Utenti e computer di Active Directory

Utenti e computer di Active Directory® è uno snap-in di Microsoft Management Console (MMC) che è possibile utilizzare per amministrare e pubblicare informazioni nella directory.

  • Gestire utenti

  • Gestire gruppi

  • Gestire computer

  • Gestire domini

  • Gestire unità organizzative

  • Risolvere i problemi relativi a Utenti e computer di Active Directory

  • Risorse per Utenti e computer di Active Directory

  • Interfaccia utente: Utenti e computer di Active Directory


Gestire utenti

È possibile utilizzare Utenti e computer di Active Directory per creare nuovi account utente o gestire gli account utente esistenti.

  • Informazioni sugli account utente

  • Creare un nuovo account utente

  • Reimpostare una password utente

  • Copiare un account utente

  • Spostare un account utente

  • Impostare l'orario di accesso

  • Disabilitare o abilitare un account utente

  • Mappare un certificato a un account utente

  • Modificare il gruppo primario di un utente

  • Eliminare un account utente


Informazioni sugli account utente

Gli account utente di Active Directory rappresentano entità fisiche, come le persone. È inoltre possibile utilizzare gli account utente come account di servizio dedicati per alcune applicazioni.

Gli account utente sono inoltre noti come entità di sicurezza, ovvero oggetti di directory a cui vengono assegnati automaticamente identificatori di sicurezza (SID) e utilizzabili per l'accesso alle risorse di dominio. Le funzioni principali di un account utente sono le seguenti:

  • Autenticazione dell'identità di un utente.

    Un account utente consente a un utente di accedere a computer e domini con un'identità autenticabile dal dominio. Per ogni utente che accede alla rete deve esistere un account utente univoco con relativa password. Per ottenere la massima sicurezza, è consigliabile evitare che più utenti condividano lo stesso account.

  • Autorizzazione o negazione dell'accesso alle risorse di dominio.

    Dopo l'autenticazione, all'utente viene concesso o negato l'accesso alle risorse di dominio in base alle autorizzazioni esplicite assegnate a tale utente per ogni risorsa.

Account utente

Nel contenitore Utenti dello snap-in Utenti e computer di Active Directory vengono visualizzati i tre account utente predefiniti Administrator, Guest e HelpAssistant. Questi account utente predefiniti vengono creati automaticamente quando si crea il dominio.

A ogni account utente predefinito è assegnata una diversa combinazione di diritti e autorizzazioni. L'account Administrator dispone del gruppo più esteso di diritti e autorizzazioni per il dominio, mentre l'account Guest dispone di diritti e autorizzazioni limitati. Nella tabella seguente vengono descritti gli account utente predefiniti disponibili nei controller di dominio che eseguono il sistema operativo Windows Server® 2008 R2.

Account utente predefinito Descrizione

Administrator

L'account Administrator dispone del controllo completo del dominio e può assegnare diritti utente e autorizzazioni di controllo di accesso agli utenti del dominio, in base alle specifiche esigenze. Questo account deve essere utilizzato solo per le attività che richiedono credenziali amministrative. È consigliabile configurare l'account con una password complessa.

L'account Administrator è un membro predefinito dei gruppi di Active Directory seguenti: Administrators, Domain Admins, Enterprise Admins, Proprietari autori criteri di gruppo e Schema Admins. L'account Administrator non può essere mai eliminato o rimosso dal gruppo Administrators, ma può essere rinominato o disabilitato. Poiché è noto che l'account Administrator esiste in molte versioni di Windows, la ridenominazione o la disabilitazione di questo account renderà più difficili i tentativi di accesso degli utenti non autorizzati.

L'account Administrator è il primo account creato quando si configura un nuovo dominio tramite l'Installazione guidata Servizi di dominio Active Directory.

Importante

Anche se viene disabilitato, è comunque possibile utilizzare l'account Administrator per accedere a un controller di dominio in modalità provvisoria.

Guest

Gli utenti che non dispongono di un account specifico nel dominio possono utilizzare l'account Guest. L'account Guest può essere utilizzato anche dagli utenti per i quali è stato disabilitato, ma non eliminato, l'account utente. L'account Guest non richiede una password.

È possibile impostare diritti e autorizzazioni per l'account Guest come per qualsiasi altro account utente. Per impostazione predefinita, l'account Guest è un membro del gruppo predefinito Guests e del gruppo globale Domain Guests che consente a un utente di accedere a un dominio. L'account Guest è disabilitato per impostazione predefinita ed è consigliabile non abilitarlo.

HelpAssistant (installato con una sessione di Assistenza remota)

Account principale per l'attivazione di una sessione di Assistenza remota. Questo account viene creato automaticamente quando si richiede una sessione di Assistenza remota e dispone di accesso limitato al computer. L'account HelpAssistant viene gestito dal servizio Gestione sessione di assistenza mediante desktop remoto e viene eliminato automaticamente se non sono presenti richieste di Assistenza remota in sospeso.

Proteggere gli account utente

Se i diritti e le autorizzazioni per gli account predefiniti non vengono modificati o disabilitati da un amministratore di rete, potrebbero essere utilizzati da un utente (o un servizio) per finalità dannose allo scopo di ottenere l'accesso non autorizzato a un dominio tramite l'account Administrator o Guest. Per proteggere questi account è buona norma rinominarli o disabilitarli. Un account utente rinominato mantiene il proprio SID e conserva quindi tutte le altre proprietà, quali la descrizione, la password, le appartenenze ai gruppi, il profilo utente, le informazioni sull'account e tutte le autorizzazioni e i diritti utente assegnati.

Per ottenere i vantaggi a livello di sicurezza offerti dall'autenticazione e dalle autorizzazioni per gli utenti, è consigliabile utilizzare Utenti e computer di Active Directory per creare un singolo account utente per ogni utente che partecipa alla rete. Sarà quindi possibile aggiungere ogni account utente, inclusi gli account Administrator e Guest, a un gruppo per controllare i diritti e le autorizzazioni assegnate all'account. La configurazione degli account e dei gruppi appropriati per la rete consente di garantire la possibilità di identificare gli utenti che accedono alla rete e di assicurarsi che possano accedere solo alle risorse consentite.

È possibile proteggere il dominio da attacchi richiedendo password complesse e implementando un criterio di blocco account. Le password complesse riducono i rischi di attacchi con dizionario o altri sistemi intelligenti per indovinare le password. Un criterio di blocco account consente di ridurre le probabilità che un pirata informatico riesca a violare il dominio attraverso ripetuti tentativi di accesso. Con un criterio di blocco account è infatti possibile stabilire il numero di tentativi di accesso non riusciti consentiti per un account utente prima che venga disabilitato.

Opzioni per gli account

Per ogni account utente di Active Directory è possibile configurare numerose opzioni che consentono di stabilire la modalità di autenticazione in rete per ogni utente che utilizza un particolare account. È possibile utilizzare le opzioni nella tabella seguente per configurare le impostazioni relative alla password e le informazioni specifiche della sicurezza per gli account utente.

Opzione Descrizione

Cambiamento obbligatorio password all'accesso successivo

Impone il cambiamento della password in occasione del successivo accesso dell'utente alla rete. Selezionare questa opzione per assicurarsi che l'utente sia l'unica persona a conoscenza della password.

Cambiamento password non consentito

Impedisce a un utente di cambiare la sua password. Selezionare questa opzione se si desidera mantenere il controllo su un account utente, come nel caso dell'account Guest o di un account temporaneo.

Nessuna scadenza password

Non imposta alcuna scadenza per una password utente. È consigliabile selezionare questa opzione e utilizzare password complesse per gli account di servizio.

Archivia password mediante crittografia reversibile

Consente a un utente di accedere a una rete di Windows da computer Apple. Non selezionare questa opzione per utenti che non eseguono l'accesso da un computer Apple.

Account disabilitato

Impedisce a un utente di eseguire l'accesso con l'account selezionato. Molti amministratori utilizzano account disabilitati come modelli per gli account utente comuni.

Per l'accesso interattivo occorre una smart card

Richiede l'utilizzo di una smart card per l'accesso interattivo alla rete. L'utente dovrà inoltre disporre di un lettore di smart card collegato al computer e di un PIN valido per la smart card. Se si seleziona questa opzione, la password per l'account utente viene impostata automaticamente su un valore casuale e complesso e viene impostata l'opzione Nessuna scadenza password.

L'account è trusted per delega

Consente a un servizio eseguito con questo account di eseguire operazioni per conto di altri account utente nella rete. Un servizio in esecuzione con un account utente (noto anche come account di servizio) trusted per delega può rappresentare un client per ottenere l'accesso a risorse nel computer in cui è in esecuzione il servizio o a risorse in altri computer. In una foresta impostata sul livello di funzionalità Windows Server 2008 R2 questa opzione è disponibile nella scheda Delega. L'opzione è disponibile solo per gli account a cui sono stati assegnati nomi principali di servizio (SPN), impostati con il comando setspn in Windows Server 2008 R2 Aprire una finestra del prompt dei comandi e quindi digitare setspn. Questa funzionalità influisce sulla sicurezza ed è pertanto consigliabile assegnarla con cautela.

Questa opzione è disponibile solo nei controller di dominio che eseguono Windows Server 2008 R2 in cui il livello di funzionalità del dominio è impostato su Windows 2000 misto o Windows 2000 originale. Nei controller di dominio che eseguono Windows Server 2008 e Windows Server 2008 R2 in cui il livello di funzionalità del dominio è impostato sul livello di funzionalità della foresta Windows Server 2008 o Windows Server 2008 R2 utilizzare la scheda Delega della finestra di dialogo delle proprietà dell'utente per configurare le impostazioni di delega. La scheda Delega viene visualizzata solo per gli account a cui è assegnato un SPN.

L'account è sensibile e non può essere delegato

È possibile utilizzare questa opzione nei casi in cui un account, ad esempio l'account Guest o un account temporaneo, non può essere assegnato per delega da un altro account.

Utilizza crittografia DES per questo account

Attiva il supporto della crittografia DES (Data Encryption Standard). DES supporta vari livelli di crittografia, tra i quali Microsoft Point-to-Point Encryption (MPPE) standard a 40 bit, MPPE standard a 56 bit, MPPE avanzata a 128 bit, IPSec a 40 bit DES, IPSec a 56 bit DES e IPSec Triple DES (3DES).

Non richiedere l'autenticazione preliminare Kerberos

Attiva il supporto per implementazioni alternative del protocollo Kerberos. Selezionare questa opzione con cautela, tuttavia, perché l'autenticazione preliminare Kerberos implementa un livello di sicurezza aggiuntivo e richiede la sincronizzazione dell'ora tra il client e il server.

