Cartelle condivise e permessi

Un server serve soprattutto a condividere file. Qui decidiamo chi può vedere, modificare o non vedere ciascuna cartella.

In questa lezione imparerai a creare e gestire cartelle condivise sul server, configurare permessi NTFS e di condivisione, implementare condivisioni nascoste, creare script di logon automatici e configurare home folder personali per ogni utente.

Prerequisiti.

• Active Directory configurato con utenti e gruppi
• Struttura OU creata (Divisione Italia con reparti)
• Un disco aggiuntivo per lo storage delle condivisioni (consigliato)
• Computer client uniti al dominio per test

Concetti fondamentali: permessi di condivisione vs NTFS. È fondamentale comprendere la differenza tra due tipi di permessi:

• Permessi di Condivisione (Share): Si applicano SOLO quando si accede via rete (\\server\share)
• Permessi NTFS (Security): Si applicano SEMPRE, sia localmente che via rete

Regola d'oro: Quando un utente accede via rete, vengono applicati ENTRAMBI i permessi, e prevale quello più restrittivo!

Preparazione disco e struttura cartelle

Prima di creare le condivisioni, prepariamo uno spazio di storage dedicato sul server. Utilizzeremo un disco separato per le cartelle condivise per una migliore organizzazione e gestione.

Aggiunta nuovo disco virtuale

Aggiunta disco in VirtualBox:

1. Con la VM spenta, apri VirtualBox
2. Seleziona la VM del server AD1
3. Clicca su "Impostazioni"
4. Vai su "Archiviazione"
5. Clicca sull'icona Controller: SATA
6. Clicca sull'icona "Aggiungi disco rigido" (disco con +)
7. Seleziona "Crea" per un nuovo disco
8. Tipo: VDI (VirtualBox Disk Image)
9. Allocazione: Allocato dinamicamente
10. Dimensione: 50 GB (o secondo necessità)
11. Clicca "Crea"

Inizializzazione disco in Windows server

Avvia il server. Windows rileverà automaticamente il nuovo disco e mostrerà una notifica.

Inizializzazione e formattazione:

1. Clicca sulla notifica o apri Server Manager → Gestione disco
2. Si apre la finestra "Inizializza disco"
3. Seleziona il disco e scegli GPT (GUID Partition Table)
4. Clicca "OK"
5. Clic destro sullo spazio non allocato → "Nuovo volume semplice..."
6. Wizard: Clicca "Avanti"
7. Dimensione: Lascia il massimo disponibile → "Avanti"
8. Lettera unità: Seleziona E: (o altra disponibile) → "Avanti"
9. Formattazione: NTFS, Etichetta: SHARES → "Avanti"
10. Clicca "Fine"

Disco pronto. Ora abbiamo un disco dedicato E:\ per le nostre cartelle condivise.

Creazione struttura cartelle

Apriamo Esplora file e navighiamo all'unità E:\. Creiamo la seguente struttura di cartelle:

Creazione cartelle:

1. Naviga in E:\
2. Crea cartella: One_Week
3. Crea cartella: Uffici
4. Dentro Uffici, crea 4 sottocartelle:
5. Crea cartella: Manutenzione

Perché questa struttura?.

• One_Week: Area di lavoro temporanea condivisa tra tutti gli utenti
• Uffici: Cartelle organizzate per reparto con permessi specifici
• Manutenzione: Area per script e file di sistema (non condivisa direttamente)

Condivisione cartella "One_Week" con controllo completo

Iniziamo con la condivisione più semplice: una cartella dove tutti gli utenti del dominio possono leggere, scrivere, modificare e cancellare file. Questa sarà un'area di lavoro collaborativa temporanea.

Configurazione condivisione

Attivazione condivisione:

1. Clic destro sulla cartella One_Week
2. Seleziona "Proprietà"
3. Vai alla scheda "Condivisione"
4. Clicca su "Condivisione avanzata..."

