Controllo di accesso

Il sistema operativo Windows consente di proteggere dall'utilizzo non autorizzato file, applicazioni e altre risorse tramite un processo di confronto della corrispondenza di account utente e gruppi di appartenenza rispetto a diritti, privilegi e autorizzazioni associati a tali account e gruppi di appartenenza. Negli argomenti inclusi in questa sezione viene descritto come assegnare o impostare privilegi e autorizzazioni. La comprensione dei privilegi e delle autorizzazioni e del relativo funzionamento, nonché dei motivi per cui sono necessari consente inoltre di gestire in modo più efficace le risorse condivise. La comprensione di tali processi può inoltre evitare rischi inutili e consentire la risoluzione di possibili problemi relativi al controllo di accesso.

In questa sezione vengono descritti gli argomenti seguenti:

  • Panoramica del controllo di accesso

  • Elenco di controllo: impostare i controlli di accesso sugli oggetti

  • Gestire autorizzazioni

  • Gestire la proprietà degli oggetti

  • Gestire il controllo della sicurezza

  • Informazioni sul controllo dell'account utente

  • Risorse per il controllo di accesso

  • Interfaccia utente: Controllo di accesso


Panoramica del controllo di accesso

Il controllo di accesso è il processo di autorizzazione di utenti, gruppi e computer ad accedere agli oggetti del computer o in rete.

Per comprendere e gestire il controllo di accesso, è necessario comprendere la relazione tra gli elementi seguenti:

  • Oggetti (file, stampanti e altre risorse)

  • Token di accesso

  • Elenchi di controllo di accesso (ACL) e voci di controllo di accesso

  • Soggetti (utenti o applicazioni)

  • Sistema operativo

  • Autorizzazioni

  • Diritti e privilegi utente

Prima che un soggetto possa accedere a un oggetto, deve identificarsi nel sottosistema di sicurezza per il sistema operativo. Questa identità è contenuta in un token di accesso ricreato a ogni accesso del soggetto. Prima di consentire al soggetto di accedere a un oggetto, il sistema operativo determina se il token di accesso per il soggetto è autorizzato ad accedere all'oggetto e a completare l'attività desiderata. A tale scopo, il sistema operativo confronta le informazioni nel token di accesso con le voci di controllo di accesso per l'oggetto.

Le voci di controllo di accesso possono consentire o negare un certo numero di comportamenti diversi, a seconda del tipo di oggetto. Le opzioni per un oggetto file, ad esempio, possono includere Lettura, Scrittura ed Esecuzione. In una stampante, le voci di controllo di accesso disponibili includono Stampa, Gestione stampanti e Gestione documenti.

Singole voci di controllo di accesso per un oggetto vengono combinate in un elenco di controllo di accesso (ACL). Il sottosistema di sicurezza verifica l'elenco di controllo di accesso dell'oggetto per individuare le voci di controllo di accesso valide per l'utente e i gruppi a cui appartiene l'utente. Il sottosistema scorre ogni voce di controllo di accesso fino a individuare quella che consente o nega l'accesso all'utente o quella dei gruppi dell'utente oppure fino a quando non vi sono più voci di controllo di accesso da verificare. Se dopo avere controllato l'elenco di controllo di accesso fino alla fine l'accesso desiderato non risulta né consentito né negato in modo esplicito, il sottosistema di sicurezza nega l'accesso all'oggetto.

Autorizzazioni

Le autorizzazioni definiscono il tipo di accesso consentito a un utente o a un gruppo per un oggetto o una proprietà di oggetto. Ad esempio, al gruppo Contabilità possono essere concesse le autorizzazioni di lettura e scrittura per il file libropaga.dat.

Tramite l'interfaccia utente del controllo di accesso è possibile impostare autorizzazioni NTFS per oggetti quali file, oggetti Active Directory, oggetti del Registro di sistema oppure oggetti di sistema, ad esempio i processi. È possibile concedere autorizzazioni a utenti, gruppi o computer. È consigliabile assegnare le autorizzazioni ai gruppi, in modo da ottimizzare le prestazioni del sistema durante la verifica dell'accesso a un oggetto.

Per qualsiasi oggetto è possibile concedere autorizzazioni a:

  • gruppi, utenti e altri oggetti con identificatori di sicurezza (SID) del dominio.

  • gruppi e utenti di tale dominio e di qualsiasi dominio di tipo trusted

  • gruppi locali e utenti che si trovano sul computer in cui risiede l'oggetto

Le autorizzazioni applicate a un oggetto dipendono dal tipo di oggetto. Ad esempio, le autorizzazioni applicabili a un file sono differenti da quelle applicabili a una chiave di registro. Alcune autorizzazioni sono tuttavia comuni a quasi tutti i tipi di oggetti. Le autorizzazioni comuni sono le seguenti:

  • Lettura

  • Modifica

  • modifica proprietario

  • eliminazione

Quando si impostano le autorizzazioni, viene specificato il livello di accesso che si desidera consentire a gruppi e utenti. È possibile ad esempio consentire a un utente di leggere il contenuto di un file, a un altro di apportarvi delle modifiche e nello stesso tempo impedire a tutti gli altri utenti di accedervi. Autorizzazioni simili possono essere impostate sulle stampanti, in modo che alcuni utenti possano configurarle e altri possano solo eseguire operazioni di stampa.

Per modificare le autorizzazioni su un file, è possibile avviare Esplora risorse, fare clic con il pulsante destro del mouse sul nome del file e scegliere Proprietà. Nella scheda Sicurezza è possibile modificare le autorizzazioni per il file. Per ulteriori informazioni, vedere Gestire autorizzazioni.

Nota

Un altro tipo di autorizzazioni, denominate autorizzazioni di condivisione, può essere impostato nella scheda Condivisione della pagina Proprietà di una cartella oppure tramite la Creazione guidata cartella condivisa. Per ulteriori informazioni, vedere Autorizzazioni di condivisione e autorizzazioni NTFS su un file server.

Proprietà degli oggetti

Quando un oggetto viene creato, a esso viene assegnato un proprietario. Per impostazione predefinita, il proprietario è colui che ha creato l'oggetto. Il proprietario di un oggetto può sempre modificare le autorizzazioni relative all'oggetto, indipendentemente da quelle già impostate. Per ulteriori informazioni, vedere Gestire la proprietà degli oggetti.

Ereditarietà delle autorizzazioni

L'ereditarietà consente agli amministratori di assegnare e gestire le autorizzazioni con facilità. Questa funzionalità consente di impostare gli oggetti di un contenitore in modo che ereditino automaticamente tutte le autorizzazioni ereditabili del contenitore. I file contenuti in una cartella, ad esempio, ne ereditano le autorizzazioni quando vengono creati. Verranno ereditate solo le autorizzazioni contrassegnate per l'ereditarietà.

Diritti e privilegi utente

I diritti utente consentono di assegnare privilegi specifici e diritti di accesso a utenti e gruppi. Gli amministratori possono assegnare diritti specifici ad account di gruppo o a singoli account utente. Questi diritti autorizzano gli utenti a eseguire operazioni specifiche, quali l'accesso a un sistema in modo interattivo o il backup di file e directory.

I diritti utente sono differenti dalle autorizzazioni in quanto i primi si applicano agli account utente e le seconde si applicano agli oggetti. Sebbene sia possibile applicare i diritti utente a singoli account utente, è consigliabile amministrarli in base ad account di gruppo. Nell'interfaccia utente del controllo di accesso non è disponibile alcun supporto per la concessione di diritti utente. È tuttavia possibile amministrare l'assegnazione dei diritti utente tramite lo snap-in Criteri di sicurezza locali in Criteri locali\Assegnazione diritti utente. Per ulteriori informazioni, vedere Diritti e privilegi utente.

Controllo degli oggetti

Se si dispone dei diritti di amministratore, è possibile controllare l'esito dei tentativi di accesso degli utenti agli oggetti. Per selezionare l'oggetto di cui controllare l'accesso utilizzando l'interfaccia utente del controllo di accesso, è innanzitutto necessario attivare i criteri di controllo selezionando l'opzione Controlla accesso agli oggetti in Criteri locali\Criteri controllo\Criteri locali nello snap-in Criteri di sicurezza locali. È quindi possibile visualizzare questi eventi relativi alla sicurezza nel registro sicurezza del Visualizzatore eventi.

Ulteriori riferimenti

  • Per ulteriori informazioni sul controllo di autorizzazioni e accesso, vedere la raccolta sulla sicurezza Windows (http://go.microsoft.com/fwlink/?LinkId=4565).

  • Per ulteriori informazioni sulla strategia di autorizzazione, vedere la pagina relativa alla progettazione di una strategia di autorizzazione delle risorse (http://go.microsoft.com/fwlink/?LinkId=4734).


Elenco di controllo: impostare i controlli di accesso sugli oggetti

Il controllo di accesso è il processo di autorizzazione di utenti, gruppi e computer ad accedere agli oggetti del computer o in rete. Tramite l'interfaccia utente del controllo di accesso, è possibile eseguire le attività indicate nella tabella seguente.

Attività | Riferimento
Visualizzare le autorizzazioni valide e la proprietà di un oggetto | Visualizzare le autorizzazioni valide per file e cartelle Gestire la proprietà degli oggetti
Gestire le autorizzazioni per un oggetto | Gestire autorizzazioni
Diventare proprietario di un file o di una cartella | Diventare proprietario di un file o di una cartella
Gestire le impostazioni dei criteri di controllo della sicurezza per un oggetto | Gestire il controllo della sicurezza


Gestire autorizzazioni

A ogni contenitore e oggetto della rete è associata una serie di informazioni sul controllo dell'accesso, note come descrittori di sicurezza, che controllano il tipo di accesso concesso a utenti e gruppi. Le autorizzazioni vengono definite all'interno di un descrittore di proprietà dell'oggetto e sono associate o assegnate a utenti e gruppi specifici.

I membri di un gruppo di sicurezza associato a un oggetto sono in grado di gestire le autorizzazioni di quell'oggetto. Per gli oggetti di cui si è proprietari, è possibile esercitare il controllo completo. È possibile gestire i vari tipi di oggetti in diversi modi, ad esempio tramite Servizi di dominio Active Directory, Criteri di gruppo o gli elenchi di controllo di accesso.

In questa sezione vengono descritti gli argomenti seguenti:

  • Che cosa sono le autorizzazioni?

  • Autorizzazioni di accesso a file e cartelle

  • Autorizzazioni di condivisione e autorizzazioni NTFS su un file server

  • Autorizzazioni ereditate

  • Come determinare le autorizzazioni valide

  • Determinare la posizione in cui applicare le autorizzazioni

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto

Ulteriori riferimenti

  • Per informazioni sulla gestione delle autorizzazioni tramite Servizi di dominio Active Directory, vedere la pagina relativa ad assegnazione, modifica o rimozione di autorizzazioni per oggetti o attributi Active Directory (http://go.microsoft.com/fwlink/?LinkId=63970).

  • Per ulteriori informazioni sulla gestione delle autorizzazioni tramite Criteri di gruppo, vedere Applicare o modificare le autorizzazioni per gli oggetti mediante Criteri di gruppo (http://go.microsoft.com/fwlink/?LinkId=64928).


Che cosa sono le autorizzazioni?

Autorizzazioni e descrittori di sicurezza

A ogni contenitore e oggetto della rete è associata una serie di informazioni sul controllo di accesso. Note come descrittori di sicurezza, queste informazioni controllano il tipo di accesso concesso a utenti e gruppi. Il descrittore di sicurezza viene creato automaticamente insieme al contenitore o all'oggetto creato. Un esempio tipico di oggetto dotato di descrittore di sicurezza è rappresentato da un file.

Le autorizzazioni vengono definite all'interno di un descrittore di proprietà dell'oggetto. Le autorizzazioni sono associate o assegnate a utenti e gruppi specifici. Per il file Temp.dat, ad esempio, al gruppo Administrators potrebbero essere assegnate le autorizzazioni di lettura, scrittura ed eliminazione, mentre al gruppo Backup Operators potrebbero essere assegnate solo le autorizzazioni di lettura e scrittura.

Ogni assegnazione di autorizzazioni a un utente o gruppo è rappresentata nel sistema come voce di controllo dell'accesso (ACE). L'intero gruppo di voci delle autorizzazioni di un descrittore di sicurezza è noto come insieme di autorizzazioni o elenco di controllo di accesso (ACL; Access Control List). Pertanto, nel caso di un file denominato Temp.dat, il set di autorizzazioni include due voci di autorizzazione, una per il gruppo Administrators e l'altra per il gruppo Backup Operators.

Autorizzazioni esplicite ed ereditate

Esistono due tipi di autorizzazioni: autorizzazioni esplicite e autorizzazioni ereditate.

  • Le autorizzazioni esplicite sono autorizzazioni configurate per impostazione predefinita sugli oggetti non figlio durante la creazione dell'oggetto o tramite l'azione dell'utente sugli oggetti non figlio, gli oggetti padre o gli oggetti figlio.

