Implementare l'ereditarietà e l'ambito degli oggetti Criteri di gruppo

Completato

Le impostazioni dei criteri negli oggetti Criteri di gruppo definiscono la configurazione. È necessario tuttavia specificare i computer o gli utenti a cui deve essere applicato l'oggetto Criteri di gruppo prima che eventuali modifiche alla configurazione di un oggetto Criteri di gruppo abbiano effetto sui computer o sugli utenti dell'organizzazione. Si parla in questo caso di "ambito di un oggetto Criteri di gruppo", ovvero del gruppo di utenti e computer a cui verranno applicate le impostazioni dell'oggetto Criteri di gruppo.

Importante

L'ambito di un oggetto Criteri di gruppo viene definito collegandolo all'unità organizzativa contenente gli utenti e i computer di destinazione.

Ambito di un oggetto Criteri di gruppo

Sono disponibili vari metodi per gestire l'ambito degli oggetti Criteri di gruppo basati su dominio. Il primo si basa sul collegamento dell'oggetto Criteri di gruppo. In Servizi di dominio Active Directory è possibile collegare oggetti Criteri di gruppo a:

• Siti
• Domini
• Uo

Il sito, il dominio o l'unità organizzativa diventa quindi l'ambito massimo dell'oggetto Criteri di gruppo e le configurazioni specificate dalle impostazioni di criteri nell'oggetto Criteri di gruppo avranno effetto su tutti i computer e gli utenti all'interno del sito, del dominio o dell'unità organizzativa, inclusi quelli presenti nelle unità organizzative figlio. È possibile collegare un oggetto Criteri di gruppo anche a più domini, unità organizzative o siti.

Attenzione

Se si collegano oggetti Criteri di gruppo a più siti di una foresta con più domini possono verificarsi problemi di prestazioni durante l'applicazione dei criteri e, in uno scenario di questo tipo, è quindi opportuno evitare di collegare oggetti Criteri di gruppo a più siti. In una rete con più siti distribuiti in più foreste, infatti, gli oggetti Criteri di gruppo vengono archiviati nei controller del dominio in cui sono stati creati gli oggetti Criteri di gruppo e i computer di altri domini potrebbero essere costretti ad attraversare un collegamento WWAN (Wide Area Network) lento per ottenere gli oggetti Criteri di gruppo.

Per restringere ulteriormente l'ambito di un oggetto Criteri di gruppo, è possibile usare uno dei due tipi di filtri descritti nella tabella seguente.

filtro

Descrizione

Sicurezza

Questi filtri consentono di specificare i gruppi di sicurezza o i singoli oggetti utente o computer correlati all'ambito di un oggetto Criteri di gruppo, ma a cui l'oggetto Criteri di gruppo deve essere applicato o non applicato in modo esplicito.

WMI

Questi filtri consentono di specificare un ambito facendo riferimento alle caratteristiche di un sistema, ad esempio una versione del sistema operativo o lo spazio libero su disco.

I filtri di sicurezza e WMI consentono quindi di limitare o specificare l'ambito all'interno dell'ambito iniziale creato dal collegamento all'oggetto Criteri di gruppo. Di seguito è riportato un esempio di un filtro WMI che genera un elenco di computer che eseguono Windows 10.

select * from Win32_OperatingSystem where Version like "10.%"

Ordine di elaborazione degli oggetti Criteri di gruppo

Gli oggetti Criteri di gruppo che devono essere applicati a un utente, a un computer o a entrambi non vengono implementati contemporaneamente, ma seguono un ordine particolare. Eventuali impostazioni in conflitto elaborate in un secondo momento potrebbero infatti sovrascrivere le impostazioni elaborate all'inizio.

Criteri di gruppo segue l'ordine di elaborazione gerarchico seguente:

1. Oggetti Criteri di gruppo locali.
2. Oggetti Criteri di gruppo collegati a un sito.
3. Oggetti Criteri di gruppo collegati a un dominio.
4. Oggetti Criteri di gruppo collegati a un'unità organizzativa.
5. Oggetti Criteri di gruppo collegati a un'unità organizzativa figlio.

Importante

Nell'applicazione dei Criteri di gruppo, la regola predefinita è che hanno la priorità gli ultimi criteri (più specifici) applicati.

Eventuali criteri che limitano l'accesso al pannello di controllo applicati a livello di dominio, ad esempio, potrebbero essere invertiti da criteri applicati a livello di unità organizzativa per gli oggetti contenuti in quella particolare unità organizzativa.

