Servizi di dominio Active Directory

Servizi di dominio Active Directory® consente di archiviare informazioni relative a utenti, computer e altre risorse di una rete. Consente agli amministratori di gestire queste informazioni in maniera sicura. Facilita, inoltre, la condivisione di risorse e la collaborazione tra utenti. Servizi di dominio Active Directory è necessario per le applicazioni abilitate all'uso di directory, ad esempio Microsoft® Exchange Server, e per altre tecnologie di Windows Server®, ad esempio Criteri di gruppo.

Nota

Servizi di dominio Active Directory necessita di un server DNS installato in rete. Se non si dispone di un server DNS disponibile per la risoluzione dei nomi del dominio, verrà richiesta l'installazione di un ruolo server DNS in questo server.

Nei seguenti argomenti vengono fornite informazioni sull'utilizzo dell'Installazione guidata Servizi di dominio Active Directory e sull'implementazione delle configurazioni comuni di Servizi di dominio Active Directory:

  • Panoramica dell'Installazione guidata Servizi di dominio Active Directory

  • Installare Servizi di dominio Active Directory

  • Eseguire un'installazione gestita di un controller di dominio di sola lettura

  • Rimuovere Servizi di dominio Active Directory

  • Codici restituiti di installazione automatica

  • Configurazioni comuni per Servizi di dominio Active Directory

Prima di installare Servizi di dominio Active Directory, accertarsi di avere pianificato come distribuire questa applicazione in rete, incluso il relativo supporto server DNS. Per ulteriori informazioni sulla pianificazione della distribuzione di Servizi di dominio Active Directory, vedere la pagina relativa a pianificazione e architettura di Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkId=93715).


Panoramica dell'Installazione guidata Servizi di dominio Active Directory

È possibile utilizzare l'Installazione guidata Servizi di dominio Active Directory per installare e configurare Servizi di dominio Active Directory in un server. Quando si installa Servizi di dominio Active Directory su un server, il server diventa un controller di dominio.

Nota

Quando si sceglie un collegamento per aprire un argomento della Guida per la procedura guidata, l'argomento resta nella parte superiore della pagina della procedura. È possibile ridimensionare e riposizionare l'argomento della Guida per continuare a utilizzare la procedura guidata.

L'Installazione guidata Servizi di dominio Active Directory fornisce un'interfaccia utente per raccogliere informazioni sul proprio ambiente di elaborazione. Consente, inoltre, di verificare i prerequisiti per l'installazione di Servizi di dominio Active Directory, ad esempio lo spazio si disco disponibile e la versione del sistema operativo, in modo da assicurarsi che il server sia in grado di diventare un controller di dominio. Se vengono soddisfatti tutti i prerequisiti, la procedura guidata utilizza le informazioni raccolte per configurare Servizi di dominio Active Directory.

È possibile, inoltre, utilizzare la procedura guidata per rimuovere Servizi di dominio Active Directory da un controller di dominio. In questo caso, la procedura guidata rileva l'installazione avvenuta di Servizi di dominio Active Directory sul server e richiede le informazioni necessarie per eseguirne la disinstallazione.


Installare Servizi di dominio Active Directory

È possibile aggiungere a un server il ruolo del server del controller di dominio Active Directory in tre modi:

  • È possibile aggiungere il ruolo in modo interattivo utilizzando l'Installazione guidata Servizi di dominio Active Directory. Nella parte rimanente di questo argomento viene illustrato come avviare la procedura guidata e vengono forniti collegamenti a ulteriori argomenti in cui sono illustrate le opzioni disponibili in ogni pagina della procedura guidata.

  • È possibile eseguire un'installazione automatica eseguendo il comando dcpromo /unattend con i parametri appropriati alla riga di comando. Per ulteriori informazioni, vedere la pagina relativa all'installazione di un controller di dominio aggiuntivo tramite la riga di comando (http://go.microsoft.com/fwlink/?LinkId=128100).

  • È possibile automatizzare l'installazione utilizzando un file di risposta. Per ulteriori informazioni, vedere la pagina relativa all'installazione di un controller di dominio aggiuntivo tramite un file di risposta (http://go.microsoft.com/fwlink/?LinkId=128101).

È possibile aggiungere interattivamente il ruolo del server del controller di dominio Active Directory avviando l'Installazione guidata Servizi di dominio Active Directory nei modi seguenti:

  • È possibile utilizzare l'Aggiunta guidata ruoli, cui si può accedere nei modi seguenti:

    • Fare clic su Aggiungi ruoli in Attività di configurazione iniziale, l'applicazione visualizzata alla prima installazione del sistema operativo.

    • Fare clic su Aggiungi ruoli in Server Manager, sempre disponibile nel menu Strumenti di amministrazione e tramite un'icona nell'area di notifica.

    L'Aggiunta guidata ruoli consente di installare i file necessari all'installazione e alla configurazione di Servizi di dominio Active Directory in un server, tuttavia non consente di avviare l'installazione effettiva di Servizi di dominio Active Directory. Dopo aver completato l'Aggiunta guidata ruoli, fare clic sul collegamento per avviare l'Installazione guidata Servizi di dominio Active Directory e installare Servizi di dominio Active Directory.

  • Fare clic sul pulsante Start, scegliere Esegui e quindi digitare dcpromo. In alternativa è possibile digitare dcpromo al prompt dei comandi, come nelle versioni precedenti del sistema operativo Windows Server.

  • Un membro del gruppo Domain Admins può creare in modo preliminare un account di un controller di dominio di sola lettura utilizzando lo snap-in Utenti e computer di Active Directory. Fare clic con il pulsante destro del mouse sul contenitore Controller di dominio oppure fare clic sul contenitore Controller di dominio e su Azione e quindi scegliere Creazione preliminare account controller di dominio di sola lettura. Un amministratore delegato del controller di dominio di sola lettura può effettuare il passaggio successivo dell'installazione del controller di dominio di sola lettura eseguendo l'Installazione guidata Servizi di dominio Active Directory in un server per collegare quel server all'account del controller di dominio di sola lettura. Per ulteriori informazioni sull'utilizzo di questo metodo di installazione di un controller di dominio di sola lettura, vedere Eseguire un'installazione gestita di un controller di dominio di sola lettura.

Nei seguenti argomenti vengono fornite ulteriori informazioni su pagine specifiche della procedura guidata che possono essere visualizzate durante l'installazione di Servizi di dominio Active Directory:

  • Utilizzare un'installazione in modalità avanzata

  • Scegliere un nome computer per il controller di dominio

  • Configurare le impostazioni TCP/IP e client DNS

  • Scegliere una configurazione di distribuzione di Servizi di dominio Active Directory

  • Credenziali di rete per l'installazione o la rimozione di Servizi di dominio Active Directory

  • Configurare le opzioni controller di dominio aggiuntivo

  • Creare o aggiornare una delega DNS

  • Impostare il livello di funzionalità di un dominio o di una foresta

  • Posizionare i file di Servizi di dominio Active Directory

  • Installare da supporti

  • Selezionare un partner di installazione per Servizi di dominio Active Directory

  • Pagina relativa alla password di amministratore modalità ripristino servizi directory

  • Utilizzare un file di risposte

  • Configurare manualmente un server DNS per l'integrazione di Servizi di dominio Active Directory


Utilizzare un'installazione in modalità avanzata

Alcune pagine dell'Installazione guidata Servizi di dominio Active Directory vengono visualizzate solo se si seleziona la casella di controllo Utilizza installazione in modalità avanzata nella pagina della procedura guidata Installazione guidata Servizi di dominio Active Directory.

L'installazione in modalità avanzata fornisce agli utenti esperti un maggiore controllo sul processo di installazione, senza confondere gli utenti più recenti con opzioni di configurazione che potrebbero non essere note. Per utenti che non selezionano la casella di controllo Utilizza installazione in modalità avanzata, la procedura guidata consente di utilizzare opzioni predefinite applicabili alla maggior parte delle configurazioni.

L'opzione Utilizza installazione in modalità avanzata della pagina iniziale della procedura guidata rappresenta un'alternativa all'esecuzione di dcpromo al prompt dei comandi con l'opzione /adv (dcpromo /adv).

Nella tabella seguente vengono elencate le pagine della procedura guidata aggiuntive che appaiono per ogni configurazione di distribuzione quando si seleziona la casella di controllo Utilizza installazione in modalità avanzata.

Configurazione di distribuzione | Pagine della procedura guidata installazione in modalità avanzata
Nuova foresta | Nome di dominio NetBIOS
Nuovo dominio in una foresta esistente | Nella pagina Selezione configurazione di distribuzione l'opzione per la creazione di un nuovo albero di dominio viene visualizzata solo nell'installazione in modalità avanzata. Nome di dominio NetBIOS Controller di dominio di origine
Controller di dominio aggiuntivo in un dominio esistente | Installazione da supporti Controller di dominio di origine Impostazione criterio replica password (solo per installazione di controller di dominio di sola lettura)
Creare un account per l'installazione di un controller di dominio di sola lettura | Criteri replica password
Associare un server a un account per l'installazione di un controller di dominio di sola lettura | Installazione da supporto Controller di dominio di origine


Scegliere un nome computer per il controller di dominio

Se il nome del server in cui si intende installare Servizi di dominio Active Directory non è conforme alle specifiche DNS (Domain Name System), nell'Installazione guidata Servizi di dominio Active Directory viene visualizzato un avviso indicante che è necessario rinominare il server. Oppure, se si mantiene il nome non conforme, che è necessario utilizzare un server DNS Microsoft per consentire ai client di individuare il server. L'avviso, tuttavia, non impedisce l'installazione di Servizi di dominio Active Directory in questo server in modo da renderlo un controller di dominio. È possibile continuare l'installazione di Servizi di dominio Active Directory e quindi correggerne la configurazione DNS dopo aver completato l'installazione.

Per fare in modo che altri membri di dominio e controller di dominio individuino questo controller di dominio è necessario aggiungere a DNS record DNS di tipo DC Locator. È consigliabile che l'infrastruttura DNS consenta l'aggiornamento dinamico dei record DNS di tipo DC Locator. L'amministratore DNS, tuttavia, può aggiungere questi record manualmente dopo il completamento dell'installazione e il riavvio del controller di dominio. I record sono elencati nel percorso seguente:

%systemroot%\system32\config\netlogon.dns

Si riceverà l'avviso di nome DNS non conforme nel caso in cui il nome del server contenga uno o più caratteri non validi:

{ | } ~ [ \ ] ^ ' : ; < = > ? @ ! " # $ ^ ` ( ) + / , * oppure uno spazio

Tra i caratteri validi per un nome di computer sono incluse tutte le lettere maiuscole (dalla A alla Z), le lettere minuscole (dalla a alla z), numeri (da 0 a 9) e trattini (-).

Per risolvere questo problema uscire dalla procedura guidata, rinominare il computer e riavviare la procedura guidata.

Rinominare il computer

Per rinominare il computer è possibile utilizzare la procedura seguente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per rinominare il computer

  1. Fare clic su Start, fare clic con il pulsante destro del mouse su Risorse del computer e quindi scegliere Proprietà.

  2. In Impostazioni relative a nome computer, dominio e gruppo di lavoro fare clic su Cambia impostazioni.

  3. Nella scheda Nome computer fare clic su Cambia.

  4. In Nome computer digitare il nuovo nome per il computer e quindi fare clic su OK.

  5. Quando richiesto riavviare il computer.

Ulteriori considerazioni

  • Un computer che viene aggiunto a un dominio deve utilizzare il nome creato dall'amministratore di rete a meno che non si disponga di un nome utente e di una password con diritti per creare account computer.

  • Se si fornisce un nome utente e una password validi per un dominio, l'appartenenza al dominio verrà aggiornata automaticamente con il nuovo nome del computer.

  • È consigliabile utilizzare nomi di computer con un numero di caratteri uguale o inferiore a 15. Se nel computer è installato TCP/IP, il nome del computer può essere composto da un massimo di 63 caratteri. Tale nome deve tuttavia contenere solo numeri da 0 a 9, lettere da A a Z e da a a z e trattini. È possibile utilizzare altre caratteri, ma in questo modo si può impedire ad altri utenti di individuare il computer in rete. Se la rete sta utilizzando un server DNS Microsoft è possibile utilizzare qualsiasi carattere tranne i punti. Se altri protocolli di rete sono installati senza TCP/IP il nome è limitato a 15 caratteri.

    Prima di utilizzare ulteriori caratteri si considerino i problemi seguenti:

    • Alcuni software resolver non Microsoft supportano solo i caratteri elencati in RFC (Request for Comments) 1123. Se si dispone di un software resolver non Microsoft questo probabilmente non è in grado di cercare computer con nomi contenenti caratteri non standard.

    • Un server DNS che non supporta la codifica UTF-8 può accettare un trasferimento di zona di una zona contenente nomi UTF-8 ma non può riscrivere quei nomi in un file di zona o ricaricarli da un file di zona. È opportuno, pertanto, non trasferire un zona contenente caratteri UTF-8 in un server DNS che non li supporta.

  • Se si specifica un nome computer con una lunghezza superiore a 15 caratteri e si desidera che il dominio Active Directory riconosca nomi più lunghi, l'amministratore di dominio deve abilitare la registrazione di nomi DNS corrispondenti a una lunghezza di 16 byte o superiore.

  • Se il computer è membro di un gruppo di lavoro e non è installata alcuna connessione di rete o TCP/IP, la lunghezza del nome computer non può essere superiore a 15 caratteri e i caratteri devono essere tutti in maiuscolo.


Configurare le impostazioni TCP/IP e client DNS

Il funzionamento di Servizi di dominio Active Directory si basa su impostazioni client TCP/IP e DNS configurate correttamente. È necessario configurare queste impostazioni nelle proprietà di IP versione 4 (IPv4) e IP versione 6 (IPv6) per tutte le schede di rete fisiche del server che diventerà il controller di dominio. L'installazione guidata Servizi di dominio Active Directory consente di rilevare un'eventuale configurazione non corretta delle impostazioni TCP/IP O DNS. La procedura guidata non continua con l'installazione finché le impostazioni non vengono corrette.

A ogni scheda di rete fisica TCP/IP del controller di dominio, pertanto, sarà necessario assegnare un indirizzo IP valido. È opportuno utilizzare sempre un indirizzo IP statico per ogni scheda di rete in modo da consentire ai client di continuare a individuare il controller di dominio se il server DHCP o il servizio DHCP non è disponibile oppure se in futuro il server DHCP assegnerà al controller di dominio un indirizzo IP diverso.

Configurare le impostazioni TCP/IP e client DNS

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators locale oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per configurare le impostazioni TCP/IP e client DNS

  1. Nella pagina Attività di configurazione iniziale visualizzata al primo avvio del server, in Immissione di informazioni sul computer, fare clic su Configura rete.

    Oppure

    1. Fare clic sul pulsante Start, scegliere Pannello di controllo e quindi fare clic su Visualizza stato della rete e attività.

    2. Fare clic su Modifica impostazioni scheda.

  2. Fare clic con il pulsante destro del mouse su Connessione alla rete locale e quindi su Proprietà.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Nella finestra di dialogo Proprietà di connessione alla rete locale fare clic su Protocollo Internet versione 4 (TCP/IPv4) o Protocollo Internet versione 6 (TCP/IPv6) se necessario e quindi fare clic su Proprietà.

  5. Fare clic su Utilizza il seguente indirizzo IP e quindi digitare l'indirizzo IP statico per il server.

  6. Fare clic su Utilizza i seguenti indirizzi server DNS e quindi digitare l'indirizzo IP per il server DNS preferito e, se ne è disponibile uno, per il server DNS alternativo.

    Se si intende installare il ruolo server DNS specificare l'indirizzo IP di questo server come server DNS preferito.


Scegliere una configurazione di distribuzione di Servizi di dominio Active Directory

Quando si installa Servizi di dominio Active Directory si sceglie una delle possibili configurazioni di distribuzione seguenti:

  • Aggiungere un nuovo controller di dominio a un dominio

  • Aggiungere un nuovo dominio figlio a una foresta oppure, come opzione, aggiungere un nuovo albero di dominio

    Nota

    L'opzione per l'installazione di un nuovo albero di dominio viene visualizzata solo se si seleziona la casella di controllo Utilizza installazione in modalità avanzata nella pagina Installazione guidata Servizi di dominio Active Directory dell'Installazione guidata Servizi di dominio Active Directory.

  • Creare una nuova foresta

Nelle sezioni seguenti viene descritta dettagliatamente ogni configurazione di distribuzione.

Aggiungere un nuovo controller di dominio a un dominio

Se in un dominio si dispone già di un solo controller di dominio è possibile aggiungere controller di dominio aggiuntivi al dominio per migliorare la disponibilità e l'affidabilità dei servizi di rete. L'aggiunta di controller di dominio aggiuntivi può essere utile per fornire tolleranza d'errore, bilanciare il carico dei controller di dominio esistenti e offrire ai siti un supporto per infrastrutture aggiuntivo.

La presenza di più controller di dominio in un dominio consente al dominio di continuare a funzionare in caso di errore o di disconnessione di un controller di dominio. Possono inoltre migliorare le prestazioni semplificando ai client la connessione a un controller di dominio quando essi devono accedere alla rete.

Preparare un dominio esistente

Prima di aggiungere un controller di dominio che esegue Windows Server 2008 R2 a un dominio Active Directory esistente, è necessario preparare la foresta e il dominio eseguendo Adprep.exe. Assicurarsi di eseguire la versione di Adprep inclusa con il supporto di installazione di Windows Server 2008 R2. Questa versione di Adprep consente di aggiungere oggetti e attributi di schema necessari ai controller di dominio che eseguono Windows Server 2008 R2 e di modificare le autorizzazioni in oggetti nuovi ed esistenti.

Eseguire i parametri adprep seguenti necessari all'ambiente:

  • Eseguire adprep /forestprep una volta nel controller di dominio della foresta che contiene il ruolo di master operazioni schema (master schema) prima di aggiungere un controller di dominio che esegue Windows Server 2008 R2. Per eseguire questo comando è necessario essere membro del gruppo Enterprise Admins, Schema Admins e Domain Admins del dominio che include il master schema.

  • Eseguire inoltre adprep /domainprep /gpprep una volta nel controller di dominio che contiene il ruolo di master infrastrutture per le operazioni (master infrastrutture) in ogni dominio in cui si intende aggiungere un controller di dominio che esegue Windows Server 2008 R2. Per eseguire questo comando è necessario essere membro del gruppo Domain Admins.

  • Se si intende distribuire un controller di dominio di sola lettura in un qualsiasi dominio della foresta, è necessario eseguire inoltre adprep /rodcprep una volta nella foresta. È possibile eseguire questo comando in qualsiasi computer della foresta. Per eseguire questo comando è necessario essere membro del gruppo Enterprise Admins. Per ulteriori informazioni vedere la pagina relativa alla preparazione di una foresta per un controller di dominio di sola lettura all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93244.

Installazione da supporti

Quando si installa un nuovo controller di dominio in un dominio esistente è possibile scegliere di installare da supporto, laddove il database del dominio viene copiato dal supporto anziché nella rete. Questa opzione è disponibile nell'Installazione guidata Servizi di dominio Active Directory solo se si seleziona la casella di controllo Utilizza installazione in modalità avanzata della pagina Pagina iniziale. Lo strumento consigliato per la creazione del supporto di installazione è il sottocomando ntdsutil ifm. Per ulteriori informazioni sull'utilizzo di IFM, vedere Installare da supporti.

Aggiungere un nuovo dominio a una foresta

Per impostazione predefinita la nuova foresta creata conterrà un unico dominio noto come dominio radice della foresta. Questo unico dominio è in grado di accogliere migliaia di utenti anche se solo una quantità ridotta di larghezza di banda di rete è disponibile per la replica di Active Directory. Un unico dominio è pertanto sufficiente per la maggior parte delle piccole e medie imprese. L'aggiunta di ulteriori domini alla foresta consente di aumentarne notevolmente i requisiti di amministrazione.

Le grandi imprese, tuttavia, possono decidere di aggiungere domini figlio alla foresta in modo da replicare i dati di dominio solo dove necessario. Un dominio figlio condivide uno spazio dei nomi contiguo con il proprio dominio padre. Il dominio sales.contoso.com, ad esempio, è un dominio figlio di contoso.com. Un dominio figlio condivide automaticamente un trust transitivo bidirezionale con il dominio padre.

Un nuovo dominio che non condivide uno spazio dei nomi contiguo con il dominio padre è noto come nuovo albero di dominio. Per ulteriori informazioni sulla creazione di un nuovo albero di dominio, vedere Creare un nuovo albero di dominio successivamente in questo argomento.

Quando si aggiungono domini alla foresta si sta effettuando il partizionamento di Servizi di dominio Active Directory che consente la replica dei dati solo dove necessario. In questo modo una singola foresta Active Directory può essere incrementata globalmente per accogliere migliaia, o persino milioni, di utenti di una rete che dispone di larghezza di banda limitata.

Requisiti per la creazione di un nuovo dominio

Per procedere con la creazione di un nuovo dominio figlio è necessario essere membro del gruppo Domain Admins nel dominio padre o del gruppo Enterprise Admins. Quando si crea un nuovo albero di dominio è necessario essere membro del gruppo Enterprise Admins.

L'installazione guidata Servizi di dominio Active Directory consente nomi di dominio di Active Directory fino a un massimo di 64 caratteri o di 155 byte. Sebbene il limite di 64 caratteri si raggiunga di solito prima del limite di 155 byte, la situazione opposta si verifica se il nome contiene caratteri Unicode che consumano tre byte. Questi limiti non si applicano ai nomi di computer.

Durante l'installazione Dcpromo.exe crea una delega di zona DNS. In caso di errore di creazione della delega oppure se si sceglie di non crearla (operazione non consigliata) è necessario creare una zona di delega manualmente. Per ulteriori informazioni sulla creazione di una zona di delega, vedere Creare o aggiornare una delega DNS.

Prima di aggiungere un dominio a una foresta è necessario creare una delega DNS per la zona DNS che corrisponda al nome del dominio Active Directory che si sta aggiungendo. L'Installazione guidata Servizi di dominio Active Directory consente di verificare la presenza della delega DNS. In caso contrario, la procedura guidata fornisce un opzione per la creazione automatica della delega DNS durante la creazione del nuovo dominio.

Creare un nuovo albero di dominio

È opportuno creare un nuovo albero di dominio solo se è necessario creare un dominio il cui spazio dei nomi DNS non è correlato agli altri domini della foresta. Questo significa che il nome del dominio radice dell'albero e di tutti i relativi figli non deve contenere il nome completo del dominio padre.

Il dominio treyresearch.net, ad esempio, può essere un albero di dominio della foresta contoso.com. La maggior parte dei nuovi alberi di dominio vengono creati come parte di un'acquisizione di società o di una fusione di più imprese. Una foresta può contenere uno o più alberi di dominio.

Prima di creare un nuovo albero di dominio è opportuno creare un'altra foresta se si desidera un spazio dei nomi DNS diverso. Più foreste offrono autonomia amministrativa, isolamento delle partizioni di directory di schema e configurazione, confini di sicurezza separati e la flessibilità nell'utilizzo di una struttura di spazi dei nomi indipendente per ogni foresta.

