Centro di amministrazione di Active Directory

Gli amministratori di rete possono utilizzare il Centro di amministrazione di Active Directory nel sistema operativo Windows Server® 2008 R2 per amministrare e pubblicare informazioni nella directory.

Centro di amministrazione di Active Directory si basa sulla tecnologia dell'interfaccia della riga di comando di Windows PowerShell™ e rende disponibili funzionalità migliorate per la gestione dei dati di Active Directory e un'interfaccia utente grafica (GUI) avanzata.

È possibile utilizzare il Centro di amministrazione di Active Directory per eseguire attività comuni di gestione degli oggetti Active Directory tramite spostamento guidato dai dati e spostamento orientato ad attività.

  • Gestire utenti

  • Gestire gruppi

  • Gestire computer

  • Gestire domini e controller di dominio

  • Gestire unità organizzative

  • Individuare oggetti Active Directory in Centro di amministrazione di Active Directory

  • Interfaccia utente: Centro di amministrazione di Active Directory

Per ulteriori informazioni sul Centro di amministrazione di Active Directory, vedere la pagina delle novità di Servizi di dominio Active Directory relativa al Centro di amministrazione di Active Directory (http://go.microsoft.com/fwlink/?LinkID=131022).


Gestire utenti

È possibile utilizzare il Centro di amministrazione di Active Directory per creare nuovi account utente o gestire gli account utente esistenti.

  • Informazioni sugli account utente

  • Creare un nuovo account utente

  • Reimpostare la password di un account utente

  • Spostare un account utente

  • Modificare l'orario di un account utente

  • Modificare il gruppo primario di un utente

  • Disabilitare o abilitare un account utente

  • Eliminare un account utente


Informazioni sugli account utente

Gli account utente di Active Directory rappresentano entità fisiche, ad esempio persone. È inoltre possibile utilizzarli come account di servizio dedicati per alcune applicazioni.

Gli account utente sono inoltre noti come entità di sicurezza, ovvero oggetti di directory a cui vengono assegnati automaticamente identificatori di sicurezza (SID) e utilizzabili per l'accesso alle risorse di dominio. Le funzioni principali di un account utente sono le seguenti:

  • Autenticazione dell'identità di un utente.

    Un account utente consente a un utente di accedere a computer e domini con un'identità autenticabile dal dominio. Per ogni utente che accede alla rete deve esistere un account utente univoco con relativa password. Per ottenere la massima sicurezza, è consigliabile evitare che più utenti condividano lo stesso account.

  • Autorizzazione o negazione dell'accesso alle risorse di dominio.

    Dopo l'autenticazione, all'utente viene concesso o negato l'accesso alle risorse di dominio in base alle autorizzazioni esplicite assegnate a tale utente per ogni risorsa.

Account utente

Il contenitore Utenti nel Centro di amministrazione di Active Directory contiene tre account predefiniti, ovvero: Administrator, Guest e HelpAssistant. Questi account utente predefiniti vengono creati automaticamente quando si crea il dominio.

A ogni account utente predefinito è assegnata una diversa combinazione di diritti e autorizzazioni. L'account Administrator dispone dei diritti e delle autorizzazioni più estesi per il dominio. L'account Guest dispone di diritti e autorizzazioni limitati. Nella tabella seguente vengono descritti gli account utente predefiniti disponibili nei controller di dominio che eseguono Windows Server 2008 R2.

Account utente predefinito Descrizione

Administrator

L'account Administrator dispone del controllo completo del dominio e può assegnare diritti utente e autorizzazioni di controllo di accesso agli utenti del dominio, se necessario. Utilizzare questo account solo per le attività che richiedono credenziali amministrative. È consigliabile configurare questo account con una password complessa.

L'account Administrator è un membro predefinito dei gruppi di Active Directory seguenti: Administrators, Domain Admins, Enterprise Admins, Proprietari autori criteri di gruppo e Schema Admins.

L'account Administrator non può essere mai eliminato o rimosso dal gruppo Administrators, ma può essere rinominato o disattivato. Poiché è noto che l'account Administrator esiste in molte versioni di Windows, la ridenominazione o la disattivazione di questo account renderà più difficili i tentativi di accesso degli utenti non autorizzati.

L'account Administrator è il primo account che viene creato quando si configura un nuovo dominio tramite l'Installazione guidata Servizi di dominio Active Directory.

Importante

Anche se viene disattivato, è comunque possibile utilizzare l'account Administrator per accedere a un controller di dominio in modalità provvisoria.

Guest

Gli utenti che non dispongono di un account specifico nel dominio possono utilizzare l'account Guest. L'account Guest può essere utilizzato anche dagli utenti per i quali l'account utente è stato disattivato ma non eliminato. L'account Guest non richiede una password.

È possibile impostare diritti e autorizzazioni per l'account Guest come per qualsiasi altro account utente. Per impostazione predefinita, l'account Guest è un membro del gruppo predefinito Guests e del gruppo globale Domain Guests, che consente a un utente di accedere a un dominio. L'account Guest è disattivato per impostazione predefinita e si consiglia di non attivarlo.

HelpAssistant (installato con una sessione di Assistenza remota)

L'account HelpAssistant è l'account principale per l'attivazione di una sessione di Assistenza remota. Questo account viene creato automaticamente quando si richiede una sessione di Assistenza remota e dispone di accesso limitato al computer. L'account HelpAssistant viene gestito dal servizio Gestione sessione di assistenza mediante desktop remoto e viene eliminato automaticamente se non sono presenti richieste di Assistenza remota in sospeso.

Proteggere gli account utente

Se i diritti e le autorizzazioni per gli account predefiniti non vengono modificati o disattivati da un amministratore di rete, un utente o un servizio non autorizzato potrebbe utilizzarli per accedere in modo illecito a un dominio tramite l'account Administrator o Guest. Per proteggere questi account, è buona norma rinominarli o disattivarli. Un account utente rinominato mantiene il relativo SID e conserva quindi tutte le altre proprietà, quali la descrizione, la password, le appartenenze ai gruppi, il profilo utente, le informazioni sull'account e tutte le autorizzazioni e i diritti utente assegnati.

Per ottenere i vantaggi a livello di sicurezza offerti dall'autenticazione e dalle autorizzazioni per gli utenti, utilizzare il Centro di amministrazione di Active Directory per creare un singolo account utente per ogni utente che partecipa alla rete. Sarà quindi possibile aggiungere ogni account utente, inclusi gli account Administrator e Guest, a un gruppo per controllare i diritti e le autorizzazioni assegnate all'account. La configurazione degli account e dei gruppi appropriati per la rete consente di identificare gli utenti che accedono alla rete garantendo che possano accedere solo alle risorse consentite.

È possibile proteggere il dominio da attacchi richiedendo password complesse e implementando un criterio di blocco degli account. Le password complesse riducono i rischi di attacchi con dizionario o altri sistemi intelligenti per l'individuazione delle password. Un criterio di blocco degli account consente di ridurre le probabilità che gli autori degli attacchi riescano a violare il dominio attraverso ripetuti tentativi di accesso. Con un criterio di blocco degli account è infatti possibile stabilire il numero di tentativi di accesso non riusciti consentiti per un account utente prima che venga disattivato.

Account InetOrgPerson

Servizi di dominio Active Directory supporta la classe di oggetti InetOrgPerson e i relativi attributi associati, in base a quanto specificato nel documento RFC (Request for Comments) 2798. La classe di oggetti InetOrgPerson viene utilizzata in vari servizi di directory non Microsoft LDAP (Lightweight Directory Access Protocol) e X.500 per rappresentare le persone in un'organizzazione.

Il supporto della classe InetOrgPerson consente di rendere più efficiente la migrazione da altre directory LDAP a Servizi di dominio Active Directory. L'oggetto InetOrgPerson deriva dalla classe user e può essere utilizzato come entità di sicurezza esattamente come un oggetto della classe user. Per informazioni sulla creazione di un account utente InetOrgPerson, vedere Creare un nuovo account utente.

Se il livello di funzionalità del dominio è impostato su Windows Server 2008 o Windows Server 2008 R2, è possibile impostare l'attributo userPassword per InetOrgPerson e gli oggetti utente come password effettiva, come nel caso dell'attributo unicodePwd.

Ulteriori riferimenti

  • Gestire utenti


Creare un nuovo account utente

Per gestire utenti in un dominio, è necessario creare account utente in Servizi di dominio Active Directory. Per gestire utenti specifici di un solo computer, è invece necessario creare account utente locali. Per informazioni sulla creazione di account utente locali, vedere la pagina relativa alla creazione di un account utente locale (http://go.microsoft.com/fwlink/?LinkID=58123).

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare un nuovo account utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul nodo in cui si desidera aggiungere un nuovo account utente, scegliere Nuovo e quindi fare clic su Utente.

    Nota

    Per l'interoperabilità con altri servizi directory, è invece possibile fare clic su InetOrgPerson. Per ulteriori informazioni sulla classe InetOrgPerson, vedere Informazioni sugli account utente.

  3. In Crea computer nella sezione Computer:

    • In Nome digitare il nome dell'utente.

    • In Iniziale secondo nome digitare le iniziali dell'utente.

    • In Cognome digitare il cognome dell'utente.

    • Modificare Nome completo per aggiungere le iniziali o invertire l'ordine del nome e del cognome.

    • In Accesso utente UPN digitare il nome di accesso dell'utente e quindi fare clic sul suffisso del nome dell'entità utente (UPN) nell'elenco a discesa.

      Se l'utente utilizzerà un nome diverso per accedere a computer che eseguono sistemi operativi Microsoft® Windows® 95, Windows 98 o Windows NT®, sarà possibile sostituire il nome di accesso dell'utente visualizzato in Accesso utente SamAccountName con un nome diverso.

    • In Password e Conferma password digitare la password dell'utente e quindi selezionare le opzioni appropriate per la password.

    • Per proteggere l'account utente dall'eliminazione accidentale, selezionare la casella di controllo Proteggi da eliminazioni accidentali.

    • Fare clic su Orario di accesso e quindi impostare l'orario di accesso consentito o non consentito per l'utente.

    • Fare clic su Accedi a e quindi impostare le workstation a cui è consentito l'accesso dell'utente.

    • In Scadenza account selezionare Mai oppure immettere la data di scadenza dell'account.

    • Espandere Opzioni password, Opzioni crittografia e Altre opzioni e quindi effettuare le selezioni appropriate.

  4. In Crea utente modificare i campi appropriati nelle sezioni Organizzazione, Membro di e Profilo e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account utente (http://go.microsoft.com/fwlink/?LinkId=141531).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Reimpostare la password di un account utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per reimpostare una password utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente di cui si desidera reimpostare la password.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'utente per cui si desidera reimpostare la password e quindi scegliere Reimposta password.

  4. Nella casella Reimposta password digitare e quindi confermare la password.
Nota

Se si desidera chiedere all'utente di modificare la password al processo di accesso successivo, selezionare la casella di controllo Cambiamento obbligatorio password all'accesso successivo.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione della password di un account utente (http://go.microsoft.com/fwlink/?LinkId=141679).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

  • È inoltre possibile reimpostare una password utente utilizzando la tessera Reimposta password nella pagina Panoramica Centro di amministrazione di Active Directory.

Ulteriori riferimenti

  • Gestire utenti


Spostare un account utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per spostare un account utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente che si desidera spostare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'account utente che si desidera spostare e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta utilizzare l'area Trova nella colonna per passare al contenitore in cui si desidera spostare l'account utente e per selezionare tale contenitore, quindi fare clic su OK.