  • Il termine autorizzazioni ereditate indica invece le autorizzazioni propagate a un oggetto da un oggetto padre. Le autorizzazioni ereditate semplificano la gestione delle autorizzazioni e assicurano l'uniformità delle autorizzazioni tra tutti gli oggetti di un determinato contenitore.

Per impostazione predefinita, gli oggetti di un contenitore ereditano le autorizzazioni da tale contenitore nel momento in cui vengono creati. Ad esempio, quando si crea una cartella denominata MiaCartella, tutte le sottocartelle e i file creati all'interno di tale cartella erediteranno automaticamente le autorizzazioni di tale cartella. Di conseguenza, la cartella MiaCartella sarà caratterizzata da autorizzazioni esplicite, mentre tutte le sottocartelle e i file che contiene saranno caratterizzati da autorizzazioni ereditate.

Nota

Le autorizzazioni Nega ereditate non impediscono l'accesso a un oggetto se questo dispone di un'autorizzazione Consenti esplicita. Le autorizzazioni esplicite hanno la precedenza sulle autorizzazioni ereditate, anche sulle autorizzazioni Nega ereditate.

Ulteriori riferimenti

  • Autorizzazioni di accesso a file e cartelle

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto


Autorizzazioni di accesso a file e cartelle

Nella tabella seguente sono elencate le limitazioni di accesso per ogni set di autorizzazioni NTFS speciali.

Autorizzazioni speciali | Controllo completo | Modifica | Lettura/esecuzione | Visualizza contenuto cartella (solo cartelle) | Lettura | Scrittura
Attraversa cartelle/Esecuzione file | x | x | x | x |  |
Visualizzazione contenuto cartella/Lettura dati | x | x | x | x | x |
Lettura attributi | x | x | x | x | x |
Lettura attributi estesi | x | x | x | x | x |
Creazione file/Scrittura dati | x | x |  |  |  | x
Creazione cartelle/Aggiunta dati | x | x |  |  |  | x
Scrittura attributi | x | x |  |  |  | x
Scrittura attributi estesi | x | x |  |  |  | x
Eliminazione sottocartelle e file | x |  |  |  |  |
eliminazione | x | x |  |  |  |
Autorizzazioni di lettura | x | x | x | x | x | x
Cambia autorizzazioni | x |  |  |  |  |
Diventa proprietario | x |  |  |  |  |
Sincronizza | x | x | x | x | x | x
Importante

I gruppi o gli utenti a cui sia stata concessa l'autorizzazione Controllo completo per una cartella possono eliminare tutti i file contenuti nella cartella, indipendentemente dalle autorizzazioni che proteggono il file.

Ulteriori considerazioni

  • Sebbene le autorizzazioni Visualizzazione contenuto cartella e Lettura/esecuzione sembrino includere le stesse autorizzazioni speciali, tali autorizzazioni vengono ereditate in modo diverso. Visualizza contenuto cartella viene ereditata dalle cartelle ma non dai file e dovrebbe apparire solo quando si visualizzano le autorizzazioni di accesso alla cartella. L'autorizzazione Lettura/esecuzione viene ereditata sia dai file che dalle cartelle ed è sempre presente quando si visualizzano le autorizzazioni di accesso ai file o alle cartelle.

  • Poiché in questa versione di Windows il gruppo Everyone non include per impostazione predefinita il gruppo Accesso anonimo, le autorizzazioni applicate al gruppo Everyone non influiscono sul gruppo Accesso anonimo.

Ulteriori riferimenti

  • Gestire autorizzazioni


Autorizzazioni di condivisione e autorizzazioni NTFS su un file server

L'accesso a una cartella in un file server può essere stabilito attraverso due set di autorizzazioni: il set di autorizzazioni di condivisione impostate per una cartella e le autorizzazioni NTFS della cartella, che possono essere impostate anche per i file. Le autorizzazioni di condivisione sono spesso utilizzate per gestire computer con file system FAT32 o altri computer che non utilizzano il file system NTFS.

Le autorizzazioni di condivisione e le autorizzazioni NTFS sono indipendenti, nel senso che eventuali modifiche in un set non hanno effetto sull'altro. Le autorizzazioni di accesso finali per una cartella condivisa sono determinate dalla combinazione di entrambe queste autorizzazioni. Verranno applicate quindi le autorizzazioni più restrittive.

Nella tabella seguente vengono consigliate le autorizzazioni equivalenti che un amministratore può concedere al gruppo Users per determinati tipi di cartelle condivise. Un altro approccio consiste nell'impostare le autorizzazioni di condivisione su Controllo completo per il gruppo Everyone e basarsi interamente sulle autorizzazioni NTFS per limitare l'accesso.

Tipo di cartella Autorizzazioni di condivisione Autorizzazioni NTFS

Cartella pubblica. Cartella a cui possono accedere tutti gli utenti.

Concedere l'autorizzazione per la modifica al gruppo Users.

Concedere l'autorizzazione per la modifica al gruppo Users.

Cartella a Sola Scrittura. Cartella in cui gli utenti possono archiviare documenti riservati che possono essere letti solo dal manager del gruppo.

Concedere l'autorizzazione Modifica al gruppo Users.

Concedere l'autorizzazione Controllo completo al manager del gruppo.

Concedere l'autorizzazione Scrittura al gruppo Users associato all'opzione Solo la cartella selezionata, disponibile nella pagina Avanzate.

Se ogni utente deve disporre di autorizzazioni specifiche per i file che archivia in questa cartella, è possibile creare un'autorizzazione per l'identificatore di sicurezza conosciuto (SID) Creator Owner e applicarla all'opzione Solo sottocartelle e file. È possibile concedere, ad esempio l'autorizzazione per la lettura e la scrittura al SID Creator Owner sulla cartella riservata e applicarla a tutte le sottocartelle e file. In questo modo, l'utente che archivia o crea il file (utente Creator Owner) potrà anche leggere e scrivere il file. L'utente Creator Owner potrà quindi accedere al file tramite il comando Esegui utilizzando \\NomeServer\CartellaSolaLettura\NomeFile.

Concedere l'autorizzazione Controllo completo al manager del gruppo.

Cartella delle applicazioni. Cartella contenente le applicazioni che possono essere eseguite nella rete.

Concedere l'autorizzazione Lettura al gruppo Users.

Concedere le autorizzazioni Lettura, Lettura ed esecuzione e Visualizzazione contenuto cartella al gruppo Users.

Home directory. Singola cartella per ogni utente. Solo l'utente ha accesso alla cartella.

Concedere l'autorizzazione per il controllo completo a ogni utente per la rispettiva cartella.

Concedere l'autorizzazione per il controllo completo a ogni utente per la rispettiva cartella.

Ulteriori considerazioni

  • La concessione di un'autorizzazione NTFS per il controllo completo su una cartella consente all'utente di assumere la proprietà della cartella, a meno che non sia stato limitato in qualche altro modo. Si consiglia quindi di essere cauti nel concedere il controllo completo.

  • Se si desidera gestire l'accesso alle cartelle utilizzando esclusivamente le autorizzazioni NTFS, impostare le autorizzazioni di condivisione per il gruppo Everyone su Controllo completo.

  • Le autorizzazioni NTFS hanno effetto sia localmente che in remoto e vengono applicate indipendentemente dal protocollo. Le autorizzazioni di condivisione, al contrario, vengono applicate solo alle condivisioni di rete. Le autorizzazioni di condivisione non limitano l'accesso agli utenti locali o agli utenti di Terminal Server del computer in cui sono state impostate le autorizzazioni di condivisione. Le autorizzazioni di condivisione, pertanto, non garantiscono la privacy in un computer utilizzato da più utenti né in un server terminal a cui accedono numerosi utenti.

  • Per impostazione predefinita, i membri del gruppo Anonymous sono stati esclusi dal gruppo Everyone, pertanto le autorizzazioni applicate al gruppo Everyone non hanno effetto sui membri del gruppo Anonymous.

Ulteriori riferimenti

  • Gestire autorizzazioni


Autorizzazioni ereditate

Il termine autorizzazioni ereditate indica le autorizzazioni propagate a un oggetto da un oggetto padre. Le autorizzazioni ereditate semplificano la gestione delle autorizzazioni e assicurano l'uniformità delle autorizzazioni tra tutti gli oggetti di un determinato contenitore.

Ereditarietà di tutti gli oggetti

Se le caselle di controllo Consenti e Nega in diverse parti dell'interfaccia utente del controllo di accesso sono ombreggiate durante la visualizzazione delle autorizzazioni di un oggetto, tale oggetto ha ereditato le autorizzazioni dall'oggetto padre. È possibile impostare queste autorizzazioni ereditate nella scheda Autorizzazioni della pagina delle proprietà Impostazioni di sicurezza avanzate.

Esistono tre metodi consigliati per apportare modifiche alle autorizzazioni ereditate:

  • Apportare le modifiche all'oggetto padre in cui le autorizzazioni sono definite esplicitamente, in modo che l'oggetto figlio ne erediti le autorizzazioni. Per ulteriori informazioni, vedere Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto.

  • Selezionare l'autorizzazione Consenti per ignorare l'autorizzazione Nega ereditata.

  • Deselezionare la casella di controllo Includi le autorizzazioni ereditabili del padre dell'oggetto. A questo punto è possibile apportare modifiche alle autorizzazioni o rimuovere utenti o gruppi dall'elenco Autorizzazioni. L'oggetto non erediterà più le autorizzazioni dall'oggetto padre.

    Nota

    Le autorizzazioni Nega ereditate non impediscono l'accesso a un oggetto se questo dispone di un'autorizzazione Consenti esplicita.

    Nota

    Le autorizzazioni esplicite hanno la precedenza sulle autorizzazioni ereditate, anche sulle autorizzazioni Nega ereditate.

Se la voce Autorizzazioni speciali in Autorizzazioni per <utente o gruppo> è ombreggiata, non significa che l'autorizzazione è stata ereditata, bensì che è stata selezionata un'autorizzazione speciale.

Nella scheda Autorizzazioni della pagina Impostazioni avanzate di sicurezza per <cartella>, nella colonna Applica a in Autorizzazioni, sono elencate le cartelle o le sottocartelle a cui viene applicata un'autorizzazione. Nella colonna Ereditata da sono elencate le cartelle da cui sono state ereditate le autorizzazioni.

È possibile utilizzare il campo Applica a della pagina Voci di autorizzazione per <cartella> per selezionare le cartelle o le sottocartelle a cui si desidera applicare le autorizzazioni.

Per ulteriori informazioni su come completare queste attività, vedere Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto e Determinare la posizione in cui applicare le autorizzazioni.

Ereditarietà degli oggetti Active Directory

Se si utilizza l'opzione Applica a per controllare l'ereditarietà per oggetti Active Directory, tenere presente che non soltanto gli oggetti specificati nel campo Applica a erediteranno tale voce di controllo di accesso, ma ne riceveranno una copia anche tutti gli oggetti figlio. Gli oggetti figlio non specificati nella casella Applica a riceveranno una copia delle voci di controllo di accesso ma non le applicheranno. Se il numero di oggetti che riceverà copie di queste voci è sufficiente, la quantità di dati superiore potrà compromettere seriamente le prestazioni della rete.

Se si assegnano autorizzazioni a un oggetto padre e si desidera che queste vengano ereditate dagli oggetti figlio, è possibile ottenere un livello ottimale delle prestazioni accertandosi che tutti gli oggetti abbiano elenchi di controllo di accesso (ACL) identici. In Windows l'utilizzo di istanze singole consente di archiviare in Servizi di dominio Active Directory solo una copia di tutti gli elenchi di controllo di accesso identici. Creando elenchi di controllo di accesso utilizzabili da molti oggetti, è possibile mantenere un livello ottimale di prestazioni nella rete.

Ulteriori riferimenti

  • Per ulteriori informazioni sulle autorizzazioni, vedere Che cosa sono le autorizzazioni?

  • Per ulteriori informazioni sulle autorizzazioni per gli oggetti Active Directory, vedere Controllo dell'accesso in Active Directory (http://go.microsoft.com/fwlink/?LinkId=63972).


Come determinare le autorizzazioni valide

A ogni oggetto è associato un set di autorizzazioni. La scheda Autorizzazioni valide della pagina delle proprietà Impostazioni di sicurezza avanzate contiene l'elenco delle autorizzazioni che verrebbero concesse al gruppo o all'utente selezionato esclusivamente in base alle autorizzazioni concesse direttamente tramite l'appartenenza al gruppo. Se si desidera individuare le autorizzazioni di un utente o di un gruppo per un oggetto, è possibile utilizzare lo strumento Autorizzazioni valide.

