Windows Server 2025 / Come creare un GPO e collegarlo a una OU

Per configurare CLIENT1 tramite criteri di gruppo, crei un oggetto Criteri di gruppo (GPO), lo colleghi all’unità organizzativa (OU) che contiene l’oggetto computer e verifichi il risultato sul client. Le impostazioni computer seguono la posizione dell’oggetto computer e le altre condizioni di applicazione, non la OU dell’utente che accede. Creare il GPO senza un collegamento adeguato non ne stabilisce, da solo, tale ambito.

Limitare la prova a CLIENT1

CLIENT1 deve già appartenere ad ad.example.test e trovarsi in Lab → Workstations, come nell’esercitazione su utenti, gruppi e OU. L’account normale labuser1 può restare in LabUsers: questa prova configura il computer, non l’utente. Workstations deve contenere solo i dispositivi di laboratorio previsti. Non usi Default Domain Policy né la OU Domain Controllers per l’esperimento.

Su DC1 o su un PC con gli strumenti di amministrazione remota del server (RSAT), apra la Console Gestione Criteri di gruppo (GPMC) mediante gpmc.msc. Servono autorizzazioni appropriate per creare, modificare e collegare il GPO: sono operazioni distinte. Essere amministratore locale di CLIENT1 non conferisce automaticamente tali diritti. Mantenga separata l’amministrazione privilegiata dall’uso quotidiano. La panoramica ufficiale dei criteri di gruppo illustra il funzionamento. Con il modulo ActiveDirectory e un account autorizzato, controlli prima la posizione del computer:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName

DistinguishedName deve collocare CLIENT1 in OU=Workstations,OU=Lab,DC=ad,DC=example,DC=test. Se compare CN=Computers o una OU diversa, identifichi l’oggetto corretto e lo sposti deliberatamente nella destinazione del laboratorio prima di proseguire. Registri la posizione precedente e consideri l’effetto degli altri criteri. Non sposti un controller di dominio per adattarlo a questa prova.

Creare il GPO e collegarlo a Workstations

1. In GPMC espanda Foresta → Domini → ad.example.test → Lab → Workstations. Selezioni Workstations, non il dominio intero.
2. Faccia clic con il pulsante destro su Workstations e scelga di creare un GPO nel dominio e collegarlo qui (Create a GPO in this domain, and Link it here).
3. Nel dialogo Nuovo GPO inserisca esattamente Lab-Computer-Message e confermi. Se esiste già, ne esamini impostazioni e collegamenti prima di riutilizzarlo; eviti copie difficili da distinguere.
4. Selezioni il GPO e controlli Ambito (Scope): il collegamento deve puntare a Workstations ed essere abilitato. Lasci disattivata l’imposizione (Enforced) e non aggiunga filtri di Strumentazione gestione Windows (WMI). Verifichi anche che la parte computer del GPO non sia disabilitata.
5. Registri e mantenga il filtro di sicurezza iniziale. Il gruppo Utenti autenticati normalmente comprende utenti e computer; l’account CLIENT1 necessita di Lettura e Applica Criteri di gruppo. Il collegamento alla OU limita questa prova. Non sostituisca il filtro con labuser1 e non cambi autorizzazioni casualmente per far applicare un criterio computer.

Il nodo Oggetti Criteri di gruppo contiene il GPO del dominio; la voce sotto Workstations è un collegamento a quell’oggetto. Un GPO può avere più collegamenti: modificarlo può influire su tutti i destinatari in cui viene applicato, non solo sulla voce selezionata. Prima di cambiare un oggetto esistente, ne esamini tutti i collegamenti e gli utilizzi. La documentazione New-GPLink distingue anche un collegamento abilitato da uno imposto.

Configurare il messaggio di accesso del computer

Usi soltanto un messaggio innocuo del laboratorio. Prima della modifica, registri eventuali titolo e testo effettivi già presenti e il GPO che li imposta. Se il dispositivo è gestito con un avviso aziendale reale, esegua la prova su un client isolato. Non sostituisca un avviso legittimo con un testo legale inventato e non modifichi altre opzioni di sicurezza.