Account InetOrgPerson

Servizi di dominio Active Directory supporta la classe di oggetti InetOrgPerson e gli attributi associati, in base a quanto specificato nel documento RFC (Request for Comments) 2798. La classe di oggetti InetOrgPerson è utilizzata in vari servizi di directory non Microsoft LDAP (Lightweight Directory Access Protocol) e X.500 per rappresentare le persone in un'organizzazione.

Il supporto della classe InetOrgPerson consente di rendere più efficiente la migrazione da altre directory LDAP a Servizi di dominio Active Directory. L'oggetto InetOrgPerson deriva dalla classe user e può essere utilizzato come entità di sicurezza proprio come la classe user. Per informazioni sulla creazione di un account utente InetOrgPerson, vedere Creare un nuovo account utente.

Se il livello di funzionalità del dominio è impostato su Windows Server 2008 o Windows Server 2008 R2, è possibile impostare l'attributo userPassword per InetOrgPerson e gli oggetti utente come password effettiva, come nel caso dell'attributo unicodePwd.

Ulteriori riferimenti

Gestire utenti


Creare un nuovo account utente

Per gestire utenti di dominio, è necessario creare account utente in Servizi di dominio Active Directory. Per gestire utenti specifici di un solo computer, invece, creare account utente locali. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un account utente locale (http://go.microsoft.com/fwlink/?LinkId=138393).

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un nuovo account utente

  • Tramite l'interfaccia di Windows

  • Utilizzare una riga di comando
Per creare un nuovo account utente tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla cartella in cui si desidera aggiungere l'account utente.

    Percorso

    • Utenti e computer di Active Directory\domain node\folder

  3. Scegliere Nuovo e quindi fare clic su Utente.

    Per la comunicazione con altri servizi directory, è possibile fare clic su InetOrgPerson. Per ulteriori informazioni su InetOrgPerson, vedere Informazioni sugli account utente.

  4. Nella casella Nome digitare il nome dell'utente.

  5. Nella casella Iniziali digitare le iniziali dell'utente.

  6. Nella casella Cognome digitare il cognome dell'utente.

  7. Modificare Nome completo aggiungendo le iniziali o cambiando l'ordine di nome e cognome.

  8. In Nome accesso utente digitare il nome di accesso dell'utente, selezionare il suffisso del nome dell'entità utente (UPN) nell'elenco a discesa e quindi fare clic su Avanti.

    Se l'utente utilizza un nome diverso per accedere a computer che eseguono sistemi operativi Microsoft® Windows® 95, Windows 98 o Windows NT®, è possibile sostituire il nome di accesso utente visualizzato in Nome accesso utente (precedente a Windows 2000) con un nome diverso.

  9. In Password e Conferma password digitare la password dell'utente e quindi selezionare le opzioni appropriate per la password.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Un nuovo account utente con lo stesso nome di un account utente eliminato in precedenza non dispone automaticamente delle autorizzazioni e dell'appartenenza a gruppi dell'account precedente. L'ID di sicurezza (SID), infatti, è univoco per ogni account. Se si desidera duplicare un account eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • Quando si crea un nuovo account utente, per impostazione predefinita l'attributo Nome completo viene creato nel formato NomeCognome. L'attributo Nome completo determina inoltre il formato del nome visualizzato inserito nell'elenco indirizzi globale. È possibile modificare il formato dei nomi visualizzati utilizzando Modifica ADSI. Se si modifica il formato del nome visualizzato, verrà modificato anche il formato del nome completo. Per ulteriori informazioni, vedere l'articolo 250455 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=131264).

  • Per eseguire l'attività descritta in questa procedura, è inoltre possibile utilizzare il modulo Active Directory per Windows PowerShell™. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account utente (http://go.microsoft.com/fwlink/?LinkId=138369). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti

Per creare un nuovo account utente tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsadd user <UserDN> [-samid<SAMName>] -pwd {<Password>|*}

Parametro | Descrizione
<DNUtente> | Specifica il nome distinto dell'oggetto utente da aggiungere.
-samid | Imposta il valore <NomeSAM>.
<NomeSAM> | Specifica il nome Gestione account di sicurezza (SAM) come nome di account SAM univoco per l'utente (ad esempio, Linda). Se il nome SAM non viene specificato, dsadd tenta di creare il nome di account SAM utilizzando fino ai primi 20 caratteri del valore del nome comune (CN) di UserDN.
-pwd | Imposta il valore <Password>.
<Password> | Specifica la password da utilizzare per l'account utente. Se questo parametro è impostato su *, verrà richiesto di immettere una password utente.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsadd user /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura.

  • Un nuovo account utente con lo stesso nome di un account utente eliminato in precedenza non dispone automaticamente delle autorizzazioni e dell'appartenenza a gruppi dell'account precedente. L'ID di sicurezza (SID), infatti, è univoco per ogni account. Se si desidera duplicare un account eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account utente (http://go.microsoft.com/fwlink/?LinkId=138369). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Reimpostare una password utente

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Reimpostare una password utente

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per reimpostare una password utente tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente per cui si desidera reimpostare la password e quindi scegliere Reimposta password.

  4. Digitare e confermare la password.

  5. Se si desidera chiedere all'utente di modificare la password all'accesso successivo, selezionare la casella di controllo Cambiamento obbligatorio password all'accesso successivo.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • I servizi autenticati con un account utente devono essere reimpostati in caso di modifica della password per l'account utente del servizio.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione di una password utente (http://go.microsoft.com/fwlink/?LinkId=138370). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti

Per reimpostare una password utente tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod user <UserDN> -pwd <NewPassword> -mustchpwd {yes|no}

Parametro | Descrizione
<DNUtente> | Specifica il nome distinto dell'utente per cui verrà reimpostata la password.
-pwd | Imposta il valore <NuovaPassword>.
<NuovaPassword> | Specifica la password che sostituirà la password corrente dell'utente.
-mustchpwd | Imposta il flag pwdExpired.
{yes|no} | Specifica valore del flag pwdExpired.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod user /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Se una password non viene assegnata, al primo tentativo di accesso da parte di un utente con una password vuota, verrà visualizzato il messaggio "Cambiare la password al primo accesso". Dopo la modifica della password da parte dell'utente, il processo di accesso continuerà.

  • I servizi autenticati con un account utente devono essere reimpostati in caso di modifica della password per l'account utente del servizio.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione di una password utente (http://go.microsoft.com/fwlink/?LinkId=138370). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Copiare un account utente

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per copiare un account utente

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'account utente che si desidera copiare e quindi scegliere Copia.

  4. Nella casella Nome digitare il nome dell'utente.

  5. Nella casella Cognome digitare il cognome dell'utente.

  6. Modificare Nome completo per aggiungere le iniziali o invertire l'ordine del nome e del cognome.

  7. In Nome accesso utente digitare il nome di accesso dell'utente, selezionare il suffisso del nome dell'entità utente (UPN) nell'elenco a discesa e quindi fare clic su Avanti.

    Se l'utente utilizzerà un nome diverso per accedere a computer che eseguono Windows 95, Windows 98 o Windows NT, è possibile modificare il nome di accesso dell'utente visualizzato in Nome accesso utente (precedente a Windows 2000).

  8. In Password e Conferma password digitare la password dell'utente e quindi selezionare le opzioni appropriate per la password.

    Se l'account utente da cui è stato copiato il nuovo account è stato disabilitato, fare clic su Account disabilitato per abilitare il nuovo account.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Dopo aver creato l'account utente, è possibile modificare le proprietà dell'account per immettere ulteriori informazioni sull'account utente.

  • Solo gli attributi utilizzati più comunemente, ad esempio orari di accesso, restrizioni per le workstation e restrizioni per la scadenza di account, vengono trasferiti per impostazione predefinita nell'utente copiato.

  • È possibile modificare gli attributi predefiniti che vengono trasferiti in un utente copiato o specificare attributi aggiuntivi da copiare nel nuovo utente. A tale scopo, aprire lo snap-in Schema di Active Directory, visualizzare le proprietà degli attributi desiderati e selezionare o deselezionare la casella di controllo Copia attributo quando un utente viene duplicato. È possibile modificare o aggiungere solo attributi che siano istanze della classe user.

    Se lo snap-in Schema di Active Directory non è installato, è possibile installarlo. Per ulteriori informazioni, fare clic sul pulsante Start, scegliere Guida e supporto tecnico e quindi cercare l'argomento relativo allo snap-in Schema di Active Directory, che contiene informazioni su come installare, proteggere e visualizzare lo snap-in.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla copia di un account utente (http://go.microsoft.com/fwlink/?LinkId=138371). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Spostare un account utente

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Spostare un account utente

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando

Per spostare un account utente tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera spostare e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta fare clic sulla cartella in cui si desidera spostare l'account utente.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per eseguire l'attività di questa procedura è inoltre possibile utilizzare Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un account utente (http://go.microsoft.com/fwlink/?LinkId=138372). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Non è possibile utilizzare Utenti e computer di Active Directory per spostare account utente tra domini. Per spostare un account utente tra domini, utilizzare l'Utilità di migrazione ad Active Directory (ADMT), uno degli strumenti di supporto di Active Directory. Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

Ulteriori riferimenti

  • Gestire utenti

Per spostare un account utente tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmove <UserDN> [-newparent<ParentDN>]

Parametro | Descrizione
<DNUtente> | Specifica il nome distinto dell'oggetto utente da aggiungere.
-newparent | Imposta il valore <DNPadre>.
<DNPadre> | Specifica la nuova posizione in cui spostare l'oggetto utente. La nuova posizione viene specificata come nome distinto del nuovo nodo padre.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmove /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per eseguire l'attività di questa procedura è inoltre possibile utilizzare Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un account utente (http://go.microsoft.com/fwlink/?LinkId=138372). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Impostare l'orario di accesso

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per impostare l'orario di accesso tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

  3. Fare clic con il pulsante destro del mouse sull'account utente e quindi scegliere Proprietà.

  4. Nella scheda Account fare clic su Orario di accesso e quindi impostare gli orari di accesso consentiti o non consentiti per l'utente.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per modificare l'orario di accesso per più utenti, tenere premuto CTRL e quindi fare clic su ogni utente desiderato. Fare clic con il pulsante destro del mouse sugli utenti selezionati e quindi scegliere Proprietà. Nella scheda Account fare clic su Orario di accesso e quindi impostare gli orari di accesso consentiti o non consentiti per l'utente.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'impostazione dell'orario di accesso (http://go.microsoft.com/fwlink/?LinkId=138373). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Disabilitare o abilitare un account utente

  • Per impedire a un utente di eseguire l'accesso per motivi di sicurezza, anziché eliminarne l'account, è possibile disabilitarlo.

