Guida definitiva alla gestione di Group Policy in Active Directory

Introduzione alla Group Policy Management

Group Policy è una funzionalità dei sistemi operativi Microsoft Windows che aiuta gli amministratori a gestire e proteggere utenti e computer in ambienti Active Directory. Le impostazioni di Group Policy settings sono raggruppate in oggetti Group Policy (GPOs) e applicate agli oggetti computer e utente nell'ambito del GPO.

Ad esempio, gli oggetti Criteri di gruppo possono essere utilizzati per gestire:

• Configurazioni, come impostazioni del desktop, script di avvio e script di accesso/disconnessione
• Sicurezza, inclusi i criteri di password di Active Directory (AD) policies di blocco account, impostazioni del firewall
• Access to network resources like shared folders, printers and applications
• Distribuzione del software, inclusa l'installazione del software su macchine selezionate e la pianificazione di patch e aggiornamenti.

Questa guida spiega gli elementi chiave della gestione di Group Policy.

Strumento di gestione dei criteri di gruppo

Per gestire i GPO, gli amministratori utilizzano la Console di Gestione Criteri di Gruppo (GPMC). È possibile accedere a questo editor di Criteri di Gruppo del dominio dal menu Strumenti di Windows Server Manager.

È possibile visualizzare tutti i GPO in un dominio facendo clic sul contenitore degli oggetti Criteri di gruppo nel riquadro sinistro della console di gestione dei criteri di gruppo. Qui sotto, puoi vedere che il dominio AD domain ad.contoso.com ha un solo GPO, Default Domain Policy:

La Console di Gestione Criteri di Gruppo include un Editor di Criteri di Gruppo, come mostrato qui:

Tipi di impostazioni dei criteri di gruppo

Il pannello sinistro dello screenshot sottostante mostra i tipi di impostazioni in un GPO:

Come puoi vedere, ci sono due categorie principali: Computer Configuration e User Configuration.

Ognuno di questi ha delle Policies e delle Preferences, che puoi espandere per configurare:

• Impostazioni del software
• Impostazioni di Windows
• Modelli amministrativi

Politiche vs Preferenze

Le policy e le preferenze possono essere entrambe utilizzate per gestire le impostazioni degli oggetti computer e utente di Active Directory. La differenza principale è la seguente:

• Le policy non possono essere modificate dagli utenti. Di conseguenza, le impostazioni relative alla sicurezza e alla conformità normativa dovrebbero essere effettuate nelle policy. Esempi includono le policy delle password, le policy di blocco account, le policy dei firewall e le policy di restrizione del software.
• Le preferenze possono essere modificate dagli utenti, quindi dovrebbero essere utilizzate solo per le impostazioni dell'esperienza utente e dell'ambiente. Ad esempio, potresti fornire un insieme standard di unità di rete mappate, stampanti o collegamenti sul desktop, ma stabilirli tramite le Preferenze permetterà agli utenti di adattarli alle proprie esigenze.

Installazione della console di gestione Criteri di gruppo su Windows Server

Per installare la Console di Gestione Criteri di Gruppo su Windows Server, segui questi passaggi:

• Avvia Server Manager facendo clic sul menu Start e selezionando Server Manager.
• In Server Manager, fai clic su Manage dal menu in alto e poi seleziona Add Roles and Features.

• Scegli l'installazione basata sui ruoli o sulle funzionalità e fai clic su Avanti.

• Seleziona il server dove vuoi installare GPMC e clicca su Avanti.

• Nella pagina “Select Server Roles” clicca su Next, poiché non stiamo aggiungendo un ruolo.
• Scorri verso il basso, trova “Group Policy Management” e seleziona la casella accanto.

• Fai clic su “Avanti” per qualsiasi messaggio di conferma una volta completata l'installazione. Fai clic su “Chiudi” per uscire dalla procedura guidata.

Installazione della Console di Gestione Criteri di Gruppo su Windows

Se stai utilizzando la versione 1809 di Windows 10 o successive, puoi installare GPMC utilizzando l'app Impostazioni:

1. Apri Impostazioni premendo WIN+I.
2. Cerca funzionalità opzionali.
3. Fai clic + Aggiungi una funzionalità.
4. Clicca su RSAT: Group Policy Management Tools e poi clicca su Installa.

Se stai utilizzando una versione più vecchia di Windows, dovrai scaricare la versione corretta di RSAT dal sito web di Microsoft.

Come creare un GPO

Per creare un nuovo oggetto Criteri di gruppo:

• Apri Server Manager, fai clic su Tools nell'angolo in alto a destra e seleziona Group Policy Management dal menu a discesa.

• Nella Console di gestione Criteri di gruppo, espandere la foresta e il dominio dove si desidera collegare l'oggetto Criteri di gruppo (GPO).
• Fare clic con il pulsante destro del mouse sull'OU, dominio o sito dove si desidera collegare il GPO e selezionare l'opzione corrispondente Crea, come Crea un GPO in questo dominio e collegarlo qui...

• Inserisci un nome descrittivo per il nuovo GPO e clicca su OK.

Come modificare un GPO

Per modificare Criteri di gruppo nella Console di gestione Criteri di gruppo, seguire i seguenti passaggi:

• Espandi la foresta e il dominio a cui appartiene il GPO.
• Naviga all'OU, dominio o sito dove è collegato il GPO.
• Fare clic con il pulsante destro del mouse sul GPO che si desidera modificare e selezionare Modifica.

• Nell'Editor di Gestione Criteri di Gruppo, fai doppio clic sull'impostazione della policy desiderata e modificala secondo le tue esigenze.

Le impostazioni del computer vengono applicate all'avvio di Windows, e le impostazioni utente vengono utilizzate quando un utente effettua l'accesso. L'elaborazione in background dei Criteri di gruppo applica le impostazioni periodicamente se è stato modificato un Oggetto Criteri di Gruppo (GPO).

Come collegare un GPO

Per avere effetto, un GPO deve essere collegato ad almeno un contenitore di Active Directory, come un'OU, un dominio o un sito. Per collegare un GPO, seguire i seguenti passaggi:

• Nella console di gestione Criteri di gruppo, espandi la foresta e il dominio dove desideri collegare l'oggetto Criteri di gruppo (GPO).
• Fare clic con il pulsante destro del mouse sull'OU, dominio o sito dove si desidera collegare il GPO e selezionare Link an Existing GPO.

