Group Policy

⚙️ Group Policy Objects (GPO)

Gestione Centralizzata di Windows Server 2019

📋 Introduzione alle Group Policy

Le Group Policy (GPO) di Windows Server sono uno strumento potente che permette agli amministratori di rete di configurare e gestire centralmente le impostazioni dei dispositivi e degli utenti all’interno di un dominio.

Utilizzando le Group Policy, è possibile automatizzare e semplificare la gestione di configurazioni di sistema, applicazioni e sicurezza su tutta la rete aziendale, garantendo una gestione più efficiente e sicura delle risorse.

💡 Cosa puoi fare con le GPO:

  • ✅ Automatizzare operazioni ripetitive (pulizia cartelle, installazione software)
  • ✅ Applicare restrizioni agli utenti (blocco applicazioni, temi desktop)
  • ✅ Distribuire software centralizzato su tutti i computer del dominio
  • ✅ Gestire configurazioni in modo uniforme e controllato
  • ✅ Reindirizzare cartelle utente su server centralizzati

🗑️ Attività 1: Cancellazione Programmata di una Cartella Condivisa

In questa sezione vedremo come creare una Group Policy per automatizzare la cancellazione di una cartella condivisa di nome “one_week” su tutti i dispositivi di rete.

L’operazione verrà eseguita tramite un’attività pianificata, configurata in modo che la cartella venga eliminata automaticamente a intervalli regolari. Questo processo può essere utile per la gestione di cartelle temporanee o per l’archiviazione automatica di dati.

🎯 Obiettivo dell’Attività

Creare una GPO che:

  1. Si applichi automaticamente a tutti i computer del dominio
  2. Esegua uno script per svuotare la cartella one_week
  3. Venga pianificata per l’esecuzione periodica (es. ogni settimana)
  4. Funzioni in modo trasparente senza intervento utente

🔍 Casi d’Uso Pratici

  • Cartelle temporanee: Pulizia automatica di file scaricati o temporanei
  • Spazio disco: Liberare spazio su server condivisi
  • Compliance: Rimozione periodica di dati sensibili dopo X giorni
  • Performance: Mantenere le cartelle condivise snelle e veloci

📹 Video Descrittivo delle Operazioni

⚙️ Passaggi Principali nel Video:

  1. Apertura della Group Policy Management Console (gpmc.msc)
  2. Creazione di una nuova GPO collegata al dominio o a una specifica OU
  3. Configurazione di un’Attività Pianificata (Scheduled Task)
  4. Script batch o PowerShell per eliminare il contenuto della cartella
  5. Impostazione della frequenza di esecuzione (giornaliera/settimanale)
  6. Test e verifica del funzionamento su un computer client

💿 Attività 2: Distribuzione di un Software su Rete

Nel contesto aziendale, la distribuzione centralizzata di software è fondamentale per garantire che tutti i dispositivi della rete siano aggiornati e conformi agli standard aziendali.

Le Group Policy di Windows Server offrono un metodo efficace per installare automaticamente applicazioni sui computer del dominio, riducendo il carico amministrativo e migliorando la sicurezza.

🎯 Obiettivo dell’Attività

Distribuire Google Chrome su tutti i dispositivi della rete utilizzando un file MSI, ideale per implementazioni su larga scala.

✅ Vantaggi della Distribuzione Tramite GPO

  • Coerenza: Tutti i PC hanno la stessa versione del software
  • Automazione: Installazione senza intervento manuale
  • Sicurezza: Riduce rischi da software non autorizzato
  • Gestione aggiornamenti: Facilita il deployment di nuove versioni
  • Tempo risparmiato: Un amministratore può gestire centinaia di PC

L’installazione automatizzata tramite Group Policy assicura che ogni PC dell’azienda abbia il software necessario senza richiedere interventi manuali da parte degli utenti o degli amministratori IT.

Questa procedura garantisce coerenza, riduce i rischi derivanti dall’installazione di software non autorizzato e facilita la gestione degli aggiornamenti, contribuendo alla sicurezza e all’efficienza dell’infrastruttura informatica aziendale.

