Windows 10 ptá jen na to, zda stahovat aplikace výrobců a vlastní ikony pro zařízení (dnes typicky Hardware Support Apps z Microsoft Store párované s DCH ovladačem). Samotné ovladače tímto dialogem vypnout nelze – k tomu slouží zásada Do not include drivers with Windows Updates (předchozí snímek). Historie: ve Windows 7/8 zde byly volby „provádět automaticky“ / „ručně zvolit – vždy instalovat nejnovější z Windows Update / nikdy neinstalovat z Windows Update“. Snímek je z Windows 11 24H2.

Ve Windows Vista mohli do úložiště ovladačů přidávat ovladače standardní uživatelé jen pokud to bylo povoleno v zásadách skupiny, jelikož přidávaní ovladačů do úložiště probíhalo v kontextu administrátora. Od Windows 7 probíhá přidávání ovladačů z Windows Update nebo adresářů do úložiště ovladačů v kontextu systému a není potřeba mít oprávnění správce – to platí i ve Windows 11. Klíč DevicePath (výchozí %SystemRoot%\inf) se používá např. při přípravě bitových kopií s vlastními ovladači (viz L03) – doplní se do něj cesta ke sdílenému adresáři s ovladači; alternativou je DISM /Add-Driver do offline obrazu. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/install/driver-store

Postup platí beze změny i pro Windows 11: PnP manažer nejdříve prohledá úložiště ovladačů, pak (pokud je to povoleno a připojení není měřené) Windows Update a adresáře v DevicePath; nalezený lepší ovladač se nejprve nastaguje do úložiště a až z něj se instaluje. Instalace samotná probíhá vždy jen z úložiště ovladačů. Ověření podpisu zabraňuje standardnímu uživateli vložit pochybný ovladač do úložiště ovladačů. Historie: u Windows Vista se mezi stažením ovladače a ověřením podpisu ještě ověřovalo, zda má uživatel oprávnění vložit daný ovladač do úložiště. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/install/how-windows-selects-a-driver-for-a-device

pnputil je od Windows 10 1607 plnohodnotný nástroj pro úložiště ovladačů (dříve jen -a/-d/-e), od 1903 vypisuje zařízení (/enum-devices), od 2004 umí zařízení zakázat/povolit/restartovat/odebrat a vyvolat hledání změn hardwaru (/scan-devices), od Windows 11 22H2 filtruje podle třídy a sběrnice a ve 23H2 přibylo /enum-devicetree a /enum-containers. Legacy syntaxe (-a, -d, -e) stále funguje. Typický scénář: po reinstalaci Windows chybí ovladač síťové karty – před reinstalací pnputil /export-driver * D:\Drivers, po ní pnputil /add-driver D:\Drivers\*.inf /subdirs /install. Pokud ovladač odinstalujeme jen ve Správci zařízení, systém ho při první příležitosti nainstaluje zpět z úložiště; je potřeba zaškrtnout „Odstranit software ovladače pro toto zařízení“ nebo použít pnputil /delete-driver … /uninstall. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/pnputil-command-syntax Zdroj: https://learn.microsoft.com/en-us/powershell/module/pnpdevice/

Nelze omezovat vkládání ovladačů do úložiště ovladačů, to může provádět kterýkoliv uživatel (pokud je ovladač podepsán). Omezuje se až instalace ovladače k zařízení. Zásady s ID instance zařízení (Allow/Prevent installation of devices that match any of these device instance IDs) přibyly ve Windows 10 1809 – umožňují povolit jeden konkrétní kus hardwaru (např. jeden USB flash disk podle sériového čísla), zatímco zbytek třídy je zakázán. Zásada „Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria“ (doplněna kumulativní aktualizací z července 2021 (volitelná) / srpna 2021 do všech tehdy podporovaných Windows 10, tj. ADMX 1903+; Windows 11 ji má od začátku – „1809“ v příručce je jen dolní hranice podporovaných verzí): ve výchozím stavu má každé „Zakázat“ přednost před jakýmkoliv „Povolit“; po zapnutí platí hierarchie ID instance zařízení > ID zařízení > třída zařízení > vyměnitelná zařízení, takže konkrétnější pravidlo přepíše obecnější (typický scénář: zakázat všechna USB úložiště, povolit jeden firemní disk). Microsoft ji doporučuje v praxi zapnout. Český název zásady v editoru ověřit na stanici. V Intune jsou stejné zásady dostupné v katalogu nastavení (Device Installation) a přes Policy CSP DeviceInstallation; pro USB úložiště se dnes častěji používá Device Control v Microsoft Defender for Endpoint. Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/manage-device-installation-with-group-policy Zdroj: https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-deviceinstallation Zdroj: https://techcommunity.microsoft.com/blog/windows-itpro-blog/introducing-the-ability-to-apply-layered-group-policy/2608462

Snímek je z Windows 11 24H2 (Editor místních zásad skupiny). Oproti původním 10 zásadám z Windows 8 jsou ve složce navíc zásady pro ID instance zařízení (povolit/zakázat) a zásada „Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria“.