Creare una nuova foresta

Per creare una nuova foresta è necessario essere membro del gruppo Administrators locale nel server in cui si sta installando Servizi di dominio Active Directory.

Nomi DNS e NetBIOS

Prima di creare una nuova foresta assicurarsi di aver pianificato completamente l'infrastruttura DNS. Per creare una nuova foresta è necessario conoscerne il nome DNS completo. È possibile installare il servizio Server DNS prima di installare Servizi di dominio Active Directory oppure, se si preferisce, scegliere di installare il servizio Server DNS mediante l'Installazione guidata Servizi di dominio Active Directory.

In questo caso, la procedura guidata utilizza il nome DNS assegnato per generare automaticamente un nome NetBIOS per il primo dominio della foresta. Prima di continuare viene verificato che il nome DNS e il nome NetBIOS siano univoci nella rete. Per specificare un nome NetBIOS diverso dal nome generato automaticamente dalla procedura guidata è necessario selezionare la casella di controllo Utilizza installazione in modalità avanzata nella pagina Installazione guidata Servizi di dominio Active Directory.

Nota

Viene inoltre visualizzata la pagina della procedura guidata Nome di dominio NetBIOS se il nome NetBIOS generato automaticamente è in conflitto con un nome esistente.

Per impostazione predefinita il servizio Server DNS viene installato nel primo controller di dominio di una foresta. Se si dispone già di un'impostazione di infrastruttura DNS per supportare la risoluzione dei nomi della nuova foresta è possibile deselezionare la casella di controllo Server DNS nella pagina della procedura guidata Opzioni aggiuntive. Nel caso non si disponga di tale infrastruttura DNS di supporto, fare in modo che la procedura guidata installi il servizio Server DNS nel primo controller di dominio della foresta.

Se si sceglie Avanti per continuare, l'Installazione guidata Servizi di dominio Active Directory consente di esaminare l'infrastruttura DNS esistente. Se è stata deselezionata la casella di controllo Server DNS la procedura guidata esegue prove diagnostiche per verificare l'esistenza dell'infrastruttura DNS di supporto. In caso di esito negativo delle prove diagnostiche è possibile installare nuovamente il servizio Server DNS mediante la procedura guidata.

Livelli di funzionalità

Per una nuova foresta il livello di funzionalità predefinito della foresta è Windows 2000 mentre il livello di funzionalità predefinito del dominio è Windows 2000 originale. Si tratta dei livelli di funzionalità minimi, che consentono ai controller di dominio di eseguire Windows Server 2003, Windows® 2000 Server, Windows Server 2008 o Windows Server 2008 R2.

Se non si intende aggiungere controller di dominio che eseguono queste versioni di Windows Server precedenti, selezionare livelli di funzionalità più elevati per abilitare le funzionalità avanzate. Se si seleziona Windows Server 2008 R2 come livello di funzionalità della foresta, tutti i domini aggiunti successivamente alla foresta verranno creati al livello di funzionalità del dominio di Windows Server 2008 R2. La pagina Impostazione livello funzionalità dominio, pertanto, non viene visualizzata nell'Installazione guidata Servizi di dominio Active Directory. Se si seleziona un livello di funzionalità della foresta diverso è possibile impostare il livello di funzionalità del dominio indipendentemente per ogni dominio della foresta. Per ulteriori informazioni sui livelli di funzionalità, vedere Impostare il livello di funzionalità di un dominio o di una foresta.

Ruoli di master operazioni

Il primo controller di dominio di questo dominio ospita tutti i ruoli di master operazioni, noti anche come FSMO, della foresta.

E consigliabile disporre di controller di dominio aggiuntivi nel dominio in modo da migliorare la disponibilità e la tolleranza di errore di Servizi di dominio Active Directory. Dopo aver creato controller di dominio aggiuntivi è possibile che si desideri trasferire alcuni ruoli di master operazioni ospitati nel primo controller di dominio in questi altri controller di dominio. Se si intende creare una foresta con più domini e qualche controller di dominio del dominio radice della foresta non è un server di catalogo globale è necessario trasferire almeno il ruolo di master infrastrutture del dominio radice della foresta in un altro controller di dominio del dominio che non è un server di catalogo globale.

Per ulteriori informazioni sulla gestione dei ruoli di master operazioni, vedere Completare in modo corretto le operazioni Active Directory tramite la gestione dei ruoli di master operazioni.


Credenziali di rete per l'installazione o la rimozione di Servizi di dominio Active Directory

Quando si installa Servizi di domino Active Directory è necessario fornire credenziali corrispondenti a un account utente di dominio con privilegi sufficienti per la configurazione di distribuzione scelta per il controller di dominio, ad esempio una nuova foresta, un nuovo dominio o un controller di dominio aggiuntivo per un dominio esistente. L'Installazione guidata Servizi di dominio Active Directory esamina inoltre le credenziali fornite per determinare la foresta in cui verrà installato il controller di dominio.

Se le credenziali per l'account utente cui si è attualmente effettuato l'accesso (oppure le credenziali alternative fornite) indicano la foresta di destinazione del controller di dominio in corso di installazione, la procedura guidata specifica automaticamente il nome della foresta nella pagina Credenziali di rete . Specificando il nome di foresta in questa pagina la procedura guidata può enumerare successivamente tutti i domini per quella foresta nella pagina Selezione dominio.

La procedura guidata non è sempre in grado di rilevare la foresta di destinazione in base alle credenziali fornite. Se, ad esempio, si forniscono credenziali mediante una smart card o un nome dell'entità utente (UPN) la procedura guidata potrebbe non essere in grado di rilevare la foresta di destinazione. In questo caso è necessario specificare il nome della foresta di destinazione nella pagina Credenziali di rete. Il nome della foresta di destinazione corrisponde al nome del dominio radice della foresta per quella foresta.

In caso di rilevamento del nome della foresta di destinazione in base alle credenziali fornite, è possibile sovrascrivere il nome assegnato dalla procedura guidata per specificare il nome di un'altra foresta di destinazione in cui si dispone di privilegi sufficienti per installare Servizi di dominio Active Directory.

In reti che eseguono IP versione 6 (IPv6) è necessario specificare il nome di dominio completo (FQDN) per le credenziali dell'account utente anziché il nome di dominio con etichetta singola. È necessario, ad esempio, specificare corp.contoso.com\nome_utente oppure nome_utente@corp.contoso.com anziché contoso\nome_utente.

Requisiti per credenziali di rete

Le credenziali di rete richieste dall'Installazione guidata Servizi di dominio Active Directory cambiano in base alle diverse configurazioni di distribuzione. Per installare una nuova foresta di Active Directory è sufficiente essere membro del gruppo Administrators locale nel server che diventerà il primo controller di dominio della foresta. Per aggiungere un nuovo dominio a una foresta esistente oppure per rimuovere un dominio, tuttavia, è necessario essere membro del gruppo Enterprise Admins o del gruppo Domain Admins nel dominio padre del dominio che si desidera aggiungere o rimuovere. L'Installazione guidata Servizi di dominio Active Directory consente di verificare che le credenziali fornite siano sufficienti per implementare la configurazione di distribuzione specificata nella procedura guidata.

Nella tabella seguente vengono elencate le credenziali di rete necessarie per ogni configurazione di distribuzione.

Nota

Se si sta preparando un ambiente Active Directory esistente per un controller di domino che esegue Windows Server 2008 R2, è necessario eseguire Adprep.exe, disponibile nel supporto di installazione di Windows Server 2008 R2 nella cartella support\adprep. Per eseguire Adprep potrebbero essere necessarie credenziali non elencate nella tabella seguente.

Configurazione di distribuzione | Credenziali richieste
Aggiungere una nuova foresta | Gruppi Administrators locali nel server in cui si sta installando Servizi di dominio Active Directory
Aggiungere un dominio figlio aggiuntivo | Enterprise Admins In base alle impostazioni di sicurezza è possibile inoltre consentire a Domain Admins di aggiungere un dominio. Per creare una delega DNS sono inoltre necessarie credenziali Domain Admins nel dominio padre.
Aggiungere un nuovo albero di dominio | Enterprise Admins In base alle impostazioni di sicurezza è possibile inoltre consentire a Domain Admins di aggiungere un albero di dominio.
Aggiungere un controller di dominio aggiuntivo a un dominio | Enterprise Admins o Domain Admins
Aggiungere un controller di dominio di sola lettura in un'installazione normale | Enterprise Admins o Domain Admins Per eseguire adprep /rodcprep sono necessarie le credenziali del gruppo Enterprise Admins.
Aggiungere un controller di dominio di sola lettura in un'installazione di appoggio | Enterprise Admins o Domain Admins per creare l'account del controller di dominio di sola lettura Autorizzazioni Domain Admins o autorizzazioni delegate per collegare un server a un account del controller di dominio di sola lettura Per eseguire adprep /rodcprep sono necessarie le credenziali del gruppo Enterprise Admins.
Rimuovere un controller di dominio aggiuntivo da un dominio | Enterprise Admins o Domain Admins
Rimuovere un controller di dominio di sola lettura | Amministratore di controller di dominio di sola lettura delegato, Enterprise Admins o Domain Admins
Rimuovere un dominio | Enterprise Admins In base alle impostazioni di sicurezza a Domain Admins potrebbe inoltre essere consentito di rimuovere un dominio, tuttavia potrebbe non essere in grado di rimuovere le deleghe DNS create nel dominio DNS padre.
Rimuovere una foresta | Enterprise Admins

Vedere anche

  • Installare Servizi di dominio Active Directory


Configurare le opzioni controller di dominio aggiuntivo

È possibile scegliere opzioni di installazione aggiuntive per un controller di dominio durante l'installazione di Servizi di dominio Active Directory. È possibile, ad esempio, installare il servizio Server DNS oppure rendere il server un server di catalogo globale o un controller di dominio di sola lettura. Nelle sezioni seguente vengono spiegate nel dettaglio le opzioni di installazione aggiuntive. Viene inoltre spiegato come le opzioni interagiscono reciprocamente.

Opzione server DNS

L'installazione del servizio Server DNS in un controller di dominio rende il controller server DNS. L'impostazione predefinita per l'opzione Server DNS dipende dai fattori seguenti:

  • La configurazione di distribuzione scelta, ad esempio, l'aggiunta di un nuovo dominio oppure l'aggiunta di un controller di dominio aggiuntivo per un dominio esistente.

  • L'ambiente DNS attuale

Nella tabella seguente vengono elencate le impostazioni predefinite per l'installazione di un server DNS per le varie configurazioni di distribuzione di Servizi di dominio Active Directory.

Configurazione di distribuzione Impostazione predefinita per l'installazione di un server DNS

Nuova foresta

Il server DNS viene installato per impostazione predefinita.

Nuovo dominio

Il server DNS viene installato per impostazione predefinita se la procedura guidata rileva un'infrastruttura DNS nel dominio padre.

Se la procedura guidata non rileva un'infrastruttura DNS, il server DNS non verrà installato per impostazione predefinita.

Nuovo albero di dominio

Il server DNS viene installato per impostazione predefinita se la procedura guidata rileva un'infrastruttura DNS nel dominio radice della foresta.

Se tramite la procedura guidata non viene rilevata un'infrastruttura DNS, il server DNS non viene installato per impostazione predefinita.

Controller di dominio aggiuntivo

Il server DNS viene installato per impostazione predefinita se la procedura guidata rileva un'infrastruttura DNS nel dominio.

L'opzione Server DNS non è disponibile se la procedura guidata non rileva un'infrastruttura DNS nel dominio.

Nota

Se il server DNS è già installato prima di avviare l'Installazione guidata Servizi di dominio Active Directory, ma il dominio di Active Directory non dispone di un'infrastruttura DNS il server DNS continua a risolvere i nomi per ogni zona basata su file che la ospita. Non ospiterà, tuttavia, zone DNS integrate in Active Directory per il dominio in cui è controller di dominio.

Impostazioni client DNS

Quando si installa un controller di dominio aggiuntivo in un dominio esistente l'Installazione guidata Servizi di dominio Active Directory verifica la configurazione corretta delle impostazioni client DNS nel server. Se tali impostazioni non sono configurate correttamente con l'indirizzo IP di un server DNS preferito viene restituito un errore. È quindi necessario correggere il problema prima di continuare.

È possibile scegliere di configurare manualmente le impostazioni client DNS in modo corretto. Se si sta creando una nuova foresta che non dispone di un'infrastruttura DNS esistente è possibile fare in modo che la procedura guidata installi il servizio Server DNS automaticamente e configuri le impostazioni client DNS con l'indirizzo IP del server DNS locale.

Se si sceglie di configurare le impostazioni client DNS durante l'installazione del servizio Server DNS, opzione disponibile solo quando si crea una nuova foresta, viene selezionata la casella di controllo Server DNS nella pagina Opzioni controller di dominio aggiuntivo e non è possibile deselezionarla. A questo punto è necessario installare il servizio Server DNS oppure scegliere Indietro tramite la procedura guidata finché non viene nuovamente visualizzata l'opzione per configurare manualmente le impostazioni client DNS.

Opzione di catalogo globale

Dal momento che il primo controller di dominio di una foresta deve essere un server di catalogo globale viene selezionata la casella di controllo Catalogo globale e non è possibile deselezionarla durante la creazione di una foresta. La casella di controllo viene inoltre selezionata per impostazione predefinita quando si installa un controller di dominio aggiuntivo in un dominio esistente. È possibile, tuttavia, deselezionare questa casella se non si desidera che il controller di dominio aggiuntivo sia un server di catalogo globale.

Quando si crea un nuovo dominio figlio o un nuovo albero di dominio la casella di controllo Catalogo globale non viene selezionata per impostazione predefinita in quanto il primo controller di dominio del nuovo dominio ospita tutti i ruoli di master operazioni a livello di dominio (anche noti come ruoli FSMO), incluso il ruolo di master operazioni per l'infrastruttura. In una foresta con più domini sarà possibile che si verifichino problemi se si ospita il ruolo di master infrastrutture in un server di catalogo globale, a meno che tutti i controller di dominio non siano server di catalogo globale.

Se si decide, pertanto, di installare il catalogo globale nel primo controller di dominio di un nuovo dominio figlio o di un nuovo albero di dominio è necessario trasferire il ruolo di master infrastrutture dopo aver installato i controller di dominio aggiuntivi nel dominio oppure assicurarsi che tutti i controller di dominio aggiuntivi installati nel dominio siano anche server di catalogo globale.

Quando si installano controller di dominio aggiuntivi l'Installazione guidata Servizi di dominio Active Directory convalida il fatto che il master infrastrutture sia ospitato in un controller di dominio adatto e offre le opzioni per rimediare ai problemi che possono derivare dalle opzioni di installazione scelte. Per ulteriori informazioni, vedere Controlli di convalida per le opzioni selezionate.

Opzione controller di dominio di sola lettura

In un'installazione gestita di un controller di dominio di sola lettura viene selezionata la casella di controllo Controller di dominio di sola lettura e non è possibile deselezionarla durante la creazione dell'account per il controller di dominio di sola lettura. La pagina Opzioni controller di dominio aggiuntivo non viene visualizzata quando si collega il server all'account per il controller di dominio di sola lettura.

Se si sta installando un controller di dominio aggiuntivo in un dominio ma non si sta effettuando un'installazione gestita, la casella di controllo Controller di dominio di sola lettura viene deselezionata per impostazione predefinita. È possibile selezionarla se nell'ambiente non sussistono condizioni che impediscono l'installazione di un controller di dominio di sola lettura. In presenza di tali condizioni la casella del controller di dominio di sola lettura viene deselezionata e non è possibile selezionarla. Di seguito vengono riportate le condizioni che impediscono l'installazione del controller di dominio di sola lettura:

  • Si sta installando il primo controller di dominio in una nuova foresta.

  • Si sta installando il primo controller di dominio in un nuovo dominio.

  • Il livello di funzionalità della foresta non è Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2.

  • Non sono presenti controller di dominio scrivibili che eseguono Windows Server 2008 o Windows Server 2008 R2 nel dominio in cui si desidera installare il controller di dominio di sola lettura.

Come interagiscono le opzioni di installazione aggiuntive

Se si seleziona la casella di controllo Controller di dominio di sola lettura la procedura guidata seleziona automaticamente la casella di controllo Server DNS a meno che non sia possibile selezionare questa, ad esempio, quando non esiste alcuna infrastruttura DNS per quel dominio. Se si deseleziona la casella di controllo Server DNS dopo che è stata selezionata, si viene avvisati che i client della succursale dell'ufficio potrebbero non essere in grado di individuare il controller di dominio di sola lettura se non si installa anche il server DNS.

È possibile inoltre selezionare per impostazione predefinita la casella di controllo Catalogo globale a seconda delle altre opzioni di installazione selezionate. Per impostazione predefinita se si seleziona la casella di controllo Controller di dominio di sola lettura viene selezionata automaticamente la casella di controllo Catalogo globale . Per ulteriori informazioni sulle altre opzioni di installazione in cui la casella di controllo Catalogo globale viene selezionata per impostazione predefinita, vedere Opzione di catalogo globale più indietro in questo argomento.

Informazioni aggiuntive sulle opzioni selezionate

L'installazione guidata Servizi di dominio Active Directory consente di aggiornare la casella di testo Informazioni aggiuntive con informazioni sull'ambiente basate sule selezioni e le opzioni predefinite selezionate nella pagina Opzioni controller di dominio aggiuntivo. Quando si modificano le selezioni effettuare la procedura guidata aggiorna dinamicamente i messaggi visualizzati in questa casella di testo.

Se, ad esempio, si seleziona la casella di controllo Catalogo globale la procedura guidata aggiorna la casella di testo Informazioni aggiuntive per indicare il numero degli altri server di catalogo globale distribuiti nel dominio e nel sito. Queste informazioni contribuiscono a confermare che si sta installando Servizi di dominio Active Directory con le opzioni programmate.

La casella di testo Informazioni aggiuntive, inoltre, viene aggiornata per indicare se tutte le condizioni esistenti nell'ambiente impediscono attualmente la disponibilità di una qualsiasi opzione. Se, ad esempio, nessun controller di dominio scrivibile del dominio sta eseguendo Windows Server 2008 o Windows Server 2008 R2, la procedura guidata consente di deselezionare la casella di controllo Controller di dominio di sola lettura, di rendere questa opzione non disponibile e di scrivere un messaggio nella casella di testo Informazioni aggiuntive che indica che per installare un controller di dominio di sola lettura è necessario che nel dominio sia presente un controller di dominio scrivibile che esegue Windows Server 2008 o Windows Server 2008 R2.

Controlli di convalida per le opzioni selezionate

Dopo aver selezionato le opzioni nella pagina Opzioni controller di dominio aggiuntivo e aver scelto Avanti la procedura guidata effettua i controlli di convalida seguenti prima di continuare:

  • Controllo master infrastrutture

  • Controllo adprep /rodcprep

  • Convalida di indirizzo IP statico

Controllo master infrastrutture

Se si seleziona l'opzione per installare un controller di dominio aggiuntivo in un dominio, nell'Installazione guidata Servizi di dominio Active Directory la casella di controllo Catalogo globale viene selezionata per impostazione predefinita. Se si sta installando un controller di dominio scrivibile, con la casella di controllo Controller di dominio di sola lettura deselezionata, e si deseleziona inoltre la casella di controllo Catalogo globale, la procedura guidata controlla che il ruolo di master infrastrutture sia attualmente ospitato in un server di catalogo globale del dominio. In questo caso, viene richiesto di trasferire il ruolo nel controller di dominio che si sta installando. Per effettuare questo trasferimento è' possibile fare clic su Si oppure scegliere No per correggere la configurazione successivamente.

Controllo adprep/rodcprep

Se si sta installando un controller di domino di sola lettura, la procedura guidata verifica il completamento del comando adprep /rodcprep e la replica delle modifiche derivanti dal comando in tutta la foresta. Se il comando adprep /rodcprep non è stato completato correttamente oppure le modifiche non sono state ancora replicate, viene visualizzato un messaggio di errore che indica che è necessario eseguire il comando prima di continuare l'installazione. Se si riceve questo messaggio, eseguire nuovamente adprep /rodcprep in qualsiasi computer della foresta oppure attendere la replica delle modifiche in tutta la foresta.

Convalida di indirizzo IP statico

Se si seleziona la casella di controllo Server DNS l'Installazione guidata Servizi di dominio Active Directory verifica che tutte le schede di rete fisiche del server dispongano di un indirizzo statico, incluso un indirizzo IP statico versione 4 (IPv4) e un indirizzo IP statico versione 6 (IPv6), se sono entrambi disponibili. Sebbene sia possibile completare l'installazione di Servizi di dominio Active Directory senza utilizzare un indirizzo IP statico, ciò non è consigliabile in quanto i client possono avere problemi nel contattare il controller di dominio se viene modificato il relativo indirizzo IP. Per ulteriori informazioni sull'impostazione di un indirizzo IP statico, vedere Configurare le impostazioni TCP/IP e client DNS.


Creare o aggiornare una delega DNS

Quando si aggiunge un altro dominio Active Directory a una foresta è necessario creare nella zona DNS padre record di delega che facciano riferimento ai server DNS autorevoli della nuova zona. I record di delega trasferiscono l'autorità per la risoluzione dei nomi e forniscono un riferimento corretto agli altri server e client DNS dei nuovi server che diventano autorevoli per la nuova zona. Se si sta utilizzando DNS integrato in Active Directory questi server DNS potrebbero inoltre essere i controller di dominio per quel dominio.

È possibile creare questi record di delega DNS prima di avviare l'Installazione guidata Servizi di dominio Active Directory oppure è possibile fare in modo che la procedura guidata li crei automaticamente. Si verifica la presenza dei record appropriati nella zona DNS padre dopo aver scelto Avanti nella pagina Opzioni controller di dominio aggiuntivo. Se la procedura guidata non è in grado di verificare la presenza dei record nel dominio padre, fornisce l'opzione per creare i record automaticamente e proseguire l'installazione del nuovo dominio.

Per aggiungere, ad esempio, un nuovo dominio figlio denominato na.contoso.com alla foresta contoso.com è necessario creare una delega per il sottodominio DN (na.contoso.com) nella zona DNS padre (contoso.com).

Se un server DNS autorevole per il sottodominio appena delegato na.contoso.com viene denominato ns1.na.contoso.com, per rendere questo server noto ad altri all'esterno della nuova zona delegata devono essere presenti due record di risorse nella zona contoso.com per completare la delega alla nuova zona. Tali record di risorse sono i seguenti:

  • Un record di risorse server dei nomi (NS) per effettuare la delega. Questo record di risorse annuncia che il server denominato ns1.na.example.microsoft.com è un server autorevole per il sottodominio delegato.

  • Un record di risorse host (A o AAAA), definito anche glue record, necessario per risolvere nel relativo indirizzo IP il nome del server specificato nel record di risorse NS. Il processo di risoluzione del nome host di questo record di risorse nel server DNS delegato del record di risorse server dei nomi (NS) a volte viene indicato come glue chasing.