• Scegli il GPO che vuoi collegare dall'elenco dei GPO disponibili e fai clic su OK.

Come abilitare o disabilitare un collegamento GPO

Quando un collegamento GPO è disabilitato, le sue impostazioni non verranno applicate agli oggetti nel contenitore collegato. Ecco come abilitare o disabilitare un collegamento GPO:

• Nella console di gestione Criteri di gruppo, espandere la foresta e il dominio di Active Directory a cui appartiene il GPO collegato.
• Espandere il contenitore in cui è collegato il GPO e fare clic con il tasto destro sul GPO.
• Nel menu contestuale, seleziona Link Enabled per attivare il collegamento o deselezionalo per disattivarlo.

Come importare le impostazioni GPO

È possibile configurare un GPO importando le impostazioni da un GPO di backup o da un file modello. Ecco come si fa:

• Nella Console di Gestione Criteri di Gruppo, naviga verso l'OU, dominio o sito con il GPO in cui desideri importare le impostazioni.
• Fai clic con il pulsante destro del mouse sul GPO di destinazione e seleziona Importa impostazioni…
• Scegli il file di backup o template (.admx o .adml) contenente le impostazioni GPO desiderate e clicca su Open.
• Poiché le posizioni di backup possono contenere più GPO, seleziona quello da cui desideri importare le impostazioni.

• Fai clic su Next due volte, controlla il riepilogo e fai clic su Finish per completare il processo di importazione.

Ereditarietà e precedenza dei GPO

L'ereditarietà e la precedenza dei Criteri di gruppo determinano come gli oggetti Criteri di gruppo vengono applicati agli oggetti.

Ereditarietà

L'ereditarietà dei Criteri di gruppo segue la struttura gerarchica dei domini AD e delle OU. I criteri a livello di dominio si applicano a tutti gli oggetti (utenti, computer, gruppi) nel dominio. I criteri a livello di OU si applicano agli oggetti all'interno di una specifica OU. I criteri applicati a un livello superiore nella gerarchia vengono ereditati dagli oggetti figli, quindi i GPO a livello di dominio sono ereditati da tutte le OU nel dominio, e una politica collegata a una OU viene ereditata da tutte le sub-OU annidate sotto quella OU.

Tuttavia, è possibile utilizzare l'impostazione Blocca Ereditarietà su un sito, dominio o OU per impedire l'applicazione degli oggetti GPO collegati agli oggetti padre agli oggetti figlio. Impostare il flag Enforced su singoli GPO ha la precedenza sull'impostazione Blocca Ereditarietà.

Per visualizzare i GPO che un oggetto eredita dagli oggetti genitori, clicca sull'oggetto in GPMC e vai alla scheda Group Policy Inheritance.

Precedenza

Un dato dominio, sito o OU può avere più GPO collegati ad esso, e tali policy potrebbero avere impostazioni in conflitto. La precedenza delle Group Policy controlla l'ordine in cui i GPO vengono applicati e quindi quale impostazione ha effetto. Più tardi un GPO viene applicato nella sequenza, maggiore è la sua precedenza.

L'ordine in cui vengono applicate le politiche è il seguente:

• Criteri di Gruppo Locale
• Criteri di gruppo a livello di sito
• Criteri di gruppo a livello di dominio
• GPO a livello di OU

Per visualizzare i GPO collegati a un oggetto, clicca sull'oggetto in GPMC e vai alla scheda Linked Group Policy Objects. I GPO con un numero di Link Order più alto hanno la priorità su quelli con un numero inferiore. Puoi cambiare il numero di Link Order cliccando su un GPO e utilizzando le frecce a sinistra per spostarlo su o giù.

Estensibilità dei Criteri di Gruppo

È possibile estendere le funzionalità di Group Policy integrando funzionalità aggiuntive, impostazioni personalizzate o componenti di terze parti. Ecco alcuni aspetti dell'estensibilità di Group Policy:

• Modelli amministrativi (file .admx) — Gli amministratori possono creare modelli personalizzati per gestire impostazioni aggiuntive o configurare criteri personalizzati.
• Preferenze di Criteri di Gruppo Personalizzate — Puoi creare elementi di Preferenza personalizzati utilizzando file XML o script. Questi ti permettono di gestire cose come unità mappate, stampanti, impostazioni del registro, file e collegamenti sui computer client.
• Estensioni client delle Criteri di gruppo (CSE) — Puoi creare CSE personalizzate per aggiungere impostazioni extra, criteri o compiti di gestione.
• Filtri dei Criteri di gruppo e filtri WMI — È possibile creare filtri per indirizzare le impostazioni dei Group Policy in base a criteri specifici, come attributi utente o computer.
• Strumenti di Group Policy di terze parti — Le soluzioni di terze parti offrono capacità di gestione aggiuntive, funzionalità di reporting, strumenti di auditing e modelli di policy.

Eseguire il backup dei GPO

Create regolari backup dei vostri GPO per assicurarvi di avere una copia recente in caso di cancellazione accidentale o malevola, corruzione o cattiva configurazione. Dovreste anche eseguire il backup dei GPO dopo aver apportato modifiche significative o prima di eseguire operazioni di manutenzione che potrebbero influenzare le impostazioni di Group Policy.

Stabilire una posizione centralizzata per l'archiviazione dei backup dei GPO per garantire un facile accesso e gestione. Prendere in considerazione l'organizzazione dei file di backup per dominio, data o scopo per facilitare il recupero e il ripristino. Utilizzare convenzioni di denominazione descrittive o metadati per identificare le versioni di backup e le modifiche associate. Implementare pratiche di controllo delle versioni per tracciare le modifiche ai GPO nel tempo e mantenere una cronologia dei backup.

Modellazione delle modifiche alle impostazioni dei criteri di gruppo

La modellazione delle Criteri di gruppo è una funzionalità di GPMC che consente agli amministratori di simulare il comportamento delle impostazioni dei Criteri di gruppo per utenti e computer in un ambiente Active Directory. Fornisce un modo per prevedere il risultato dell'applicazione di specifiche impostazioni dei Criteri di gruppo senza implementarle.