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Disabilitare o abilitare un account utente

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per disabilitare o abilitare un account utente tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente.

  4. In base allo stato dell'account, eseguire una delle operazioni seguenti:

    • Per disabilitare l'account, fare clic su Disabilita account.

    • Per abilitare l'account, fare clic su Abilita account.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • La creazione di account utente disabilitati con appartenenze a gruppi comuni consente di utilizzare tali account come modelli per semplificare la creazione di account utente.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=138374). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti

Per disabilitare o abilitare un account utente tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod user <UserDN> -disabled {yes|no}

Parametro | Descrizione
<DNUtente> | Specifica il nome distinto dell'oggetto utente da aggiungere.
-disabled | Imposta il valore di UF_ACCTDISABLED in userAccountControl.
{yes|no} | Specifica se l'account utente è disabilitato (yes) o abilitato (no) per l'accesso.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod user /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • La creazione di account utente disabilitati con appartenenze a gruppi comuni consente di utilizzare tali account come modelli per semplificare la creazione di account utente.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=138374). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Mappare un certificato a un account utente

Per eseguire questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per mappare un certificato a un account utente

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Scegliere Caratteristiche avanzate dal menu Visualizza.

  3. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory/nodo dominio/Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  4. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente a cui si desidera mappare un certificato e quindi scegliere Mapping nomi.

  5. Nella scheda Certificati X.509 della finestra di dialogo Mapping identità di sicurezza fare clic su Aggiungi.

  6. Digitare il nome e il percorso del file con estensione cer che contiene il certificato che si desidera mappare all'account utente e quindi fare clic su Apri.

  7. Eseguire una delle operazioni seguenti:

    • Per eseguire il mapping del certificato in un solo account (mapping uno a uno) confermare la selezione della casella di controllo Utilizza autorità emittente per identità di sicurezza alternativa e della casella di controllo Utilizza soggetto per identità di sicurezza alternativa.

    • Per eseguire il mapping di un certificato con lo stesso soggetto dell'account utente, indipendentemente dall'autorità emittente del certificato (mapping molti a uno), deselezionare la casella di controllo Utilizza autorità emittente per identità di sicurezza alternativa e confermare la selezione della casella di controllo Utilizza soggetto per identità di sicurezza alternativa.

    • Per eseguire il mapping di un certificato con la stessa autorità emittente dell'account utente, indipendentemente dal soggetto del certificato (mapping molti a uno), deselezionare la casella di controllo Utilizza soggetto per identità di sicurezza alternativa e confermare la selezione della casella di controllo Utilizza autorità emittente per identità di sicurezza alternativa.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Il certificato da mappare a un account utente deve essere in formato binario codificato DER (Distinguished Encoding Rules) o Base64.

  • Per visualizzare la finestra di dialogo Mapping identità di sicurezza è inoltre possibile fare clic con il pulsante destro del mouse su un account utente e quindi scegliere Mapping nomi.

Ulteriori riferimenti

  • Gestire utenti


Modificare il gruppo primario di un utente

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare il gruppo primario di un utente

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera modificare e quindi scegliere Proprietà.

  4. Nella scheda Membro di fare clic sul gruppo che si desidera impostare come primario per l'utente e quindi fare clic su Imposta gruppo primario.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Il gruppo primario di un utente si applica solo agli utenti che accedono alla rete tramite Servizi per Macintosh o eseguono applicazioni compatibili con Portable Operating System Interface per UNIX (POSIX). Se non si utilizzano tali servizi, non è necessario modificare il gruppo primario da Domain Users, che rappresenta il valore predefinito.

  • L'impostazione dell'appartenenza al gruppo primario di un utente su un valore diverso da Domain Users potrebbe avere effetti negativi sulle prestazioni perché tutti gli utenti del dominio sono membri di Domain Users. Se il gruppo primario di un utente viene impostato su un valore diverso, l'appartenenza al gruppo potrebbe superare il numero massimo di membri supportati.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica del gruppo primario di un utente (http://go.microsoft.com/fwlink/?LinkId=138375). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Eliminare un account utente

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Eliminare un account utente

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per eliminare un account utente tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'account utente e quindi scegliere Elimina.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • In seguito all'eliminazione di un account utente vengono eliminate definitivamente anche tutte le autorizzazioni e le appartenenze associate a tale account utente. Dato che l'ID di sicurezza (SID) di ogni account è univoco, un nuovo account utente con lo stesso nome di un account utente eliminato in precedenza non erediterà automaticamente le stesse autorizzazioni e le stesse appartenenze dell'account eliminato in precedenza. Se si desidera duplicare un account eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=138376). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti

Per eliminare un account utente tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsrm <ObjectDN>

Parametro | Descrizione
<DNOggetto> | Specifica il nome distinto dell'oggetto utente da eliminare.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsrm /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • In seguito all'eliminazione di un account utente vengono eliminate definitivamente anche tutte le autorizzazioni e le appartenenze associate a tale account utente. Dato che l'ID di sicurezza (SID) di ogni account è univoco, un nuovo account utente con lo stesso nome di un account utente eliminato in precedenza non erediterà automaticamente le stesse autorizzazioni e le stesse appartenenze dell'account eliminato in precedenza. Se si desidera duplicare un account eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account utente (http://go.microsoft.com/fwlink/?LinkId=138376). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire utenti


Gestire gruppi

Utenti e computer di Active Directory può essere utilizzato per creare nuovi gruppi o gestire gruppi esistenti.

  • Informazioni sugli account di gruppo

  • Creare un nuovo gruppo

  • Aggiungere un membro a un gruppo

  • Convertire un gruppo in un tipo diverso

  • Modificare l'ambito del gruppo

  • Eliminare un gruppo

  • Trovare i gruppi di cui un utente è membro

  • Assegnare diritti utente a un gruppo in Servizi di dominio Active Directory


Informazioni sugli account di gruppo

Un gruppo è un insieme di account utente, account computer, contatti e altri gruppi che possono essere gestiti come un'unità. Gli utenti e i computer appartenenti a un determinato gruppo vengono definiti membri del gruppo.

I gruppi in Servizi di dominio Active Directory sono oggetti directory che risiedono in un dominio e in oggetti contenitore unità organizzativa. Servizi di dominio Active Directory offre un insieme di gruppi predefiniti all'installazione e un'opzione per creare gruppi.

È possibile utilizzare i gruppi in Servizi di dominio Active Directory per eseguire le operazioni seguenti:

  • Semplificare l'amministrazione assegnando le autorizzazioni per una risorsa condivisa a un gruppo anziché ai singoli utenti. L'assegnazione di autorizzazioni a un gruppo consente di dare lo stesso accesso alla risorsa a tutti i membri di quel gruppo.

  • Delegare l'amministrazione assegnando una sola volta i diritti utente a un gruppo tramite Criteri di gruppo. È quindi possibile aggiungere al gruppo i membri a cui si desidera assegnare gli stessi diritti del gruppo.

  • Creare liste di distribuzione per posta elettronica.

I gruppi sono caratterizzati dall'ambito e dal tipo. L'ambito di un gruppo determina il campo di applicazione del gruppo in un dominio o in una foresta. Il tipo di gruppo determina se è possibile utilizzare un gruppo per assegnare autorizzazioni da una risorsa condivisa (gruppi di sicurezza) o solo per liste di distribuzione per posta elettronica (gruppi di distribuzione).

Esistono anche gruppi di cui non è possibile modificare né visualizzare le appartenenze. Questi gruppi sono definiti identità speciali e rappresentano utenti diversi in orari diversi, a seconda delle circostanze. Il gruppo Everyone, ad esempio, è un'identità speciale che rappresenta tutti gli utenti della rete correnti, inclusi i guest e gli utenti di altri domini.

Nelle sezioni seguenti vengono fornite ulteriori informazioni sugli account di gruppo di Servizi di dominio Active Directory.

Informazioni sui gruppi predefiniti

I gruppi predefiniti, ad esempio il gruppo Domain Admins, sono gruppi di sicurezza creati automaticamente durante la creazione di un dominio Active Directory. È possibile utilizzare questi gruppi predefiniti per controllare l'accesso a risorse condivise e per delegare ruoli amministrativi specifici a livello di dominio.

A molti gruppi predefiniti viene assegnato automaticamente un insieme di diritti utente che autorizzano i membri del gruppo a effettuare azioni specifiche in un dominio, ad esempio accedere a un sistema locale o eseguire il backup di file e cartelle. Un membro del gruppo Backup Operators, ad esempio, ha il diritto di eseguire le operazioni di backup per tutti i controller di dominio nel dominio.

Quando si aggiunge un utente a un gruppo, l'utente riceve quanto segue:

  • Tutti i diritti utente assegnati al gruppo

  • Tutte le autorizzazioni assegnate al gruppo per le risorse condivise

I gruppi predefiniti si trovano nei contenitori Builtin e Users. L'ambito dei gruppi predefiniti nel contenitore Builtin è locale incorporato. L'ambito e il tipo di questi gruppi non può essere modificato. Il contenitore Users include gruppi definiti con un ambito globale e gruppi definiti con un ambito locale di dominio. È possibile spostare i gruppi che si trovano in questi contenitori in altri gruppi o in altre unità organizzative all'interno del dominio, ma non è possibile spostarli in altri domini.

Per ulteriori informazioni sui gruppi predefiniti, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=131422).

Informazioni sull'ambito dei gruppi

I gruppi sono caratterizzati da un ambito che identifica il campo di applicazione del gruppo in un albero di dominio o in una foresta. Sono disponibili tre ambiti di gruppo, ovvero locale di dominio, globale e universale.

Informazioni sui gruppi locali di dominio

I membri dei gruppi locali di dominio possono includere altri gruppi e account appartenenti a domini di Windows Server 2003, Windows 2000, Windows NT, Windows Server 2008 e Windows Server 2008 R2. Ai membri di tali gruppi possono essere assegnate autorizzazioni solo all'interno di un dominio.