Impostazioni condivisione avanzata

Configurazione:

1. Spunta "Condividi la cartella"
2. Nome condivisione: One_Week (lascia predefinito)
3. Limite utenti: Numero massimo consentito (lascia predefinito)
4. Clicca su "Autorizzazioni"

Configurazione permessi di condivisione

Per default, Windows aggiunge il gruppo "Everyone" con solo permessi di lettura. Dobbiamo rimuoverlo e aggiungere "Domain Users" con controllo completo.

Modifica permessi:

1. Nella lista "Utenti e gruppi", seleziona "Everyone"
2. Clicca "Rimuovi"
3. Clicca "Aggiungi..."
4. Digita: Domain Users
5. Clicca "Controlla nomi" per verificare
6. Clicca "OK"
7. Con "Domain Users" selezionato, spunta Controllo completo nella colonna "Consenti"
8. Clicca "OK" per chiudere Autorizzazioni
9. Clicca "OK" per chiudere Condivisione avanzata
10. Clicca "Chiudi" nelle Proprietà

Gruppo/Utente	Lettura	Modifica	Controllo completo
Domain Users	Consenti	Consenti	Consenti

Cosa significa "controllo completo" nelle share?. I permessi di condivisione hanno solo 3 livelli:

• Lettura: Visualizzare file e cartelle
• Modifica: Leggere, scrivere, modificare, eliminare file
• Controllo completo: Come Modifica + cambiare permessi e proprietà

Per condivisioni semplici, Modifica è sufficiente. Usiamo Controllo completo quando vogliamo che gli utenti possano gestire completamente la cartella.

Condivisione attiva. La cartella One_Week è ora condivisa e accessibile dalla rete come \\AD1\One_Week

Test accesso da client

Testiamo l'accesso alla condivisione da un computer client unito al dominio.

Test da computer client:

1. Su un PC client (es. PC-AMM-01), effettua login come utente del dominio (es. m.rossi)
2. Apri Esplora file
3. Nella barra degli indirizzi, digita: \\AD1 e premi Invio
4. Appare la cartella condivisa One_Week
5. Doppio click su One_Week
6. Prova a creare un nuovo file di testo
7. Modifica il file e salvalo

Comportamento Multi-utente. Se due utenti tentano di modificare lo stesso file contemporaneamente:

• Il primo utente che apre il file ha accesso in scrittura
• Il secondo utente può aprire il file ma solo in sola lettura
• Al salvataggio, Windows chiederà di salvare con un nome diverso

Questo è il comportamento standard di Windows per prevenire conflitti. Per collaborazione simultanea, servirebbero applicazioni specifiche (es. Office 365 con co-authoring).

Creazione gruppo "GR_UFFICI" e struttura gerarchica

Prima di condividere la cartella "Uffici", creiamo un gruppo contenitore che include tutti i gruppi dei singoli reparti. Questo semplifica la gestione dei permessi.

Creazione gruppo GR_UFFICI

Creazione del gruppo:

1. Apri Server Manager → Strumenti → Utenti e computer di Active Directory
2. Naviga in: Divisione Italia → Gruppi (se non esiste, crea una OU "Gruppi" sotto Divisione Italia)
3. Clic destro su "Gruppi" → "Nuovo" → "Gruppo"
4. Nome gruppo: GR_UFFICI
5. Ambito: Globale
6. Tipo: Sicurezza
7. Clicca "OK"

Aggiunta gruppi come membri

Ora aggiungiamo tutti i gruppi dei reparti come membri di GR_UFFICI. Questo crea una gerarchia: i membri dei singoli gruppi saranno automaticamente anche membri di GR_UFFICI.

Aggiunta membri:

1. Doppio click su GR_UFFICI
2. Vai alla scheda "Membri"
3. Clicca "Aggiungi..."
4. Digita: GR_AMM; GR_VEN; GR_IT; GR_MKT
5. Clicca "Controlla nomi"
6. Clicca "OK"
7. Clicca "OK" per chiudere le proprietà

Gruppi annidati (nested groups). Questa tecnica si chiama "nesting" o gruppi annidati. I vantaggi sono:

• Gestione semplificata: Assegni permessi una volta a GR_UFFICI
• Scalabilità: Aggiungi nuovi reparti semplicemente aggiungendoli a GR_UFFICI
• Ereditarietà: Gli utenti di GR_AMM, GR_VEN, ecc. ereditano i permessi di GR_UFFICI

Condivisione nascosta "Uffici$" con permessi NTFS avanzati

Ora configuriamo una condivisione più complessa con nome nascosto ($) e permessi NTFS granulari per ogni reparto.