Postup odpovídá výchozímu chování i ve Windows 11. Vrstvené vyhodnocení (layered order) umožňuje výjimky: např. zásada „Zakázat instalaci zařízení pro tyto třídy“ s GUID třídy USB úložišť a současně „Povolit instalaci zařízení odpovídajících těmto ID instance“ s jedním konkrétním diskem – ve výchozím režimu by zákaz vyhrál, ve vrstveném režimu vítězí konkrétnější ID instance. Zdroj: https://learn.microsoft.com/en-us/windows/client-management/client-tools/manage-device-installation-with-group-policy

Ve Windows XP se uvádělo, že 90–95 % BSOD bylo způsobeno chybnými ovladači; dnes je díky podepisování, Driver Verifier a HVCI podíl výrazně nižší, přesto zůstávají ovladače hlavní příčinou pádů jádra. Poslední známá funkční konfigurace (záloha větve registru CurrentControlSet při úspěšném přihlášení, návrat přes F8) byla ve Windows 8 z nabídky spouštění odebrána ve prospěch automatické Opravy spouštění, Obnovení systému a Nouzového režimu; ve Windows 11 ji lze technicky znovu zapnout klíčem registru, Microsoft to ale nepodporuje. Rychlé spuštění a Modern Standby navíc znamenají, že klasické F8 menu není dostupné – do WinRE se vstupuje přes Nastavení > Systém > Obnovení > Spuštění s upřesněným nastavením > Restartovat nyní, přes Shift+Restartovat, nebo automaticky po dvou neúspěšných startech. Pokud odinstalujeme ovladač, systém ho při první příležitosti nainstaluje zpět, pokud ho zároveň neodebereme z úložiště ovladačů (pnputil /delete-driver oemNN.inf /uninstall). Navrácení ovladače: Vlastnosti zařízení > karta Ovladač > Vrátit zpět ovladač; Windows si uchovává jen jednu předchozí verzi. Zdroj: https://support.microsoft.com/cs-cz/windows/aktualizace-ovladac%C5%AF-ve-windows-ec62f46c-ff14-c91d-eead-d7126dc1f7b6

Simulace dlouhého vyřizování V/V požadavků se provádí vložením velké časové prodlevy mezi zasláním požadavku na fyzické zařízení a vyřízením požadavku tímto zařízením. Tato simulace není součástí standardních testů, jelikož některé ovladače vyžadují rychlé vyřizování V/V požadavků pro svou správnou činnost. Driver Verifier je určen pro vývoj a ladění ovladačů; na produkčním počítači může způsobit pád při startu. Pokud systém po zapnutí ověřovače nenastartuje, vypnout ho lze v nouzovém režimu příkazem verifier /reset nebo z WinRE (příkazový řádek). WHQL = Windows Hardware Quality Labs – historický název; dnes Windows Hardware Compatibility Program (WHCP) s testy Windows Hardware Lab Kit (HLK). Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/driver-verifier

Překladové registry provádějí mapování mezi fyzickým a logickým paměťovým prostorem. Novější testy zahrnují např. „DDI compliance checking“ (správné použití funkcí jádra) a „Code integrity checks“ – ověření, že ovladač nealokuje paměť spustitelnou i zapisovatelnou zároveň, což je požadavek pro kompatibilitu s HVCI / Integritou paměti (viz snímek Podpisy ovladačů). Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/driver-verifier-options

Namísto konkrétních ovladačů lze vybrat všechny pomocí přepínače /all – to však typicky vede k velmi pomalému systému a pádům, doporučuje se ověřovat jen podezřelé ovladače třetích stran. Bez parametrů se verifier spustí jako grafický průvodce – ten (verifiergui.exe) je od 5/2024 zastaralý, Microsoft doporučuje jen příkazovou řádku verifier.exe. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features (Driver Verifier GUI) U simulace nedostatku prostředků lze nastavovat i např. u které aplikace může dojít k nedostatku prostředků, jaká je pravděpodobnost, že selže alokace paměti apod. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/driver-verifier-command-syntax