Se si collegano vari oggetti Criteri di gruppo a un'unità organizzativa, l'elaborazione viene eseguita nell'ordine specificato dall'amministratore nella scheda Oggetti Criteri di gruppo collegati (dell'unità organizzativa) nella console di Gestione Criteri di gruppo. Per impostazione predefinita, l'elaborazione è abilitata per tutti i collegamenti degli oggetti Criteri di gruppo. Se si disabilita il collegamento di un oggetto Criteri di gruppo di un contenitore, è possibile bloccare completamente l'applicazione dell'oggetto Criteri di gruppo in un dominio o in un'unità organizzativa specifica. Se ad esempio è stata apportata una modifica recente a un oggetto Criteri di gruppo che causa problemi di produzione, è possibile disabilitare il collegamento o i collegamenti fino a quando il problema non viene risolto.

Annotazioni

Si noti che se l'oggetto Criteri di gruppo è collegato ad altri contenitori, continuerà a elaborare l'oggetto Criteri di gruppo se i collegamenti sono abilitati.

È anche possibile disabilitare la configurazione utente o computer di un determinato oggetto Criteri di gruppo indipendentemente dall'utente o dal computer. Se si sa che una sezione di specifici criteri è vuota, disabilitando l'altra sezione è possibile velocizzare leggermente l'elaborazione dei criteri. Se, ad esempio, si dispone di criteri che recapitano solo la configurazione desktop utente, è possibile disabilitare la sezione computer dei criteri.

Ereditarietà degli oggetti Criteri di gruppo

È possibile configurare un'impostazione di criteri in più oggetti Criteri di gruppo ma, in questo caso, si potrebbero verificare conflitti tra i vari oggetti Criteri di gruppo. In questo caso, l'impostazione di criteri da applicare al client viene stabilita in base alle precedenze definite per gli oggetti Criteri di gruppo. Un oggetto Criteri di gruppo con precedenza maggiore ha la priorità su un oggetto Criteri di gruppo con precedenza più bassa. La precedenza viene determinata numericamente e ad ogni oggetto Criteri di gruppo è assegnato un valore di precedenza. Ha la precedenza l'oggetto a cui è assegnato il numero più basso. Un oggetto Criteri di gruppo a cui è assegnato il valore di precedenza uno, quindi, ha la priorità su tutti gli altri oggetti Criteri di gruppo.

Il comportamento predefinito di Criteri di gruppo è che gli oggetti Criteri di gruppo collegati a un contenitore con un valore superiore vengono ereditati dai contenitori con un valore inferiore. Quando un computer viene avviato o un utente accede, le estensioni client di Criteri di gruppo esaminano il percorso del computer o dell'oggetto utente in Active Directory Domain Services e valuta gli oggetti Criteri di gruppo con ambiti che includono il computer o l'utente. Le estensioni lato client applicano quindi le impostazioni di criteri da questi oggetti Criteri di gruppo. I criteri vengono applicati in sequenza: prima i criteri che si collegano al sito, quindi quelli che si collegano al dominio e infine quelli che si collegano a unità organizzative. Questa applicazione sequenziale di oggetti Criteri di gruppo crea un effetto denominato ereditarietà dei criteri. I criteri vengono ereditati, ovvero l'insieme risultante di criteri per un utente o un computer sarà l'effetto cumulativo dei criteri di sito, dominio e unità organizzativa.

Blocca ereditarietà

È possibile configurare un dominio o un'unità organizzativa in modo che venga impedita l'ereditarietà delle impostazioni dei criteri. Si parla in questo di "bloccare l'ereditarietà". Per bloccare l'ereditarietà, fare clic con il pulsante destro del mouse o accedere al menu di scelta rapida relativo al dominio o all'unità organizzativa nella struttura della console Gestione Criteri di gruppo e quindi selezionare Blocca ereditarietà.

L'opzione Blocca ereditarietà è una proprietà a livello di contenitore e blocca quindi tutte le impostazioni di Criteri di gruppo dagli oggetti Criteri di gruppo che si collegano a elementi padre nella gerarchia Criteri di gruppo.

Attenzione

È consigliabile tuttavia usare sporadicamente l'opzione Blocca ereditarietà, poiché rende più difficile la valutazione della precedenza e dell'ereditarietà di Criteri di gruppo.