Ulteriori considerazioni

  • Non è possibile utilizzare il Centro di amministrazione di Active Directory per spostare account utente da un dominio all'altro. Per spostare account utente da un dominio all'altro, utilizzare l'Utilità di migrazione ad Active Directory (ADMT). Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un account utente (http://go.microsoft.com/fwlink/?LinkId=141690).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Modificare l'orario di un account utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare l'orario di accesso per un account utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente per il quale si desidera modificare l'orario di accesso.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'utente per il quale si desidera modificare l'orario di accesso e quindi scegliere Proprietà.

  4. Nella sezione Account fare clic su Orario di accesso e quindi impostare l'orario di accesso consentito o non consentito per l'utente.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica dell'orario di accesso di un account utente (http://go.microsoft.com/fwlink/?LinkId=141694).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Modificare il gruppo primario di un utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare il gruppo primario di un utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente per il quale si desidera modificare il gruppo primario.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'utente per il quale si desidera modificare il gruppo primario e quindi scegliere Proprietà.

  4. Nella sezione Membro di fare clic sul gruppo che si desidera impostare come primario per l'utente e quindi fare clic su Imposta gruppo primario.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica del gruppo primario di un utente (http://go.microsoft.com/fwlink/?LinkId=141695).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Disabilitare o abilitare un account utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per disabilitare o abilitare un account utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente per il quale si desidera modificare lo stato.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'utente per il quale si desidera modificare lo stato.

  4. A seconda dello stato dell'account utente, eseguire una delle operazioni seguenti:

    • Per disabilitare l'account utente, fare clic su Disabilita.

    • Per abilitare l'account utente, fare clic su Abilita.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=141696).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Eliminare un account utente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eliminare un account utente utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account utente che si desidera eliminare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'utente che si desidera eliminare e quindi scegliere Elimina.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=141700).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Gestire gruppi

È possibile utilizzare il Centro di amministrazione di Active Directory per creare nuovi gruppi o gestire i gruppi esistenti.

  • Informazioni sui gruppi

  • Creare un nuovo gruppo

  • Aggiungere un membro a un gruppo

  • Modificare il tipo di gruppo o l'ambito del gruppo

  • Spostare un gruppo

  • Eliminare un gruppo


Informazioni sui gruppi

Un gruppo è un insieme di account utente, account computer, contatti e altri gruppi che possono essere gestiti come una singola unità. Gli utenti e i computer appartenenti a un determinato gruppo vengono definiti membri del gruppo.

I gruppi in Servizi di dominio Active Directory sono oggetti directory che risiedono in un dominio e in oggetti contenitore unità organizzativa. Servizi di dominio Active Directory offre un insieme di gruppi predefiniti al momento dell'installazione e un'opzione per creare gruppi.

È possibile utilizzare i gruppi in Servizi di dominio Active Directory per eseguire le operazioni seguenti:

  • Semplificare l'amministrazione assegnando le autorizzazioni per una risorsa condivisa a un gruppo anziché ai singoli utenti. L'assegnazione di autorizzazioni a un gruppo consente di concedere lo stesso accesso alla risorsa a tutti i membri del gruppo.

  • Delegare l'amministrazione assegnando una sola volta i diritti utente a un gruppo tramite i Criteri di gruppo. È quindi possibile aggiungere al gruppo i membri che si desidera dispongano degli stessi diritti del gruppo.

  • Creare liste di distribuzione per posta elettronica.

I gruppi sono caratterizzati dai relativi ambito e tipo. L'ambito di un gruppo determina il campo di applicazione del gruppo in un dominio o in una foresta. Il tipo di gruppo determina se è possibile utilizzare un gruppo per assegnare autorizzazioni da una risorsa condivisa (gruppi di sicurezza) o solo per liste di distribuzione per posta elettronica (gruppi di distribuzione).

Esistono anche gruppi di cui non è possibile modificare né visualizzare le appartenenze. Questi gruppi sono definiti identità speciali e rappresentano utenti diversi in momenti diversi, a seconda delle circostanze. Il gruppo Everyone, ad esempio, è un'identità speciale che rappresenta tutti gli utenti della rete correnti, inclusi i membri del gruppo Guests e gli utenti di altri domini.

Nelle sezioni seguenti vengono fornite ulteriori informazioni sugli account di gruppo di Servizi di dominio Active Directory.

Gruppi predefiniti

I gruppi predefiniti, ad esempio il gruppo Domain Admins, sono gruppi di sicurezza creati automaticamente durante la creazione di un dominio Active Directory. È possibile utilizzare questi gruppi predefiniti per controllare l'accesso a risorse condivise e per delegare ruoli amministrativi specifici a livello di dominio.

A molti gruppi predefiniti viene assegnato automaticamente un insieme di diritti utente che autorizzano i membri del gruppo a eseguire azioni specifiche in un dominio, ad esempio l'accesso a un sistema locale o il backup di file e cartelle. Un membro del gruppo Backup Operators ha ad esempio il diritto di eseguire operazioni di backup per tutti i controller di dominio nel dominio.

Quando si aggiunge un utente a un gruppo, l'utente riceve quanto segue:

  • Tutti i diritti utente assegnati al gruppo

  • Tutte le autorizzazioni assegnate al gruppo per le risorse condivise

I gruppi predefiniti si trovano nei contenitori Builtin e Users. L'ambito dei gruppi predefiniti nel contenitore Builtin corrisponde a Locale incorporato. L'ambito e il tipo di questi gruppi non può essere modificato. Il contenitore Users include gruppi definiti con un ambito globale e gruppi definiti con un ambito locale di dominio. È possibile spostare i gruppi che si trovano in questi contenitori in altri gruppi o in altre unità organizzative all'interno del dominio, ma non è possibile spostarli in altri domini.

Per ulteriori informazioni sui gruppi predefiniti, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=131422).

Ambito dei gruppi

I gruppi sono caratterizzati da un ambito che identifica il campo di applicazione del gruppo in un albero di dominio o in una foresta. Sono disponibili tre ambiti dei gruppi, ovvero locale di dominio, globale e universale.

Gruppi locali di dominio

I membri dei gruppi locali di dominio possono includere altri gruppi e account appartenenti a domini di Windows NT, Windows 2000, Windows 2003, Windows Server 2008 e Windows Server 2008 R2. Ai membri di tali gruppi possono essere assegnate autorizzazioni solo all'interno di un dominio.

I gruppi con ambito locale di dominio consentono di definire e gestire l'accesso alle risorse all'interno di un singolo dominio. Questi gruppi possono avere come membri le entità seguenti:

  • Account di qualsiasi dominio

  • Gruppi locali di qualsiasi dominio

  • Gruppi universali di qualsiasi dominio

  • Gruppi locali di dominio, ma solo dello stesso dominio del gruppo locale di dominio padre

  • Una combinazione qualsiasi delle entità sopra elencate

Per consentire a cinque utenti di accedere a una determinata stampante, è ad esempio possibile aggiungere tutti e cinque gli account utente all'elenco di autorizzazioni per la stampante. Se in un secondo momento si desidera tuttavia concedere ai cinque utenti l'accesso a una nuova stampante, sarà necessario specificare di nuovo tutti e cinque gli account nell'elenco di autorizzazioni per la nuova stampante.

Con un minimo di pianificazione, è possibile semplificare questa attività di amministrazione di routine creando un gruppo con ambito locale di dominio e assegnandovi l'autorizzazione per accedere alla stampante. Inserire i cinque account utente in un gruppo con ambito globale e aggiungere questo gruppo al gruppo con ambito locale di dominio. Quando si desidera concedere ai cinque utenti l'accesso a una nuova stampante, assegnare al gruppo con ambito locale di dominio l'autorizzazione per accedere alla nuova stampante. Tutti i membri del gruppo con ambito globale otterranno automaticamente l'accesso alla nuova stampante.

Gruppi globali

I membri di un gruppo globale possono includere account appartenenti allo stesso dominio del gruppo globale padre e gruppi globali appartenenti allo stesso dominio del gruppo globale padre. Ai membri di tali gruppi possono essere assegnate autorizzazioni in qualunque dominio della foresta.

È possibile utilizzare i gruppi con ambito globale per gestire oggetti directory che richiedono una manutenzione giornaliera, ad esempio account utente e computer. Poiché i gruppi con ambito globale non vengono replicati all'esterno del proprio dominio, è possibile modificare frequentemente gli account di un gruppo con ambito globale senza generare traffico di replica nel catalogo globale.

Nonostante i diritti e le autorizzazioni siano validi sono all'interno del dominio in cui vengono assegnati, l'applicazione uniforme di gruppi con ambito globale nei domini appropriati consente di consolidare i riferimenti agli account con scopi simili. La gestione dei gruppi a livello di dominio viene in tal modo semplificata e razionalizzata. Si supponga che una rete contenga due domini, Europa e StatiUniti. Se il dominio StatiUniti include un gruppo con ambito globale denominato GLAccounting, tale gruppo dovrà esistere anche nel dominio Europa, a meno che la funzione di accounting non esista nel dominio Europa.

Importante

Quando si specificano autorizzazioni relative a oggetti directory di dominio replicati nel catalogo globale, è consigliabile utilizzare gruppi globali o universali anziché gruppi locali di dominio.

Gruppi universali

I gruppi universali possono avere come membri le entità seguenti:

  • Account di qualsiasi dominio all'interno della foresta in cui risiede il gruppo universale

  • Gruppi globali di qualsiasi dominio all'interno della foresta in cui risiede il gruppo universale

  • Gruppi universali di qualsiasi dominio all'interno della foresta in cui risiede il gruppo universale

Ai membri di tali gruppi possono essere assegnate autorizzazioni in qualsiasi dominio dell'albero di dominio o della foresta. Utilizzare i gruppi con ambito universale per consolidare i gruppi che si estendono su più domini. A tale scopo, aggiungere gli account ai gruppi con ambito globale e nidificare tali gruppi nei gruppi con ambito universale. Quando si utilizza questa strategia, qualsiasi modifica dell'appartenenza apportata ai gruppi con ambito globale non ha effetto sui gruppi con ambito universale.

Si supponga che una rete contenga due domini, Europa e StatiUniti, e che ogni dominio includa un gruppo con ambito globale denominato GLAccounting. Creare un gruppo con ambito universale denominato UAccounting che abbia come membri i due gruppi GLAccounting, ovvero StatiUniti\GLAccounting ed Europa\GLAccounting. Il gruppo UAccounting potrà essere utilizzato ovunque all'interno dell'organizzazione. Le modifiche all'appartenenza dei singoli gruppi GLAccounting non determineranno la replica del gruppo UAccounting.

È consigliabile non modificare frequentemente l'appartenenza di un gruppo con ambito universale. Qualsiasi modifica apportata all'appartenenza di questo tipo di gruppo causa la replica dell'intera appartenenza del gruppo in ogni catalogo globale della foresta.

Tipi di gruppi

In Servizi di dominio Active Directory esistono due tipi di gruppi, ovvero gruppi di distribuzione e gruppi di sicurezza. È possibile utilizzare i gruppi di distribuzione per creare liste di distribuzione per posta elettronica. È possibile utilizzare i gruppi di sicurezza per assegnare autorizzazioni a una risorsa condivisa.

È possibile utilizzare i gruppi di distribuzione solo con applicazioni di posta elettronica, ad esempio Microsoft Exchange Server 2007, per inviare posta elettronica a gruppi di utenti. I gruppi di distribuzione non sono dotati di funzioni di sicurezza e pertanto non possono essere inclusi negli elenchi di controllo di accesso discrezionali (DACL). Se è necessario disporre di un gruppo per il controllo dell'accesso a risorse condivise, creare un gruppo di sicurezza.