Per creare una delega di zona, aprire Gestore DNS, fare clic con il pulsante destro del mouse sul dominio padre e quindi scegliere Nuova delega. Eseguire la procedura per la creazione della delega nell'Aggiunta guidata nuova delega.


Impostare il livello di funzionalità di un dominio o di una foresta

I livelli di funzionalità determinano le funzionalità di Servizi di dominio Active Directory abilitate in un dominio o in una foresta. Limitano inoltre i sistemi operativi Windows Server che possono essere eseguiti su controller di dominio nel dominio o nella foresta. I livelli di funzionalità, tuttavia, non influiscono sui sistemi operativi che possono essere eseguiti su workstation e server membri uniti al dominio o alla foresta.

Quando si crea un nuovo dominio o una nuova foresta, impostare i livelli di funzionalità sui valori massimi che l'ambiente è in grado di supportare. In questo modo è possibile sfruttare il maggior numero possibile di funzionalità di Servizi di dominio Active Directory. Se, ad esempio, si è certi che al dominio o alla foresta non verranno mai aggiunti controller di dominio che eseguono Windows Server 2008, o un sistema operativo precedente, selezionare il livello di funzionalità Windows Server 2008 R2. Se invece è possibile che verranno mantenuti o aggiunti controller di dominio che eseguono Windows Server 2008 o versioni precedenti, selezionare il livello di funzionalità Windows Server 2008 durante l'installazione. È possibile aumentare il livello di funzionalità dopo l'installazione, quando si è certi che tali controller di dominio non verranno aggiunti o siano ancora in uso.

Quando si installa una nuova foresta viene richiesto di impostare il livello di funzionalità della foresta e quindi il livello di funzionalità del dominio. Non è possibile impostare il livello di funzionalità del dominio su un valore inferiore rispetto al livello di funzionalità della foresta. Se, ad esempio, si imposta il livello di funzionalità della foresta su Windows Server 2008 R2, è possibile impostare il livello di funzionalità del dominio solo su Windows Server 2008 R2. I valori del livello di funzionalità del dominio Windows 2000, Windows Server 2003 e Windows Server 2008 non saranno disponibili nella pagina della procedura guidata Impostazione livello funzionalità dominio. Tutti i domini aggiunti successivamente a tale foresta, inoltre, presenteranno il livello di funzionalità del dominio Windows Server 2008 R2 per impostazione predefinita.

Dopo l'impostazione del livello di funzionalità del dominio su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità del dominio a Windows Server 2008 R2 e il livello di funzionalità della foresta è Windows Windows Server 2008 o inferiore, è possibile ripristinare il livello di funzionalità del dominio su Windows Server 2008. È possibile diminuire il livello di funzionalità del dominio solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità del dominio è impostato su Windows Server 2008 R2 non è possibile ripristinare un livello inferiore, ad esempio Windows Server 2003.

Dopo l'impostazione del livello di funzionalità della foresta su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità della foresta a Windows Server 2008 R2 e il Cestino di Active Directory non è attivato, è possibile ripristinare il livello di funzionalità della foresta su Windows Server 2008. È possibile diminuire il livello di funzionalità della foresta solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità della foresta è impostato su Windows Server 2008 R2 non è possibile ripristinarlo, ad esempio a Windows Server 2003.

Nelle sezioni seguenti vengono illustrati gli insiemi di funzionalità abilitati a livelli di funzionalità della foresta e del dominio diversi.

Funzionalità abilitate ai livelli di funzionalità del dominio

Nella tabella seguente vengono elencate le funzionalità e i sistemi operativi supportati per i controller di dominio per ogni livello di funzionalità del dominio.

Livello di funzionalità del dominio Funzionalità attive Sistemi operativi supportati per i controller di dominio

Windows 2000 originale

Tutte le funzionalità predefinite di Active Directory, più le seguenti:

  • Gruppi universali per i gruppi di distribuzione e di sicurezza

  • Nidificazione dei gruppi

  • Conversione dei gruppi, che rende possibile la conversione tra gruppi di sicurezza e gruppi di distribuzione

  • Cronologia ID di sicurezza (SID)

Windows 2000

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows 2000 originale, più le funzionalità seguenti:

  • Lo strumento di gestione dei domini, Netdom.exe, disponibile per preparare la ridenominazione dei controller di dominio.

  • Aggiornamento del timestamp di accesso. L'attributo lastLogonTimestamp verrà aggiornato con l'orario dell'ultimo accesso dell'utente o computer. Questo attributo viene replicato sul dominio. Si noti che questo attributo può non essere aggiornato se un controller di dominio di sola lettura autentica l'account.

  • È possibile impostare l'attributo userPassword come password effettiva in oggetti inetOrgPerson e oggetti utente.

  • È possibile reindirizzare contenitori Utenti e computer. Per impostazione predefinita, due contenitori noti sono disponibili per l'inserimento di account computer e account utente/di gruppo: cn=Computers,<domain root> e cn=Users,<domain root>. Con questa funzionalità è possibile definire un nuovo percorso noto per questi account.

  • Gestione autorizzazioni è in grado di archiviare i propri criteri di autorizzazione in AD DS.

  • Delega vincolata, che consente alle applicazioni di sfruttare la delega sicura delle credenziali dell'utente mediante il protocollo di autenticazione Kerberos. È possibile configurare la delega perché sia consentita solo su servizi di destinazione specifici.

  • Supporto per autenticazione selettiva, che rende possibile specificare utenti e gruppi da una foresta trusted cui sia consentita l'autenticazione in server di risorse in una foresta trusting.

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità dei livelli di funzionalità del dominio Windows 2000 originale e Windows Server 2003, più le funzionalità seguenti:

  • Supporto della replica DFS per SYSVOL, che consente una replica più affidabile e dettagliata del contenuto SYSVOL. Sarà necessario effettuare passaggi aggiuntivi per utilizzare la replica DFS per SYSVOL. Per ulteriori informazioni, vedere Servizi file (http://go.microsoft.com/fwlink/?LinkId=93167).

  • Supporto di servizi di crittografia avanzati (AES 128 e 256) per il protocollo Kerberos.

  • Informazioni sull'ultimo accesso interattivo, che indicano l'ora dell'ultimo accesso interattivo riuscito per un utente, la workstation da cui è avvenuto il tentativo e il numero di tentativi di accesso non riusciti dopo l'ultimo accesso.

  • Criteri specifici per le password, che consentono di specificare criteri per le password e il blocco degli account per utenti e gruppi di sicurezza globali in un dominio.

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008 R2

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità dei livelli di funzionalità Windows 2000 originale, Windows Server 2003 e Windows Server 2008, più le funzionalità seguenti:

  • Verifica del meccanismo di autenticazione, che consente di raccogliere informazioni sul tipo di metodo di accesso (smart card oppure nome utente/password) utilizzato per l'autenticazione degli utenti di dominio nel token Kerberos di ogni utente. Quando si attiva questa funzionalità in un ambiente di rete in cui è distribuita un'infrastruttura per la gestione delle identità federative, come Active Directory Federation Services (ADFS), le informazioni nel token possono essere estratte ogni volta che un utente tenta di accedere a qualsiasi applicazione in grado di riconoscere attestazioni sviluppata per determinare le autorizzazioni in base al metodo di accesso dell'utente.

Windows Server 2008 R2

Funzionalità abilitate ai livelli di funzionalità della foresta

Nella tabella seguente vengono elencate le funzionalità e i sistemi operativi supportati per i controller di dominio per ogni livello di funzionalità della foresta.

Livello di funzionalità della foresta

Funzionalità attivate

Sistemi operativi supportati per i controller di dominio

Windows 2000

Tutte le funzionalità predefinite di Active Directory

Windows 2000

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory, più le seguenti:

  • Trust tra foreste.

  • Ridenominazione dei domini.

  • Replica del valore collegato (le modifiche all'appartenenza ai gruppi memorizzano e replicano i valori per i singoli membri anziché per l'appartenenza come unità singola). Questo determina minore utilizzo della larghezza di banda di rete e del processore durante la replica ed elimina la possibilità di perdita di aggiornamenti quando più membri vengono aggiunti o rimossi contemporaneamente a livelli dei diversi controller di dominio.

  • Possibilità di distribuire un controller di dominio di sola lettura

  • Algoritmi di Controllo coerenza informazioni (KCC) e scalabilità migliorati. Il generatore della topologia tra siti (ISTG) utilizza algoritmi migliorati che si adattano per supportare le foreste con un maggiore numero di siti che è possibile supportare al livello di funzionalità foresta Windows 2000.

  • Possibilità di creare istanze della classe ausiliaria dinamica denominata dynamicObject in una partizione di directory del dominio

  • Possibilità di convertire un'istanza dell'oggetto inetOrgPerson in un'istanza dell'oggetto User e viceversa

  • Possibilità di creare istanze di nuovi tipi di gruppi, detti gruppi di base applicazioni e gruppi query LDAP (Lightweight Directory Access Protocol), per supportare l'autorizzazione basata su ruoli

  • Disattivazione e ridefinizione degli attributi e delle classi nello schema

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008

Tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, ma nessuna funzionalità aggiuntiva. Per tutti i domini successivamente aggiunti alla foresta, tuttavia, sarà attivo il livello di funzionalità del dominio Windows Server 2008 per impostazione predefinita.

Se si intende includere solo controller di dominio che eseguono Windows Server 2008 o Windows Server 2008 R2 nell'intera foresta, è possibile scegliere questo livello di funzionalità della foresta per convenienza amministrativa.

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008 R2

Tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, più la funzionalità seguente:

  • Cestino, che consente di ripristinare completamente gli oggetti eliminati mentre Servizi di dominio Active Directory è in esecuzione.

Per tutti i domini aggiunti successivamente alla foresta sarà attivo il livello di funzionalità del dominio Windows Server 2008 R2 per impostazione predefinita.

Se si intende includere solo controller di dominio che eseguono Windows Server 2008 R2 nell'intera foresta, è possibile scegliere questo livello di funzionalità della foresta per convenienza amministrativa. In tal caso non sarà mai necessario aumentare il livello di funzionalità del dominio per ogni dominio creato nella foresta.

Windows Server 2008 R2


Posizionare i file di Servizi di dominio Active Directory

Quando si installa Servizi di dominio Active Directory, è necessario specificare la posizione nel server in cui verranno inseriti il database di Active Directory, i file di registro e la cartella condivisa SYSVOL. Nel database vengono memorizzate le informazioni sugli utenti, i computer e altri oggetti della rete. Nei file di registro vengono registrate le attività correlate a Servizi di dominio Active Directory, ad esempio le informazioni relative a un oggetto in corso di aggiornamento. In SYSVOL vengono memorizzati gli oggetti e gli script Criteri di gruppo. Per impostazione predefinita SYSVOL fa parte dei file del sistema operativo della directory %windir%.

Considerare i fattori seguenti se si decide dove posizionare i file di Servizi di dominio Active Directory:

  • Backup e ripristino

  • Prestazioni

Considerazioni sul backup e il ripristino per il posizionamento dei file di Servizi di dominio Active Directory

Per un'installazione semplice in cui il server dispone di un solo disco rigido è sufficiente accettare le impostazioni di installazione predefinite dell'Installazione guidata Servizi di dominio Active Directory. È necessario, tuttavia, creare almeno due volumi sull'unico disc rigido. Un volume è necessario per i dati dei volumi critici e un altro per il backup.

Quando si utilizza Windows Server Backup o lo strumento da riga di comando Wbadmin.exe per eseguire il backup di un controller di dominio, è necessario eseguire almeno il backup dei dati di stato del sistema, in modo che sia possibile utilizzare il backup per ripristinare il server. Il volume utilizzato per archiviare i backup non può essere lo stesso che ospita i dati di stato del sistema. Questo requisito può influire sul punto in cui decidere di posizionare i file di Servizi di dominio Active Directory. I componenti di sistema che costituiscono i dati di stato del sistema dipendono dai ruoli del server installati nel computer. I dati di stato del sistema includono almeno i dati seguenti, nonché ulteriori dati, a seconda dei ruoli del server installati:

  • Registro di sistema

  • Database di registrazione delle classi COM+

  • File di avvio

  • Database di Servizi certificati Active Directory

  • Volume che ospita il database di Active Directory (Ntds.dit)

  • Volume che ospita i file di registro del database di Active Directory

  • Directory SYSVOL

  • Informazioni del Servizio cluster

  • Metadirectory Microsoft Internet Information Services (IIS)

  • File di sistema inclusi in Protezione risorse di Windows

Se, ad esempio si sta installando Servizi di dominio Active Directory in un server che dispone di un solo disco rigido sarà necessario creare i volumi logici seguenti per accogliere i backup:

  • Unità C, che ospita tutti i dati dei volumi critici

  • Unità D, utilizzata come destinazione per Windows Server Backup o Wbadmin.exe

Per ulteriori informazioni sul backup e sul ripristino di un controller di dominio, vedere la Guida dettagliata al backup e al ripristino di Servizi di dominio Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93077.

Considerazioni sulle prestazioni per il posizionamento dei file di Servizi di dominio Active Directory

Per installazioni più complesse sarà possibile configurare la memoria del disco rigido per ottimizzare le prestazioni di Servizi di dominio Active Directory. Dal momento che il database e i file di registro utilizzano lo spazio di memoria su disco in modi diversi, è possibile migliorare le prestazioni di Servizi di dominio Active Directory riservando a ognuno assi del disco rigido distinti.

Si supponga, ad esempio, che un server disponga di quattro unità disco rigido disponibili con le etichette seguenti:

  • Unità C, che include i file del sistema operativo

  • Unità D, non utilizzata

  • Unità E, non utilizzata

  • Unità F, utilizzata per il backup

In questo server è possibile migliorare in modo ottimale le prestazioni di Servizi di dominio Active Directory installando il database e i file di registro su unità distinte dedicate a quelle risorse, ad esempio le unità D ed E. In questo modo verranno migliorate le prestazioni delle ricerche rispetto al database in quanto un asse del disco potrà essere dedicato soltanto a quell'attività. Se viene apportato un numero maggiore di modifiche contemporaneamente, questa configurazione consente inoltre di ridurre la probabilità che sul disco che ospita i file di registro si sviluppino colli di bottiglia. È possibile collocare SYSVOL sull'unità C con i file del sistema operativo.


Installare da supporti

Quando si installa un controller di dominio aggiuntivo, è possibile installare da supporti anziché replicare tutti i dati di directory nella rete. È possibile memorizzare il supporto di installazione su un'unità locale, un supporto rimovibile, ad esempio un DVD, oppure una cartella di rete condivisa.

L'esecuzione di un'operazione IFM per la creazione di un controller di dominio aggiuntivo riduce notevolmente la larghezza di banda di rete utilizzata durante l'installazione di Servizi di dominio Active Directory. La connettività di rete, tuttavia, è ancora necessaria per replicare tutti i nuovi oggetti e le modifiche recenti apportate a oggetti esistenti nel nuovo controller di dominio.

Se si seleziona l'opzione per copiare le informazioni di dominio nella rete, tutti i dati di Servizi di dominio Active Directory verranno copiati nella connessione di rete. Se è necessario replicare informazioni per un dominio di grandi dimensioni, per rinviare la replica non critica è possibile fare clic su Completare la replica in seguito nella pagina di avanzamento visualizzata al termine della procedura guidata. Se si decide di rinviare la replica non critica, l'Installazione guidata Servizi di dominio Active Directory continuerà il completamento dell'installazione e configurazione di DNS. La procedura guidata, inoltre, installerà la Console Gestione Criteri di gruppo.

Creare un supporto di installazione di Servizi di dominio Active Directory

Il metodo consigliato per la creazione di un supporto di installazione di Servizi di dominio Active Directory consiste nell'utilizzare lo strumento Ntdsutil.exe incorporato in Windows Server 2008 R2 e disponibile dopo l'installazione del ruolo del server Servizi di dominio Active Directory. Lo strumento ntdsutil include un sottocomando ifm che consente di creare solo i file necessari all'installazione di Servizi di dominio Active Directory.

In alternativa all'utilizzo di Ntdsutil.exe, è possibile ripristinare un backup dello stato del sistema e utilizzarlo come supporto di installazione. Un backup dello stato del sistema di un controller di dominio include tuttavia un numero di dati maggiore di quello necessario per eseguire un'operazione IFM.

È inoltre consigliabile utilizzare il sottocomando ntdsutil ifm in quanto è possibile utilizzarlo per rimuovere informazioni segrete, ad esempio password, dal database di Servizi di dominio Active Directory in modo da poter installare un controller di dominio di sola lettura. Quando si rimuovono questi segreti, il supporto di installazione del controller di dominio di sola lettura è più sicuro se deve essere trasportato nella succursale di un ufficio per un'installazione di un controller di dominio di sola lettura.

Per installare un controller di dominio di sola lettura, è necessario utilizzare un supporto di installazione di un controller di dominio di sola lettura. È possibile creare un supporto di installazione di un controller di dominio di sola lettura in un controller di dominio di sola lettura o in un controller di dominio scrivibile. Per installare un controller di dominio scrivibile, è necessario utilizzare un supporto di installazione di un controller di dominio scrivibile. Per installare un controller di dominio scrivibile, è necessario utilizzare un supporto di installazione di un controller di dominio scrivibile. Nel sottocomando ntdsutil ifm il supporto di installazione di un controller di dominio scrivibile viene indicato come supporto "completo". Per ulteriori informazioni sull'utilizzo del sottocomando ntdsutil ifm, vedere l'argomento relativo all'installazione di Servizi di dominio Active Directory da supporto all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93104.

Se si utilizza un backup di un altro controller di dominio come supporto di installazione di Servizi di dominio Active Directory, utilizzare il backup più recente disponibile. Backup precedenti necessitano di una larghezza di banda maggiore per la replica. Il backup in uso non può essere più vecchio della durata di rimozione definitiva del dominio, impostata su un valore predefinito di 180 giorni (60 giorni in una foresta creata in un server in esecuzione su Windows Server 2003 o versioni precedenti).

Quando si sceglie l'opzione di copia delle informazioni di dominio da file di backup ripristinati è necessario creare un backup dello stato del sistema di un controller di dominio dal dominio in cui il server membro diventerà un controller di dominio aggiuntivo. È necessario, quindi, ripristinare il backup localmente nel server in cui si sta installando Servizi di dominio Active Directory.

Se si desidera utilizzare le partizioni applicative disponibili nel supporto di installazione, è possibile specificare il parametro /ApplicationPartitionsToReplicate quando si avvia dcpromo durante un'installazione automatica. Specificare * per includere tutte le partizioni applicative disponibili. Per utilizzare, ad esempio tutte le applicazioni disponibili per il controller di dominio aggiuntivo è possibile digitare il seguente comando al prompt dei comandi e premere INVIO:

dcpromo /unattend /ReplicaOrNewDomain:Replica /ApplicationPartitionsToReplicate:*

Se si desidera che il nuovo controller di dominio sia un server di catalogo globale è possibile utilizzare il supporto di installazione creato da un server di catalogo globale oppure replicare i dati di catalogo globale nel nuovo controller di dominio nella rete.


Selezionare un partner di installazione per Servizi di dominio Active Directory

Nella pagina Controller di dominio di origine dell'Installazione guidata Servizi di dominio Active Directory è possibile selezionare il controller di dominio da utilizzare come origine dei dati da replicare durante l'installazione oppure è possibile fare in modo che la procedura guidata selezioni i controller di dominio da utilizzare come origine dei dati. Questa pagina della procedura guidata viene visualizzata solo se si seleziona la casella di controllo Utilizza installazione in modalità avanzata nella pagina Installazione guidata Servizi di dominio Active Directory e si sta aggiungendo un dominio aggiuntivo a una foresta o un controller di dominio aggiuntivo a un dominio esistente.

Anche se si sceglie di installare IFM è necessario che si verifichi una comunicazione di rete tra il nuovo controller di dominio e un controller di dominio esistente che talvolta è noto come partner di installazione o "controller di dominio di supporto".

Nell'Installazione guidata Servizi di dominio Active Directory vengono elencati tutti i controller di dominio che sono idonei per essere utilizzati come partner di installazione. Se si sta creando un dominio aggiuntivo qualsiasi controller di dominio può essere il partner di installazione. Ai controller di dominio che possono essere utilizzati come partner di installazione in altre situazioni vengono applicate, tuttavia, le seguenti restrizioni:

  • Un controller di dominio di sola lettura non può mai essere partner di installazione.

  • Se si sta installando un controller di dominio di sola lettura, solo un controller di dominio scrivibile che esegue Windows Server 2008 o Windows Server 2008 R2 può essere partner di installazione.

  • Se si sta installando un controller di dominio aggiuntivo per un dominio esistente solo un controller di dominio per quel dominio può essere partner di installazione.

Se si specifica un controller di dominio da utilizzare come partner di installazione, specificare un controller di dominio che contenga un numero ridotto di connessioni in ingresso e in uscita e assicurarsi che non si tratti di un creatore o di un server di inoltro di modifiche con partner di replica del servizio Replica file (FRS).

Se si sceglie di non utilizzare IFM, sul partner di installazione vengono creati o modificati un nuovo oggetto Impostazioni NDTS e un nuovo account del computer. Il partner di installazione, inoltre, ha la possibilità di replicare per primo il contenuto della cartella condivisa SYSVOL nel nuovo controller di dominio.


Pagina relativa alla password di amministratore modalità ripristino servizi directory

La password per la modalità ripristino servizi directory è necessaria per effettuare l'accesso a un controller di dominio quando Servizi di dominio Active Directory non è in esecuzione o perché viene arrestato oppure perché il controller di dominio è stato avviato in modalità ripristino servizi directory.

Nota

La password per la modalità ripristino servizi directory non corrisponde alla password per l'account Administrator del dominio.

Se si sta creando il primo controller di dominio della foresta, il criterio password in vigore nel server locale viene imposto dall'Installazione guidata Servizi di dominio Active Directory.

Per tutte le altre installazioni dei controller di dominio l'Installazione guidata Servizi di dominio Active Directory impone il criterio password in vigore nel controller di dominio utilizzato come partner di installazione. In questo modo la password per la modalità ripristino servizi directory specificata deve soddisfare la lunghezza minima della password e i requisiti di complessità del dominio contenente il partner di installazione. Per impostazione predefinita, è necessario fornire una password complessa contenente una combinazione di lettere maiuscole e minuscole, numeri e simboli.

Assicurarsi di proteggere la password per la modalità ripristino servizi directory. La divulgazione di questa password a personale non autorizzato dopo l'installazione presenta un rischio per la sicurezza. Un utente malintenzionato può utilizzare la password per avviare il controller di dominio in modalità ripristino servizi directory e di conseguenza causare problemi nella foresta. Potrebbe, ad esempio, avviare il controller di dominio in modalità ripristino servizi directory e quindi forzare la rimozione di Servizi di dominio Active Directory dal server.


Utilizzare un file di risposte

Nella pagina Riepilogo dell'Installazione guidata Servizi di dominio Active Directory, è possibile fare clic su Esporta impostazioni per salvare le impostazioni specificate nella procedura guidata in un file di risposte. È possibile quindi utilizzare il file di risposte per automatizzare le installazioni successive di Servizi di dominio Active Directory.