Fattori considerati per determinare le autorizzazioni valide

I fattori presi in considerazione per determinare le autorizzazioni valide sono i seguenti:

  • Appartenenza al gruppo globale

  • Appartenenza al gruppo locale

  • Autorizzazioni locali

  • Privilegi locali

  • Appartenenza a un gruppo universale

Fattori non considerati per determinare le autorizzazioni valide

Gli identificatori di sicurezza (SID) elencati di seguito non vengono presi in considerazione per determinare le autorizzazioni valide:

  • Accesso anonimo

  • Gruppo Creator, Batch

  • Dialup

  • Enterprise Domain Controllers

  • Interattive

  • Rete

  • Proxy

  • Restrizioni

  • Remoto

  • Servizio

  • Sistema

  • Utente di Terminal Server

  • Altra organizzazione

  • Questa organizzazione

Inoltre, le autorizzazioni di condivisione non rientrano nella valutazione delle autorizzazioni valide. L'accesso alle condivisioni può essere negato attraverso le autorizzazioni di condivisione anche quando è consentito attraverso le autorizzazioni NTFS.

Fattori non considerati per gli oggetti cui si accede in remoto

I fattori non considerati per determinare le autorizzazioni valide per oggetti cui si accede in remoto sono i seguenti:

  • Appartenenza al gruppo locale

  • Privilegi locali

  • Autorizzazioni di condivisione

Le autorizzazioni valide sono basate su una valutazione locale dell'appartenenza al gruppo dell'utente, dei privilegi dell'utente e delle autorizzazioni. Se la risorsa a cui si riferisce la query si trova in un computer remoto, nelle autorizzazioni valide visualizzate non saranno incluse le autorizzazioni concesse o negate all'utente mediante l'utilizzo di un gruppo locale sul computer remoto.

Recuperare le autorizzazioni valide

Per il recupero accurato delle informazioni precedentemente elencate è richiesta l'autorizzazione alla lettura delle informazioni di appartenenza. Se l'utente o il gruppo specificato è un oggetto dominio, è necessario disporre dell'autorizzazione alla lettura delle informazioni di gruppo dell'oggetto sul dominio.

Importante
  • Quando si utilizza la scheda Autorizzazioni valide per determinare le autorizzazioni di cui dispone un utente per determinate risorse in un dominio, i risultati visualizzati nell'interfaccia utente potrebbero non essere coerenti con le effettive autorizzazioni dell'utente per la risorsa. Questo problema si verifica in uno dei casi seguenti:
    • Gli strumenti di amministrazione vengono eseguiti in remoto dal server della risorsa.

    • L'account utente utilizzato per eseguire gli strumenti di amministrazione non fa parte dello stesso dominio della risorsa.

  • Per evitare questo problema, verificare sempre le autorizzazioni valide localmente in un computer che ospita la risorsa e assicurarsi che l'account utente amministrativo utilizzato per eseguire lo strumento faccia parte dello stesso dominio della risorsa.

Di seguito sono elencate alcune principali autorizzazioni predefinite per il dominio:

  • Gli amministratori di dominio dispongono dell'autorizzazione alla lettura delle informazioni di appartenenza di tutti gli oggetti.

  • Gli amministratori locali di una workstation o di un server autonomo possono leggere le informazioni di appartenenza di un utente del dominio.

Strumento Autorizzazioni valide

Se si desidera individuare le autorizzazioni di un utente o un gruppo per un oggetto, è possibile utilizzare lo strumento Autorizzazioni valide. Questo strumento consente di valutare le autorizzazioni concesse all'utente o gruppo specificato. Vengono considerate le autorizzazioni in vigore a livello di appartenenza a un gruppo e tutte le autorizzazioni ereditate dall'oggetto padre. La ricerca viene eseguita su tutti i gruppi di dominio e locali di cui è membro l'utente o il gruppo specificato.

Il gruppo Everyone viene sempre incluso, a meno che l'utente o il gruppo selezionato non sia membro del gruppo Accesso anonimo.

Importante
  • Lo strumento Autorizzazioni valide riproduce solo un'approssimazione delle autorizzazioni concesse a un utente. Le autorizzazioni valide dell'utente possono differire, in quanto possono essere concesse o negate in base alla modalità di accesso dell'utente. Poiché le informazioni relative all'accesso non possono essere determinate dallo strumento Autorizzazioni valide se l'utente non è connesso, le autorizzazioni visualizzate nello strumento riflettono solo quelle specificate dall'utente o dal gruppo e non quelle specificate dall'accesso.
  • Se ad esempio un utente è connesso al computer attraverso una cartella condivisa, l'accesso di tale utente risulterà contrassegnato come accesso alla rete. Poiché le autorizzazioni possono essere concesse o negate al SID di rete noto ricevuto dall'utente connesso, un utente potrà disporre di autorizzazioni diverse a seconda che sia connesso localmente o tramite una rete.
  • Per informazioni sulla concessione dell'accesso per autorizzazioni valide, vedere l'articolo 331951 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=63270).

Per ulteriori informazioni sull'utilizzo dello strumento Autorizzazioni valide, vedere Visualizzare le autorizzazioni valide per file e cartelle.

Ulteriori riferimenti

  • Gestire autorizzazioni


Determinare la posizione in cui applicare le autorizzazioni

Quando si impostano autorizzazioni avanzate per file e cartelle, è possibile utilizzare la finestra di dialogo Voci di autorizzazione per <nome oggetto> per impostare gli oggetti discendenti che erediteranno le autorizzazioni.

Per accedere a questa finestra di dialogo, fare clic sul pulsante Avanzate nell'interfaccia utente del controllo di accesso. Nella scheda Autorizzazioni fare clic due volte su Modifica.

Nella finestra di dialogo Voce di autorizzazione per <nome oggetto>, nella casella Applica a della scheda Oggetto, sono specificati gli oggetti a cui è possibile applicare le autorizzazioni. Il modo in cui tali autorizzazioni vengono applicate dipende dal fatto che si selezioni o meno la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore.

Importante

Nel caso di oggetti Active Directory, non solo gli oggetti specificati nel campo Applica a erediteranno le voci di controllo di accesso, ma ne riceveranno una copia anche tutti gli oggetti figlio. Gli oggetti figlio non specificati nella casella Applica a non utilizzeranno le voci di controllo di accesso di cui ricevono una copia. Se, tuttavia, un numero sufficiente di oggetti riceve una copia delle voci di controllo di accesso, l'aumento della quantità di dati potrà provocare gravi problemi di prestazioni nella rete.

Per impostazione predefinita, questa casella di controllo è deselezionata. Nelle tabelle seguenti sono riportate informazioni sull'applicazione delle autorizzazioni ereditate.

  • Quando la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore è deselezionata

  • Quando la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore è selezionata

Quando la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore è deselezionata

Applica a | Applica le autorizzazioni alla cartella corrente | Applica le autorizzazioni alle sottocartelle nella cartella corrente | Applica le autorizzazioni ai file nella cartella corrente | Applica le autorizzazioni a tutte le sottocartelle successive | Applica le autorizzazioni ai file in tutte le sottocartelle successive
Solo la cartella selezionata | x |  |  |  |
La cartella selezionata, le sottocartelle e i file | x | x | x | x | x
La cartella selezionata e le sottocartelle | x | x |  | x |
La cartella selezionata e i file | x |  | x |  | x
Solo le sottocartelle e i file |  | x | x | x | x
Solo le sottocartelle |  | x |  | x |
Solo i file |  |  | x |  | x

Quando la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore è selezionata

Applica a | Applica le autorizzazioni alla cartella corrente | Applica le autorizzazioni alle sottocartelle nella cartella corrente | Applica le autorizzazioni ai file nella cartella corrente | Applica le autorizzazioni a tutte le sottocartelle successive | Applica le autorizzazioni ai file in tutte le sottocartelle successive
Solo la cartella selezionata | x |  |  |  |
La cartella selezionata, le sottocartelle e i file | x | x | x |  |
La cartella selezionata e le sottocartelle | x | x |  |  |
La cartella selezionata e i file | x |  | x |  |
Solo le sottocartelle e i file |  | x | x |  |
Solo le sottocartelle |  | x |  |  |
Solo i file |  |  | x |  |

Ulteriori riferimenti

Per informazioni sull'assegnazione di autorizzazioni a oggetti Active Directory, vedere la pagina relativa alle procedure ottimali per l'assegnazione di autorizzazioni per gli oggetti Active Directory (http://go.microsoft.com/fwlink/?LinkId=63971)

Per ulteriori informazioni sull'impostazione delle autorizzazioni, vedere gli argomenti seguenti:

  • Autorizzazioni di accesso a file e cartelle

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto


Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto

Le autorizzazioni per gli oggetti possono essere modificate o visualizzate utilizzando l'interfaccia utente del controllo di accesso.

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni valide per file e cartelle

  • Visualizzare le autorizzazioni valide per file e cartelle

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni speciali

  • Impostare le autorizzazioni per una risorsa condivisa


Impostare, visualizzare, modificare o rimuovere le autorizzazioni valide per file e cartelle

Al momento della creazione di un file o una cartella, all'oggetto vengono assegnate automaticamente autorizzazioni predefinite.

Per completare questa procedura, è richiesta almeno l'autorizzazione Modifica. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per impostare, visualizzare, modificare o rimuovere le autorizzazioni per file e cartelle

  1. Fare clic con il pulsante destro del mouse sul file o sulla cartella per cui si desidera impostare le autorizzazioni, scegliere Proprietà e quindi fare clic sulla scheda Sicurezza.

  2. Fare clic su Modifica per aprire la finestra di dialogo Autorizzazioni per <oggetto>.

  3. Eseguire una delle operazioni seguenti:

    • Per impostare le autorizzazioni per un gruppo o un utente non presente nella casella Utenti e gruppi, fare clic su Aggiungi. Digitare il nome del gruppo o dell'utente per cui si desidera impostare le autorizzazioni e quindi fare clic su OK.

    • Per modificare o rimuovere le autorizzazioni per un gruppo o un utente esistente, fare clic sul nome del gruppo o dell'utente.

  4. Eseguire una delle operazioni seguenti:

    • Per concedere o negare un'autorizzazione, nella casella Autorizzazioni per <utente o gruppo> selezionare rispettivamente la casella di controllo Consenti o Nega.

    • Per rimuovere il gruppo o l'utente dalla casella Utenti e gruppi, fare clic su Rimuovi.

Ulteriori considerazioni

  • Per una descrizione di tutte le autorizzazioni, vedere Finestra di dialogo Voce autorizzazione.

  • Per poter eseguire questa procedura potrebbe essere necessario elevare le autorizzazioni mediante Controllo account utente.

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • È possibile impostare le autorizzazioni di accesso a file e cartelle solo nelle unità formattate per l'utilizzo di NTFS.

  • Le autorizzazioni possono essere modificate solo dal proprietario o da un utente autorizzato dal proprietario.

  • I gruppi o gli utenti a cui sia stata concessa l'autorizzazione Controllo completo per una cartella possono eliminare i file e le sottocartelle in essa contenuti indipendentemente dalle autorizzazioni che proteggono i file e le sottocartelle.

  • Se le caselle di controllo in Autorizzazioni per <utente o gruppo> sono ombreggiate oppure il pulsante Rimuovi non è disponibile, significa che il file o la cartella ha ereditato le autorizzazioni dalla cartella padre.

  • Quando si aggiunge un nuovo utente o gruppo, per impostazione predefinita a tale utente o gruppo vengono assegnate le autorizzazioni Lettura ed esecuzione, Visualizzazione contenuto cartella e Lettura.

Ulteriori riferimenti

  • Visualizzare le autorizzazioni valide per file e cartelle

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni speciali

  • Autorizzazioni di accesso a file e cartelle


Visualizzare le autorizzazioni valide per file e cartelle

Al momento della creazione di un file o una cartella, all'oggetto vengono assegnate automaticamente autorizzazioni predefinite. È tuttavia possibile assegnare manualmente autorizzazioni specifiche.

Per visualizzare le autorizzazioni valide, è richiesta almeno l'autorizzazione Lettura. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per visualizzare le autorizzazioni valide per file e cartelle

  1. Aprire Esplora risorse e quindi individuare il file o la cartella per cui si desidera visualizzare le autorizzazioni valide.

  2. Fare clic con il pulsante destro del mouse sul file o sulla cartella, scegliere Proprietà e quindi fare clic sulla scheda Sicurezza.

  3. Fare clic su Avanzate, selezionare la scheda Autorizzazioni valide e quindi fare clic su Seleziona.

  4. In Immettere il nome dell'oggetto da selezionare (esempi) digitare il nome di un utente o gruppo e quindi fare clic su OK. Le caselle di controllo selezionate indicano le autorizzazioni valide dell'utente o del gruppo per il file o la cartella selezionata.

Ulteriori considerazioni

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • Se l'oggetto specificato concede l'accesso al gruppo Everyone, Authenticated Users o Local Users, tali autorizzazioni sono sempre incluse nei diritti validi, ad eccezione del caso in cui l'utente o il gruppo specificato è il gruppo Anonymous. In questa versione di Windows i membri del gruppo Anonymous non sono inclusi nel gruppo Everyone.