Se utilizzati con attenzione, i gruppi di sicurezza rappresentano un modo efficiente per concedere l'accesso alle risorse in rete. È possibile utilizzare i gruppi di sicurezza per eseguire le operazioni seguenti:

  • Assegnare diritti utente a gruppi di sicurezza in Servizi di dominio Active Directory.

    I diritti utente vengono assegnati a un gruppo di sicurezza per determinare quali operazioni possono eseguire i membri di quel gruppo all'interno dell'ambito di un dominio o di una foresta. I diritti utente vengono assegnati automaticamente ad alcuni gruppi di sicurezza durante l'installazione di Servizi di dominio Active Directory per consentire agli amministratori di definire il ruolo amministrativo di un utente nel dominio. Un utente aggiunto al gruppo Backup Operators in Active Directory ha ad esempio la possibilità di eseguire il backup e il ripristino di file e directory in ogni controller di dominio nel dominio.

  • Assegnare autorizzazioni per le risorse a gruppi di sicurezza.

    Le autorizzazioni si differenziano dai diritti utente. Le autorizzazioni definiscono chi può accedere a una risorsa condivisa e determinano il livello di accesso, ad esempio Controllo completo. È possibile utilizzare i gruppi di sicurezza per gestire l'accesso e le autorizzazioni per una risorsa condivisa. Alcune autorizzazioni impostate sugli oggetti dominio vengono assegnate automaticamente per attribuire vari livelli di accesso ai gruppi di sicurezza predefiniti, ad esempio il gruppo Account Operators o Domain Admins.

Analogamente ai gruppi di distribuzione, i gruppi di sicurezza possono essere utilizzati come entità di posta elettronica. L'invio di un messaggio di posta elettronica al gruppo determina l'invio del messaggio a tutti i membri del gruppo.

Identità speciali

Oltre ai gruppi presenti nei contenitori Users e Builtin, i server che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 includono diverse identità speciali. Per praticità, queste identità vengono in genere definite gruppi. Questi gruppi speciali non dispongono di appartenenze specifiche che possono essere modificate. Possono tuttavia rappresentare utenti diversi in momenti diversi, a seconda delle circostanze. I gruppi seguenti rappresentano identità speciali:

  • Accesso anonimo

    Questo gruppo rappresenta utenti e servizi che accedono a un computer e alle risorse corrispondenti attraverso la rete senza utilizzare un nome di account, una password o un nome di dominio. Nei computer che eseguono Windows NT e versioni precedenti, il gruppo Accesso anonimo è un membro predefinito del gruppo Everyone. Nei computer che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 il gruppo Accesso anonimo non è un membro predefinito del gruppo Everyone.

  • Everyone

    Questo gruppo rappresenta tutti i gli utenti correnti della rete, inclusi i membri del gruppo Guests e gli utenti di altri domini. Ogni volta che un utente accede alla rete, l'utente viene aggiunto automaticamente al gruppo Everyone.

  • Rete

    Questo gruppo rappresenta gli utenti che accedono a una determinata risorsa attraverso la rete, diversamente dagli utenti che accedono a una risorsa connettendosi localmente al computer in cui si trova la risorsa. Ogni volta che un utente accede a una determinata risorsa attraverso la rete, l'utente viene aggiunto automaticamente al gruppo Network.

  • Interactive

    Questo gruppo rappresenta tutti gli utenti connessi a un determinato computer e che accedono a un risorsa che si trova in quel computer, diversamente dagli utenti che accedono alla risorsa attraverso la rete. Ogni volta che un utente accede a una determinata risorsa nel computer a cui è attualmente connesso, l'utente viene aggiunto automaticamente al gruppo Interactive.

Sebbene alle identità speciali sia possibile assegnare diritti e autorizzazioni per le risorse, non è possibile modificare o visualizzarne le appartenenze di identità speciali. Gli ambiti dei gruppi non si applicano alle identità speciali. Gli utenti vengono assegnati automaticamente a queste identità speciali ogni volta che si connettono o accedono a una determinata risorsa.

Posizioni in cui è possibile creare i gruppi

In Servizi di dominio Active Directory i gruppi vengono creati nei domini. È possibile utilizzare il Centro di amministrazione di Active Directory per creare i gruppi. Se si dispone delle autorizzazioni necessarie, è possibile creare gruppi nel dominio radice della foresta, in qualsiasi altro dominio della foresta o in una unità organizzativa.

Oltre che dal dominio in cui viene creato, un gruppo è caratterizzato dal relativo ambito. L'ambito di un gruppo determina quanto segue:

  • Il dominio da cui è possibile aggiungere membri

  • Il dominio in cui sono validi i diritti e le autorizzazioni assegnati al gruppo

Scegliere il dominio o l'unità organizzativa in cui creare un gruppo in base al tipo di amministrazione necessaria per il gruppo. Se ad esempio la directory include più unità organizzative, ognuna delle quali ha un amministratore diverso, sarà possibile creare gruppi con ambito globale all'interno di tali unità organizzative, in modo che gli amministratori possano gestire l'appartenenza ai gruppi per gli utenti nelle rispettive unità organizzative. Se sono necessari gruppi per il controllo dell'accesso all'esterno dell'unità organizzativa, sarà possibile nidificare i gruppi dell'unità organizzativa in gruppi con ambito universale o in altri gruppi con ambito globale che possono essere utilizzati in un'altra posizione nella foresta.

Se il livello funzionale del dominio è impostato su Windows 2000 originale o versioni successive, il dominio contiene una gerarchia di unità organizzative e l'amministrazione è delegata agli amministratori di ogni unità organizzativa, potrebbe risultare più efficiente nidificare i gruppi con ambito globale. Se ad esempio l'unità organizzativa 1 contiene le unità organizzative 2 e 3, un gruppo con ambito globale nell'unità organizzativa 1 può avere come relativi membri i gruppi con ambito globale nelle unità organizzative 2 e 3. Nell'unità organizzativa 1 l'amministratore può aggiungere o rimuovere membri dei gruppi dall'unità organizzativa 1 e gli amministratori delle unità organizzative 2 e 3 possono aggiungere o rimuovere membri dei gruppi per gli account delle proprie unità organizzative senza disporre dei diritti amministrativi per il gruppo con ambito globale nell'unità organizzativa 1.

Nota

È possibile spostare gruppi all'interno di un dominio. Solo i gruppi con ambito universale possono tuttavia essere spostati da un dominio all'altro. I diritti e le autorizzazioni assegnati a un gruppo con ambito universale vengono persi quando il gruppo viene spostato in un altro dominio, pertanto è necessario procedere a nuove assegnazioni.

Ulteriori riferimenti

  • Gestire gruppi


Creare un nuovo gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare un nuovo gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul nodo in cui si desidera aggiungere un nuovo gruppo, scegliere Nuovo e quindi fare clic su Gruppo.

  3. In Crea gruppo nella sezione Gruppo:

    • Digitare il nome del nuovo gruppo.

      Per impostazione predefinita, il nome digitato viene inoltre utilizzato come Nome gruppo (SamAccountName) del nuovo gruppo.

    • In Ambito del gruppo fare clic su una delle opzioni disponibili.

      Per ulteriori informazioni, vedere la sezione "Ambito dei gruppi" in Informazioni sui gruppi.

    • In Tipo gruppo fare clic su una delle opzioni disponibili.

      Per ulteriori informazioni, vedere la sezione "Tipi di gruppo" in Informazioni sui gruppi.

    • Per proteggere il gruppo dall'eliminazione accidentale, selezionare la casella di controllo Proteggi da eliminazioni accidentali.

  4. In Crea gruppo modificare i valori appropriati nelle sezioni Gestito da, Membro di e Membri e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo gruppo (http://go.microsoft.com/fwlink/?LinkId=141703).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Aggiungere un membro a un gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiungere un membro a un gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nell'elenco di gestione fare clic con il pulsante destro del mouse sul gruppo al quale si desidera aggiungere membri e quindi scegliere Proprietà.

  3. Nella sezione Membri fare clic su Aggiungi.

  4. In Immettere i nomi degli oggetti da selezionare digitare il nome dell'utente, del gruppo o del computer che si desidera aggiungere al gruppo e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un membro a un gruppo (http://go.microsoft.com/fwlink/?LinkId=141707).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

  • Oltre a utenti e computer, i membri di un gruppo possono includere contatti e altri gruppi.

Ulteriori riferimenti

  • Gestire gruppi


Modificare il tipo di gruppo o l'ambito del gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare un tipo di gruppo o l'ambito del gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene il gruppo di cui si desidera modificare il tipo o l'ambito.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sul gruppo di cui si desidera modificare il tipo o l'ambito e quindi scegliere Proprietà.

  4. Nella sezione Gruppo eseguire una delle operazioni seguenti:

    • Per modificare il tipo di gruppo, in Tipo gruppo fare clic sul tipo di gruppo.

    • Per modificare l'ambito del gruppo, in Ambito del gruppo selezionare l'ambito del gruppo.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica del tipo di gruppo o dell'ambito del gruppo (http://go.microsoft.com/fwlink/?LinkId=141712).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

  • Per modificare il tipo di gruppo o l'ambito del gruppo, il livello di funzionalità del dominio deve essere impostato su Windows 2000 originale o versioni successive. Non è possibile modificare il tipo di gruppo o l'ambito del gruppo se il livello di funzionalità del dominio è impostato su Windows 2000 misto.

  • È possibile modificare l'ambito di un gruppo da universale a locale di dominio solo in un server di catalogo globale. Se il controller di dominio non è un server di catalogo globale, verrà visualizzato un messaggio di errore.

Ulteriori riferimenti

  • Gestire gruppi


Spostare un gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per spostare un gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene il gruppo che si desidera spostare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sul gruppo che si desidera spostare e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta utilizzare l'area Trova nella colonna per passare alla cartella in cui si desidera spostare il gruppo e per selezionare tale cartella, quindi fare clic su OK.

Ulteriori considerazioni

  • Non è possibile utilizzare il Centro di amministrazione di Active Directory per spostare gruppi da un dominio all'altro. Per spostare gruppi tra domini diversi, utilizzare l'Utilità di migrazione ad Active Directory (ADMT). Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un gruppo (http://go.microsoft.com/fwlink/?LinkId=141723).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Eliminare un gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eliminare un gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene il gruppo che si desidera eliminare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sul gruppo che si desidera eliminare e quindi scegliere Elimina.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un gruppo (http://go.microsoft.com/fwlink/?LinkId=141735).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Gestire computer

È possibile utilizzare il Centro di amministrazione di Active Directory per creare nuovi account computer o gestire account computer esistenti.

  • Informazioni sugli account computer

  • Creare un nuovo account computer

  • Aggiungere un account computer a un gruppo

  • Spostare un account computer

  • Reimpostare un account computer

  • Disabilitare o abilitare un account computer

  • Eliminare un account computer


Informazioni sugli account computer

Ogni computer che esegue i sistemi operativi Windows NT, Windows 2000, Windows XP. Windows Vista® o Windows 7 oppure un server che esegue Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 aggiunto a un dominio dispone di un account computer. Analogamente agli account utente, gli account computer consentono l'autenticazione e il controllo dell'accesso alla rete e alle risorse del dominio. Ogni account computer deve essere univoco.

Nota

I computer che eseguono Windows 95 e Windows 98 non dispongono di funzionalità di sicurezza avanzate. A tali computer non vengono pertanto assegnati account computer.

È possibile aggiungere, spostare, reimpostare, disabilitare, abilitare ed eliminare account computer utilizzando il Centro di amministrazione di Active Directory. È inoltre possibile creare un account computer nel momento in cui un computer viene aggiunto a un dominio.

