Windows Server 2025 / Risolvere i problemi di applicazione dei Criteri di gruppo

Se un’impostazione dei Criteri di gruppo non viene applicata in Windows Server 2025, verificare contenuto, collegamenti e ambito, filtri e autorizzazioni, connettività del dominio e risultati effettivi del client. Usare gpresult ed eventi per trovare il motivo del rifiuto o il criterio che determina il valore finale prima di modificare la configurazione. Ripetere gpupdate senza diagnosi non dimostra che l’impostazione raggiunga l’utente o il computer corretti.

Definire computer, utente e valore interessati

Definire un computer, un utente e un valore preciso da controllare. Per il messaggio di accesso di CLIENT1, annotare oggetto Criteri di gruppo (GPO), unità organizzativa (OU) del computer e titolo previsto. Se si riprende la lezione sulla creazione e sul collegamento di un GPO, controllare Lab-Computer-Message in Lab\Workstations e il titolo letterale Lab computer, senza tradurre i valori dell’esercizio. Se il messaggio era già stato rimosso, chiarire prima lo stato ora previsto. Per un criterio utente, identificare invece l’utente realmente connesso e la sua OU. Distinguere una singola impostazione assente, tutte le impostazioni assenti e differenze fra client.

Le query seguenti, eseguite su CLIENT1, identificano computer, identità della sessione e appartenenza al dominio. Nel laboratorio sono attesi CLIENT1 e PartOfDomain = True, ma questi dati non provano l’elaborazione di un GPO specifico. LOGONSERVER riflette il contesto di accesso e non identifica necessariamente il controller usato da ogni successivo ciclo dei criteri. Durante la replica, controller diversi possono mostrare modifiche in momenti differenti. La guida Microsoft alla diagnosi dell’applicazione dei Criteri di gruppo usa report ed eventi come elementi da confrontare:

hostname
whoami
$env:LOGONSERVER
Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomain

Verificare contenuto e collegamenti in GPMC

1. Aprire la Console Gestione Criteri di gruppo (GPMC, gpmc.msc), selezionare il GPO corretto e la scheda Impostazioni. Controllare il valore salvato. Per il messaggio di laboratorio, titolo e testo si trovano in Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni sicurezza → Criteri locali → Opzioni di sicurezza.
2. Confermare se l’impostazione appartiene a Configurazione computer o Configurazione utente. La posizione dell’oggetto computer determina l’ambito computer; la OU dell’amministratore che modifica il GPO non la sostituisce.
3. Verificare il collegamento nella OU prevista, Collegamento abilitato e Stato GPO. Un collegamento disabilitato, l’intero GPO disabilitato e una sola sezione computer o utente disabilitata sono condizioni diverse.
4. In Ambito e Delega distinguere Lettura da Applica criteri di gruppo, controllando autorizzazioni effettive e negazioni. Appartenere al gruppo o poter aprire il GPO non prova da solo che sia applicabile.
5. Controllare il filtro Strumentazione gestione Windows (WMI), valutato sul computer destinatario, e le opzioni Blocca ereditarietà e collegamento forzato (Enforced). Verificarne le condizioni senza attivarle o rimuoverle indiscriminatamente.

Rimuovere Utenti autenticati dal filtro di sicurezza elimina sia Lettura sia Applica criteri di gruppo e non crea automaticamente un ambito ristretto corretto. Gli utenti destinatari devono avere le autorizzazioni appropriate; inoltre l’account computer deve poter leggere il GPO utente. La spiegazione Microsoft dei diritti di lettura dei computer sui GPO distingue i due requisiti. Se la causa verificata è il mancato accesso in lettura del computer al GPO, usare Delega → Aggiungi per concedere solo Lettura ai computer o al gruppo previsti dal progetto. Non concedere Applica a tutto il dominio per comodità e verificare eventuali negazioni esplicite. I dettagli su ambito e filtri aiutano a identificare i destinatari: non modificare i filtri di produzione per forzare una dimostrazione.

Raccogliere i risultati effettivi del client

Su CLIENT1, aprire Windows PowerShell come amministratore per le query e il report del computer. L’ultima riga interroga l’utente dell’identità che esegue il comando: rappresenta l’interessato solo se è la stessa identità. Se l’elevazione usa un altro amministratore, eseguire gpresult /r /scope user separatamente nella sessione reale dell’utente interessato, senza sostituirne il risultato con quello dell’amministratore. gpresult mostra l’insieme risultante dei criteri (Resultant Set of Policy, RSoP). L’esempio presume un client x64; su Windows ARM64 Microsoft richiede l’eseguibile in SysWow64 per il parametro /h:

$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user

Il blocco crea nella cartella temporanea una directory gp-check con data e ora e vi salva computer.html; non apre automaticamente il browser. Leggere il valore di $reportDirectory per individuarla e aprire il file nel browser. Se la creazione della directory fallisce o gpresult segnala un errore, fermarsi senza interpretare un vecchio report come risultato attuale. Controllare computer, ambito e ora di raccolta. Il riepilogo utente dell’ultima riga compare nella console e non viene salvato in computer.html.

