Windows Server 2025 / Ordine ed ereditarietà dei criteri di gruppo

I criteri di gruppo vengono normalmente elaborati nell’ordine locale → sito → dominio → unità organizzative (OU), dalle OU superiori verso quella più vicina all’oggetto. Se due oggetti Criteri di gruppo (GPO) impostano valori diversi per la stessa opzione, contano anche ordine dei collegamenti, imposizione, ereditarietà, filtri e comportamento specifico dell’impostazione. Verifichi l’origine effettiva nel report dei risultati, senza presumere che prevalga sempre la OU più bassa.

Comprendere precedenza ed eccezioni

I criteri sono cumulativi: un GPO elaborato successivamente non cancella tutte le impostazioni indipendenti dei precedenti. La precedenza è rilevante quando la stessa opzione riceve valori in conflitto. La documentazione ufficiale sull’elaborazione dei criteri di gruppo spiega l’ordine normale e le eccezioni.

L’ordine dei collegamenti confronta GPO collegati allo stesso sito, dominio o alla stessa OU. Il numero 1 sotto Lab e il numero 1 sotto Workstations non appartengono a un’unica graduatoria. La documentazione di Set-GPLink e del parametro Order chiarisce che, nello stesso contenitore, il numero inferiore viene elaborato dopo e ha maggiore precedenza nei conflitti. Questa esercitazione cambia l’abilitazione di un collegamento, non l’ordine o l’imposizione.

I filtri di sicurezza e di Strumentazione gestione Windows (WMI) possono escludere un GPO inizialmente candidato in base al suo collegamento. Contano anche Configurazione computer rispetto a Configurazione utente e la posizione dell’oggetto interessato. Un GPO escluso da un filtro non si applica soltanto perché ha un numero d’ordine basso. Non cambi contemporaneamente filtri, ereditarietà e imposizione per spiegare un singolo risultato.

Preparare e registrare lo stato iniziale

CLIENT1 deve appartenere ad ad.example.test, trovarsi in Lab → Workstations e raggiungere i controller con DNS interno funzionante. Apra la Console Gestione Criteri di gruppo (GPMC) mediante gpmc.msc con un account autorizzato a creare, modificare e collegare GPO nella OU del laboratorio. Controlli prima Lab-Computer-Message e il relativo collegamento abilitato in Workstations. Se nell’esercitazione sulla creazione di un GPO aveva svuotato i messaggi per provarne la rimozione, definisca nuovamente il titolo Lab computer e il testo Windows Server course lab. Aggiorni CLIENT1 e verifichi questo stato iniziale prima di aggiungere il GPO superiore.

Registri su entrambe le OU ordine e stato dei collegamenti, imposizione (Enforced), blocco dell’ereditarietà e filtri, oltre ai due valori del messaggio e alla loro origine effettiva. Questi fattori restano invariati durante il confronto. Il nuovo collegamento a Lab può raggiungere tutti i computer delle OU discendenti, anche FS1 in Lab → Servers se altre condizioni non lo escludono. Osservare CLIENT1 non limita l’ambito a quel solo computer. Usi soltanto l’albero isolato del laboratorio e non prosegua se contiene dispositivi che non devono essere modificati. Il corpo del messaggio resta identico nei due GPO: cambia soltanto il titolo.

Confrontare la stessa opzione su due livelli di OU

1. In GPMC espanda Foresta → Domini → ad.example.test. Faccia clic con il pulsante destro sulla OU superiore Lab e crei un GPO nel dominio collegandolo lì, con il nome esatto Lab-Parent-Message. Non lo colleghi al dominio o a Workstations; se esiste già, ne esamini gli utilizzi prima di continuare.
2. Modifichi Lab-Parent-Message in Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni di sicurezza → Criteri locali → Opzioni di sicurezza. Definisca Accesso interattivo: titolo del messaggio per gli utenti che tentano l’accesso con il valore esatto Parent lab.
3. Definisca la corrispondente opzione del testo con Windows Server course lab, identico al GPO inferiore. Controlli entrambi i valori nella scheda Impostazioni di GPMC.
4. Mantenga Lab computer e lo stesso corpo del messaggio in Lab-Computer-Message. Entrambi i collegamenti devono essere abilitati, senza imposizione o nuovi filtri e con la configurazione computer attiva. Non modifichi blocchi dell’ereditarietà o permessi per ottenere il risultato desiderato: chiarisca prima le differenze dello stato del laboratorio.
5. Su CLIENT1 apra Windows PowerShell come amministratore locale ed esegua il blocco seguente. Attenda l’esito dell’aggiornamento, gestisca eventuali errori e controlli poi un nuovo report e un nuovo accesso.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