Quando il livello di funzionalità del dominio è impostato su Windows Server 2008 o Windows Server 2008 R2, viene utilizzato un nuovo attributo, denominato lastLogonTimestamp, per tenere traccia dell'ora dell'ultimo accesso da parte di un account utente o computer. Questo attributo viene replicato all'interno del dominio e fornisce informazioni importanti relative alla cronologia di un utente o di un computer.

Informazioni sui nomi di computer

Ogni account computer creato in Servizi di dominio Active Directory dispone di un nome distinto relativo (noto anche come RDN), di un nome computer precedente a Windows 2000, ovvero un nome account del sistema di gestione degli account di sicurezza (SAM), di un suffisso DNS (Domain Name System) primario, di un nome host DNS e di un nome principale di servizio (SPN). L'amministratore immette il nome del computer al momento della creazione dell'account computer. Il nome del computer viene utilizzato come nome distinto relativo LDAP (Lightweight Directory Access Protocol).

In Servizi di dominio Active Directory viene proposto automaticamente un nome precedente a Windows 2000 in base ai primi 15 byte del nome distinto relativo. È possibile modificare il nome precedente a Windows 2000 in qualsiasi momento.

Il nome DNS di un host è detto nome completo del computer e rappresenta un nome di dominio completo (FQDN) DNS. Il nome di dominio completo è composto dal nome del computer (i primi 15 byte del nome account SAM dell'account computer senza il carattere "$") e dal suffisso DNS primario (il nome di dominio DNS del dominio in cui si trova l'account computer), ad esempio computer1.contoso.com.

Per impostazione predefinita, la parte relativa al suffisso DNS primario dell'FQDN di un computer deve essere uguale al nome del dominio Active Directory in cui si trova il computer. Per consentire l'utilizzo di suffissi DNS primari diversi, l'amministratore di dominio può generare un elenco con restrizioni di suffissi consentiti mediante la creazione dell'attributo msDS-AllowedDNSSuffixes nel contenitore di oggetti dominio. La creazione e la gestione di questo attributo vengono eseguite dall'amministratore di dominio tramite Active Directory Service Interfaces o LDAP.

SPN è un attributo multivalore e viene in genere creato dal nome DNS dell'host. L'SPN viene utilizzato nel processo di autenticazione reciproca tra il client e il server che ospita un particolare servizio. Il client individua un account computer in base all'SPN del servizio a cui sta tentando di connettersi. L'SPN può essere modificato dai membri del gruppo Domain Admins.

Ulteriori riferimenti

  • Gestire computer


Creare un nuovo account computer

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare un nuovo account computer utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul nodo in cui si desidera aggiungere un nuovo account computer, scegliere Nuovo e quindi fare clic su Computer.

  3. In Crea computer nella sezione Computer:

    • Digitare il nome del nuovo account computer in Nome.

      Per impostazione predefinita, il nome digitato viene inoltre utilizzato come Nome computer (NetBIOS) del nuovo account computer.

    • Per proteggere l'account computer dall'eliminazione accidentale, selezionare la casella di controllo Proteggi da eliminazioni accidentali.

    • Se il computer che utilizza l'account che si sta creando esegue un sistema operativo precedente a Windows 2000, selezionare la casella di controllo Assegna l'account di questo computer come un computer con sistema operativo precedente a Windows 2000.

  4. In Crea computer modificare i valori appropriati nelle sezioni Gestito da e Membro di e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account computer (http://go.microsoft.com/fwlink/?LinkId=141741).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Aggiungere un account computer a un gruppo

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiungere un account computer a un gruppo utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account computer che si desidera aggiungere a un gruppo.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'account computer che si desidera aggiungere a un gruppo e quindi scegliere Proprietà.

  4. In Membro di fare clic su Aggiungi.

  5. In Immettere i nomi degli oggetti da selezionare digitare il nome del gruppo al quale si desidera aggiungere l'account computer e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un account computer a un gruppo (http://go.microsoft.com/fwlink/?LinkId=141773).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

  • L'aggiunta di un computer a un gruppo consente di assegnare autorizzazioni a tutti gli account computer di tale gruppo e di filtrare le impostazioni dei Criteri di gruppo su tutti gli account inclusi nel gruppo.

Ulteriori riferimenti

  • Gestire computer


Spostare un account computer

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per spostare un account computer utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account computer che si desidera spostare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'account computer che si desidera spostare e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta utilizzare l'area Trova nella colonna per passare alla cartella in cui si desidera spostare il gruppo e per selezionare tale cartella, quindi fare clic su OK.

Ulteriori considerazioni

  • Non è possibile utilizzare il Centro di amministrazione di Active Directory per spostare account computer da un dominio all'altro. Per spostare account computer tra domini diversi, utilizzare l'Utilità di migrazione ad Active Directory (ADMT). Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un account computer (http://go.microsoft.com/fwlink/?LinkId=141774).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Reimpostare un account computer

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per reimpostare un account computer utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account computer che si desidera reimpostare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'account computer che si desidera reimpostare e quindi scegliere Ripristina account.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=141775).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Disabilitare o abilitare un account computer

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per disabilitare o abilitare un account computer utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account computer di cui si desidera modificare lo stato.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sul computer di cui si desidera modificare lo stato.

  4. A seconda dello stato dell'account computer, eseguire una delle operazioni seguenti:

    • Per disabilitare l'account computer, fare clic su Disabilita.

    • Per abilitare l'account computer, fare clic su Abilita.

Ulteriori considerazioni

  • Se si disabilita un account computer, il computer non sarà in grado di eseguire l'autenticazione del dominio fino a quando non verrà abilitato.

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=141801).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Eliminare un account computer

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eliminare un account computer utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'account computer che si desidera eliminare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'account computer che si desidera eliminare e quindi scegliere Elimina.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=141803).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Gestire domini e controller di dominio

È possibile utilizzare il Centro di amministrazione di Active Directory per connettersi a domini o controller di dominio specifici e quindi visualizzare o gestire le relative informazioni di directory. È inoltre possibile utilizzare il Centro di amministrazione di Active Directory per gestire oggetti Active Directory tra più domini trusted.

  • Informazioni sui domini

  • Informazioni sulla funzionalità del dominio e della foresta

  • Aumentare il livello di funzionalità del dominio

  • Aumentare il livello di funzionalità della foresta

  • Gestire il dominio utilizzando un controller di dominio diverso

  • Gestire domini diversi


Informazioni sui domini

I domini sono unità di replica. Tutti i controller di dominio di un determinato dominio possono ricevere modifiche e replicarle in tutti gli altri controller di dominio del dominio. Ogni dominio di Servizi di dominio Active Directory è identificato da un nome di dominio DNS (Domain Name System). Ogni dominio richiede uno o più controller di dominio. Se la rete necessita di più domini, sarà possibile crearli con facilità.

Uno o più domini che condividono lo stesso schema e lo stesso catalogo globale vengono definiti foresta. Il primo dominio di una foresta è detto dominio radice della foresta. Se più domini della foresta dispongono di nomi di dominio DNS contigui, la struttura viene detta albero di dominio.

Un singolo dominio può estendersi su più percorsi fisici o siti e contenere milioni di oggetti. La struttura del sito e la struttura del dominio sono separate e flessibili. Un singolo dominio può estendersi su più siti geografici. Un singolo sito può includere utenti e computer appartenenti a più domini.

Un dominio offre diversi vantaggi:

  • Possibilità di organizzare gli oggetti.

    Non è necessario creare domini separati unicamente per riflettere le divisioni e i reparti in cui è organizzata la società, poiché all'interno di un dominio è possibile utilizzare a questo scopo le unità organizzative che consentono di gestire gli account e le risorse del dominio. È quindi possibile assegnare impostazioni di Criteri di gruppo e inserire utenti, gruppi e computer nelle unità organizzative. L'utilizzo di un solo dominio semplifica enormemente l'overhead amministrativo. Per ulteriori informazioni, vedere Gestire unità organizzative.

  • Possibilità di pubblicare risorse e informazioni sugli oggetti dominio.

    Un dominio consente di archiviare informazioni solo per gli oggetti che contiene. La creazione di più domini comporta pertanto il partizionamento o la segmentazione della directory per soddisfare al meglio le esigenze dei vari utenti. Quando si utilizzano più domini, è possibile ridimensionare Servizi di dominio Active Directory in modo da includere un numero di oggetto elevato per i requisiti amministrativi e di pubblicazione delle directory.

  • La delega dell'autorità elimina la necessità di disporre di numerosi amministratori con un'ampia autorità amministrativa.

    L'utilizzo dell'autorità delegata in combinazione con gli oggetti Criteri di gruppo e le appartenenze ai gruppi consente di assegnare a un amministratore diritti e autorizzazioni per la gestione degli oggetti di un intero dominio o di una o più unità organizzative del dominio.

  • I criteri di sicurezza e le impostazioni, ad esempio i diritti utente e i criteri per le password, non sono valide tra domini.

    Ogni dominio dispone di propri criteri di sicurezza e relazioni di trust con altri domini. La foresta rappresenta tuttavia il limite di sicurezza ultimo.

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Informazioni sulla funzionalità del dominio e della foresta

Funzionalità del dominio e della foresta

La funzionalità del dominio e della foresta, disponibile in Servizi di dominio Active Directory in Windows Server 2008 R2, consente di attivare funzionalità di Active Directory a livello di dominio o di foresta all'interno dell'ambiente di rete. A seconda dell'ambiente di rete specifico, sono disponibili livelli di funzionalità del dominio e della foresta diversi.

Se tutti i controller di dominio nel dominio o nella foresta eseguono Windows Server 2008 R2 e i livelli di funzionalità del dominio e della foresta sono impostati su Windows Server 2008 R2, tutte le funzionalità a livello di dominio e di foresta saranno disponibili. Quando il dominio o la foresta include controller di dominio Windows 2000, Windows Server 2003 o Windows Server 2008, le funzionalità di Active Directory sono limitate. Per ulteriori informazioni sulla procedura di attivazione delle funzionalità a livello di dominio o di foresta, vedere Aumentare il livello di funzionalità del dominio e Aumentare il livello di funzionalità della foresta.

Funzionalità del dominio

La funzionalità del dominio attiva le funzionalità che hanno effetto sull'intero dominio e solo su tale dominio. In Servizi di dominio Active Directory in Windows Server 2008 R2 sono disponibili quattro livelli di funzionalità del dominio: Windows 2000 originale, Windows Server 2003 (livello predefinito), Windows Server 2008 e Windows Server 2008 R2.

Nella tabella seguente vengono elencati i livelli di funzionalità del dominio e i relativi controller di dominio supportati:

Livello di funzionalità del dominio | Controller di dominio supportati
Windows 2000 originale | Windows 2000 Server Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2003 | Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 | Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 R2 | Windows Server 2008 R2

Quando si aumenta il livello di funzionalità del dominio, i controller di dominio che eseguono sistemi operativi precedenti non possono essere inseriti nel dominio. Se si aumenta il livello di funzionalità del dominio portandolo a Windows Server 2008 R2, non è possibile aggiungere al dominio controller di dominio che eseguono Windows Server 2008.

Nella tabella seguente sono illustrate le funzionalità a livello di dominio attivate per i livelli di funzionalità del dominio di Servizi di dominio Active Directory in Windows Server 2008 R2.

Livello di funzionalità del dominio Funzionalità attive

Windows 2000 originale

Tutte le funzionalità predefinite di Active Directory e le funzionalità seguenti:

  • I gruppi universali sono abilitati per i gruppi di distribuzione e di sicurezza.

  • Nidificazione dei gruppi.