  • Nella scheda Autorizzazioni valide sono visualizzate informazioni basate sulle voci di autorizzazione esistenti. Pertanto, le informazioni presenti nella pagina sono di sola lettura e non supportano la modifica tramite selezione o deselezione delle caselle di controllo.

  • Quando si utilizza l'interfaccia utente del controllo dell'accesso, le autorizzazioni vengono impostate solo sulle unità formattate per l'utilizzo di NTFS.

  • Le autorizzazioni di condivisione non rientrano nella valutazione delle autorizzazioni valide. L'accesso alle cartelle condivise può essere negato attraverso le autorizzazioni di condivisione anche quando è consentito attraverso le autorizzazioni NTFS.

Ulteriori riferimenti

  • Autorizzazioni di accesso a file e cartelle


Impostare, visualizzare, modificare o rimuovere le autorizzazioni speciali

A ogni oggetto sono associate autorizzazioni che possono limitare l'accesso all'oggetto stesso. È possibile modificare queste autorizzazioni speciali per definire l'accesso a un particolare oggetto.

Per completare questa procedura, è necessario essere proprietari dell'oggetto oppure ottenere dal proprietario l'autorizzazione necessaria. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per impostare, visualizzare, modificare o rimuovere le autorizzazioni speciali

  1. Fare clic con il pulsante destro del mouse sull'oggetto per cui si desidera impostare autorizzazioni avanzate o speciali, scegliere Proprietà e quindi fare clic sulla scheda Sicurezza.

  2. Fare clic su Avanzate e quindi su Cambia autorizzazioni.

  3. Nella scheda Autorizzazioni eseguire una delle operazioni seguenti:

    • Impostare autorizzazioni speciali per un utente o un gruppo aggiuntivo.

      Fare clic su Aggiungi. In Immettere il nome dell'oggetto da selezionare (esempi) digitare il nome dell'utente o del gruppo e quindi fare clic su OK.

    • Visualizzare o modificare le autorizzazioni speciali per un utente o gruppo esistente.

      Selezionare il nome del gruppo o dell'utente e quindi fare clic su Modifica.

    • Rimuovere un gruppo o un utente esistente e le relative autorizzazioni speciali.

      Selezionare il nome del gruppo o dell'utente e quindi fare clic su Rimuovi. Se il pulsante Rimuovi non è disponibile, deselezionare la casella di controllo Includi le autorizzazioni ereditabili del padre dell'oggetto e quindi fare clic su Rimuovi.

    Attenzione

    Se si seleziona la casella di controllo Sostituisci tutte le autorizzazioni degli oggetti figlio con autorizzazioni ereditabili derivate da questo oggetto, tutte le autorizzazioni per i file e le sottocartelle verranno reimpostate sulle autorizzazioni ereditabili dall'oggetto padre.

  4. Nella casella Autorizzazioni selezionare o deselezionare le caselle di controllo Consenti o Nega appropriate.

  5. Nella casella Applica a fare clic sulle cartelle o le sottocartelle a cui si desidera applicare le autorizzazioni.

  6. Per configurare la sicurezza in modo che le sottocartelle e i file non ereditino queste autorizzazioni, deselezionare la casella di controllo Applica queste autorizzazioni solo a oggetti e/o contenitori in questo contenitore.

  7. Fare clic su OK e quindi, in Impostazioni avanzate di sicurezza per <NomeOggetto>, fare clic su OK.

Ulteriori considerazioni

  • I gruppi o gli utenti a cui è stata concessa l'autorizzazione Controllo completo per una cartella possono eliminare i file e le sottocartelle in essa contenuti indipendentemente dalle autorizzazioni che proteggono i file e le sottocartelle.

  • Per poter eseguire questa procedura potrebbe essere necessario elevare le autorizzazioni mediante Controllo account utente.

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • Il gruppo Everyone non include più l'autorizzazione Accesso anonimo.

  • Se si deseleziona la casella di controllo Includi le autorizzazioni ereditabili del padre dell'oggetto, il file o la cartella non erediterà le autorizzazione dall'oggetto padre.

  • È possibile impostare le autorizzazioni NTFS solo sulle unità formattate per l'utilizzo di NTFS.

  • Se le caselle di controllo sono ombreggiate nella casella di gruppo Autorizzazioni, significa che le autorizzazioni sono state ereditate dalla cartella padre.

Ulteriori riferimenti

  • Determinare la posizione in cui applicare le autorizzazioni


Impostare le autorizzazioni per una risorsa condivisa

Il termine risorsa condivisa indica qualsiasi risorsa resa disponibile agli utenti della rete, ad esempio cartelle, file, stampanti e named pipe. Può inoltre indicare una risorsa presente su un server e disponibile agli utenti della rete. Quando si condivide una risorsa, vengono utilizzate le autorizzazioni di condivisione anziché le autorizzazioni NTFS.

Importante

Le autorizzazioni di condivisione vengono applicate solo agli utenti che accedono alla risorsa dalla rete Non vengono applicate agli utenti che accedono localmente, ad esempio al server terminal. Per limitare l'accesso agli oggetti per gli utenti che accedono localmente, impostare le autorizzazioni NTFS nella scheda Sicurezza della pagina Proprietà dell'oggetto.

È possibile impostare le autorizzazioni per una risorsa condivisa in due modi, a seconda del tipo di risorsa.

Per impostare le autorizzazioni per un file o una cartella tramite la procedura guidata Condivisione file

  1. Fare clic con il pulsante destro del mouse sul file o la cartella e quindi scegliere Condividi.

  2. Completare la procedura guidata Condivisione file per selezionare l'utente e il gruppo con cui condividere il file o la cartella e per impostare le autorizzazioni da concedere a ogni utente o gruppo per il file o la cartella.
Per impostare le autorizzazioni per una risorsa tramite Esplora risorse

  1. Aprire Esplora risorse.

  2. Fare clic con il pulsante destro del mouse sull'oggetto e quindi scegliere Condividi o Proprietà.

  3. Fare clic sulla scheda Condivisione e quindi su Condivisione avanzata per impostare le autorizzazioni.

Ulteriori considerazioni

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • La procedura guidata Condivisione file consente di gestire le risorse condivise sia in computer locali sia in computer remoti. Con Esplora risorse e la riga di comando è possibile gestire le risorse condivise solo nel computer locale.

  • Una volta assegnate le autorizzazioni alla risorsa condivisa e a livello di file system, verranno applicate sempre le autorizzazioni più restrittive.

  • In genere, è più semplice assegnare le autorizzazioni a un gruppo al quale vengono successivamente aggiunti gli utenti piuttosto che assegnare autorizzazioni identiche ai singoli utenti.

  • Se si modificano le autorizzazioni per risorse condivise speciali, come ad esempio ADMIN$, potrebbero essere ripristinate le impostazioni predefinite all'arresto e al successivo riavvio del servizio Server oppure al riavvio del sistema. Questa condizione non viene applicata alle risorse condivise create dall'utente il cui nome di condivisione termina con il carattere $.

Ulteriori riferimenti

  • Impostare, visualizzare, modificare o rimuovere le autorizzazioni per un oggetto


Gestire la proprietà degli oggetti

Ogni oggetto è associato a un proprietario, sia che si trovi in un volume NTFS sia in Servizi di dominio Active Directory. Il proprietario controlla come le autorizzazioni sono impostate sull'oggetto e gli utenti a cui sono concesse.

Importante

Per poter rettificare o modificare le autorizzazioni su un file, l'amministratore ne deve prima assumere la proprietà.

Per impostazione predefinita, il proprietario è l'entità che ha creato l'oggetto. Il proprietario può sempre modificare le autorizzazioni per un oggetto, anche qualora gli sia stato negato qualsiasi tipo di accesso all'oggetto.

La proprietà di un oggetto può essere rilevata da:

  • un amministratore. Per impostazione predefinita, il gruppo Administrators dispone del diritto utente Acquisizione proprietà di file o altri oggetti.

  • Tutti gli utenti e i gruppi che dispongono dell'autorizzazione Diventa proprietario per l'oggetto.

  • Un utente con diritto utente Ripristino di file e directory.

La proprietà può essere trasferita nei modi descritti di seguito.

  • Il proprietario corrente può concedere l'autorizzazione Diventa proprietario ad altri utenti, a condizione che questi siano membri di un gruppo definito nel token di accesso del proprietario corrente. Per completare la procedura, tali utenti dovranno però assumere effettivamente la proprietà dell'oggetto.

  • Gli amministratori possono diventare proprietari di un oggetto.

  • Un utente al quale è stato assegnato il privilegio Ripristino di file e directory può fare doppio clic su Altri utenti e gruppi e scegliere qualsiasi utente o gruppo a cui assegnare la proprietà.

Ulteriori riferimenti

  • Diventare proprietario di un file o di una cartella


Diventare proprietario di un file o di una cartella

Il proprietario di un oggetto controlla il modo in cui le autorizzazioni sono impostate sull'oggetto e gli utenti a cui sono concesse.

Per completare questa procedura, è necessario disporre almeno dell'autorizzazione Diventa proprietario per un oggetto o del diritto utente Ripristino di file e directory. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per diventare proprietario di un file o di una cartella

  1. Aprire Esplora risorse e quindi individuare il file o la cartella di cui si desidera diventare proprietario.

  2. Fare clic con il pulsante destro del mouse sul file o sulla cartella, scegliere Proprietà e quindi fare clic sulla scheda Sicurezza.

  3. Fare clic su Avanzate e quindi sulla scheda Proprietario.

  4. Fare clic su Modifica e quindi eseguire una delle operazioni seguenti:

    • Per cambiare il proprietario impostandolo su un utente o gruppo non incluso nell'elenco, fare clic su Altri utenti e gruppi, digitare il nome dell'utente o del gruppo in Immettere il nome dell'oggetto da selezionare (esempi) e quindi fare clic su OK.

    • Per cambiare il proprietario impostandolo su un utente o gruppo incluso nell'elenco, fare clic sul nuovo proprietario nella casella Modifica proprietario in.

  5. (Facoltativo) Per cambiare il proprietario di tutti i sottocontenitori e gli oggetti all'interno dell'albero, selezionare la casella di controllo Sostituisci proprietario in sottocontenitori ed oggetti.

Ulteriori considerazioni

  • Un amministratore può diventare proprietario di qualsiasi file presente nel computer.

  • Per poter assegnare la proprietà di un file o una cartella, potrebbe essere necessario elevare le proprie autorizzazioni tramite Controllo dell'accesso utente.

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • È possibile trasferire la proprietà in due modi:

    • Il proprietario corrente può concedere l'autorizzazione Diventa proprietario ad altri utenti, consentendo loro di diventare proprietari in qualsiasi momento. Un utente a cui sia stata concessa l'autorizzazione Diventa proprietario può assumere la proprietà di un oggetto o assegnarla a qualsiasi gruppo di cui è membro.

    • Un utente al quale è stato assegnato il privilegio Ripristino di file e directory può fare doppio clic su Altri utenti e gruppi e scegliere qualsiasi utente o gruppo a cui assegnare la proprietà.

  • Il gruppo Everyone non include più i membri del gruppo Accesso anonimo.

Ulteriori riferimenti

  • Gestire la proprietà degli oggetti


Gestire il controllo della sicurezza

Il monitoraggio della creazione o della modifica degli oggetti consente di tenere traccia di potenziali problemi di sicurezza, di assicurare l'affidabilità dell'utente e di fornire delle prove in caso di violazione della sicurezza.

I tipi più comuni di eventi da controllare sono i seguenti:

  • Accesso a oggetti, ad esempio file o cartelle.

  • Gestione degli account utente e di gruppo.

  • Connessione e disconnessione degli utenti dal sistema.

In questa sezione vengono descritti gli argomenti seguenti:

  • Criteri di controllo

  • Definire o modificare le impostazioni dei criteri di controllo per una categoria di eventi

  • Applicare o modificare le impostazioni dei criteri di controllo per un file o una cartella locale

  • Visualizzare il registro sicurezza


Criteri di controllo

Prima di implementare la funzionalità di controllo, è necessario stabilire un criterio di controllo tramite il quale specificare le categorie di eventi di sicurezza che si desidera controllare. Alla prima installazione di questa versione di Windows, tutte le categorie di controllo sono disattivate. Attivando diverse categorie di eventi di controllo, è possibile implementare un criterio di controllo che soddisfi le esigenze di sicurezza dell'organizzazione.

