Definire gli oggetti Criteri di gruppo

La funzionalità Criteri di gruppo dei sistemi operativi Windows ha messo a disposizione un'infrastruttura tramite la quale gli amministratori possono definire centralmente le impostazioni e quindi distribuirle ai computer delle rispettive organizzazioni.

Il personale IT di Contoso può definire, imporre e aggiornare l'intera configurazione usando le impostazioni degli oggetti Criteri di gruppo, Usando le impostazioni GPO, possono applicare una serie di impostazioni di configurazione a un intero sito o a un dominio della propria organizzazione, oppure restringere il campo d'azione a una singola OU (unità organizzativa) che rappresenta un reparto.

Che cos'è il criterio di gruppo?

Criteri di gruppo è un framework dei sistemi operativi Windows con componenti che si trovano in Active Directory Domain Services, nei controller di dominio e in ogni server e client Windows. Usando questi componenti, è possibile gestire la configurazione di un dominio Active Directory Domain Services. Le impostazioni dei Criteri di gruppo vengono definite all'interno di un oggetto Criteri di gruppo (GPO). Un GPO è un oggetto che contiene una o più impostazioni dei criteri che si applicano a una o più impostazioni di configurazione per un utente o un computer.

Criteri di gruppo sono un potente strumento amministrativo. È possibile usare i GPO per distribuire varie impostazioni a molti utenti e computer. Poiché è possibile applicarli a livelli diversi, dal computer locale al dominio, è anche possibile concentrarsi con precisione su queste impostazioni. In primo luogo, è opportuno usare Criteri di gruppo per configurare le impostazioni che si preferisce non vengano configurate dagli utenti, Inoltre, è possibile usare Criteri di gruppo per standardizzare gli ambienti desktop in tutti i computer di un'unità organizzativa o in un'intera organizzazione. È anche possibile usare Criteri di gruppo per fornire sicurezza aggiuntiva, per configurare alcune impostazioni di sistema avanzate e per altri scopi illustrati in un'unità dimostrativa successiva.

Che cosa sono gli oggetti Criteri di gruppo?

Un oggetto Criteri di gruppo (GPO) è una raccolta di impostazioni dei Criteri di gruppo. Una singola impostazione di criterio definisce una configurazione specifica, ad esempio un'impostazione di criterio che impedisce a un utente di accedere agli strumenti di modifica del registro di sistema. Se si definisce questa impostazione di criteri e la si applica a un utente, questi non potrà eseguire strumenti come Regedit.exe.

Alcune impostazioni influiscono sull'utente, prendendo il nome di impostazioni di configurazione utente o criteri utente, mentre altre influiscono sul computer e prendono il nome di impostazioni di configurazione computer o criteri computer.

Criteri di gruppo gestisce varie impostazioni di criteri e il framework di Criteri di gruppo è estensibile. Con Criteri di gruppo è possibile gestire pressoché qualsiasi impostazione configurabile.

Per definire un'impostazione dei criteri, seguire questa procedura:

1. Nell'Editor Gestione Criteri di gruppo individuare l'impostazione dei criteri e quindi selezionare Invio. Viene visualizzata la finestra di dialogo Proprietà dell'impostazione di criteri.
2. Impostare lo stato dei criteri su Abilitato o Disabilitato. Per la maggior parte delle impostazioni di criteri sono disponibili tre stati: Non configurato, Abilitato e Disabilitato.
3. Se necessario, configurare valori aggiuntivi e, al termine, selezionare OK.

Le impostazioni di Criteri di gruppo vengono archiviati negli oggetti Criteri di gruppo. In un nuovo oggetto Criteri di gruppo, ogni impostazione di criteri viene automaticamente impostata sullo stato Non configurato. Quando si abilita o disabilita un'impostazione di criteri, Windows Server apporta una modifica alla configurazione di utenti e computer a cui è applicato l'oggetto Criteri di gruppo.

Per creare un nuovo GPO in un dominio:

1. In Gestione Criteri di gruppo fare clic con il pulsante destro del mouse o accedere al menu di scelta rapida per il contenitore Oggetti Criteri di gruppo e quindi scegliere Nuovo.
2. Per modificare le impostazioni di configurazione in un oggetto Criteri di gruppo, fare clic con il pulsante destro del mouse o accedere al menu di scelta rapida relativo all'oggetto Criteri di gruppo e quindi selezionare Modifica. Verrà aperto lo snap-in dell'editor Gestione Criteri di gruppo.