Condivisione con nome nascosto

Cosa sono le condivisioni nascoste?. Aggiungendo il simbolo $ alla fine del nome di condivisione, la cartella non apparirà quando si naviga in \\AD1\

Vantaggi:

• Sicurezza attraverso l'oscurità (gli utenti devono conoscere il percorso esatto)
• Riduce il "rumore visivo" nella navigazione di rete
• Utile per condivisioni amministrative o riservate

Gli utenti dovranno accedere con il percorso completo: \\AD1\Uffici$

Configurazione condivisione nascosta:

1. Clic destro sulla cartella Uffici
2. Seleziona "Proprietà"
3. Scheda "Condivisione" → "Condivisione avanzata..."
4. Spunta "Condividi la cartella"
5. Nome condivisione: Uffici$ (aggiungi il $)
6. Clicca "Autorizzazioni"
7. Rimuovi Everyone
8. Aggiungi Domain Users con Controllo completo
9. Clicca "OK" due volte

Configurazione permessi NTFS sulla cartella principale

Ora configuriamo i permessi NTFS (Security) che sono molto più potenti e granulari rispetto ai semplici permessi di condivisione.

Disabilitazione ereditarietà e pulizia permessi:

1. Sempre nelle Proprietà di Uffici, vai alla scheda "Sicurezza"
2. Clicca su "Avanzate"
3. In basso a destra, clicca "Disabilita ereditarietà"
4. Nella finestra che appare, seleziona "Rimuovi tutte le autorizzazioni ereditate da questo oggetto"
5. Ora la lista permessi è vuota o quasi
6. Rimuovi eventuali voci rimanenti ECCETTO:

Perché disabilitare l'ereditarietà?. Per default, le cartelle ereditano i permessi dalla cartella padre. Disabilitando l'ereditarietà:

• Abbiamo controllo totale sui permessi specifici di questa cartella
• Possiamo creare una struttura di sicurezza personalizzata
• I permessi delle sottocartelle saranno gestiti in modo indipendente

IMPORTANTE: Mantieni sempre SYSTEM e Administrators per non perdere l'accesso amministrativo alla cartella.

Aggiunta gruppo GR_UFFICI con sola lettura

Aggiunta permessi lettura:

1. Nelle Impostazioni di sicurezza avanzate, clicca "Aggiungi"
2. Clicca "Seleziona entità"
3. Digita: GR_UFFICI
4. Clicca "Controlla nomi" → "OK"
5. Tipo: Consenti
6. Si applica a: Questa cartella, le sottocartelle e i file
7. Autorizzazioni di base: Spunta solo Lettura ed esecuzione
8. Clicca "OK"

Applicazione permessi in modo ricorsivo

Propagazione permessi:

1. Sempre nelle Impostazioni di sicurezza avanzate
2. In basso, spunta "Sostituisci tutte le voci di autorizzazione degli oggetti figlio..."
3. Clicca "Applica"
4. Appare un avviso: clicca "Sì" per confermare
5. Clicca "OK" per chiudere
6. Clicca "OK" nelle Proprietà

Cosa abbiamo fatto. Ora la cartella Uffici ha questa configurazione di sicurezza:

• SYSTEM: Controllo completo
• Administrators: Controllo completo
• GR_UFFICI: Lettura ed esecuzione (tutti i membri possono vedere la struttura)

Nelle prossime sottocartelle, daremo permessi specifici ai singoli gruppi di reparto.

Permessi NTFS specifici per sottocartelle reparto

Ora configuriamo ogni sottocartella (Amministrazione, Vendite, IT, Marketing) affinché sia accessibile in scrittura SOLO dal gruppo del reparto corrispondente.