  • La conversione dei gruppi è abilitata, rendendo possibile la conversione tra gruppi di sicurezza e gruppi di distribuzione.

  • Cronologia ID di sicurezza (SID).

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows 2000 originale, più le funzionalità seguenti:

  • La disponibilità dello strumenti di gestione del dominio, Netdom.exe, per la preparazione della ridenominazione dei controller di dominio.

  • Aggiornamento del timestamp di accesso. L'attributo lastLogonTimestamp viene aggiornato con l'ora dell'ultimo accesso da parte dell'utente o del computer. Questo attributo viene replicato all'interno del dominio.

  • La capacità di impostare l'attributo userPassword come password efficace sull'oggetto inetOrgPerson e sugli oggetti utente.

  • La capacità di reindirizzare i contenitori Utenti e computer. Per impostazione predefinita, per l'inserimento di account computer e account utente/di gruppo sono disponibili due contenitori noti: cn=Computers,<radice di dominio> e cn=Users,<radice di dominio>. Questa funzionalità consente di definire un nuovo percorso noto per questi account.

  • Gestione autorizzazioni è in grado di archiviare i relativi criteri di autorizzazione in Servizi di dominio Active Directory.

  • È inclusa la delega vincolata, che consente alle applicazioni di sfruttare la delega sicura delle credenziali dell'utente mediante il protocollo di autenticazione Kerberos. È possibile configurare la delega affinché sia consentita solo su servizi di destinazione specifici.

  • L'autenticazione selettiva è supportata, consentendo di specificare utenti e gruppi da una foresta trusted cui sia consentita l'autenticazione in server di risorse in una foresta trusting.

Windows Server 2008

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows 2003, più le funzionalità seguenti:

  • Supporto della replica DFS per SYSVOL, che consente una replica più affidabile e dettagliata del contenuto SYSVOL.

  • Supporto di servizi di crittografia avanzati (AES 128 e 256) per il protocollo di autenticazione Kerberos.

  • Informazioni sull'ultimo accesso interattivo, che indicano l'ora dell'ultimo accesso interattivo riuscito per un utente, la workstation da cui è stato eseguito l'accesso e il numero di tentativi di accesso non riusciti dopo l'ultimo accesso.

  • Criteri specifici per le password che consentono di specificare criteri per le password e il blocco degli account per utenti e gruppi di sicurezza globali in un dominio.

Windows Server 2008 R2

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows Server 2008, più la funzionalità seguente:

  • Verifica del meccanismo di autenticazione, che consente di raccogliere informazioni sul tipo di metodo di accesso (smart card oppure nome utente/password) utilizzato per l'autenticazione degli utenti di dominio nel token Kerberos di ogni utente. Quando si attiva questa funzionalità in un ambiente di rete in cui è distribuita un'infrastruttura per la gestione delle identità federative, come Active Directory Federation Services (ADFS), le informazioni nel token possono essere estratte ogni volta che un utente tenta di accedere a qualsiasi applicazione in grado di riconoscere attestazioni sviluppata per determinare le autorizzazioni in base al metodo di accesso dell'utente.

Funzionalità della foresta

La funzionalità della foresta determina l'attivazione di funzionalità in tutti i domini della foresta. Nel sistema operativo Windows Server 2008 R2 sono disponibili quattro livelli di funzionalità della foresta: Windows 2000, Windows Server 2003 (livello predefinito), Windows Server 2008 e Windows Server 2008 R2.

Nella tabella seguente sono illustrati i livelli di funzionalità della foresta disponibili in Windows Server 2008 R2 e i relativi controller di dominio supportati.

Livello di funzionalità della foresta | Controller di dominio supportati
Windows 2000 Server | Windows NT 4.0 Windows 2000 Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2003 (predefinito) | Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 | Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 R2 | Windows Server 2008 R2

Quando si aumenta il livello di funzionalità della foresta, i controller di dominio che eseguono sistemi operativi precedenti non possono essere inseriti nella foresta. Se, ad esempio, si aumenta il livello di funzionalità della foresta portandolo a Windows Server 2008 R2, non è possibile aggiungere alla foresta controller di dominio che eseguono Windows Server 2008.

Nella tabella seguente vengono descritte le funzionalità a livello di foresta attivate per i livelli di funzionalità della foresta Windows Server 2008 R2.

Livello di funzionalità della foresta Funzionalità attive

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory, più le seguenti:

  • Trust tra foreste.

  • Ridenominazione dei domini.

  • Replica del valore collegato. Le modifiche dell'appartenenza ai gruppi comportano l'archiviazione e la replica dei valori per i singoli membri anziché per l'appartenenza come unità singola. Questo determina un minore utilizzo della larghezza di banda di rete e del processore durante la replica ed elimina la possibilità di perdita degli aggiornamenti quando più membri vengono aggiunti o rimossi contemporaneamente in corrispondenza di controller di dominio diversi.

  • La capacità di distribuire un controller di dominio di sola lettura che esegue Windows Server 2008.

  • Algoritmi KCC (Knowledge Consistency Checker) e di scalabilità migliorati. Il generatore della topologia tra siti (ISTG) utilizza algoritmi migliorati che si adattano per supportare le foreste con un numero maggiore di siti che è possibile supportare al livello di funzionalità della foresta Windows 2000.

  • La capacità di creare istanze della classe ausiliaria dinamica denominata dynamicObject in una partizione di directory del dominio.

  • La capacità di convertire un'istanza dell'oggetto inetOrgPerson in un'istanza dell'oggetto User e viceversa.

  • La capacità di creare istanze di nuovi tipi di gruppi, detti gruppi applicazione di base e gruppi query Lightweight Directory Access Protocol (LDAP), per supportare l'autorizzazione basata su ruoli.

  • Disattivazione e ridefinizione degli attributi e delle classi nello schema.

Windows Server 2008

Tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, ma nessuna funzionalità aggiuntiva. Per tutti i domini successivamente aggiunti alla foresta, sarà tuttavia attivo il livello di funzionalità del dominio Windows Server 2008 per impostazione predefinita.

Windows Server 2008 R2

Tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, più le funzionalità seguenti:

  • Cestino di Active Directory, che consente di ripristinare completamente gli oggetti eliminati mentre Servizi di dominio Active Directory è in esecuzione.

Per tutti i domini aggiunti successivamente alla foresta sarà attivo il livello di funzionalità del dominio Windows Server 2008 R2 per impostazione predefinita.

Se si intende includere solo controller di dominio che eseguono Windows Server 2008 R2 nell'intera foresta, è possibile scegliere questo livello di funzionalità della foresta per convenienza amministrativa. In tal caso, non sarà mai necessario aumentare il livello di funzionalità del dominio per ogni dominio creato nella foresta.

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Aumentare il livello di funzionalità del dominio

Quando si installa Servizi di dominio Active Directory in un server che esegue Windows Server 2008 R2, per impostazione predefinita viene attivato un insieme di funzionalità di base di Active Directory. Oltre alle funzionalità di base di Active Directory nei singoli controller di dominio, quando tutti i controller di dominio in un dominio o in una foresta eseguono Windows Server 2008 R2 sono disponibili nuove funzionalità a livello di dominio e di foresta. Per ulteriori informazioni, vedere Informazioni sulla funzionalità del dominio e della foresta.

Per consentire l'attivazione delle nuove funzionalità a livello di dominio, è necessario che in tutti i controller di dominio nel dominio sia in esecuzione Windows Server 2008 R2 e che il livello di funzionalità del dominio sia portato a Windows Server 2008 R2. Per aumentare il livello di funzionalità del dominio utilizzando il Centro di amministrazione di Active Directory, è possibile utilizzare la procedura seguente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins nel dominio per il quale si desidera aumentare il livello di funzionalità oppure al gruppo Enterprise Admins o a un gruppo equivalente in Servizi di dominio Active Directory. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aumentare il livello di funzionalità del dominio utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul dominio per il quale si desidera aumentare il livello di funzionalità e quindi scegliere Aumenta livello di funzionalità dominio.

  3. In Selezionare un livello di funzionalità domino disponibile eseguire una delle operazioni seguenti:

    • Per aumentare il livello di funzionalità del dominio portandolo a Windows Server 2008, fare clic su Windows Server 2008 R2 e quindi su OK.

    • Per aumentare il livello di funzionalità del dominio portandolo a Windows Server 2008 R2, fare clic su Windows Server 2008 R2 e quindi su OK.
Attenzione
  • Dopo l'impostazione del livello di funzionalità del dominio su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità del dominio a Windows Server 2008 R2 e il livello di funzionalità della foresta è Windows Server 2008 o inferiore, è possibile ripristinare il livello di funzionalità del dominio su Windows Server 2008.
  • È possibile diminuire il livello di funzionalità del dominio solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità del dominio è impostato su Windows Server 2008 R2 non è possibile ripristinare un livello inferiore, ad esempio Windows Server 2003.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aumento del livello di funzionalità del dominio (http://go.microsoft.com/fwlink/?LinkId=141909).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Aumentare il livello di funzionalità della foresta

Quando si installa Servizi di dominio Active Directory in un server che esegue Windows Server 2008 R2, per impostazione predefinita viene attivato un insieme di funzionalità di base di Active Directory. Oltre alle funzionalità di base di Active Directory nei singoli controller di dominio, quando tutti i controller di dominio in un dominio o in una foresta eseguono Windows Server 2008 R2 sono disponibili nuove funzionalità a livello di dominio e di foresta. Per ulteriori informazioni, vedere Informazioni sulla funzionalità del dominio e della foresta.

Per consentire l'attivazione delle nuove funzionalità a livello di foresta, è necessario che in tutti i controller di dominio nella foresta sia in esecuzione Windows Server 2008 R2 e che il livello di funzionalità della foresta sia portato a Windows Server 2008 R2. Per aumentare il livello di funzionalità della foresta utilizzando il Centro di amministrazione di Active Directory, è possibile utilizzare la procedura seguente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins nel dominio radice della foresta o al gruppo Enterprise Admins o equivalente in Servizi di dominio Active Directory. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aumentare il livello di funzionalità della foresta utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul dominio che appartiene alla foresta di cui si desidera aumentare il livello di funzionalità e quindi scegliere Aumenta livello di funzionalità foresta.

  3. In Selezionare un livello di funzionalità della foresta disponibile eseguire una delle operazioni seguenti:

    • Per aumentare il livello di funzionalità della foresta portandolo a Windows Server 2008, fare clic su Windows Server 2008 e quindi su OK.

    • Per aumentare il livello di funzionalità della foresta portandolo a Windows Server 2008 R2, fare clic su Windows Server 2008 R2 e quindi su OK.
Attenzione
  • Dopo l'impostazione del livello di funzionalità della foresta su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità della foresta a Windows Server 2008 R2 e il Cestino di Active Directory non è attivato, è possibile ripristinare il livello di funzionalità della foresta su Windows Server 2008. Per ulteriori informazioni sul Cestino per Active Directory, vedere la pagina delle novità di Servizi di dominio Active Directory relativa al Cestino per Active Directory (http://go.microsoft.com/fwlink/?LinkId=141392).
  • È possibile diminuire il livello di funzionalità della foresta solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità della foresta è impostato su Windows Server 2008 R2 non è possibile ripristinarlo, ad esempio a Windows Server 2003.

Ulteriori considerazioni

  • I domini impostati sul livello di funzionalità del dominio Windows Server 2008 vengono portati automaticamente a Windows Server 2008 R2 quando il livello di funzionalità della foresta viene portato a Windows Server 2008 R2.