I gruppi con ambito locale di dominio aiutano a definire e a gestire l'accesso alle risorse all'interno di un singolo dominio. Tali gruppi possono avere come membri le entità seguenti:

  • Gruppi con ambito globale

  • Gruppi con ambito universale

  • Account

  • Altri gruppi con ambito locale di dominio

  • Una combinazione qualunque delle entità sopra elencate

Per consentire a cinque utenti di accedere a una determinata stampante, è ad esempio possibile aggiungere tutti e cinque gli account utente all'elenco di autorizzazioni per la stampante. Se in seguito si desidera concedere ai cinque utenti l'accesso a una nuova stampante, sarà necessario specificare di nuovo tutti e cinque gli account nell'elenco di autorizzazioni per la nuova stampante.

Questa attività di ordinaria amministrazione può essere semplificata creando un gruppo con ambito locale di dominio e assegnandovi l'autorizzazione per accedere alla stampante. Inserire i cinque account utente in un gruppo con ambito globale e aggiungere questo gruppo al gruppo con ambito locale di dominio. Quando si desidera concedere ai cinque utenti l'accesso a una nuova stampante, assegnare al gruppo con ambito locale di dominio l'autorizzazione per accedere alla nuova stampante. Tutti i membri del gruppo con ambito globale otterranno automaticamente l'accesso alla nuova stampante.

Informazioni sui gruppi globali

I membri di un gruppo globale possono includere solo altri gruppi e account appartenenti al dominio in cui il gruppo è definito. Ai membri di tali gruppi possono essere assegnate autorizzazioni in qualunque dominio della foresta.

È possibile utilizzare i gruppi con ambito globale per gestire oggetti directory che richiedono una manutenzione giornaliera, ad esempio account utente e computer. Poiché i gruppi con ambito globale non vengono replicati all'esterno del proprio dominio, è possibile modificarne frequentemente gli account senza generare traffico di replica nel catalogo globale.

Nonostante i diritti e le autorizzazioni siano validi sono all'interno del dominio in cui sono assegnati, applicando uniformemente gruppi con ambito globale nei domini appropriati, è possibile consolidare i riferimenti agli account con scopi simili. Ciò semplifica e razionalizza la gestione dei gruppi a livello di dominio. Si supponga che una rete contenga due domini, Europa e StatiUniti. Se il dominio StatiUniti include un gruppo con ambito globale denominato GLAccounting, tale gruppo deve esistere anche nel dominio Europa, a meno che la funzione di accounting non esista nel dominio Europa.

Importante

Quando si specificano autorizzazioni su oggetti directory di dominio replicati nel catalogo globale, è consigliabile utilizzare gruppi globali o universali anziché gruppi locali di dominio.

Informazioni sui gruppi universali

I membri dei gruppi universali possono includere altri gruppi e account appartenenti a qualunque dominio dell'albero di dominio o della foresta. Ai membri di tali gruppi possono essere assegnate autorizzazioni in qualunque dominio dell'albero di dominio o della foresta.

È possibile utilizzare i gruppi con ambito universale per consolidare gruppi che si estendono su più domini. A tale scopo aggiungere gli account ai gruppi con ambito globale e nidificare tali gruppi nei gruppi con ambito universale. Utilizzando questa strategia, qualunque modifica di appartenenza ai gruppi con ambito globale non influirà sui gruppi con ambito universale.

Si supponga che una rete contenga due domini, Europa e StatiUniti, e che ogni dominio includa un gruppo con ambito globale denominato GLAccounting. Creare un gruppo con ambito universale denominato UAccounting che abbia come membri i due gruppi GLAccounting, StatiUniti\GLAccounting ed Europa\GLAccounting. Il gruppo UAccounting può essere utilizzato ovunque nell'organizzazione. Le modifiche di appartenenza dei singoli gruppi GLAccounting non causeranno la replica del gruppo UAccounting.

È consigliabile non modificare frequentemente l'appartenenza di un gruppo con ambito universale. Qualunque modifica apportata all'appartenenza di questo tipo di gruppo causa la replica dell'intera appartenenza del gruppo in ogni catalogo globale della foresta.

Informazioni sui tipi di gruppo

In Servizi di dominio Active Directory esistono due tipi di gruppi, ovvero gruppi di distribuzione e gruppi di sicurezza. È possibile utilizzare i gruppi di distribuzione per creare liste di distribuzione per posta elettronica e i gruppi di sicurezza per assegnare autorizzazioni per le risorse condivise.

È possibile utilizzare i gruppi di distribuzione solo con applicazioni di posta elettronica, ad esempio Microsoft Exchange Server 2007, per inviare posta elettronica a insiemi di utenti. I gruppi di distribuzione non sono dotati di funzioni di sicurezza, quindi non possono essere inclusi negli elenchi di controllo di accesso discrezionali (DACL). Se è necessario un gruppo per controllare l'accesso a risorse condivise, creare un gruppo di sicurezza.

Se utilizzati con attenzione, i gruppi di sicurezza rappresentano un modo efficiente per concedere l'accesso alle risorse in rete. Utilizzando i gruppi di sicurezza è possibile:

  • Assegnare diritti utente a gruppi di sicurezza in Servizi di dominio Active Directory.

    I diritti utente vengono assegnati a un gruppo di sicurezza per determinare quali operazioni possono effettuare i membri di quel gruppo all'interno dell'ambito di un dominio o di una foresta. I diritti utente vengono assegnati automaticamente ad alcuni gruppi di sicurezza durante l'installazione di Servizi di dominio Active Directory per consentire agli amministratori di definire il ruolo amministrativo di un utente nel dominio. Ad esempio, un utente aggiunto al gruppo Backup Operators in Active Directory ha la possibilità di eseguire il backup e il ripristino di file e directory in ogni controller di dominio nel dominio.

  • Assegnare autorizzazioni per le risorse a gruppi di sicurezza.

    Le autorizzazioni si differenziano dai diritti utente. Le autorizzazioni definiscono chi può accedere a una risorsa condivisa e determinano il livello di accesso, ad esempio Controllo completo. È possibile utilizzare i gruppi di sicurezza per gestire l'accesso e le autorizzazioni per una risorsa condivisa. Alcune autorizzazioni impostate sugli oggetti dominio sono assegnate automaticamente per attribuire vari livelli di accesso ai gruppi di sicurezza predefiniti, ad esempio il gruppo Account Operators o Domain Admins.

Analogamente ai gruppi di distribuzione, i gruppi di sicurezza possono essere utilizzati come entità di posta elettronica. Inviando un messaggio di posta elettronica al gruppo si invia il messaggio a tutti i membri del gruppo.

Identità speciali

Oltre ai gruppi presenti nei contenitori Users e Builtin, i server che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 includono diverse identità speciali. Per comodità tali identità vengono generalmente considerate gruppi. Questi gruppi speciali non dispongono di appartenenze specifiche che possono essere modificate. Essi possono rappresentare utenti diversi in orari diversi, a seconda delle circostanze. I gruppi seguenti rappresentano identità speciali:

  • Accesso anonimo

    Questo gruppo rappresenta utenti e servizi che accedono a un computer e alle sue risorse attraverso la rete senza utilizzare un nome di account, una password o un nome di dominio. Nei computer che eseguono Windows NT e versioni precedenti, il gruppo Accesso anonimo è un membro predefinito del gruppo Everyone. Nei computer che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 il gruppo Accesso anonimo non è un membro predefinito del gruppo Everyone.

  • Everyone

    Questo gruppo rappresenta tutti i gli utenti correnti della rete, inclusi i guest e gli utenti di altri domini. Ogni volta che un utente accede alla rete, viene aggiunto automaticamente al gruppo Everyone.

  • Network

    Questo gruppo rappresenta gli utenti che accedono a una determinata risorsa attraverso la rete, diversamente dagli utenti che accedono a tale risorsa connettendosi localmente al computer in cui si trova. Ogni volta che un utente accede a una determinata risorsa attraverso la rete, viene aggiunto automaticamente al gruppo Network.

  • Interactive

    Questo gruppo rappresenta tutti gli utenti connessi a un determinato computer e che accedono a un risorsa che si trova in quel computer, diversamente dagli utenti che accedono a quella risorsa attraverso la rete. Ogni volta che un utente accede a una determinata risorsa nel computer in cui è attualmente connesso, viene aggiunto automaticamente al gruppo Interactive.

Sebbene alle identità speciali sia possibile assegnare diritti e autorizzazioni per le risorse, non è possibile modificarne o visualizzarne le appartenenze. Gli ambiti dei gruppi non si applicano alle identità speciali. Gli utenti vengono assegnati automaticamente a queste identità speciali ogni volta che si connettono o accedono a una determinata risorsa.

Informazioni sulle ubicazioni in cui è possibile creare i gruppi

In Servizi di dominio Active Directory i gruppi vengono creati nei domini. Per creare gruppi, è possibile utilizzare Utenti e computer di Active Directory. Se si dispone delle autorizzazioni necessarie, è possibile creare gruppi nel dominio radice della foresta, in qualunque altro dominio della foresta o in una unità organizzativa.

Un gruppo è caratterizzato dall'ambito oltre che dal dominio in cui viene creato. L'ambito di un gruppo determina quanto segue:

  • Il dominio da cui è possibile aggiungere membri

  • Il dominio in cui sono validi i diritti e le autorizzazioni assegnati al gruppo

Scegliere il dominio o l'unità organizzativa in cui si crea un gruppo in base al tipo di amministrazione necessaria per il gruppo. Se ad esempio la directory include più unità organizzative, ognuna delle quali ha un amministratore diverso, è possibile creare gruppi con ambito globale all'interno di quelle unità organizzative, in modo che gli amministratori possano gestire le appartenenze ai gruppi per gli utenti nelle rispettive unità organizzative. Se sono necessari gruppi per il controllo dell'accesso all'esterno dell'unità organizzativa, è possibile nidificare i gruppi dell'unità organizzativa in gruppi con ambito universale o in altri gruppi con ambito globale che possono essere utilizzati altrove nella foresta.

Se il livello funzionale del dominio è impostato su Windows 2000 originale o versioni successive, il dominio contiene una gerarchia di unità organizzative e l'amministrazione è delegata agli amministratori di ogni unità organizzativa, potrebbe risultare più efficiente nidificare i gruppi con ambito globale. Se ad esempio l'unità organizzativa 1 contiene le unità organizzative 2 e 3, un gruppo con ambito globale nell'unità organizzativa 1 può avere come membri i gruppi con ambito globale nelle unità organizzative 2 e 3. Nell'unità organizzativa 1 l'amministratore può aggiungere o rimuovere membri dei gruppi dall'unità organizzativa 1 e gli amministratori delle unità organizzative 2 e 3 possono aggiungere o rimuovere membri dei gruppi per gli account delle proprie unità organizzative senza possedere diritti amministrativi per il gruppo con ambito globale nell'unità organizzativa 1.