Advanced Group Policy Management

Advanced Group Policy Management (AGPM) è un componente del Microsoft Desktop Optimization Pack (MDOP) che migliora la gestione, la delega, il controllo delle versioni e l'audit degli oggetti Group Policy.

A differenza di GPMC, AGPM è un'applicazione client/server. Il componente server memorizza i GPO e la loro cronologia offline. I GPO gestiti da AGPM sono chiamati GPO controllati. Gli amministratori possono effettuare il check-in e il check-out, similmente a come si gestiscono file o codice su GitHub o un sistema di gestione documentale.

AGPM offre un maggiore controllo sui GPO rispetto a GPMC. Oltre al controllo delle versioni, è possibile assegnare ruoli come Revisore, Editore e Approvatore agli amministratori dei Group Policy. Questo facilita un rigido controllo delle modifiche durante l'intero ciclo di vita del GPO. L'audit di AGPM fornisce anche una visione più approfondita delle modifiche nella Group Policy.

Come Netwrix può aiutare

Netwrix Auditor estende la tradizionale gestione dei Group Policy con funzionalità avanzate di visibilità, auditing, controllo delle modifiche e reporting che migliorano la sicurezza e la conformità. Ad esempio, gli amministratori ottengono una visione dettagliata di cosa è stato modificato, chi lo ha modificato e quando è avvenuta l'azione. Da un'interfaccia intuitiva, possono facilmente confrontare diverse versioni di GPO, identificare modifiche specifiche e persino annullare modifiche indesiderate.

Questa maggiore trasparenza consente agli amministratori di assicurare che le impostazioni dei Criteri di gruppo siano in linea con le politiche organizzative, gli standard di sicurezza e i requisiti normativi. Integrando Netwrix Auditor nella loro strategia di gestione dei Criteri di gruppo, le organizzazioni possono ottenere un'infrastruttura IT più sicura, conforme e gestita in modo efficiente.

Domande Frequenti

Cos'è la gestione di Active Directory Group Policy?

Group Policy è una funzionalità di Active Directory che consente agli amministratori di controllare le impostazioni di configurazione di utenti e computer. La gestione di Group Policy è il processo di creazione e mantenimento delle impostazioni di Group Policy che impongono la sicurezza, distribuiscono software, gestiscono configurazioni desktop e altro.

Come si apre la console di gestione delle Criteri di gruppo?

Per aprire la console di gestione delle Criteri di gruppo di Active Directory:

1. Premi il tasto Windows + R sulla tua tastiera.
2. Nella finestra di dialogo Esegui che appare, digitare gpmc. msc e premere Invio oppure fare clic su OK.

Come posso installare la Console di Gestione Criteri di Gruppo?

Per installare GPMC su un server Windows, segui questi passaggi:

1. Avvia Server Manager. Di solito lo trovi nella barra delle applicazioni, oppure puoi localizzarlo nel menu Start.
2. In Server Manager, fai clic su Manage nell'angolo in alto a destra e poi seleziona Add Roles and Features.
3. Nella schermata “Prima di iniziare”, clicca su Next.
4. Nella schermata “Seleziona il tipo di installazione”, scegli Role-based or feature-based installation e poi clicca su Next.
5. Seleziona il server dove vuoi installare la funzionalità GPMC e fai clic su Avanti.
6. Nella schermata “Seleziona funzionalità”, spunta la casella accanto a Group Policy Management. Clicca su Avanti.
7. Rivedi le tue selezioni e fai clic su Install.
8. Attendere il completamento del processo di installazione. Una volta visualizzato un messaggio di conferma, chiudere Server Manager.

Quali utenti ricevono automaticamente i permessi per eseguire compiti di gestione dei Group Policy?

Il gruppo Group Policy Creator Owners viene creato automaticamente quando viene creato un forest di Active Directory. I membri del gruppo possono creare, modificare e gestire oggetti Group Policy a livello di dominio. Questo gruppo è tipicamente utilizzato quando gli amministratori desiderano delegare il controllo su Group Policy senza concedere pieni privilegi amministrativi. Per impostazione predefinita, solo l'amministratore del dominio è membro di questo gruppo.

Cos'è la gestione delle group policy?

Niente di tutto ciò richiede di toccare una singola macchina, motivo per cui Group Policy è sopravvissuto per oltre due decenni di amministrazione di Windows praticamente invariato.

La criteri di gruppo rimane il meccanismo principale che gli amministratori Windows utilizzano per applicare configurazioni e impostazioni di sicurezza nei domini di Active Directory. Un singolo oggetto Criteri di gruppo, posizionato nel punto giusto della directory, può impostare requisiti di password, rimuovere i diritti di amministratore locale o mappare un'unità di rete per ogni account sottostante.

La stessa portata che rende utile Group Policy rende anche difficile mantenerla pulita, e la maggior parte dei domini accumula GPO più velocemente di quanto li ritiri. Viene aggiunta un'impostazione per risolvere una richiesta occasionale e nessuno la rimuove. I permessi di modifica vengono delegati a un team che si è riorganizzato due anni fa.

Una policy limitata a una singola unità organizzativa (OU) viene ricollegata alla radice del dominio durante una sessione di troubleshooting e vi rimane. Le impostazioni si applicano ancora in modo affidabile, ma il livello di policy non riflette più ciò che qualcuno aveva effettivamente intenzione, e nessuno può dire quale GPO applica un determinato controllo o quando è stato revisionato l’ultima volta. Mantenere il livello di policy accurato mentre cresce è una disciplina a sé stante, separata dalla meccanica di navigare nella console.

I GPO gestiscono tipicamente quattro categorie di impostazioni:

La gestione delle group policy è il lavoro continuo di creazione, collegamento, verifica e dismissione di questi oggetti per garantire che continuino a corrispondere alle esigenze effettive dell'organizzazione.

• Configurazioni: Impostazioni desktop, script di avvio e script di accesso e disconnessione applicati in modo coerente su un gruppo di macchine.
• Distribuzione del software: Installa e programma patch su macchine selezionate senza intervento manuale.
• Accesso: Permessi per cartelle condivise, stampanti e applicazioni limitati a unità organizzative specifiche (OU).