Il file di risposte è un normale di file di testo con un'intestazione [DCInstall]. Fornisce risposte a domande effettuate dall'Installazione guidata Servizi di dominio Active Directory. L'utilizzo del file di risposte non rende necessario un amministratore per interagire con la procedura guidata. Tramite l'Installazione guidata Servizi di dominio Active Directory viene aggiunto un testo al file di risposta che ne spiega l'utilizzo, ad esempio come richiamarlo con il comando dcpromo e quali impostazioni aggiornare per utilizzarlo.

Durante un'operazione automatica, un codice restituito indica l'esito dell'operazione. Per ulteriori informazioni sui codici restituiti, vedere Codici restituiti di installazione automatica.

Per utilizzare un file di risposte per installare Servizi di dominio Active Directory, digitare il seguente comando al prompt dei comandi e premere INVIO:

dcpromo /answer[:nomefile]

Dove nome file è il nome del file di risposte.


Configurare manualmente un server DNS per l'integrazione di Servizi di dominio Active Directory

Se si sta installando DNS in un controller di dominio e si annulla l'Installazione guidata Servizi di dominio Active Directory prima del completamento dell'installazione del server DNS, è possibile installare ma non configurare il ruolo server DNS per supportare Servizi di dominio Active Directory. È consigliabile consentire il completamento dell'installazione e della configurazione DNS. Se, tuttavia, si annulla la procedura guidata, completare la procedura seguente se necessario per assicurarsi che il server DNS sia configurato correttamente per l'integrazione di Servizi di dominio Active Directory:

  • Configurare le impostazioni del client DNS. Per ulteriori informazioni, vedere Configurare le impostazioni TCP/IP e client DNS.

  • Creare tutti i record necessari alla delega DNS. Per ulteriori informazioni, vedere Creare o aggiornare una delega DNS.

  • Configurare i server d'inoltro. Per ulteriori informazioni, vedere Informazioni sui server d'inoltro, Utilizzare server d'inoltro e Configurare un server DNS per l'utilizzo di server d'inoltro.

  • Configurare i parametri radice se necessario. Per ulteriori informazioni, vedere Aggiornare i parametri radice e Aggiornare i parametri radice nel server DNS.

  • Convertire tutte le zone con file di backup necessarie in zone integrate in Active Directory. Per ulteriori informazioni, vedere Cambiare il tipo di zona.


Informazioni sui server d'inoltro

Un server d'inoltro è un server DNS (Domain Name System) in rete che consente di inoltrare query DNS relative a nomi DNS esterni a server DNS al di fuori della rete. È inoltre possibile inoltrare le query in base a nomi di dominio specifici utilizzando server d'inoltro condizionali.

Per designare un server DNS in rete come server d'inoltro, è necessario configurare gli altri server DNS della rete in modo da inoltrare a tale server le query che non possono essere risolte localmente. Utilizzando un server d'inoltro, è possibile gestire la risoluzione dei nomi esterni alla rete, ad esempio i nomi su Internet, e migliorare l'efficienza della risoluzione dei nomi per i computer della rete. Per ulteriori informazioni sui server d'inoltro standard e su quelli condizionali, vedere Utilizzare server d'inoltro.

Nella figura seguente viene illustrata la modalità di indirizzamento delle query relative a nomi esterni con i server d'inoltro.

Esempio di configurazione di un server d'inoltro comune

Quando viene designato come server d'inoltro, un server DNS diventa responsabile della gestione del traffico esterno, con una conseguente riduzione dell'esposizione del server a Internet. Il server d'inoltro genera una cache di grandi dimensioni con le informazioni DNS esterne poiché tutte le query DNS esterne della rete vengono risolte attraverso di esso. In pochissimo tempo il server d'inoltro risolve un numero elevato di query DNS esterne utilizzando i dati memorizzati nella cache. In questo modo è possibile ridurre il traffico Internet sulla rete e il tempo di risposta dei client DNS.

Un server DNS configurato per utilizzare un server d'inoltro si comporta in modo diverso rispetto a un server DNS che non utilizza un server d'inoltro. Il comportamento di un server DNS configurato per utilizzare un server d'inoltro è il seguente:

  1. Quando il server DNS riceve una query, tenta di risolverla utilizzando le zone in esso ospitate e la relativa cache.

  2. Se non è possibile risolvere la query utilizzando i dati locali, il server DNS la inoltra al server DNS designato come server d'inoltro.

  3. Se non è disponibile alcun server d'inoltro, il server DNS tenterà di utilizzare i propri parametri radice per risolvere la query.

Quando un server DNS inoltra una query a un server d'inoltro, invia una query ricorsiva. Tale query ricorsiva è diversa dalla query iterativa inviata da un server DNS a un altro server DNS durante la risoluzione dei nomi standard, ovvero la risoluzione dei nomi che non comporta l'utilizzo di server d'inoltro.

Server d'inoltro condizionali

Un server d'inoltro condizionale è un server DNS in rete che inoltra le query DNS in base al nome di dominio DNS contenuto nella query. È ad esempio possibile configurare un server DNS per inoltrare tutte le query ricevute per i nomi che terminano con corp.contoso.com all'indirizzo IP di un determinato server DNS o agli indirizzi IP di più server DNS.

Risoluzione dei nomi Internet

I server DNS possono utilizzare i server d'inoltro condizionali per risolvere query tra i nomi di dominio DNS di aziende che condividono informazioni. Si considerino ad esempio due società, Wingtip Toys e Tailspin Toys, che desiderano migliorare la modalità con cui i client DNS di Wingtip Toys risolvono i nomi dei client DNS di Tailspin Toys. Gli amministratori di Tailspin Toys forniscono agli amministratori di Wingtip Toys informazioni sull'insieme di server DNS della rete di Tailspin Toys a cui Wingtip Toys può inviare query per il dominio dolls.tailspintoys.com. I server DNS della rete di Wingtip Toys sono configurati per inoltrare tutte le query relative ai nomi che terminano con dolls.tailspintoys.com ai server DNS designati nella rete di Tailspin Toys. I server DNS della rete di Wingtip Toys pertanto non dovranno interrogare i server radice interni o i server radice di Internet per risolvere le query relative ai nomi che terminano con dolls.tailspintoys.com.


Utilizzare server d'inoltro

Per utilizzare i server d'inoltro per gestire il traffico DNS (Domain Name System) tra la rete e Internet, configurare il firewall della rete in modo da consentire a un solo server DNS di comunicare con Internet. Quando si configurano gli altri server DNS della rete in modo da inoltrare a tale server DNS le query che non possono essere risolte localmente, il server DNS agisce come server d'inoltro. Per ulteriori informazioni sui server d'inoltro, vedere Informazioni sui server d'inoltro.

Sequenza di inoltro

L'ordine degli indirizzi IP elencati come server d'inoltro in un server DNS determina la sequenza in cui vengono utilizzati. Dopo che il server DNS ha inoltrato la query al server d'inoltro con il primo indirizzo IP, attende una risposta per un breve intervallo di tempo, in base al timeout di inoltro impostato, prima di ripetere l'inoltro con l'indirizzo IP successivo. Questo processo continua finché il server DNS non riceve una risposta affermativa da un server d'inoltro.

Nella figura seguente ad esempio i server DNS con il primo e il secondo indirizzo IP di server d'inoltro non rispondono al server DNS. Risponde infine il server DNS con il terzo indirizzo IP di server d'inoltro e la query viene inoltrata a tale server.

Accesso remoto VPN esterno

Diversamente dalla risoluzione convenzionale, in cui a ogni server è associato un ciclo di andata/ritorno (RTT), gli indirizzi IP nell'elenco dei server d'inoltro non sono ordinati in base a tale ciclo. Dovranno pertanto essere riordinati manualmente per modificare la preferenza.

Server d'inoltro condizionali

I server d'inoltro condizionali sono server DNS che inoltrano le query sulla base di nomi di dominio. Anziché impostare i server DNS in modo che inoltrino a un server d'inoltro tutte le query che non possono essere risolte localmente, è possibile configurarli in modo da inoltrare query a server d'inoltro diversi a seconda dei nomi di dominio specifici contenuti nelle query. Questa tecnica migliora l'inoltro convenzionale aggiungendo al processo di inoltro una condizione basata sui nomi.

L'impostazione del server d'inoltro condizionale per un server DNS comprende:

  • I nomi di dominio per i quali il server DNS inoltrerà le query

  • Uno o più indirizzi IP di server DNS per ogni nome di dominio specificato

Quando un client o un server DNS esegue un'operazione di query su un server DNS, quest'ultimo verifica innanzitutto se la query può essere risolta utilizzando i dati contenuti nelle proprie zone o archiviati nella cache. Se il server DNS è configurato in modo da effettuare l'inoltro in base al nome di dominio specificato nella query, quest'ultima verrà inoltrata all'indirizzo IP di un server d'inoltro associato a tale nome di dominio. Nella figura seguente ad esempio ognuna delle query relative ai nomi di dominio viene inoltrata a un server DNS associato al nome di dominio.

Accesso remoto e VPN

Se il server DNS non dispone di alcun server d'inoltro elencato per il nome specificato nella query, tenterà di risolverla utilizzando la ricorsione standard. Per ulteriori informazioni, vedere Configurare un server DNS per l'utilizzo di server d'inoltro.

I server d'inoltro condizionali possono essere utilizzati per migliorare la risoluzione dei nomi tra spazi dei nomi DNS privati interni che non fanno parte dello spazio dei nomi DNS di Internet. Questi spazi dei nomi DNS possono essere il risultato di una fusione di società. Quando si configurano i server DNS di uno spazio dei nomi interno in modo da inoltrare tutte le query ai server DNS autorevoli in un secondo spazio dei nomi interno, i server d'inoltro condizionali consentono la risoluzione dei nomi tra i due spazi dei nomi senza eseguire la ricorsione nello spazio dei nomi DNS di Internet. In questo modo si evita inoltre che i server DNS eseguano la ricorsione nella radice interna per spazi dei nomi diversi nella rete.

Importante

Un server DNS non può inoltrare query relative ai nomi di dominio nelle zone in esso ospitate. Il server DNS autorevole per la zona widgets.tailspintoys.com ad esempio non può inoltrare query in base al nome di dominio widgets.tailspintoys.com. Esso può inoltrare query relative ai nomi DNS che terminano con hr.widgets.tailspintoys.com se hr.widgets.tailspintoys.com è delegata a un altro server DNS.

Lunghezza dei nomi di dominio per i server d'inoltro condizionali

Quando un server DNS configurato con un server d'inoltro condizionale riceve una query relativa a un nome di dominio, esso confronta tale nome di dominio con il proprio elenco di condizioni di nomi di dominio e utilizza la condizione più lunga che corrisponde al nome di dominio contenuto nella query. Nella figura riportata di seguito ad esempio il server DNS applica la logica di inoltro condizionale seguente per determinare come verrà inoltrata una query relativa a un nome di dominio:

  1. Il server DNS riceve una query relativa a toys.widgets.tailspintoys.com.

  2. Esso confronta tale nome di dominio sia con tailspintoys.com che con widgets.tailspintoys.com.

  3. Il server DNS stabilisce che widgets.tailspintoys.com è il nome di dominio che meglio soddisfa la query relativa al nome di dominio.

  4. Il server DNS inoltra la query al server DNS con indirizzo IP 172.31.255.255, che è associato a widgets.tailspintoys.com.

Accesso switch Ethernet


Configurare un server DNS per l'utilizzo di server d'inoltro

Un server d'inoltro è un server DNS (Domain Name System) in rete che viene utilizzato per inoltrare query DNS relative a nomi DNS esterni a server DNS al di fuori della rete. È inoltre possibile configurare il server in modo da inoltrare le query in base a nomi di dominio specifici utilizzando server d'inoltro condizionali.

Un server DNS in rete viene designato come server d'inoltro quando gli altri server DNS della rete sono configurati in modo da inoltrare a tale server le query che non possono essere risolte localmente. Utilizzando un server d'inoltro, è possibile gestire la risoluzione dei nomi esterni alla rete, ad esempio i nomi su Internet, e migliorare l'efficienza della risoluzione dei nomi per i computer della rete. Per ulteriori informazioni sui server d'inoltro standard e su quelli condizionali, vedere Informazioni sui server d'inoltro.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Configurare un server DNS per l'utilizzo di server d'inoltro

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per configurare un server DNS per l'utilizzo di server d'inoltro tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Server d'inoltro, in Dominio DNS, fare clic su un nome di dominio.

  5. In Elenco indirizzi IP del server d'inoltro del dominio selezionato digitare l'indirizzo IP di un server d'inoltro e quindi fare clic su Aggiungi.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Per creare un nuovo nome di dominio, fare clic su Nuovo e quindi in Dominio DNS digitare il nome di dominio.

  • Quando si specifica un server d'inoltro condizionale, selezionare un nome di dominio DNS prima di immettere un indirizzo IP.

  • Per impostazione predefinita, il server DNS attende una risposta dall'indirizzo IP di un server d'inoltro per cinque secondi prima di provare con l'indirizzo IP di un altro server d'inoltro. In Numero di secondi prima del timeout dell'inoltro query è possibile cambiare il numero di secondi di attesa del server DNS. Dopo aver provato con tutti i server d'inoltro, il server tenta con la ricorsione standard.

  • Se si desidera che il server DNS utilizzi solo server d'inoltro e non tenti alcuna ulteriore ricorsione qualora i server d'inoltro dessero esito negativo, selezionare la casella di controllo Non utilizzare query ricorsiva per questo dominio.

    È possibile disattivare la ricorsione per il server DNS in modo che non esegua la ricorsione per alcuna query. Se si disattivano le query ricorsive nel server DNS, non sarà possibile utilizzare server d'inoltro nello stesso server.

  • Nell'elenco dei server d'inoltro di un server DNS non immettere più volte l'indirizzo IP di uno stesso server d'inoltro perché considerato più affidabile o geograficamente più vicino al server. Se si preferisce uno dei server d'inoltro, specificarlo per primo nella serie di indirizzi IP dei server d'inoltro.

  • Non è possibile utilizzare un nome di dominio in un server d'inoltro condizionale se il server DNS ospita una zona primaria, secondaria o di stub per tale nome di dominio. Se ad esempio un server DNS è autorevole per il nome di dominio corp.contoso.com, ovvero ospita la zona primaria per tale nome di dominio, non sarà possibile configurare il server DNS con un server d'inoltro condizionale per corp.contoso.com.

  • Per evitare che si verifichino i problemi più comuni associati ai server d'inoltro, è possibile configurare i server DNS in modo da non eccedere nell'utilizzo dei server d'inoltro.

Per configurare un server DNS per l'utilizzo di server d'inoltro tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ResetForwarders <MasterIPaddress ...> [/TimeOut <Time>] [/Slave]

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/ResetForwarders | Obbligatorio. Configura un server d'inoltro.
<MasterIPAddress...> | Obbligatorio. Specifica un elenco separato da spazi di uno o più indirizzi IP dei server DNS su cui vengono inoltrate le query. È possibile specificare un elenco di indirizzi IP separati da spazi.
/TimeOut | Specifica l'impostazione di timeout. Tale impostazione indica il numero di secondi che devono trascorrere prima del timeout dell'inoltro query non riuscito.
<Time> | Specifica il valore del parametro /TimeOut. Tale valore è espresso in secondi. Il timeout predefinito è cinque secondi.
/Slave | Determina se il server DNS utilizza o meno la ricorsione quando esegue query per ottenere il nome di dominio specificato da NomeZona.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ResetForwarders /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Per impostare il server d'inoltro condizionale per una zona, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneAdd <ZoneName> /Forwarder <MasterIPaddress ...> [/TimeOut <Time>] [/Slave]
    Il comando /ZoneAdd aggiunge la zona specificata dal parametro NomeZona. Il parametro IndirizzoIP indica l'indirizzo IP su cui il server DNS inoltrerà le query DNS non risolvibili. Il parametro /Slave imposta il server DNS come server subordinato. Il parametro /NoSlave (impostazione predefinita) imposta il server DNS come server non subordinato, ovvero come server che eseguirà la ricorsione. I parametri /Timeout e Tempo sono descritti nella tabella precedente.

  • Per visualizzare una zona aggiunta solo come server d'inoltro condizionale, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneInfo <ZoneName>
  • Per reimpostare gli indirizzi IP dei server d'inoltro per un nome di dominio con server d'inoltro condizionali, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneResetMasters <ZoneName> [/Local] [<ServerIPs>]
    Il parametro /Local imposta l'elenco dei master locali per i server d'inoltro integrati in Active Directory. Il parametro IPServer indica l'elenco di uno o più indirizzi IP di server master della zona. I server master possono includere server DNS che ospitano copie primarie o secondarie della zona, ma non devono includere indirizzi IP di server DNS in modo che due server DNS che ospitano copie di una zona si utilizzino reciprocamente come server master. Una configurazione di questo tipo rende ciclico il percorso di inoltro.

  • Non è possibile utilizzare un nome di dominio in un server d'inoltro condizionale se il server DNS ospita una zona primaria, secondaria o di stub per tale nome di dominio. Se, ad esempio, un server DNS è autorevole per il nome di dominio corp.contoso.com, ovvero ospita la zona primaria per tale nome di dominio, non sarà possibile configurare il server DNS con un server d'inoltro condizionale per corp.contoso.com.

  • Per evitare problemi comuni associati ai server d'inoltro, è possibile configurare i server DNS in modo da non eccedere nell'utilizzo dei server d'inoltro.

Ulteriori riferimenti

  • Utilizzare server d'inoltro


Aggiornare i parametri radice

È possibile utilizzare i parametri radice per preparare i server autorevoli di zone non radice in modo che possano individuare i server autorevoli che gestiscono i domini a un livello superiore o in altri sottoalberi dello spazio dei nomi di dominio DNS. Tali parametri radice sono essenziali per i server autorevoli ai livelli inferiori dello spazio dei nomi per la ricerca e l'individuazione di altri server in queste condizioni.

Si supponga ad esempio che in un server DNS denominato Server A sia inclusa una zona denominata sub.corp.contoso.com. Nel processo di risposta a una query per un dominio di livello superiore, ad esempio il dominio corp.contoso.com, il Server A necessita di assistenza per individuare un server autorevole, ad esempio il Server B, per il dominio.

Affinché il Server A possa trovare il Server B o qualsiasi altro server autorevole per il dominio contoso.com, il Server A deve poter interrogare i server radice per lo spazio dei nomi DNS. I server radice possono quindi indirizzare il Server A ai server autorevoli per il dominio com. I server del dominio com possono a loro volta fare riferimento al Server B o ad altri server autorevoli per il dominio contoso.com. I parametri radice utilizzati dal Server A devono contenere indicazioni utili per i server radice affinché il processo possa individuare il Server B o un altro server autorevole, a seconda delle esigenze.

Per configurare e utilizzare correttamente i parametri radice, effettuare le valutazioni seguenti in merito al server DNS:

  • Valutare se il DNS viene utilizzato su Internet o in una rete privata.

  • Valutare se il server DNS viene utilizzato come server radice.

Per impostazione predefinita, il servizio Server DNS implementa i parametri radice utilizzando il file Cache.dns archiviato nella cartella %systemroot%\System32\Dns del computer server. In questo file in genere sono contenuti i record di risorse server dei nomi (NS) e host (A) dei server radice di Internet. Se tuttavia il servizio Server DNS viene utilizzato in una rete privata, è possibile modificare o sostituire questo file con record simili che puntano ai propri server DNS radice interni.

I parametri radice vengono gestiti in modo diverso anche se un server DNS è configurato per essere utilizzato da altri server DNS in uno spazio dei nomi interno come server d'inoltro per le eventuali query DNS di nomi gestite esternamente, ad esempio su Internet. Benché il server DNS utilizzato come server d'inoltro possa essere dislocato internamente nella stessa rete dei server che lo utilizzano come server d'inoltro, per un corretto funzionamento e la risoluzione dei nomi esterni sono necessarie indicazioni per i server radice di Internet.

Se un server DNS è configurato per accedere ad altri server DNS, ad esempio tramite un elenco di server DNS configurato nelle relative proprietà TCP/IP client per una connessione di rete installata, il servizio Server DNS sarà in grado di raccogliere i propri parametri radice durante la configurazione dei nuovi server. A tale scopo, è possibile utilizzare la Configurazione guidata server DNS.


Aggiornare i parametri radice nel server DNS

È possibile utilizzare i parametri radice per preparare i server autorevoli di zone non radice in modo che possano individuare i server autorevoli che gestiscono i domini a un livello superiore o in altri sottoalberi dello spazio dei nomi di dominio DNS. Tali parametri radice sono essenziali per i server autorevoli ai livelli inferiori dello spazio dei nomi per la ricerca e l'individuazione di altri server in queste condizioni.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiornare i parametri radice nel server DNS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Parametri radice.

  5. Modificare i parametri radice eseguendo le operazioni seguenti:

    • Per aggiungere un server radice all'elenco, fare clic su Aggiungi e quindi specificare il nome e l'indirizzo IP del server desiderato.

    • Per modificare un server radice nell'elenco, fare clic su Modifica e quindi specificare il nome e l'indirizzo IP del server desiderato.

    • Per rimuovere un server radice dall'elenco, selezionarlo nell'elenco e quindi fare clic su Rimuovi.

    • Per copiare i parametri radice da un server DNS, fare clic su Copia dal server e quindi specificare l'indirizzo IP del server DNS da cui si desidera copiare un elenco di server radice da utilizzare durante la risoluzione delle query. Questi parametri radice non sovrascriveranno gli eventuali parametri radice esistenti.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Ulteriori riferimenti

  • Aggiornare i parametri radice


Cambiare il tipo di zona

Per cambiare tipo di zona e ottenere una zona primaria, secondaria o di stub, è possibile utilizzare la procedura descritta di seguito. Questa procedura inoltre consente di integrare una zona in Servizi di dominio Active Directory. Per ulteriori informazioni, vedere Informazioni sui tipi di zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Cambiare il tipo di zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per cambiare il tipo di zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale notare il tipo di zona corrente e quindi fare clic su Cambia.

  4. In Cambio tipo zona selezionare un tipo di zona diverso da quello corrente e quindi fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • È possibile selezionare Zona primaria, Zona secondaria o Zona di stub. Quando si seleziona zona secondaria o di stub come tipo di zona, è necessario specificare l'indirizzo IP di un altro server DNS (Domain Name System) da utilizzare come origine per ottenere informazioni aggiornate per la zona.

  • Se il computer server DNS funziona come controller di dominio, è disponibile l'opzione di archiviazione della zona in Servizi di dominio Active Directory. In caso contrario, tale opzione non sarà disponibile. Quando si seleziona questo tipo di zona, i dati della zona vengono archiviati e replicati come parte del database di Servizi di dominio Active Directory.

    Nota

    Non è possibile cambiare contemporaneamente il tipo di zona, ovvero primaria, secondaria o di stub, e il metodo di archiviazione della zona. Le due operazioni devono essere eseguite separatamente.

