Questa guida include istruzioni dettagliate che dimostrano come applicare le impostazioni dei Criteri di gruppo locali a specifici utenti o gruppi in Windows 11 e Windows 10. Include suggerimenti sulla gestione dei Criteri di gruppo locali in Windows, oltre alla risoluzione dei problemi e alle best practice da seguire per la gestione dei criteri di gruppo specifici per gli utenti anche su larga scala.
Scopri come applicare i Criteri di gruppo locali a utenti specifici per mantenere il controllo su ciò che determinati utenti possono o non possono fare su un PC Windows e per gestire in modo granulare quali applicazioni e funzionalità possono essere utilizzate.
Conoscere i Criteri di gruppo locali in Windows
I Criteri di gruppo sono una funzione di Windows che consente l’amministrazione centrale dei dispositivi Windows, comprese le impostazioni di sistema e utente e la configurazione delle applicazioni. Includono la gestione dei criteri di sicurezza, delle autorizzazioni degli utenti, della configurazione di rete e della gestione dei profili utente. I Criteri di gruppo sono disponibili solo nelle versioni pro ed enterprise di Windows: se utilizzi Windows 11 Home o Windows 10 Home, non potrai accedere a questa funzionalità.
I Criteri di gruppo contengono gli Oggetti Criteri di gruppo (GPO), che sono insiemi di opzioni di configurazione che influenzano il comportamento della funzione o dell’applicazione di Windows associata. I GPO sono impostati come Computer Configuration (che si applicano a uno specifico dispositivo Windows e a qualsiasi utente connesso a tale dispositivo) o User Configuration (che si applicano solo a un singolo account utente specifico per tutta la durata del suo accesso a un dispositivo Windows).
Puoi configurare Criteri di gruppo locali per un singolo utente utilizzando Criteri di gruppo locali di Windows e Oggetti Criteri di gruppo per:
- Connessione automatica alle condivisioni di rete e alle stampanti online.
- Eseguire gli script quando l’utente si collega o si scollega.
- Configurare le impostazioni di sicurezza del browser web.
- Assicurarti che il firewall e l’antivirus siano abilitati (e che non possano essere disattivati).
- Bloccare l’accesso a determinate applicazioni o funzioni di Windows (per esempio, disabilitare l’accesso al prompt dei comandi per determinati utenti).
I Criteri di gruppo di Windows possono essere impostati sul computer locale o come parte di un dominio Windows per uso aziendale:
- Criteri di gruppo locali: I criteri di gruppo locali vengono applicati solo alla macchina specifica su cui sono stati impostati. In caso di conflitto, gli oggetti dei Criteri di gruppo locali vengono annullati dagli oggetti dei Criteri di gruppo di dominio dai Criteri di gruppo in Active Directory.
- Criteri di gruppo in Active Directory: Gli oggetti Criteri di gruppo possono essere definiti anche in un dominio Windows Active Directory (per esempio in uno scenario small business, education o enterprise). Ciò garantisce il controllo centralizzato degli utenti e dei computer collegati alla rete. I criteri di gruppo in Active Directory hanno un ambito basato sull’Unità Organizzativa dell’utente o del dispositivo.
Perché applicare i Criteri di gruppo a utenti specifici?
I Criteri di gruppo vengono solitamente configurati in ambienti aziendali come parte di un dominio Active Directory per il controllo dei dispositivi Windows nell’ambito di una più ampia infrastruttura IT aziendale. Tuttavia, è utile farlo anche nelle distribuzioni di Windows su piccola scala, in quanto consente alle piccole imprese e a coloro che supportano gli utenti domestici di fare cose come:
- Configurare gli aggiornamenti di Windows e assicurarti che vengano installati tempestivamente.
- Impostazione di applicazioni predefinite, come un browser web sicuro o un client di posta elettronica.
- Applicazione delle impostazioni di sistema per impedire agli utenti di disattivare importanti funzioni di sicurezza come l’anti-malware e il firewall di Windows .
- Bloccare l’installazione di applicazioni e l’esecuzione di script da parte di utenti non autorizzati (soprattutto se alcuni utenti aprono spesso allegati di e-mail dannosi o scaricano software da siti web sospetti).
- Assicurarti che determinati utenti possano aprire solo determinate applicazioni, ad esempio impostando un utente che può accedere solo a un’applicazione o a un sito web specifico da utilizzare come kiosk web o per le dimostrazioni dei prodotti.
Prerequisiti per impostare i Criteri di gruppo locali per determinati utenti
I Criteri di gruppo di Windows non sono disponibili nelle edizioni Home del sistema operativo Windows. Per sfruttare sia i Criteri di gruppo locali che i Criteri di gruppo in Active Directory dovrai disporre di una delle seguenti versioni del sistema operativo:
- Windows 10 Pro, Enterprise o Education.
- Windows 11 Pro, Enterprise o Education.
- Windows 7/8 Pro, Enterprise o Ultimate (se stai usando ancora questi sistemi operativi Windows, dovresti aggiornarli il prima possibile, poiché non sono più supportati).
Inoltre dovrai accedere con un account utente con privilegi amministrativi.
Creazione di utenti e gruppi in Windows 11
Per aggiungere, rimuovere o modificare utenti e gruppi locali su un PC Windows, procedi come segue:
- Clicca con il tasto destro del mouse sul pulsante Start e poi su Esegui.
- Digita lusermgr.msc e clicca su OK per richiamare il gestore utenti locale.
- Per aggiungere un nuovo utente, clicca su Utenti nella barra laterale, poi su Azione nella barra dei menu, quindi su Nuovo utente.