Di seguito sono elencate le categorie degli eventi che è possibile selezionare per il controllo:

  • Controlla eventi accesso account

  • Controlla gestione degli account

  • Controlla accesso al servizio directory

  • Controlla eventi di accesso

  • Controlla accesso agli oggetti

  • Modifica del criterio di controllo

  • Controlla uso dei privilegi

  • Controlla tracciato processo

  • Controlla eventi di sistema

Se si sceglie di controllare l'accesso agli oggetti come parte del criterio di controllo, sarà necessario attivare la categoria di controllo dell'accesso al servizio directory, per il controllo degli oggetti su un controller di dominio, oppure la categoria di controllo dell'accesso agli oggetti, per il controllo degli oggetti su un server membro o su una workstation. Dopo avere attivato la categoria di controllo dell'accesso agli oggetti, è possibile specificare i tipi di accesso che si desidera controllare per ogni gruppo o utente.

Per attivare il controllo degli oggetti locali, è necessario effettuare l'accesso come membri del gruppo Administrators predefinito.

Ulteriori riferimenti

  • Gestire il controllo della sicurezza


Definire o modificare le impostazioni dei criteri di controllo per una categoria di eventi

Definendo impostazioni di controllo per specifiche categorie di eventi, è possibile creare un criterio di controllo che soddisfi le esigenze di sicurezza dell'organizzazione. Per impostazione predefinita, nei server e nelle workstation membro appartenenti a un dominio le impostazioni di controllo per le categorie di eventi non sono definite. Nei controller di dominio la funzione di controllo è attivata per impostazione predefinita. Per ulteriori informazioni e per un elenco delle categorie di eventi, vedere Criteri di controllo.

  • Per il computer locale

  • Per un dominio o un'unità organizzativa se si utilizza un server membro o una workstation che fa parte di un dominio

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale.

Per definire o modificare le impostazioni dei criteri di controllo per una categoria di eventi nel computer locale

  1. Aprire lo snap-in Criteri di sicurezza locali e selezionare Criteri locali.

  2. Nell'albero della console fare clic su Criteri controllo.

    Mostra

    • Impostazioni sicurezza/Criteri locali/Criterio di controllo

  3. Nel riquadro dei risultati fare doppio clic sulla categoria di eventi per cui si desidera modificare le impostazioni dei criteri di controllo.

  4. Eseguire una delle operazioni seguenti (o entrambe), quindi fare clic su OK.

    • Per controllare i tentativi con esito positivo, selezionare la casella di controllo Operazioni riuscite.

    • Per controllare i tentativi con esito negativo, selezionare la casella di controllo Operazioni non riuscite.

Ulteriori considerazioni

  • Per aprire lo snap-in Criteri di sicurezza locali, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Criteri di sicurezza locali.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins.

Per definire o modificare le impostazioni dei criteri di controllo per una categoria di eventi di un dominio o un'unità organizzativa se si utilizza un server membro o una workstation che fa parte di un dominio

  1. Se lo strumento Console Gestione Criteri di gruppo non è installato, aprire Server Manager e in Riepilogo funzionalità fare clic su Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.

  2. Quando nella pagina Risultati installazione viene indicato il corretto completamento dell'installazione di Console Gestione Criteri di gruppo, fare clic su Chiudi.

  3. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione Criteri di gruppo.

  4. Nell'albero della console fare doppio clic su Oggetti Criteri di gruppo nella foresta e nel dominio contenenti l'oggetto Criteri di gruppo Criterio dominio predefinito che si desidera modificare.

  5. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo Criterio dominio predefinito e quindi scegliere Modifica.

  6. In Console Gestione Criteri di gruppo passare a Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza e quindi fare clic su Criterio di controllo.

  7. Nel riquadro dei risultati fare doppio clic sulla categoria di eventi per cui si desidera modificare le impostazioni dei criteri di controllo.

  8. Se è la prima volta che vengono definite le impostazioni dei criteri di controllo per questa categoria di eventi, selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  9. Eseguire una o entrambe le operazioni seguenti e quindi fare clic su OK.

    • Per controllare i tentativi con esito positivo, selezionare la casella di controllo Operazioni riuscite.

    • Per controllare i tentativi con esito negativo, selezionare la casella di controllo Operazioni non riuscite.

Ulteriori considerazioni

  • Per aprire Microsoft Management Console mediante l'interfaccia di Windows, fare clic sul pulsante Start, fare clic nella casella di testo Inizia ricerca, digitare mmc e quindi premere INVIO.

  • Per controllare l'accesso agli oggetti, abilitare il controllo della corrispondente categoria di eventi seguendo la procedura descritta in precedenza, quindi attivare il controllo sull'oggetto specifico.

  • Dopo che i criteri di controllo sono stati configurati, gli eventi verranno registrati nel registro di sicurezza. Per visualizzare tali eventi, aprire il registro di sicurezza.

  • L'impostazione predefinita dei criteri di controllo per i controller di dominio è Nessun controllo. In questo modo, anche se il controllo viene abilitato nel dominio, i controller di dominio non ne ereditano i criteri. Se si desidera che i criteri di controllo del dominio vengano applicati ai controller di dominio, è necessario modificare questa impostazione.

Ulteriori riferimenti

  • Gestire il controllo della sicurezza


Applicare o modificare le impostazioni dei criteri di controllo per un file o una cartella locale

È possibile applicare criteri di controllo a singoli file e cartelle del computer impostando il tipo di autorizzazione per registrare i tentativi di accesso riusciti o non riusciti nel registro sicurezza.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale. Per ulteriori informazioni, vedere la sezione "Ulteriori considerazioni" in questo argomento.

Per applicare o modificare le impostazioni dei criteri di controllo per un file o una cartella locale

  1. Aprire Esplora risorse.

  2. Fare clic con il pulsante destro del mouse sul file o sulla cartella da controllare, scegliere Proprietà e quindi selezionare la scheda Sicurezza.

  3. Fare clic su Modifica e quindi su Avanzate.

    Nota

    Se non si accede al computer come membro del gruppo Administrators, per proseguire sarà necessario specificare le credenziali di amministratore.

  4. Nella finestra di dialogo Impostazioni avanzate di sicurezza per <oggetto> fare clic sulla scheda Controllo.

  5. Eseguire una delle operazioni seguenti:

    • Per impostare il controllo per un nuovo utente o gruppo, fare clic su Aggiungi. In Immettere il nome dell'oggetto da selezionare digitare il nome dell'utente o del gruppo desiderato, quindi fare clic su OK.

    • Per rimuovere il controllo per un utente o un gruppo esistente, selezionarne il nome, fare clic su Rimuovi, quindi su OK e ignorare la parte restante della procedura.

    • Per visualizzare o modificare il controllo per un gruppo o un utente esistente, selezionarne il nome, quindi fare clic su Modifica.

  6. Nella casella Applica a selezionare il percorso dell'oggetto da controllare.

  7. Nella casella Accesso indicare le azioni da controllare selezionando le caselle di controllo appropriate:

    • Per controllare gli eventi con esito positivo, selezionare la casella di controllo Operazioni riuscite.

    • Per interrompere il controllo degli eventi con esito positivo, deselezionare la casella di controllo Operazioni riuscite.

    • Per controllare gli eventi con esito negativo, selezionare la casella di controllo Operazioni non riuscite.

    • Per interrompere il controllo degli eventi con esito negativo, deselezionare la casella di controllo Operazioni non riuscite.

    • Per interrompere il controllo di tutti gli eventi, fare clic su Cancella tutto.

  8. Per evitare che i file e le sottocartelle successivi all'oggetto originale ereditino queste voci di controllo, selezionare la casella di controllo Applica queste voci di controllo solo a oggetti e/o contenitori in questo contenitore.
Importante

Prima di impostare il controllo dei file e delle cartelle, è necessario abilitare il controllo dell'accesso agli oggetti definendo le impostazioni dei criteri di controllo relative alla categoria di eventi di accesso agli oggetti. Se il controllo dell'accesso agli oggetti non viene abilitato, verrà visualizzato un messaggio di errore durante l'impostazione del controllo di file e cartelle e non verrà effettuato alcun controllo.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario effettuare l'accesso come membro del gruppo Administrators o disporre dell'autorizzazione Gestione file registro di controllo e di sicurezza disponibile in Criteri di gruppo.

  • Per aprire Esplora risorse, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esplora risorse.

  • Dopo avere abilitato il controllo dell'accesso agli oggetti, visualizzare il registro sicurezza nel Visualizzatore eventi per controllare i risultati delle modifiche.

  • È possibile impostare il controllo di file e cartelle solo nelle unità NTFS.

  • Se si verifica uno dei casi seguenti, il controllo è stato ereditato dalla cartella padre:

    • Nella casella Accesso della finestra di dialogo Voci di controllo per <file o cartella> le caselle di controllo non sono disponibili.

    • Nella finestra di dialogo Impostazioni avanzate di sicurezza per <file o cartella> il pulsante Rimuovi non è disponibile.

  • Poiché la dimensione del registro di sicurezza è limitata, è necessario selezionare con attenzione i file e le cartelle da controllare e tenere conto della quantità di spazio su disco che si desidera riservare per il registro sicurezza. La dimensione massima del registro sicurezza viene definita nel Visualizzatore eventi.

Ulteriori riferimenti

  • Gestire il controllo della sicurezza

  • Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Controllo


Visualizzare il registro sicurezza

Nel registro sicurezza vengono registrati tutti gli eventi definiti dai criteri di controllo impostati per ogni oggetto.

Per visualizzare il registro sicurezza

  1. Aprire Visualizzatore eventi.

  2. Nell'albero della console aprire Registri globali e quindi fare clic su Sicurezza. Nel riquadro dei risultati verrà visualizzato l'elenco dei singoli eventi di sicurezza.

  3. Per visualizzare ulteriori dettagli su un evento specifico, fare doppio clic sull'evento desiderato nel riquadro dei risultati.

Ulteriori considerazioni

  • Per aprire il Visualizzatore eventi, fare clic sul pulsante Start, scegliere Pannello di controllo, quindi Sistema e manutenzione, fare doppio clic su Strumenti di amministrazione e quindi su Visualizzatore eventi.

  • Se il computer è connesso a una rete, è possibile che le impostazioni dei criteri di rete impediscano il completamento della procedura.

Ulteriori riferimenti

  • Gestire il controllo della sicurezza


Informazioni sul controllo dell'account utente

Controllo dell'account utente è una funzionalità di Windows che consente di impedire modifiche non autorizzate al computer. A tale scopo, Controllo dell'account utente richiede un'autorizzazione o una password di amministratore prima di eseguire azioni che potrebbero influire sul funzionamento del computer o di modificare impostazioni che potrebbero interessare altri utenti.

Quando viene visualizzato un messaggio di Controllo dell'account utente, leggerlo con attenzione e assicurarsi che il nome dell'azione o del programma che sta per essere avviato sia quello desiderato. Verificando queste azioni prima dell'avvio, Controllo dell'account utente consente di impedire l'installazione automatica o la modifica non autorizzata del computer da parte di malware.

Se per completare un'attività è necessaria un'autorizzazione o una password, tramite Controllo dell'account utente viene visualizzato un avviso contenente uno dei messaggi seguenti:

  • Per continuare è necessaria l'autorizzazione dell'utente. Per l'avvio di una funzione o di un programma di Windows che può interessare altri utenti del computer è necessaria l'autorizzazione dell'utente. Verificare il nome dell'azione per assicurarsi che si tratti della funzione o del programma che si desidera eseguire.

  • Per continuare è necessaria l'autorizzazione dell'utente. Un programma che non fa parte di Windows richiede l'autorizzazione per l'avvio. Il programma ha una firma digitale valida che ne indica il nome e l'autore e che garantisce l'autenticità del programma. Verificare che il programma corrisponda a quello che si desidera eseguire.

  • Tentativo da parte di un programma non identificato di accedere al computer. Un programma non identificato è un programma che non include una firma digitale valida dell'autore che ne garantisca l'autenticità. Ciò non indica necessariamente la presenza di malware, in quanto molti programmi legittimi meno recenti sono privi di firma. È tuttavia consigliabile prestare particolare attenzione e consentire l'esecuzione del programma solo se proveniente da un'origine attendibile, ad esempio il CD originale o il sito Web dell'autore.

  • Il programma è stato bloccato. L'esecuzione del programma nel computer è stato bloccata in modo specifico dall'amministratore. Per eseguire il programma, è necessario richiedere all'amministratore di sbloccare il programma.

Utilizzare account utente standard

È in genere consigliabile accedere al computer utilizzando un account utente standard. È possibile accedere a Internet, inviare messaggi di posta elettronica e utilizzare un elaboratore di testo senza dover disporre di un account Administrator. Quando si desidera eseguire un'attività amministrativa, ad esempio l'installazione di un nuovo programma o la modifica di un'impostazione che interessa altri utenti, non è necessario passare a un account Administrator. Windows richiederà l'autorizzazione o una password di amministratore prima di consentire l'esecuzione dell'attività.

Per proteggere il computer, è possibile creare account utente standard per tutti gli utenti che condividono il computer. Quando un utente che dispone di un account standard tenta di installare software, gli viene richiesto di immettere la password di un account Administrator in modo che non possa eseguire l'installazione senza autorizzazione.

