Utenti, gruppi e unità organizzative

Con il dominio pronto, lo popoliamo: una struttura di unità organizzative, gli utenti, i gruppi e il primo client.

Ora che abbiamo installato e configurato Active Directory con i servizi DNS, è il momento di iniziare a popolare il nostro dominio con utenti, computer e una struttura organizzativa logica.

In questa lezione imparerai a:

• Unità Organizzative (OU) – Creare una struttura gerarchica per organizzare gli oggetti di Active Directory in modo logico e funzionale.
• Gestione Utenti – Creare, configurare e gestire account utente con le relative proprietà e appartenenze ai gruppi.
• Gruppi di Sicurezza – Creare gruppi per semplificare la gestione dei permessi e delle policy per più utenti contemporaneamente.
• Computer nel Dominio – Aggiungere computer Windows al dominio e organizzarli nelle appropriate unità organizzative.

Prerequisiti.

• Active Directory Domain Services installato e funzionante
• Servizi DNS configurati correttamente
• Accesso come Administrator al Domain Controller
• (Opzionale) Una VM con Windows 10/11 per il test del domain join

Console utenti e computer di Active Directory

Iniziamo la configurazione di Active Directory accedendo alla console principale per la gestione di utenti, computer e unità organizzative.

Apertura della console

Passaggi per aprire la console:

1. Nel Server Manager, clicca su "Strumenti" in alto a destra
2. Seleziona "Utenti e computer di Active Directory"
3. Si apre la console Active Directory Users and Computers (ADUC)

Esplorazione della struttura iniziale

Nella console, espandiamo il nostro dominio azienda00.local cliccando sulla freccia accanto al nome. Vedremo che ci sono già diverse unità organizzative (OU) e contenitori creati di default.

Contenitori e OU predefiniti

Esplorazione contenitore "users"

Clicchiamo sul contenitore "Users" per vedere gli utenti predefiniti:

• Administrator – L'amministratore di Active Directory con privilegi completi sul dominio. Questo account è diverso dall'amministratore locale del server.; Nome: Administrator; Stato: Attivo; Gruppo: Domain Admins, Enterprise Admins
• Guest – Account ospite predefinito, disabilitato per motivi di sicurezza. Non dovrebbe mai essere abilitato in ambienti di produzione.; Nome: Guest; Stato: Disabilitato; Gruppo: Guests

Importante: non modificare i contenitori di default. È buona pratica non modificare o utilizzare direttamente i contenitori e le OU predefinite di sistema. Invece, creeremo le nostre unità organizzative personalizzate per organizzare utenti, computer e gruppi.

Perché?

• Evitare conflitti con le policy di sistema
• Maggiore controllo e organizzazione
• Più facile applicare Group Policy Objects (GPO) specifiche
• Migliore separazione tra oggetti di sistema e oggetti aziendali

Creazione struttura unità organizzative (OU)

Ora creiamo una struttura organizzativa personalizzata che riflette l'organizzazione della nostra azienda. Le Unità Organizzative (OU) ci permettono di raggruppare oggetti in modo logico e applicare configurazioni specifiche.

Creazione della prima OU: "divisione italia"

Come creare una nuova OU:

1. Nella console ADUC, clic destro sul nome del dominio azienda00.local
2. Seleziona "Nuovo" → "Unità organizzativa"
3. Nella finestra che si apre, inserisci il nome: Divisione Italia
4. Lascia selezionata la casella "Proteggi contenitore da eliminazione accidentale"
5. Clicca "OK"

Nome: [Divisione Italia________________________]

☑ Proteggi contenitore da eliminazione accidentale

Questa opzione impedisce l'eliminazione accidentale dell'OU
e di tutto il suo contenuto.

[OK]  [Annulla]

Prima OU creata. Hai creato la tua prima Unità Organizzativa. Questa OU sarà il contenitore principale per tutti gli oggetti della divisione italiana della nostra azienda.

Creazione della struttura completa

Ora creiamo altre unità organizzative all'interno di "Divisione Italia" per organizzare meglio utenti, computer e gruppi per reparto.

