👥 Gestione Utenti e Computer
Active Directory - Utenti, Gruppi, Unità Organizzative e Domain Join
Gestione di Utenti, Computer e Unità Organizzative
Ora che abbiamo installato e configurato Active Directory con i servizi DNS, è il momento di iniziare a popolare il nostro dominio con utenti, computer e una struttura organizzativa logica.
In questa lezione imparerai a:
🗂️ Unità Organizzative (OU)
Creare una struttura gerarchica per organizzare gli oggetti di Active Directory in modo logico e funzionale.
👤 Gestione Utenti
Creare, configurare e gestire account utente con le relative proprietà e appartenenze ai gruppi.
👥 Gruppi di Sicurezza
Creare gruppi per semplificare la gestione dei permessi e delle policy per più utenti contemporaneamente.
🖥️ Computer nel Dominio
Aggiungere computer Windows al dominio e organizzarli nelle appropriate unità organizzative.
📋 Prerequisiti
- Active Directory Domain Services installato e funzionante
- Servizi DNS configurati correttamente
- Accesso come Administrator al Domain Controller
- (Opzionale) Una VM con Windows 10/11 per il test del domain join
Console Utenti e Computer di Active Directory
Iniziamo la configurazione di Active Directory accedendo alla console principale per la gestione di utenti, computer e unità organizzative.
Apertura della Console
📝 Passaggi per aprire la console:
- Nel Server Manager, clicca su "Strumenti" in alto a destra
- Seleziona "Utenti e computer di Active Directory"
- Si apre la console Active Directory Users and Computers (ADUC)
📸 Menu Strumenti con "Utenti e computer di Active Directory"
Esplorazione della Struttura Iniziale
Nella console, espandiamo il nostro dominio azienda00.local cliccando sulla freccia accanto al nome. Vedremo che ci sono già diverse unità organizzative (OU) e contenitori creati di default.
📸 Console ADUC con albero dominio espanso
Contenitori e OU Predefiniti
Esplorazione Contenitore "Users"
Clicchiamo sul contenitore "Users" per vedere gli utenti predefiniti:
📸 Contenitore Users con utenti predefiniti
👤 Administrator
L'amministratore di Active Directory con privilegi completi sul dominio. Questo account è diverso dall'amministratore locale del server.
- Nome: Administrator
- Stato: Attivo ✅
- Gruppo: Domain Admins, Enterprise Admins
👥 Guest
Account ospite predefinito, disabilitato per motivi di sicurezza. Non dovrebbe mai essere abilitato in ambienti di produzione.
- Nome: Guest
- Stato: Disabilitato ❌
- Gruppo: Guests
⚠️ Importante: Non Modificare i Contenitori di Default
È buona pratica non modificare o utilizzare direttamente i contenitori e le OU predefinite di sistema. Invece, creeremo le nostre unità organizzative personalizzate per organizzare utenti, computer e gruppi.
Perché?
- Evitare conflitti con le policy di sistema
- Maggiore controllo e organizzazione
- Più facile applicare Group Policy Objects (GPO) specifiche
- Migliore separazione tra oggetti di sistema e oggetti aziendali
Creazione Struttura Unità Organizzative (OU)
Ora creiamo una struttura organizzativa personalizzata che riflette l'organizzazione della nostra azienda. Le Unità Organizzative (OU) ci permettono di raggruppare oggetti in modo logico e applicare configurazioni specifiche.
Creazione della Prima OU: "Divisione Italia"
📝 Come creare una nuova OU:
- Nella console ADUC, clic destro sul nome del dominio azienda00.local
- Seleziona "Nuovo" → "Unità organizzativa"
- Nella finestra che si apre, inserisci il nome: Divisione Italia
- Lascia selezionata la casella "Proteggi contenitore da eliminazione accidentale"
- Clicca "OK"
📸 Finestra "Nuovo oggetto - Unità organizzativa"
✅ Prima OU Creata!
Hai creato la tua prima Unità Organizzativa! Questa OU sarà il contenitore principale per tutti gli oggetti della divisione italiana della nostra azienda.
Creazione della Struttura Completa
Ora creiamo altre unità organizzative all'interno di "Divisione Italia" per organizzare meglio utenti, computer e gruppi per reparto.