Od Windows 10 1607 (se zapnutým Secure Boot) nenačte Windows nové ovladače režimu jádra, které nejsou podepsány přes Windows Hardware Dev Center (Dev Portal). Výjimky: počítač upgradovaný z dřívější verze, Secure Boot vypnutý, nebo ovladač podepsaný certifikátem vydaným před 29. 7. 2015 s cross-certifikátem Microsoftu. Windows 11 vyžaduje UEFI Secure Boot jako hardwarový požadavek, takže v praxi platí pravidlo bez výjimky. Cesty k podpisu: (a) certifikace WHCP – výrobce spustí testy Hardware Lab Kit (HLK), odešle logy a ovladač na portál, Microsoft podepíše; (b) attestation signing – výrobce jen deklaruje, že ovladač otestoval, podpis platí pouze pro klientské Windows 10/11 (ne Windows Server); (c) testovací podpis pro vývoj. Pro založení účtu na portálu je nutný EV (Extended Validation) code-signing certifikát. HVCI (Hypervisor-protected Code Integrity, v Nastavení „Integrita paměti“ pod Izolací jádra) běží ověřování integrity kódu v odděleném prostředí VBS; ovladač musí splnit pravidla (např. žádná paměť současně zapisovatelná i spustitelná). Nekompatibilní ovladač Windows nenačte a Zabezpečení Windows ho zobrazí v seznamu „Nekompatibilní ovladače“. Na nových instalacích Windows 11 (22H2+) je integrita paměti zapnuta ve výchozím stavu; Windows 11 24H2 přinesla dalších rozšíření VBS. Microsoft Vulnerable Driver Blocklist: seznam podepsaných, ale zranitelných ovladačů (používaných útoky typu BYOVD), který Windows blokuje; ve Windows 11 22H2+ je zapnut ve výchozím stavu a je součástí App Control for Business. Při zakázání vynucení podpisu ovladače (položka 7 v Nastavení spouštění) se počítač spouští v tzv. testovacím režimu (test mode) – na ploše se zobrazuje vodoznak. Se zapnutým Secure Boot nelze bcdedit /set testsigning on použít. V doménách lze nepodepsané ovladače podepsat vlastním certifikátem jen pro PnP instalaci (katalog), ovladač režimu jádra to však nezavede – k tomu je nutný podpis Microsoftu (nebo testovací režim). Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/install/kernel-mode-code-signing-policy--windows-vista-and-later- Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/design/microsoft-recommended-driver-block-rules Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-hvci-enablement

sigverif kontroluje podpisy systémových souborů a ovladačů a výsledek zapíše do %SystemRoot%\sigverif.txt. Get-AuthenticodeSignature vrací pro každý soubor stav (Valid / NotSigned / HashMismatch) a certifikát podepisujícího – vhodné pro hromadnou kontrolu v Invoke-Command na více počítačích. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/driverquery

Windows 11 má správu disků na dvou místech: moderní Nastavení > Systém > Úložiště > Upřesnit nastavení úložiště > Disky a svazky (vytvoření/zmenšení/formátování svazku, změna písmene, Dev Drive, vlastnosti disku) a klasickou MMC konzoli Správa disků, která zůstává nezbytná pro dynamické disky, VHD a některé speciální operace. diskpart a Správa disků stojí na Virtual Disk Service (VDS), kterou Microsoft postupně nahrazuje Windows Storage Management API (WMI, namespace ROOT\Microsoft\Windows\Storage) – nad ní stojí PowerShell modul Storage i Nastavení. Nové funkce (fondy Storage Spaces, Dev Drive) jsou dostupné jen novým API – diskpart je nevytvoří; svazek ReFS naformátovat umí (format fs=refs, kde to edice dovolí). Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/format (/FS: FAT, FAT32, NTFS, exFAT, ReFS, UDF) Cvičení E02 používá diskpart pro GPT rozdělení disku před nasazením obrazu; stejný postup v PowerShellu: Get-Disk 0 | Clear-Disk -RemoveData; Initialize-Disk 0 -PartitionStyle GPT; New-Partition -DiskNumber 0 -Size 100MB -GptType '{c12a7328-f81f-11d2-ba4b-00a0c93ec93b}' … (viz L02). Zdroj: https://learn.microsoft.com/en-us/powershell/module/storage/ Zdroj: https://learn.microsoft.com/en-us/windows/compatibility/vds-is-transitioning-to-windows-storage-management-api

Storage Sense (v české lokalizaci Windows 11 „Smart úložiště“; web podpory Microsoftu překládá i jako „Inteligentní úložiště“) je ve Windows 10 1703+ a Windows 11 v Nastavení > Systém > Úložiště. Lze ho spouštět automaticky (denně/týdně/měsíčně/při nedostatku místa), nastavit mazání souborů v koši a ve složce Stažené soubory po N dnech a převod dlouho nepoužívaných souborů OneDrive na „pouze online“ (Soubory na vyžádání). Řídit ho lze zásadami skupiny (Konfigurace počítače > Šablony pro správu > Systém > Storage Sense) i přes Intune (Storage CSP). Vyčištění disku (cleanmgr.exe) není označeno za zastaralé a je stále součástí Windows 11; jeho funkce jsou postupně přebírány stránkou Úložiště v Nastavení (Doporučení k vyčištění, Dočasné soubory), kde je i mazání předchozích instalací Windows (Windows.old) a souborů optimalizace doručení. Zdroj: https://support.microsoft.com/cs-cz/windows/uvoln%C4%9Bn%C3%AD-m%C3%ADsta-na-disku-ve-windows-85529ccb-c365-490d-b548-831022bc9b32 Zdroj: https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-storage