OU da creare sotto "divisione italia":

1. Clic destro su "Divisione Italia" → Nuovo → Unità organizzativa
2. Crea: "Amministrazione"
3. Crea: "Vendite"
4. Crea: "IT"
5. Crea: "Marketing"

Sotto-unità per ogni reparto

Per ogni reparto, creiamo tre sotto-unità per separare Utenti, Computer e Gruppi:

Per ogni OU di reparto (es. amministrazione):

1. Clic destro su "Amministrazione" → Nuovo → Unità organizzativa
2. Crea: "Utenti"
3. Crea: "Computer"
4. Crea: "Gruppi"
5. Ripeti per Vendite, IT e Marketing

Struttura finale delle OU

Vantaggi di questa struttura.

• Organizzazione logica: Ogni reparto ha i suoi oggetti separati
• Gestione semplificata: Facile trovare e gestire utenti/computer specifici
• Group Policy: Possibilità di applicare GPO specifiche per reparto
• Delega amministrativa: Possibilità di delegare la gestione di singole OU
• Scalabilità: Facile aggiungere nuovi reparti o sotto-unità

Creazione e gestione utenti

Ora che abbiamo la nostra struttura organizzativa, possiamo iniziare a creare gli utenti e posizionarli nelle appropriate unità organizzative.

Creazione del primo utente: marco rossi

Come creare un nuovo utente:

1. Naviga in: Divisione Italia → Amministrazione → Utenti
2. Clic destro su "Utenti" → "Nuovo" → "Utente"
3. Si apre il wizard di creazione nuovo utente

Pagina 1: informazioni nominative

Nome:              [Marco___________________________]
Iniziali:          [R_____]
Cognome:           [Rossi__________________________]

Nome visualizzato: [Marco Rossi____________________]

Nome accesso utente: [m.rossi____________] @ [azienda00.local ▼]

Nome accesso utente (precedente a Windows 2000):
                   [AZIENDA00\m.rossi______________]

[Avanti >]  [Annulla]

Compilazione campi.

• Nome: Marco
• Cognome: Rossi
• Nome visualizzato: Marco Rossi (generato automaticamente)
• Nome accesso utente: m.rossi (convenzione: iniziale.cognome)
• Dominio: azienda00.local
• Nome NetBIOS: AZIENDA00\m.rossi (per compatibilità legacy)

Pagina 2: configurazione password

Password:              [••••••••••••••••••••]
Conferma password:     [••••••••••••••••••••]

Opzioni password:
☑ Cambiamento obbligatorio password all'accesso successivo
☐ Nessun cambio di password consentito all'utente
☐ Nessuna scadenza password
☐ Account disabilitato

[< Indietro]  [Avanti >]  [Annulla]

Configurazione password consigliata.

• Password iniziale: Imposta una password temporanea complessa
• Cambiamento obbligatorio password all'accesso: L'utente dovrà cambiarla al primo login
• Questa è la configurazione più sicura per nuovi utenti

Pagina 3: riepilogo

La pagina finale mostra un riepilogo delle impostazioni. Clicchiamo "Fine" per creare l'utente.

Proprietà dell'utente

Ora esploriamo le proprietà dell'utente per vedere tutte le configurazioni disponibili.

Apertura proprietà:

1. Clic destro su "Marco Rossi"
2. Seleziona "Proprietà"
3. Si apre la finestra con multiple schede

Schede principali delle proprietà utente

• Generale – Nome completo e visualizzato; Descrizione dell'account; Ufficio, telefono, email; Pagina web
• Indirizzo – Via, città, CAP; Provincia/Stato; Paese; Casella postale
• Account – Nome accesso utente (UPN); Orari di accesso; Computer su cui accedere; Opzioni account (scadenza, etc.)
• Membro di – Gruppi di cui è membro; Gruppo primario; Aggiungi/Rimuovi appartenenze
• Profilo – Percorso profilo utente; Script di accesso; Percorso home folder; Mapping unità di rete
• Telefoni – Telefono principale; Cellulare; Fax; Numeri alternativi

Creazione di altri utenti

Creiamo altri utenti per popolare le diverse OU. Seguiamo la stessa procedura, posizionando gli utenti nelle appropriate unità organizzative:

• Amministrazione – Marco Rossi (m.rossi); Laura Bianchi (l.bianchi); Giuseppe Verdi (g.verdi)
• Vendite – Paolo Neri (p.neri); Anna Romano (a.romano)
• IT – Luca Ferrari (l.ferrari); Chiara Russo (c.russo)
• Marketing – Francesca Gallo (f.gallo); Andrea Costa (a.costa)

Best practices per nomi utente.