Nota

È possibile spostare gruppi all'interno di un dominio. Tuttavia solo i gruppi con ambito universale possono essere spostati da un dominio all'altro. I diritti e le autorizzazioni assegnati a un gruppo con ambito universale vengono persi quando il gruppo viene spostato in un altro dominio, pertanto è necessario effettuare nuove assegnazioni.

Ulteriori riferimenti

  • Gestire gruppi


Creare un nuovo gruppo

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un nuovo account di gruppo

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per creare un nuovo account di gruppo tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla cartella in cui si desidera creare un nuovo gruppo.

    Percorso

    • Utenti e computer di Active Directory\domain node\folder

  3. Scegliere Nuovo e quindi fare clic su Gruppo.

  4. Digitare il nome del nuovo gruppo.

    Per impostazione predefinita il nome digitato viene anche immesso come nome precedente a Windows 2000 del nuovo gruppo.

  5. In Ambito del gruppo fare clic su una delle opzioni disponibili.

    Per ulteriori informazioni, vedere la sezione "Informazioni sull'ambito dei gruppi" in Informazioni sugli account di gruppo.

  6. In Tipo gruppo fare clic su una delle opzioni disponibili.

    Per ulteriori informazioni, vedere la sezione "Informazioni sui tipi di gruppo" in Informazioni sugli account di gruppo.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per aggiungere un gruppo, è inoltre possibile fare clic sulla cartella in cui si desidera aggiungere il gruppo e quindi fare clic sull'icona di nuovo gruppo sulla barra degli strumenti.

  • Se il dominio in cui si sta creando il gruppo è impostato sul livello funzionale di dominio di Windows 2000 misto, è possibile selezionare solo il tipo di gruppo Sicurezza con ambito Locale di dominio o Globale.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo gruppo (http://go.microsoft.com/fwlink/?LinkId=138377). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per creare un nuovo account di gruppo tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsadd group <GroupDN> -samid<SAMName> -secgrp {yes|no} -scope {l|g|u}

Parametro | Descrizione
<DNGruppo> | Specifica il nome distinto dell'oggetto gruppo da aggiungere.
-samid | Imposta il valore di <NomeSAM>.
<NomeSAM> | Specifica il nome SAM (Security Accounts Manager, Gestione account di sicurezza) come nome di account SAM univoco per il gruppo, ad esempio Operators.
-secgrp | Imposta il valore del tipo di gruppo.
{yes|no} | Specifica se il gruppo che si desidera aggiungere è un gruppo di sicurezza (yes) o un gruppo di distribuzione (no).
-scope | Imposta il valore dell'ambito del gruppo.
{l|g|u} | Specifica se l'ambito del gruppo che si desidera aggiungere è locale di dominio (l), globale (g) o universale (u).

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsadd group /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Se il dominio in cui si sta creando il gruppo è impostato sul livello funzionale di dominio di Windows 2000 misto, è possibile selezionare solo il tipo di gruppo Sicurezza con l'ambito Locale di dominio o Globale.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo gruppo (http://go.microsoft.com/fwlink/?LinkId=138377). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Aggiungere un membro a un gruppo

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere un membro a un gruppo

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per aggiungere un membro a un gruppo tramite l'interfaccia Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella contenente il gruppo a cui si desidera aggiungere un membro.

    Percorso

    • Utenti e computer di Active Directory\domain node\cartella che contiene il gruppo

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo e quindi scegliere Proprietà.

  4. Nella scheda Membri fare clic su Aggiungi.

  5. In Immettere i nomi degli oggetti da selezionare digitare il nome dell'utente, del gruppo o del computer che si desidera aggiungere al gruppo e quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Oltre a utenti e computer, i membri di un gruppo possono essere contatti e altri gruppi.

  • Per aggiungere membri a un gruppo è inoltre possibile selezionare l'oggetto desiderato e quindi fare clic sull'icona Aggiunge gli oggetti selezionati a un gruppo prescelto nella barra degli strumenti, trascinare un oggetto membro in un gruppo oppure fare clic con il pulsante destro del mouse sull'oggetto e quindi fare clic su Aggiungi a un gruppo.

  • Quando si amministra un dominio, le entità di sicurezza nel domino padre o in altri domini trusted non sono visibili nella scheda Membro di delle proprietà di un utente di dominio. Gli unici account di dominio che è possibile aggiungere o visualizzare sono i gruppi del dominio corrente. Vengono visualizzati infatti solo i gruppi del dominio corrente, anche se il membro appartiene ad altri gruppi di domini trusted.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un membro a un gruppo (http://go.microsoft.com/fwlink/?LinkId=138378). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per aggiungere un membro a un gruppo tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod group <GroupDN> -addmbr <MemberDN>

Parametro | Descrizione
<DNGruppo> | Specifica il nome distinto dell'oggetto gruppo a cui si desidera aggiungere l'oggetto.
-addmbr | Imposta il valore <DNMembro>.
<DNMembro> | Specifica il nome distinto dell'oggetto che si desidera aggiungere al gruppo.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod group /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Oltre a utenti e computer, i membri di un gruppo possono includere contatti e altri gruppi.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un membro a un gruppo (http://go.microsoft.com/fwlink/?LinkId=138378). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Convertire un gruppo in un tipo diverso

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Convertire un gruppo in un tipo di gruppo diverso

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per convertire un gruppo in un tipo di gruppo diverso tramite l'interfaccia Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella contenente il gruppo che si desidera convertire in un tipo diverso.

    Percorso

    • Utenti e computer di Active Directory\domain node\folder that contains the group

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo e quindi scegliere Proprietà.

  4. Nella scheda Generale in Tipo gruppo fare clic sul tipo di gruppo.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per convertire un gruppo, il livello di funzionalità del dominio deve essere impostato su Windows 2000 originale o su un livello successivo. Non è possibile convertire gruppi se il livello di funzionalità del dominio è impostato su Windows 2000 misto.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla conversione di un gruppo in un altro tipo (http://go.microsoft.com/fwlink/?LinkId=138379). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per convertire un gruppo in un tipo di gruppo diverso tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod group  <GroupDN> -secgrp {yes|no}

Parametro | Descrizione
<DNGruppo> | Specifica il nome distinto dell'oggetto gruppo di cui si desidera modificare il tipo.
-secgrp | Imposta il valore del tipo di gruppo.
{yes|no} | Specifica che il tipo di gruppo è impostato come gruppo di sicurezza (yes) o gruppo di distribuzione (no).

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod group /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per convertire un gruppo, il livello di funzionalità del dominio deve essere impostato su Windows 2000 originale o su un livello successivo. Non è possibile convertire gruppi se il livello di funzionalità del dominio è impostato su Windows 2000 misto.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla conversione di un gruppo in un altro tipo (http://go.microsoft.com/fwlink/?LinkId=138379). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Modificare l'ambito del gruppo

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Modificare l'ambito del gruppo

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per modificare l'ambito del gruppo tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella contenente il gruppo per cui si desidera modificare l'ambito.

    Percorso

    • Utenti e computer di Active Directory\domain node\folder that contains the group

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo e quindi scegliere Proprietà.

  4. Nella scheda Generale in Ambito del gruppo selezionare l'ambito del gruppo.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • È possibile modificare gli ambiti dei gruppi solo se il livello di funzionalità del dominio è impostato su Windows 2000 originale o su un livello successivo.

  • La modifica dell'ambito di un gruppo da universale a locale di dominio può essere eseguita solo in un server di catalogo globale. Se il controller di dominio non è un server di catalogo globale, viene visualizzato un messaggio di errore.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica dell'ambito del gruppo (http://go.microsoft.com/fwlink/?LinkId=138380). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per modificare l'ambito del gruppo tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod group <GroupDN> -scope {L|G|U}

Parametro | Descrizione
<DNGruppo> | Specifica i nomi distinti dell'oggetto gruppo a cui verrà modificato l'ambito.
{L|G|U} | Specifica che l'ambito del gruppo è impostato come locale (L), globale (G) o universale (U). Se il livello di funzionalità del dominio è Windows 2000 misto, l'ambito universale non è supportato. Non è inoltre possibile convertire un gruppo locale di dominio in un gruppo globale o un gruppo globale in un gruppo locale di dominio.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod group /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • È possibile modificare gli ambiti dei gruppi solo se il livello di funzionalità del dominio è impostato su Windows 2000 originale o su un livello successivo.

  • La modifica dell'ambito di un gruppo da universale a locale di dominio può essere eseguita solo in un server di catalogo globale. Se il controller di dominio non è un server di catalogo globale, viene visualizzato un messaggio di errore.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla modifica dell'ambito del gruppo (http://go.microsoft.com/fwlink/?LinkId=138380). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Eliminare un gruppo

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Eliminare un account di gruppo

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per eliminare un account di gruppo tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella contenente il gruppo che si desidera eliminare.

    Percorso

    • Utenti e computer di Active Directory\domain node\folder that contains the group

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo e quindi scegliere Elimina.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • L'eliminazione di un gruppo è un'operazione permanente.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un gruppo (http://go.microsoft.com/fwlink/?LinkId=138381). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per eliminare un account di gruppo tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsrm <GroupDN>

Parametro | Descrizione
<DNGruppo> | Specifica il nome distinto dell'oggetto gruppo da eliminare.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsrm /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • L'eliminazione di un gruppo è un'operazione permanente.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un gruppo (http://go.microsoft.com/fwlink/?LinkId=138381). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Trovare i gruppi di cui un utente è membro

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo.

Trovare i gruppi di cui un utente è membro

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per trovare i gruppi di cui un utente è membro tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Utenti.

    Percorso

    • Utenti e computer di Active Directory\domain node\Utenti

    Oppure fare clic sulla cartella che contiene l'account utente di cui si desidera visualizzare l'appartenenza ai gruppi.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse su un account utente e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Membro di.

Ulteriori considerazioni

  • Per l'esecuzione di questa attività non è necessario disporre di credenziali amministrative. Per una sicurezza ottimale, è pertanto consigliabile eseguire questa attività con un account utente senza credenziali amministrative.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Nella scheda Membro di di un utente è visualizzato l'elenco di gruppi del dominio in cui si trova l'account utente. In Servizi di dominio Active Directory non vengono visualizzati i gruppi che si trovano in domini trusted di cui l'utente è membro.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla ricerca dei gruppi di cui un utente è membro (http://go.microsoft.com/fwlink/?LinkId=138382). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi

Per trovare i gruppi di cui un utente è membro tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

dsget user <UserDN> -memberof

Parametro | Descrizione
-memberof | Specifica l'appartenenza ai gruppi.
<DNUtente> | Specifica il nome distinto dell'oggetto utente di cui si desidera visualizzare l'appartenenza ai gruppi.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsget user /?