Úloha Optimalizace jednotek je předpřipravena v Plánovači úloh (Microsoft\Windows\Defrag\ScheduledDefrag) a spouští se v rámci automatické údržby, typicky týdně, jen při napájení ze sítě. U SSD provádí naplánovaná úloha retrim a jednou měsíčně také „tradiční“ defragmentaci (kvůli fragmentaci metadat NTFS a limitu fragmentů souboru); ruční klasická defragmentace SSD ale není žádoucí. TRIM je u SSD zapnut ve výchozím stavu (ověření: fsutil behavior query DisableDeleteNotify – hodnota 0 znamená TRIM zapnut). Retrim posílá hinty znovu pro všechny volné bloky, což pomáhá řadiči SSD s garbage collection. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/defrag

Nástroj defrag používají jak naplánovaná úloha, tak grafický nástroj Defragmentovat a optimalizovat jednotky (dfrgui.exe, dostupný i z vlastností svazku > Nástroje > Optimalizovat). Svazek musí mít alespoň 15 % volného místa, aby defragmentace proběhla úplně. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/defrag Zdroj: https://learn.microsoft.com/en-us/powershell/module/storage/optimize-volume

chkdsk lze použít pro NTFS i FAT/FAT32/exFAT oddíly, některé přepínače (/scan, /spotfix, /b, /i, /c, /l) jsou k dispozici pouze pro NTFS. Od Windows 8 je chkdsk výrazně rychlejší díky: (1) vylepšenému samoopravování – NTFS automaticky opravuje řadu chyb bez nutnosti chkdsk; (2) online analýze – dřívější zdlouhavá analytická fáze běží na pozadí za běhu (chkdsk /scan), přechodné chyby se ignorují; (3) spot fixing – nalezené chyby se zapíší do fronty ($corrupt) a oprava (chkdsk /spotfix, resp. při restartu) trvá jen sekundy, protože se opravují jen zaznamenané chyby, ne celý svazek. Grafické „Kontrola chyb“ ve vlastnostech svazku > Nástroje používá stejný mechanismus. Na SSD není opakované chkdsk /r škodlivé, ale zbytečně zvyšuje počet zápisů; chybné sektory řeší firmware SSD. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/chkdsk Zdroj: https://learn.microsoft.com/en-us/powershell/module/storage/repair-volume

WPD (Windows Portable Device). Zásady Přístup k vyměnitelnému úložišti existují beze změny ve Windows 11 a jsou i v Intune (katalog nastavení > Administrative Templates > System > Removable Storage Access, resp. Policy CSP RemovableStorageDevices). Omezují až přístup k souborovému systému zařízení; instalaci zařízení řeší zásady z první části přednášky. Device Control v Microsoft Defender for Endpoint umožňuje jemnější pravidla (konkrétní výrobce, model, sériové číslo, jen čtení, audit s hlášením do portálu) a je dnes doporučovaným řešením pro USB úložiště v Intune-spravovaném prostředí. Zásada BitLocker „Odepřít přístup pro zápis na vyměnitelné jednotky, které nejsou chráněny nástrojem BitLocker“ (viz L06) vynutí šifrování všech USB disků, na které se zapisuje. Zdroj: https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-admx-removablestorage Zdroj: https://learn.microsoft.com/en-us/defender-endpoint/device-control-overview

Omezování přístupu se týká celého počítače (tzn. všech uživatelů na počítači včetně správců); stejné zásady existují i v Konfiguraci uživatele. Snímek je z Windows 11 24H2 (složka Přístup k vyměnitelnému úložišti).

Rozšířené oddíly mohou obsahovat maximálně (asi) 63 logických oddílů. U MBR disků je uložena velikost oddílu jako 32-bitové číslo sektorů po 512 B, tedy 2^32 × 512 B = 2 TiB (≈ 2,2 TB). Disky s 4K nativními sektory mohou být v MBR větší, Windows je ale zavádí jen z GPT. Informace o logických oddílech uvnitř rozšířených oddílů jsou uloženy na začátku každého rozšířeného oddílu, tedy mimo MBR. GPT vznikl v rámci specifikace EFI (Intel, konec 90. let). Ochranný MBR (protective MBR) v LBA 0 obsahuje jediný oddíl typu 0xEE přes celý disk, aby staré nástroje disk nepřepsaly. Hlavička GPT je v LBA 1, položky oddílů (128 × 128 B = 16 KiB) v LBA 2–33; kopie hlavičky a tabulky je na konci disku. Teoretický limit 2^64 sektorů × 512 B ≈ 9,4 ZB. Windows 11 vyžaduje UEFI se Secure Boot (hardwarový požadavek), instalátor proto vytváří GPT rozložení: EFI systémový oddíl (100 MB, FAT32), MSR (16 MB), oddíl Windows a oddíl nástrojů pro obnovení (WinRE, u 24H2 nejméně 250 MB navíc kvůli aktualizacím WinRE). Stejné rozložení se vytváří v cvičení E02 (diskpart). Základní vs. dynamický disk je odlišný koncept (typ úložiště, storage type) než styl oddílů – oba typy úložiště mohou používat MBR i GPT. Zdroj: https://learn.microsoft.com/en-us/windows/win32/fileio/basic-and-dynamic-disks Zdroj: https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/configure-uefigpt-based-hard-drive-partitions