• Convenzione coerente: iniziale.cognome o nome.cognome
• Tutto minuscolo: Più facile da ricordare e digitare
• Niente spazi o caratteri speciali: Solo lettere, numeri, punti, trattini
• Univocità: Se ci sono omonimi, aggiungere un numero (es. m.rossi2)

Creazione e gestione gruppi

Più utenti avremo nel dominio, più diventerà complicato gestirli singolarmente. Ecco perché si utilizzano i gruppi di sicurezza: permettono di assegnare permessi e policy a più utenti contemporaneamente.

Perché usare i gruppi?

Vantaggi dei gruppi di sicurezza.

• Gestione semplificata: Assegna permessi una volta al gruppo invece che a ogni utente
• Manutenzione ridotta: Aggiungi/rimuovi utenti dai gruppi invece di modificare singolarmente i permessi
• Standardizzazione: Tutti i membri del gruppo hanno gli stessi diritti
• Scalabilità: Facile gestire aziende con centinaia o migliaia di utenti
• Audit e compliance: Più facile verificare chi ha accesso a cosa

Creazione del gruppo: GR_AMM

Creiamo un gruppo per il reparto Amministrazione che conterrà tutti gli utenti di quel reparto.

Come creare un nuovo gruppo:

1. Naviga in: Divisione Italia → Amministrazione → Gruppi
2. Clic destro su "Gruppi" → "Nuovo" → "Gruppo"
3. Si apre la finestra di creazione nuovo gruppo

Configurazione del gruppo

Nome gruppo: [GR_AMM_________________________________]

Nome gruppo (precedente a Windows 2000):
             [GR_AMM_________________________________]

Ambito gruppo:
● Globale
○ Locale dominio
○ Universale

Tipo gruppo:
● Sicurezza
○ Distribuzione

[OK]  [Annulla]

Configurazione gruppo. Nome gruppo: GR_AMM (prefisso GR_ per identificare facilmente i gruppi)

Ambito gruppo: Globale

• Globale: Può contenere utenti dello stesso dominio ed essere usato in tutta la foresta
• Locale dominio: Solo nel dominio locale, può contenere utenti di qualsiasi dominio
• Universale: Disponibile in tutta la foresta, può contenere utenti di qualsiasi dominio

Tipo gruppo: Sicurezza

• Sicurezza: Per assegnare permessi e diritti (scelta corretta per noi)
• Distribuzione: Solo per liste di distribuzione email (non assegna permessi)

Aggiunta utenti al gruppo

Ora aggiungiamo gli utenti del reparto Amministrazione al gruppo appena creato.

Come aggiungere membri a un gruppo:

1. Doppio click sul gruppo "GR_AMM"
2. Si apre la finestra proprietà del gruppo
3. Seleziona la scheda "Membri"
4. Clicca "Aggiungi..."

Immettere i nomi degli oggetti da selezionare (esempi):
[Marco Rossi; Laura Bianchi; Giuseppe Verdi____________]

[Controlla nomi]  [Avanzate...]

[OK]  [Annulla]

Aggiunta membri:

1. Digita i nomi degli utenti separati da punto e virgola
2. Es: Marco Rossi; Laura Bianchi; Giuseppe Verdi
3. Clicca "Controlla nomi" per verificare che gli utenti esistano
4. I nomi vengono sottolineati se riconosciuti correttamente
5. Clicca "OK" per confermare

Gruppo creato e popolato. Ora tutti gli utenti del reparto Amministrazione sono membri del gruppo GR_AMM. Quando assegneremo permessi a cartelle condivise o applicheremo Group Policy, potremo farlo una sola volta al gruppo invece che a ogni singolo utente.

Creazione di altri gruppi

Seguiamo lo stesso processo per creare gruppi per gli altri reparti:

• GR_VEN (Vendite) – Gruppo per il reparto Vendite; Paolo Neri; Anna Romano
• GR_IT – Gruppo per il reparto IT; Luca Ferrari; Chiara Russo
• GR_MKT (Marketing) – Gruppo per il reparto Marketing; Francesca Gallo; Andrea Costa
• GR_TUTTI – Gruppo che contiene tutti gli utenti; Tutti i gruppi sopra; O tutti gli utenti individuali

Aggiunta computer client al dominio

Ora che abbiamo creato utenti e gruppi, è il momento di aggiungere computer client al dominio. Questo permetterà agli utenti di accedere con le loro credenziali di dominio da qualsiasi computer unito al dominio.