Ulteriori considerazioni

  • Per l'esecuzione di questa attività non è necessario disporre di credenziali amministrative. Per una sicurezza ottimale, è pertanto consigliabile eseguire questa attività con un account utente privo di credenziali amministrative.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla ricerca dei gruppi di cui un utente è membro (http://go.microsoft.com/fwlink/?LinkId=138382). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Assegnare diritti utente a un gruppo in Servizi di dominio Active Directory

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per assegnare diritti utente a un gruppo in Servizi di dominio Active Directory

  1. Per aprire Gestione Criteri di gruppo, fare clic sul pulsante Start, scegliere Esegui, digitare gpmc.msc e quindi fare clic su OK.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Criterio controller di dominio predefiniti e quindi fare clic su Modifica.

    Percorso

    • Domini\Current Domain Name\Oggetti Criteri di gruppo\Criterio controller di dominio predefinito

  3. Nell'albero della console fare clic su Assegnazione diritti utente.

    Percorso

    • Impostazioni di Windows\Impostazioni sicurezza\Criteri locali\Assegnazione diritti utente

  4. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul diritto utente che si desidera assegnare.

  5. Fare clic su Aggiungi utente o gruppo.

    Se il pulsante è visualizzato in grigio, selezionare la casella di controllo Definisci le impostazioni relative ai criteri.

  6. Digitare il nome del gruppo a cui si desidera assegnare il diritto.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per eseguire questa procedura, è necessario installare prima Gestione Criteri di gruppo come funzionalità di Server Manager.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'assegnazione di diritti utente a un gruppo in Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkId=138383). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire gruppi


Gestire computer

Utenti e computer di Active Directory può essere utilizzato per creare nuovi account computer o gestire account computer esistenti.

  • Informazioni sugli account computer

  • Creare un nuovo account computer

  • Aggiungere un account computer a un gruppo

  • Eliminare un account computer

  • Gestire un computer remoto

  • Spostare un account computer

  • Reimpostare un account computer

  • Disabilitare o abilitare un account computer


Informazioni sugli account computer

Ogni computer aggiunto a un dominio (client che esegue Windows NT, Windows 2000, Windows XP o Windows Vista o server che esegue Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2) dispone di un account computer. Analogamente agli account utente, gli account computer consentono l'autenticazione e il controllo dell'accesso alla rete e alle risorse del dominio. Ogni account computer deve essere univoco.

Nota

I computer che eseguono Windows 95 e Windows 98 non dispongono di funzionalità di sicurezza avanzate. Pertanto, a tali computer non vengono assegnati account computer.

È possibile aggiungere, disattivare, reimpostare ed eliminare account utente e computer utilizzando lo snap-in Utenti e computer di Active Directory. È inoltre possibile creare un account computer quando si aggiunge un computer a un dominio.

Quando il livello di funzionalità del dominio è impostato su Windows Server 2008 o Windows Server 2008 R2, viene utilizzato un nuovo attributo, denominato lastLogonTimestamp, per tenere traccia dell'ora dell'ultimo accesso da parte di un account utente o computer. Questo attributo, replicato all'interno del dominio, fornisce informazioni importanti relative alla cronologia di un utente o di un computer.

Informazioni sui nomi di computer

Ogni account computer creato in Servizi di dominio Active Directory dispone di un nome distinto relativo, di un nome di computer precedente a Windows 2000 (nome di account del sistema di gestione degli account di sicurezza, SAM), di un suffisso Domain Name System (DNS) primario, di un nome host DNS e di un nome principale di servizio (SPN). L'amministratore immette il nome di computer al momento della creazione dell'account computer. Il nome di computer viene utilizzato come nome distinto relativo Lightweight Directory Access Protocol (LDAP).

In Servizi di dominio Active Directory viene suggerito un nome precedente a Windows 2000 composto dai primi 15 byte del nome distinto relativo. Il nome precedente a Windows 2000 può essere modificato dall'amministratore in qualsiasi momento.

Il nome DNS di un host è detto nome completo del computer e rappresenta un nome di dominio completo (FQDN, Fully Qualified Domain Name) DNS. Il nome di dominio completo è composto dal nome del computer (i primi 15 byte del nome di account SAM dell'account computer, senza il carattere "$") e dal suffisso DNS primario (il nome di dominio DNS del dominio in cui si trova l'account computer).

Per impostazione predefinita, la parte relativa al suffisso DNS primario dell'FQDN di un computer deve essere uguale al nome del dominio Active Directory in cui si trova il computer. Per consentire suffissi DNS primari diversi, l'amministratore di dominio può creare un elenco limitato di suffissi consentiti mediante la creazione dell'attributo msDS-AllowedDNSSuffixes nel contenitore di oggetti del dominio. La creazione e la gestione di questo attributo vengono eseguite dall'amministratore di dominio tramite Active Directory Service Interfaces o LDAP.

SPN è un attributo multivalore e viene di solito creato dal nome DNS dell'host. L'attributo SPN viene utilizzato durante il processo di autenticazione reciproca tra il client e il server che ospita un servizio particolare. Il client trova un account computer basati sull'SPN del servizio a cui sta tentando di connettersi. L'SPN può essere modificato dai membri del gruppo Domain Admins.

Ulteriori riferimenti

  • Gestire computer


Creare un nuovo account computer

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un nuovo account computer

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per creare un nuovo account computer tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    In alternativa, fare clic con il pulsante destro del mouse sulla cartella in cui si desidera aggiungere il computer.

  3. Scegliere Nuovo e quindi fare clic su Computer.

  4. Digitare il nome del computer.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per impostazione predefinita i membri del gruppo Account Operators possono creare account computer nel contenitore Computer e nelle nuove unità organizzative.

  • Per impostazione predefinita ai membri del gruppo Authenticated Users di un dominio viene assegnato il diritto utente Aggiunta di workstation al dominio e tali utenti possono creare fino a dieci account computer nel dominio.

  • Sono disponibili altri due metodi per assegnare a un utente o a un gruppo l'autorizzazione per l'aggiunta di un computer al dominio:

    • Utilizzare un oggetto Criteri di gruppo per assegnare l'autorizzazione Aggiungi utente computer

    • Nell'unità organizzativa, assegnare all'utente o al gruppo l'autorizzazione Crea oggetti computer

  • Se il computer che utilizza l'account che si sta creando esegue un sistema operativo precedente a Windows 2000, selezionare la casella di controllo Assegna l'account di questo computer come un computer con sistema operativo precedente a Windows 2000.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account computer (http://go.microsoft.com/fwlink/?LinkId=138384). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer

Per creare un nuovo account computer tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsadd computer <ComputerDN>

Parametro | Descrizione
<DNComputer> | Specifica il nome distinto del computer che si desidera aggiungere. Il nome distinto specifica il percorso di directory.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsadd computer /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per impostazione predefinita i membri del gruppo Account Operators possono creare account computer nel contenitore Computer e nelle nuove unità organizzative.

  • Per impostazione predefinita ai membri del gruppo Authenticated Users di un dominio viene assegnato il diritto utente Aggiunta di workstation al dominio e tali utenti possono creare fino a dieci account computer nel dominio.

  • Per assegnare a un utente o a un gruppo l'autorizzazione per l'aggiunta di un computer al dominio, sono disponibili i due metodi aggiuntivi seguenti:

    • Utilizzare un oggetto Criteri di gruppo per assegnare l'autorizzazione Aggiungi computer.

    • Nell'unità organizzativa assegnare all'utente o al gruppo l'autorizzazione Crea oggetti computer.

    • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di un nuovo account computer (http://go.microsoft.com/fwlink/?LinkId=138384). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Aggiungere un account computer a un gruppo

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere un account computer a un gruppo

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per aggiungere un account computer a un gruppo tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    Oppure fare clic sulla cartella che contiene il computer.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer e quindi scegliere Proprietà.

  4. Nella scheda Membro di fare clic su Aggiungi.

  5. In Immettere i nomi degli oggetti da selezionare digitare il nome del gruppo che si desidera aggiungere come membro del computer, quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Quando si visualizzano gli utenti, i computer e i gruppi come contenitori, è possibile aggiungere un computer a un gruppo trascinandolo sul gruppo desiderato.

  • Aggiungendo un computer a un gruppo, è possibile assegnare autorizzazioni a tutti gli account computer in quel gruppo e filtrare le impostazioni dei Criteri di gruppo su tutti gli account in quel gruppo.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un account computer a un gruppo (http://go.microsoft.com/fwlink/?LinkId=138385). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer

Per aggiungere un account computer a un gruppo tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod group <GroupDN> -addmbr <ComputerDN>

Parametro | Descrizione
<DNGruppo> | Specifica i nomi distinti dell'oggetto gruppo a cui si desidera aggiungere l'oggetto computer.
-addmbr | Imposta il valore di <DNComputer>.
<DNComputer> | Specifica il nome distinto del computer da aggiungere al gruppo. Il nome distinto specifica il percorso della directory.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod group /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Aggiungendo un computer a un gruppo, è possibile assegnare autorizzazioni a tutti gli account computer in quel gruppo e filtrare le impostazioni dei Criteri di gruppo su tutti gli account in quel gruppo.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un account computer a un gruppo (http://go.microsoft.com/fwlink/?LinkId=138385). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Eliminare un account computer

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Eliminare un account computer

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per eliminare un account computer tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    In alternativa, fare clic sulla cartella che contiene il computer.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer e quindi scegliere Elimina.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per eliminare un account computer, è inoltre possibile separare il computer dal dominio.

  • In seguito all'eliminazione di un account computer vengono eliminate definitivamente anche tutte le autorizzazioni e le appartenenze associate all'account. Poiché l'ID di sicurezza (SID) di ogni account è univoco, un nuovo account computer con lo stesso nome di un account computer eliminato in precedenza non eredita le autorizzazioni e le appartenenze dell'account eliminato. Se si desidera duplicare un account computer eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138386). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer

Per eliminare un account computer tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsrm computer <ComputerDN>

Parametro | Descrizione
<DNComputer> | Specifica il nome distinto del computer che si desidera eliminare. Il nome distinto specifica il percorso della directory.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsrm computer /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura.