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aumento del livello di funzionalità della foresta (http://go.microsoft.com/fwlink/?LinkId=141939).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Gestire il dominio utilizzando un controller di dominio diverso

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire il dominio con un controller di dominio diverso utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul dominio che si desidera gestire con un controller di dominio diverso e quindi scegliere Cambia controller di dominio.

    Nota

    È inoltre possibile fare clic con il pulsante destro del mouse su un nodo di spostamento che rappresenta un contenitore entro il dominio che si desidera gestire con un controller di dominio diverso e quindi scegliere Cambia controller di dominio. In altri termini, è possibile modificare una connessione al controller di dominio per qualsiasi nodo disponibile nel riquadro di spostamento. La modifica di una connessione al controller di dominio per un determinato nodo che rappresenta un contenitore entro un dominio specifico comporta tuttavia la modifica di tale connessione per tutti gli altri nodi nel riquadro di spostamento che rappresentano contenitori appartenenti a quello stesso dominio.

  3. Fare clic su Qualsiasi controller di dominio scrivibile oppure su Selezionare un controller di dominio dall'elenco seguente e quindi selezionare un controller di dominio nell'elenco.

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Gestire domini diversi

Quando si apre il Centro di amministrazione di Active Directory nel computer che esegue Windows Server 2008 R2 oWindows 7 (quest'ultimo tramite Strumenti di amministrazione remota del server di Windows Server 2008 R2), il dominio a cui si è attualmente connessi in tale computer, ovvero il dominio locale, viene visualizzato nel riquadro di spostamento del Centro di amministrazione di Active Directory. In base ai diritti relativi all'insieme attivo delle credenziali di accesso, sarà possibile visualizzare o gestire gli oggetti Active Directory in tale dominio locale.

Sarà inoltre possibile utilizzare lo stesso insieme di credenziali di accesso e la stessa istanza del Centro di amministrazione di Active Directory per visualizzare o gestire oggetti Active Directory in un altro dominio, che può appartenere o non appartenere alla stessa foresta del dominio locale, purché disponga di una relazione di trust esistente con il dominio locale. Sono supportati sia i trust unidirezionali che quelli bidirezionali.

Nota

Si supponga che esista un trust unidirezionale tra il Dominio A e il Dominio B tramite il quale gli utenti del Dominio A possono accedere alle risorse del Dominio B ma gli utenti del Dominio B non possono accedere alle risorse del Dominio A. Se si esegue il Centro di amministrazione di Active Directory nel computer in cui il Dominio A costituisce il dominio locale, sarà possibile connettersi al Dominio B con l'insieme attivo di credenziali di accesso e nella stessa istanza del Centro di amministrazione di Active Directory. Se invece il Centro di amministrazione di Active Directory è in esecuzione nel computer in cui il Dominio B costituisce il dominio locale, non sarà possibile connettersi al Dominio A con lo stesso insieme di credenziali e nella stessa istanza del Centro di amministrazione di Active Directory.

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire un dominio esterno nell'istanza selezionata del Centro di amministrazione di Active Directory utilizzando l'insieme attivo di credenziali di accesso

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Per aprire Aggiungi nodi di spostamento, nel Centro di amministrazione di Active Directory fare clic su Aggiungi nodi di spostamento.

    Nota

    Un altro modo per aprire Aggiungi nodi di spostamento consiste nel fare clic con il pulsante destro del mouse in un punto qualsiasi nel riquadro di spostamento del Centro di amministrazione di Active Directory e quindi scegliere Aggiungi nodi di spostamento.

  3. In Aggiungi nodi di spostamento fare clic su Connetti ad altri domini.

  4. In Connetti a digitare il nome del dominio esterno che si desidera gestire, ad esempio contoso.com, e quindi fare clic su OK.

  5. Dopo aver stabilito la connessione al dominio esterno, esaminare le colonne nella finestra Aggiungi nodi di spostamento, selezionare il contenitore o i contenitori da aggiungere al riquadro di spostamento del Centro di amministrazione di Active Directory e quindi fare clic su OK.
Nota

Per ulteriori informazioni sulla personalizzazione del riquadro di spostamento del Centro di amministrazione di Active Directory, vedere Personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory.

È inoltre possibile aprire il Centro di amministrazione di Active Directory utilizzando un insieme di credenziali di accesso diverso dall'insieme attivo di credenziali di accesso. Il comando nella procedura seguente può risultare utile se l'accesso al computer che esegue il Centro di amministrazione di Active Directory è stato effettuato utilizzando credenziali utente normali, ma si desidera utilizzare il Centro di amministrazione di Active Directory in questo computer per gestire il dominio locale in qualità di amministratore oppure se si desidera utilizzare il Centro di amministrazione di Active Directory per gestire in modo remoto un dominio diverso dal dominio locale utilizzando un insieme di credenziali diverso dall'insieme attivo di credenziali di accesso. È tuttavia necessario che tale dominio disponga di una relazione di trust esistente con il dominio locale.

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire un dominio utilizzando credenziali di accesso diverse dall'insieme attivo di credenziali di accesso

  1. Per aprire il Centro di amministrazione di Active Directory, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    runas /user:<domain\user> dsac

    Dove runas /user è il comando che consente agli utenti di eseguire comandi da postazione remota come un utente diverso, <domain\user> è l'insieme di credenziali che si desidera aprire con il Centro di amministrazione di Active Directory e dsac è il nome del file eseguibile del Centro di amministrazione di Active Directory (Dsac.exe).

    Digitare ad esempio il comando seguente e quindi premere INVIO:

    runas /user:contoso\administrator dsac

  2. Con il Centro di amministrazione di Active Directory aperto, spostarsi nel riquadro di spostamento per visualizzare o gestire il dominio Active Directory.

Ulteriori riferimenti

  • Gestire domini e controller di dominio


Gestire unità organizzative

È possibile utilizzare il Centro di amministrazione di Active Directory per creare unità organizzative e contenitori o gestire unità organizzative e contenitori esistenti.

  • Informazioni sulle unità organizzative

  • Creare una nuova unità organizzativa

  • Spostare un'unità organizzativa

  • Eliminare un'unità organizzativa


Informazioni sulle unità organizzative

L'unità organizzativa è un tipo di oggetto directory dei domini particolarmente utile. Le unità organizzative sono contenitori Active Directory nei quali è possibile inserire utenti, gruppi, computer e altre unità organizzative. Un'unità organizzativa non può contenere oggetti di altri domini.

Un'unità organizzativa è l'ambito o l'unità di dimensioni inferiori a cui è possibile assegnare impostazioni di Criteri di gruppo o delegare l'autorità amministrativa. Mediante le unità amministrative, è possibile creare contenitori all'interno del dominio che rappresentano le strutture gerarchica e logica dell'organizzazione, consentendo quindi di gestire la configurazione e l'utilizzo degli account e delle risorse in base al modello organizzativo.

Le unità organizzative possono contenere altre unità organizzative. È possibile estendere la gerarchia di unità organizzative in base alle esigenze per modellare la gerarchia dell'organizzazione all'interno del dominio. Le unità organizzative consentono di ridurre al minimo il numero di domini necessari per la rete.

È possibile utilizzare le unità organizzative per creare un modello amministrativo adattabile a qualsiasi dimensione. Un utente può disporre di autorità amministrativa su tutte le unità organizzative di un dominio o su un'unica unità organizzativa. L'amministratore di un'unità organizzativa non deve necessariamente disporre di autorità amministrativa su altre unità organizzative del dominio.

Ulteriori riferimenti

  • Gestire unità organizzative


Creare una nuova unità organizzativa

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare una nuova unità organizzativa utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento fare clic con il pulsante destro del mouse sul nodo in cui si desidera aggiungere un'unità organizzativa, scegliere Nuovo e quindi fare clic su Unità organizzativa.

  3. In Crea unità organizzativa nella sezione Unità organizzativa,

    • digitare il nome della nuova unità organizzativa nella casella Nome.

    • In Indirizzo, Paese e Descrizione digitare le informazioni appropriate.

    • Per proteggere l'unità organizzativa dall'eliminazione accidentale, selezionare la casella di controllo Proteggi da eliminazioni accidentali.

    • Per creare l'unità organizzativa in un nodo diverso, fare clic su Cambia e quindi utilizzare l'area Trova nella colonna per passare a un'altra posizione e per selezionare tale posizione per l'unità organizzativa.

  4. In Crea unità organizzativa modificare i valori appropriati in Gestito da e quindi fare clic su OK.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di una nuova unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=141997).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Spostare un'unità organizzativa

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per spostare un'unità organizzativa utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'unità organizzativa che si desidera spostare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'unità organizzativa che si desidera spostare e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta utilizzare l'area Trova nella colonna per passare alla cartella in cui si desidera spostare l'unità organizzativa e per selezionarla, quindi fare clic su OK.

Ulteriori considerazioni

  • Non è possibile utilizzare il Centro di amministrazione di Active Directory per spostare unità organizzative da un dominio all'altro. Per spostare unità organizzative tra domini diversi, utilizzare l'Utilità di migrazione ad Active Directory (ADMT). Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=141998).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Eliminare un'unità organizzativa

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Account Operators, Domain Admins, Enterprise Admins o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eliminare un'unità organizzativa utilizzando il Centro di amministrazione di Active Directory

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento selezionare il nodo che contiene l'unità organizzativa che si desidera eliminare.

  3. Nell'elenco di gestione fare clic con il pulsante destro del mouse sull'unità organizzativa che si desidera eliminare e quindi scegliere Elimina.

Ulteriori considerazioni

  • È inoltre possibile eseguire l'attività illustrata in questa procedura mediante il Modulo Active Directory per Windows PowerShell. Per aprire il Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkID=141999).

    Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Individuare oggetti Active Directory in Centro di amministrazione di Active Directory

Se si desidera individuare rapidamente oggetti Active Directory, sarà possibile utilizzare il meccanismo di ricerca e filtro basato su query del Centro di amministrazione di Active Directory. Quando gli oggetti Active Directory desiderati vengono restituiti come risultati di una query di ricerca o di filtro, sarà possibile eseguire le attività amministrative necessarie.

È inoltre possibile salvare le query generate e utilizzarle di nuovo in momenti successivi. Ogni query salvata è costituita dai criteri della query selezionati, nonché dalle informazioni personalizzate relative a ordinamento e colonne.

Eseguire la ricerca di oggetti Active Directory

Per eseguire la ricerca di oggetti Active Directory nel Centro di amministrazione di Active Directory, è possibile utilizzare la funzionalità Ricerca globale per specificare un ambito per la query di ricerca.

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eseguire la ricerca di oggetti Active Directory con Ricerca globale

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Nel riquadro di spostamento del Centro di amministrazione di Active Directory fare clic su Ricerca globale.

    Nota

    È inoltre possibile utilizzare la tessera Ricerca globale nella pagina Panoramica Centro di amministrazione di Active Directory.

  3. È possibile generare una query di Ricerca globale utilizzando parole chiave e i criteri di ricerca disponibili oppure utilizzando la modalità di query di LDAP (Lightweight Directory Access Protocol).

    • Per generare una query utilizzando parole chiave e criteri di ricerca, fare clic su Normale.

      Nota

      Per aggiungere criteri di ricerca alla query, fare clic su Aggiungi criteri.

    • Per eseguire la ricerca di dati di Active Directory utilizzando la modalità di query LDAP, fare clic su Converti in LDAP.

  4. Per modificare l'ambito della query di ricerca, fare clic su Ambito.

    L'ambito di Ricerca globale predefinito è impostato sul dominio locale, ovvero il dominio al quale si è attualmente connessi. È inoltre possibile impostare l'ambito di Ricerca globale su Ricerca nel catalogo globale per le foreste che si sta gestendo nell'istanza selezionata del Centro di amministrazione di Active Directory oppure su uno o più nodi aggiunti al riquadro di spostamento.