Utilizzare account Administrator

Gli utenti che accedono con un account Administrator possono comunque ricevere richieste di Controllo dell'account utente se in Criteri di gruppo è configurata la modalità Approvazione amministratore. La modalità Approvazione amministratore impedisce l'installazione invisibile all'utente di malware senza che l'amministratore ne sia a conoscenza. La modalità consente inoltre di proteggere il computer da modifiche involontarie a livello di sistema. La modalità può infine essere utilizzata per applicare un livello maggiore di conformità quando gli amministratori devono approvare o fornire attivamente credenziali per ogni processo amministrativo.

Importante

Se la modalità Approvazione amministratore è configurata, gli amministratori possono riscontrare problemi durante il completamento di attività dalla riga di comando. Per evitare tali problemi, aprire una finestra del prompt dei comandi amministrativo oppure utilizzare lo strumento da riga di comando Runas per completare l'attività.

Ulteriori riferimenti

  • Pagina Web contenente informazioni e istruzioni per la configurazione di Controllo dell'account utente in Windows Vista (http://go.microsoft.com/fwlink/?LinkID=79026)

  • Comando Runas (http://go.microsoft.com/fwlink/?LinkId=135920) nella pagina delle informazioni di riferimento sullo strumento da riga di comando


Risorse per il controllo di accesso

Per ulteriori informazioni sul controllo di accesso, vedere le risorse relative agli argomenti seguenti presso il sito Web Microsoft:

  • Pagina relativa a gestione delle identità, controllo di accesso e protezione delle informazioni (http://go.microsoft.com/fwlink/?LinkId=131727)

  • Pagina relativa alla progettazione di una strategia di autorizzazione delle risorse (http://go.microsoft.com/fwlink/?LinkId=63966)

  • Pagina relativa alle notifiche tecniche di sicurezza Microsoft (http://go.microsoft.com/fwlink/?LinkId=63967)

  • Pagina relativa al controllo della sicurezza (http://go.microsoft.com/fwlink/?LinkID=131231)

  • Pagina relativa alla risoluzione dei problemi relativi al controllo di accesso (http://go.microsoft.com/fwlink/?LinkId=63969)


Interfaccia utente: Controllo di accesso

  • Pagina delle proprietà Impostazioni di sicurezza

  • Finestra di dialogo Seleziona utenti, computer o gruppi

  • Finestra di dialogo Tipi di oggetto

  • Finestra di dialogo Seleziona utenti, computer o gruppi - Pagina Avanzate

  • Finestra di dialogo Voce autorizzazione

  • Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Controllo

  • Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Proprietario

  • Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Autorizzazioni

  • Finestra di dialogo Voci di controllo


Pagina delle proprietà Impostazioni di sicurezza

Per proteggere un computer e le relative risorse, è necessario valutare i diritti di cui disporranno gli utenti. È possibile proteggere uno o più computer assegnando specifici diritti a utenti o gruppi. È possibile proteggere un oggetto, ad esempio un file o una sottocartella, assegnando autorizzazioni che consentano a utenti o gruppi di eseguire operazioni specifiche su tale oggetto.

Elemento Descrizione

Nome oggetto

Visualizza il nome dell'oggetto attualmente selezionato.

Utenti e gruppi

Visualizza un elenco di gruppi o utenti che dispongono dell'autorizzazione di accesso al computer.

Modifica

Consente di modificare le impostazioni di sicurezza dell'oggetto.

Nota

Se questo pulsante non è disponibile, è possibile che non si disponga delle autorizzazioni necessarie per modificare le impostazioni di sicurezza. Sarà comunque possibile visualizzare le impostazioni facendo clic su Avanzate.

Autorizzazioni per

Visualizza un elenco delle autorizzazioni Consenti e Nega applicate al gruppo o all'utente selezionato.

Nota

I tipi di autorizzazione elencati variano a seconda del tipo di oggetto selezionato. Per ulteriori informazioni, vedere Gestire autorizzazioni e la pagina Web relativa all'impostazione di autorizzazioni per server di stampa (http://go.microsoft.com/fwlink/?LinkId=141450).

Ulteriori riferimenti

  • Panoramica del controllo di accesso


Finestra di dialogo Seleziona utenti, computer o gruppi

Elemento | Dettagli
Tipi di oggetto | Fare clic per scegliere i tipi di oggetti da selezionare. Per ulteriori informazioni sui tipi di oggetti, vedere Finestra di dialogo Tipi di oggetto.
Percorsi | Fare clic per definire la posizione radice dalla quale iniziare la ricerca.
Controlla nomi | Consente di individuare tutti i nomi degli oggetti corrispondenti o simili nella casella di testo Immettere i nomi degli oggetti da selezionare utilizzando i tipi di oggetto e il percorso di directory selezionati.
Immettere i nomi degli oggetti da selezionare (esempi) | Casella in cui digitare i nomi di oggetto che si desidera trovare. È possibile cercare più oggetti separando i nomi con un punto e virgola. Utilizzare uno dei seguenti esempi di sintassi: NomeVisualizzato (esempio: Nome Cognome) NomeOggetto (esempio: Computer1) NomeUtente (esempio: Utente1) NomeOggetto@NomeDominio (esempio: Utente1@Dominio1) NomeOggetto\NomeDominio (esempio: Dominio1\Utente1)
Avanzate | Fare clic per selezionare le opzioni di ricerca avanzate. Per ulteriori informazioni sulle opzioni di ricerca avanzate, vedere Finestra di dialogo Seleziona utenti, computer o gruppi - Pagina Avanzate


Finestra di dialogo Tipi di oggetto

Per accedere alla finestra di dialogo Tipi di oggetto, fare clic su Tipi di oggetto nella finestra di dialogo Seleziona utenti, computer o gruppi. Nella finestra di dialogo Tipi di oggetto sono elencati i tipi di oggetti disponibili per la ricerca. Nell'elenco possono essere inclusi uno o più dei seguenti tipi di oggetti:

Tipo di oggetto | Dettagli
Entità di sicurezza incorporate | Oggetti che rappresentano gruppi di sicurezza incorporati predefiniti ed entità di sicurezza. Esempi: Administrators, System Operators, Users, Power Users, Everyone, Authenticated Users, Accesso anonimo, Guests e System.
Computer | Oggetti utilizzati per rappresentare l'accesso di un computer alle risorse di rete.
Gruppi | Oggetti che possono avere utenti, computer e altri gruppi come membri.
Utenti | Oggetti utilizzati per consentire agli utenti di accedere alle risorse di rete.
Contatti | Oggetti utilizzati per individuare le informazioni sugli utenti. Non è possibile assegnare autorizzazioni agli oggetti contatto, che pertanto non hanno accesso alle risorse di rete.
Altro | Oggetti che possono essere creati da applicazioni.

Ulteriori riferimenti

  • Interfaccia utente: Controllo di accesso


Finestra di dialogo Seleziona utenti, computer o gruppi - Pagina Avanzate

Elemento | Dettagli
Tipi di oggetto | Fare clic per scegliere i tipi di oggetti da selezionare. Per ulteriori informazioni sui tipi di oggetti, vedere Finestra di dialogo Tipi di oggetto.
Percorsi | Fare clic per definire la posizione radice dalla quale iniziare la ricerca.
Colonne | Fare clic per modificare le colonne presenti nell'elenco Risultati ricerca per la visualizzazione corrente.
Trova | Fare clic per avviare la ricerca. Se si desidera ricercare tutti gli oggetti specificati in Tipi di oggetto e Percorsi, non immettere alcun valore di ricerca e fare clic su Trova. Questo tipo di ricerca potrebbe richiedere un significativo impiego di risorse di rete a seconda dell'ambito della ricerca. Per ridurre al minimo l'impatto sulle risorse di rete, specificare dei valori di ricerca.
Interrompi | Fare clic qui per interrompere la ricerca. Verranno visualizzati tutti gli elementi trovati fino al momento dell'interruzione della ricerca.
Nome | Elenca le variabili di ricerca utilizzate per trovare nomi di utenti, computer o gruppi e fornisce una casella in cui digitare il nome della query.
Descrizione | Elenca le variabili di ricerca utilizzate per trovare le descrizioni di utenti, computer o gruppi e fornisce una casella in cui digitare la descrizione della query.
Account disabilitati | Specifica se la ricerca includerà gli account disattivati.
Password senza scadenza | Specifica se la ricerca includerà gli account utente con password senza scadenza.
N. di giorni dall'ultimo accesso | Specifica il numero di giorni trascorsi dall'ultimo accesso al dominio degli utenti inclusi nella query specificata.
Risultati ricerca | Elenca i risultati della ricerca di nomi di utenti, computer o gruppi in base alle colonne selezionate.
Colonne | Consente di aggiungere o rimuovere tipi di informazioni da visualizzare per i risultati della ricerca.


Finestra di dialogo Voce autorizzazione

Le autorizzazioni per le cartelle includono Controllo completo, Modifica, Lettura/esecuzione, Visualizzazione contenuto cartella, Lettura e Scrittura. Per ulteriori informazioni su queste autorizzazioni, vedere Autorizzazioni di accesso a file e cartelle. Ognuna di queste autorizzazioni include un gruppo logico di autorizzazioni speciali, elencate e descritte di seguito. Non tutte le autorizzazioni speciali possono essere applicate a tutti gli oggetti.

Autorizzazione Descrizione

Visita cartella/Esecuzione file

Visita cartelle consente o impedisce di spostarsi da una cartella all'altra, anche se l'utente non dispone delle autorizzazioni relative alle cartelle visitate. L'autorizzazione Visita cartella è attiva solo se all'utente o al gruppo non è stato concesso il diritto utente Ignorare controllo incrociato in Console Gestione Criteri di gruppo. Per impostazione predefinita, il gruppo Everyone dispone del diritto utente Ignora controllo incrociato. Si applica solo alle cartelle.

Esecuzione file consente o impedisce l'esecuzione dei file di programma. Si applica solo ai file.

L'impostazione dell'autorizzazione Visita cartella su una cartella non implica automaticamente l'impostazione dell'autorizzazione Esecuzione file su tutti i file contenuti in quella cartella.

Visualizzazione contenuto cartella/Lettura dati

Visualizzazione contenuto cartella consente o impedisce la visualizzazione dei nomi dei file e delle sottocartelle all'interno della cartella. Questa opzione influisce solo sul contenuto della cartella selezionata e non determina se la cartella per cui si impostano le autorizzazioni sarà o meno inclusa nell'elenco. Si applica solo alle cartelle.

Lettura dati consente o impedisce la visualizzazione dei dati nei file. Si applica solo ai file.

Lettura attributi

Consente o impedisce la visualizzazione degli attributi di un file o di una cartella, quali Sola lettura e Nascosto. Gli attributi sono definiti da NTFS.

Lettura attributi estesi

Consente o impedisce la visualizzazione degli attributi estesi di un file o di una cartella. Gli attributi estesi vengono definiti dai programmi e possono variare da un programma all'altro.

Creazione file/Scrittura dati

Creazione file consente o impedisce la creazione di file all'interno della cartella. Si applica solo alle cartelle.

Scrittura dati consente o impedisce di apportare modifiche al file e di sovrascrivere il contenuto esistente. Si applica solo ai file.

Creazione cartelle/Aggiunta dati

Creazione cartelle consente o impedisce la creazione di cartelle all'interno della cartella. Si applica solo alle cartelle.

Aggiunta dati consente o impedisce di apportare modifiche alla fine del file ma non di modificare, eliminare o sovrascrivere dati esistenti. Si applica solo ai file.

Scrittura attributi

Consente o impedisce la modifica degli attributi di un file o di una cartella, quali Sola lettura o Nascosto. Gli attributi sono definiti da NTFS.

L'autorizzazione Scrittura attributi non implica la creazione o l'eliminazione di file o cartelle, ma include solo l'autorizzazione necessaria per apportare modifiche agli attributi di un file o di una cartella. Per consentire (o impedire) operazioni di creazione o eliminazione, vedere le autorizzazioni Creazione file/Scrittura dati, Creazione cartelle/Aggiunta dati, Eliminazione sottocartelle e file ed Eliminazione.

Scrittura attributi estesi

Consente o impedisce la modifica degli attributi estesi di un file o di una cartella. Gli attributi estesi vengono definiti dai programmi e possono variare da un programma all'altro.

L'autorizzazione Scrittura attributi estesi non implica la creazione o l'eliminazione di file o cartelle, ma include solo l'autorizzazione necessaria per apportare modifiche agli attributi di un file o di una cartella. Per consentire (o impedire) operazioni di creazione o eliminazione, vedere le autorizzazioni Creazione file/Scrittura dati, Creazione cartelle/Aggiunta dati, Eliminazione sottocartelle e file ed Eliminazione.

Eliminazione sottocartelle e file

Consente o impedisce l'eliminazione di sottocartelle e di file anche se l'autorizzazione Eliminazione non è stata concessa alla sottocartella o al file.

