Windows Server 2025 / Come aggiungere un client Windows al dominio Active Directory

Per aggiungere CLIENT1 a un dominio Active Directory (AD), servono un’edizione Windows compatibile, DNS interno funzionante, connettività al dominio e autorizzazioni per creare o riutilizzare l’account computer. Impostare DC1 come DNS, aggiungere CLIENT1 ad ad.example.test e riavviare dopo aver confermato il successo. Verificare separatamente l’appartenenza del computer e l’identità della sessione utente.

Preparare DNS e autorizzazioni di aggiunta

Usare un’edizione che supporti l’aggiunta a un dominio AD, per esempio Windows 11 Pro o Enterprise. Windows Home non supporta questa operazione. L’aggiunta o la registrazione a Microsoft Entra ID è un procedimento diverso. AD e DNS di DC1 devono già funzionare nella rete isolata condivisa, secondo l’esercitazione sulla creazione del primo dominio. Sono necessari privilegi di amministratore locale su CLIENT1 e autorizzazioni appropriate in AD: sono requisiti distinti.

• Definire il nome definitivo CLIENT1 e verificare l’accesso dell’amministratore locale prima di cambiare appartenenza. Mantenere disponibile la console della VM.
• Impostare DNS 172.24.50.10 sulla scheda del laboratorio. Con DHCP controllare le opzioni realmente ricevute e la modalità prevista per IP e DNS. Un DNS pubblico alternativo non sostituisce il DNS interno di AD.
• Verificare data, ora, rete virtuale condivisa e comunicazione con DC1. Non disattivare il firewall per nascondere un problema di regole o ambito.
• Preparare un account autorizzato a creare l’oggetto computer nella destinazione o a riutilizzare quello esistente. I privilegi amministrativi locali e i diritti su AD sono distinti.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Nel laboratorio la risposta SRV deve indicare il servizio del controller previsto, per esempio dc1.ad.example.test, e nltest deve trovare un controller per ad.example.test. Un record SRV esistente non dimostra che tutte le comunicazioni necessarie all’aggiunta funzionino. Se la prima interrogazione riesce e la seconda no, controllare anche il DNS configurato su CLIENT1. Il rilevamento riuscito non concede autorizzazioni né conferma una password.

Eseguire entrambe le interrogazioni su CLIENT1 prima di fornire password di dominio. La prima interroga esplicitamente il DNS 172.24.50.10; la seconda cerca un controller usando la configurazione del client. Se il rilevamento fallisce, controllare scheda, DNS, connettività e ora prima di riprovare le credenziali. Le autorizzazioni per l’aggiunta al dominio distinguono creazione e riutilizzo dell’account computer. Delegare solo i diritti necessari nel contenitore o nell’unità organizzativa (OU) di destinazione, senza trasformare un utente quotidiano in amministratore di dominio per comodità.

Aggiungere CLIENT1 tramite Proprietà del sistema

1. Su CLIENT1 eseguire sysdm.cpl e scegliere Nome computer → Cambia. Verificare il computer di destinazione e i privilegi di amministratore locale.
2. In Membro di selezionare Dominio, inserire ad.example.test come nome DNS del dominio e confermare con OK.
3. Quando richiesto, usare un account di dominio autorizzato, per esempio AD\nomeautorizzato sostituendo il nome con quello reale. La sola password locale di CLIENT1 non autorizza la creazione o il riutilizzo dell’oggetto AD.
4. Controllare il messaggio di riuscita. In caso di errore fermarsi e annotarlo; dopo il successo salvare il lavoro e riavviare quando richiesto.
5. Dopo il riavvio scegliere Altro utente e accedere con AD\nomeutente o nomeutente@ad.example.test. Sostituire nomeutente con un account di dominio esistente e conservare anche le credenziali dell’amministratore locale.

La procedura ufficiale di aggiunta al dominio descrive l’operazione. Se l’utente standard del laboratorio non è ancora stato creato, verificare prima aggiunta e amministrazione con un account autorizzato esistente, poi provare l’accesso standard quando l’account sarà disponibile. Non usare un membro di Domain Admins come identità di lavoro quotidiana.

CLIENT1\utente e AD\utente sono identità diverse anche se il nome visualizzato coincide. Il primo accesso con l’account di dominio non riutilizza automaticamente il vecchio profilo locale; desktop e preferenze possono quindi cambiare. Salvare una copia dei dati e pianificarne la migrazione con le autorizzazioni corrette. Non eliminare la cartella del profilo precedente per tentare di risolvere la differenza.