Un oggetto Criteri di gruppo (GPO) è un contenitore di impostazioni che Active Directory applica a utenti e computer nel suo ambito. Gli amministratori creano e collegano i GPO tramite la Group Policy Management Console (GPMC), e Active Directory applica automaticamente tali impostazioni al successivo aggiornamento delle policy.

• Sicurezza: Politiche di password, soglie di blocco account e regole del firewall che applicano una base indipendentemente da chi effettua l'accesso, trattate più approfonditamente nelle impostazioni delle group policy che gli amministratori sbagliano più spesso.

Applicazione centralizzata della sicurezza

Perché la gestione delle group policy è importante

Confonderli non causa danni visibili, ma significa che le impostazioni sbagliate diventano quelle che gli utenti non possono aggirare, e le impostazioni sbagliate diventano quelle che possono.

Una password policy appartiene alle Politiche, poiché un utente che potesse sovrascriverla vanificherebbe lo scopo di impostarla. Una mappatura predefinita della stampante appartiene alle Preferenze, poiché imporla come politica immutabile genera solo richieste di assistenza da parte di utenti che hanno legittimamente bisogno di una stampante diversa.

La group policy non è una funzione da impostare e dimenticare. Quanto bene un'organizzazione gestisce le sue GPO determina se l'applicazione delle policy rimane affidabile con la crescita del dominio o se si deteriora silenziosamente.

Configurazione coerente in tutto il dominio

Ogni GPO suddivide le sue impostazioni in Computer Configuration (applicata all'avvio del computer, indipendentemente da chi effettua il login) e User Configuration (applicata al login). All'interno di ciascuna, gli amministratori scelgono tra Policies e Preferences. Le Policies sono applicate centralmente al refresh, mentre le Preferences sono pensate per impostazioni che gli utenti possono modificare localmente

Efficienza operativa

Un singolo GPO collegato all’ambito corretto applica una baseline di sicurezza, come una policy per le password o una regola del firewall, a ogni computer e utente sotto di esso. Tale coerenza è difficile da replicare tramite configurazione manuale una volta che un dominio supera alcune decine di endpoint.

Le GPO eliminano la necessità di configurare impostazioni desktop, unità mappate e script di avvio su base singola macchina. I nuovi computer e account utente ereditano automaticamente la configurazione corretta, riducendo i ticket di supporto e la deriva di configurazione che si accumula quando gli amministratori configurano i sistemi manualmente.

Prove di conformità e audit

Il rischio di sicurezza delle GPO configurate in modo errato

I GPO ben gestiti riducono il lavoro manuale ripetitivo e accelerano la risoluzione dei problemi. Quando un'impostazione si comporta male, un amministratore che sa esattamente quali GPO sono collegati all'OU interessata può isolare la causa in pochi minuti invece di controllare ogni singola macchina.I domini più grandi affrontano un insieme specifico di sfide delle group policy con l'aumento del numero di GPO, dalla proliferazione a catene di ereditarietà che nessuno ricorda di aver creato. La maggior parte di queste sfide deriva dal saltare questo tipo di manutenzione continua.

La configurazione errata di GPO è un vettore di attacco documentato con incidenti reali. Gli aggressori che ottengono i permessi di modifica su un GPO, sia tramite delega eccessiva sia tramite un account amministratore compromesso, acquisiscono una leva potente. Possono inserire script di avvio dannosi, disabilitare i controlli di sicurezza a livello di dominio o creare un percorso di escalation dei privilegi che si estende ben oltre l’account originariamente compromesso.

• Modifica i permessi concessi agli account non amministratori.
• Script di avvio o di accesso memorizzati su condivisioni con permessi di scrittura deboli.

I regolatori e gli auditor si aspettano prove documentate che le impostazioni di sicurezza, come la complessità della password o le soglie di blocco dell’account, siano applicate in modo coerente nell’intero ambiente. I GPO applicano tali impostazioni. Un dominio che può indicare il GPO dietro un determinato controllo, la sua ultima data di revisione e il suo proprietario trasforma una richiesta di audit da una corsa frenetica a una ricerca di cinque minuti.

• GPO collegate a livello di dominio anziché limitate a una OU specifica.

Gli operatori di ransomware hanno sfruttato permessi GPO deboli e percorsi di script scrivibili per movimenti laterali perché una singola modifica GPO può raggiungere ogni macchina interessata dalla policy. Quegli script si trovano in SYSVOL, la condivisione replicata ospitata da ogni controller di dominio, quindi l'accesso in scrittura lì raggiunge l'intero dominio. Una revisione trimestrale dovrebbe verificare:

Ognuno dei tre merita di essere corretto da solo. Trovarne più di uno contemporaneamente segnala che la revisione è scaduta.

Come gestire gli oggetti Criteri di gruppo

Questo tipo di revisione intercetta la maggior parte delle esposizioni legate a GPO prima che diventino incidenti. I team che la saltano tendono a scoprire la lacuna durante un audit o, peggio, durante un’indagine. È anche qui che le best practice di group policy danno i loro frutti in modi difficili da vedere quotidianamente ma evidenti la prima volta che qualcosa va storto.

Secondo il Netwrix 2026 Data and Identity Security Report, solo il 36% delle organizzazioni intervistate ha effettuato una valutazione completa della sicurezza di Active Directory negli ultimi 12 mesi. Lo stesso rapporto ha rilevato che il 74% non è completamente sicuro che il proprio ambiente AD sia privo di configurazioni errate che potrebbero consentire l'escalation dei privilegi. Le autorizzazioni GPO sono tra i punti ciechi più comuni dietro questa mancanza di fiducia, poiché un GPO configurato in modo errato può creare un percorso di escalation dei privilegi che una revisione più ampia dell'identità potrebbe non rilevare affatto.

Installa la Console di Gestione Criteri di Gruppo

La gestione delle GPO copre un insieme definito di attività, dall’installazione della console alla creazione, collegamento, definizione dell’ambito e infine la dismissione degli oggetti di policy. La maggior parte di queste attività richiede l’appartenenza al gruppo Domain Admins o un permesso delegato.