  • Per eliminare un account computer, è inoltre possibile separare il computer dal dominio.

  • In seguito all'eliminazione di un account computer vengono eliminate definitivamente anche tutte le autorizzazioni e le appartenenze associate all'account. Poiché l'ID di sicurezza (SID) di ogni account è univoco, un nuovo account computer con lo stesso nome di un account computer eliminato in precedenza non eredita le autorizzazioni e le appartenenze dell'account eliminato. Se si desidera duplicare un account computer eliminato, è necessario ricreare manualmente tutte le autorizzazioni e le appartenenze.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138386). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Gestire un computer remoto

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire un computer remoto

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\nodo dominio\Computer

    In alternativa, aprire la cartella contenente il computer che si desidera gestire.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer e quindi scegliere Gestisci.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Facendo clic su Gestisci verrà avviato Gestione computer, utilizzabile per amministrare i computer remoti. Per visualizzare determinate informazioni o modificare le proprietà dei computer con Gestione computer è necessario disporre di credenziali amministrative nel computer locale.

Ulteriori riferimenti

  • Gestire computer


Spostare un account computer

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per spostare un account computer

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    In alternativa, fare clic sulla cartella contenente il computer che si desidera spostare.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer e quindi scegliere Sposta.

  4. Nella finestra di dialogo Sposta fare clic sul nodo del dominio.

  5. Fare clic sulla cartella in cui si desidera spostare il computer e quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Non è possibile utilizzare Utenti e computer di Active Directory per spostare account computer da un dominio all'altro. Per spostare un account computer da un dominio all'altro, utilizzare l'Utilità di migrazione ad Active Directory, uno degli strumenti di supporto di Active Directory. Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • I membri del gruppo Account Operators possono spostare account computer all'interno di unità organizzative (OU, Organizational Unit) ma non all'interno di contenitori predefiniti, quali i contenitori Builtin o Computers. I membri del gruppo Account Operators, tuttavia, non possono spostare account computer esterni all'interno dell'unità organizzativa Domain Controllers ma possono spostare all'esterno account computer interni a tale unità organizzativa.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un account computer (http://go.microsoft.com/fwlink/?LinkId=138387). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Reimpostare un account computer

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Reimpostare un account computer

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per reimpostare un account computer tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    In alternativa, fare clic sulla cartella contenente il computer che si desidera reimpostare.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer e quindi scegliere Ripristina account.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138388). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer

Per reimpostare un account computer tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod computer <ComputerDN> -reset

Parametro | Descrizione
<DNComputer> | Specifica il nome distinto di uno o più oggetti computer che si desidera reimpostare.
-reset | Reimposta l'oggetto computer specificato.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod computer /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla reimpostazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138388). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Disabilitare o abilitare un account computer

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Disabilitare o abilitare un account computer

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per disabilitare o abilitare un account computer tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic su Computer.

    Percorso

    • Utenti e computer di Active Directory\domain node\Computer

    In alternativa fare clic sulla cartella contenente l'account computer che si desidera abilitare o disabilitare.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'account computer desiderato e quindi eseguire una delle operazioni seguenti:

    • Per disabilitare l'account, fare clic su Disabilita account.

    • Per abilitare l'account, fare clic su Abilita account.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Quando si disabilita un account computer, il computer non potrà eseguire l'autenticazione nel dominio fino all'abilitazione dell'account.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138389). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer

Per disabilitare o abilitare un account computer tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmod computer <ComputerDN> -disabled {yes|no}

Parametro | Descrizione
<DNComputer> | Specifica i nomi distinti dell'account computer che si desidera disabilitare o abilitare.
-disabled | Imposta l'account computer specificato come disabilitato (yes) o abilitato (no).
{yes|no} | Specifica se l'account computer è disabilitato (yes) o abilitato (no) per l'accesso.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmod computer /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per assicurare un livello di sicurezza ottimale, si consiglia di utilizzare per questa procedura la funzione Esegui come.

  • Quando si disabilita un account computer, esso non potrà eseguire l'autenticazione nel dominio fino all'abilitazione dell'account.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un account computer (http://go.microsoft.com/fwlink/?LinkId=138389). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire computer


Gestire domini

È possibile utilizzare Utenti e computer di Active Directory per connettersi a domini o controller di dominio specifici e visualizzare o gestire le relative informazioni di directory.

  • Informazioni sui domini

  • Gestire un dominio diverso

  • Gestire il dominio utilizzando un controller di dominio diverso


Informazioni sui domini

I domini sono unità di replica. Tutti i controller di dominio di un determinato dominio possono ricevere modifiche e replicarle in tutti gli altri controller di dominio del dominio. Ogni dominio di Servizi di dominio Active Directory è identificato da un nome di dominio Domain Name System (DNS). Ogni dominio richiede uno o più controller di dominio. Se la rete necessita più di un dominio, è possibile crearli facilmente.

Uno o più domini che condividono lo stesso schema e lo stesso catalogo globale vengono definiti foresta. Il primo dominio di una foresta è detto dominio radice della foresta. Se più domini nella foresta dispongono di nomi di dominio DNS contigui, la struttura viene detta albero di dominio.

Un solo dominio può estendersi su più posizioni fisiche o siti e contenere milioni di oggetti. La struttura del sito e del dominio sono separate e flessibili. Un solo dominio può estendersi su più siti geografici e un solo sito può comprendere utenti e computer appartenenti a più domini.

Un dominio può garantire diversi vantaggi:

  • Organizzazione degli oggetti.

    Non è necessario creare domini separati solo per riflettere le divisioni e i reparti in cui è organizzata la società, ma all'interno di un dominio è possibile utilizzare a questo scopo le unità organizzative per gestire più facilmente gli account e le risorse del dominio. È quindi possibile assegnare impostazioni dei criteri di gruppo e inserire utenti, gruppi e computer nelle unità organizzative. L'utilizzo di un solo dominio semplifica enormemente l'overhead amministrativo. Per ulteriori informazioni, vedere Gestire unità organizzative.

  • Pubblicazione di risorse e informazioni sugli oggetti del dominio.

    Un dominio consente di archiviare informazioni solo per gli oggetti che contiene. La creazione di più domini corrisponde quindi al partizionamento o alla segmentazione della directory e risponde in modo migliore alle esigenze di utenti diversi. Utilizzando più domini, è possibile ridimensionare Servizi di dominio Active Directory in base ai propri requisiti amministrativi e di pubblicazione delle directory.

  • La delega dell'autorità elimina la necessità di avere molti amministratori con autorità amministrativa molto vasta.

    Se si utilizza l'autorità delegata con gli oggetti Criteri di gruppo e le appartenenze ai gruppi, è possibile assegnare a un amministratore diritti e autorizzazioni per la gestione degli oggetti di un intero dominio o di una o più unità organizzative del dominio.

  • I criteri di sicurezza e le impostazioni, ad esempio i diritti utente e i Criteri password, sono validi in un solo dominio.

    Ogni dominio dispone di propri criteri di sicurezza e relazioni di trust con altri domini. La foresta rimane comunque il limite di sicurezza finale.

  • Ogni dominio consente di archiviare solo le informazioni relative agli oggetti che contiene.

    Con una partizione della directory di questo tipo, Servizi di dominio Active Directory consente il ridimensionamento a un numero di oggetti molto vasto.

Ulteriori riferimenti

  • Gestire domini


Gestire un dominio diverso

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire un dominio diverso

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Utenti e computer di Active Directory e quindi fare clic su Cambia dominio.

  3. Digitare il nome del dominio.

    In alternativa, fare clic su Sfoglia e quindi selezionare un dominio dall'elenco.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Se si seleziona la casella di controllo Salva questa impostazione del dominio per la console corrente, Utenti e computer di Active Directory tenterà di connettersi al dominio specificato nel campo Dominio ad ogni avvio.

  • Il nome del dominio include i nomi dei domini padre del dominio stesso. Ad esempio, il nome completo del dominio "vendite" potrebbe essere vendite.contoso.com.

Ulteriori riferimenti

  • Gestire domini


Gestire il dominio utilizzando un controller di dominio diverso

Per eseguire questa procedura, non è richiesta l'appartenenza ad alcun gruppo. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per gestire il dominio utilizzando un controller di dominio diverso

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Utenti e computer di Active Directory e quindi fare clic su Cambia controller di dominio.

  3. Selezionare un controller di dominio nell'elenco.

    In alternativa, fare clic sul campo <Digitare il nome o l'indirizzo IP di un controller di dominio> e quindi digitare il nome di un controller di dominio.

Ulteriori considerazioni

  • Per l'esecuzione di questa attività non è necessario disporre di credenziali amministrative. Per una sicurezza ottimale, è pertanto consigliabile eseguire questa attività con un account utente senza credenziali amministrative. È tuttavia necessario disporre delle credenziali amministrative appropriate per gestire il dominio selezionato.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per impostazione predefinita, alla creazione i controller di dominio sono configurati nell'unità organizzativa Controller di dominio.

  • Se si seleziona la casella di controllo Salva questa impostazione per la console corrente, ogni volta che verrà eseguito, Utenti e computer di Active Directory tenterà di collegarsi al controller di dominio specificato.

Ulteriori riferimenti

  • Gestire domini


Gestire unità organizzative

È possibile utilizzare Utenti e computer di Active Directory per creare nuove unità organizzative e contenitori o gestire le unità organizzative e i contenitori esistenti.

  • Informazioni sulle unità organizzative

  • Creare una nuova unità organizzativa

  • Eliminare un'unità organizzativa

  • Spostare un'unità organizzativa

  • Delegare il controllo di un'unità organizzativa


Informazioni sulle unità organizzative

Un tipo particolarmente utile di oggetto di directory presente all'interno dei domini è l'unità organizzativa (OU, Organizational Unit). Le unità organizzative sono contenitori Active Directory nei quali è possibile inserire utenti, gruppi, computer e altre unità organizzative. Un'unità organizzativa non può contenere oggetti di altri domini.

Un'unità organizzativa è l'ambito o l'unità di dimensioni inferiori a cui è possibile assegnare impostazioni di Criteri di gruppo o delegare autorità amministrativa. Mediante le unità amministrative è possibile creare all'interno del dominio contenitori in grado di rispecchiare la struttura gerarchica e la struttura logica dell'organizzazione, consentendo quindi di gestire la configurazione e l'utilizzo degli account e delle risorse in base al modello organizzativo.

