Componenti degli Oggetti Criteri di Gruppo (GPO): Scomposizione Completa dell'Architettura
Gli Oggetti Criteri di Gruppo sono la spina dorsale della gestione centralizzata di Windows in ambienti Active Directory. Comprendere i loro componenti è essenziale per un'efficace implementazione, risoluzione problemi e sicurezza.
Componenti Principali
1. Modello Criteri di Gruppo (GPT)
- Archiviazione fisica: Cartella del file system in SYSVOL:
\\domain.com\SYSVOL\domain.com\Policies\{GUID}\ - Contenuti: Registry.pol (impostazioni), script, template .admx/.adml, pacchetti MSI, preferenze XML
- Replicazione: DFS-R (replicazione SYSVOL) su tutti i DC
- Permessi: Utenti Autenticati: Lettura; Amministratori di Dominio: Controllo Totale
2. Contenitore Criteri di Gruppo (GPC)
- Oggetto AD:
CN={GUID},CN=Policies,CN=System,DC=domain,DC=com - Attributi: versionNumber (GPT + GPC), gPCFileSysPath, gPCFunctionalityVersion, flags
- Replicazione: Replicazione AD standard (intra-dominio)
- Scopo: Metadati, versioning, linking, filtraggio — non archiviazione impostazioni
3. Preferenze Criteri di Gruppo (GPP)
- Estensione dei GPO (Client Side Extensions — CSEs)
- Configura impostazioni non gestite: mappature unità, stampanti, file, cartelle, registro, INI, servizi, attività, utenti/gruppi locali, piani energia, menu Start
- Targeting a livello elemento (ILT): CPU, OS, intervallo IP, gruppo di sicurezza, WMI, ora, corrispondenza registro
- Azioni: Crea, Sostituisci, Aggiorna, Elimina
4. Sicurezza e Delegazione
- Permessi GPO: Lettura, Scrittura, Elimina, Modifica Sicurezza (su GPC + GPT)
- Applica Criteri di Gruppo: ACE su OU/dominio/sito di destinazione — controlla chi riceve il GPO
- Modello di delega: Amministratori OU collegano GPO; Creatori di Criteri di Gruppo creano; Amministratori di Dominio gestiscono tutto
- Filtraggio WMI: Targeting dinamico tramite query WQL (es. laptop vs desktop)
5. Ordine di Elaborazione (Precedenza)
- GPO Locale (computer)
- GPO collegati al Sito (ordinati)
- GPO collegati al Dominio (ordinati)
- GPO collegati all'OU (genitore → figlio, ordinati)
- L'ultimo scrittore vince (con eccezioni: Forzato, Blocca Ereditarietà)
Criteri utente seguono la stessa gerarchia al login. Elaborazione loopback (Unisci/Sostituisci) altera l'origine dei criteri utente.
6. Link e Ambito
- I GPO sono collegati a: Siti, Domini, OU (non utenti/gruppi direttamente)
- Un GPO → più collegamenti (stesse impostazioni, ambito diverso)
- Ordine link (1 = massimo) configurabile per contenitore
- Forzato (No Override): Impedisce override da OU figlie
- Blocca Ereditarietà: Ferma i GPO padre (eccetto Forzati)
Elementi Operativi
- GPMC: Console di gestione principale (gpmc.msc)
- gpresult /h report.html: RSOP (Resultant Set of Policy) lato client
- gpupdate /force: Aggiornamento manuale (background: 90±30 min)
- Starter GPOs: Template per creazione baseline
- Backup/Ripristino: GPMC → Tasto destro su dominio → Backup Tutti
Padroneggia questi sei componenti e controlli lo stato di configurazione di ogni dispositivo aggiunto al dominio.