Il GPMC nativo gestisce ogni attività elencata senza software aggiuntivo. Tuttavia, i team che gestiscono centinaia di GPO su più domini spesso aggiungono uno strumento di gestione delle group policy dedicato per report, cronologia delle modifiche e operazioni di massa che il GPMC non gestisce bene da solo.

Su Windows Server:

La Group Policy Management Console (GPMC) è l'interfaccia principale che gli amministratori utilizzano per creare, collegare e gestire i GPO in un dominio. Mostra ogni foresta, dominio, sito e OU che un GPO può indirizzare in una vista ad albero unica.

1. Apri Server Manager, seleziona Gestisci, quindi Aggiungi ruoli e funzionalità.

3. Selezionare il server di destinazione e fare clic su Avanti fino a Ruoli server.

Mostra anche il contenitore Group Policy Objects, dove risiede ogni GPO nel dominio, sia che sia attualmente collegato o meno. GPMC è solitamente installato come parte degli strumenti di gestione, ma puoi aggiungerlo o rimuoverlo sui controller di dominio. Per gestire le group policy da un server membro o da una workstation, installalo separatamente.

2. Scegli l’installazione basata su Ruolo o su funzionalità, quindi clicca Avanti.

5. Completa la procedura guidata e fai clic su Installa.

4. Nella pagina Funzionalità, selezionare Group Policy Management, quindi fare clic su Avanti.

Su Windows 11:

1. Fai clic su Installa.
2. Seleziona Visualizza funzionalità, cerca "group policy" e seleziona RSAT: Group Policy Management Tools.
3. Apri Impostazioni con Win+I e vai a Sistema > Funzionalità facoltative.

Windows 11 Home non supporta questo percorso di installazione perché le funzionalità RSAT richiedono Windows 11 Pro, Enterprise, Education o Pro for Workstations.

Crea un GPO

1. Apri Server Manager, clicca su Tools e seleziona Group Policy Management.

Ogni dominio inizia con due GPO predefiniti: la Default Domain Policy e la Default Domain Controllers Policy, che impostano le configurazioni di base come i requisiti delle password. Evitare di modificarle direttamente. Invece, creare un nuovo GPO per qualsiasi configurazione personalizzata:

2. In GPMC, espandi il dominio, fai clic destro sull’OU o dominio di destinazione e seleziona Crea un GPO in questo dominio e collegalo qui.

3. Assegna al GPO un nome descrittivo che ne identifichi lo scopo e l'ambito, quindi fai clic su OK.

Modifica un GPO

Creare e collegare un GPO in un solo passaggio, come sopra, è il percorso più veloce. Per creare invece un GPO non collegato, fai clic con il tasto destro su Group Policy Objects e seleziona Nuovo. Il GPO non ha effetto finché non lo colleghi a un contenitore.

1. Fare clic con il pulsante destro del mouse sul GPO e selezionare Modifica per aprire l'Editor di Gestione Criteri di Gruppo.

Questo apre l'Editor di Gestione Criteri di Gruppo, una finestra separata dal GPMC stesso, dove risiedono le impostazioni effettive della policy.

Un nuovo GPO creato parte vuoto. Per configurarlo:

3. Conferma le impostazioni nella scheda Impostazioni del GPO prima di collegarlo da qualche parte.

2. Navigare al nodo pertinente sotto Computer Configuration o User Configuration e impostare i valori della policy richiesti dal vostro ambiente.

Collega un GPO a un dominio, OU o sito

2. Scegliere il GPO da applicare e fare clic su OK.

Applica il filtro di sicurezza

1. Fare clic con il tasto destro sul contenitore di destinazione in GPMC e selezionare Collega un GPO esistente.

Limitare i collegamenti a OU specifiche invece che alla radice del dominio mantiene il raggio d’azione di qualsiasi modifica di policy contenuto al gruppo che ne ha effettivamente bisogno.

Il collegamento è ciò che fa sì che un GPO abbia effetto. Un GPO può collegarsi a un dominio (influisce su tutti), a un sito (influisce su tutti in quella posizione fisica) o a un OU (influisce solo sugli oggetti al suo interno, oltre a eventuali sub-OU).

Il filtro di sicurezza non modifica il punto in cui un GPO è collegato; modifica quali utenti, gruppi e computer all'interno di quell'ambito ricevono la policy, in base ai loro permessi di Lettura e Applicazione della Group Policy.

Filtra un GPO solo a un gruppo di utenti e smette di funzionare, senza errori evidenti che lo spieghino

Per impostazione predefinita, un GPO collegato si applica a tutti gli utenti e computer autenticati nel suo ambito. Il filtraggio della sicurezza restringe tale ambito a utenti, gruppi o computer specifici. È particolarmente importante quando un GPO contiene una configurazione destinata a un dipartimento o a un livello di macchine all’interno di una OU più ampia che include altri gruppi.

1. Apri la scheda Scope del GPO e trova il pannello Security Filtering.

Rimuovere gli utenti autenticati ha un problema che può silenziosamente rompere le GPO. Dall'aggiornamento MS16-072 di Microsoft, Windows recupera la policy utente nel contesto di sicurezza del computer anziché dell'utente, quindi l'account del computer necessita di accesso in lettura alla GPO affinché la policy si applichi.

perché. Aggiungere Domain Computers con permesso di lettura insieme al gruppo target mantiene la policy attiva restringendo comunque a chi si applica.

Blocca l’ereditarietà GPO

Un GPO che disabilita i diritti di amministratore locale potrebbe collegarsi a un OU contenente sia workstation standard sia alcuni jump box che necessitano legittimamente dei diritti di amministratore locale per la risoluzione dei problemi.

1. Seleziona Authenticated Users, fai clic su Remove, quindi fai clic su Add e specifica gli account o i gruppi a cui la policy deve essere applicata.

Un'OU può bloccare i GPO ereditati dal dominio padre, sito o OU, impedendo che le policy di livello superiore lo raggiungano. Fai clic con il tasto destro sull'OU in GPMC e seleziona Blocca ereditarietà.

Usalo con parsimonia, poiché può nascondere impostazioni di sicurezza che un GPO di livello superiore applica per una ragione.

Senza filtraggio di sicurezza, quel GPO blocca anche le jump box. Questo è anche il punto in cui verificare quali permessi concede effettivamente il filtraggio di sicurezza di un GPO. I filtri si spostano quando i team si riorganizzano e la membership del gruppo smette di corrispondere all'intento originale a meno che qualcuno non torni indietro per sistemarli.