- Per aggiungere un nuovo gruppo, clicca su Gruppi nella barra laterale, quindi su Azione > Nuovo gruppo.
- Quando aggiungi un nuovo gruppo, puoi selezionare gli utenti che ne faranno parte cliccando sul pulsante Aggiungi… sotto Membri.
- Inserisci i nomi utente di coloro che desideri aggiungere al gruppo e premi OK.
Una volta aggiunti gli utenti e i gruppi, puoi indirizzarli in modo specifico con i Criteri di gruppo locali. In genere, è meglio aggiungere gli utenti a un gruppo, in modo da poter regolare le impostazioni per tutti gli utenti di quel gruppo e aggiungere successivamente nuovi utenti al gruppo, anziché dover applicare le stesse impostazioni a ogni singolo utente.
Guida passo per passo: applicazione dei Criteri di gruppo locali a utenti specifici
Per applicare i Criteri di gruppo locali ai singoli utenti di Windows, devi creare una finestra personalizzata di Microsoft Management Console (MMC) che modifichi i criteri di gruppo solo per quegli utenti o per un gruppo specificato:
- Clicca con il tasto destro del mouse sul pulsante Start , quindi seleziona Esegui.
- Digita mmc, clicca su OK e quindi su Sì sul prompt di Controllo dell’account utente per aprire l’MMC .
- Clicca su File nella barra dei menu, quindi seleziona Aggiungi/Rimuovi snap-in…
- Seleziona Editor degli oggetti dei criteri di gruppo dall’elenco degli snap-in disponibili.
- Clicca sul pulsante Aggiungi > per aggiungerlo all’elenco degli snap-in selezionati.
- Clicca sul pulsante Browse nella finestra Seleziona Oggetto dei criteri di gruppo .
- Seleziona la scheda Utenti e poi seleziona utenti specifici o gruppo di utenti e premi OK.
- Clicca su Fatto nella finestra Seleziona Criteri di gruppo e quindi premi OK nella finestra Aggiungi o rimuovi snap-in .
- La finestra MMC mostrerà ora l’Editor Criteri di gruppo locali per utenti specifici nel riquadro di navigazione.
- Clicca su File quindi su Salva con nome e salva questa vista MMC personalizzata sul desktop come Editor criteri di gruppo per utenti specifici (per comodità, includi il nome del gruppo nel nome della MMC).
- Ora potrai saltare tutti i passaggi precedenti ogni volta che desideri gestire i criteri utente per quell’utente o gruppo e utilizzare il file MMC salvato sul desktop.
Le modifiche ai criteri di gruppo apportate in questa finestra MMC saranno applicate solo agli utenti o al gruppo specificato. Per esempio, potresti configurare un criterio di gruppo che impedisca ai membri di un determinato gruppo di accedere al pannello di controllo:
- Apri la MMC utilizzando il file creato in precedenza.
- Accedi a Local Computer/specific users Policy/User Configuration/Administrative Templates/Control Panel.
- Clicca due volte su Vieta l’accesso al Pannello di controllo e alle impostazioni del PC .
- Seleziona Abilitato nella finestra di impostazione e clicca su OK.
- Per applicare le modifiche, riavvia o esegui il comando gpupdate /force da PowerShell o dal prompt dei comandi.
L’operazione può essere invertita tornando all’impostazione Vieta l’accesso al Pannello di controllo e alle impostazioni del PC e selezionando Disabilitato o Non configurato.
È importante testare gli oggetti dei Criteri di gruppo creati per assicurarti che abbiano l’effetto desiderato.
Risoluzione dei problemi più comuni dei Criteri di gruppo locali
Per risolvere i problemi di impostazione dei Criteri di gruppo locali per utente, puoi verificare quanto segue:
- Assicurati che i criteri siano assegnati all’utente o al gruppo previsto.
- Conferma che gli utenti per i quali stai cercando di creare i criteri siano membri del gruppo a cui il criterio è assegnato.
Per continuare con il troubleshooting, esegui gpresult /r per vedere tutti i criteri di gruppo attualmente attivi. Tieni presente che, in caso di conflitto, viene applicato il criterio più restrittivo tra quelli in conflitto.
Se commetti un errore durante la creazione dei Criteri di gruppo locali o non riesci a individuare l’origine di un problema, puoi ripristinare tutti i criteri di gruppo eseguendo i seguenti comandi come amministratore:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
Dopo aver eseguito i comandi sopra descritti e aver riavviato il PC Windows, la configurazione del computer e i criteri di configurazione dell’utente saranno stati ripristinati ai valori predefiniti.
Come gestire in modo efficiente i Criteri di gruppo di Windows su scala enterprise
L’uso dei Criteri di gruppo locali per limitare l’accesso ai singoli utenti per più dispositivi Windows, cercando di mantenere la configurazione sicura e coerente tra di essi, può richiedere molto tempo. Inoltre, c’è il rischio di commettere errori che potrebbero passare inosservati. Per configurare più di qualche computer Windows in un’organizzazione, è consigliabile creare un dominio Active Directory in modo da poter gestire centralmente i Criteri di gruppo e altre configurazioni di Windows. Questa modalità ti offrirà maggiore controllo e visibilità sulle risorse IT.
Per garantire ulteriormente la coerenza, l’affidabilità e la sicurezza della tua infrastruttura IT vitale, puoi implementare una soluzione di gestione degli endpoint per i domini Windows. Lo strumento di monitoraggio e gestione degli endpoint da remoto di NinjaOne ti offre un’interfaccia di gestione centralizzata che copre l’intero parco macchine Windows, nonché i dispositivi Apple, Linux e mobili, ovunque si trovino.