📝 OU da creare sotto "Divisione Italia":
- Clic destro su "Divisione Italia" → Nuovo → Unità organizzativa
- Crea: "Amministrazione"
- Crea: "Vendite"
- Crea: "IT"
- Crea: "Marketing"
📸 Creazione OU "Amministrazione" sotto Divisione Italia
Sotto-Unità per Ogni Reparto
Per ogni reparto, creiamo tre sotto-unità per separare Utenti, Computer e Gruppi:
📝 Per ogni OU di reparto (es. Amministrazione):
- Clic destro su "Amministrazione" → Nuovo → Unità organizzativa
- Crea: "Utenti"
- Crea: "Computer"
- Crea: "Gruppi"
- Ripeti per Vendite, IT e Marketing
📸 Struttura completa OU con sotto-unità
Struttura Finale delle OU
💡 Vantaggi di questa Struttura
- Organizzazione logica: Ogni reparto ha i suoi oggetti separati
- Gestione semplificata: Facile trovare e gestire utenti/computer specifici
- Group Policy: Possibilità di applicare GPO specifiche per reparto
- Delega amministrativa: Possibilità di delegare la gestione di singole OU
- Scalabilità: Facile aggiungere nuovi reparti o sotto-unità
Creazione e Gestione Utenti
Ora che abbiamo la nostra struttura organizzativa, possiamo iniziare a creare gli utenti e posizionarli nelle appropriate unità organizzative.
Creazione del Primo Utente: Marco Rossi
📝 Come creare un nuovo utente:
- Naviga in: Divisione Italia → Amministrazione → Utenti
- Clic destro su "Utenti" → "Nuovo" → "Utente"
- Si apre il wizard di creazione nuovo utente
📸 Wizard "Nuovo oggetto - Utente" - Pagina 1
Pagina 1: Informazioni Nominative
📝 Compilazione Campi
- Nome: Marco
- Cognome: Rossi
- Nome visualizzato: Marco Rossi (generato automaticamente)
- Nome accesso utente: m.rossi (convenzione: iniziale.cognome)
- Dominio: azienda00.local
- Nome NetBIOS: AZIENDA00\m.rossi (per compatibilità legacy)
📸 Wizard "Nuovo oggetto - Utente" - Pagina 2
Pagina 2: Configurazione Password
✅ Configurazione Password Consigliata
- Password iniziale: Imposta una password temporanea complessa
- ☑ Cambiamento obbligatorio password all'accesso: L'utente dovrà cambiarla al primo login
- Questa è la configurazione più sicura per nuovi utenti
Pagina 3: Riepilogo
La pagina finale mostra un riepilogo delle impostazioni. Clicchiamo "Fine" per creare l'utente.
📸 Utente Marco Rossi creato nella OU Utenti
Proprietà dell'Utente
Ora esploriamo le proprietà dell'utente per vedere tutte le configurazioni disponibili.
📝 Apertura proprietà:
- Clic destro su "Marco Rossi"
- Seleziona "Proprietà"
- Si apre la finestra con multiple schede
📸 Finestra proprietà utente con schede
Schede Principali delle Proprietà Utente
📋 Generale
- Nome completo e visualizzato
- Descrizione dell'account
- Ufficio, telefono, email
- Pagina web
📍 Indirizzo
- Via, città, CAP
- Provincia/Stato
- Paese
- Casella postale
👤 Account
- Nome accesso utente (UPN)
- Orari di accesso
- Computer su cui accedere
- Opzioni account (scadenza, etc.)
👥 Membro di
- Gruppi di cui è membro
- Gruppo primario
- Aggiungi/Rimuovi appartenenze
📂 Profilo
- Percorso profilo utente
- Script di accesso
- Percorso home folder
- Mapping unità di rete
📞 Telefoni
- Telefono principale
- Cellulare
- Fax
- Numeri alternativi
Creazione di Altri Utenti
Creiamo altri utenti per popolare le diverse OU. Seguiamo la stessa procedura, posizionando gli utenti nelle appropriate unità organizzative:
👤 Amministrazione
- Marco Rossi (m.rossi)
- Laura Bianchi (l.bianchi)
- Giuseppe Verdi (g.verdi)
👤 Vendite
- Paolo Neri (p.neri)
- Anna Romano (a.romano)
👤 IT
- Luca Ferrari (l.ferrari)
- Chiara Russo (c.russo)
👤 Marketing
- Francesca Gallo (f.gallo)
- Andrea Costa (a.costa)
💡 Best Practices per Nomi Utente
- Convenzione coerente: iniziale.cognome o nome.cognome
- Tutto minuscolo: Più facile da ricordare e digitare
- Niente spazi o caratteri speciali: Solo lettere, numeri, punti, trattini
- Univocità: Se ci sono omonimi, aggiungere un numero (es. m.rossi2)
Creazione e Gestione Gruppi
Più utenti avremo nel dominio, più diventerà complicato gestirli singolarmente. Ecco perché si utilizzano i gruppi di sicurezza: permettono di assegnare permessi e policy a più utenti contemporaneamente.