Nell'editor Gestione Criteri di gruppo vengono visualizzate tutte le impostazioni di criteri disponibili in un oggetto Criteri di gruppo all'interno di una gerarchia organizzata che inizia con la suddivisione tra impostazioni computer e impostazioni utente: il nodo Configurazione computer e il nodo Configurazione utente.

Gli oggetti Criteri di gruppo vengono visualizzati in un contenitore denominato Oggetti Criteri di gruppo. I due livelli successivi della gerarchia sono i nodi denominati Criteri e Preferenze. Andando avanti nella gerarchia, nell'editor Gestione Criteri di gruppo vengono visualizzate cartelle denominate nodi o gruppi di impostazioni di criteri. Le impostazioni di criteri si trovano all'interno delle cartelle.

Configurazione computer e configurazione utente

Nella parte superiore di ciascun GPO, le impostazioni sono suddivise in due nodi. Questa divisione è la distinzione strutturale più importante in un GPO perché determina su cosa influisce ogni impostazione:

• Configurazione computer contiene le impostazioni applicabili a un computer, indipendentemente dall'utente che esegue l'accesso. Queste impostazioni definiscono il comportamento del sistema operativo, la configurazione di sicurezza, gli script di avvio e arresto e le impostazioni dell'applicazione a livello di sistema. Gli esempi includono i requisiti di password e blocco dell'account, il comportamento di avvio del servizio e le impostazioni che controllano i componenti Windows per ogni utente del dispositivo.
• Configurazione utente contiene le impostazioni che si applicano a un utente, indipendentemente dal computer a cui l'utente accede. Queste impostazioni definiscono l'ambiente desktop, ad esempio l'aspetto del menu Start, gli script di accesso e di disconnessione, il reindirizzamento delle cartelle e le restrizioni per gli strumenti e le Pannello di controllo elementi a cui un utente può accedere.

Molte impostazioni vengono visualizzate solo in uno dei due nodi perché sono rilevanti solo per un computer o solo per un utente. Alcune impostazioni vengono visualizzate in entrambi i nodi, nel qual caso ogni istanza configura la propria destinazione.

Criteri e preferenze

All'interno dei nodi Configurazione computer e Configurazione utente , le impostazioni vengono raggruppate in due nodi aggiuntivi, Criteri e Preferenze, che si comportano in modo diverso:

• I criteri contengono impostazioni gestite applicate da Criteri di gruppo. Un utente in genere non può modificare un'impostazione gestita e, quando il GPO non è più applicato, l'impostazione torna al valore precedente. La maggior parte delle impostazioni dei criteri viene scritta nelle aree protette del Registro di sistema.
• Le preferenze contengono impostazioni che stabiliscono una configurazione iniziale che un utente può modificare successivamente. Le preferenze non vengono applicate e, per impostazione predefinita, non vengono rimosse quando l'oggetto Criteri di gruppo non viene più applicato. Gli elementi preferenza supportano anche la destinazione a livello di elemento, che consente di applicare un singolo elemento solo quando vengono soddisfatte condizioni definite, ad esempio un sistema operativo specifico, un gruppo di sicurezza o un nome computer specifico.

La differenza pratica tra i due dipende dall'imposizione, dalla persistenza e dal modo in cui il client scrive la configurazione. I criteri sono gestiti: il client li scrive in quattro chiavi del Registro di sistema riservate e protette (i rami Policies in HKEY_LOCAL_MACHINE e HKEY_CURRENT_USER) e un'applicazione Windows conforme legge tali chiavi e disabilita l'interfaccia corrispondente in modo che l'utente non possa modificare il valore. Poiché i criteri risiedono in questo spazio riservato, vengono rimossi e riscritti ogni volta che i Criteri di gruppo vengono aggiornati e, quando il GPO esce dall'ambito di applicazione perché viene eliminato, scollegato o escluso dalla destinazione tramite filtro, il valore scompare e l'impostazione torna al valore predefinito. Questo comportamento di aggiornamento e ripristino è il motivo per cui i criteri sono adatti alle impostazioni da bloccare e mantenere continuamente applicate. Le preferenze, al contrario, sono non gestite: il client le scrive nelle stesse posizioni del registro di sistema e del file system che un utente o un amministratore configurerebbero manualmente, quindi l'impostazione risulta identica a una configurata manualmente e l'interfaccia che la controlla resta pienamente disponibile. Una preferenza quindi "imprime in modo permanente" la configurazione: essa rimane anche dopo che il GPO non si applica più, a meno che non si scelga esplicitamente l'opzione Applica una sola volta e non riapplicare oppure l'opzione Rimuovi questo elemento quando non viene più applicato per quell'elemento. Le preferenze aggiungono flessibilità che i criteri non dispongono, tra cui la destinazione a livello di elemento per un'applicazione condizionale granulare, più azioni per elemento (Crea, Sostituisci, Aggiorna ed Elimina) e la possibilità di configurare elementi che non dispongono di alcuna impostazione di criteri, ad esempio unità mappate, collegamenti, attività pianificate e appartenenza a gruppi locali. Come regola generale, usare un criterio quando è necessario che un'impostazione sia obbligatoria e di ripristino automatico e usare una preferenza quando è necessario fornire una configurazione iniziale sensata che gli utenti possono comunque modificare o che sono destinata solo a un sottoinsieme di computer o utenti.

