Windows Server 2025 / Come gestire utenti e gruppi locali

Un utente locale è un account appartenente a una specifica installazione di Windows Server. Un gruppo locale riunisce account ai quali il server può assegnare autorizzazioni e diritti. Separa gli account per l’uso quotidiano da quelli amministrativi e assegna solo le appartenenze ai gruppi necessarie per il compito.

Distinguere identità locali e di dominio

L'utente locale labuser su FS1 è gestito da FS1. Creare lo stesso nome su un altro server genera un'identità diversa. Gli account di dominio sono gestiti in Active Directory e possono autenticarsi su computer uniti al dominio.

Esegui questo laboratorio su FS1 prima che diventi un controller di dominio. Un controller non espone la gestione degli account locali dei server membri ordinari allo stesso modo; l'assenza del nodo Utenti e Gruppi locali su DC1 non è in sé un errore.

Crea l'utente e il gruppo tramite l'interfaccia grafica

1. Su FS1 con Desktop Experience, accedi come amministratore e apri compmgmt.msc. Su Server Core, usa la procedura PowerShell della sezione seguente.
2. Apri Strumenti di sistema → Utenti e gruppi locali → Utenti e scegli Nuovo utente dal menu contestuale.
3. Crea labuser con una password unica. Scegli le condizioni per il cambio password appropriate al metodo di accesso e alla politica prevista.
4. Apri Utenti e gruppi locali → Gruppi e scegli Nuovo gruppo. Crea LabReaders e aggiungi l’utente locale labuser, verificando che provenga da FS1. Non aggiungerlo al gruppo amministrativo predefinito, chiamato Administrators nell’interfaccia inglese.

LabReaders è il nome del tuo gruppo e non cambia con la lingua dell'interfaccia di Windows. I nomi dei gruppi predefiniti possono essere localizzati, quindi verifica descrizioni e membri, oltre ai nomi.

L'appartenenza da sola non garantisce l'accesso ai file o il login remoto. Devi assegnare separatamente i permessi del gruppo su una risorsa o i diritti nella relativa policy di accesso.

Crea la configurazione equivalente con PowerShell

Non ricreare nomi già presenti dopo l’esercizio grafico. Su un FS1 dove questi oggetti non esistono ancora, usa Windows PowerShell a 64 bit avviata come amministratore. New-LocalUser riceve la password come oggetto SecureString. Read-Host con -AsSecureString la acquisisce senza doverla scrivere come testo visibile nel codice:

$labPassword = Read-Host 'Password for labuser' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

L’ultimo comando deve mostrare FS1\labuser come membro di LabReaders. Il nome del computer in Add-LocalGroupMember distingue l’account locale da uno di dominio con lo stesso nome; consulta la documentazione sulle appartenenze ai gruppi locali. Non inserire la password nel sorgente e non usare un account senza password come scorciatoia. Il modulo LocalAccounts non è disponibile nella PowerShell a 32 bit di un sistema a 64 bit.

Verifica lo stato dell'account e la sessione utente effettiva

Verifica la creazione separatamente dall’accesso effettivo. Le prime due query mostrano lo stato di labuser e l’appartenenza al gruppo; Enabled indica se l’account è abilitato. Esegui whoami e whoami /groups nella sessione reale dell’utente standard, non nella finestra dell’amministratore, per controllare identità e gruppi di quella sessione.

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

Una sessione aperta può conservare il token di accesso iniziale, cioè i dati di sicurezza acquisiti al momento dell’accesso, anche dopo una modifica dei gruppi. Disconnettiti e accedi nuovamente prima di confrontare i risultati. Se l’accesso fallisce, controlla stato dell’account, password, tastiera e identità locale o di dominio. Un criterio che nega l’accesso può prevalere sull’appartenenza a un gruppo; concedere diritti di amministratore non è una soluzione generale.

Disabilita un account temporaneamente inutilizzato

Le due righe sono alternative opposte: Disable-LocalUser disabilita l’account ed Enable-LocalUser lo riabilita. Esegui soltanto la riga necessaria, non l’intero blocco come sequenza:

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

Prima di rimuovere definitivamente questa configurazione di utenti e gruppi, controlla le autorizzazioni ancora assegnate al gruppo. Rimuovi prima l’appartenenza, quindi elimina gruppo e utente solo se non servono più:

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

Un account ricreato con lo stesso nome riceve un diverso identificatore di sicurezza (SID, Security Identifier), come spiega la documentazione sugli identificatori di sicurezza. Le autorizzazioni precedenti non si trasferiscono automaticamente. Mantieni l’account se servirà nelle successive esercitazioni sui permessi dei file. Prima di disabilitare un account amministrativo, verifica un’altra modalità di accesso amministratore funzionante.