mbr2gpt.exe převede systémový disk z MBR na GPT na místě: zmenší oddíl Windows, vytvoří EFI systémový oddíl a MSR, nakopíruje zavaděč a upraví BCD; po převodu je nutné ve firmwaru přepnout z legacy BIOS/CSM na UEFI. Podmínky: nejvýše 3 primární oddíly, žádný rozšířený/logický, dostatek místa pro ESP, disk s Windows 10 1703+ / Windows 11. Použití: nejprve /validate, poté /convert; z běžícího systému s přepínačem /allowFullOS, jinak z WinPE. Typický scénář: příprava starších stanic na upgrade na Windows 11 (UEFI + Secure Boot + TPM 2.0). Převod základního disku na dynamický (a zpět) je stále možný, ale vzhledem k zastaralosti dynamických disků se nedoporučuje; zpět na základní disk lze převést jen prázdný disk (všechny svazky musí být smazány). Zdroj: https://learn.microsoft.com/en-us/windows/deployment/mbr-to-gpt Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/disk-management/change-a-dynamic-disk-back-to-a-basic-disk

Zdroj deprecace: „For all usages except mirror boot volumes (using a mirror volume to host the operating system), dynamic disks are deprecated. For data that requires resiliency against drive failure, use Storage Spaces.“ Dynamické disky stojí na LDM a Virtual Disk Service (VDS), které Microsoft od Windows 8 / Server 2012 nahrazuje Windows Storage Management API; diskpart, Správa disků a dynamické disky zůstávají kvůli kompatibilitě. Při rozdělování disku ve Správě disků nechává systém na konci disku cca 1 MB (dříve 8 MB) volného místa pro případ, že by byl disk někdy konvertován na dynamický disk. V případě, že se připojí dynamický disk k počítači bez dynamických disků (a ten přebere jeho skupinu disku) a následně se připojí zpět k původnímu počítači (kde je stejná skupina disku), může dojít k problémům s dynamickými disky. Není oficiální postup jak tuto situaci řešit, nejčastěji se přepisuje skupina disku na počítači v registru; Microsoft negarantuje, že to bude fungovat. Zdroj: https://learn.microsoft.com/en-us/windows/win32/fileio/basic-and-dynamic-disks Zdroj: https://learn.microsoft.com/en-us/windows/compatibility/vds-is-transitioning-to-windows-storage-management-api

Nástroj diskpart při pokusu vytvořit svazek typu RAID-5 na klientských Windows (7 až 11) hlásí chybu, že tento typ svazku není na daném OS podporován; ve Správě disků je volba „Nový svazek RAID-5“ zašedlá. Na klientu jsou dostupné jednoduché, rozložené, prokládané a zrcadlené svazky (zrcadlené ne v edici Home – neověřeno v dokumentaci, vychází z dotazů na Microsoft Q&A). Svazky naformátované jako FAT/FAT32 nelze rozšířit; rozšíření vyžaduje NTFS (ReFS na dynamických discích není podporován). Zdroj: https://learn.microsoft.com/en-us/windows/win32/fileio/basic-and-dynamic-disks Zdroj: https://learn.microsoft.com/en-gb/answers/questions/1295275/windows-11-home-missing-new-mirror-volume-option

Svazek A je tvořen třemi oblastmi (dvěma na disku 1, jednou na disku 2); data se zapisují postupně – nejprve se zaplní první oblast, potom druhá atd.

Bloky se střídavě zapisují na disk 1 a disk 2, čtení i zápis tak probíhají paralelně. U Prostorů úložišť je „stripe“ tvořen slaby o velikosti 256 MB rozloženými přes všechny disky fondu.

Implementace od MS čte data vždy jen z jednoho disku, z druhého disku čte data jen tehdy, pokud se mu je nepodaří přečíst z prvního disku. Jiné implementace (např. HW implementace) mohou číst ½ dat z jednoho disku a ½ dat z druhého, ale častěji to dělají tak, že přečtou data z obou disků zároveň a porovnají je, zda jsou shodné (aby detekovaly případné chyby při čtení a mohly díky tomu hlásit možné problémy s diskem). U Prostorů úložišť zrcadlení kombinuje kopírování s prokládáním: dvě (tři) kopie každého slabu jsou uloženy na různých discích fondu, přes více než 2 disky se navíc prokládají – dvoucestné zrcadlení tak čte rychleji než jeden disk.

Každý blok je uložen na obou discích; rozložení oblastí na jednotlivých discích se může lišit, důležité je, že celková kapacita oblastí na obou discích je shodná.