Configurazione cartella "amministrazione"

Permessi per amministrazione:

1. Naviga in E:\Uffici\Amministrazione
2. Clic destro → "Proprietà"
3. Scheda "Sicurezza" → "Avanzate"
4. Clicca "Disabilita ereditarietà"
5. Seleziona "Rimuovi tutte le autorizzazioni ereditate..."
6. Mantieni solo SYSTEM e Administrators
7. Rimuovi GR_UFFICI (la voce ereditata)
8. Clicca "Aggiungi"
9. Seleziona entità: GR_AMM
10. Tipo: Consenti
11. Si applica a: Questa cartella, le sottocartelle e i file
12. Autorizzazioni di base: Modifica (include lettura, scrittura, eliminazione)
13. Clicca "OK"
14. Spunta "Sostituisci tutte le voci di autorizzazione..."
15. Clicca "Applica" → "Sì"
16. Clicca "OK" due volte

Ripetizione per altre cartelle

Ripeti ESATTAMENTE la stessa procedura per le altre 3 cartelle, sostituendo il gruppo:

• Vendite – Gruppo: GR_VEN; Permessi: Modifica; Si applica a: Cartella, sottocartelle, file
• IT – Gruppo: GR_IT; Permessi: Modifica; Si applica a: Cartella, sottocartelle, file
• Marketing – Gruppo: GR_MKT; Permessi: Modifica; Si applica a: Cartella, sottocartelle, file

Risultato finale dei permessi

Cartella	SYSTEM	Administrators	Gruppo Reparto	Altri Utenti
E:\Uffici	Full	Full	GR_UFFICI: Lettura	Nessun accesso
Amministrazione	Full	Full	GR_AMM: Modifica	Nessun accesso
Vendite	Full	Full	GR_VEN: Modifica	Nessun accesso
IT	Full	Full	GR_IT: Modifica	Nessun accesso
Marketing	Full	Full	GR_MKT: Modifica	Nessun accesso

Sicurezza configurata perfettamente. Ora abbiamo una struttura sicura dove:

• Gli utenti di Amministrazione possono accedere solo alla LORO cartella
• Gli utenti di Vendite possono accedere solo alla LORO cartella
• E così via per IT e Marketing
• Tutti possono vedere la struttura (GR_UFFICI), ma possono scrivere solo nella propria cartella

Test accesso da client

Verifica permessi:

1. Da PC client, login come Marco Rossi (membro di GR_AMM)
2. Apri Esplora File, vai su \\AD1\Uffici$
3. Nota: la share NON appare in \\AD1\ (è nascosta!)
4. Puoi vedere tutte e 4 le cartelle (grazie a GR_UFFICI)
5. Prova ad entrare in Amministrazione → Puoi creare file
6. Prova ad entrare in Vendite → Accesso negato

Creazione script di logon automatico

Gli script di logon sono file batch o PowerShell che vengono eseguiti automaticamente quando un utente effettua il login al dominio. Sono perfetti per mappare unità di rete, eseguire configurazioni personalizzate, o lanciare applicazioni.

Creazione file batch

Creazione script logon.bat:

1. Naviga in E:\Manutenzione
2. Clic destro → "Nuovo" → "Documento di testo"
3. Rinomina il file in logon.txt
4. Apri logon.txt con Blocco note
5. Inserisci il seguente contenuto (vedi code block sotto)
6. Salva e chiudi
7. Rinomina logon.txt in logon.bat
8. Conferma il cambio di estensione

Contenuto script logon.bat

@echo off
REM Script di Logon Automatico per Utenti del Dominio
REM Mappa le unità di rete condivise

REM Disconnetti eventuali mapping esistenti (ignora errori)
net use Z: /delete /y >nul 2>&1
net use Y: /delete /y >nul 2>&1

REM Mappa unità Z: alla cartella One_Week
net use Z: \\AD1\One_Week /persistent:yes

REM Mappa unità Y: alla cartella Uffici$ (nascosta)
net use Y: \\AD1\Uffici$ /persistent:yes

REM Messaggio di benvenuto (opzionale)
echo.
echo ========================================
echo   Benvenuto nel dominio AZIENDA00
echo ========================================
echo.
echo Unita di rete mappate:
echo   Z: - Area condivisa temporanea
echo   Y: - Cartelle uffici
echo.
echo Premi un tasto per continuare...
pause >nul

REM Fine script
exit

Spiegazione comandi.