📹 Video Descrittivo delle Operazioni

⚙️ Passaggi Principali nel Video:

  1. Download del file MSI di Google Chrome per deployment enterprise
  2. Copia del file MSI in una cartella condivisa accessibile dal dominio
  3. Apertura della console Group Policy Management
  4. Creazione di una nuova GPO per l’installazione software
  5. Configurazione in: Computer Configuration → Policies → Software Settings → Software Installation
  6. Aggiunta del pacchetto MSI tramite percorso UNC (es. \\server\share\chrome.msi)
  7. Selezione del metodo di deployment: Assigned (automatico al boot) o Published (disponibile per installazione utente)
  8. Collegamento della GPO alla OU desiderata o al dominio
  9. Aggiornamento delle policy sui client: gpupdate /force
  10. Riavvio del computer client per applicare l’installazione

💡 Assigned vs Published

  • Assigned (Computer): Il software viene installato automaticamente all’avvio del computer, prima del login utente. Ideale per software obbligatorio.
  • Assigned (User): Il software appare nel menu Start e viene installato al primo utilizzo da parte dell’utente.
  • Published: Il software è disponibile nel Pannello di Controllo → Programmi ma l’utente deve scegliere di installarlo manualmente.

🖥️ Attività 3: Gestione del Desktop per l’Unità Organizzativa “Reception”

Nell’amministrazione IT aziendale, il controllo dell’ambiente desktop degli utenti è essenziale per garantire un’immagine coerente e professionale.

Un aspetto critico è impedire modifiche non autorizzate al tema del desktop, soprattutto per postazioni visibili al pubblico.

🎯 Obiettivo dell’Attività

L’obiettivo è applicare una Group Policy agli utenti dell’unità organizzativa (OU) “Reception” per impedire loro di cambiare il tema del desktop.

Questo è particolarmente importante poiché i PC della reception sono visibili ai clienti e un tema inappropriato potrebbe compromettere l’immagine aziendale.

🔒 Perché Bloccare il Tema Desktop?

  • Immagine aziendale: Mantenere un aspetto professionale e coerente
  • Brand identity: Desktop uniformi con logo/colori aziendali
  • Prevenzione distrazioni: Evitare sfondi inappropriati o distraenti
  • Compliance: Rispetto delle policy aziendali sull’uso dei PC
  • Sicurezza: Ridurre modifiche non autorizzate alle impostazioni

📹 Video Descrittivo delle Operazioni

⚙️ Passaggi Principali nel Video:

  1. Apertura della Group Policy Management Console
  2. Navigazione all’OU “Reception” nella struttura del dominio
  3. Creazione di una nuova GPO collegata alla OU Reception
  4. Modifica della GPO: User Configuration → Policies → Administrative Templates → Control Panel → Personalization
  5. Abilitazione della policy: “Prevent changing theme”
  6. Opzionale: Impostare uno sfondo desktop obbligatorio tramite la policy “Desktop Wallpaper”
  7. Opzionale: Bloccare anche screen saver e colori
  8. Applicazione immediata: gpupdate /force sui PC della reception
  9. Verifica: Login come utente reception e tentativo di modificare il tema

🔧 Policy Correlate Utili

  • Desktop Wallpaper: Impone uno sfondo specifico (es. logo aziendale)
  • Prevent changing desktop background: Blocca solo lo sfondo
  • Prevent changing color and appearance: Blocca colori e temi
  • Prevent changing screen saver: Impone uno screen saver aziendale
  • Remove Personalization from PC Settings: Nasconde completamente le impostazioni di personalizzazione

✅ Risultato Finale

Dopo l’applicazione della policy:

  • Gli utenti della reception non possono cambiare il tema Windows
  • L’opzione “Temi” nelle impostazioni di personalizzazione è disabilitata/nascosta
  • Eventuali tentativi mostrano un messaggio: “Questa impostazione è gestita dall’amministratore”
  • Il desktop mantiene un aspetto professionale e uniforme

🚫 Attività 4: Blocco di Applicazioni tramite GPO

Nel contesto aziendale, il controllo delle applicazioni disponibili sui computer degli utenti è fondamentale per garantire un ambiente di lavoro sicuro ed efficiente.