Preparazione del computer client

Prerequisiti per il client.

• Windows 10 o Windows 11 (Professional, Enterprise o Education)
• Connessione di rete con il Domain Controller
• DNS configurato per puntare al Domain Controller
• Stesso segmento di rete o routing configurato correttamente

Nota: Windows Home Edition non supporta il domain join.

Fase 1: configurazione DNS del client

Questo è il passaggio più importante. Il client deve usare il Domain Controller come server DNS per poter risolvere i nomi del dominio e trovare i servizi Active Directory.

Configurazione DNS su Windows 10/11:

1. Apri Impostazioni → Rete e Internet
2. Clicca su "Proprietà" della connessione di rete attiva
3. Scorri e clicca su "Modifica" accanto a "Assegnazione server DNS"
4. Seleziona "Manuale"
5. Attiva IPv4
6. DNS preferito: 192.168.27.130 (IP del server AD1)
7. DNS alternativo: Lascia vuoto (o 8.8.8.8 come fallback)
8. Clicca "Salva"

Server DNS preferito:  [192.168.27.130]
Server DNS alternativo: [_______________]  (opzionale)

⚠️ IMPORTANTE: Il client DEVE usare il DC come DNS!

Al momento il Domain Controller (AD1) è l'unico server DNS
che conosce il dominio azienda00.local e può risolvere:
- I nomi dei computer nel dominio
- I record SRV per i servizi AD (LDAP, Kerberos, ecc.)
- Le query per risorse esterne (tramite forwarders)

Errore comune: DNS sbagliato. NON usare DNS pubblici (8.8.8.8, 1.1.1.1) come DNS preferito. Se lo fai, il client non potrà trovare il dominio e il join fallirà con errori come:

• "Impossibile trovare il dominio azienda00.local"
• "DNS name does not exist"
• "The specified domain either does not exist or could not be contacted"

I DNS pubblici devono essere configurati come forwarders sul Domain Controller, non direttamente sui client.

Fase 2: verifica connettività

Prima di procedere con il join, verifichiamo che il client possa raggiungere il Domain Controller e risolvere correttamente i nomi DNS.

Test di connettività:

1. Apri Prompt dei comandi o PowerShell
2. Esegui: ping 192.168.27.130 → Deve rispondere
3. Esegui: ping AD1.azienda00.local → Deve risolvere e rispondere
4. Esegui: nslookup azienda00.local → Deve restituire l'IP del DC

C:\Users\User> ping 192.168.27.130
Risposta da 192.168.27.130: byte=32 durata<1ms TTL=128
✅ OK - Server raggiungibile

C:\Users\User> ping AD1.azienda00.local
Risposta da 192.168.27.130: byte=32 durata<1ms TTL=128
✅ OK - Risoluzione DNS funzionante

C:\Users\User> nslookup azienda00.local
Server:  AD1.azienda00.local
Address: 192.168.27.130

Nome:    azienda00.local
Address: 192.168.27.130
✅ OK - DNS configurato correttamente

Tutti i test superati. Se tutti i test sopra sono andati a buon fine, il client è pronto per essere aggiunto al dominio.

Fase 3: join al dominio

Ora possiamo procedere con l'aggiunta del computer al dominio.

Procedura di domain join:

1. Apri Impostazioni → Sistema → Informazioni su
2. Scorri fino a "Impostazioni correlate"
3. Clicca su "Impostazioni avanzate di sistema"
4. Nella scheda "Nome computer", clicca "Cambia..."

>

Configurazione nome computer e dominio

Nome computer: [PC-AMM-01_____________________________]

Membro di:
○ Dominio:     [azienda00.local_____________________]
○ Gruppo di lavoro: [WORKGROUP_______________________]

[OK]  [Annulla]

Compilazione campi:

1. Nome computer: PC-AMM-01 (o un nome descrittivo per il computer)
2. Seleziona ● Dominio
3. Inserisci: azienda00.local
4. Clicca "OK"

Fase 4: autenticazione amministratore

Il sistema richiederà le credenziali di un amministratore del dominio o di un utente con permessi per aggiungere computer al dominio.