La presenza di un GPO nell’elenco degli oggetti applicati non garantisce l’effetto di ogni impostazione. In computer.html cercare il valore preciso e il GPO che lo determina, usando la tabella come criterio di diagnosi. Verificare versione del sistema supportata, modelli amministrativi, sezione computer o utente ed errori dell’estensione che elabora l’impostazione. La guida ai risultati dei Criteri di gruppo distingue il risultato osservato dalla simulazione di modellazione. Se un altro GPO fornisce il valore finale, controllare la precedenza con la lezione su ordine ed ereditarietà, invece di forzare subito il collegamento con Enforced.

Correlare DNS, SYSVOL, replica ed eventi

Eseguire queste query diagnostiche su CLIENT1 con le autorizzazioni necessarie a leggere il registro. Resolve-DnsName usa la configurazione DNS del client e deve poter trovare i servizi del dominio di laboratorio; non sostituire il DNS del dominio con un resolver pubblico. Test-Path verifica soltanto l’accesso al percorso indicato. True non prova che tutti i file di ogni GPO e le relative autorizzazioni siano corretti; False non identifica una causa unica, perché possono intervenire risoluzione dei nomi, accesso o connettività. L’ultimo comando raccoglie solo i 30 eventi più recenti e può non includere il ciclo pertinente. Non disabilitare il firewall per ottenere una risposta.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV
Test-Path '\\ad.example.test\SYSVOL'
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message

Nel Visualizzatore eventi di CLIENT1 aprire Registri di Windows → Sistema e individuare l’avviso o l’errore GroupPolicy del momento interessato. In Dettagli leggere ActivityID e il controller indicato. Passare poi a Registri applicazioni e servizi → Microsoft → Windows → GroupPolicy → Operational per correlare gli eventi dello stesso ciclo. L’elenco di proprietà selezionato dal comando non mostra ActivityID: occorre aprire i dettagli. Un aggiornamento successivo riceve un altro identificatore; non mescolare cicli e non scambiare un vecchio successo per la prova appena ripetuta. Se gli ultimi 30 eventi non coprono il momento necessario, estendere l’esame all’intervallo appropriato.

Un GPO comprende una parte in Active Directory (AD) e una parte di file in SYSVOL, la condivisione del dominio per criteri e script. Identificare il controller citato nell’evento e controllare se le modifiche interessate hanno raggiunto DC1 e DC2. La lezione sulla replica AD aiuta a verificare la parte directory, ma il suo successo non prova da solo la replica dei file SYSVOL. Esaminare anche stato ed eventi pertinenti di DFS Replication, la replica del file system distribuito. Non imporre la copia di una versione vecchia da un controller e non eliminare SYSVOL come riparazione generica.

Correggere una causa e verificare di nuovo

Correggere una causa dimostrata e registrare la modifica insieme al valore precedente. Per il caso computer di CLIENT1 aggiornare solo quell’ambito con il comando seguente. Se la causa riguarda un criterio utente, trattare il relativo ambito nella sessione appropriata. Disconnettersi e accedere di nuovo oppure riavviare solo quando l’impostazione lo richiede. Il messaggio di laboratorio si verifica all’accesso successivo e non giustifica riavvii indiscriminati del server:

gpupdate /target:computer /force

Dopo la correzione, creare un report nuovo in una nuova directory e confrontare valore previsto, GPO di origine finale e comportamento reale. Il solo output di gpupdate non dimostra questi risultati. Le condizioni di elaborazione dei criteri comprendono estensioni che richiedono accesso o avvio. In scenari configurati appositamente, il loopback può unire o sostituire i criteri dell’utente con quelli associati al computer; non abilitarlo come soluzione generica. Se il problema persiste, annullare soltanto la propria modifica e conservare errore residuo, ora di raccolta e identità usata.

Report HTML ed eventi possono contenere nomi di utenti, computer, domini e percorsi interni. Conservarli con accesso limitato, scegliere ciò che serve realmente condividere e oscurare i dati superflui prima di pubblicare informazioni diagnostiche. Non includere password e non abilitare permanentemente la registrazione di debug dettagliata solo per aumentare la raccolta.