Eliminazione

Consente o impedisce l'eliminazione del file o della cartella. Se non si dispone dell'autorizzazione Eliminazione per un file o una cartella, è comunque possibile eliminarli se alla cartella padre è stata concessa l'autorizzazione Eliminazione sottocartelle e file.

Autorizzazioni di lettura

Concede o nega le autorizzazioni di lettura del file o della cartella, quali Controllo completo, Lettura e Scrittura.

Cambia autorizzazioni

Consente o impedisce la modifica delle autorizzazioni di accesso al file o alla cartella, quali Controllo completo, Lettura e Scrittura.

Diventa proprietario

Consente o impedisce di diventare proprietario del file o della cartella. Il proprietario di un file o di una cartella può sempre modificare le autorizzazioni, indipendentemente dalle autorizzazioni esistenti per il file o la cartella.

Sincronizza

Consente o impedisce a diversi thread di attendere la cartella o il file associati all'handle e di effettuare la sincronizzazione con un altro thread che potrebbe segnalare l'handle. Questa autorizzazione si applica solo ai programmi multithread che eseguono più processi.

Nota

Non sarà possibile accedere a un file crittografato senza la chiave di Crittografia file system (EFS), anche se si dispone delle autorizzazioni necessarie.

Ulteriori riferimenti

  • Che cosa sono le autorizzazioni?

  • Autorizzazioni di accesso a file e cartelle

  • Determinare la posizione in cui applicare le autorizzazioni

  • Diventare proprietario di un file o di una cartella


Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Controllo

Requisiti per il controllo dell'accesso agli oggetti

La creazione dei criteri di controllo costituisce un aspetto importante della sicurezza. Il monitoraggio della creazione o della modifica degli oggetti consente di tenere traccia di potenziali problemi di sicurezza, di assicurare l'affidabilità dell'utente e di fornire delle prove in caso di violazione della sicurezza.

I tipi più comuni di eventi da controllare sono i seguenti:

  • Accesso a oggetti, ad esempio file o cartelle.

  • Gestione degli account utente e di gruppo.

  • Connessione e disconnessione degli utenti dal sistema.

Quando si implementano i criteri di controllo, effettuare le seguenti operazioni:

  • Se si desidera controllare l'accesso al servizio directory o l'accesso agli oggetti, stabilire gli oggetti di cui monitorare l'accesso e il tipo d accesso da controllare. Se ad esempio si desidera controllare i tentativi di apertura di un file specifico da parte di utenti, è possibile configurare le impostazioni dei criteri di controllo nella categoria di eventi di accesso agli oggetti in modo che vengano registrati sia i tentativi di lettura del file riusciti che quelli non riusciti.

  • Specificare le categorie di eventi da controllare. Per categorie di eventi si intendono, ad esempio, le operazioni di accesso, di disconnessione e di gestione degli account. Le categorie di eventi selezionate costituiscono i criteri di controllo. Per ulteriori informazioni su ogni categoria di eventi, vedere Criteri di controllo.

  • Impostare la dimensione e il funzionamento del registro sicurezza. È possibile visualizzare il registro sicurezza tramite Visualizzatore eventi.

È possibile disporre di una o più voci di controllo per lo stesso utente o gruppo, a seconda del tipo di controllo, dell'origine da cui è stato ereditato, del tipo di accesso e dell'oggetto a cui verrà applicato.

Elemento Descrizione

Nome oggetto

Visualizza il nome dell'oggetto attualmente selezionato.

Voci di controllo

Visualizza tutte le voci di controllo per l'oggetto selezionato:

  • Tipo. Risultato in cui applicare il criterio di controllo. I valori possibili sono Operazioni riuscite, Operazioni non riuscite o Tutti. L'opzione Tipo viene impostata in base alle autorizzazioni di accesso.

  • Nome. Nome dell'oggetto a cui applicare i criteri di controllo.

  • Accesso. Tipi di autorizzazioni, ad esempio Controllo completo, Visita cartella/Esecuzione file, Lettura attributi ed Eliminazione. Include autorizzazioni per file e cartelle, per oggetti Active Directory e per file server.

  • Ereditata da. Oggetto da cui vengono ereditate le autorizzazioni. È possibile includere voci di controllo ereditabili dall'oggetto padre, se presente, selezionando la casella di controllo in questa finestra di dialogo.

  • Applica a. Oggetti figlio a cui vengono applicate le autorizzazioni.

Includi voci di controllo ereditabili dall'oggetto padre di questo oggetto

Quando è selezionata, le voci di controllo ereditabili dall'oggetto padre verranno inserite nel registro sicurezza.

Sostituisci tutte le voci di controllo ereditabili in tutti i discendenti che ereditano voci di controllo da questo oggetto

Quando è selezionata, le impostazioni di controllo dell'oggetto padre sostituiranno le impostazioni degli oggetti discendenti.

Quando è deselezionata, le impostazioni di controllo di tutti gli oggetti, padre o discendenti, possono essere univoche.

Ulteriori riferimenti

  • Gestire autorizzazioni

  • Applicare o modificare le impostazioni dei criteri di controllo per un file o una cartella locale


Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Proprietario

Per informazioni sulla proprietà degli oggetti, vedere Gestire la proprietà degli oggetti.

Elemento | Descrizione
Nome oggetto | Oggetto attualmente selezionato.
Proprietario corrente | Utente o gruppo proprietario dell'oggetto.
Modifica proprietario in | Utente o gruppo a cui può essere concessa la proprietà. Fare clic su Altri utenti o gruppi per selezionare opzioni aggiuntive dal computer o dalla rete.

Ulteriori riferimenti

  • Diventare proprietario di un file o di una cartella


Pagina delle proprietà Impostazioni di sicurezza avanzate - Scheda Autorizzazioni

È possibile assegnare a ulteriori risorse, gruppi o utenti le autorizzazioni NTFS esplicite per l'accesso all'oggetto oppure modificare o rimuovere le autorizzazioni NTFS concesse a una risorsa, un gruppo o un utente per l'oggetto. Per informazioni sulle limitazioni di accesso per ogni set di autorizzazioni NTFS, vedere Autorizzazioni di accesso a file e cartelle.

Il termine autorizzazioni ereditate indica invece le autorizzazioni propagate a un oggetto da un oggetto padre. Le autorizzazioni ereditate semplificano la gestione delle autorizzazioni e assicurano l'uniformità delle autorizzazioni tra tutti gli oggetti di un determinato contenitore. Per ulteriori informazioni sugli effetti delle autorizzazioni ereditate, vedere Effetti dell'ereditarietà sulle autorizzazioni di accesso a file e cartelle.

Elemento Descrizione

Nome oggetto

Visualizza il nome dell'oggetto attualmente selezionato.

Autorizzazioni

Visualizza tutte le autorizzazioni per l'oggetto:

  • Tipo. Consente di concedere o negare a questo gruppo o utente l'autorizzazione per l'oggetto.

  • Nome. Risorsa, utente o gruppo.

  • Autorizzazione. Restrizioni attualmente applicate all'oggetto per la risorsa, l'utente o il gruppo.

  • Ereditata da. Identifica l'oggetto padre.

  • Applica a. Identifica gli oggetti discendenti a cui vengono applicate le autorizzazioni.

Includi le autorizzazioni ereditabili del padre dell'oggetto

Quando è selezionata, gli oggetti figlio erediteranno le autorizzazioni dall'oggetto padre.

Quando è deselezionata, le autorizzazioni applicate all'oggetto padre non verranno più trasmesse agli oggetti figlio.

Sostituisci tutte le autorizzazioni ereditabili in tutti i discendenti che ereditano autorizzazioni da questo oggetto

Quando è selezionata, le autorizzazioni dell'oggetto padre sostituiranno le autorizzazioni degli oggetti discendenti.

Quando è deselezionata, le autorizzazioni di tutti gli oggetti, padre o discendenti, possono essere univoche.


Finestra di dialogo Voci di controllo

A ogni oggetto è associato un insieme di informazioni sulla sicurezza, denominato descrittore di sicurezza. Una parte del descrittore di sicurezza specifica i gruppi o gli utenti che possono accedere a un oggetto e i tipi di accesso (autorizzazioni) concessi. Questa parte dei descrittori di sicurezza è chiamata "elenco di controllo di accesso discrezionale" (DACL, Discretionary Access Control List).

Un descrittore di sicurezza di un oggetto contiene inoltre le informazioni di controllo, note come elenco di controllo accesso di sistema (SACL, System Access Control List). Più in particolare, in un elenco SACL sono specificate le informazioni seguenti:

  • Gli account di gruppo o utente da controllare durante l'accesso all'oggetto.

  • Le operazioni da controllare per ogni gruppo o utente, ad esempio la modifica di un file.

  • L'attributo Operazioni riuscite oppure Operazioni non riuscite per ogni evento di accesso, in base alle autorizzazioni concesse a ogni gruppo e a ogni utente nell'elenco DACL dell'oggetto.

È possibile applicare il controllo a un oggetto. Tutti gli elementi figlio dell'oggetto possono ereditare il controllo. Se ad esempio si desidera controllare l'accesso non riuscito a una cartella, questo evento di controllo può essere ereditato da tutti i file della cartella.

Per controllare file e cartelle, è necessario effettuare l'accesso al sistema come membri del gruppo Administrators.

Elemento | Descrizione
Applica a | L'oggetto o tutte le relazioni padre/figlio dell'oggetto. È inoltre possibile applicare le voci di controllo agli oggetti o contenitori all'interno del contenitore.
Accesso | Il tipo di accesso consentito in base alle singole autorizzazioni.
Riuscito | Si applica all'oggetto quando viene eseguito l'accesso correttamente per ogni singola autorizzazione.
Non riuscito | Si applica all'oggetto quando risulta impossibile eseguire l'accesso per ogni singola autorizzazione.

Ulteriori riferimenti

  • Criteri di controllo

  • Definire o modificare le impostazioni dei criteri di controllo per una categoria di eventi

  • Visualizzare il registro sicurezza


Diritti e privilegi utente

I diritti utente consentono di assegnare privilegi specifici e diritti di accesso a utenti e gruppi. Gli amministratori possono assegnare diritti specifici ad account di gruppo o a singoli account utente. Questi diritti autorizzano gli utenti a eseguire operazioni specifiche, ad esempio l'accesso interattivo a un sistema o il backup di file e directory.

Per semplificare l'attività di amministrazione degli account utente, è consigliabile assegnare privilegi principalmente ad account di gruppo anziché a singoli account utente. Quando si assegnano privilegi a un account di gruppo, tali privilegi vengono automaticamente assegnati agli utenti che diventano membri del gruppo. Questo metodo di amministrazione dei privilegi è di gran lunga più semplice dell'assegnazione di singoli privilegi a ogni account utente che viene creato.

Nella tabella seguente vengono elencati e descritti i privilegi che è possibile concedere a un utente.

Privilegio Descrizione Impostazione predefinita

Agire come parte del sistema operativo

Consente a un processo di rappresentare qualsiasi utente senza autenticazione. In tal modo, il processo può accedere alle stesse risorse locali alle quali ha accesso l'utente.

I processi per cui è necessario questo privilegio devono utilizzare l'account Sistema locale, in cui è già incluso il privilegio, anziché un account utente distinto a cui sia stato espressamente assegnato il privilegio. È necessario assegnare questo privilegio agli utenti solo se l'organizzazione utilizza server che eseguono Windows 2000 o Windows NT 4.0 e applicazioni che scambiano password in testo normale.

Sistema locale

Aggiunta di workstation al dominio

Determina i gruppi o gli utenti autorizzati ad aggiungere workstation a un dominio.

Questo diritto utente è valido solo nei controller di dominio. Per impostazione predefinita, qualsiasi utente autenticato dispone di questo diritto e può creare fino a dieci account computer nel dominio.

L'aggiunta di un account computer nel dominio consente al computer di riconoscere gli account e i gruppi inclusi in Servizi di dominio Active Directory.

Controller di dominio: Authenticated Users

Regolazione limite risorse memoria per un processo

Determina gli utenti autorizzati a modificare il limite massimo di memoria utilizzata da un processo.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefiniti e nei criteri di sicurezza locali di workstation e server.

Administrators

Backup di file e directory

Determina gli utenti a cui è consentito eludere autorizzazioni relative a file e directory, impostazioni del Registro di sistema e altre autorizzazioni permanenti per gli oggetti allo scopo di eseguire il backup del sistema.

Administrators e Backup Operators

Ignorare controllo incrociato

Determina gli utenti autorizzati ad attraversare alberi di directory anche se non dispongono delle autorizzazioni necessarie per la directory attraversata. Questo privilegio non consente all'utente di elencare il contenuto di una directory, ma solo di attraversare le directory.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefinito e nei criteri di sicurezza locali di workstation e server.