Suggerimento

Con l'applicazione di filtri ai gruppi di sicurezza, è possibile definire l'ambito di un oggetto Criteri di gruppo in modo che venga applicato solo agli utenti e ai computer corretti e si rende superflua l'utilizzo dell'opzione Blocca ereditarietà.

Imporre un collegamento di un oggetto Criteri di gruppo

È possibile anche impostare un collegamento in modo che venga imposto. Per imporre un collegamento a un oggetto Criteri di gruppo, fare clic con il pulsante destro del mouse o accedere al menu di scelta rapida relativo al collegamento dell'oggetto Criteri di gruppo nella struttura della console e quindi selezionare Imposto dal menu di scelta rapida.

Quando si imposta un collegamento di un oggetto Criteri di gruppo su Imposto, l'oggetto acquisisce il livello di precedenza più elevato. Le impostazioni di criteri in questo oggetto Criteri di gruppo prevalgono quindi su eventuali impostazioni di criteri in conflitto relative ad altri oggetti Criteri di gruppo.

Importante

Un collegamento imposto viene applicato ai contenitori figlio anche se questi sono impostati su Blocca ereditarietà. L'opzione Imposto determina l'applicazione dei criteri a tutti gli oggetti presenti all'interno dell'ambito.

La procedura di imposizione è utile quando è necessario configurare un oggetto Criteri di gruppo che definisce una configurazione prescritta da criteri di sicurezza e utilizzo stabiliti dal reparto IT aziendale e si vuole quindi avere la certezza che altri oggetti Criteri di gruppo collegati allo stesso livello o a livelli inferiori non sostituiscano queste impostazioni. A questo scopo, è possibile applicare il collegamento dell'oggetto Criteri di gruppo.

Valutazione della precedenza

Per semplificare la valutazione della precedenza di un oggetto Criteri di gruppo, è sufficiente selezionare un'unità organizzativa o un dominio e quindi selezionare la scheda Ereditarietà di Criteri di gruppo. La scheda visualizza quindi le precedenze degli oggetti Criteri di gruppo, l'accounting per il collegamento dell'oggetto Criteri di gruppo, l'ordine di collegamento, il blocco dell'ereditarietà e l'imposizione dei collegamenti.

Importante

Questa scheda non tiene conto degli eventuali criteri relativi a un sito, alla sicurezza degli oggetti Criteri di gruppo o a filtri WMI.

Filtrare l'ambito dell'oggetto Criteri di gruppo usando le entità di sicurezza

L'ambito creato da un collegamento oggetto Criteri di gruppo include tutti gli utenti e i computer nel sito collegato, nel dominio o nell'unità organizzativa. Il filtro della sicurezza consente di restringere l'ambito in modo che l'oggetto Criteri di gruppo si applichi solo a specifiche entità di sicurezza, ovvero gruppi di sicurezza, singoli utenti o singoli computer.

Un computer o un utente deve disporre di due autorizzazioni per un oggetto Criteri di gruppo prima che il client applichi le impostazioni:

• Leggere
• Applicare criteri di gruppo

Per impostazione predefinita, entrambe le autorizzazioni vengono concesse al gruppo Utenti autenticati . Poiché gli utenti autenticati includono tutti gli account utente e computer che eseguono l'autenticazione al dominio, un oggetto Criteri di gruppo appena collegato si applica a tutti gli utenti all'interno dell'ambito.

Per filtrare l'ambito, usare la sezione Filtro di sicurezza nella scheda Ambito di un oggetto Criteri di gruppo:

1. Rimuovere gli utenti autenticati.
2. Aggiungere i gruppi di sicurezza, gli utenti o i computer a cui applicare l'oggetto Criteri di gruppo.

Quando si aggiunge un'entità nella sezione Filtro sicurezza, la Console gestione Criteri di gruppo concede automaticamente a tale entità le autorizzazioni Di lettura e applicazione dei criteri di gruppo .

Importante

Dopo l'aggiornamento della sicurezza MS16-072, Criteri di gruppo recupera l'elenco degli oggetti Criteri di gruppo nel contesto di sicurezza del computer anziché nel contesto di sicurezza dell'utente. Di conseguenza, l'account computer deve avere almeno l'autorizzazione Lettura per l'oggetto Criteri di gruppo. Se si rimuovono gli utenti autenticati dal filtro di sicurezza, aggiungere il gruppo Computer di dominio (o gli account computer pertinenti) con l'autorizzazione Lettura, ma non Applica criteri di gruppo, in modo che gli oggetti Criteri di gruppo di destinazione dell'utente continuino a funzionare correttamente.