Nome utente: [Administrator__________________________]
Password:    [••••••••••••••••••••••••••••••••••]

Dominio:     azienda00.local

[OK]  [Annulla]

Credenziali da usare. Puoi usare uno dei seguenti formati:

• Administrator (senza dominio, se il DNS è configurato bene)
• AZIENDA00\Administrator (formato NetBIOS)
• Administrator@azienda00.local (formato UPN)

Inserisci la password dell'amministratore di Active Directory (non quella locale del client!).

Fase 5: conferma e riavvio

╔════════════════════════════════════════╗
║  Benvenuto nel dominio azienda00.local ║
╚════════════════════════════════════════╝

[OK]

Computer aggiunto al dominio. Il computer è stato aggiunto con successo al dominio. Ora verrà richiesto un riavvio.

Clicca "OK" e poi "Riavvia ora" per completare il processo.

Fase 6: verifica sul domain controller

Anche prima che il client finisca di riavviarsi, possiamo già vedere che è stato aggiunto al dominio nel nostro Domain Controller.

Verifica su AD1:

1. Sul server AD1, apri Server Manager → Strumenti → Utenti e computer di Active Directory
2. Espandi azienda00.local
3. Clicca sul contenitore "Computers"
4. Vedrai il computer PC-AMM-01 già presente.

Il computer è un oggetto AD. Il computer è ora un oggetto di Active Directory e risponde al dominio. Questo significa:

• Gli utenti del dominio possono accedere a questo computer
• Il computer riceve le Group Policy del dominio
• È gestibile centralmente dal Domain Controller
• Può accedere alle risorse condivise del dominio

Fase 7: spostamento del computer nella OU corretta

Per default, i computer vengono aggiunti al contenitore "Computers". Spostiamolo nella nostra struttura organizzativa personalizzata.

Spostamento del computer:

1. Nella console ADUC, clicca e tieni premuto su PC-AMM-01
2. Trascina il computer fino alla OU: Divisione Italia → Amministrazione → Computer
3. Rilascia il mouse
4. Appare un messaggio di avviso

Messaggio di avviso

⚠️ Spostare un oggetto da un'unità organizzativa a un'altra
   può generare la perdita dei permessi o delle impostazioni
   delle policy di gruppo configurate per l'unità
   organizzativa di partenza.

Continuare con lo spostamento?

[Sì]  [No]

Comprendere l'avviso. Questo avviso ci informa che spostando l'oggetto:

• Le Group Policy Objects (GPO) applicate alla OU di partenza non saranno più applicate
• Verranno invece applicate le GPO della OU di destinazione
• Eventuali permessi delegati sulla OU di partenza non si applicheranno più

Nel nostro caso, il contenitore "Computers" non ha GPO specifiche, quindi possiamo procedere tranquillamente cliccando "Sì".

Computer organizzato correttamente. Il computer è ora nella posizione corretta nella nostra struttura organizzativa. Quando creeremo Group Policy specifiche per il reparto Amministrazione, questo computer le riceverà automaticamente.

Test di accesso utente

Dopo il riavvio del client, alla schermata di login vedremo che ora è possibile accedere con gli utenti del dominio!

Altro utente

Nome utente: [m.rossi____________________________]
Password:    [••••••••••••••••••••••••••••••]

Accedi a:    [AZIENDA00 ▼]

Opzioni:
- AZIENDA00 (questo computer nel dominio)
- PC-AMM-01 (questo computer - locale)

Login con utente di dominio:

1. Clicca su "Altro utente"
2. Nome utente: m.rossi (o il nome completo "Marco Rossi")
3. Password: La password dell'utente
4. Accedi a: Seleziona AZIENDA00 (il dominio)
5. Premi Invio o clicca sulla freccia

Login riuscito. L'utente Marco Rossi può ora accedere al computer usando le sue credenziali di dominio!

Questo significa che:

• Il suo profilo utente verrà creato sul computer
• Avrà accesso alle risorse condivise del dominio (quando le creeremo)
• Riceverà le Group Policy applicate al dominio e alla sua OU
• Può accedere da qualsiasi computer del dominio con le stesse credenziali.

Riepilogo processo domain join

1. Preparazione – Configurare DNS client → DC; Verificare connettività; Test ping e nslookup
2. Join – Impostazioni → Nome computer; Inserire nome dominio; Autenticazione admin
3. Verifica – Riavvio computer; Verifica in ADUC; Spostamento in OU corretta
4. Test – Login con utente dominio; Verifica profilo; Test accesso risorse

Esercizi