Perché Usare i Gruppi?
🎯 Vantaggi dei Gruppi di Sicurezza
- Gestione semplificata: Assegna permessi una volta al gruppo invece che a ogni utente
- Manutenzione ridotta: Aggiungi/rimuovi utenti dai gruppi invece di modificare singolarmente i permessi
- Standardizzazione: Tutti i membri del gruppo hanno gli stessi diritti
- Scalabilità: Facile gestire aziende con centinaia o migliaia di utenti
- Audit e compliance: Più facile verificare chi ha accesso a cosa
Creazione del Gruppo: GR_AMM
Creiamo un gruppo per il reparto Amministrazione che conterrà tutti gli utenti di quel reparto.
📝 Come creare un nuovo gruppo:
- Naviga in: Divisione Italia → Amministrazione → Gruppi
- Clic destro su "Gruppi" → "Nuovo" → "Gruppo"
- Si apre la finestra di creazione nuovo gruppo
📸 Finestra "Nuovo oggetto - Gruppo"
Configurazione del Gruppo
⚙️ Configurazione Gruppo
Nome gruppo: GR_AMM (prefisso GR_ per identificare facilmente i gruppi)
Ambito gruppo: Globale
- Globale: Può contenere utenti dello stesso dominio ed essere usato in tutta la foresta
- Locale dominio: Solo nel dominio locale, può contenere utenti di qualsiasi dominio
- Universale: Disponibile in tutta la foresta, può contenere utenti di qualsiasi dominio
Tipo gruppo: Sicurezza
- Sicurezza: Per assegnare permessi e diritti (scelta corretta per noi)
- Distribuzione: Solo per liste di distribuzione email (non assegna permessi)
Aggiunta Utenti al Gruppo
Ora aggiungiamo gli utenti del reparto Amministrazione al gruppo appena creato.
📝 Come aggiungere membri a un gruppo:
- Doppio click sul gruppo "GR_AMM"
- Si apre la finestra proprietà del gruppo
- Seleziona la scheda "Membri"
- Clicca "Aggiungi..."
📸 Proprietà gruppo - Scheda Membri
📝 Aggiunta membri:
- Digita i nomi degli utenti separati da punto e virgola
- Es:
Marco Rossi; Laura Bianchi; Giuseppe Verdi - Clicca "Controlla nomi" per verificare che gli utenti esistano
- I nomi vengono sottolineati se riconosciuti correttamente
- Clicca "OK" per confermare
📸 Gruppo GR_AMM con membri aggiunti
✅ Gruppo Creato e Popolato!
Ora tutti gli utenti del reparto Amministrazione sono membri del gruppo GR_AMM. Quando assegneremo permessi a cartelle condivise o applicheremo Group Policy, potremo farlo una sola volta al gruppo invece che a ogni singolo utente!
Creazione di Altri Gruppi
Seguiamo lo stesso processo per creare gruppi per gli altri reparti:
👥 GR_VEN (Vendite)
Gruppo per il reparto Vendite
- Paolo Neri
- Anna Romano
👥 GR_IT
Gruppo per il reparto IT
- Luca Ferrari
- Chiara Russo
👥 GR_MKT (Marketing)
Gruppo per il reparto Marketing
- Francesca Gallo
- Andrea Costa
👥 GR_TUTTI
Gruppo che contiene tutti gli utenti
- Tutti i gruppi sopra
- O tutti gli utenti individuali
Aggiunta Computer Client al Dominio
Ora che abbiamo creato utenti e gruppi, è il momento di aggiungere computer client al dominio. Questo permetterà agli utenti di accedere con le loro credenziali di dominio da qualsiasi computer unito al dominio.
