Windows Server 2025 / Come creare utenti, gruppi e OU in Active Directory

Utenti, gruppi e unità organizzative in Active Directory (AD) hanno funzioni diverse: l’account identifica l’utente, l’unità organizzativa (OU) delimita amministrazione e criteri, mentre il gruppo di sicurezza riceve autorizzazioni sulle risorse. Questa esercitazione crea labuser1 e GG_LabUsers in OU dedicate. Aggiungere un utente al gruppo non concede accesso ai file finché al gruppo non vengono assegnate le autorizzazioni appropriate.

Progettare OU dedicate al laboratorio

Nel dominio ad.example.test già funzionante, creare l’OU Lab con quattro OU figlie: LabUsers, LabGroups, Workstations e Servers. Conservare questi nomi esatti per mantenere la corrispondenza con i comandi. Separare gli oggetti di laboratorio dai contenitori predefiniti Users e Computers. Non spostare arbitrariamente account amministrativi integrati, identità di servizio o controller di dominio da Domain Controllers. Operare su DC1 o su un PC di amministrazione autorizzato con gli strumenti Active Directory e i diritti necessari nelle posizioni di destinazione.

Progettare le OU in base alla delega amministrativa e ai criteri richiesti, senza riprodurre automaticamente l’organigramma. Una gerarchia troppo profonda rende difficile risalire all’origine di impostazioni e responsabilità. La guida alla progettazione delle OU illustra questi criteri. Mantenere attiva la protezione contro l’eliminazione accidentale sulle nuove OU: questa protezione non è un backup e non sostituisce un piano di ripristino.

Creare utente e gruppo tramite interfaccia grafica

1. Aprire dsa.msc su DC1 o su un PC autorizzato con RSAT Active Directory. Verificare che il dominio selezionato sia ad.example.test e che l’account possa amministrare gli oggetti del laboratorio.
2. Fare clic destro su ad.example.test → Nuovo → Unità organizzativa e creare Lab con protezione contro l’eliminazione accidentale. All’interno ripetere Nuovo → Unità organizzativa per LabUsers, LabGroups, Workstations e Servers, quindi controllare la gerarchia.
3. In LabUsers scegliere Nuovo → Utente. Usare Lab User One come nome completo e labuser1 come nome di accesso con suffisso ad.example.test. Inserire e confermare una password iniziale univoca conforme ai criteri, richiederne il cambio al prossimo accesso e verificare che l’account non rimanga disabilitato. Non disattivare i requisiti delle password per completare la prova.
4. In LabGroups scegliere Nuovo → Gruppo, inserire GG_LabUsers e selezionare ambito Globale e tipo Sicurezza. Confermare e controllare le proprietà, senza scegliere Distribuzione.
5. Nelle proprietà di GG_LabUsers aprire Membri → Aggiungi e selezionare labuser1, verificando l’identità trovata prima di salvare. Controllare Membri nel gruppo e Membro di nelle proprietà dell’utente: entrambi devono mostrare la nuova relazione.

Per le autorizzazioni sulle risorse usare un gruppo di sicurezza. Un gruppo di distribuzione serve alle liste di posta e non sostituisce tale controllo di accesso. L’ambito stabilisce i membri consentiti e dove si può utilizzare il gruppo; questo laboratorio con un solo dominio parte da Globale. Consultare New-ADGroup e la descrizione di tipi e ambiti dei gruppi di sicurezza. Collocare GG_LabUsers in LabGroups non aggiunge automaticamente membri né autorizzazioni alle risorse.

Usare PowerShell come alternativa

Il blocco seguente è un’alternativa alla creazione grafica, non un passaggio da ripetere dopo di essa. Usare Windows PowerShell su DC1 o su un PC autorizzato con il modulo ActiveDirectory installato e connessione al dominio. Verificare prima se gli oggetti esistono: in tal caso controllarne identità, posizione e scopo, senza eliminarli, sovrascriverli o rieseguire tutto il blocco. DC=ad,DC=example,DC=test e OU=Lab sono percorsi della directory, non cartelle del disco. Read-Host -AsSecureString richiede la password iniziale senza inserirla nel codice; non conservarla in chiaro nel resoconto:

Import-Module ActiveDirectory
$domainPath = 'DC=ad,DC=example,DC=test'
$labPath = 'OU=Lab,' + $domainPath
New-ADOrganizationalUnit -Name 'Lab' -Path $domainPath -ProtectedFromAccidentalDeletion $true
foreach ($ouName in 'LabUsers','LabGroups','Workstations','Servers') {
    New-ADOrganizationalUnit -Name $ouName -Path $labPath -ProtectedFromAccidentalDeletion $true
}
$initialPassword = Read-Host 'Initial password for labuser1' -AsSecureString
New-ADUser -Name 'Lab User One' -SamAccountName 'labuser1' -UserPrincipalName 'labuser1@ad.example.test' -Path ('OU=LabUsers,' + $labPath) -AccountPassword $initialPassword -Enabled $true -ChangePasswordAtLogon $true
New-ADGroup -Name 'GG_LabUsers' -GroupCategory Security -GroupScope Global -Path ('OU=LabGroups,' + $labPath)
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'labuser1'
Get-ADGroupMember -Identity 'GG_LabUsers'

La documentazione sulla creazione delle OU spiega -Path e la protezione contro l’eliminazione accidentale. I parametri di New-ADUser distinguono il nome dell’oggetto Lab User One dal nome di accesso labuser1 e dal nome principale utente labuser1@ad.example.test. -Enabled $true richiede l’abilitazione e -ChangePasswordAtLogon $true impone il cambio password al prossimo accesso. L’ultima interrogazione deve includere labuser1 tra i membri diretti di GG_LabUsers; non dimostra ancora un accesso riuscito o un’autorizzazione ai file.