• @echo off: Disabilita la visualizzazione dei comandi eseguiti
• REM: Commenti (righe ignorate)
• net use Z: /delete: Rimuove mapping esistenti per evitare conflitti
• /y: Risponde "sì" automaticamente alle conferme
• >nul 2>&1: Nasconde messaggi di errore (se non c'è nulla da eliminare)
• net use Z: \\AD1\One_Week: Crea mapping all'unità Z:
• /persistent:yes: Il mapping sopravvive ai riavvi (fino al logout)
• pause: Attende pressione tasto (opzionale, mostra il messaggio)

Importante: estensione .BAT. Assicurati che il file abbia l'estensione .bat e NON .txt!

Se Windows non mostra le estensioni dei file:

• Esplora File → Scheda "Visualizza"
• Spunta "Estensioni nomi file"

Copia script nella cartella SYSVOL

Per funzionare come script di logon di dominio, il file deve essere posizionato nella cartella SYSVOL\scripts, che viene replicata automaticamente tra tutti i Domain Controller.

Copia in SYSVOL:

1. Copia il file logon.bat da E:\Manutenzione
2. Naviga in: C:\Windows\SYSVOL\sysvol\azienda00.local\scripts
3. Incolla il file logon.bat

C:\Windows\SYSVOL\
└── sysvol\
    └── azienda00.local\
        ├── Policies\        (Group Policy Objects)
        └── scripts\         (Script di logon)
            └── logon.bat    ← File da copiare qui!

Cos'è SYSVOL?. SYSVOL è una cartella speciale replicata automaticamente tra tutti i Domain Controller:

• Contiene Group Policy Objects (GPO)
• Contiene script di logon/logoff
• È condivisa automaticamente come \\dominio\SYSVOL
• Usa DFS-R (Distributed File System Replication) per la replica

Mettendo lo script qui, diventa disponibile per tutti gli utenti del dominio.

Assegnazione script agli utenti

Ora dobbiamo dire ad Active Directory di eseguire questo script quando gli utenti effettuano il login.

Configurazione script per singolo utente:

1. Apri Utenti e computer di Active Directory
2. Naviga all'utente (es. Marco Rossi)
3. Clic destro → "Proprietà"
4. Vai alla scheda "Profilo"
5. Nel campo "Script di accesso", digita: logon.bat
6. Clicca "OK"
7. Ripeti per TUTTI gli utenti

Metodo più efficiente: group policy. Configurare lo script per ogni singolo utente è macchinoso.

Metodo migliore (che vedremo nella prossima lezione):

• Usa una Group Policy Object (GPO)
• Applica lo script a tutta la OU o al dominio intero
• Tutti gli utenti ricevono automaticamente lo script.

Per ora, per scopi didattici, configuralo manualmente su 2-3 utenti di test.

Test dello script

Verifica funzionamento:

1. Da un PC client, logout dall'utente corrente
2. Effettua login con Marco Rossi (o altro utente configurato)
3. Durante il login, apparirà brevemente una finestra console
4. Una volta loggato, apri Esplora File
5. Verifica che le unità Z: e Y: siano mappate.

Script funzionante. Gli utenti ora hanno automaticamente accesso alle condivisioni tramite le lettere di unità Z: e Y:, senza dover digitare manualmente i percorsi UNC!

Configurazione home folder personalizzate

Le Home Folder (cartelle home) sono cartelle personali per ogni utente, automaticamente create e mappate da Active Directory. Ogni utente ha la propria cartella privata dove può salvare documenti personali.

Vantaggi delle home folder

Perché usare le home folder?.