  • Il cambiamento di tipo di zona da secondaria a primaria può influire su altre attività relative alla zona, tra cui la gestione degli aggiornamenti dinamici e dei trasferimenti di zona e l'utilizzo di elenchi di notifica DNS per notificare ad altri server le modifiche della zona.

  • Non è consigliabile cambiare tipo di zona passando da una zona di stub a una zona primaria o viceversa. Questa operazione sarebbe in contrasto con lo scopo delle zone di stub.

  • Il cambiamento del tipo di zona DNS o del metodo di archiviazione può richiedere molto tempo per le zone di grandi dimensioni.

Per cambiare il tipo di zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneResetType <ZoneName Property> [<MasterIPaddress...>] [/file <FileName>] {/OverWrite_Mem|/OverWrite_Ds|/DirectoryPartition <FQDN>}

Parametro Descrizione

dnscmd

Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.

<ServerName>

Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

<ZoneName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

<Proprietà>

Obbligatorio. Uno dei tipi di zona seguenti:

  • /Primary

    Zona primaria standard. L'opzione /file NomeFile è obbligatoria.

  • /DsPrimary

    Zona primaria integrata in Servizi di dominio Active Directory. Se la zona non è già una zona primaria, è necessario convertirla in zona primaria tramite /Primary prima di utilizzare tale parametro per integrarla in Servizi di dominio Active Directory.

  • /Secondary

    Zona secondaria. È necessario specificare almeno un IndirizzoIPMaster.

  • /Stub

    Zona di stub. È necessario specificare almeno un IndirizzoIPMaster. Se la zona è una zona primaria integrata in Servizi di dominio Active Directory, è necessario utilizzare /DsStub per convertirla in zona di stub integrata in Servizi di dominio Active Directory prima di utilizzare questo parametro.

  • /DsStub

    Zona di stub integrata in Servizi di dominio Active Directory. È necessario specificare almeno un IndirizzoIPMaster. Se la zona non è già una zona di stub, è necessario convertirla in zona di stub tramite /Stub prima di utilizzare tale parametro per integrarla in Servizi di dominio Active Directory.

/file <NomeFile>

Obbligatorio per /Primary. Specifica il nome di un file per la nuova zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

<IndirizzoIPMaster...>

Obbligatorio per /Secondary, /Stub e /DsStub. Specifica uno o più indirizzi IP dei server master della zona secondaria o di stub da cui vengono copiati i dati della zona.

/OverWrite_Mem | /OverWrite_Ds | /DirectoryPartition <FQDN>

/OverWrite_Mem sovrascrive i dati DNS esistenti con i dati di Servizi di dominio Active Directory. /OverWrite_Ds sovrascrive i dati di Active Directory con i dati di DNS. /DirectoryPartition archivia la nuova zona nella partizione di directory applicativa specificata da FQDN, ad esempio DomainDnsZones.corp.widgets.tailspintoys.com.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneResetType /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • È possibile selezionare zone primarie, secondarie o di stub. Quando si seleziona zona secondaria o di stub come tipo di zona, specificare l'indirizzo IP di un altro server DNS da utilizzare come origine per ottenere informazioni aggiornate per la zona.

  • Se il server DNS funge da controller di dominio, è possibile utilizzare i parametri /DsPrimary e /DsStub. Negli altri casi queste opzioni non sono disponibili. Quando si seleziona uno di questi tipi di zona, i dati della zona vengono archiviati e replicati come parte del database di Servizi di dominio Active Directory.

    Nota

    Prima di utilizzare queste opzioni, convertire la zona nel tipo appropriato, se necessario. La zona, infatti, deve essere già una zona primaria prima di utilizzare /DsPrimary per integrarla in Servizi di dominio Active Directory. Analogamente, la zona deve essere già una zona di stub prima di utilizzare /DsStub per integrarla in Servizi di dominio Active Directory.

  • Il cambiamento di tipo di zona da secondaria a primaria può influire su altre attività relative alla zona, tra cui la gestione degli aggiornamenti dinamici e dei trasferimenti di zona e l'utilizzo di elenchi di notifica DNS per notificare ad altri server le modifiche della zona.

  • Non è consigliabile cambiare tipo di zona passando da una zona di stub a una zona primaria o viceversa. Questa operazione sarebbe in contrasto con lo scopo delle zone di stub.


Eseguire un'installazione gestita di un controller di dominio di sola lettura

È possibile eseguire un'installazione gestita di un controller di dominio di sola lettura in cui differenti individui completano l'installazione in due fasi. Per completare ogni fase dell'installazione è possibile utilizzare l'Installazione guidata Servizi di dominio Active Directory.

  • Utilizzare un'installazione in modalità avanzata

  • Configurare le opzioni controller di dominio aggiuntivo

  • Delegare l'installazione e l'amministrazione del controller di dominio di sola lettura

  • Impostare i criteri di replica password

  • Selezionare un account per un controller di dominio di sola lettura

Descrizione di un'installazione gestita del controller di dominio di sola lettura

La prima fase dell'installazione consente di creare un account per il controller di dominio di sola lettura in Servizi di dominio Active Directory. Nella seconda fase viene collegato il server effettivo che diventerà controller di dominio di sola lettura all'account creato in precedenza.

Durante la prima fase l'Installazione guidata Servizi di dominio Active Directory registra tutti i dati relativi al controller di dominio di sola lettura che verranno memorizzati nel database di Active Directory, ad esempio il nome account controller di dominio del controller di dominio di sola lettura e il sito in cui verrà collocato. Questa fase deve essere eseguita da un membro del gruppo Domain Admins.

L'utente che crea l'account per il controller di dominio di sola lettura può inoltre specificare l'ora in cui gli utenti o i gruppi potranno completare la fase successiva dell'installazione. È possibile eseguire la fase successiva dell'installazione nella succursale di un ufficio da un qualsiasi utente o membro di un gruppo al quale, durante la creazione dell'account, sia stato delegato il diritto di completare l'installazione Questa fase non richiede alcuna appartenenza a gruppi incorporati, ad esempio il gruppo Domain Admins. Se l'utente che crea l'account per il controller di dominio di sola lettura non specifica alcun delegato al completamento dell'installazione (e all'amministrazione del controller di dominio di sola lettura) solo un membro del gruppo Domain Admins o Enterprise Admins può completare l'installazione.

Durante la seconda fase dell'installazione la procedura consente di installare Servizi di dominio Active Directory nel server che diventerà il controller di dominio di sola lettura. Questa fase, di solito, ha luogo nella succursale dell'ufficio in cui viene distribuito il controller di dominio di sola lettura. Durante questa fase tutti i dati di Servizi di dominio Active Directory che risiedono localmente, ad esempio il database, i file di registro e così via, vengono creati nello stesso controller di dominio di sola lettura. È possibile replicare i file di origine dell'installazione nel controller di dominio di sola lettura da un altro controller di dominio in rete oppure utilizzare la funzionalità IFM. In questo caso, utilizzare Ntdsutil.exe per creare il supporto di installazione specifico di un'installazione di controller di dominio di sola lettura. Per ulteriori informazioni sull'utilizzo di IFM, vedere Installare da supporti.

Il server che diventerà controller di dominio di sola lettura non deve essere unito al dominio prima che si tenti di collegarlo all'account per il controller di dominio di sola lettura. Come parte dell'installazione l'Installazione guidata Servizi di dominio Active Directory rileva automaticamente l'eventuale corrispondenza del nome del server con il nome di qualsiasi account per il controller di dominio di sola lettura creato in precedenze per il dominio. Se viene individuato un nome account corrispondente, all'utente viene richiesto di utilizzare quell'account per completare l'installazione del controller di dominio di sola lettura.

Scenario per l'esecuzione di un'installazione gestita

Quando un'organizzazione utilizza l'installazione gestita può distribuire un controller di dominio a una succursale di un ufficio in maniera più efficiente di quanto sarebbe possibile con le versioni precedenti di Windows Server. Un membro del gruppo Domain Admins in una posizione centrale, ad esempio, può creare un account per il controller di dominio di sola lettura in Servizi di dominio Active Directory. Questa fase dell'installazione consente di completare tutte le attività di distribuzione che necessitano di credenziali Domain Admins, ad esempio la creazione dell'account computer per il controller di dominio, la specificazione del relativo sito e la creazione di un oggetto Impostazioni NTDS associato per il server.

Quando un membro del gruppo Domain Admins crea l'account per il controller di dominio di sola lettura può delegare a un altro utente o gruppo di sicurezza il diritto di completare l'installazione del controller nella succursale di un ufficio. L'attività di collegamento del server all'account per il controller di dominio di sola lettura esistente non deve essere eseguita da un membro del gruppo Domain Admins. Ogni amministratore delegato, o membro di gruppo delegato, specificato dal membro del gruppo Domain Admins durante la prima fase dell'installazione può eseguire questa attività.

L'organizzazione può ordinare e inviare il server direttamente alla succursale di ufficio in cui è possibile completare l'installazione del controller di dominio di sola lettura. In passato i controller di dominio per le succursali di ufficio dovevano essere spesso ordinati e spediti a una posizione centrale o a un sito di gestione temporanea da costruire prima di essere a loro volta spediti alla succursale d'ufficio in cui dovevano essere distribuiti. In alternativa veniva creato un supporto di installazione in una posizione centrale e quindi inviato alla succursale per il completamento dell'installazione del controller di dominio. L'installazione gestita di un controller di dominio di sola lettura consente di semplificare il processo di distribuzione del controller di dominio eliminando questi passaggi intermedi dell'installazione.

Come eseguire le installazioni gestite.

Prima di installare un controller di dominio di sola lettura, è necessario preparare la foresta tramite l'esecuzione di adprep /rodcprep. Per ulteriori informazioni sulla preparazione della foresta tramite l'esecuzione di adprep, vedere Scegliere una configurazione di distribuzione di Servizi di dominio Active Directory.

È possibile creare l'account per il controller di dominio di sola lettura mediante lo snap-in Utenti e computer di Active Directory. Nell'albero della console fare clic con il pulsante destro del mouse sul contenitore Controller di dominio oppure scegliere il contenitore Controller di dominio e fare clic su Azione e quindi su Creazione preliminare account controller di dominio di sola lettura.

È possibile inoltre creare un account per il controller di dominio di sola lettura eseguendo dcpromo alla riga di comando, tenendo però presente che il comando deve specificare anche il nome del dominio in cui si sta installando il controller di dominio di sola lettura. Alla riga di comando digitare il comando seguente e quindi premere INVIO:

dcpromo /CreateDCAccount /ReplicaDomainDNSName:NomeDominio

In cui NomeDominio è il nome del dominio in cui si intende installare il controller di dominio di sola lettura.

Dopo aver creato l'account per il controller di domino di sola lettura, esso viene visualizzato nel contenitore Controller di dominio come account per il controller di dominio non occupato finché un utente delegato non lo collega al server.

Dopo aver assegnato un indirizzo IP statico e configura le impostazioni client DNS per il server l'amministratore delegato può eseguire l'Installazione guidata Servizi di dominio Active Directory per collegare il server della succursale dell'ufficio all'account per il controller di dominio di sola lettura esistente. Per eseguire questa ultima operazione aprire un prompt dei comandi nel server che diventerà il controller di dominio, digitare il comando seguente e quindi premere INVIO.

dcpromo /UseExistingAccount:Attach

All'amministratore delegato viene notificata l'installazione dei file binari di Servizi di dominio Active Directory. Quindi L'installazione guidata Servizi di dominio Active Directory avvia automaticamente la seconda fase dell'installazione. L'amministratore delegato può aggiungere il parametro /adv al comando dcpromo oppure selezionare la casella di controllo Utilizza installazione in modalità avanzata nella pagina della procedura guidata Installazione guidata Servizi di dominio Active Directory per specificare le opzioni di installazione aggiuntive seguenti:

  • Se replicare i dati nella rete o da supporto

  • Quale controller di dominio utilizzare come partner di installazione

Nella pagina della procedura Credenziali di rete l'amministratore delegato deve immettere il nome di un dominio della foresta in cui viene installato il controller di dominio di sola lettura insieme alle credenziali alternative da utilizzare per l'installazione. Le credenziali alternative sono necessarie per collegare il server a un account per il controller di dominio esistente in quanto deve essere effettuato da un utente del dominio. L'amministratore delegato, tuttavia, aveva in origine effettuato l'accesso al server con un account Administrator locale poiché il server non era ancora unito al dominio. Egli, pertanto, deve ora specificare l'account utente dominio, oppure un account che sia membro del gruppo amministrativo delegato, al quale era stato delegato il diritto di installare e amministrare il controller di dominio di sola lettura quando il membro del gruppo Domain Admins aveva creato l'account per il controller di dominio di sola lettura.

Rimuovere Servizi di dominio Active Directory da un controller di dominio di sola lettura

Un amministratore delegato può rimuovere Servizi di dominio Active Directory dal controller di dominio di sola lettura eseguendo Dcpromo.exe. L'Installazione guidata Servizi di dominio Active Directory richiede informazioni, tra cui la password per il nuovo account Administrator locale necessario per rimuovere Servizi di dominio Active Directory e rendere il computer un server autonomo. Per rimuovere completamente Servizi di dominio Active Directory è necessario riavviare il server.

Rilevare i conflitti tra nome del computer e account

Dopo che l'amministratore delegato ha scelto il nome dell'account per il controller di dominio di sola lettura a cui collegare il server, l'Installazione guidata verifica che l'account non sia utilizzato attualmente da un controller di dominio attivo. Se la verifica ha esito positivo la procedura guidata tenta di collegare automaticamente il server all'account e completare l'installazione

Nel caso non venga rilevato un account computer con un nome corrispondente l'amministratore ha la possibilità di rinominare il server con un altro nome che non corrisponda a un account computer esistente oppure di effettuare altri passaggi per rimediare al conflitto del nome.

Se viene individuato un account per il controller di dominio corrispondente ma l'account è attivo, si tenta di contattare il controller di dominio per verificare che sia online. Si procede quindi come segue:

  • Se la procedura guidata è in grado di verificare che un altro controller di dominio con lo stesso nome è già online, viene bloccato il completamento dell'installazione di Servizi di dominio Active Directory. In questo caso è necessario rinominare il server in cui viene eseguita l'installazione del controller di dominio di sola lettura con il nome di un account che non sia già in uso.

  • Se la procedura guidata non è in grado di verificare la presenza online di un altro controller di dominio con lo stesso nome, l'amministratore delegato viene avvisato che in caso di continuazione dell'installazione il controller di dominio con lo stesso nome account potrebbe non funzionare correttamente, se infatti è online, nonostante il mancato contatto con la procedura guidata.

    Questa condizione può verificarsi nel caso di un precedente tentativo di collegamento del server all'account esistente che, tuttavia, è stato annullato prima del completamento dell'installazione. In questo caso lo stato dell'account per il controller di dominio di sola lettura può essere modificato da disattivato ad attivato prima del completamento dell'installazione. Se si verifica questa eventualità l'amministratore può scegliere OK per continuare dopo l'avviso.

Per ulteriori informazioni, vedere Selezionare un account per un controller di dominio di sola lettura.


Delegare l'installazione e l'amministrazione del controller di dominio di sola lettura

Durante la creazione di un account per l'installazione di un controller di dominio di sola lettura, è possibile specificare l'utente o il gruppo responsabile del successivo collegamento del server all'account del controller. Se non si specifica un utente o un gruppo, soltanto un membro del gruppo Domain Admins o del gruppo Enterprise Admins può collegare il server all'account. Se si specifica un utente o un gruppo in grado di collegare il server all'account, quell'utente o gruppo sarà anche responsabile dell'amministrazione del controller di dominio di sola lettura dopo aver completato l'installazione. A tal fine, è possibile specificare solo un utente o un gruppo.

Se si desidera che un amministratore delegato del controller di dominio di sola lettura possa memorizzare le password nella cache del controller di dominio di sola lettura, è necessario aggiungere l'account utente di tale amministratore all'elenco di entità di sicurezza autorizzate a memorizzare le password nella cache del controller di dominio di sola lettura, anche detto elenco di oggetti autorizzati, insieme all'account computer che verrà utilizzato dall'amministratore delegato. Se l'account computer corrispondente non viene aggiunto a tale elenco, il controller di dominio di sola lettura non sarà in grado di autenticare l'amministratore delegato quando la connessione a un controller di dominio scrivibile non è disponibile. Per ulteriori informazioni sull'elenco oggetti autorizzati e sull'impostazione dei criteri di replica password, vedere Impostare i criteri di replica password.

L'utente o il gruppo specificato in questa pagina nell'Installazione guidata Servizi di dominio Active Directory disporrà delle autorizzazioni amministrative nel controller di dominio di sola lettura. Praticamente, in questo modo l'utente o il gruppo dispone del controllo completo del server, inclusa la possibilità di connettersi localmente, installare software aggiuntivi, installare driver di dispositivo e così via. L'utente o il gruppo delegato sarà, inoltre, in grado di rimuovere i Servizi di dominio Active Directory dal controller di dominio di sola lettura.

Delegare, pertanto, l'installazione e l'amministrazione del controller di dominio di sola lettura solo agli utenti e gruppi che necessitano di disporre di tali diritti e autorizzazioni di accesso in modo che possano eseguire i processi. Assegnare, inoltre, le autorizzazioni a gruppi di sicurezza anziché a singoli utenti in modo da semplificare il processo di modifica delle autorizzazioni se necessario.

È possibile che si decida di creare un gruppo di sicurezza al fine specifico di amministrare il controller di dominio di sola lettura che si intende distribuire e, quindi, specificare il nome del gruppo in questa pagina dell'installazione guidata. Il gruppo verrà quindi visualizzato nel campo Nome della scheda Gestito da nella pagina delle proprietà del controller di dominio di sola lettura dello snap-in Utenti e computer di Active Directory, in cui è possibile modificarlo in qualsiasi momento dopo l'installazione.

Per effettuare ricerche nella directory di un utente o gruppo specifico, fare clic su Imposta, quindi immettere il nome dell'utente o del gruppo. È consigliabile delegare l'installazione e l'amministrazione di un controller di dominio di sola lettura a un gruppo.


Impostare i criteri di replica password

La pagina della procedura guidata Impostazione criteri di replica password viene visualizzata durante la creazione di un account per un controller di dominio di sola lettura solo se si seleziona la casella di controllo Utilizza installazione in modalità avanzata nella pagina Installazione guidata Servizi di domino Active Directory.

Come funziona Criteri di replica password

Criteri di replica password determina il modo in cui un controller di dominio di sola lettura memorizza le credenziali nella cache. Per memorizzazione delle credenziali nella cache si intende l'archiviazione delle credenziali di utenti o computer.

Quando gli utenti o i computer di un sito servito da un controller di dominio di sola lettura tentano di autenticare il dominio, per impostazione predefinita il controller di dominio di sola lettura non può convalidare le relative credenziali. Il controller di dominio di sola lettura inoltra quindi la richiesta di autenticazione a un controller di dominio scrivibile. Potrebbe esserci tuttavia un insieme di entità di sicurezza che necessitano dell'autenticazione in un sito servito da un controller di dominio di sola lettura, anche nel caso in cui non è disponibile la connettività a controller di dominio scrivibili.

Potrebbe ad esempio essere necessario autenticare un gruppo di utenti e computer in una succursale, anche nel caso in cui non è disponibile la connettività tra la succursale e i siti contenenti i controller di dominio scrivibili. Per risolvere questo problema, è possibile configurare Criteri di replica password per tale controller di dominio di sola lettura in modo da consentire la memorizzazione nella cache del controller di dominio di sola lettura delle password di tali utenti. Se le password degli account sono memorizzate nella cache del controller di dominio di sola lettura, il controller può autenticare tali account quando non è disponibile la connettività a controller di dominio scrivibili.

Criteri di replica password funge da elenco di controllo di accesso (ACL) e determina se consentire al controller di dominio di sola lettura di memorizzare nella cache le credenziali per un account. Quando il controller di dominio di sola lettura riceve una richiesta di accesso da parte di un utente o di un computer, tenta di replicare le credenziali per l'account da un controller di dominio scrivibile che esegue Windows Server 2008 o Windows Server 2008 R2. Il controller di dominio scrivibile fa riferimento a Criteri di replica password per determinare se le credenziali per l'account devono essere memorizzate nella cache. Se Criteri di replica password consente la memorizzazione nella cache dell'account, il controller di dominio scrivibile replica le credenziali per l'account nel controller di dominio di sola lettura e questo le memorizza nella cache. Per gli accessi successivi di tale account, il controller di dominio di sola lettura può autenticare l'account facendo riferimento alle credenziali memorizzate nella cache senza dover contattare il controller di dominio scrivibile.

Funzionamento di Criteri di replica password

Criteri di replica password è definito da due attributi multivalore di Active Directory che contengono entità di sicurezza (utenti, computer e gruppi). Ogni account computer del controller di dominio di sola lettura dispone di questi due attributi:

  • msDS-Reveal-OnDemandGroup, noto anche come elenco oggetti autorizzati

  • msDS-NeverRevealGroup, noto anche come elenco oggetti non autorizzati

Per semplificare la gestione di Criteri di replica password, per ogni controller di dominio di sola lettura sono presenti altri due attributi correlati a Criteri di replica password.

  • msDS-RevealedList, noto anche come elenco oggetti consentiti

  • msDS-AuthenticatedToAccountList, noto anche come elenco Auth2

L'attributo msDS-Reveal-OnDemandGroup specifica le entità di protezione le cui password possono essere memorizzate nella cache in un controller di dominio di sola lettura. Per impostazione predefinita, questo attributo ha un valore, ovvero Ogg. autorizzati a replica passw. in controller sola lettura. Poiché, per impostazione predefinita, questo gruppo locale di dominio non ha membri, per impostazione predefinita non è possibile memorizzare le password degli account nei controller di dominio di sola lettura.

In questa sezione viene illustrato l'utilizzo degli attributi elenco oggetti autorizzati, elenco oggetti non autorizzati, elenco oggetti consentiti ed elenco Auth2.

Quando un controller di dominio di sola lettura effettua una richiesta per replicare la password di un utente, il controller di dominio scrivibile di Windows Server 2008 contattato dal controller consente o rifiuta la richiesta. Per consentire o rifiutare la richiesta il controller di dominio scrivibile esamina i valori dell'elenco oggetti autorizzati e dell'elenco oggetti non autorizzati per il controller di dominio di sola lettura che presenta la richiesta.

Se l'account la cui password viene richiesta si trova nell'elenco oggetti autorizzati, anziché nell'elenco oggetti non autorizzati, la richiesta viene concessa.

Nell'illustrazione seguente viene indicato il procedimento di questa operazione.

Processo per l'applicazione di Criteri di replica password

L'elenco oggetti non autorizzati ha la precedenza sull'elenco oggetti autorizzati.

Si supponga, ad esempio, che un'organizzazione disponga di un gruppo di sicurezza per amministratori denominato Admins. L'organizzazione dispone di un sito denominato S1 e di un gruppo di sicurezza denominato Emp_S1 contenente i dipendenti del sito. Dispone inoltre di un altro sito denominato S2 e di un gruppo di sicurezza denominato Emp_S2 contenente i dipendenti del sito.

