Primi 10 oggetti Criteri di gruppo in Windows Server
I 10 principali criteri di gruppo per un ufficio Windows Server: criteri password, blocco schermo, blocco USB, mappatura unità, stampanti, aggiornamenti, reindirizzamento cartelle, AppLocker, controllo e controllo dell'amministratore locale, ciascuno spiegato in parole semplici.
📑Capitoli
- Perché un nuovo dominio ha bisogno prima di queste dieci policy
- Politica sulla password: una regola per l'intero dominio
- Blocco schermo: il PC non presidiato si blocca
- Blocco USB: le pen drive smettono di essere una porta
- Mappatura unità: le condivisioni del server vengono visualizzate da sole
- Stampanti: la stampante da ufficio senza toccare il PC
- Aggiornamenti: gli aggiornamenti di Windows vengono eseguiti in base alla tua pianificazione
- Reindirizzamento delle cartelle: i documenti risiedono sul server, non sul PC
- AppLocker: vengono eseguiti solo i programmi approvati
- Controllo: registra chi ha effettuato l'accesso e chi non ha effettuato l'accesso
- Controllo amministrativo locale: quasi nessuno è amministratore del proprio PC
- Testa su un'unità organizzativa pilota prima di distribuirla a tutti
📋 Panoramica e guida passo passo
Aprire prima la gestione dei criteri di gruppo
Tutti e dieci i criteri sono integrati in un'unica console: la Console di gestione dei criteri di gruppo. Apri la casella Esegui, digita il comando seguente e premi Invio. La regola di funzionamento per l'intero elenco è un GPO per lavoro, ciascuno con un nome semplice come Blocco-USB-Storage o Blocco schermo-10-Min: una policy separata può essere testata, disabilitata, ripristinata e filtrata da sola, mentre un GPO gigante fallisce come un gigante.
gpmc.mscPolitica sulla password: una regola per l'intero dominio
Percorso: Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni di sicurezza → Criteri account → Criteri password, normalmente modificato nei Criteri dominio predefinito. Imposta una lunghezza minima che le persone possano effettivamente ricordare: 12 caratteri con complessità sui battiti 8 caratteri cambiati ogni mese. La guida moderna di Microsoft ha abbandonato la scadenza frequente forzata, perché gli utenti rispondono con modelli prevedibili. La lunghezza e una politica di blocco dell'account ragionevole sono la combinazione onesta.
Blocco schermo: il PC incustodito si blocca
Percorso: Configurazione utente → Criteri → Modelli amministrativi → Pannello di controllo → Personalizzazione: attiva il salvaschermo, imposta il timeout e attiva Proteggi con password il salvaschermo. Un gemello lato computer, Accesso interattivo: limite di inattività della macchina in Opzioni di sicurezza, svolge lo stesso lavoro per macchina. Dieci minuti sono il momento ideale per l'ufficio: qualcuno si allontana da un PC sbloccato e ha effettuato l'accesso come account o HR, e chiunque passi è improvvisamente quella persona. Questa politica chiude la falla di sicurezza più economica dell’edificio.
Controllo dell'archiviazione USB: le pen drive smettono di essere una porta
Percorso: Configurazione computer → Criteri → Modelli amministrativi → Sistema → Accesso ad archivi rimovibili. Puoi negare la lettura, la scrittura o l'esecuzione per classe di dispositivo o negare tutti gli archivi rimovibili in un'unica impostazione. Il motivo dell'ufficio sono i dati: una pen drive può portare fuori dall'edificio l'intero database dei clienti o portare dentro un virus.
Mappatura unità: le condivisioni del server vengono visualizzate da sole
Percorso: Configurazione utente → Preferenze → Impostazioni di Windows → Mappe unità. Si tratta di una Preferenza di policy di gruppo, non di una policy classica: indichi una lettera di unità su una condivisione, scegli l'azione (Crea o Aggiorna) e utilizzi il targeting a livello di articolo se gli account devono ottenere un incremento che le vendite non dovrebbero. Questa politica ritira lo script più vecchio dell'IT, il file batch di accesso, e la chiamata quotidiana "l'unità server è scomparsa". Un'unità mappata che mostra una croce rossa è quindi immediatamente leggibile: si tratta di un problema di rete o di permessi, non di un mistero di mappatura.