• Archiviazione centralizzata: I file personali sono sul server, non sul PC locale
• Backup automatico: Backup del server = backup dei file utente
• Accessibilità: L'utente accede ai suoi file da qualsiasi PC del dominio
• Quota disco: Possibilità di limitare lo spazio per utente
• Sicurezza: Solo l'utente (e gli admin) possono accedere alla propria cartella
• Separazione: I file personali non si mescolano con quelli condivisi

Creazione cartella principale home

Preparazione struttura:

1. Sul server, naviga in E:\
2. Crea una nuova cartella: Home
3. Clic destro su Home → "Proprietà"
4. Scheda "Condivisione" → "Condivisione avanzata..."
5. Spunta "Condividi la cartella"
6. Nome condivisione: Home$ (nascosta)
7. Clicca "Autorizzazioni"
8. Rimuovi Everyone
9. Aggiungi Domain Users con Controllo completo
10. Clicca "OK" due volte

Configurazione permessi NTFS sulla home

Permessi speciali per creazione sottocartelle:

1. Sempre nelle Proprietà di Home, scheda "Sicurezza"
2. Clicca "Avanzate"
3. Verifica che ci sia Domain Users con permessi ereditati
4. Se non c'è, aggiungi Domain Users con:
5. Questo permette agli utenti di creare le proprie sottocartelle
6. Clicca "OK" due volte

Magia dei permessi NTFS. Con questa configurazione:

• Tutti gli utenti possono creare la propria sottocartella in Home
• Quando un utente crea la sua cartella, diventa automaticamente proprietario
• Come proprietario, ha controllo completo sulla SUA cartella
• Gli altri utenti non possono accedere alle cartelle altrui
• Gli Administrators mantengono l'accesso per gestione/backup

Assegnazione home folder agli utenti

Ora configuriamo Active Directory per creare automaticamente una home folder per ogni utente.

Configurazione home folder per utente:

1. Apri Utenti e computer di Active Directory
2. Seleziona un utente (es. Marco Rossi)
3. Clic destro → "Proprietà"
4. Scheda "Profilo"
5. Nella sezione "Cartella Home", seleziona ● Connetti:
6. Scegli una lettera di unità: H: (per "Home")
7. Nel campo "A:", digita: \\AD1\Home$\%username%
8. Clicca "OK"

Cartella Home:
○ Percorso locale: [_____________________________]
● Connetti:        [H: ▼]  A:  [\\AD1\Home$\%username%]

La variabile %username% viene sostituita automaticamente
con il nome di login dell'utente!

Esempi:
- m.rossi  → \\AD1\Home$\m.rossi
- l.bianchi → \\AD1\Home$\l.bianchi
- p.neri   → \\AD1\Home$\p.neri

Importante: variabile %username%. Usa SEMPRE la variabile %username% nel percorso.

• Active Directory la sostituisce con il SamAccountName dell'utente
• Permette di usare la stessa configurazione per tutti gli utenti
• Se scrivi un percorso fisso (es. \\AD1\Home$\m.rossi), funziona solo per quell'utente.

Configurazione multipla (tutti gli utenti)

Per configurare la home folder per tutti gli utenti contemporaneamente:

Configurazione multipla:

1. In Utenti e computer di Active Directory
2. Naviga alla OU con gli utenti (es. Divisione Italia → Amministrazione → Utenti)
3. Tieni premuto Ctrl e seleziona tutti gli utenti
4. Clic destro → "Proprietà"
5. Scheda "Profilo"
6. Cartella Home: ● Connetti: H: A: \\AD1\Home$\%username%
7. Clicca "OK"
8. Conferma quando chiede se applicare a tutti gli utenti selezionati

Test home folder

Verifica funzionamento:

1. Da PC client, logout e login con Marco Rossi
2. Apri Esplora File
3. Vedrai una nuova unità: H: (nome: "m.rossi su AD1")
4. L'unità H: punta a \\AD1\Home$\m.rossi
5. La cartella è stata creata automaticamente al primo login.
6. Prova a creare file e cartelle in H:

Verifica sul server

Controllo cartelle create:

1. Sul server, naviga in E:\Home
2. Vedrai le cartelle create automaticamente:
3. Prova ad aprire la cartella di un altro utente → Accesso negato
4. (Gli admin possono accedere con "Continua come Administrator")

Home folder configurate. Ogni utente ora ha:

• Una cartella personale privata sul server
• Mappata automaticamente come unità H: al login
• Accessibile da qualsiasi PC del dominio
• Protetta da accessi non autorizzati
• Inclusa nei backup del server

Esercizi