Klientské edice Windows (7 až 11) svazky RAID-5 na dynamických discích nepodporují (diskpart hlásí nepodporovaný typ svazku). Ochranu proti selhání disku s paritou nabízí na klientu Prostory úložišť (odolnost Parita). Parita v Prostorech úložišť je vhodná pro sekvenční zápis velkých souborů (archivy, zálohy); pro náhodné zápisy se doporučuje zrcadlení kvůli režii výpočtu parity (read-modify-write). Zdroj: https://support.microsoft.com/en-us/windows/storage-spaces-in-windows-b6c8b540-b8d8-fb8a-e7ab-4a75ba11f9f2

Parita rotuje, aby se vyvážila zátěž jednotlivých disků. Při selhání jednoho disku se chybějící blok dopočítá XORem zbylých bloků a parity.

Fondy úložišť (storage pools) jsou hybridní úložiště, mohou tedy obsahovat interní, USB i virtuální disky zároveň. V rámci jednoho fondu lze také kombinovat pevné i SSD disky. U Windows Server lze navíc využívat kombinace pevných a SSD disků pro Storage Tiers a Write-Back Cache. Storage Tiers umožňují používat SSD disky daného fondu pro uložení dat, ke kterým se často přistupuje, a (pomalejší) pevné disky pro zbylá data; Write-Back Cache kešuje náhodné zápisy na SSD. Storage Spaces Direct (S2D) sdružuje lokální disky více serverů clusteru do jednoho fondu (Azure Stack HCI / Azure Local). Thin provisioning umožňuje vytvářet prostory o velikosti větší než je kapacita obsažených disků. Prostor fyzicky zabírá jen tolik místa, kolik zabírají data; jakmile začne fyzické místo docházet, uživatel je upozorněn a měl by doplnit další disky do fondu. PowerShell: Get-PhysicalDisk -CanPool $true; New-StoragePool -FriendlyName Fond -StorageSubSystemFriendlyName "Windows Storage*" -PhysicalDisks (Get-PhysicalDisk -CanPool $true); New-VirtualDisk -StoragePoolFriendlyName Fond -FriendlyName Data -ResiliencySettingName Mirror -ProvisioningType Thin -Size 2TB; poté Initialize-Disk, New-Partition, Format-Volume. Ukázat lze ve VM v Hyper-V s několika přidanými VHDX (stejně jako na snímcích z Windows 8 – „Virtual HD ATA Device“). Zdroj: https://support.microsoft.com/en-us/windows/storage-spaces-in-windows-b6c8b540-b8d8-fb8a-e7ab-4a75ba11f9f2 Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/storage-spaces/overview

Snímky jsou z ovládacího panelu Prostory úložišť (Windows 11 24H2, dva neformátované 20 GB virtuální disky); stejný postup (výběr neformátovaných jednotek > Vytvořit fond) nabízí i nová stránka Prostory úložišť v Nastavení. Další disky mohou být přidány do fondu úložiště i po jeho vytvoření (Přidat jednotky), disk lze z fondu také odebrat, pokud se na zbylé disky vejdou data.

Při vytváření prostoru se volí název, písmeno jednotky, souborový systém (NTFS, ReFS), typ odolnosti a velikost – ta může být díky tenkému zřizování větší než kapacita fondu (na snímku fond 2 × 20 GB, dvoucestné zrcadlení nabízí 18 GB využitelných; písmeno jednotky a souborový systém NTFS/ReFS se volí tamtéž). V Nastavení Windows 11 je postup shodný, jen s novým vzhledem.

Původní snímek uváděl jednoduchý prostor jako obdobu rozloženého svazku – to není přesné: jednoduchý prostor data prokládá přes všechny disky fondu (stripe po slabech 256 MB), chová se tedy jako RAID-0 včetně nárůstu výkonu. Počty jednotek podle dokumentace Microsoftu pro Windows 11: jednoduchý „alespoň dvě jednotky, aby to mělo smysl“ (není to tvrdý limit – PowerShell New-VirtualDisk i Nastavení dovolí jednoduchý prostor nad fondem s jediným diskem), dvoucestné zrcadlení 2, třícestné zrcadlení 5, parita 3, duální parita 7. Tabulka v E05 uvádí u jednoduchého prostoru minimum 1 – s tímto snímkem je to konzistentní. Zdroj: https://support.microsoft.com/en-us/windows/storage-spaces-in-windows-b6c8b540-b8d8-fb8a-e7ab-4a75ba11f9f2

Odolnost se volí při vytváření prostoru a nelze ji později změnit; v jednom fondu mohou být prostory s různou odolností. Zdroj: https://support.microsoft.com/en-us/windows/storage-spaces-in-windows-b6c8b540-b8d8-fb8a-e7ab-4a75ba11f9f2