Se i criteri rifiutano la password, New-ADUser può aver creato l’oggetto senza riuscire ad abilitare l’account. Verificare errore ed Enabled: non presumere che tutto sia stato annullato e non creare nuovamente lo stesso utente. Individuare labuser1 in Utenti e computer di Active Directory, impostare una password valida tramite Reimposta password e abilitare l’account quando necessario, mantenendo il cambio al prossimo accesso. La documentazione sul ripristino della password AD descrive l’alternativa amministrativa. Non forzare l’abilitazione con password vuote o criteri disattivati.

Spostare i computer e provare l’utente standard

Prima di spostare computer, verificare che esistano cinque OU nella gerarchia prevista: Lab e le quattro figlie. Controllare labuser1 in LabUsers, GG_LabUsers in LabGroups, tipo Sicurezza con ambito Globale e interrogazione dei membri contenente l’utente atteso. Se manca qualcosa, correggere il passaggio specifico in base all’errore reale. Il successo di una riga successiva non dimostra che tutte le precedenti siano riuscite.

Spostare soltanto oggetti di computer già appartenenti al dominio. Se CLIENT1 non è ancora membro, completare prima l’esercitazione per aggiungere il client al dominio. FS1 compare soltanto se è già stato aggiunto come server membro; altrimenti saltarne lo spostamento e l’interrogazione, senza creare un oggetto sostitutivo per nascondere l’errore. In Utenti e computer di Active Directory, fare clic destro sull’oggetto corretto e scegliere Sposta: CLIENT1 in Lab\Workstations, FS1 in Lab\Servers. Verificare che nessuno sia un controller, annotare la posizione precedente e valutare i criteri nella destinazione prima di spostare. Controllare poi posizione e stato:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName
Get-ADComputer -Identity 'FS1' | Select-Object Name,DistinguishedName
Get-ADUser -Identity 'labuser1' -Properties Enabled | Select-Object SamAccountName,Enabled,DistinguishedName

DistinguishedName deve contenere OU=Workstations,OU=Lab per CLIENT1 e OU=Servers,OU=Lab per FS1 se presente come membro, seguiti da DC=ad,DC=example,DC=test. Per labuser1 verificare SamAccountName, Enabled True e OU=LabUsers,OU=Lab. Salvare il lavoro e disconnettere completamente la sessione su CLIENT1; bloccare lo schermo non basta. Scegliere Altro utente, accedere come labuser1@ad.example.test, cambiare la password iniziale quando richiesto ed eseguire whoami: l’identità attesa è AD\labuser1. Al gruppo non sono ancora stati assegnati permessi sui file; un accesso negato a una condivisione non indica da solo un errore nella creazione del gruppo.

Le impostazioni utente e computer seguono le posizioni dei rispettivi oggetti e i criteri applicabili. Spostare labuser1 non sposta CLIENT1; collocare GG_LabUsers in una OU non trasferisce lì i membri del gruppo. Se uno spostamento produce effetti imprevisti, controllare collegamenti ed ereditarietà dei criteri e valutare il ritorno del solo oggetto interessato alla posizione precedente annotata. Non spostare altri oggetti per tentare di compensare il risultato.

Valutare modifiche ai membri e pulizia

Le sessioni già aperte possono mantenere informazioni precedenti sui gruppi nel token di accesso, l’oggetto che descrive il contesto di sicurezza della sessione o del processo. La documentazione sui token di accesso ne spiega le informazioni di gruppo. Dopo una modifica, salvare il lavoro, disconnettersi e accedere di nuovo come labuser1. Confrontare whoami /groups con l’appartenenza in AD e Get-ADGroupMember. Aprire un’altra finestra nella vecchia sessione non equivale a una nuova autenticazione. Prima di rinominare o eliminare utenti e gruppi, controllare dipendenze applicative e autorizzazioni sui file.

Conservare gli oggetti per le esercitazioni successive. Per una pulizia pianificata, inventariare prima oggetti necessari, posizioni, collegamenti dei criteri, delega e autorizzazioni dipendenti. Spostare gli oggetti da conservare in una destinazione appropriata prima di considerare l’eliminazione di una OU. La protezione contro l’eliminazione accidentale è intenzionale: rimuoverla soltanto da un’OU selezionata e controllata espressamente, senza disattivarla o eliminare ricorsivamente tutta la struttura Lab. Un messaggio di accesso negato non giustifica la rimozione della gerarchia o modifiche ad account amministrativi estranei all’esercitazione.