L’accesso a determinati software potrebbe essere limitato per prevenire distrazioni, migliorare la sicurezza informatica o impedire l’uso di strumenti non conformi alle policy aziendali.

🎯 Perché Bloccare Applicazioni?

  • Produttività: Ridurre distrazioni e uso non lavorativo dei PC
  • Sicurezza: Prevenire esecuzione di software potenzialmente dannoso
  • Compliance: Garantire uso solo di applicazioni autorizzate
  • Licenze: Controllare l’uso di software con licenze limitate
  • Supporto: Ridurre problemi da software non supportato dal reparto IT

Le Group Policy di Windows Server permettono agli amministratori IT di bloccare applicazioni specifiche in modo centralizzato.

In questo video vedremo come impedire l’accesso a un’applicazione come il Blocco Note (Notepad) tramite una GPO. Questo metodo può essere esteso a qualsiasi altro software non desiderato, fornendo un controllo granulare sulle risorse aziendali.

📝 Esempio: Blocco Notepad

Bloccare Notepad può sembrare estremo, ma è un esempio didattico perfetto perché:

  • È presente su tutti i sistemi Windows
  • È facilmente verificabile (basta provare ad aprirlo)
  • Il metodo è applicabile a qualsiasi applicazione (Chrome, Firefox, giochi, ecc.)

L’implementazione di questa policy aiuta a mantenere la produttività, ridurre i rischi legati all’uso improprio delle applicazioni e garantire che i dipendenti utilizzino solo gli strumenti necessari per le loro mansioni.

📹 Video Descrittivo delle Operazioni

⚙️ Passaggi Principali nel Video:

  1. Apertura della Group Policy Management Console
  2. Creazione di una nuova GPO (es. “Blocco Applicazioni”)
  3. Modifica della GPO: User Configuration → Policies → Administrative Templates → System
  4. Individuazione della policy: “Don’t run specified Windows applications”
  5. Abilitazione della policy
  6. Click su “Show…” per aprire la lista delle applicazioni bloccate
  7. Aggiunta del nome eseguibile: notepad.exe
  8. Opzionale: Aggiungere altre applicazioni (es. calc.exe, mspaint.exe, chrome.exe)
  9. Applicazione della policy: gpupdate /force
  10. Test: Tentativo di aprire Notepad → Messaggio di errore

🔍 Come Trovare il Nome dell’Eseguibile

Per bloccare un’applicazione, devi conoscere il nome del suo file eseguibile (.exe):

  • Task Manager: Apri un’applicazione → Task Manager → Tab “Details” → Vedi il nome .exe
  • Proprietà shortcut: Clic destro sull’icona → Proprietà → “Target” mostra il percorso completo
  • Process Explorer: Tool gratuito Microsoft per analisi dettagliata dei processi

💡 Esempi di Applicazioni da Bloccare

Applicazione File Eseguibile Motivo del Blocco
Calcolatrice calc.exe Uso eccessivo non lavorativo
Paint mspaint.exe Distrazione, uso improprio
Prompt dei Comandi cmd.exe Sicurezza (previene script dannosi)
PowerShell powershell.exe Sicurezza avanzata
Editor del Registro regedit.exe Prevenire modifiche di sistema
Giochi (es. Solitario) solitaire.exe Produttività
⚠️ Metodo Alternativo: AppLocker

Per un controllo ancora più granulare, Windows offre AppLocker (disponibile in Windows Server e Windows 10/11 Enterprise/Education):

  • Blocco basato su percorso, publisher, o hash del file
  • Regole per eseguibili, script, DLL, e app Windows
  • Modalità audit per testare senza bloccare effettivamente
  • Eccezioni per specifici utenti o gruppi

Percorso: Computer Configuration → Policies → Windows Settings → Security Settings → Application Control Policies → AppLocker

📁 Attività 5: Reindirizzamento Cartelle su Windows Server

Il reindirizzamento cartelle (Folder Redirection) è una funzionalità di Windows Server che permette di spostare le cartelle utente (come Documenti, Desktop, Download) da un computer locale a una cartella condivisa su un server.