ReFS byl uveden s Windows Server 2012; na klientu bylo formátování ReFS ve Windows 10 1709 omezeno na edice Pro for Workstations a Enterprise (ostatní edice ReFS svazky jen čtou a zapisují). Dev Drive ve Windows 11 zpřístupnil ReFS svazky všem edicím, ale jen pro účel vývojářského disku. ReFS nepodporuje spuštění Windows, EFS, kompresi NTFS, diskové kvóty ani pevné odkazy v plném rozsahu; naopak nabízí integrity streams (kontrolní součty dat), automatickou opravu při zrcadlení/paritě v Prostorech úložišť a block cloning (kopie jako odkaz na stejné klastry, Copy-on-Write). Dev Drive: minimální velikost 50 GB, doporučeno 16 GB RAM; systémový disk C: nelze označit jako Dev Drive; nepodporován na vyměnitelných discích a na dynamických discích. Důvěryhodný Dev Drive (fsutil devdrv trust D:) přepne Microsoft Defender do režimu výkonu – kontrola souborů probíhá asynchronně po otevření; ostatní filtry souborového systému (např. Procmon, Docker) se připojí jen po zapsání do seznamu (fsutil devdrv setfiltersallowed). Ve firemním prostředí lze Dev Drive řídit zásadami skupiny / Intune (povolení, vynucení filtrů). Block cloning na Dev Drive od Windows 11 24H2 a Windows Server 2025: kopírování souboru v rámci svazku je operace nad metadaty, tedy téměř okamžitá a bez zápisů dat. Zdroj: https://learn.microsoft.com/en-us/windows/dev-drive/ Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/refs/refs-overview

Virtuální disky se používají pro Hyper-V (cvičení: BASE_*.vhdx jako rodičovské disky, rozdílové disky VM), pro nativní spuštění Windows z VHDX (dual boot bez přerozdělování disku, viz L02), pro Dev Drive, WSL2 a Windows Sandbox. Připojený VHDX se chová jako fyzický disk – lze ho inicializovat (GPT), dělit, formátovat, zálohovat i šifrovat BitLockerem (VHDX na BitLockerem šifrovaném svazku je šifrován spolu s ním). Native boot vyžaduje formát VHDX (ne VHD) a nepodporuje hibernaci ani BitLocker na spouštěném virtuálním disku. Zdroj: https://learn.microsoft.com/en-us/windows-server/storage/disk-management/manage-virtual-hard-disks Zdroj: https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/deploy-windows-on-a-vhd--native-boot

Schémata napájení (power schemes/plans) existují dál a jsou plně dostupná přes powercfg a Možnosti napájení v Ovládacích panelech (Upřesnit nastavení napájení – časové limity disku, USB selective suspend, PCI Express Link State, správa napájení procesoru…). Na noteboocích s Modern Standby (S0 low power idle) Windows 11 vystavuje jen Rovnováhu; Vysoký výkon a Úsporný režim se dají znovu vytvořit duplikováním výchozích GUID: Vysoký výkon 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c, Úsporný režim a1841308-3541-4fab-bc81-f71556f20b4a, Rovnováha 381b4222-f694-41f0-9685-ff5bb260df2e, Maximální výkon (Ultimate Performance, primárně Pro for Workstations) e9a42b02-d5df-448d-aa00-03f14749eb61. Na stanicích C304 (stolní PC bez Modern Standby) by měla být schémata Vysoký výkon a Úsporný režim ve Možnostech napájení pod „Zobrazit další schémata“ – ověřit na stanici. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options Zdroj: https://learn.microsoft.com/en-us/answers/questions/4335036/getting-only-balanced-power-plan

Režim napájení (power mode) je nástupcem posuvníku výkonu z Windows 10 1709. Realizován je jako „overlay“ schémata (aliasy OVERLAY_SCHEME_MIN/MAX apod. v powercfg /aliases), která upravují jen podskupiny SUB_PROCESSOR a SUB_GRAPHICS nad aktivním schématem Rovnováha – proto jsou obě nastavení (schéma i režim) nezávislá. Zda Windows 11 24H2 nabízí režim napájení zvlášť pro baterii a pro napájení ze sítě, ověřit na stanici (dokumentace to jednoznačně neuvádí). Spořič energie (energy saver) je ve Windows 11 24H2 a novějších a nahrazuje Spořič baterie. Lze ho zapnout kdykoli z Rychlého nastavení (i na stolním PC), nastavit automatické zapnutí při poklesu nabití pod zvolené procento, nebo ponechat zapnutý trvale („vždy používat spořič energie“). Při zapnutí: jas displeje snížen o 30 % (lze vypnout), vypnuty efekty průhlednosti, uživatel nemůže měnit Režim napájení; při napájení z baterie navíc blokovány aplikace na pozadí (s výjimkami, např. VoIP), nekritické stahování Windows Update (kontroly probíhají), většina telemetrie a některé naplánované úlohy. Snímek vpravo: Nastavení › Systém › Napájení ve Windows 11 24H2 (virtuální počítač bez baterie, proto jen „Napájení“) – rozevírací seznam Výkonový režim (Vyvážené) a sekce Spořič energie (Vypnuto); ve Windows 10 1709 tomu odpovídal posuvník „Režim napájení (na baterii)“ v nabídce baterie a Spořič baterie. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/component-guidelines/energy-saver Zdroj: https://support.microsoft.com/cs-CZ/Windows/Experience/Power-Battery/power-settings-in-windows-11 Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options