Un amministratore che imposta Enforced sul GPO di livello superiore annulla qualsiasi impostazione di Block Inheritance sottostante, che è la valvola di sicurezza che impedisce a un OU bloccato di rimuovere silenziosamente un controllo obbligatorio.

Applicare una GPO

Forzare una GPO assicura che abbia la precedenza sulle impostazioni in conflitto di altre GPO e sovrascrive il Blocco dell’Ereditarietà a qualsiasi livello sottostante. GPMC espone l’opzione in due punti, entrambi attivano la stessa flag sullo stesso collegamento.

1. Fare clic con il tasto destro sul GPO in quell'elenco e selezionare Applicato.

3. Per raggiungere la stessa impostazione dall’albero a sinistra, espandi il contenitore, fai clic con il tasto destro sul collegamento GPO sottostante e seleziona Enforced.

Delega le autorizzazioni per un GPO

4. Conferma che la modifica sia stata applicata. La colonna Enforced passa da No a Sì, e GPMC aggiunge una piccola icona di lucchetto al collegamento nell'albero.

5. Aprire la scheda Group Policy Inheritance in un OU figlio per verificare che il GPO applicato sia ora in cima all’ordine di precedenza, prima di qualsiasi altro collegato più vicino all’oggetto.

1. Seleziona il contenitore che contiene il collegamento GPO, quindi apri la sua scheda Linked Group Policy Objects. La colonna Enforced mostra lo stato attuale di ogni GPO collegato, che è il modo più rapido per vedere cosa è già applicato prima di modificare qualcosa.

Per impostazione predefinita, Domain Admins e Enterprise Admins controllano ogni GPO. I team più grandi spesso devono delegare compiti specifici, come modificare un determinato GPO, senza concedere pieni diritti di amministratore di dominio.

Riserva l'applicazione obbligatoria per le policy che non devono mai essere sovrascritte, come le impostazioni di sicurezza di base. Se applicata troppo ampiamente, rimuove la flessibilità per le OU più in basso nella gerarchia e può mascherare una legittima necessità aziendale di eccezione. Deselezionare Enforced lo annulla immediatamente, senza necessità di ulteriori pulizie.

1. Fare clic su Aggiungi una volta che lo stato corrente è chiaro.

Queste tre opzioni coprono la maggior parte delle esigenze di delega. Per qualcosa di più granulare, il pulsante Avanzate apre l'elenco completo di controllo accessi del GPO, anche se modificare i permessi a quel livello rende più difficile l'audit successivo.

5. Conferma il risultato nella scheda Delegation. L'account dovrebbe ora apparire nell'elenco Groups and Users con esattamente il livello di permesso assegnato, e nulla di più.

1. Seleziona il GPO, apri la scheda Delegation e rivedi l'elenco esistente di Groups and users prima di apportare modifiche. La colonna Inherited è importante qui: una voce contrassegnata Yes proviene da un contenitore padre, quindi rimuoverla significa modificare il padre, non questo GPO.

Un elemento in quell’elenco vale la pena comprenderlo, non modificarlo. Authenticated Users di solito mostra Lettura con una nota che indica che proviene dal filtraggio di sicurezza, che è il permesso che consente alla policy di applicarsi in primo luogo. Rimuoverlo per restringere la delega impedisce del tutto l’applicazione del GPO.

3. Digita l'account o il gruppo nella finestra di dialogo Select Users, Computers, or Groups, clicca su Check Names per risolverlo nel dominio, quindi clicca su OK.

Abilita o disabilita un collegamento GPO

Un responsabile help desk che risolve problemi solo con i GPO delle stampanti ha bisogno di modificare le impostazioni di quei GPO specifici, proprio come mostra l’elenco di delega sopra. Concedere a quell’account gli stessi diritti di modifica, eliminazione e modifica della sicurezza su tutti i GPO del dominio significherebbe dare molto più di quanto il ruolo richiede.

Disabilitare un collegamento GPO è diverso dal scollegarlo o eliminare il GPO. Un collegamento disabilitato mantiene la connessione tra il GPO e il contenitore, ma impedisce l’applicazione delle impostazioni. Questo è utile per sospendere temporaneamente una policy senza perdere la sua configurazione o la sua posizione nell’ordine dei collegamenti.

1. Fare clic con il tasto destro sul GPO collegato sotto il dominio, sito o OU di destinazione.

Delegare solo ciò di cui ogni amministratore ha bisogno applica il principio del minimo privilegio alla gestione stessa delle GPO e limita i danni che un singolo account compromesso può causare. I permessi GPO sovradelegati sono esattamente il tipo di lacuna di cui ha avvertito la sezione sui rischi di sicurezza sopra.

4. Scegli l'opzione più restrittiva nella finestra di dialogo Select GPO Permission che consente comunque alla persona di completare il lavoro, quindi fai clic su OK. Read consente solo la visualizzazione. Edit settings consente di modificare i valori della policy. Edit settings, delete and modify security aggiunge la possibilità di eliminare completamente il GPO e modificare chi altro può accedervi.

1. Seleziona Link Enabled per attivare il collegamento o deselezionalo per sospenderlo.

Un controllo separato ma correlato, Stato GPO, attiva se la metà Configurazione Computer, la metà Configurazione Utente o entrambe le metà del GPO stesso vengano elaborate, indipendentemente da qualsiasi collegamento specifico.

Fai clic con il tasto destro sul GPO sotto Group Policy Objects, seleziona GPO Status e scegli Enabled, User Configuration Settings Disabled, Computer Configuration Settings Disabled o All Settings Disabled.

Eseguire il backup e il ripristino delle GPO

Usalo quando un GPO contiene impostazioni solo per una metà, poiché saltare la metà inutilizzata riduce l'elaborazione che Active Directory esegue a ogni aggiornamento in un dominio con centinaia di GPO.

Esegui il backup dei GPO prima di modifiche importanti e con cadenza regolare, poiché un GPO corrotto o cancellato accidentalmente potrebbe richiedere di ricostruire le impostazioni a memoria.