Il sito S2 contiene solo un controller di dominio di sola lettura. Giorgio è un amministratore che lavora nel sito S2. Egli, pertanto, appartiene sia al gruppo Emp_S2 che al gruppo Admins. Quando il controller di dominio di sola lettura del sito S2 è installato, i gruppi di sicurezza elencati nella tabella seguente vengono aggiunti a Criteri di replica password.

Gruppo di sicurezza | Impostazione Criteri di replica password
Admins | Negata
Emp_S2 | Consentita

Secondo il criterio specificato le credenziali che possono memorizzate nella cache del controller di dominio di sola lettura del sito S2 sono solo le credenziali dei membri del gruppo Emp_S2 che non appartengono ad Admins. I membri dei gruppi Emp_S1 e Admins non avranno mai le proprie credenziali memorizzate nella cache del controller di dominio di sola lettura. I membri del gruppo Emp_S2 possono avere le proprie credenziali memorizzate nella cache. Le credenziali di Giorgio non verranno mai memorizzate nella cache del controller di dominio di sola lettura.

Impostazioni predefinite di Criteri di replica password

Ogni controller di dominio di sola lettura dispone di un oggetto Criteri di replica password che definisce gli account per cui è consentita la replica delle password nel controller di dominio di sola lettura e gli account per cui la replica della password in tale controller è negata esplicitamente. Il criterio predefinito specifica i gruppi e le impostazioni della tabella seguente.

Nome del gruppo | Impostazione Criteri di replica password
Administrators | Nega
Server Operators | Nega
Backup Operators | Nega
Account Operators | Nega
Gruppo oggetti non autorizzati alla replica delle password nei controller di dominio di sola lettura | Nega
Gruppo oggetti autorizzati alla replica delle password nei controller di dominio di sola lettura | Consenti

Per impostazione predefinita il Gruppo oggetti non autorizzati alla replica delle password nei controller di dominio di sola lettura contiene i membri dell'account di dominio seguenti:

  • Cert Publishers

  • Domain Admins

  • Enterprise Admins

  • Controller di dominio organizzazione

  • Controller di dominio di sola lettura organizzazione

  • Proprietari autori criteri di gruppo

  • krbtgt

  • Schema Admins

Per impostazione predefinita il Gruppo oggetti autorizzati alla replica delle password nei controller di dominio di sola lettura non contiene membri.

L'impostazione predefinita di Criteri di replica password consente di migliorare la sicurezza di un'installazione di un controller di dominio di sola lettura garantendo che nessuna password dell'account venga memorizzata per impostazione predefinita e che agli account con esigenze particolari a livello di sicurezza, ad esempio i membri del gruppo Domain Admins, venga negata esplicitamente l'archiviazione della propria password nel controller di dominio di sola lettura.

Modificare l'impostazione predefinita di Criteri di replica password

È possibile modificare l'impostazione predefinita di Criteri di replica password durante o dopo la creazione di un account per il controller di dominio di sola lettura. Per modificare l'impostazione predefinita di Criteri di replica password dopo la creazione dell'account per il controller di dominio di sola lettura, fare clic con il pulsante destro del mouse sull'account nell'unità organizzativa Controller di dominio dello snap-in Utenti e computer di Active Directory, scegliere Proprietà quindi fare clic sulla scheda Criteri replica password. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

Per aggiungere account all'impostazione predefinita di Criteri di replica password durante la creazione dell'account per il controller di dominio di sola lettura, fare clic su Aggiungi nella pagina della procedura guidata Impostazione criteri di replica password e quindi specificare se consentire o negare l'archiviazione delle password nel controller di dominio di sola lettura. Utilizzare quindi la finestra di dialogo di selezione di utenti, computer o gruppi per selezionare gli account da aggiungere.

E' necessario includere gli account utente, computer e del servizio appropriati in Criteri di replica password per consentire al controller di dominio di sola lettura di soddisfare localmente le richieste di autenticazione di ticket di servizio. Se non si includono nell'elenco oggetti autorizzati gli account computer che gli utenti delle succursali utilizzeranno per accedere alla rete, il controller di dominio di sola lettura non sarà in grado di soddisfare localmente le richieste di ticket di servizio e ricorrerà quindi all'accesso a un controller di dominio scrivibile per soddisfare tali richieste. Se la rete WAN (Wide Area Network) non è online potrebbe verificarsi un'interruzione del servizio.

L'impostazione Nega ha la precedenza sull'impostazione Consenti. Se entrambe le impostazioni vengono specificate per un determinato utente, direttamente o indirettamente in quanto l'utente è membro di un gruppo di sicurezza specifico (o nidificato con un gruppo di sicurezza specifico), non è possibile memorizzare la password dell'utente nel controller di dominio di sola lettura. È importante notare, tuttavia, che un utente la cui password non può essere memorizzata nel controller di dominio di sola lettura può ancora utilizzare tale controller per l'accesso se la connessione WAN a un controller di dominio scrivibile è disponibile. La password per l'utente non è replicata nel controller di dominio di sola lettura, ma è possibile autenticare l'accesso tramite il controller di dominio scrivibile nella rete WAN.

Nella tabella seguente vengono descritti i vantaggi e gli svantaggi dei tre esempi di configurazione per Criteri di replica password.

Esempio | Vantaggi | Svantaggi
Nessun account memorizzato nella cache (predefinito). | Maggior livello di sicurezza in quanto gli utenti vengono autenticati da un controller di dominio scrivibile e ottengono i relativi Criteri di gruppo dal controller di dominio di sola lettura, per consentire una rapida elaborazione dei criteri. | Nessun accesso offline consentito. Per l'accesso è necessaria una rete WAN.
Memorizzazione nella cache della maggior parte degli account. | Semplicità di gestione delle password. Questa opzione è rivolta alle organizzazioni per le quali la maggior semplicità di gestione offerta dal controller di dominio di sola lettura è più importante della sicurezza. | Esposizione potenziale di un numero maggiore di password a un controller di dominio di sola lettura.
Memorizzazione nella cache di pochi account. | Possibilità di accesso offline per gli utenti che lo necessitano, ma maggiore sicurezza rispetto alla memorizzazione nella cache della maggior parte degli account. | Necessità di un'amministrazione più dettagliata. Potrebbe essere necessario eseguire il mapping di utenti e computer a ogni succursale che dispone di un controller di dominio di sola lettura. Potrebbe inoltre essere necessario utilizzare strumenti, ad esempio repadmin /prp, per spostare gli account autenticati in un controller di dominio di sola lettura in un gruppo nell'elenco oggetti autorizzati oppure potrebbe essere necessario utilizzare Identity Lifecycle Manager per automatizzare il processo.

Nella sezione seguente viene spiegato nel dettaglio ogni esempio.

Nessun account memorizzato nella cache

In questo esempio viene descritta la configurazione più sicura. Non viene eseguita la replica di alcuna password nel controller di dominio di sola lettura, ad eccezione dell'account computer del controller di dominio di sola lettura e del relativo account krbtgt speciale. L'autenticazione di utenti e computer, tuttavia, si basa sulla disponibilità della connessione WAN. Il vantaggio di questo esempio consiste nel fatto che sono richieste poche configurazioni amministrative aggiuntive, o nessuna, rispetto alle impostazioni predefinite.

Si potrebbe scegliere di aggiungere gruppi personalizzati per gli utenti con esigenze particolari a livello di sicurezza nell'elenco oggetti non autorizzati. Sebbene per impostazione predefinita non vengano memorizzati account nella cache, l'aggiunta di gruppi personalizzati per gli utenti con esigenze particolari a livello di sicurezza nell'elenco oggetti non autorizzati può garantire la protezione di questi gruppi dall'inclusione accidentale nell'elenco oggetti autorizzati, con la conseguente memorizzazione delle relative password nella cache del controller di dominio di sola lettura.

Si noti che l'account dell'amministratore delegato del controller di dominio non viene aggiunto automaticamente all'elenco oggetti autorizzati. È consigliabile aggiungerlo a tale elenco per garantire che un amministratore delegato possa sempre accedere al controller di dominio di sola lettura, indipendentemente dalla disponibilità di una connessione WAN a un controller di dominio scrivibile.

Memorizzazione nella cache della maggior parte degli account

Questo esempio rappresenta la modalità amministrativa più semplice e consente di eliminare la dipendenza dalla disponibilità della connessione WAN per l'autenticazione di utenti e computer. In questo esempio l'elenco oggetti autorizzati viene popolato per tutti i controller di dominio di sola lettura con gruppi che rappresentano una parte significativa della popolazione di utenti e computer. L'elenco oggetti non autorizzati non consente la memorizzazione nella cache delle password per gruppi di utenti con esigenze particolari a livello di sicurezza, ad esempio il gruppo Domain Admins. Per la maggior parte degli altri utenti è tuttavia consentita la memorizzazione della propria password nella cache su richiesta. Si potrebbe scegliere di aggiungere gruppi personalizzati per gli utenti con esigenze particolari a livello di sicurezza nell'elenco oggetti non autorizzati.

Questa configurazione è la più appropriata in ambienti in cui la sicurezza fisica del controller di dominio di sola lettura non rappresenta un rischio. È ad esempio possibile configurare Criteri di replica password in questo modo per un controller di dominio di sola lettura distribuito in una posizione sicura, allo scopo di sfruttare i vantaggi offerti dai requisiti inferiori in termini di replica e amministrazione.

Importante

È inoltre necessario aggiungere gli account computer degli utenti all'elenco oggetti autorizzati in modo che tali utenti possano accedere dalla succursale quando la rete WAN è offline.

Memorizzazione nella cache di pochi account

In questo esempio viene limitato il numero di account che possono essere memorizzati nella cache. In genere, questa impostazione viene definita in modo distinto per ogni controller di dominio di sola lettura, in quanto ogni controller dispone di un insieme di account utente e computer diverso autorizzato alla memorizzazione nella cache. Questo esempio viene in genere utilizzato per un insieme di utenti che lavorano in una determinata posizione fisica.

Il vantaggio di questo esempio consiste nel fatto che un insieme di utenti può accedere alla rete ed essere autenticato dal controller di dominio di sola lettura nella succursale se la rete WAN è offline. L'ambito di esposizione delle password, contemporaneamente, viene limitato dal numero ridotto di utenti le cui password possono essere memorizzate nella cache.

Il popolamento dell'elenco oggetti autorizzati e dell'elenco oggetti non autorizzati in questo esempio comporta un carico amministrativo. Non è disponibile un metodo automatico predefinito per la lettura degli account dall'elenco noto di entità di sicurezza autenticate in un controller di dominio di sola lettura specifico e non è disponibile un metodo predefinito per il popolamento dell'elenco oggetti autorizzati con tali account. È possibile utilizzare il comando repadmin /prp move per spostare questi account in un gruppo nell'elenco oggetti autorizzati oppure è possibile utilizzare script o applicazioni come Identity Lifecycle Manager per creare un processo.

Sebbene sia possibile aggiungere account utente o computer direttamente all'elenco oggetti autorizzati, è comunque consigliabile creare un gruppo di sicurezza per ogni controller di dominio di sola lettura, aggiungerlo all'elenco oggetti autorizzati e quindi aggiungere gli account utente e computer al gruppo di sicurezza. In questo modo, è possibile utilizzare strumenti di gestione dei gruppi standard, ad esempio lo snap-in Utenti e computer di Active Directory, oppure gli strumenti da riga di comando Dsadd o Dsmod per gestire gli account che possono essere memorizzati nella cache del controller di dominio di sola lettura.

Il comando repadmin /prp move richiede che venga specificato un gruppo di sicurezza. Se il gruppo di sicurezza specificato non esiste, viene creato e aggiunto all'elenco oggetti autorizzati.

Come nel caso dell'esempio precedente, è anche necessario aggiungere all'elenco oggetti autorizzati gli account computer appropriati.


Selezionare un account per un controller di dominio di sola lettura

Per collegare il server al controller di dominio di sola lettura è necessario rinominare il server che diventerà controller di dominio di sola lettura con il nome dell'account per il controller di dominio di sola lettura creato dall'amministratore di dominio. L'Installazione guidata Servizi di dominio Active Directory crea la corrispondenza tra il nome del server e il nome dell'account per il controller di dominio di sola lettura creato per il server.

Nota

Il server cui si intende collegare l'account non deve essere unito al dominio durante l'avvio dell'Installazione guidata Servizi di dominio Active Directory.

Nella pagina Selezione account controller di dominio, della procedura guidata vengono elencati tutti i potenziali account corrispondenti per ogni dominio della foresta specificato nella pagina precedente Credenziali di rete. Non è possibile selezionare account da altre foreste.

Viene visualizzato un messaggio in cui si conferma l'individuazione di un unico account per il controller di dominio di sola lettura con lo stesso nome. In caso di rilevamento di più nomi di account che potrebbero corrispondere è possibile selezionare un account da quelli possibili elencati nella procedura guidata. È possibile selezionare solo un account.

Se non viene individuato un account per il controller di dominio di sola lettura specificato viene visualizzato un messaggio indicante che il nome assegnato deve corrispondere al nome dell'account creato in precedenza. In questo caso è possibile:

  • Rinominare il computer con un nome corrispondente a un account per il controller di dominio di sola lettura creato.

    Oppure

  • Fare in modo che un amministratore di dominio crei un nuovo account e specificare un nome di account che corrisponda al nome che si intende assegnare al server che diventerà il controller di dominio di sola lettura nella succursale di un ufficio.

La procedura guidata non prosegue finché non viene selezionato esattamente un unico account corrispondente. Dopo aver selezionato un account corrispondente vengono eseguite prove di verifica aggiuntive.

Innanzitutto viene verificato che si disponga di autorizzazioni per collegare il server all'account selezionato. Il membro del gruppo Domain Admins concede questa autorizzazione a un utente o gruppo delegato quando viene creato l'account per il controller di dominio di sola lettura. Solo gli utenti seguenti possono unire il computer all'account selezionato:

  • L'utente delegato

  • Un membro del gruppo delegato

  • Un membro del gruppo Domain Admins

  • Un membro del gruppo Enterprise Admins

Dopo la verifica delle credenziali utente la procedura guidata determina se l'account è abilitato, vale a dire se l'account è già in uso. Se l'account non è abilitato si continua con l'installazione del controller di dominio di sola lettura. Se l'account è abilitato si tenta di contattare il computer in cui questo account è già abilitato.

In questo caso viene fornito il nome di un controller di dominio già funzionante in rete. Viene visualizzato, quindi, un messaggio indicante che non è possibile continuare l'installazione. È necessario, anzi, rinominare il computer per creare la corrispondenza del nome di un account per il controller di dominio di sola lettura non ancora in uso.

Se l'Installazione guidata Servizi di dominio Active Directory non riesce a contattare un computer in cui è attivato questo account, viene visualizzato un messaggio che indica che se si continua l'installazione di Servizi di dominio Active Directory ed è presente l'altro server con lo stesso nome, l'altro server non funzionerà più correttamente. In questo caso è possibile effettuare ulteriori prove diagnostiche di rete per determinare se il computer che dispone dell'account abilitato funziona attualmente in rete. È possibile effettuare queste prove diagnostiche aggiuntive, ad esempio tramite il comando ping, indipendentemente dalla procedura guidata. Dopo aver risolto il problema è possibile completare l'installazione.

Quando viene creato l'account per il controller di dominio di sola lettura viene generato automaticamente un nome NetBIOS in base al nome DNS assegnato. Per utilizzare un nome NetBIOS diverso utilizzare lo snap-in ADSI Edit per modificare il nome NetBIOS dopo aver creato l'account per il controller di dominio di sola lettura.


Rimuovere Servizi di dominio Active Directory

Quando si esegue Dcpromo.exe su un controller di dominio l'Installazione guidata Servizi di dominio Active Directory rileva che Servizi di dominio Active Directory è già installato nel server. La procedura guidata quindi si avvia e richiede le informazioni necessarie per la disinstallazione di Servizi di dominio Active Directory sul server.

È possibile avviare l'Installazione guidata Servizi di dominio Active Directory su un controller di dominio nei seguenti modi:

  • Nel controller di dominio fare clic su Start, su Esegui, digitare dcpromo e quindi fare clic su OK. In alternativa è possibile digitare dcpromo al prompt dei comandi e quindi premere INVIO.

  • Fare clic su Start, su Server Manager e quindi in Riepilogo ruoli fare clic su Rimuovi ruoli. Server Manager è inoltre disponibile nel menu Strumenti di amministrazione oppure tramite un'icona nell'area di notifica.

Quando Installazione guidata Servizi di domino Active Directory rimuove Servizi di dominio Active Directory indica se il controller di dominio è un server di catalogo globale in modo da assicurarsi della disponibilità di altri server di catalogo globale per gestire, se necessario, le richieste di accesso utente.

Quando si elimina l'ultimo controller di dominio in un dominio si elimina lo stesso dominio. Assicurarsi che gi account utente e gli account computer del domini non siano più necessari. Prima di rimuovere l'ultimo controller di dominio è necessario eliminare tutti gli account dei controller di dominio di sola lettura non occupati o disabilitati che restano nel dominio. Inoltre, prima di utilizzare la procedura guidata per eliminare il dominio esportare tutte le chiavi di crittografia memorizzate nel server.

Verificare l'elenco delle partizioni di directory applicative di cui il controller di dominio contiene l'ultima replica. Fare in modo che la procedura guidata rimuova le partizioni di directory applicative DNS create durante l'installazione di Servizi di dominio Active Directory. Per rimuovere tutte le altre partizioni di directory applicative utilizzare un'utilità fornita dall'applicazione. Per ulteriori informazioni, vedere Rimuovere le partizioni di directory applicative.

Se si sta eliminando un dominio figlio che utilizza DNS integrato in Active Directory, nella procedura guidata viene elencata la partizione di directory applicativa DNS per quel dominio. Il nome distinto di questa applicazione viene visualizzato nell'elenco come DC=DomainDNSZones,DC=nome_dominio.

Se si sta eliminando il dominio radice della foresta nella procedura guidata viene elencata la partizione di directory applicativa della foresta oltre alla partizione di directory applicativa DNS di quel dominio. Il nome distinto di questa partizione per la zona DNS a livello di foresta viene visualizzato nell'elenco come DC=ForestDNSZones,DC=nome_dominio.

È possibile inoltre rimuovere i file binari di Servizi di dominio Active Directory associati al ruolo server Servizi di dominio Active Directory. E necessario rimuovere questo ruolo server prima di rimuovere i file binari. Il processo di rimozione dei file binari di Servizi di dominio Active Directory è riportato di seguito:

  1. Rimuovere il ruolo server Servizi di dominio Active Directory. Questo passaggio non consente di rimuovere i file binari di Servizi di dominio Active Directory associati al ruolo server Servizi di dominio Active Directory.

  2. Riavviare il server.

  3. Rimuovere i file binari del ruolo server Servizi di dominio Active Directory. Questo passaggio potrebbe richiedere un altro riavvio del server.

Di seguito sono riportati i metodi consigliati per la rimozione dei file binari di Servizi di dominio Active Directory:

  • Utilizzare Rimozione guidata ruoli in Server Manager.

  • Utilizzare Dcpromo.exe. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    dcpromo /UninstallBinaries

Nei seguenti argomenti vengono fornite ulteriori informazioni su pagine specifiche della procedura guidata che possono essere visualizzate durante la rimozione di Servizi di dominio Active Directory:

  • Credenziali di rete per l'installazione o la rimozione di Servizi di dominio Active Directory

  • Rimuovere le partizioni di directory applicative

  • Pulire i metadati


Rimuovere le partizioni di directory applicative

Una partizione di directory applicativa è una partizione di directory replicata solo in controller di dominio specifici. Queste partizioni vengono create di solito dalle applicazioni che le utilizzano per memorizzare e replicare dati. Un controller di dominio che partecipa alla replica di una partizione di directory applicativa particolare ospita una replica di quella partizione.

Le partizioni di directory applicative DNS, ad esempio, vengono create per impostazione predefinita in controller di dominio che eseguono Windows Server 2008 R2, se ospitano anche zone DNS integrate in Active Directory. Le partizioni di directory applicative DNS seguenti vengono create in questi controller di dominio:

  • DomainDNSZones: questa partizione di directory applicativa include dati DNS replicati in tutti i controller di dominio del dominio.

  • ForestDNSZones: questa partizione di directory applicativa include dati DNS replicati in tutti i controller di dominio della foresta.

L'Installazione guidata Servizi di dominio Active Directory consente di rimuovere queste applicazioni di directory applicative DNS durante la rimozione di Servizi di dominio Active Directory dall'ultimo controller di dominio che ospita le partizioni.

Se si sta rimuovendo l'ultimo controller di dominio del dominio, nella procedura guidata viene elencato il nome distinto della partizione di directory applicativa DomainDNSZones. Se si sta rimuovendo l'ultimo controller di dominio della foresta, nella procedura guidata viene elencato il nome distinto della partizione di directory applicativa ForestDNSZones. È possibile fare clic su Avanti per fare in modo che la procedura guidata rimuova queste partizioni di directory applicative DNS.

Prima di eliminare l'ultima replica di una partizione di directory applicativa identificare le applicazioni che utilizzano la partizione, determinare se è sicuro eliminare l'ultima replica, identificare lo strumento di eliminazione della partizione fornito dall'applicazione e quindi rimuovere la partizione tramite questo strumento oppure lo strumento da riga di comando Ntdsutil se non è disponibile alcuno strumento.

Identificare le applicazioni che utilizzano la partizione di directory applicativa

Per determinare le partizioni di directory applicative ospitate in un computer, fare riferimento all'elenco della pagina Partizioni di directory applicative nell'Installazione guidata Servizi di dominio Active Directory. Se nell'elenco non sono presenti informazioni sufficienti per identificare le applicazioni che utilizzano una partizione di directory applicativa particolare di sarà in grado di identificarle in uno dei modi seguenti:

  • Consultare un membro del gruppo Enterprise Admins.

  • Consultare i record di controllo delle modifiche di rete mantenuti dall'organizzazione.

  • Utilizzare Ldp.exe o lo snap-in ADSI Edit per visualizzare i dati contenuti nella partizione.

Determinare se è sicuro eliminare l'ultima replica

La rimozione dell'ultima replica di una partizione di directory applicativa causa la perdita permanente dei dati contenuti nella partizione. Se sono state identificate le applicazioni che utilizzano la partizione di directory applicativa, consultare la documentazione fornita con le applicazioni per determinare se sia opportuno mantenere dei dati. Se le applicazioni che utilizzano la partizione di directory applicativa sono disattivate è probabilmente possibile rimuovere la partizione.

Se non è possibile eliminare l'ultima replica o determinare se sia possibile ed è necessario abbassare il livello del controller di dominio che contiene l'ultima replica di una partizione di directory applicativa particolare, eseguire la procedura seguente:

  1. Aggiungere una replica della partizione in un altro controller di dominio.

  2. Attendere la replica del contenuto della partizione nel controller di dominio che contiene la nuova replica.

  3. Rimuovere la replica della partizione nel controller di dominio di cui abbassare il livello tramite il sottocomando di gestione delle partizioni di Ntdsutil.exe. Per ulteriori informazioni, vedere l'argomento relativo alla gestione delle partizioni Ntdsutil nella Guida comandi all'indirizzo http://go.microsoft.com/fwlink/?LinkId=94210.