Stavy ACPI: S0 běh, S1–S3 spánek (Windows používá S3), S4 hibernace, S5 vypnuto. Modern Standby je S0 low-power idle: obrazovka je vypnutá, ale SoC střídá aktivní a nečinný režim, software běží jen v krátkých kontrolovaných dávkách (aktivátory), síťová karta může zůstat připojená (connected standby) nebo být odpojena (disconnected standby). Systém s Modern Standby nepodporuje S1–S3; přechod mezi S3 a Modern Standby není podporován bez kompletní reinstalace OS (nastavením v BIOS se to řešit nedá – firmware musí být pro daný model navržen). Které stavy zařízení podporuje a proč ne, zobrazí powercfg /a (powercfg /availablesleepstates). Hibernaci lze povolit nebo zakázat pomocí powercfg /h {on | off}. Velikost souboru hiberfil.sys: plný soubor (full) je 40 % fyzické RAM a podporuje hibernaci i Rychlé spuštění; zmenšený (reduced) 20 % RAM podporuje jen Rychlé spuštění: powercfg /h /size 0 a poté powercfg /h /type reduced. Vlastní velikost lze nastavit powercfg /h /size <procent>; dokumentace dovoluje nejméně 50 (tj. 50–100 %). Výchozí velikosti 40 % (full) a 20 % (reduced) na snímku pocházejí z komunitních návodů – dokumentace powercfg uvádí jen, že HiberFileSizePercent >= 40 se považuje za typ full. Historie: ve Windows 7 měl hiberfil.sys výchozí velikost 75 % RAM. Zdroj: https://learn.microsoft.com/en-us/windows/win32/power/system-power-states Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/modern-standby Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options

Rychlé spuštění vyžaduje zapnutou hibernaci (soubor hiberfil.sys alespoň typu reduced); powercfg /h off vypne hibernaci i Rychlé spuštění. Zásada skupiny: Konfigurace počítače > Šablony pro správu > Systém > Vypnutí > Vyžadovat použití rychlého spuštění. Při Rychlém spuštění je souborový systém NTFS na systémovém disku ve „hibernovaném“ stavu – při dual bootu s Linuxem je svazek připojen jen pro čtení; podobně USB disky připojené k jinému systému. Windows Update aktualizace vyžadující restart si o skutečný restart řeknou samy. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/drivers/kernel/distinguishing-fast-startup-from-wake-from-hibernation

Nastavení Řízení spotřeby je pod Konfigurací počítače (snímek z Windows 11 24H2: podsložky Nastavení omezování výkonu, oznámení, pevného disku, režimu spánku, spořiče energie, tlačítka, videa a zobrazení a zásady Určit vlastní aktivní schéma napájení, Vybrat aktivní schéma napájení). V Intune (Zařízení > Konfigurace > Katalog nastavení > kategorie Power) jsou odpovídající nastavení Policy CSP Power: Allow Hibernate, Allow Standby States When Sleeping, Hibernate/Standby Timeout (on battery / plugged in), Select Lid Close / Power Button / Sleep Button Action, Require Password When Computer Wakes, Energy Saver Battery Threshold (on battery / plugged in), Turn Off Hybrid Sleep. Alternativou pro stolní PC jsou skripty s powercfg (remediace). Zdroj: https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-power

Typ u /requestsoverride je driver, process nebo service, název je název ovladače, procesu (.exe souboru) nebo služby, System říká, že se konfiguruje požadavek týkající se přechodu do režimu spánku (další typy: Display, Awaymode). Ukázat powercfg /devicequery wake_programmable a powercfg /devicequery wake_armed, jenž zobrazí seznam zařízení, které jsou schopny, resp. aktuálně mohou, probudit počítač z úsporného režimu. Ukázat powercfg /lastwake (co naposledy probudilo počítač) a powercfg /waketimers (naplánovaná probuzení, např. Windows Update / automatická údržba). Přepínače lze psát s lomítkem i pomlčkou (powercfg -h off). Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options

Sestavy se ukládají jako HTML do aktuálního adresáře (přepínač /output <soubor> změní umístění, /xml formát). /energy, /systempowerreport a /systemsleepdiagnostics vyžadují příkazový řádek správce. Sleep Study má smysl jen na zařízeních s Modern Standby; na stolním PC s S3 vrací prázdnou sestavu. /systempowerreport je obecnější varianta pokrývající všechny přechody napájení (i S3), sleepstudy jen Modern Standby; dokumentace obě sestavy vede vedle sebe a žádnou nepreferuje. Sestava baterie ukazuje „Design capacity“ vs. „Full charge capacity“ – rozdíl ukazuje opotřebení baterie; hodí se při reklamacích a plánování obměny notebooků. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options Zdroj: https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/modern-standby-sleepstudy