Nodo dei criteri

Il nodo Criteri contiene tre sottocartelle sia in Configurazione computer che in Configurazione utente:

• Impostazioni software contiene l'estensione di installazione software , che viene usata per distribuire applicazioni a computer o utenti.
• Windows Impostazioni contiene le impostazioni che configurano il sistema operativo. Gli elementi comuni includono Scripts (avvio e arresto per i computer, accesso e disconnessione per gli utenti), Impostazioni di sicurezza (ad esempio criteri account, criteri locali e firewall Windows Defender), Name Resolution Policy e Deployed Printer. In Configurazione utente questa cartella include anche Reindirizzamento cartelle.
• Modelli amministrativi contiene centinaia di impostazioni basate sul Registro di sistema, organizzate in cartelle come Pannello di controllo, Network, System, Printers e Windows Components. Ogni impostazione in questa cartella corrisponde a un valore del Registro di sistema specifico che controlla il comportamento di Windows o un'applicazione.

Nodo Preferenze

Il nodo Preferenze organizza gli elementi delle preferenze in gruppi correlati:

• Impostazioni Windows include elementi quali Mappe drive, Ambiente, File, Cartelle, Registry e Shortcuts.
• Pannello di controllo Settings include elementi quali Data Sources, Devices, Utenti e gruppi locali, Power Options, Printers, Scheduled Tasks, e Services.

Struttura di una specifica impostazione di criterio

Una singola impostazione di criteri è l'elemento più granulare di un oggetto Criteri di gruppo, ma ogni impostazione è più di una semplice opzione di attivazione/disattivazione. Quando si apre un'impostazione, la relativa finestra di dialogo Proprietà espone diversi elementi:

• Stato dell'impostazione: Non configurato, Abilitato o Disabilitato.
• Eventuali opzioni o valori aggiuntivi che diventano disponibili quando l'impostazione è abilitata. Ad esempio, l'abilitazione di un criterio di lunghezza minima password richiede di specificare il numero di caratteri.
• Riquadro di testo della Guida esplicativo che descrive le operazioni dell'impostazione e il modo in cui interagiscono le relative opzioni.
• Supportato sulle informazioni che identificano le versioni e le applicazioni del sistema operativo che rispettano l'impostazione. Una destinazione che non soddisfa il requisito ignora l'impostazione.

Poiché la maggior parte delle impostazioni dei criteri è basata sul Registro di sistema, l'abilitazione o la disabilitazione di un'impostazione fa sì che il client scriva un valore corrispondente nel Registro di sistema. Quando un'impostazione torna a Non configurata, Criteri di gruppo rimuove tale valore e la configurazione ripristina il valore predefinito.

Che cosa sono i GPO iniziali?

È possibile usare un oggetto Criteri di gruppo Starter come modello a partire dal quale creare altri oggetti Criteri di gruppo all'interno della console di Gestione Criteri di gruppo. Negli oggetti Criteri di gruppo Starter sono disponibili solo impostazioni del modello amministrativo. È possibile usare un oggetto Criteri di gruppo Starter come punto di partenza per la creazione di nuovi oggetti Criteri di gruppo nel dominio. Il GPO Starter potrebbe già contenere impostazioni specifiche conformi alle procedure consigliate per il proprio ambiente. È possibile esportare i GPO iniziali in file cabinet (.cab) e importarli da tali file per semplificarne e rendere più efficiente la distribuzione in altri ambienti.

Microsoft offre oggetti Criteri di gruppo Starter preconfigurati per i sistemi operativi client Windows. Questi oggetti Criteri di gruppo Starter sono dotati di impostazioni dei modelli amministrativi che riflettono le procedure consigliate da Microsoft per la configurazione dell'ambiente client.