Preparazione del Computer Client
📋 Prerequisiti per il Client
- Windows 10 o Windows 11 (Professional, Enterprise o Education)
- Connessione di rete con il Domain Controller
- DNS configurato per puntare al Domain Controller
- Stesso segmento di rete o routing configurato correttamente
Nota: Windows Home Edition non supporta il domain join!
Fase 1: Configurazione DNS del Client
Questo è il passaggio più importante! Il client deve usare il Domain Controller come server DNS per poter risolvere i nomi del dominio e trovare i servizi Active Directory.
📝 Configurazione DNS su Windows 10/11:
- Apri Impostazioni → Rete e Internet
- Clicca su "Proprietà" della connessione di rete attiva
- Scorri e clicca su "Modifica" accanto a "Assegnazione server DNS"
- Seleziona "Manuale"
- Attiva IPv4
- DNS preferito: 192.168.27.130 (IP del server AD1)
- DNS alternativo: Lascia vuoto (o 8.8.8.8 come fallback)
- Clicca "Salva"
📸 Configurazione DNS manuale su client Windows
⚠️ Errore Comune: DNS Sbagliato
NON usare DNS pubblici (8.8.8.8, 1.1.1.1) come DNS preferito! Se lo fai, il client non potrà trovare il dominio e il join fallirà con errori come:
- "Impossibile trovare il dominio azienda00.local"
- "DNS name does not exist"
- "The specified domain either does not exist or could not be contacted"
I DNS pubblici devono essere configurati come forwarders sul Domain Controller, non direttamente sui client!
Fase 2: Verifica Connettività
Prima di procedere con il join, verifichiamo che il client possa raggiungere il Domain Controller e risolvere correttamente i nomi DNS.
📝 Test di connettività:
- Apri Prompt dei comandi o PowerShell
- Esegui:
ping 192.168.27.130→ Deve rispondere - Esegui:
ping AD1.azienda00.local→ Deve risolvere e rispondere - Esegui:
nslookup azienda00.local→ Deve restituire l'IP del DC
✅ Tutti i Test Superati!
Se tutti i test sopra sono andati a buon fine, il client è pronto per essere aggiunto al dominio!
Fase 3: Join al Dominio
Ora possiamo procedere con l'aggiunta del computer al dominio.
📝 Procedura di Domain Join:
- Apri Impostazioni → Sistema → Informazioni su
- Scorri fino a "Impostazioni correlate"
- Clicca su "Impostazioni avanzate di sistema"
- Nella scheda "Nome computer", clicca "Cambia..."
📸 Impostazioni sistema - Pulsante "Cambia impostazioni"
>
📸 Finestra "Modifiche nome computer/dominio"
Configurazione Nome Computer e Dominio
📝 Compilazione campi:
- Nome computer: PC-AMM-01 (o un nome descrittivo per il computer)
- Seleziona ● Dominio
- Inserisci: azienda00.local
- Clicca "OK"
Fase 4: Autenticazione Amministratore
Il sistema richiederà le credenziali di un amministratore del dominio o di un utente con permessi per aggiungere computer al dominio.
📸 Finestra autenticazione dominio
👤 Credenziali da Usare
Puoi usare uno dei seguenti formati:
- Administrator (senza dominio, se il DNS è configurato bene)
- AZIENDA00\Administrator (formato NetBIOS)
- Administrator@azienda00.local (formato UPN)
Inserisci la password dell'amministratore di Active Directory (non quella locale del client!).
Fase 5: Conferma e Riavvio
📸 Messaggio "Benvenuto nel dominio azienda00.local"
🎉 Computer Aggiunto al Dominio!
Il computer è stato aggiunto con successo al dominio. Ora verrà richiesto un riavvio.
Clicca "OK" e poi "Riavvia ora" per completare il processo.
Fase 6: Verifica sul Domain Controller
Anche prima che il client finisca di riavviarsi, possiamo già vedere che è stato aggiunto al dominio nel nostro Domain Controller.
📝 Verifica su AD1:
- Sul server AD1, apri Server Manager → Strumenti → Utenti e computer di Active Directory
- Espandi azienda00.local
- Clicca sul contenitore "Computers"
- Vedrai il computer PC-AMM-01 già presente!
