Esercitazione completa sull'oggetto Criteri di gruppo di Active Directory ⚡ Spiegazione dei criteri relativi a utenti e computer

Cos'è realmente un oggetto Criteri di gruppo

Un oggetto Criteri di gruppo è semplicemente un insieme di impostazioni denominato. Non fa nulla da solo. Inizia a funzionare solo quando lo collega a un contenitore (un sito, un dominio o un'unità organizzativa (UO)) e si applica quindi agli account utente o computer all'interno di quel contenitore.

Da ciò conseguono due fatti. Innanzitutto, la modifica di un oggetto Criteri di gruppo e il collegamento di un oggetto Criteri di gruppo sono due lavori separati; un oggetto Criteri di gruppo perfettamente configurato che non è collegato da nessuna parte non cambia nulla. In secondo luogo, un oggetto Criteri di gruppo può essere collegato a più unità organizzative e un'unità organizzativa può ricevere molti oggetti Criteri di gruppo.

Tutto in questo tutorial avviene in un'unica console: la Console di gestione dei criteri di gruppo. Aprilo sul controller di dominio o su qualsiasi PC con gli strumenti RSAT installati, dalla casella Esegui:

gpmc.msc

Politica informatica e politica utente: le due metà

Apri qualsiasi oggetto Criteri di gruppo e vedrai le stesse due sezioni: Configurazione computer e Configurazione utente. Non sono due visualizzazioni di un elenco: sono due diversi strumenti con impostazioni diverse, applicati in momenti diversi a account diversi.

La Configurazione computer si applica all'account computer. Viene elaborato all'avvio del PC, prima che chiunque acceda. Qui si trovano l'installazione del software per macchine, gli script di avvio, il blocco USB, il comportamento di Windows Update e le impostazioni di sicurezza.

La Configurazione utente si applica all'account utente. Viene elaborato quando un utente accede, su qualsiasi PC. Sfondi, mappature delle unità, reindirizzamento delle cartelle, script di accesso e restrizioni del Pannello di controllo risiedono qui.

Il luogo in cui ti colleghi decide chi lo riceve

Gli oggetti Criteri di gruppo si collegano a tre livelli: sito (un ufficio fisico), dominio (tutti) e UO (un dipartimento o gruppo). Negli uffici di piccole e medie dimensioni quasi tutti i collegamenti avvengono a livello di unità organizzativa, perché innanzitutto si organizzano gli account in unità organizzative: una per i PC dell'ufficio, una per gli utenti del personale, una per i laptop e così via.

È meglio lasciare invariati i due GPO esistenti per impostazione predefinita: Criterio dominio predefinito (regole per password e account) e Criterio controller di dominio predefinito. Crea i tuoi oggetti Criteri di gruppo per le tue impostazioni, in modo da poterli disattivare senza toccare le impostazioni predefinite.

Crea, configura e collega il tuo primo oggetto Criteri di gruppo

In gpmc.msc, fai clic con il pulsante destro del mouse su Oggetti Criteri di gruppo → Nuovo → assegnagli un nome che indichi cosa fa, come Blocca unità USB. Nominare onestamente è importante: dopo sei mesi un ufficio ha quaranta GPO e nomi come "Nuovo GPO" o "test2" non ti dicono nulla: nome per lavoro, non per data.

Fai clic con il pulsante destro del mouse sul nuovo oggetto Criteri di gruppo → Modifica. L'editor si apre con le due metà. Configura le tue impostazioni nella metà corretta e chiudi l'editor.

Tornando a GPMC, fai clic con il pulsante destro del mouse sull'unità organizzativa di destinazione → Collega un oggetto Criteri di gruppo esistente → seleziona il tuo oggetto Criteri di gruppo. Sul PC client, riavvialo (per le impostazioni del computer) oppure disconnettiti e accedi nuovamente (per le impostazioni utente) oppure forza l'aggiornamento con i comandi nel passaggio successivo.

Forzalo e dimostralo: gpupdate e gpresult

Le policy si aggiornano da sole all'incirca ogni 90 minuti (con uno spostamento casuale), ma nessuno lo verifica lentamente. Sul PC client, apri il prompt dei comandi ed esegui:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force riapplica ora tutte le policy. Alcune impostazioni necessitano ancora di un riavvio (impostazioni del computer, installazioni di software) o di un nuovo accesso (impostazioni utente): /force non può ignorare la fisica.

gpresult /r è la ricevuta: elenca esattamente quali oggetti Criteri di gruppo sono stati applicati al computer e all'utente, quali sono stati filtrati e perché. Per un report leggibile, gpresult /h report.html crea una pagina HTML che mostra ogni impostazione vincente e da quale oggetto Criteri di gruppo proviene. Non giudicare mai un oggetto Criteri di gruppo in base alla speranza: gpresult /r dovrebbe essere il primo comando da eseguire ogni volta che una policy "non funziona".