Distribuzione della stampante: la stampante da ufficio senza toccare il PC
Percorso: Preferenze → Impostazioni del pannello di controllo → Stampanti (o distribuisci da Gestione stampa). L'utente effettua l'accesso e la stampante dell'ufficio è semplicemente lì, con il driver corretto del server di stampa. Scegli come target le stampanti per unità organizzativa o gruppo in modo che il terzo piano interrompa la stampa al piano terra.
Controllo di Windows Update: gli aggiornamenti vengono eseguiti in base alla tua pianificazione
Percorso: Configurazione computer → Criteri → Modelli amministrativi → Componenti di Windows → Windows Update. Impostazioni chiave: Configura Aggiornamenti automatici, Nessun riavvio automatico con gli utenti connessi, scadenze di installazione e, se l'ufficio utilizza WSUS, la posizione del server di aggiornamento Intranet. Le impostazioni di differimento consentono a un gruppo pilota di ricevere gli aggiornamenti per primo e al resto dell'ufficio pochi giorni dopo. Sii chiaro riguardo al lavoro: questa policy controlla le tempi, non se gli aggiornamenti avvengono. Imposta una finestra di installazione fuori orario e una scadenza per il riavvio che gli utenti possono vedere arrivare e gli aggiornamenti diventano noiosi, il che è esattamente ciò che desideri.
Reindirizzamento delle cartelle: i documenti risiedono sul server, non sul PC
Percorso: Configurazione utente → Criteri → Impostazioni di Windows → Reindirizzamento cartelle. Documenti, Desktop e Immagini puntano silenziosamente a una cartella sul file server anziché sul disco locale. Il risultato arriva nel giorno peggiore: un PC muore, l'utente accede a qualsiasi altro PC e i suoi file sono già lì e la copia sul server si trova all'interno del normale backup.
AppLocker: vengono eseguiti solo i programmi approvati
Percorsi: Configurazione computer → Impostazioni di Windows → Impostazioni di sicurezza → Criteri di controllo delle applicazioni → AppLocker o i criteri di restrizione software precedenti nella stessa area. L'idea è una lista bianca: possono essere eseguiti Windows, Programmi e app approvate dall'amministratore; qualunque cosa un utente scarichi nel proprio profilo potrebbe non esserlo. Questo è l'elemento più forte della lista e quello che richiede più rispetto.
Registrazione di controllo: registra chi ha effettuato l'accesso e chi non ha effettuato l'accesso
Percorso: Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni di sicurezza → Configurazione criteri di controllo avanzati. Come minimo, controllare l'esito positivo e negativo dell'accesso ai controller di dominio e ai server membri. L'auditing risponde alla domanda che ogni ufficio si pone dopo un incidente: di chi è stato utilizzato l'account, da quale PC e quando?
Controllo dell'amministratore locale: quasi nessuno è amministratore del proprio PC
Percorso: Preferenze → Impostazioni del Pannello di controllo → Utenti e gruppi locali può pulire il gruppo Amministratori su ogni PC: rimuovere gli account utente smarriti, mantenere il gruppo di supporto IT. Il complemento è Windows LAPS, che fornisce a ogni PC una password di amministratore locale univoca, ruotata automaticamente, archiviata in modo sicuro in Active Directory. Il lavoro quotidiano non necessita di diritti di amministratore; il malware li eredita. Rimuovi i diritti di amministratore permanente, mantieni LAPS per il giorno in cui l'IT ha bisogno della password locale e metà degli incidenti in un ufficio normale non si verificheranno mai, ma mantieni un percorso di rottura vetro testato prima dell'implementazione.
Applica, aggiorna e verifica su un PC di prova
Collega il nuovo oggetto Criteri di gruppo all'unità organizzativa di test, quindi su un client di test forza un aggiornamento della policy e dimostra il risultato prima che qualcun altro lo riceva. Il primo comando applica le policy adesso invece di attendere il successivo ciclo di aggiornamento; il secondo scrive un rapporto che elenca esattamente quali GPO sono stati applicati, quali sono stati negati e perché.
gpupdate /forcegpresult /h report.html🏷️Variabili e parole chiave di ricerca argomento
🎙️ Trascrizione completa: tocca per espandere
__TOK_35__
__TOK_36__
__TOK_37__
❓ Domande frequenti
Questo tutorial è gratuito al 100%?
__TOK_38__
I principianti possono seguire questa guida?
__TOK_39__
Dove posso porre domande se rimango bloccato?
__TOK_40__