    Se si imposta l'ambito della query su Ricerca nel catalogo globale per una particolare foresta che si sta gestendo nel Centro di amministrazione di Active Directory, la query restituirà un sottoinsieme degli oggetti Active Directory archiviati in tutte le partizioni della foresta selezionata, incluse le partizioni di dominio, le partizioni di configurazione, le partizioni dello schema e tutte le altre partizioni definite dall'utente.

    Se si imposta l'ambito della query su uno o più nodi aggiunti al riquadro di spostamento, la query restituirà un sottoinsieme degli oggetti Active Directory archiviati nei contenitori rappresentati dai nodi di spostamento selezionati, inclusi tutti i contenitori figlio dei contenitori padre selezionati.

  5. Per eseguire la query, fare clic su Cerca.
Note
  • Per impostazione predefinita, il Centro di amministrazione di Active Directory viene installato nel computer Windows Server 2008 R2 con il Modulo Active Directory per Windows PowerShell e il servizio Servizi Web Active Directory. Per il corretto funzionamento del Centro di amministrazione di Active Directory nel computer in uso, è necessario che il Modulo di Active Directory sia installato nel computer Windows Server 2008 R2. Il servizio Servizi Web Active Directory deve essere installato almeno in un controller di dominio nel dominio di Active Directory affinché sia possibile utilizzare il Centro di amministrazione di Active Directory per gestire questo dominio.
  • Il Modulo di Active Directory impone un timeout delle operazioni di 2 minuti (quando tenta di connettersi al servizio Servizi Web Active Directory) che è diverso dal timeout delle operazioni monitorato e controllato dal servizio Servizi Web Active Directory in esecuzione in un server Windows Server 2008 R2. Quando si esegue una query di Ricerca globale nel Centro di amministrazione di Active Directory, se viene rilevata una connessione di rete lenta o i risultati della query di Ricerca globale non vengono restituiti entro i 2 minuti del timeout di Modulo di Active Directory, potrebbe venire visualizzato il messaggio di errore seguente: “Operazione interrotta. È stato superato il limite di timeout lato client”.

Filtrare i dati di Active Directory di unità organizzative selezionate

Se un'unità organizzativa include un set di dati particolarmente grande, è possibile restringere la ricerca generando una query e filtrando i dati di Active Directory di tale unità organizzativa specifica.

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per filtrare i dati di Active Directory di un'unità organizzativa selezionata

  1. Per aprire il Centro di amministrazione di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Centro di amministrazione di Active Directory.

    Nota

    Un altro modo per aprire il Centro di amministrazione di Active Directory consiste nel fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsac.exe.

  2. Passare all'unità organizzativa desiderata utilizzando riquadro di spostamento o l'elenco di gestione del Centro di amministrazione di Active Directory.

    Importante

    L'ambito del filtro dei dati di Active Directory di un'unità organizzativa specifica è sempre impostato su tale unità organizzativa specifica e non può essere modificato. Tale ambito non include eventuali unità organizzative figlio dell'unità organizzativa padre selezionata. Per includere nell'ambito le unità organizzative figlio dell'unità organizzativa padre, nel riquadro Attività fare clic su Cerca in questo nodo.

  3. In Filtro digitare le parole chiave per la query oppure aggiungere i criteri facendo clic su Aggiungi criteri.
Importante

Se si genera una query per il filtro dei dati di Active Directory di un'unità organizzativa specifica, la query verrà applicata solo agli oggetti visualizzati nell'elenco di gestione del Centro di amministrazione di Active Directory per l'unità organizzativa specifica. In altri termini, la query restituirà un sottoinsieme degli oggetti visualizzati nell'elenco di gestione del Centro di amministrazione di Active Directory per l'unità organizzativa specifica e non un sottoinsieme di tutti gli oggetti inclusi nell'unità organizzativa. Per specificare il numero massimo di oggetti da visualizzare per contenitore (o unità organizzativa), nell'elenco di gestione del Centro di amministrazione di Active Directory scegliere Opzioni elenco elementi da gestire dal menu Visualizza.

Ulteriori riferimenti

  • Centro di amministrazione di Active Directory


Interfaccia utente: Centro di amministrazione di Active Directory

  • Finestra di dialogo Aumenta livello funzionalità foresta

  • Finestra di dialogo Aumenta livello funzionalità dominio

  • Finestra di dialogo Cambia controller di dominio

  • Finestra di dialogo Aggiungi nodi di spostamento

  • Personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory

  • Proprietà utente - Sezione Account

  • Proprietà utente - Sezione Profilo

  • Proprietà computer - Sezione Delega

  • Crea unità organizzativa - Sezione Unità organizzativa


Finestra di dialogo Aumenta livello funzionalità foresta

Elemento Dettagli

Nome foresta

Specifica il nome della foresta selezionata.

Livello funzionalità foresta corrente

Specifica l'impostazione corrente del livello di funzionalità della foresta.

Note
  • Dopo l'impostazione del livello di funzionalità della foresta su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità della foresta a Windows Server 2008 R2 e il Cestino di Active Directory non è attivato, è possibile ripristinare il livello di funzionalità della foresta su Windows Server 2008. Per ulteriori informazioni sul Cestino per Active Directory, vedere la pagina delle novità di Servizi di dominio Active Directory relativa al Cestino per Active Directory (http://go.microsoft.com/fwlink/?LinkId=141392).
  • È possibile diminuire il livello di funzionalità della foresta solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità della foresta è impostato su Windows Server 2008 R2 non è possibile ripristinarlo, ad esempio a Windows Server 2003.

Il livello di funzionalità di un dominio o di una foresta definisce solo l'insieme di sistemi operativi Windows che è possibile eseguire nei controller di dominio, insieme alle funzionalità disponibili. Non definisce i sistemi operativi client supportati nel dominio o nella foresta.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Finestra di dialogo Aumenta livello funzionalità dominio

Elemento Dettagli

Nome dominio

Specifica il nome del dominio selezionato.

Livello funzionalità dominio corrente

Specifica l'impostazione corrente del livello di funzionalità del dominio.

Note
  • Dopo avere impostato questa opzione su un determinato valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità del dominio, con un'eccezione: quando si aumenta il livello di funzionalità del dominio a Windows Server 2008 R2 e il livello di funzionalità della foresta è Windows Server 2008 o inferiore, è possibile ripristinare il livello di funzionalità del dominio su Windows Server 2008.
  • È possibile diminuire il livello di funzionalità del dominio solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità del dominio è impostato su Windows Server 2008 R2 non è possibile ripristinare un livello inferiore, ad esempio Windows Server 2003.

Il livello di funzionalità di un dominio o di una foresta definisce solo l'insieme di sistemi operativi Windows che è possibile eseguire nei controller di dominio, insieme alle funzionalità disponibili. Non definisce i sistemi operativi client supportati nel dominio o nella foresta.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Finestra di dialogo Cambia controller di dominio

Elemento | Dettagli
Qualsiasi controller di dominio scrivibile | Selezionare questa opzione per trovare qualsiasi controller di dominio disponibile e scrivibile nel dominio selezionato.
Selezionare un controller di dominio dall'elenco seguente | Attivare questa opzione per selezionare un controller di dominio nell'elenco dei controller registrati nel dominio correntemente selezionato.
Filtra controller di dominio | Per connettersi a un controller di dominio specifico, digitare il nome computer di un server che ospita il controller di dominio.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Finestra di dialogo Aggiungi nodi di spostamento

È possibile utilizzare Aggiungi nodi di spostamento per aggiungere nodi al riquadro di spostamento del Centro di amministrazione di Active Directory. È possibile esaminare l'area Trova colonna di Aggiungi nodi di spostamento e selezionare, facendo doppio clic, uno o più contenitori da aggiungere al riquadro di spostamento.

Elemento Dettagli

Connetti ad altri domini

Fare clic su questo collegamento per connettersi al dominio che si desidera gestire nell'istanza selezionata del Centro di amministrazione di Active Directory utilizzando l'insieme attivo di credenziali di accesso.

Nota

Per ulteriori informazioni sulla gestione di oggetti Active Directory in più domini, vedere Gestire domini diversi.

Connetti a

Consente di digitare il nome del dominio che si desidera gestire nell'istanza selezionata del Centro di amministrazione di Active Directory utilizzando l'insieme attivo di credenziali di accesso, ad esempio contoso.com.

Per ulteriori informazioni sulla personalizzazione del riquadro di spostamento del Centro di amministrazione di Active Directory, vedere Personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory

È possibile spostarsi nel riquadro di spostamento del Centro di amministrazione di Active Directory utilizzando la visualizzazione albero, analoga all'albero della console di Utenti e computer di Active Directory, oppure utilizzando la visualizzazione elenco.

Sia nella visualizzazione albero che nella visualizzazione elenco, è possibile personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory in qualsiasi momento, aggiungendo al riquadro di spostamento come nodi separati diversi contenitori dal dominio locale o da qualsiasi dominio esterno, ovvero da un dominio diverso da quello locale che dispone di una relazione di trust esistente con il dominio locale. La personalizzazione del riquadro di spostamento del Centro di amministrazione di Active Directory consente di accedere più rapidamente agli oggetti di Active Directory. Per ulteriori informazioni, vedere Gestire domini diversi.

Per personalizzare ulteriormente il riquadro di spostamento, è inoltre possibile rinominare o rimuovere i nodi aggiunti manualmente al riquadro di spostamento, creare duplicati di tali nodi oppure spostarli verso l'alto o verso il basso nel riquadro di spostamento.

Nota

Non è possibile personalizzare il nodo del dominio locale predefinito.

Per personalizzare il riquadro di spostamento del Centro di amministrazione di Active Directory

  1. Nel riquadro di spostamento del Centro di amministrazione di Active Directory fare clic con il pulsante destro del mouse sul nodo che si desidera modificare. È possibile modificare la posizione o il nome del nodo oppure è possibile creare un duplicato del nodo.

  2. Selezionare una delle opzioni seguenti:

    • Rinomina

    • Crea nodo duplicato

    • Rimuovi

    • Sposta su

    • Sposta giù
Nota

La visualizzazione elenco consente di utilizzare l'elenco dei contenitori utilizzati più di recente. Tale elenco viene visualizzato automaticamente sotto il nodo di spostamento quando si visita almeno un contenitore in tale nodo di spostamento. È inoltre possibile visualizzare l'elenco dei contenitori utilizzati più di recente espandendo la barra di navigazione del Centro di amministrazione di Active Directory. L'elenco dei contenitori utilizzati più di recente include sempre gli ultimi tre contenitori visitati in un determinato nodo di spostamento. Ogni volta che si seleziona un determinato contenitore, tale contenitore viene aggiunto al primo posto dell'elenco dei contenitori utilizzati più di recente e l'ultimo contenitore visualizzato nell'elenco viene rimosso dall'elenco.

Utilizzare la barra di navigazione del Centro di amministrazione di Active Directory

È possibile utilizzare la barra di navigazione del Centro di amministrazione di Active Directory per passare direttamente a un contenitore specifico in un dominio locale o a qualsiasi dominio esterno trusted facendo clic sulla barra di navigazione (che ne determina il passaggio alla modalità di modifica) e specificando uno degli elementi seguenti:

  • Percorso LDAP (Lightweight Directory Access Protocol) del contenitore desiderato, ad esempio LDAP://cn=Users,DC=contoso,DC=com

  • Nome distinto (noto anche come DN) del contenitore desiderato, ad esempio cn=Users,DC=contoso,DC=com

  • Percorso gerarchico del contenitore desiderato, ad esempio Active Directory Domain Services\contoso (local)\Users

Nota
  • È possibile utilizzare la barra di navigazione del Centro di amministrazione di Active Directory per passare direttamente a un contenitore specifico solo se il contenitore è archiviato in una partizione di directory dominio del dominio locale o del dominio esterno trusted che si sta gestendo nel Centro di amministrazione di Active Directory. Non è possibile utilizzare la barra di navigazione del Centro di amministrazione di Active Directory per passare direttamente ai contenitori archiviati nella partizione di configurazione, nella partizione dello schema o nella partizione di directory applicativa del dominio locale o del dominio esterno trusted che si sta gestendo nel Centro di amministrazione di Active Directory.