Identificare lo strumento di eliminazione delle partizioni fornito dall'applicazione

La maggior parte delle applicazioni che creano partizioni di directory applicative offrono uno strumento per la rimozione delle partizioni. Quando possibile eliminare sempre una partizione di directory applicativa tramite lo strumento fornito dall'applicazione. Per eliminare, ad esempio, una partizione API di telefonia (TAPI) utilizzare lo strumento da riga di comando Tapicfg.exe. Per informazioni sulla rimozione di partizioni di directory applicative create e utilizzate dall'applicazione fare riferimento alla documentazione dell'applicazione.

Se non si è in grado di identificare l'applicazione che ha creato la partizione di directory applicativa oppure se l'applicazione non offre uno strumento per eliminare l'applicazione che ha creato la partizione, è possibile utilizzare lo strumento da riga di comando Ntdsutil. Per rimuovere la partizione di directory applicativa utilizzare il sottocomando di gestione delle partizioni di ntdsutil.

Attenzione

Se possibile, utilizzare lo strumento dell'applicazione per la gestione delle relative partizioni di directory applicative. L'applicazione può mantenere altri dati oltre ai dati gestiti da Active Directory per le partizioni di directory applicative. Se per gestire la partizione di directory applicativa si utilizza Ntdsutil i due insiemi di dati potrebbero causare un conflitto.


Pulire i metadati

L'Installazione guidata Servizi di dominio Active Directory consente la rimozione automatica dalla foresta di metadati associati durante la rimozione di Servizi di dominio Active Directory da un controller di dominio. Determinate condizioni, tuttavia, ad esempio la mancanza di connettività di rete, possono impedire la rimozione di Servizi di dominio Active Directory. Se se ne forza la rimozione in quanto la procedura guidata non è in grado di eseguire il controller di dominio, è necessario eliminare l'oggetto controller di dominio. Se si esegue l'eliminazione in un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2, i metadati associati al controller di dominio eliminato vengono puliti automaticamente. In questo modo, non è necessario eseguire la pulizia dei metadati, come richiesto per i controller di dominio che eseguono Windows 2000 Server o Windows Server 2003.

Per eliminare l'oggetto controller di dominio, aprire lo snap-in Utenti e computer di Active Directory o Siti e servizi di Active Directory, passare all'oggetto controller di dominio che si desidera eliminare, fare clic con il pulsante destro del mouse su di esso e quindi scegliere Elimina.

Per ulteriori informazioni, vedere la Guida dettagliata all'installazione e alla rimozione di Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkID=139657).


Codici restituiti di installazione automatica

Dopo il completamento dell'installazione automatica di Servizi di dominio Active Directory, Dcpromo restituisce uno dei codici seguenti per indicare lo stato dell'operazione. I numeri non utilizzati vengono riservati per un utilizzo futuro.

  • 1-10 = codici restituiti riusciti

  • 11-100 = codici restituiti non riusciti

Per ulteriori informazioni, vedere la Guida dettagliata all'installazione e alla rimozione di Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkID=139657).

Codici restituiti riusciti

I codici contenuti nella tabella seguente indicano il corretto completamento di un'operazione di installazione o di rimozione di Servizi di dominio Active Directory.

Valore | Case | Descrizione
1 | ExitSuccess | Operazione riuscita.
2 | ExitSuccessNeedReboot | L'operazione è riuscita ed è necessario riavviare il server manualmente.
3 | ExitSuccessWithNonCriticalFailure | L'operazione è riuscita ma si è verificato un errore, ad esempio un errore nella configurazione dell'installazione o della delega di DNS. Controllare i file di registro di Dcpromoui per ottenere maggiori informazioni.
4 | ExitSuccessWithNonCriticalFailureNeedReboot | L'operazione è riuscita ma si è verificato un errore, ad esempio un errore nella configurazione dell'installazione o della delega di DNS ed è necessario riavviare il server manualmente. Controllare i file di registro di Dcpromoui per ottenere maggiori informazioni.

Codici restituiti non riusciti

I codici contenuti nella tabella seguente indicano il completamento non riuscito di un'operazione di installazione o di rimozione di Servizi di dominio Active Directory.

Valore | Case | Descrizione
11 | ExitAlreadyRunning | Dcpromo già in esecuzione.
12 | ExitMustBeAdministrator | L'utente deve essere un amministratore locale nel computer.
13 | ExitCertSvcInstalled | Servizi certificati Active Directory installato.
14 | ExitInSafeBootMode | Server in esecuzione in modalità provvisoria.
15 | ExitRoleChangePending | Modifica di ruolo in corso o è necessario riavviare il server.
16 | ExitIncorrectPlatform | Server in esecuzione sulla piattaforma non corretta.
17 | ExitNeedNTFS5Drive | Nessuna unità formattata per NTFS 5.
18 | ExitInsufficientWinDirSpace | %windir% non dispone di spazio sufficiente.
19 | ExitNameChangeNeedsReboot | Modifica di nome in sospeso ed è necessario riavviare il computer.
20 | ExitBadComputerName | Il nome del computer utilizza una sintassi non valida.
21 | ExitHoldsFSMOs | Questo controller di dominio contiene un ruolo di master operazioni (noto anche come FSMO, Flexible Single Master Operation), è un server di catalogo globale o un server DNS.
22 | ExitNeedToInstallTcpIp | TCP/IP deve essere installato o non è funzionante.
23 | ExitNeedToConfigDnsFirst | È necessario prima configurare il client DNS.
24 | ExitBadCredentials | Credenziali fornite non valide o mancanti degli elementi richiesti.
25 | ExitDcNotFound | Impossibile individuare un controller di dominio per il dominio specificato.
26 | ExitUnableReadDomainList | Impossibile leggere l'elenco dei domini dalla foresta.
27 | ExitMustSpecifyDomain | Nome di dominio mancante (padre, figlio, albero o foresta).
28 | ExitBadDomainName | Nome di dominio non valido.
29 | ExitParentDomainNotExists | Nome di dominio inesistente.
30 | ExitDomainNotInForest | Nome di dominio specificato non rilevato nella foresta.
31 | ExitChildDomainExists | Dominio figlio già esistente.
32 | ExitBadNetbiosDomainName | Nome NetBIOS non valido.
33 | ExitBadIFMPath | Percorso di installazione da IFM non valido.
34 | ExitBadIFMDatabase | Database IFM non valido.
35 | ExitNoSyskeyForIFM | Chiave di sistema necessaria per il database IFM.
37 | ExitBadDBPath | Percorso di database o percorso del registro di database non valido.
38 | ExitInsuffSpaceForDB | Il volume non dispone di spazio sufficiente per il database o per il registro di database.
39 | ExitBadSysVolPath | Percorso SYSVOL non valido.
40 | ExitBadSiteName | Nome di sito non valido.
41 | ExitMustSpecifySafeModePwd | È necessario specificare una password per la modalità provvisoria.
42 | ExitBadSafeModePwd | La password per la modalità provvisoria non soddisfa i criteri di complessità della password.
43 | ExitBadAdminPwd | La password di amministratore non soddisfa i criteri.
44 | ExitBadForestName | Il nome di foresta specificato non è valido.
45 | ExitForestExists | Esiste già una foresta con il nome specificato.
46 | ExitBadTreeName | Il nome specificato per l'albero non è valido.
47 | ExitTreeExists | Esiste già un albero con il nome specificato.
48 | ExitTreeNotFitInForest | Il nome dell'albero non è appropriato per la struttura della foresta.
49 | ExitDomainNotExists | Il dominio specificato non esiste.
50 | ExitLastDcMismatch | Non è l'ultimo controller di dominio sebbene sia stato indicato come tale oppure è l'ultimo controller di dominio sebbene non sia stato indicato come tale.
51 | ExitUnconfirmedAppPartitions | Su questo controller di dominio sono presenti le partizioni applicative non approvate per la rimozione.
52 | ExitRequiredParameterMissing | File di risposte o parametri per l'installazione automatica dalla riga di comando non specificati.
53 | ExitPromoDemotFailedNeedReboot | Installazione o rimozione non riuscita. È necessario riavviare il server.
54 | ExitPromoDemotFailed | Installazione o rimozione non riuscita.
55 | ExitPromoDemoteFailedBecauseUserCancelled | L'installazione o la rimozione non è stata completata perché è stata annullata dall'utente.
56 | ExitPromoDemotFailedBecauseUserCancelledNeedReboot | L'installazione o la rimozione non è stata completata perché è stata annullata dall'utente. Il computer deve essere riavviato per tornare allo stato precedente.
57 | ExitDomainReadOnlyReplicaGroupNotSpecified | L'operatore non è riuscito a specificare uno dei gruppi (Allowed/Denied) dei controller di dominio di sola lettura richiesti.
58 | ExitDomainReadOnlyReplicaSiteNotSpecified | L'operatore non è riuscito a specificare il nome di sito per un controller di dominio di sola lettura.
59 | ExitLastDnsServer | Il controller di dominio è l'ultimo server DNS per una delle zone integrate in Active Directory.
61 | ExitInstallDNSNotAllowed | Impossibile installare Servizi di dominio Active Directory in un dominio esistente che non ospita già DNS.
62 | ExitAnswerFileMissingSectionName | Il file di risposte non dispone di una sezione [DCInstall].
63 | ExitInsufficientForestFunctionalLevelForRodc | Il livello di funzionalità della foresta è minore di Windows Server 2003. Per aggiungere un controller di dominio di sola lettura alla foresta, deve essere Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2.
64 | ExitPromoFailedBecauseComponentBinaryDetectionFailed | Impossibile effettuare l'installazione. Non è possibile determinare l'installazione dei file binari Servizi di dominio Active Directory nel server.
65 | ExitPromoFailedBecauseComponentBinaryInstallationFailed | Impossibile effettuare l'installazione. Non è possibile installare i file binari di Servizi di dominio Active Directory.
66 | ExitPromoFailedBecauseOSDetectionFailed | Impossibile effettuare l'installazione. Non è possibile determinare l'opzione di installazione del sistema operativo (installazione completa o installazione dei componenti di base del server).
68 | ExitInvalidReplicationPartner | Il partner di replica non è valido.
69 | ExitRequiredPortInUse | La porta richiesta è già utilizzata da qualche altra applicazione.
70 | ExitForestRootDcMustBeGc | Il primo controller di dominio della radice della foresta deve essere un server di catalogo globale.
71 | ExitDnsAlreadyInstalled | Il servizio Server DNS è già installato.
72 | ExitIsAppServer | Impossibile effettuare l'installazione. Il server è un server applicazioni di Servizi Desktop remoto.
73 | ExitInvalidForestFunctionalLevel | Il livello di funzionalità della foresta specificato non è valido.
74 | ExitInvalidDomainFunctionalLevel | Il livello di funzionalità del dominio specificato non è valido.
75 | ExitDefaultPasswordReplicationPolicyCannotBeDetermined | Impossibile determinare i criteri di replica password predefiniti.
76 | ExitInvalidPasswordReplicationPolicy | I gruppi di sicurezza Allowed e Denied per i criteri di replica password non sono validi.
77 | ExitInvalidArgument | L'argomento specificato non è valido.
78 | ExitForestCheckFailed | Impossibile effettuare l'installazione. Non è possibile esaminare la foresta Active Directory.
79 | ExitRodcNDNCNotPrepped | Impossibile effettuare l'installazione di un controller di dominio di sola lettura perché non è stato eseguito adprep /rodcprep.
80 | ExitDomainNotPrepped | Impossibile completare l'installazione perché non è stato eseguito adprep /domainprep.
81 | ExitForestNotPrepped | Impossibile completare l'installazione perché non è stato eseguito adprep /forestprep.
82 | ExitForestSchemaMismatch | Impossibile effettuare l'installazione. Mancata corrispondenza dello schema di foresta.
83 | ExitUnsupportedSku | Impossibile effettuare l'installazione. L'edizione del sistema operativo non supporta Servizi di dominio Active Directory.
84 | ExitDcAccountDetectionFailed | Impossibile rilevare un account per il controller di dominio.
85 | ExitDcAccountSelectionFailed | Impossibile selezionare un account per il controller di dominio a cui può essere collegato questo server.
86 | ExitStage2Required | È necessario collegare questo server a un account esistente.
87 | ExitDcAccountConflictingType | Nel dominio esiste un account del controller di dominio scrivibile o di sola lettura, ma non corrisponde al tipo di controller di dominio che si desidera installare. Impossibile continuare l'installazione.
88 | ExitServerAdminInvalid | L'amministratore di server del controller di dominio di sola lettura specificato non è valido.
89 | ExitRidMasterOffline | Il master RID per il dominio specificato è offline.
90 | ExitDNMasterOffline | Il master per la denominazione dei domini è offline.
91 | ExitWow64ProcessDetectionFailed | Impossibile rilevare se il processo è Wow64.
92 | ExitWow64ProcessNotSupported | Il processo Wow64 non è supportato.
93 | ExitDcServiceNotRunningForRegularDemotion | Impossibile rimuovere Servizi di dominio Active Directory. Il servizio non è in esecuzione.
94 | ExitBadLocalAdminPwd | La password dell'amministratore non soddisfa i requisiti di complessità. Potrebbe essere vuota o non richiesta.
95 | ExitCannotDemoteLastLHDC | Impossibile abbassare il livello dell'ultimo controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 in un dominio in cui è presente un controller di dominio di sola lettura operativo.
96 | ExitComponentBinaryUninstallFailed | Impossibile disinstallare i file binari di Servizi di dominio Active Directory.
97 | ExitFFLNotSupported | Il livello di funzionalità della foresta specificato non è supportato.


Configurazioni comuni per Servizi di dominio Active Directory

In questa sezione sono inclusi gli argomenti relativi alle configurazioni comuni per Servizi di dominio Active Directory. È possibile accedere a tutti gli argomenti nella pagina del ruolo server di Server Manager Servizi di dominio Active Directory. In Risorse e supporto è possibile visualizzare una descrizione per ogni configurazione dell'elenco e scegliere i collegamenti per ulteriori informazioni dalle risorse online.

  • Migliorare la ridondanza di Active Directory tramite l'aggiunta di un ulteriore controller di dominio

  • Ottimizzare l'accesso alle risorse o l'utilizzo della rete tramite la distribuzione di un dominio aggiuntivo

  • Migliorare la sicurezza e il traffico di rete per la succursale di un ufficio tramite la distribuzione di un controller di dominio di sola lettura

  • Completare in modo corretto le operazioni Active Directory tramite la gestione dei ruoli di master operazioni

  • Ottimizzare l'utilizzo della rete nelle posizioni geografiche tramite l'aggiunta di un sito Active Directory

  • Condividere risorse con altre foreste tramite la creazione di relazioni di trust

  • Preparare il ripristino di emergenza tramite backup di routine del database di Active Directory

  • Ridurre le dimensioni della directory e garantirne l'integrità e le prestazioni tramite la deframmentazione offline

  • Accedere alle risorse in modo più efficiente grazie all'utilizzo di gruppi di sicurezza

  • Configurare il supporto DNS per Servizi di dominio Active Directory per garantire che i client DNS siano in grado di individuare i controller di dominio

  • Semplificare l'amministrazione di Active Directory tramite la delega della gestione di utenti, computer e altre risorse di rete

  • Semplificare la gestione di account utente e account computer utilizzando Criteri di gruppo per applicare configurazioni comuni

  • Consolidare i server tramite il ritiro di un controller di dominio e la rimozione di Servizi di dominio Active Directory dal server

  • Configurare la sincronizzazione dell'ora nella foresta per garantire che i client possano accedere alle risorse

  • Innalzare il livello di funzionalità del dominio o della foresta per attivare funzionalità avanzate

  • Replicare gli oggetti Criteri di gruppo e gli script di rete in SYSVOL tramite l'utilizzo di Replica file e Replica DFS


Migliorare la ridondanza di Active Directory tramite l'aggiunta di un ulteriore controller di dominio

È possibile aggiungere controller di dominio a un dominio per migliorare il bilanciamento del carico in un sito e la tolleranza di errore in un dominio. I controller di dominio aggiuntivi migliorano le prestazioni delle richieste di autenticazione e delle ricerche nei server di catalogo globale e aiutano inoltre a superare i problemi hardware, software o dovuti all'amministratore. Quando si aggiunge un controller di dominio, le informazioni vengono replicate tramite la rete.

Distribuire un altro controller di dominio

Nella tabella seguente vengono elencati i passaggi da effettuare per aggiungere un altro controller di dominio a un dominio.

Nota

La tabella seguente riguarda l'esecuzione di Adprep.exe per preparare l'ambiente per un controller di dominio che esegue Windows Server 2008 R2. Adprep.exe si trova nella cartella support\adprep del disco di installazione di Windows Server 2008 R2. Windows Server 2008 R2 include inoltre una versione a 32 bit (Adprep32.exe) e una a 64 bit (Adprep.exe). La versione a 64 bit viene eseguita per impostazione predefinita. Se si esegue Adprep in un computer a 32 bit, eseguire la versione a 32 bit.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Se si tratta del primo controller di dominio della foresta che esegue Windows Server 2008 R2, preparare lo schema della foresta eseguendo adprep forestprep. | Preparare uno schema della foresta di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=93242)
Casella di controllo | Se si tratta del primo controller di dominio del dominio che esegue Windows Server 2008 R2, preparare il dominio eseguendo adprep /domainprep /gpprep. | Preparare un dominio di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=93243)
Casella di controllo | Se si intende installare un controller di dominio di sola lettura, aumentare il livello di funzionalità della foresta in Windows Server 2003. | Aumentare i livelli di funzionalità (http://go.microsoft.com/fwlink/?LinkId=93174)
Casella di controllo | Se si sta installando il primo controller di dominio di sola lettura nella foresta, preparare la foresta eseguendo adprep /rodcprep. | Pagina relativa alla preparazione di una foresta per un controller di dominio di sola lettura (http://go.microsoft.com/fwlink/?LinkId=93244)
Casella di controllo | Determinare l'account utente e la password da utilizzare per l'installazione del controller di dominio. L'account deve essere membro del gruppo Domain Admins nel dominio in cui si sta installando il controller di dominio oppure gli devono essere delegati privilegi sufficienti. | Credenziali di rete per l'installazione o la rimozione di Servizi di dominio Active Directory
Casella di controllo | Determinare il nome DNS completo del dominio in cui si intende installare il controller di dominio. Il gruppo di sviluppo Servizi di dominio Active Directory può fornire queste informazioni. | Raccogliere le informazioni di progettazione dei domini regionali (http://go.microsoft.com/fwlink/?LinkId=93249)
Casella di controllo | Decidere se si intende memorizzare il database, i file di registro e SYSVOL. Per prestazioni superiori e operazioni efficienti di backup e ripristino memorizzare questi componenti in volumi separati. | Posizionare i file di Servizi di dominio Active Directory
Casella di controllo | Se si decide di eseguire l'installazione da supporto, utilizzare il sottocomando ntdsutil ifm per creare il supporto di installazione. | Installare Servizi di dominio Active Directory da supporto (http://go.microsoft.com/fwlink/?LinkId=93264)
Casella di controllo | Determinare una password complessa da assegnare all'account per la modalità ripristino servizi directory. | Pagina relativa alla password di amministratore modalità ripristino servizi directory
Casella di controllo | Determinare le opzioni del controller di dominio aggiuntivo da installare. Determinare, ad esempio, se si desidera che il controller di dominio sia un server DNS, un server di catalogo globale oppure un controller di dominio di sola lettura. | Configurare le opzioni controller di dominio aggiuntivo
Casella di controllo | Utilizzare Dcdiag.exe per verificare la connettività con master operazioni. | Verificare la disponibilità dei master operazioni (http://go.microsoft.com/fwlink/?LinkId=93271)
Casella di controllo | Installare Servizi di dominio Active Directory. | Installare un controller di dominio aggiuntivo (http://go.microsoft.com/fwlink/?LinkId=93254)


Ottimizzare l'accesso alle risorse o l'utilizzo della rete tramite la distribuzione di un dominio aggiuntivo

Per impostazione predefinita, una foresta di Active Directory include un solo dominio. Se necessario, è possibile distribuire un ulteriore dominio per isolare la replica dei dati del dominio, ad esempio account computer, account utente e account di gruppo. I dati del dominio vengono replicati solo nei controller di dominio del dominio in questione. È possibile creare ulteriori domini per requisiti aziendali, ad esempio in caso di futura acquisizione di una business unit.

Distribuire un dominio aggiuntivo

Nella tabella seguente vengono elencati i passaggi da effettuare per distribuire un dominio aggiuntivo.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Verificare le informazioni di struttura del dominio e determinare se risultano necessari ulteriori domini. | Pagina relativa alla determinazione del numero di domini richiesti all'indirizzo (http://go.microsoft.com/fwlink/?LinkId=93247)
Casella di controllo | Completare i passaggi per la distribuzione di un dominio regionale. | Pagina relativa alla distribuzione dei domini regionali di Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93248


Migliorare la sicurezza e il traffico di rete per la succursale di un ufficio tramite la distribuzione di un controller di dominio di sola lettura

Un controller di dominio di sola lettura ospita partizioni di sola lettura del database di Active Directory. Offre un modo per distribuire un controller di dominio in scenari in cui non è possibile garantire la sicurezza fisica, ad esempio le succursali di uffici, oppure in scenari in cui la memorizzazione locale di tutte le password di dominio è considerata una minaccia primaria, ad esempio una Extranet o per un supporto applicazioni specifico. Dal momento che è possibile delegare l'amministrazione di un controller di dominio di sola lettura a un utente di dominio o a un gruppo di sicurezza, questo controller si rivela adatto a un sito con un utente membro del gruppo Domain Admins.

Prima di installare un controller di dominio di sola lettura, il livello di funzionalità della foresta deve essere Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. È possibile installare un controller di dominio di sola lettura in un'installazione completa o dei componenti di base del server di Windows Server 2008 R2. È possibile inoltre effettuare un'installazione gestita del controller di dominio di sola lettura in cui l'installazione viene completata in due fasi. Per ulteriori informazioni sull'installazione gestita di un controller di dominio di sola lettura, vedere all'indirizzo Eseguire un'installazione gestita di un controller di dominio di sola lettura.

