Сервер приходит с установленной системой и открытым портом удалённого рабочего стола — всё остальное настраивается под задачу.
Первым делом смените пароль, создайте отдельную административную учётную запись и отключите встроенную. Для удалённого доступа лучше использовать нестандартный порт: это отсекает основную массу автоматических переборов.
Установите нужные роли через «Диспетчер серверов». Девятнадцатая редакция умеет ставить их в фоновом режиме, но после добавления служб удалённых рабочих столов или контроллера домена перезагрузка обязательна.
Настройте брандмауэр осознанно: по правилу на каждую задачу. Для веб-сервера понадобятся 80 и 443, для базы данных — 1433, и открывать последний наружу без крайней необходимости не стоит.
Задайте расписание резервного копирования и проверьте восстановление хотя бы один раз. Копия, которую ни разу не разворачивали, не считается рабочей.