  • Per passare direttamente a un contenitore specificandone il percorso gerarchico nella barra di navigazione del Centro di amministrazione di Active Directory, è necessario che il dominio (locale o esterno trusted) al quale appartiene il contenitore venga gestito nell'istanza selezionata del Centro di amministrazione di Active Directory. Questa restrizione non si applica tuttavia quando lo spostamento a un determinato contenitore viene eseguito specificando il relativo percorso LDAP o un nome distinto nella barra di navigazione.

    Se tra il dominio contoso.com (dominio locale) e il dominio fabricam.com (dominio esterno) esiste una relazione di trust, sarà possibile specificare i percorsi LDAP o i nomi distinti del contenitori nella barra di navigazione. Sarà possibile passare ai contenitori all'interno di contoso.com e fabricam.com indipendentemente dal fatto che il dominio contoso.com o fabricam.com sia stato aggiunto al riquadro di spostamento del Centro di amministrazione di Active Directory. Per passare ai contenitori all'interno di questi domini specificando i percorsi gerarchici dei contenitori nella barra di navigazione, è tuttavia necessario che contoso.com e fabricam.com siano stati aggiunti al riquadro di spostamento.

  • È inoltre possibile copiare un percorso LDAP, un nome distinto o un percorso gerarchico specificato dalla barra di navigazione del Centro di amministrazione di Active Directory (facendo clic con il pulsante destro del mouse sulla barra di navigazione e scegliendo Copia percorso o Copia nome distinto) o incollarlo nella barra di navigazione. Questa possibilità risulta particolarmente utile quando si desidera copiare e incollare un determinato percorso o nome distinto dal Centro di amministrazione di Active Directory in altri strumenti e applicazioni, ad esempio Modulo Active Directory per Windows PowerShell, la finestra di un messaggio immediato o un messaggio di posta elettronica.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Proprietà utente - Sezione Account

Elemento Dettagli

Accesso utente UPN

Nella casella di testo a sinistra è possibile digitare il nome di account per l'utente, ovvero il nome utilizzato dall'utente per accedere al dominio Active Directory.

L'elenco a discesa a destra contiene i suffissi dei nomi delle entità utente (UPN, User Principal Name) che è possibile utilizzare per creare il nome di accesso utente. L'elenco contiene inoltre il nome DNS (Domain Name System) del dominio corrente, il nome DNS completo del dominio radice della foresta corrente e gli eventuali suffissi UPN alternativi creati con Domini e trust di Active Directory.

Accesso utente SamAccountName

Nella casella di testo di sola lettura a sinistra viene visualizzato il nome di dominio utilizzato dai computer che eseguono un sistema operativo precedente a Windows 2000.

Nella casella di testo a destra è possibile digitare il nome di accesso dell'utente precedente a Windows 2000.

Casella di controllo Proteggi da eliminazioni accidentali

Selezionare questa opzione per aggiornare il descrittore di sicurezza dell'oggetto, ed eventualmente il relativo oggetto padre, per negare a tutti gli amministratori o utenti del dominio e del controller di dominio la possibilità di eliminare l'oggetto.

Nota

Questa impostazione non offre protezione in caso di eliminazione accidentale di un sottoalbero che contiene l'oggetto protetto. È pertanto consigliabile attivare questa impostazione per tutti i contenitori dell'oggetto protetto fino al vertice del contesto dei nomi del dominio.

Orario di accesso

Fare clic per modificare l'orario durante il quale per l'oggetto selezionato è possibile accedere al dominio. Per impostazione predefinita, l'accesso al dominio è consentito 24 ore al giorno per 7 giorni alla settimana. Si noti che l'impostazione di questo controllo non influisce sulla possibilità dell'utente di accedere localmente a un computer tramite un account computer locale anziché un account di dominio.

Accedi a

Fare clic per specificare le restrizioni di accesso relative alle workstation e consentire all'utente di accedere solo ai computer del dominio specificati. Per impostazione predefinita, un utente è in grado di accedere a qualsiasi workstation aggiunta al dominio. Si noti che l'impostazione di questo controllo non influisce sulla possibilità dell'utente di accedere localmente a un computer tramite un account computer locale anziché un account di dominio.

Scadenza account

Imposta il criterio di scadenza dell'account per l'utente. È possibile selezionare una delle opzioni seguenti:

  • Mai per specificare che l'account selezionato non ha scadenza. Opzione predefinita per i nuovi utenti.

  • A fine se si desidera che l'account utente scada in una data specifica. È inoltre necessario selezionare la data.

Opzioni password

Di seguito vengono elencate le opzioni disponibili per gli account utente Active Directory.

  • Cambiamento obbligatorio password all'accesso successivo - Impone il cambiamento della password in occasione del successivo accesso dell'utente alla rete. Selezionare questa opzione per assicurarsi che l'utente sia l'unica persona a conoscenza della password.

  • Per l'accesso interattivo è necessaria una smart card - Richiede l'utilizzo di una smart card per l'accesso interattivo alla rete. È inoltre necessario che l'utente disponga di un lettore di smart card collegato al computer e di un PIN valido per la smart card.

  • Nessuna scadenza password - Non imposta alcuna scadenza per una password utente. È consigliabile selezionare questa opzione e utilizzare password complesse per gli account di servizio.

  • Cambiamento password non consentito - Impedisce a un utente di cambiare la propria password. Attivare questa opzione se si desidera mantenere il controllo su un account utente, ad esempio un account Guest o un account temporaneo.

Opzioni crittografia

Di seguito vengono elencate le opzioni di crittografia disponibili per un account utente Active Directory:

  • Archivia password mediante crittografia reversibile - Consente a un utente di accedere a una rete di Windows da computer Apple. Se l'utente non esegue l'accesso da un computer Apple, non attivare questa opzione.

  • Utilizza i tipi di crittografia DES Kerberos per questo account - Rende disponibile il supporto per la crittografia DES (Data Encryption Standard). DES supporta più livelli di crittografia, tra cui Crittografia Microsoft Point-to-Point (MPPE) standard a 40 bit, Crittografia Microsoft Point-to-Point standard a 56 bit, Crittografia Microsoft Point-to-Point avanzata a 128 bit, DES a 40 bit per IPSec (Internet Protocol security), DES a 56 bit per IPSec e Triple DES (3DES) per IPSec.

  • Questo account supporta la crittografia AES 128 bit Kerberos

  • Questo account supporta la crittografia AES 256 bit Kerberos

Nota

Le opzioni di crittografia AES (Advanced Encryption Standard) Kerberos, sia a 128 bit che a 256 bit, sono disponibili solo quando il livello di funzionalità del dominio è impostato su Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003. AES è un nuovo algoritmo di crittografia adottato come standard dal National Institute of Standards and Technology (NIST). Per ulteriori informazioni sull'autenticazione Kerberos, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=85494).

Altre opzioni

Di seguito vengono elencate le opzioni aggiuntive disponibili per un account utente Active Directory:

  • L'account è sensibile e non può essere delegato - È possibile utilizzare questa opzione nei casi in cui l'account, ad esempio un account Guest o temporaneo, non può essere assegnato per delega da un altro account. Per ulteriori informazioni, vedere la pagina relativa all'attivazione dell'autenticazione delegata (http://go.microsoft.com/fwlink/?LinkId=143007).

  • Non richiedere l'autenticazione preliminare Kerberos - Rende disponibile il supporto per implementazioni alternative del protocollo Kerberos. È tuttavia consigliabile prestare attenzione quando si attiva questa opzione, in quanto l'autenticazione preliminare Kerberos implementa un livello di sicurezza aggiuntivo e richiede la sincronizzazione dell'ora tra il client e il server. Per ulteriori informazioni, vedere la pagina relativa all'autenticazione Kerberos (http://go.microsoft.com/fwlink/?LinkID=120374).

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Proprietà utente - Sezione Profilo

Elemento Dettagli

Percorso profilo

Consente di digitare il percorso del profilo, ad esempio \\nomeserver\cartellacondivisione\nome utente.

Script di accesso

Consente di digitare il percorso dello script di accesso.

Percorso locale

Specifica che l'home directory si trova in un percorso locale. Digitare il percorso nello spazio disponibile.

Connetti

Selezionare questa opzione per scegliere il percorso di rete da connettere a una home directory. Per selezionare e configurare il percorso di rete, eseguire le operazioni seguenti:

  • Fare clic sulla freccia dell'elenco a discesa e quindi selezionare una lettera di unità.

  • Nella casella A è possibile specificare che la home directory si trova in una rete. Per specificare un percorso di rete per la home directory, è innanzitutto necessario creare la risorsa condivisa e impostare le autorizzazioni che consentono l'accesso dell'utente. A tale scopo, è necessario utilizzare cartelle condivise in un altro computer.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Proprietà computer - Sezione Delega

Elemento Dettagli

Non considerare questo computer attendibile per la delega

Specifica che per il computer non è consentita la delega di alcun servizio. Per ulteriori informazioni, vedere la pagina relativa alla delega dell'autenticazione (http://go.microsoft.com/fwlink/?LinkId=143012).

Computer attendibile per la delega a qualsiasi servizio (solo Kerberos)

Specifica che nel computer è consentita la delega di servizi solo con il protocollo Kerberos.

Nota

Il protocollo di autenticazione Kerberos versione 5 (V5) rappresenta il protocollo di sicurezza principale per l'autenticazione in un dominio. Consente di verificare l'identità dell'utente e del sistema.

Computer attendibile per la delega solo ai servizi specificati

Specifica che nel computer è consentita la delega solo di determinati servizi selezionati. Se è selezionata l'opzione Utilizza solo Kerberos, la delega sarà consentita solo con il protocollo Kerberos. Se è selezionata l'opzione Utilizza un qualsiasi protocollo di autenticazione, la delega sarà consentita con qualsiasi protocollo di autenticazione.

Aggiungi

Fare clic per selezionare i servizi a cui è possibile presentare credenziali delegate.

Rimuovi

Fare clic per rimuovere servizi dall'elenco dei servizi a cui è possibile presentare credenziali delegate.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory


Crea unità organizzativa - Sezione Unità organizzativa

Elemento Dettagli

Nome

Casella in cui digitare il nome dell'unità organizzativa.

Crea in

Specifica il contenitore in cui viene creata la nuova unità organizzativa. Per specificare un contenitore diverso, fare clic su Cambia.

Proteggi da eliminazioni accidentali

Se questa opzione è selezionata, il descrittore di sicurezza dell'oggetto ed eventualmente l'oggetto padre verranno aggiornati per negare a tutti gli amministratori o utenti del dominio e del controller di dominio la possibilità di eliminare l'oggetto.

Nota

Questa impostazione non offre protezione in caso di eliminazione accidentale di un sottoalbero che contiene l'oggetto protetto. È pertanto consigliabile attivare questa impostazione per tutti i contenitori dell'oggetto protetto fino al vertice del contesto dei nomi del dominio.

Ulteriori riferimenti

Interfaccia utente: Centro di amministrazione di Active Directory