Usare PowerShell come alternativa

Come alternativa alla procedura grafica, aprire Windows PowerShell come amministratore su CLIENT1 solo se il computer non è già stato aggiunto al dominio. Eseguire il blocco una riga alla volta: Get-Credential richiede interattivamente account di dominio autorizzato e password; Add-Computer esegue l’aggiunta e -PassThru -Verbose permette di esaminarne il risultato. Eseguire Restart-Computer soltanto dopo aver verificato il successo e salvato il lavoro. Un errore di Add-Computer non annulla automaticamente la successiva riga di riavvio. Consultare la documentazione di Add-Computer:

$joinCredential = Get-Credential
Add-Computer -DomainName 'ad.example.test' -Credential $joinCredential -PassThru -Verbose
Restart-Computer

Un riavvio non trasforma un’aggiunta fallita in una riuscita. Annotare il messaggio e risolverne la causa prima di ripetere l’operazione. Lo stesso metodo può aggiungere FS1 come server membro: mantenere il suo IP statico 172.24.50.20 e usare il DNS di dominio funzionante 172.24.50.10. L’aggiunta come membro non installa AD DS e non promuove FS1 a controller di dominio.

Verificare appartenenza e identità della sessione

Get-CimInstance Win32_ComputerSystem | Select-Object Name,Domain,PartOfDomain
whoami
$env:LOGONSERVER
Test-ComputerSecureChannel -Verbose

Dopo il riavvio eseguire queste verifiche su CLIENT1, aprendo Windows PowerShell come amministratore per la diagnosi. PartOfDomain deve essere True, Domain deve essere ad.example.test e Name deve corrispondere a CLIENT1. Whoami identifica la sessione corrente: AD\utente è un’identità di dominio, mentre CLIENT1\utente resta locale anche su un computer già aggiunto. LOGONSERVER fornisce contesto sulla sessione e da solo non dimostra il corretto funzionamento di DNS, autenticazione e canale sicuro.

Test-ComputerSecureChannel -Verbose deve restituire True se il canale sicuro tra questo computer membro e il dominio funziona. Senza -Repair il comando controlla e non ripara. Con False o un errore, esaminare DNS, connettività e account computer prima di tentare una riparazione o un’uscita dal dominio. La documentazione di Test-ComputerSecureChannel limita il test a client e server membri. Su DC1, che è un controller di dominio, può produrre errori fuorvianti e non sostituisce la diagnosi del DC.

Su DC1 aprire Server Manager → Strumenti → Utenti e computer di Active Directory e individuare l’oggetto computer CLIENT1. Senza preparazione anticipata o reindirizzamento, viene normalmente creato nel contenitore Computers, che non è un’OU. Se l’account era stato preparato altrove, cercarlo nella sua posizione effettiva. Nelle esercitazioni sui criteri si potrà spostarlo nell’OU Workstations del laboratorio. Gli oggetti utente e computer hanno posizioni indipendenti: spostarne uno non sposta l’altro.

Gestire riutilizzo degli account e uscita dal dominio

Le protezioni dell’aggiunta al dominio possono impedire il riutilizzo di un account computer esistente. Prima di modificare l’oggetto, controllare proprietario, diritti delegati, nome computer e stato del dispositivo precedente. KB5020276 sulla protezione avanzata dell’aggiunta al dominio descrive i controlli di proprietà e le procedure supportate. L’errore 0xaac può indicare un riutilizzo bloccato, non semplicemente una password errata. Su CLIENT1 esaminare C:\Windows\debug\NetSetup.log in corrispondenza dell’ora del tentativo; per problemi di comunicazione consultare la guida agli errori di rete durante l’aggiunta al dominio. Non disattivare verifiche, non estendere la fiducia a tutti gli account e non eliminare un account computer ancora in uso per forzare l’esito.

Mantenere CLIENT1 nel dominio per le esercitazioni successive. Se occorre provare l’uscita, verificare prima l’accesso con un amministratore locale e le relative credenziali. In sysdm.cpl → Nome computer → Cambia, scegliere Gruppo di lavoro e inserire il nome previsto. Autorizzare la modifica quando richiesto, confermare l’esito e riavviare. Accedere quindi con l’account locale effettivo, per esempio CLIENT1\nomelocale. Dati dei profili e pulizia dell’oggetto AD richiedono decisioni separate. Registrare aggiunta, accesso dell’utente standard, DNS e canale sicuro ciascuno con il proprio risultato e orario.