📸 Computer PC-AMM-01 nel contenitore Computers
💡 Il Computer è un Oggetto AD
Il computer è ora un oggetto di Active Directory e risponde al dominio! Questo significa:
- Gli utenti del dominio possono accedere a questo computer
- Il computer riceve le Group Policy del dominio
- È gestibile centralmente dal Domain Controller
- Può accedere alle risorse condivise del dominio
Fase 7: Spostamento del Computer nella OU Corretta
Per default, i computer vengono aggiunti al contenitore "Computers". Spostiamolo nella nostra struttura organizzativa personalizzata!
📝 Spostamento del computer:
- Nella console ADUC, clicca e tieni premuto su PC-AMM-01
- Trascina il computer fino alla OU: Divisione Italia → Amministrazione → Computer
- Rilascia il mouse
- Appare un messaggio di avviso
Messaggio di Avviso
📸 Avviso spostamento oggetto Active Directory
⚠️ Comprendere l'Avviso
Questo avviso ci informa che spostando l'oggetto:
- Le Group Policy Objects (GPO) applicate alla OU di partenza non saranno più applicate
- Verranno invece applicate le GPO della OU di destinazione
- Eventuali permessi delegati sulla OU di partenza non si applicheranno più
Nel nostro caso, il contenitore "Computers" non ha GPO specifiche, quindi possiamo procedere tranquillamente cliccando "Sì".
📸 Computer PC-AMM-01 nella OU Computer sotto Amministrazione
✅ Computer Organizzato Correttamente!
Il computer è ora nella posizione corretta nella nostra struttura organizzativa. Quando creeremo Group Policy specifiche per il reparto Amministrazione, questo computer le riceverà automaticamente!
Test di Accesso Utente
Dopo il riavvio del client, alla schermata di login vedremo che ora è possibile accedere con gli utenti del dominio!
📸 Schermata login con opzione "Altro utente"
📝 Login con utente di dominio:
- Clicca su "Altro utente"
- Nome utente: m.rossi (o il nome completo "Marco Rossi")
- Password: La password dell'utente
- Accedi a: Seleziona AZIENDA00 (il dominio)
- Premi Invio o clicca sulla freccia
🎉 Login Riuscito!
L'utente Marco Rossi può ora accedere al computer usando le sue credenziali di dominio!
Questo significa che:
- Il suo profilo utente verrà creato sul computer
- Avrà accesso alle risorse condivise del dominio (quando le creeremo)
- Riceverà le Group Policy applicate al dominio e alla sua OU
- Può accedere da qualsiasi computer del dominio con le stesse credenziali!
Riepilogo Processo Domain Join
1️⃣ Preparazione
- Configurare DNS client → DC
- Verificare connettività
- Test ping e nslookup
2️⃣ Join
- Impostazioni → Nome computer
- Inserire nome dominio
- Autenticazione admin
3️⃣ Verifica
- Riavvio computer
- Verifica in ADUC
- Spostamento in OU corretta
4️⃣ Test
- Login con utente dominio
- Verifica profilo
- Test accesso risorse
🎉 Congratulazioni! Hai Completato la Configurazione Base di Active Directory
✅ Cosa Hai Imparato
In questa lezione hai imparato a:
- ✅ Navigare nella console Utenti e Computer di Active Directory
- ✅ Creare una struttura gerarchica con Unità Organizzative (OU)
- ✅ Creare e configurare account utente
- ✅ Creare gruppi di sicurezza e aggiungere membri
- ✅ Configurare il DNS sui computer client
- ✅ Aggiungere computer Windows al dominio
- ✅ Spostare e organizzare oggetti nelle OU appropriate
📚 Prossimi Passi nel Corso
📂 Lezione 4: Cartelle Condivise
Creeremo cartelle condivise sul server, configureremo i permessi NTFS e condivisione, e mapperemo le unità di rete per gli utenti.
⚙️ Lezione 5: Group Policy Objects
Impareremo a creare e applicare Group Policy per gestire configurazioni, sicurezza, script di login e molto altro.
🔐 Lezione 6: Sicurezza e Password Policy
Configureremo le policy di sicurezza, requisiti password, lockout account, audit e best practices di sicurezza.
💾 Lezione 7: Backup e Disaster Recovery
Impareremo a fare backup del Domain Controller, Active Directory, e procedure di ripristino in caso di emergenza.