1. Fai clic destro su un GPO sotto Group Policy Objects e seleziona Back Up.

Quella finestra di ripristino mostra anche perché i backup non sono una rete di sicurezza completa. Ogni snapshot è legata a un ID GPO, quindi un backup ripristina solo il GPO originale da cui proviene. Un GPO appena creato ha un ID GPO diverso e non può ricevere quel ripristino.

Un backup cattura solo un’istantanea in un momento preciso, non una cronologia continua di ogni modifica intermedia. Strumenti di controllo versione come Advanced Group Policy Management (AGPM) colmavano questa lacuna, un argomento a cui questa guida tornerà più avanti.

4. Per ripristinare, fai clic con il tasto destro sul GPO, seleziona Restore from Backup, quindi scegli uno snapshot dall'elenco in quella posizione di backup e fai clic su OK.

2. Impostare la posizione del backup, compilare il campo Description e quindi fare clic su OK. Le descrizioni valgono i pochi secondi che richiedono, perché la finestra di dialogo di ripristino identifica i backup tramite descrizione, ID GPO e timestamp, e nessuno di questi spiega perché qualcuno ha catturato un determinato snapshot.

Importa GPO tra domini

3. Per acquisire l'intero dominio in una volta, fai clic con il tasto destro sul contenitore Group Policy Objects e seleziona Back Up All. Questa è l'opzione da programmare, e lo stesso menu offre Manage Backups per eliminare le vecchie istantanee.

Una guida completa al processo di backup e ripristino che approfondisce le opzioni da riga di comando e gli scenari di migrazione del dominio.

1. Fare clic con il tasto destro sul GPO di destinazione, selezionare Import Settings e sfogliare la posizione del backup.

L'importazione applica le impostazioni di un GPO salvato a un altro GPO, anche in un dominio diverso, senza dover ricreare ogni impostazione da zero.

2. Seleziona il backup di origine, rivedi il riepilogo e fai clic su Fine.

Copia un GPO

Quando il GPO di origine fa riferimento a utenti, gruppi o percorsi file specifici che non esistono nel dominio di destinazione, una tabella di migrazione mappa automaticamente tali riferimenti invece di far fallire l'importazione.

La copia crea un duplicato di un GPO esistente, utile quando una nuova policy deve partire da una baseline nota e valida anziché da un oggetto vuoto.

1. Fai clic destro sul GPO di origine sotto Group Policy Objects e seleziona Copia.

3. Rinomina la copia con un nome descrittivo prima di collegarla da qualche parte. Un contenitore pieno di oggetti chiamati "- Copy" vanifica lo scopo di copiare da una baseline nota e affidabile.

La copia all'interno dello stesso dominio preserva il filtraggio della sicurezza e i filtri WMI. La copia tra domini trasferisce solo le impostazioni della policy, quindi i principali di sicurezza necessitano di una tabella di migrazione come durante l'importazione.

Rimuovere un collegamento GPO

La copia arriva anche scollegata, il che è utile: ti dà la possibilità di regolare le impostazioni prima che la policy raggiunga una singola macchina.

2. Fare clic destro sul contenitore Group Policy Objects e selezionare Incolla. GPMC crea il duplicato con "- Copy" aggiunto al nome originale.

Elimina un GPO

Eliminare un GPO lo rimuove completamente e lo scollega da tutte le posizioni in cui è attualmente applicato.

Quando sia un GPO che i suoi collegamenti appaiono nello stesso albero, verificare quali opzioni vengono mostrate conferma cosa rimuoverà l'eliminazione. Questo differisce anche dalla disabilitazione del collegamento, trattata sopra, perché un collegamento rimosso deve essere ricollegato da zero, mentre un collegamento disabilitato può essere riattivato immediatamente.

Scollegare un GPO impedisce che venga applicato a un contenitore specifico senza eliminare il GPO stesso, mantenendo la policy disponibile per l’uso altrove. Fai clic con il tasto destro sul collegamento sotto il dominio, sito o OU di destinazione e seleziona Elimina per rimuovere solo il collegamento.

1. Controlla prima la scheda Scope del GPO e annota ogni contenitore elencato sotto i collegamenti. Eliminare l'oggetto rompe tutti quei collegamenti contemporaneamente, quindi questa lista è il raggio d'impatto.

Conferma prima che la GPO sia davvero inutilizzata, poiché non puoi annullare questa azione senza ripristinare da un backup. Esegui un backup prima di eliminarla in caso di dubbi, ci vogliono pochi secondi e rende la decisione reversibile.

1. Leggi il messaggio di conferma prima di cliccare su Sì. Indica il GPO specifico e usa la parola "permanently", che lo distingue dalla rimozione di un collegamento.
2. Fare clic con il tasto destro sul GPO sotto Group Policy Objects e selezionare Elimina.

Ereditarietà e precedenza GPO

Il menu contestuale qui indica che stai lavorando su un collegamento, non sul GPO stesso. Il menu di un collegamento include Enforced e Link Enabled, mentre il menu del GPO include GPO Status, Back Up, e Copy.

Eredità

Precedenza

I GPO seguono la struttura gerarchica di domini e OU. Una policy collegata al livello di dominio si applica a ogni OU sottostante, e una policy collegata a un OU padre si applica a ogni sub-OU annidato sotto di esso, a meno che il Blocco Ereditarietà interrompa la catena.

Più GPO si applicano quasi sempre contemporaneamente allo stesso utente o computer, poiché le policy a livello di dominio, sito e OU si accumulano per impostazione predefinita. L’ereditarietà determina quali GPO raggiungono un oggetto, mentre la precedenza decide quale impostazione prevale in caso di conflitto tra più GPO.

Estensione della group policy

Una policy firewall collegata alla radice del dominio, per esempio, raggiunge ogni computer in ogni OU senza configurazioni aggiuntive, ed è proprio per questo che i link a livello di dominio vanno usati con parsimonia. Un singolo errore lì si propaga in tutta l'organizzazione contemporaneamente, poiché i link a livello di dominio saltano l'isolamento che i link a livello di OU forniscono.

Quando più GPO si applicano allo stesso oggetto con impostazioni contrastanti, Active Directory risolve il conflitto utilizzando l'ordine LSDOU. Questo ordine esegue prima la Local Group Policy, poi i GPO a livello di sito, poi i GPO a livello di dominio e infine i GPO a livello di OU dal genitore al figlio.