Workstation e server: Administrators, Backup Operators, Power Users, Users ed Everyone

Controller di dominio: Administrators e Authenticated Users

Modifica dell'orario di sistema

Determina gli utenti e i gruppi autorizzati a modificare la data e l'ora dell'orologio interno del computer. Gli utenti a cui viene assegnato questo diritto utente possono influire sull'aspetto dei registri eventi. Se si modifica l'ora di sistema, gli eventi registrati indicheranno l'ora nuova e non quella effettiva in cui si sono verificati.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefinito e nei criteri di sicurezza locali di workstation e server.

Workstation e server: Administrators e Power Users

Controller di dominio: Administrators e Server Operators

Creazione di file di paging

Consente all'utente di creare e modificare le dimensioni di un file di paging. A tale scopo, è necessario specificare le dimensioni del file di paging per una determinata unità in Opzioni prestazioni nella scheda Avanzate in Proprietà del sistema.

Administrators

Creazione di oggetti token

Consente a un processo di creare un token da utilizzare per accedere a tutte le risorse locali quando il processo utilizza NtCreateToken() o altre API di creazione di token.

I processi per cui è necessario questo privilegio devono utilizzare l'account di sistema locale, in cui è incluso già il privilegio, anziché un account utente distinto a cui sia stato espressamente assegnato il privilegio.

Nessuno

Creazione oggetti globali

Determina gli account autorizzati a creare oggetti globali in sessioni di Servizi terminal o di Servizi Desktop remoto.

Administrators e Sistema locale

Creazione di oggetti condivisi permanentemente

Consente a un processo di creare un oggetto directory nel gestore di oggetti del sistema operativo. Questo privilegio è utile per i componenti in modalità kernel che estendono lo spazio dei nomi degli oggetti. Non è necessario assegnare tale privilegio ai componenti eseguiti in modalità kernel, in quanto dispongono già intrinsecamente di tale privilegio.

Nessuno

Debug di programmi

Determina gli utenti autorizzati a collegare un debugger a qualsiasi processo o al kernel. Non è necessario assegnare questo diritto utente agli sviluppatori che eseguono il debug delle proprie applicazioni. Non è inoltre necessario assegnare questo diritto utente agli sviluppatori che eseguono il debug di nuovi componenti di sistema. Questo diritto utente consente l'accesso completo a componenti sensibili e critici del sistema operativo.

Administrators e Sistema locale

Impostazione account computer ed utente a tipo trusted per la delega

Determina gli utenti autorizzati a configurare l'impostazione Trusted per la delega in un oggetto utente o computer.

L'utente o l'oggetto cui viene concesso questo privilegio deve disporre di accesso in scrittura ai flag di controllo dell'account nell'oggetto utente o computer. Un processo server in esecuzione in un computer (o in un contesto utente) configurato come trusted per la delega può accedere alle risorse in un altro computer utilizzando le credenziali delegate di un client, a condizione che per l'account del client non sia impostato il flag di controllo dell'account L'account è sensibile e non può essere delegato.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefinito e nei criteri di sicurezza locali di workstation e server.

Controller di dominio: Administrators

Arresto forzato da un sistema remoto

Determina gli utenti autorizzati ad arrestare un computer da una posizione remota della rete. L'utilizzo improprio di questo diritto utente può causare condizioni di Denial of Service.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefinito e nei criteri di sicurezza locali di workstation e server.

Workstation e server: Administrators

Controller di dominio: Administrators e Server Operators

Generazione di controlli di sicurezza

Determina gli account che possono essere utilizzati da un processo per aggiungere voci al registro sicurezza. Il registro sicurezza consente di tenere traccia degli accessi non autorizzati al sistema. L'utilizzo improprio di questo diritto utente può provocare la generazione di numerosi eventi di controllo, che a loro volta possono nascondere gli indizi di un attacco o provocare un attacco Denial of Service se è selezionata l'impostazione Controllo: arresto del sistema immediato se non è possibile registrare i controlli di sicurezza relativa ai criteri di sicurezza. Per ulteriori informazioni, vedere la pagina relativa all'impostazione Controllo: arresto del sistema immediato se non è possibile registrare i controlli di sicurezza (http://go.microsoft.com/fwlink/?LinkId=136299).

Sistema locale

Rappresenta un client dopo l'autenticazione

Determina gli account autorizzati a rappresentare altri account.

Administrators e Servizio

Aumento della priorità di pianificazione

Determina gli account autorizzati a utilizzare un processo dotato di accesso Proprietà di scrittura a un altro processo per aumentare la priorità di esecuzione assegnata all'altro processo. Un utente che dispone di questo privilegio può modificare la priorità di pianificazione di un processo tramite l'interfaccia utente Gestione attività.

Administrators

Caricamento/rimozione di driver di dispositivo

Determina gli utenti autorizzati a caricare e scaricare dinamicamente driver di dispositivo o altro codice in modalità kernel. Questo diritto utente non può essere utilizzato con driver di dispositivo Plug and Play. Poiché i driver di dispositivo vengono eseguiti come programmi trusted (o con privilegi elevati), è consigliabile non assegnare questo privilegio ad altri utenti. Utilizzare invece l'API StartService().

Administrators

Blocco di pagine in memoria

Determina gli account autorizzati a utilizzare un processo per mantenere i dati nella memoria fisica, impedendo al sistema di eseguire il paging dei dati nella memoria virtuale su disco. L'utilizzo di questo privilegio può influire significativamente sulle prestazioni del sistema riducendo la quantità di memoria ad accesso casuale (RAM) disponibile.

Nessuno. Alcuni processi di sistema dispongono intrinsecamente di questo privilegio.

Gestione file registro di controllo e di sicurezza

Determina gli utenti autorizzati a specificare le opzioni di controllo dell'accesso agli oggetti per singole risorse, ad esempio file, oggetti di Active Directory e chiavi del Registro di sistema.

Questa impostazione di sicurezza non consente a un utente di attivare il controllo dell'accesso a file e oggetti in generale. Per l'attivazione di questo tipo di controllo, è necessario configurare l'impostazione Controlla accesso agli oggetti in Configurazione computer\Impostazioni di Windows\Impostazioni sicurezza\Criteri locali\Criteri controllo. Per ulteriori informazioni, vedere la pagina relativa all'impostazione Controlla accesso agli oggetti (http://go.microsoft.com/fwlink/?LinkId=136283).

È possibile visualizzare gli eventi controllati nel registro sicurezza del Visualizzatore eventi. Un utente dotato di questo privilegio può inoltre visualizzare e cancellare il registro sicurezza.

Administrators

Modifica dei valori di ambiente firmware

Determina gli utenti autorizzati a modificare i valori di ambiente firmware. Le variabili di ambiente del firmware sono impostazioni archiviate nella RAM non volatile dei computer non basati su x86. L'effetto dell'impostazione dipende dal processore.

  • Nei computer basati su x86, l'unico valore di ambiente firmware che può essere modificato tramite l'assegnazione di questo diritto utente è l'impostazione Ultima configurazione valida nota, che deve essere modificata solo dal sistema.

  • Nei computer basati su Itanium, le informazioni di avvio vengono archiviate nella RAM non volatile. Gli utenti devono disporre di questo diritto utente per eseguire Bootcfg.exe e modificare l'impostazione Sistema operativo predefinito in Avvio e ripristino in Proprietà del sistema.

  • In tutti i computer questo diritto utente è necessario per installare o aggiornare Windows.

Administrators e Sistema locale

Creazione di profilo del singolo processo

Determina gli utenti autorizzati a utilizzare gli strumenti di monitoraggio delle prestazioni per monitorare le prestazioni dei processi non di sistema.

Administrators, Power Users e Sistema locale

Creazione di profilo delle prestazioni del sistema

Determina gli utenti autorizzati a utilizzare gli strumenti di monitoraggio delle prestazioni per monitorare le prestazioni dei processi di sistema.

Administrators e Sistema locale

Rimozione del computer dall'alloggiamento

Determina se un utente può disinserire un computer portatile dall'alloggiamento di espansione senza effettuare l'accesso.

Se questo criterio è attivato, l'utente deve effettuare l'accesso prima di rimuovere il computer portatile dall'alloggiamento di espansione. Se questo criterio è disattivato, l'utente può rimuovere il computer portatile dall'alloggiamento di espansione senza effettuare l'accesso.

Disattivato

Sostituzione di token a livello di processo

Determina gli account utente autorizzati ad avviare un processo per sostituire il token predefinito associato a un sottoprocesso avviato.

Questo diritto utente è definito nell'oggetto Criteri di gruppo Criterio controller di dominio predefinito e nei criteri di sicurezza locali di workstation e server.

Servizio locale e Servizio di rete

Ripristino di file e directory

Determina gli utenti a cui è consentito eludere autorizzazioni relative a file e directory, impostazioni del Registro di sistema e altre autorizzazioni permanenti per gli oggetti durante il ripristino di file e directory da un backup, nonché gli utenti autorizzati a impostare come proprietario di un oggetto qualsiasi entità di sicurezza valida.

In particolare, questo diritto utente è simile alla concessione delle autorizzazioni seguenti a un utente o a un gruppo per tutti i file e le cartelle nel sistema.

  • Visita cartella/Esecuzione file

  • Scrittura

Workstation e server: Administrators e Backup Operators

Controller di dominio: Administrators, Backup Operators e Server Operators

Arresto del sistema

Determina quali degli utenti connessi localmente al computer possono arrestare il sistema operativo utilizzando il comando Chiudi sessione. L'utilizzo improprio di questo diritto utente può causare condizioni di Denial of Service.

Workstation: Administrators, Backup Operators, Power Users e Users

Server: Administrators, Backup Operators e Power Users

Controller di dominio: Account Operators, Administrators, Backup Operators, Server Operators e Print Operators

Sincronizzazione dei dati del servizio directory

Determina gli utenti e i gruppi autorizzati a sincronizzare tutti i dati del servizio directory. Questa operazione è nota anche come sincronizzazione di Active Directory.

Nessuno

Acquisizione proprietà di file o di altri oggetti

Determina gli utenti autorizzati ad acquisire la proprietà di qualsiasi oggetto a sicurezza diretta, quali oggetti di Active Directory, file e cartelle, stampanti, chiavi del Registro di sistema, processi e thread.

Administrators

Alcuni privilegi possono sostituire le autorizzazioni impostate per un oggetto. Un utente connesso a un account di dominio come membro del gruppo Backup Operators, ad esempio, dispone del diritto di eseguire operazioni di backup per tutti i server di dominio. A questo scopo, tuttavia, è necessario poter leggere tutti i file in tali server, anche i file per i quali i proprietari abbiano impostato autorizzazioni che negano in modo esplicito l'accesso a tutti gli utenti, inclusi i membri del gruppo Backup Operators. Un diritto utente, in questo caso il diritto a eseguire un backup, ha la precedenza rispetto a tutte le autorizzazioni per file e directory. Per ulteriori informazioni, vedere la pagina relativa al backup e al ripristino (http://go.microsoft.com/fwlink/?LinkID=131606).

Nota

Per visualizzare i privilegi di cui si dispone, è possibile digitare whoami /priv al prompt dei comandi.


Effetti dell'ereditarietà sulle autorizzazioni di accesso a file e cartelle

Dopo avere impostato le autorizzazioni per una cartella padre, i nuovi file e le nuove sottocartelle create in tale cartella ne ereditano le autorizzazioni. Per evitare che i nuovi file e le nuove sottocartelle ereditino le autorizzazioni, selezionare Solo la cartella selezionata nella casella Applica a quando si configurano autorizzazioni speciali per la cartella padre. È possibile accedere alle autorizzazioni speciali tramite la scheda Autorizzazioni. Se si desidera impedire che solo determinati file o sottocartelle ereditino le autorizzazioni, fare clic con il pulsante destro del mouse sul file o sulla sottocartella, scegliere Proprietà, fare clic sulla scheda Sicurezza, fare clic su Avanzate e quindi deselezionare la casella di controllo Includi le autorizzazioni ereditabili del padre dell'oggetto.

Se le caselle di controllo Consenti o Nega associate a ogni autorizzazione sono ombreggiate, significa che il file o la cartella ha ereditato le autorizzazioni dalla cartella principale. Esistono tre modi per apportare modifiche alle autorizzazioni ereditate:

  • Selezionare l'autorizzazione opposta (Consenti o Nega) per ignorare l'autorizzazione ereditata.

  • Deselezionare la casella di controllo Includi le autorizzazioni ereditabili del padre dell'oggetto. È ora possibile apportare le modifiche alle autorizzazioni o rimuovere l'utente o il gruppo dall'elenco delle autorizzazioni. Il file o la cartella non erediterà più le autorizzazioni dalla cartella principale.

  • Dopo avere apportato le modifiche alla cartella padre, il file o la cartella ne erediterà le autorizzazioni.

Nella maggior parte dei casi, l'impostazione Nega ha la precedenza su Consenti, a meno che una cartella non erediti impostazioni in conflitto da cartelle padre diverse. In tal caso, l'impostazione ereditata dalla cartella padre più prossima all'oggetto nel sottoalbero avrà la precedenza.