L’ultima riga mostra il percorso HTML nella cartella temporanea dell’utente che esegue la console. Lo apra nel browser di CLIENT1 e controlli data, computer, GPO applicati e origine effettiva del titolo. Salvi il lavoro e termini completamente la sessione per vedere il messaggio all’accesso successivo. Ripeta il blocco in ogni fase per generare un report con un nuovo timestamp; non consideri attuale una vecchia scheda del browser. L’aggiornamento forzato riguarda i criteri computer in generale e non sostituisce la verifica del risultato.

Con entrambi i collegamenti abilitati, senza imposizione, senza blocchi che escludano il GPO superiore e con filtri applicabili, CLIENT1 dovrebbe mostrare Lab computer e attribuire il titolo a Lab-Computer-Message collegato a Workstations. Per questa impostazione, la OU più vicina normalmente prevale. Se compare Parent lab o un altro valore, esamini prima origine e condizioni reali: potrebbe esserci un altro GPO imposto, un collegamento disabilitato, un filtro o una posizione diversa dell’oggetto. Entrambi i GPO possono comparire fra quelli applicati, ma solo uno fornisce il titolo effettivo.

Disabilitare solo il collegamento inferiore e ripristinarlo

1. In GPMC selezioni con il pulsante destro soltanto il collegamento di Lab-Computer-Message sotto Workstations e tolga il segno di spunta da Collegamento abilitato (Link Enabled). Non lo elimini, non disabiliti l’intera configurazione computer del GPO e non cambi gli altri collegamenti dell’oggetto.
2. Aggiorni CLIENT1 e generi un nuovo report. Dopo aver salvato il lavoro, termini la sessione e controlli l’accesso successivo mantenendo invariate le altre condizioni.
3. Verifichi che il report indichi ora Lab-Parent-Message come origine del titolo e che compaia Parent lab. Il testo deve restare Windows Server course lab. In caso contrario, esamini origine reale ed esito dell’aggiornamento senza attribuire automaticamente la differenza all’ereditarietà.
4. Riabiliti lo stesso collegamento di Lab-Computer-Message in Workstations. Aggiorni CLIENT1, generi un altro report e confermi il ritorno dell’origine Lab-Computer-Message e del titolo Lab computer; il corpo del messaggio resta uguale.

Questa prova usa due GPO che definiscono esplicitamente valori diversi per la stessa opzione. Disabilitando il collegamento inferiore, il GPO superiore continua a fornire un valore. Il passaggio a Parent lab non dimostra quindi che scollegare un GPO ripristini universalmente ogni impostazione precedente. Mantenga invariati filtri e corpo del messaggio. Se manca il risultato previsto, riabiliti il collegamento inferiore e verifichi lo stato iniziale prima di indagare altre variabili.

Rimuovere soltanto la configurazione di prova

Confermi prima che Lab-Computer-Message sia nuovamente abilitato su Workstations e che CLIENT1 riceva Lab computer da quel GPO. Esamini tutti gli utilizzi di Lab-Parent-Message. Rimuova soltanto il collegamento di prova sotto Lab ed elimini il GPO stesso solo se esclusivo dell’esercitazione e privo di altri utilizzi. Non elimini il GPO inferiore né altri collegamenti per pulire la prova. Aggiorni CLIENT1, generi un nuovo report e verifichi che titolo e testo originali restino validi. Conservi una registrazione di quanto rimosso e delle opzioni rimaste invariate.

Per confrontare impostazioni utente, consideri la OU dell’oggetto utente. Un GPO con sole opzioni utente collegato alla OU di CLIENT1 normalmente non segue il computer nello stesso modo. L’elaborazione loopback può modificare la lista dei GPO utente con le modalità Unione o Sostituzione, ma richiede una progettazione specifica e non viene abilitata qui. La documentazione sull’ambito dei criteri di gruppo distingue collegamenti, filtri e applicazione effettiva.