I modelli amministrativi (file .admx) consentono agli amministratori di definire impostazioni di criteri personalizzate per applicazioni e componenti di Windows non previste di default.

Poiché le politiche successive in questa sequenza hanno la precedenza, l'impostazione a livello di OU prevale sulla stessa impostazione a livello di dominio, a meno che il GPO a livello di dominio non abbia il flag Enforced. All'interno di un singolo contenitore, più GPO collegati sono prioritizzati in base all'ordine di collegamento, e gli amministratori possono riordinare tale priorità direttamente da GPMC.

Oltre alle attività principali del ciclo di vita sopra descritte, la group policy supporta diversi modi per estendere ciò che un GPO può gestire o per indirizzare un contenitore in modo più preciso. Questi sono livelli opzionali che la maggior parte dei team aggiunge man mano che l’ambiente cresce oltre ciò che i GPO di base e il collegamento a livello di OU possono gestire efficacemente.

Gli elementi di Preferenze personalizzate, creati da file XML o script, estendono la gestione alle unità mappate, alle stampanti, alle impostazioni del registro e ai collegamenti.

Le estensioni client di Group Policy (CSE) aggiungono categorie completamente nuove di impostazioni o attività di gestione. I filtri WMI adottano un approccio diverso, indirizzando un GPO a computer o utenti che soddisfano criteri specifici, come la versione del sistema operativo o lo spazio su disco disponibile, invece che a un'intera OU.

Modellazione e risoluzione dei problemi di Group Policy

Modellazione delle Group Policy

Anche un set ben gestito di GPO può alla fine produrre un'impostazione che non si comporta come previsto quando interagiscono ereditarietà, precedenza e filtraggio. Due strumenti integrati, più una lacuna nel controllo delle versioni che questa guida affronta direttamente, coprono la maggior parte delle esigenze di risoluzione dei problemi.

Gestione avanzata di Group Policy

Gli amministratori che gestiscono GPO in decine o centinaia di OU spesso integrano la console GPMC con comandi PowerShell creati per attività di criteri di gruppo. Le organizzazioni che devono distribuire software insieme alle impostazioni delle policy spesso abbinano il deployment software GPO con strumenti come SCCM o Intune per un controllo più granulare rispetto a quanto offerto dalle policy di installazione software GPO da sole.

Come Netwrix aiuta con il monitoraggio e il rollback delle modifiche GPO

Il Resultant Set of Policy (RSoP) aiuta gli amministratori a capire come i GPO si applicano realmente quando interagiscono ereditarietà, precedenza e filtraggio. La modalità di pianificazione di Group Policy Modeling simula uno scenario, come spostare un utente in una OU diversa, prima di effettuare la modifica. Group Policy Results, la sua modalità di registrazione, mostra le policy attualmente applicate a un utente o computer specifico, che è il modo più rapido per risolvere perché un'impostazione non ha effetto come previsto.

Microsoft non ha annunciato un sostituto diretto e le organizzazioni che si affidavano ad AGPM per il controllo delle versioni e il rollback delle GPO devono ora valutare alternative per queste funzionalità. I team che utilizzano ancora AGPM in produzione dovrebbero considerarlo un progetto a breve termine piuttosto che un compito da rimandare, poiché uno strato di controllo delle modifiche non supportato davanti a ogni modifica GPO rappresenta un rischio.

Advanced Group Policy Management (AGPM), un componente di Microsoft Desktop Optimization Pack (MDOP) che ha aggiunto il controllo delle versioni, le approvazioni del flusso di lavoro e il controllo del check-in e check-out sui GPO, ha raggiunto la fine del supporto il 14 aprile 2026.

La scomparsa di AGPM lascia una lacuna specifica. Non esiste un modo integrato per vedere la cronologia di ogni modifica apportata a un GPO nel tempo. Non puoi confrontare due versioni dello stesso GPO affiancate. Non puoi annullare una singola modifica senza ripristinare un backup completo.

Il backup nativo di GPMC, trattato in precedenza in questa guida, cattura solo un'istantanea in un singolo momento. Non registra le modifiche effettuate tra i backup e non attribuisce tali modifiche all'amministratore che le ha eseguite.

Gli amministratori non devono prima controllare le GPO in un repository controllato, poiché Netwrix Auditor legge gli stessi log eventi nativi e i dati di versione delle GPO che Active Directory genera già.

Netwrix Auditor colma questa lacuna tramite auditing nativo basato su log, anziché il modello di check-in e check-out di AGPM. Registra ogni modifica GPO con valori prima e dopo, catturando esattamente quale impostazione è cambiata, chi l'ha cambiata e quando.

Una GPO che applica le soglie di blocco account viene modificata un venerdì pomeriggio per allentare la configurazione in un caso di supporto occasionale. Nessuno ricorda di ripristinarla. Senza un registro delle modifiche, questa lacuna emerge durante la successiva revisione di sicurezza o, peggio, durante un incidente, senza traccia di quando o perché la configurazione è stata cambiata.

Netwrix Auditor non replica il modello di approvazione del flusso di lavoro di AGPM. Non impedirà che una modifica venga effettuata e non richiederà l'approvazione prima che una modifica venga applicata. Fornisce la visibilità e il percorso di rollback che le organizzazioni perdono quando AGPM smette di ricevere aggiornamenti.

Con Netwrix Auditor in uso, un amministratore estrae la cronologia delle modifiche del GPO e vede la modifica esatta insieme all’account che l’ha effettuata. Da lì, l’amministratore ripristina l’impostazione utilizzando la funzione di rollback dello strumento, invece di ricostruire manualmente la configurazione originale dalla memoria o da un vecchio backup.

Questo copre la metà di rilevamento e recupero di ciò che faceva AGPM. Il flusso di lavoro di approvazione pre-modifica offerto da AGPM rimane una lacuna separata, che uno strumento di tracciamento delle modifiche per progettazione non tenta di colmare.

Richiedi una demo per vedere come Netwrix può aiutarti a monitorare le modifiche alle group policy, annullare modifiche non autorizzate e mantenere la gestione GPO verificabile ora che AGPM non è più supportato.