Questo consente di centralizzare i dati degli utenti, migliorare la sicurezza e facilitare il backup.

✅ Vantaggi Principali:

  • ✅ Accesso ai file da qualsiasi dispositivo collegato alla rete
  • ✅ Maggiore sicurezza e protezione dei dati
  • ✅ Backup centralizzato senza rischio di perdita dati
  • ✅ Riduzione dello spazio occupato sul disco locale
  • ✅ Disaster recovery: Rottura PC? I file sono al sicuro sul server
  • ✅ Roaming profiles: L’utente ritrova i suoi file su qualsiasi PC del dominio

📂 Cartelle Reindirizzabili

Le cartelle utente che possono essere reindirizzate includono:

  • Desktop: Tutti i file e le icone sul desktop
  • Documenti (Documents): La cartella principale per i documenti dell’utente
  • Download: File scaricati da Internet
  • Immagini (Pictures): Foto e immagini
  • Musica (Music): File audio e playlist
  • Video: File video
  • Preferiti (Favorites): Bookmark del browser
  • Contatti (Contacts): Rubrica contatti
  • AppData (Roaming): Dati applicazioni (avanzato)

🎯 Scenario Tipico

Un dipendente lavora su diversi PC in ufficio:

  1. Il lunedì lavora dal PC della sala riunioni
  2. Il martedì dal suo PC in ufficio
  3. Il mercoledì da casa in smart working

Con il reindirizzamento cartelle, trova sempre i suoi documenti, desktop e download identici su tutti i PC, perché sono fisicamente salvati sul server!

📹 Video Descrittivo delle Operazioni

⚙️ Passaggi Principali nel Video:

  1. Preparazione sul Server:
    • Creazione di una cartella condivisa (es. E:\UserFolders)
    • Condivisione con permessi: Domain Users = Controllo completo
    • Permessi NTFS: Domain Users = Modifica (ogni utente avrà la sua sottocartella privata)
  2. Creazione della GPO:
    • Apertura Group Policy Management Console
    • Creazione nuova GPO: “Reindirizzamento Cartelle Utente”
    • Collegamento alla OU degli utenti
  3. Configurazione Reindirizzamento:
    • Percorso: User Configuration → Policies → Windows Settings → Folder Redirection
    • Clic destro su “Documents” → Properties
    • Setting: “Basic – Redirect everyone’s folder to the same location”
    • Target folder location: “Create a folder for each user under the root path”
    • Root Path: \\AD1\UserFolders (percorso UNC alla share)
  4. Opzioni Avanzate (Tab “Settings”):
    • ☑ “Grant the user exclusive rights” → Solo l’utente può accedere alla sua cartella
    • ☑ “Move the contents” → Sposta i file esistenti dal PC al server
    • Policy Removal: “Redirect the folder back to the local userprofile location” (se la GPO viene rimossa, i file tornano sul PC)
  5. Ripetere per altre cartelle:
    • Desktop
    • Downloads (opzionale, file pesanti)
    • Pictures, Music, Videos (se necessario)
  6. Applicazione e Test:
    • Sul client: gpupdate /force
    • Logout e login dell’utente
    • Verifica: I documenti sono ora in \\AD1\UserFolders\username\Documents
    • Sul client, la cartella Documenti appare normale ma punta al server

🔧 Opzioni di Reindirizzamento

Opzione Descrizione Quando Usarla
Basic Tutti gli utenti nella stessa root, ogni utente ha la sua sottocartella Configurazione standard, più comune
Advanced Percorsi diversi in base all’appartenenza a gruppi di sicurezza Quando reparti diversi hanno server diversi
Follow the Documents folder Le altre cartelle (Pictures, Music) vengono reindirizzate come sottocartelle di Documents Semplifica la struttura, consigliato