1. Faccia clic con il pulsante destro su Lab-Computer-Message e scelga Modifica. Apra Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni di sicurezza → Criteri locali → Opzioni di sicurezza. Non utilizzi Configurazione utente.
2. Apra Accesso interattivo: titolo del messaggio per gli utenti che tentano l’accesso. Attivi la definizione dell’impostazione, inserisca il valore esatto Lab computer e confermi.
3. Apra la corrispondente opzione Accesso interattivo: testo del messaggio per gli utenti che tentano l’accesso. La definisca con il valore esatto Windows Server course lab e confermi. Questi testi inglesi sono valori dell’esercitazione, non nomi delle opzioni.
4. Chiuda l’editor e controlli entrambi i valori nella scheda Impostazioni (Settings) di GPMC. Confermi nuovamente il GPO e il collegamento; se usa più controller, consideri la replica di configurazione e SYSVOL prima di interpretare come errore un risultato precedente sul client.

Titolo e testo sono due impostazioni collegate. Il mapping ufficiale dei criteri permette di identificarle; qui si configurano tramite GPO, senza introdurre la gestione dei dispositivi mobili (MDM). Le schede del titolo del messaggio e del testo del messaggio indicano che queste due opzioni non richiedono un riavvio del dispositivo. Per osservarle, occorre un nuovo accesso, non il solo controllo del desktop già aperto.

Verificare il risultato su CLIENT1

Su CLIENT1 apra Windows PowerShell come amministratore locale ed esegua le righe seguenti. gpupdate /target:computer /force riapplica i criteri computer, non soltanto il GPO di questa prova. Attenda l’esito e risolva gli errori prima di considerare riuscito l’aggiornamento. gpresult genera un report HTML dell’ambito computer nella cartella temporanea dell’utente che esegue la console; il timestamp aiuta a distinguerlo dai report precedenti.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

L’ultima riga stampa il percorso del file e non apre automaticamente il browser. Apra quel percorso nel browser di CLIENT1 e controlli nome del computer e data del report. Cerchi Lab-Computer-Message fra i GPO applicati e verifichi origine e valori effettivi delle due opzioni di accesso. Salvi il lavoro e termini completamente la sessione; al successivo accesso dovrebbero comparire il titolo Lab computer e il testo Windows Server course lab. La presenza del GPO nel report e i valori realmente visualizzati sono due verifiche separate.

Un aggiornamento riuscito non modifica immediatamente ogni impostazione nella sessione attiva: altri criteri possono richiedere accesso o riavvio. Per questo messaggio non serve riavviare; salvi il lavoro, termini la sessione e usi la console del laboratorio per controllare. Se il report segnala accesso negato, dati assenti o un GPO escluso da un filtro, risolva la causa prima di dichiararlo applicato. La documentazione segnala una limitazione di gpresult /h su Windows ARM64; l’esempio mantiene il client x64 del laboratorio.

Ripristinare i valori in modo controllato

Per rimuovere soltanto il messaggio di prova, riapra lo stesso GPO e le due opzioni di accesso. Se lo stato iniziale documentato era senza messaggio e non interviene un altro criterio, mantenga definita ciascuna opzione ma ne svuoti il valore testuale. Confermi le modifiche, aggiorni i criteri computer su CLIENT1 e generi un nuovo report. Verifichi sia i valori effettivi sia l’assenza del messaggio al nuovo accesso. Se esistevano valori legittimi precedenti, ripristini quelli e il relativo meccanismo di gestione invece di eliminarli. Non definito o la rimozione di un collegamento non garantiscono il ritorno di ogni impostazione al valore precedente: Microsoft documenta la persistenza di alcune impostazioni di sicurezza.

Rimuovere il collegamento selezionato sotto Workstations è diverso dall’eliminare il GPO in Oggetti Criteri di gruppo. Prima di entrambe le operazioni, controlli gli altri utilizzi e l’effettivo ripristino sui client. Mantenga Lab-Computer-Message per le esercitazioni successive: non è necessario eliminarlo per concludere questa verifica. Se manca il risultato, esamini la OU reale di CLIENT1, Configurazione computer rispetto a Configurazione utente, collegamento abilitato, ereditarietà, filtri, autorizzazioni e accesso ai controller. Non estenda la prova all’intero dominio e non imponga il collegamento per nascondere un problema di ambito.