È anche possibile escludere in modo esplicito un'entità. Nella scheda Delega dell'oggetto Criteri di gruppo selezionare Avanzate, aggiungere l'entità e quindi impostare Applica criteri di gruppo su Nega. Un'autorizzazione Deny esegue sempre l'override di un oggetto Criteri di gruppo Consenti, quindi l'oggetto Criteri di gruppo non verrà applicato a tale entità anche se è membro di un gruppo incluso.

Suggerimento

Usare Nega con moderazione. Le autorizzazioni di negazione esplicite non vengono visualizzate nella sezione Filtro di sicurezza, che può rendere più difficile la precedenza e l'ambito per la risoluzione dei problemi.

Filtrare l'ambito dell'oggetto Criteri di gruppo usando filtri WMI

Un filtro WMI (Management Instrumentation) di Windows limita l'ambito di un oggetto Criteri di gruppo in base alle caratteristiche del sistema di destinazione, ad esempio la versione del sistema operativo, la piattaforma hardware, lo spazio libero su disco o se un computer è un portatile. Un filtro WMI è una query scritta nel linguaggio WQL (WMI Query Language) valutato rispetto al repository WMI in ogni computer di destinazione. L'oggetto Criteri di gruppo si applica solo se la query restituisce true.

L'esempio seguente restituisce true solo nei computer che eseguono una versione di Windows che inizia con 10:

select * from Win32_OperatingSystem where Version like "10.%"

L'esempio seguente restituisce true solo nei computer che segnalano un tipo di chassis che corrisponde a un computer portatile (portatile):

select * from Win32_SystemEnclosure where ChassisTypes = "9" or ChassisTypes = "10" or ChassisTypes = "14"

Tenere presenti le caratteristiche seguenti dei filtri WMI:

• Un oggetto Criteri di gruppo può essere collegato a un solo filtro WMI, ma un singolo filtro WMI può essere collegato a molti oggetti Criteri di gruppo.
• Il filtro WMI viene valutato ogni volta che i criteri di gruppo elaborano, con un sovraccarico. Un uso esteso dei filtri WMI può rallentare l'accesso e l'avvio.
• Una query WMI che non riesce a valutare (ad esempio, perché fa riferimento a una classe che non esiste nel client) viene considerata false e l'oggetto Criteri di gruppo non si applica.

Per applicare un filtro WMI, selezionare l'oggetto Criteri di gruppo nella Console Gestione Criteri di gruppo e nella scheda Ambito scegliere il filtro dall'elenco a discesa Filtro WMI .

Configurare l'elaborazione del loopback di Criteri di gruppo

In genere, le impostazioni di configurazione utente applicabili a un utente provengono dagli oggetti Criteri di gruppo con ambito al percorso dell'utente in Servizi di dominio Active Directory e le impostazioni di configurazione del computer provengono dagli oggetti Criteri di gruppo con ambito al percorso del computer . In alcuni scenari, ad esempio chioschi multimediali, computer per le classi e lab e Desktop remoto host sessione, si vuole che l'esperienza utente venga determinata dal computer a cui l'utente accede, non dalla posizione dell'account dell'utente.

L'elaborazione del loopback applica le impostazioni di configurazione utente dagli oggetti Criteri di gruppo con ambito al computer, indipendentemente dall'utente che esegue l'accesso. È possibile abilitarla configurando la modalità di elaborazione loopback di Criteri di gruppo utente, disponibile in Configurazione computer\Criteri\Modelli amministrativi\Sistema\Criteri di gruppo. L'impostazione offre due modalità:

Mode

Comportamento

Sostituisci

Le impostazioni utente che normalmente si applicano in base alla posizione dell'utente non vengono elaborate. Si applicano solo le impostazioni utente negli oggetti Criteri di gruppo con ambito al computer.

Merge

Le impostazioni utente degli oggetti Criteri di gruppo con ambito all'utente vengono applicate per prime e quindi vengono applicate le impostazioni utente dagli oggetti Criteri di gruppo con ambito al computer. In caso di conflitto, le impostazioni utente con ambito computer prevalgono perché si applicano per ultimo.

Annotazioni

L'elaborazione del loopback influisce solo sulle impostazioni di configurazione utente degli oggetti Criteri di gruppo. Le impostazioni di configurazione del computer si applicano sempre in base alla posizione del computer in Servizi di dominio Active Directory.