⚠️ Considerazioni Importanti

  • Connessione di rete: Se la rete è lenta o il server offline, l’utente non può accedere ai suoi file. Considera l’uso di Offline Files per sincronizzazione locale.
  • Spazio disco server: I file di tutti gli utenti occuperanno spazio sul server. Pianifica adeguatamente lo storage.
  • Backup: Essenziale fare backup regolari della share UserFolders!
  • Cartella Download: Valuta se reindirizzarla (file pesanti temporanei potrebbero saturare il server)
  • AppData Roaming: Reindirizzare con cautela, può rallentare i login se contiene molti dati
💡 Best Practice:

  1. Inizia con Documents e Desktop (le più importanti)
  2. Abilita “Move the contents” per migrare i file esistenti
  3. Configura Offline Files per consentire l’accesso senza connessione
  4. Implementa Quote disco per limitare lo spazio utilizzabile da ogni utente
  5. Testa su un gruppo pilota prima del rollout completo
  6. Monitora lo spazio disco sul server dopo l’implementazione

🎓 Conclusioni

Le Group Policy di Windows Server sono uno strumento essenziale per la gestione di un’infrastruttura di rete.

Con le attività descritte, è possibile automatizzare molte operazioni quotidiane, migliorando l’efficienza e la sicurezza della rete.

🎯 Cosa Hai Imparato:

  • ✅ Attività 1: Cancellazione programmata di cartelle temporanee tramite Scheduled Tasks
  • ✅ Attività 2: Distribuzione centralizzata di software (Google Chrome) con file MSI
  • ✅ Attività 3: Blocco modifiche al tema desktop per utenti specifici (Reception)
  • ✅ Attività 4: Restrizione accesso ad applicazioni (esempio: Notepad)
  • ✅ Attività 5: Reindirizzamento cartelle utente su server centralizzato

📚 Prossimi Passi

Dopo aver imparato queste basi, puoi esplorare:

  • Startup/Shutdown Scripts: Eseguire script all’avvio/spegnimento del PC
  • Logon/Logoff Scripts: Script al login/logout utente (già visto nella lezione precedente)
  • Group Policy Preferences: Configurazioni più flessibili (mapping stampanti, drive, registry)
  • AppLocker: Controllo avanzato applicazioni con whitelist/blacklist
  • Security Policies: Password policies, account lockout, audit logging
  • Software Restriction Policies: Bloccare esecuzione da percorsi specifici
  • Windows Update Policies: Gestire aggiornamenti in modo centralizzato

🔧 Comandi Utili per Troubleshooting GPO

PowerShell / CMD
# Aggiornare le Group Policy immediatamente
gpupdate /force

# Visualizzare tutte le GPO applicate al computer corrente
gpresult /r

# Generare report HTML dettagliato delle GPO applicate
gpresult /h C:\gpo_report.html

# Visualizzare solo le GPO applicate all'utente
gpresult /r /scope:user

# Visualizzare solo le GPO applicate al computer
gpresult /r /scope:computer

# Verificare quale GPO sta bloccando/abilitando una specifica impostazione
gpresult /z > C:\gpo_detailed.txt

# Visualizzare le Group Policy in modalità grafica (risultati RSoP)
rsop.msc

# Cancellare la cache locale delle GPO e riapplicarle
rd /s /q "%windir%\System32\GroupPolicy"
gpupdate /force

💡 Tips per Amministratori:

  • Testa sempre le GPO su una OU di test prima di applicarle a produzione
  • Usa nomi descrittivi per le GPO (es. “Blocco Notepad – Reparto Vendite”)
  • Documenta le GPO create e il loro scopo
  • Monitora i log eventi per verificare l’applicazione corretta delle policy
  • Ricorda: le GPO del Computer si applicano all’avvio, quelle dell’User al login
  • Ordine di applicazione: LSDOU (Local → Site → Domain → OU)

🚀 Continua il Tuo Percorso

Esplora altre lezioni del corso Windows Server 2019


📚 Torna al Corso Completo

📁 Windows Server
⚙️ Group Policy
🔐 Active Directory

© 2025 Academy PC – Tutti i diritti riservati

Torna in alto