Distribuire un controller di dominio di sola lettura

Nella tabella seguente vengono elencati i passaggi da effettuare per distribuire un controller di dominio di sola lettura.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Aumentare il livello di funzionalità della foresta a Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. | Aumentare i livelli di funzionalità (http://go.microsoft.com/fwlink/?LinkId=93174)
Casella di controllo | Eseguire adprep /forestprep. | Preparare uno schema della foresta di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=93242)
Casella di controllo | Eseguire adprep /domainprep /gpprep. | Preparare un dominio di Windows 2000 o Windows Server 2003 per un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?LinkId=93243)
Casella di controllo | Eseguire adprep /rodcprep. | Pagina relativa alla preparazione di una foresta per un controller di dominio di sola lettura (http://go.microsoft.com/fwlink/?LinkId=93244)
Casella di controllo | Installare almeno un controller di dominio scrivibile che esegue Windows Server 2008 o Windows Server 2008 R2. Per tolleranza di errore è possibile distribuire più controller di dominio riscrivibili. | Passaggi per l'installazione di Servizi di dominio Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93245
Casella di controllo | Installare un controller di dominio di sola lettura effettuando un'installazione nomale oppure un'installazione gestita. | Pagina relativa all'installazione gestita di un controller di dominio di sola lettura (http://go.microsoft.com/fwlink/?LinkId=93246) Installare un controller di dominio aggiuntivo (http://go.microsoft.com/fwlink/?LinkId=93254)

Vedere anche

  • Eseguire un'installazione gestita di un controller di dominio di sola lettura


Completare in modo corretto le operazioni Active Directory tramite la gestione dei ruoli di master operazioni

I ruoli di master operazioni (noti anche come operazioni FSMO) vengono configurati per impostazione predefinita durante l'installazione di Servizi di dominio Active Directory. Questi ruoli, di solito, non necessitano della presenza di una gestione. in caso di modifica, ad esempio una sostituzione di un controller di dominio, tuttavia, può essere necessario trasferire i ruoli di master operazioni in un altro controller di dominio. Qualora non si sia in grado di trasferire un ruolo di master operazioni è possibile in ultima analisi riassegnare il ruolo a un altro controller di dominio.

Gestire un ruolo di master operazioni

Nella tabella seguente vengono elencati i passaggi da effettuare per trasferire o riassegnare un ruolo di master operazioni.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Trasferire un ruolo di master operazioni | Pagina relativa al trasferimento di un ruolo di master operazioni (http://go.microsoft.com/fwlink/?LinkId=93239)
Casella di controllo | Riassegnare un ruolo di master operazioni | Pagina relativa al riassegnamento di un ruolo di master operazioni (http://go.microsoft.com/fwlink/?LinkId=93240)


Ottimizzare l'utilizzo della rete nelle posizioni geografiche tramite l'aggiunta di un sito Active Directory

I siti rappresentano il confine per la replica all'interno del sito e forniscono un metodo per determinare quale controller di dominio verrà utilizzato per l'autenticazione e le ricerche nelle directory da un insieme di computer client di una subnet IP comune. I siti vengono creati per le subnet IP che contengono un numero elevato di utenti o un numero ridotto di utenti che hanno la necessità di evitare l'autenticazione e la ricerca nelle directory su un collegamento Wide Area Network (WAN). Garantiscono inoltre ai client con informazioni sulla presenza nel sito un modo per eseguire richieste di autenticazione, ricerche nelle directory e altre operazioni su un controller di dominio presente nello stesso sito o in un sito nelle vicinanze.

Creare un sito Active Directory

Nella tabella seguente vengono elencati i riferimenti da utilizzare quando è necessario creare un sito Active Directory.

 | Passaggio | Informazioni di riferimento
Casella di controllo | In un controller di dominio fare clic sul pulsante Start, scegliere Strumenti di amministrazione, Siti e servizi di Active Directory e quindi premere F1. Verificare l'argomento della Guida denominato Elenco di controllo: configurare un sito aggiuntivo. | Guida di Siti e servizi di Active Directory
Casella di controllo | In un controller di dominio fare clic sul pulsante Start, scegliere Strumenti di amministrazione, Siti e servizi di Active Directory e quindi premere F1. Verificare l'argomento della Guida denominato Aggiungere un sito alla foresta. | Guida di Siti e servizi di Active Directory
Casella di controllo | Verificare le informazioni sul Web e completare i passaggi relativi alla creazione di un sito Active Directory. | Pagina relativa all'aggiunta di un nuovo sito (http://go.microsoft.com/fwlink/?LinkId=93237)


Condividere risorse con altre foreste tramite la creazione di relazioni di trust

Quando tra due foreste Active Directory è presente un trust i meccanismi di autenticazione di ogni foresta considerano attendibili le autenticazioni provenienti dall'altra foresta. I trust consentono di controllare l'accesso a risorse condivise di un dominio di risorse (dominio trusting) verificando che le richieste di autenticazione in ingresso provengano da un'autorità trusted (dominio trusted. I trust tra foreste possono essere trust esterni o trust tra foreste. I trust esterni possono essere presenti con domini di Windows 2000 Server o Windows Server 2003, indipendentemente dal livello di funzionalità dei domini. In questo caso viene utilizzata l'autenticazione NTLM. I trust tra foreste possono essere composti da foreste che operano al livello di funzionalità della foresta Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. Tali trust utilizzano l'autenticazione Kerberos.

Creare un trust

Nella tabella seguente vengono elencati i passaggi da effettuare per creare un trust per la condivisione di risorse con altre foreste. Il trust può essere unidirezionale o bidirezionale. Può inoltre essere in ingresso o in uscita.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Verificare le informazioni, inclusi tutti i problemi noti, sulla creazione di trust tra domini e trust tra foreste. | Pagina relativa alla creazione di trust tra domini e trust tra foreste (http://go.microsoft.com/fwlink/?LinkId=93232)
Casella di controllo | Se necessario, completare i passaggi per la creazione di un trust esterno. | Pagina relativa alla creazione di trust esterni (http://go.microsoft.com/fwlink/?LinkId=93233)
Casella di controllo | Se necessario, completare i passaggi per la creazione di un trust tra foreste. | Pagina relativa alla creazione di trust tra foreste (http://go.microsoft.com/fwlink/?LinkId=93235)


Preparare il ripristino di emergenza tramite backup di routine del database di Active Directory

È possibile proteggersi da errori software, hardware o di utenti incorporando i backup del controller di dominio nella pianificazione delle operazioni di routine. Windows Server Backup Windows Server Backup è una funzionalità facoltativa di Windows Server 2008 che deve essere installata con Server Manager. Consente di eseguire il backup di tutti i volumi presenti in un controller di dominio (anche noti come server backup completo) o di un gruppo specificato di volumi critici che contengono i dati di stato del sistema. I volumi critici comprendono i volumi che ospitano il database Ntds.dit e i file di registro, SYSVOL, il Registro di sistema e i file del sistema operativo.

Nota

Per le installazioni di tipo Installazione da supporto (IFM), utilizzare lNtdsutil.exe, anziché Windows Server Backup, per creare il supporto di installazione. Ntdsutil.exe include un sottocomando ifm che consente di creare il supporto di installazione per l'installazione di controller di dominio aggiuntivi. Il nuovo sottocomando ifm consente di creare il supporto di installazione che include solo i file necessari all'installazione di Servizi di dominio Active Directory ed è possibile utilizzarlo per creare un supporto di installazione sicuro per l'installazione del controller di dominio di sola lettura. Per ulteriori informazioni sull'utilizzo del sottocomando ntdsutil ifm, vedere l'argomento relativo all'installazione di Servizi di dominio Active Directory da supporto all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93228.

Effettuare i backup dei controller di dominio

Nella tabella seguente vengono elencati i riferimenti da utilizzare per effettuare i backup dei controller di dominio che eseguono Windows Server 2008.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Se necessario, installare Windows Server Backup. | Installazione di Windows Server Backup all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93229
Casella di controllo | Se necessario, eseguire un backup dei dati di stato del sistema o dei volumi critici richiesti per il ripristino di un controller di dominio. | Eseguire un backup non pianificato di un controller di dominio (http://go.microsoft.com/fwlink/?LinkId=93224)
Casella di controllo | Se necessario, eseguire un backup di tutti i volumi ospitati in un controller di dominio. | Pagina relativa all'esecuzione di un backup del server completo di un controller di dominio tramite GUI (Windows Server Backup) (http://go.microsoft.com/fwlink/?LinkId=93230)
Casella di controllo | Automatizzare i backup dei controller di dominio pianificando Windows Server Backup per l'esecuzione di processi di backup giornalieri. | Pagina relativa alla pianificazione di backup del server completi regolari di un controller di dominio (http://go.microsoft.com/fwlink/?LinkId=93230)


Ridurre le dimensioni della directory e garantirne l'integrità e le prestazioni tramite la deframmentazione offline

Sebbene il database di Active Directory venga deframmentato automaticamente durante l'esecuzione (operazione nota anche come deframmentazione online) è possibile arrestare Servizi di dominio Active Directory per effettuare la deframmentazione offline in modo da ridurre ulteriormente le dimensioni del database. La deframmentazione offline offre controlli aggiuntivi che assicurano l'integrità e le prestazioni del database.

Deframmentazione offline

Nella tabella seguente vengono elencati i passaggi per effettuare la deframmentazione offline del database di Active Directory.

 | Passaggio | Informazioni di riferimento o procedura da utilizzare
Casella di controllo | Verificare le indicazioni sull'esecuzione della deframmentazione offline. | Pagina relativa alla restituzione di spazio su disco non utilizzato dal database di Active Directory al file system di Windows (http://go.microsoft.com/fwlink/?LinkId=93219)
Casella di controllo | Modificare il livello di registrazione di garbage collection per determinare la quantità di spazio libero disponibile. | Pagina relativa alla modifica del livello di registrazione di garbage collection in 1 (http://go.microsoft.com/fwlink/?LinkId=93222)
Casella di controllo | Eseguire il backup dello stato del sistema. | Eseguire un backup non pianificato di un controller di dominio (http://go.microsoft.com/fwlink/?LinkId=93224)
Casella di controllo | Arrestare Servizi di dominio Active Directory. | Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi. Fare clic con il pulsante destro del mouse su Servizi di dominio Active Directory e quindi scegliere Arresta. Quando viene richiesto di interrompere i servizi dipendenti fare clic su Sì.
Casella di controllo | Effettuare la procedura di deframmentazione offline. | Pagina relativa alla compressione del file del database di directory (deframmentazione offline) (http://go.microsoft.com/fwlink/?LinkId=93225)
Casella di controllo | Riavviare Servizi di dominio Active Directory. | Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi. Fare clic con il pulsante destro del mouse su Servizi di dominio Active Directory e quindi scegliere Avvia.


Accedere alle risorse in modo più efficiente grazie all'utilizzo di gruppi di sicurezza

In base alle procedure consigliate, assegnare l'accesso alle risorse a gruppi di sicurezza anziché a utenti singoli per semplificare l'amministrazione e la risoluzione di problemi. Le risorse possono includere i componenti seguenti:

  • File

  • Cartelle e cartelle condivise

  • Impostazioni del Registro di sistema

  • Servizi di dominio Active Directory

  • Applicazioni

Per migliorare l'efficienza, creare gruppi globali per gli utenti in base a criteri come funzione o reparto. Creare gruppi locali di dominio e inserire i gruppi globali nei gruppi locali di dominio. Assegnare le autorizzazioni ai gruppi locali di dominio in base alle necessità dell'ambiente. In questo modo risulteranno semplificate la risoluzione dei problemi e la gestione delle modifiche al loro verificarsi, ad esempio in caso di variazione della funzione di un utente.

Utilizzare i gruppi di sicurezza

In questa tabella viene fornito un riferimento per ulteriori informazioni sull'utilizzo dei gruppi di sicurezza.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Controllare le informazioni delle procedure consigliate relative all'assegnazione di autorizzazioni per gli oggetti Active Directory. | Procedure consigliate per l'assegnazione di autorizzazioni per oggetti Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93217


Configurare il supporto DNS per Servizi di dominio Active Directory per garantire che i client DNS siano in grado di individuare i controller di dominio

Per individuare computer, controller di dominio, server membri e servizi di rete utilizzando i nomi, il ruolo server Servizi di dominio Active Directory richiede i servizi DNS. Il ruolo di server DNS fornisce servizi di risoluzione dei nomi DNS per le reti basate su TCP/IP mediante il mapping dei nomi a indirizzi IP, che rende possibile per i computer individuare le risorse di rete in un ambiente di Servizi di dominio Active Directory.

Servizi di dominio Active Directory registra i record di risorse in zone DNS, in modo che i client DNS siano in grado di individuare i controller di dominio. È necessario configurare i client DNS con l'indirizzo di un server DNS che possa fare riferimento ai dati di zona necessari. Il server DNS deve ospitare le zone richieste autonomamente oppure essere in grado di utilizzare l'inoltro o le deleghe per raggiungere un altro server DNS che ospiti le zone richieste.

Configurare il supporto DNS per Servizi di dominio Active Directory

Nella tabella seguente vengono elencati i passaggi da effettuare per configurare il supporto DNS per Servizi di dominio Active Directory.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Verificare le informazioni relative al ruolo server DNS in Windows Server 2008. | Server DNS all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93215
Casella di controllo | Configurare le impostazioni del client DNS. | Configurare le impostazioni TCP/IP e client DNS
Casella di controllo | Creare tutti i record necessari alla delega DNS. | Creare o aggiornare una delega DNS
Casella di controllo | Configurare i server d'inoltro. | Configurare un server DNS per l'utilizzo di server d'inoltro
Casella di controllo | Se l'organizzazione utilizza parametri radice per la risoluzione dei nomi ricorsiva, configurare i parametri radice nei server DNS. | Aggiornare i parametri radice nel server DNS


Semplificare l'amministrazione di Active Directory tramite la delega della gestione di utenti, computer e altre risorse di rete

È possibile utilizzare la Delega guidata del controllo per delegare il controllo amministrativo di un dominio o un'unità organizzativa a gruppi o individui responsabili esclusivamente di tale dominio o unità organizzativa. Delegando l'amministrazione, è possibile consentire a gruppi o individui nell'organizzazione di eseguire attività, ad esempio:

  • Gestione di utenti, computer e gruppi di sicurezza.

  • Reimpostazioni di password.

  • Gestione Criteri di gruppo.

  • Topologia di replica e impostazione di pianificazione.

È inoltre possibile contribuire alla sicurezza della rete da danni accidentali o causati da utenti malintenzionati limitando le capacità dei gruppi o degli individui a cui si delega il controllo.

Per utilizzare la Delega guidata del controllo, aprire lo snap-in Utenti e computer di Active Directory, fare clic con il pulsante destro del mouse sull'unità organizzativa di cui si desidera delegare il controllo e scegliere Delega controllo.

Delegare la gestione di utenti, computer e altre risorse di rete

Nella tabella seguente vengono elencati i riferimenti per ulteriori informazioni sulla delega dell'amministrazione di Active Directory.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Verificare le informazioni relative alla procedura consigliata per la delega dell'amministrazione di Active Directory. | Procedure consigliate per la delega dell'amministrazione di Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93213
Casella di controllo | Verificare un elenco di attività amministrative di Active Directory per l'amministrazione dei servizi e dei dati, insieme alle autorizzazioni necessarie per l'esecuzione di ogni attività. | Appendici delle procedure consigliate per la delega dell'amministrazione di Active Directory (http://go.microsoft.com/fwlink/?LinkId=93214)


Semplificare la gestione di account utente e account computer utilizzando Criteri di gruppo per applicare configurazioni comuni

Criteri di gruppo consente di semplificare l'amministrazione e di ridurre i costi IT automatizzando la gestione di account utente e account computer. Console Gestione Criteri di gruppo consente a un amministratore di implementare le impostazioni di sicurezza in modo efficiente, imporre i criteri IT e distribuire il software in modo coerente in siti, domini o unità organizzative selezionate.

Utilizzare Criteri di gruppo

Nella tabella seguente vengono elencati i passaggi da effettuare per utilizzare Criteri di gruppo in un server che esegue Windows Server 2008.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Se necessario, installare la console Gestione Criteri di gruppo tramite l'Aggiunta guidata funzionalità in Server Manager. Se viene richiesto di eseguire questa operazione, riavviare il server dopo aver installato la console Gestione Criteri di gruppo. | Fare clic sul pulsante Start, scegliere Server Manager quindi Aggiungi funzionalità. Selezionare la casella di controllo Gestione Criteri di gruppo, fare clic su Avanti e quindi fare clic su Installa.
Casella di controllo | Analizzare le informazioni sull'utilizzo di Criteri di gruppo, incluse le informazioni di riferimento per la creazione e la modifica di file ADMX personalizzati. | Criteri di gruppo all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93212


Consolidare i server tramite il ritiro di un controller di dominio e la rimozione di Servizi di dominio Active Directory dal server

Per rimuovere Servizi di dominio Active Directory da un controller di dominio, eseguire l'Installazione guidata Servizi di dominio Active Directory (Dcpromo.exe). Verrà rilevato automaticamente che il server è già un controller di dominio e verranno illustrati tutti i passaggi per rimuovere Servizi di dominio Active Directory. Se per qualche motivo non è possibile rimuovere Servizi di dominio Active Directory, sarà necessario forzare la rimozione del controller di dominio.

Rimuovere Servizi di dominio Active Directory

Nella tabella seguente vengono elencati i passaggi da effettuare per rimuovere Servizi di dominio Active Directory da un server.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Se si intende mantenere altri controller di dominio nel dominio, eseguire la procedura per la rimozione di un controller di dominio dal dominio. | Pagina relativa alla rimozione di un controller di dominio da un dominio (http://go.microsoft.com/fwlink/?LinkId=93207)
Casella di controllo | Se si decide di ritirare l'ultimo controller di dominio all'interno di un dominio, eseguire la procedura per la rimozione dell'ultimo controller di dominio all'interno del dominio. | Pagina relativa alla rimozione dell'ultimo controller di dominio in un dominio (http://go.microsoft.com/fwlink/?LinkId=93208)
Casella di controllo | Se si intende ritirare l'ultimo controller di dominio dall'unico dominio della foresta, eseguire la procedura per la rimozione dell'ultimo controller di dominio della foresta. | Pagina relativa alla rimozione dell'ultimo controller di dominio in una foresta (http://go.microsoft.com/fwlink/?LinkId=93209)
Casella di controllo | Se il controller di dominio che si desidera ritirare non dispone di connettività con altri controller di dominio, sarà necessario forzare la rimozione di Servizi di dominio Active Directory dal server. | Pagina relativa alla forzatura della rimozione di un controller di dominio (http://go.microsoft.com/fwlink/?LinkId=93210)


Configurare la sincronizzazione dell'ora nella foresta per garantire che i client possano accedere alle risorse

Il servizio Ora di Windows (noto anche come W32time) sincronizza la data e l'ora dei computer in esecuzione in una rete di Windows Server 2008 R2. Il servizio Ora di Windows è essenziale per il funzionamento corretto dell'autenticazione Kerberos e quindi per l'autenticazione basata su Active Directory. Tutte le applicazioni con supporto Kerberos, inclusi molti servizi di sicurezza, si basano sulla sincronizzazione dell'ora tra i computer che partecipano alla richiesta di autenticazione. Per aiutare a garantire una replica accurata dei dati, è necessario che anche gli orologi dei controller di dominio Active Directory siano sincronizzati.

Configurare la sincronizzazione dell'ora

Nella tabella seguente vengono elencati i passaggi da effettuare per configurare la sincronizzazione dell'ora nei computer dell'organizzazione.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Quando si distribuisce il primo dominio della foresta, configurare il master operazioni per l'emulatore PDC nel dominio in questione per effettuare la sincronizzazione da un'origine NTP valida. | Pagina relativa alla configurazione del servizio Ora di Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93177
Casella di controllo | In alcuni computer client basati su Windows l'ora non viene sincronizzata automaticamente con il dominio Active Directory. È possibile configurare questi computer per richiedere l'ora da un'origine particolare, ad esempio un controller di dominio del dominio. Se non si specifica un'origine sincronizzata con il dominio, ogni orologio hardware interno del computer ne regola l'ora. | Pagina relativa alla configurazione di client basati su Windows per sincronizzare l'ora all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93178
Casella di controllo | Se le impostazioni del servizio Ora di Windows locale non sono configurate correttamente, sarà sufficiente ripristinare le impostazioni predefinite di tale anziché tentare di risolvere il problema. | Pagina relativa al ripristino delle impostazioni predefinite del servizio Ora di Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkId=93179


Innalzare il livello di funzionalità del dominio o della foresta per attivare funzionalità avanzate

Dopo la rimozione dei controller di dominio che eseguono versioni precedenti di Windows Server o il relativo aggiornamento a Windows Server 2008 R2, è possibile aumentare il livello di funzionalità del dominio o della foresta. Questa operazione attiva funzionalità avanzate nel dominio o nella foresta, ad esempio una replica migliorata delle modifiche all'appartenenza ai gruppi e la possibilità di creare trust tra foreste. Limita tuttavia le versioni di Windows Server che possono ospitare il ruolo di controller di dominio. La compatibilità dei client e delle applicazioni rimane invariata in seguito alle modifiche ai livelli di funzionalità.

Innalzare i livelli di funzionalità

Nella tabella seguente vengono elencati i passaggi da effettuare per innalzare il livello di funzionalità del dominio o della foresta.

 | Passaggio | Informazioni di riferimento
Casella di controllo | Verificare l'elenco di funzionalità attivate a vari livelli di funzionalità di dominio e di foresta. | Impostare il livello di funzionalità di un dominio o di una foresta
Casella di controllo | Verificare le informazioni di pianificazione sull'innalzamento dei livelli di funzionalità di dominio e di foresta. | Pagina relativa all'attivazione delle funzionalità avanzate di Windows Server 2008 per Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkId=93175)
Casella di controllo | Completare i passaggi per l'innalzamento del livello di funzionalità di dominio o di foresta. | Aumentare i livelli di funzionalità (http://go.microsoft.com/fwlink/?LinkId=93174)


Replicare gli oggetti Criteri di gruppo e gli script di rete in SYSVOL tramite l'utilizzo di Replica file e Replica DFS

Windows Server 2008 R2 include sia Replica file che la nuova Replica DFS per la replica di SYSVOL. FRS consente l'interoperabilità con i controller di dominio che eseguono Windows 2000 Server o Windows Server 2003. Dopo la rimozione di questi controller di dominio dal dominio o il loro aggiornamento a Windows Server 2008 o Windows Server 2008 R2, è possibile aumentare il livello di funzionalità del dominio per l'utilizzo di Replica DFS di SYSVOL. Replica DFS è un nuovo motore di replica multimaster basato sullo stato che supporta la pianificazione della replica e la limitazione della larghezza di banda e utilizza un nuovo algoritmo di compressione per eseguire la replica solo delle modifiche quando i file vengono aggiornati.

Utilizzare la replica FRS e DFS

Nella tabella seguente sono elencate le informazioni di riferimento per l'utilizzo di Replica FRS e Replica DFS in un server che esegue Windows Server 2008 R2.

 | Passaggio | Informazioni di riferimento
Casella di controllo | FRS viene utilizzato per replicare SYSVOL per impostazione predefinita, a meno che il livello di funzionalità del dominio non sia Windows Server 2008. Per utilizzare Replica DFS per replicare SYSVOL, aumentare il livello di funzionalità del dominio a Windows Server 2008 o Windows Server 2008 R2. | Aumentare i livelli di funzionalità (http://go.microsoft.com/fwlink/?LinkId=93174)
Casella di controllo | Verificare le informazioni sull'utilizzo di Replica DFS. | Pagina relativa a Servizi file (http://go.microsoft.com/fwlink/?LinkId=93167)
Casella di controllo | Se necessario, migrare da Replica FRS a Replica DFS. | Pagina relativa a Servizi file (http://go.microsoft.com/fwlink/?LinkId=93167)