Le unità organizzative possono contenere altre unità organizzative. È possibile estendere la gerarchia di unità organizzative in base alla proprie esigenze per modellare gerarchia dell'organizzazione all'interno del dominio. Le unità organizzative consentono di ridurre al minimo il numero dei domini necessari per la rete.

Con le unità organizzative è possibile creare un modello amministrativo ridimensionabile in base a qualsiasi esigenza. È possibile assegnare a un utente autorità amministrativa su tutte le unità organizzative di un dominio o su un'unica unità organizzativa. L'amministratore di un'unità organizzativa non deve necessariamente disporre di autorità amministrativa su altre unità organizzative del dominio.

Ulteriori riferimenti

  • Gestire unità organizzative


Creare una nuova unità organizzativa

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare una nuova unità organizzativa

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per creare una nuova unità organizzativa tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nome del dominio.

  3. Scegliere Nuovo e quindi fare clic su Unità organizzativa.

  4. Digitare il nome dell'unità organizzativa.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Per aggiungere un'unità organizzativa è inoltre possibile fare clic sul dominio o sulla cartella in cui si desidera aggiungere l'unità organizzativa e quindi fare clic sull'icona Crea una nuova unità organizzativa nel contenitore corrente nella barra degli strumenti.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di una nuova unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138390). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative

Per creare una nuova unità organizzativa tramite riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsadd ou <OrganizationalUnitDN>

Parametro | Descrizione
<DNUnitàOrganizzativa> | Specifica il nome distinto dell'unità organizzativa da aggiungere.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsadd ou /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla creazione di una nuova unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138390). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Eliminare un'unità organizzativa

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Eliminare un'unità organizzativa

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per eliminare un'unità organizzativa tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sull'unità organizzativa da eliminare.

    Percorso

    • Utenti e computer di Active Directory\domain node\organizational unit

  3. Scegliere Elimina.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Se l'unità organizzativa selezionata contiene altri oggetti, in Utenti e computer di Active Directory verrà richiesto se continuare o annullare l'eliminazione. Se si continua l'eliminazione, tutti gli oggetti all'interno dell'unità organizzativa verranno eliminati.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138391). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative

Per eliminare un'unità organizzativa tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsrm <OrganizationalUnitDN> [-subtree]

Parametro | Descrizione
<DNUnitàOrganizzativa> | Specifica il nome distinto dell'unità organizzativa da eliminare.
-subtree | Specifica che tutti gli oggetti contenuti nell'unità organizzativa selezionata dovranno essere eliminati.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsrm /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Se non viene utilizzata l'opzione -subtree, il tentativo di eliminare un'unità organizzativa contenente altri oggetti restituirà un errore. Con l'opzione -subtree, dsrm eliminerà sia l'unità organizzativa selezionata sia tutti gli oggetti che questa contiene.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'eliminazione di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138391). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Spostare un'unità organizzativa

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Spostare un'unità organizzativa

  • Tramite l'interfaccia di Windows

  • Tramite la riga di comando
Per spostare un'unità organizzativa tramite l'interfaccia di Windows

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi fare doppio clic su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sull'unità organizzativa da spostare.

    Percorso

    • Utenti e computer di Active Directory\domain node\organizational unit

  3. Fare clic su Sposta e quindi fare clic sulla cartella in cui si desidera spostare l'unità organizzativa.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

  • Con Utenti e computer di Active Directory è possibile spostare unità organizzative solo all'interno di uno stesso dominio. Per spostare unità organizzative tra domini diversi, utilizzare l'Utilità di migrazione ad Active Directory (ADMT). Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138392). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative

Per spostare un'unità organizzativa tramite la riga di comando

  1. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    dsmove <OuDN> [-newparent <ParentDN>] -pwd {<Password>|*}

Parametro | Descrizione
<DNOU> | Specifica il nome distinto dell'oggetto unità organizzativa da spostare.
<DNPadre> | Specifica la nuova posizione in cui spostare l'oggetto unità organizzativa. La nuova posizione viene specificata come nome distinto del nuovo nodo padre.
-newparent | Imposta il valore <DNPadre>.
-pwd | Specifica che è necessario utilizzare una password o un * per accedere a un server remoto. Se si digita *, verrà chiesto di immettere una password.
<Password> | Specifica la password dell'amministratore del dominio.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dsmov /?

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Con Utenti e computer di Active Directory è possibile spostare unità organizzative solo all'interno di uno stesso dominio. Per spostare unità organizzative tra domini diversi, utilizzare ADMT. Per ulteriori informazioni, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa allo spostamento di un'unità organizzativa (http://go.microsoft.com/fwlink/?LinkId=138392). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire unità organizzative


Delegare il controllo di un'unità organizzativa

Per completare questa procedura, è necessario appartenere almeno al gruppo Account Operators, Domain Admins, Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per delegare il controllo di un'unità organizzativa

  1. Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sull'unità organizzativa (OU, Organizational Unit) della quale si desidera delegare il controllo.

    Percorso

    • Utenti e computer di Active Directory\nodo dominio\unità organizzativa

  3. Fare clic su Delega controllo per avviare la Delega guidata del controllo e quindi seguire le istruzioni della procedura guidata.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere un membro del gruppo Account Operators, Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure avere ricevuto in delega l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare la funzione Esegui come.

  • Per aprire Utenti e computer di Active Directory, è inoltre possibile fare clic sul pulsante Start, scegliere Esegui e quindi digitare dsa.msc.

Ulteriori riferimenti

  • Gestire unità organizzative


Risolvere i problemi relativi a Utenti e computer di Active Directory

Quale problema si è verificato?

  • Non è possibile aggiungere o rimuovere un dominio.

  • Le modifiche alle appartenenze ai gruppi non hanno effetto.

  • Vengono visualizzati i messaggi "Dominio non trovato", "Server non disponibile" o "Server RPC non disponibile".

Non è possibile aggiungere o rimuovere un dominio.

Causa: il master per la denominazione dei domini non è disponibile probabilmente a causa di un problema di connettività di rete o di un errore dell'Installazione guidata di Active Directory. L'errore potrebbe inoltre essere causato da un guasto del computer su cui è presente il ruolo di master operazioni per la denominazione dei domini, detto anche FSMO (Flexible Single Master Operations). In alternativa, l'utente che sta tentando di aggiungere o rimuovere il dominio non dispone delle credenziali amministrative necessarie.

Soluzione: identificare il computer in cui è presente il ruolo di master per la denominazione dei domini utilizzando il comando netdom query fsmo e quindi ripristinare o sostituire tale computer. Potrebbe essere necessario riassegnare il ruolo di master per la denominazione dei domini. In alternativa, risolvere il problema di connettività di rete. Se il problema non viene risolto, vedere l'articolo Q223787 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=4441).

Le modifiche alle appartenenze ai gruppi non hanno effetto.

Causa: il master operazioni per l'infrastruttura non è disponibile probabilmente a causa di un problema di connettività di rete. L'errore potrebbe inoltre essere dovuto a un guasto del computer su cui è presente il ruolo di master infrastrutture. In alternativa, l'utente che sta tentando di modificare l'appartenenza al gruppo non dispone delle credenziali amministrative necessarie.

Soluzione: identificare il computer in cui è presente il ruolo di master infrastrutture utilizzando il comando netdom query fsmo e quindi ripristinare o sostituire tale computer. Potrebbe essere necessario riassegnare il ruolo di master infrastrutture. In alternativa, risolvere il problema di connettività di rete. Se il problema non viene risolto, vedere l'articolo Q223787 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=4441).

Vengono visualizzati i messaggi "Dominio non trovato", "Server non disponibile" o "Server RPC non disponibile".

Causa: problema di registrazione o risoluzione dei nomi.

Soluzione: verificare che Domain Name System (DNS) sia disponibile e funzioni correttamente. Eseguire il comando Netdiag /debug nel server in questione per valutare la registrazione di NetBIOS, DNS e dei servizi. Se il problema non viene risolto, vedere l'articolo Q265706 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=4441).


Risorse per Utenti e computer di Active Directory

I collegamenti seguenti consento di accedere a ulteriori informazioni correlate a Utenti e computer di Active Directory:

  • Per informazioni sulla creazione di un account utente locale, vedere il documento relativo alla creazione di account utente locali (http://go.microsoft.com/fwlink/?LinkID=58123).

  • Per informazioni sull'Utilità di migrazione ad Active Directory, vedere la pagina relativa alla migrazione e alla ristrutturazione di domini Active Directory della guida dell'Utilità di migrazione ad Active Directory 3.1 (http://go.microsoft.com/fwlink/?LinkId=82740).

  • Per informazioni sui gruppi predefiniti, vedere la guida di riferimento tecnico a Servizi di dominio Active Directory (http://go.microsoft.com/fwlink/?LinkId=88626).


Interfaccia utente: Utenti e computer di Active Directory

  • Proprietà di <Oggetto> - Scheda Oggetto

  • Proprietà Utente - Scheda Profilo

  • Proprietà Utente - Scheda Account

  • Proprietà Computer - Scheda Delega

  • Proprietà controller di dominio di sola lettura - Scheda Criteri replica password

  • Finestra di dialogo Criteri di replica password avanzati - Scheda Utilizzo criteri

  • Finestra di dialogo Criterio di replica password avanzato - Scheda Criterio risultante

  • Eseguire il popolamento preliminare delle password

  • Finestra di dialogo Nuovo oggetto - Unità organizzativa

  • Finestra di dialogo Cambia <dominio> o <foresta>

  • Finestra di dialogo Cambia controller di dominio

  • Finestra di dialogo Aumento livello funzionalità dominio

  • Delega guidata del controllo


Proprietà di <Oggetto> - Scheda Oggetto

Elemento Dettagli

Casella di controllo Proteggi oggetto da eliminazioni accidentali

Selezionare questa opzione per aggiornare il descrittore di sicurezza dell'oggetto ed eventualmente l'oggetto padre per negare a tutti gli amministratori o utenti del dominio e del controller di dominio la possibilità di eliminare l'oggetto.

Nota

In Utenti e computer di Active Directory, la scheda Oggetto è visibile solo quando l'opzione Caratteristiche avanzate è selezionata nel menu Visualizza.

Nota

Questa impostazione non offre protezione in caso di eliminazione accidentale di un sottoalbero che contiene l'oggetto protetto. Per questo motivo si suggerisce di abilitare l'impostazione per tutti i contenitori dell'oggetto protetto fino al vertice del contesto dei nomi del dominio.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Proprietà Utente - Scheda Profilo

Elemento Dettagli

Percorso profilo

Consente di digitare il percorso del profilo, ad esempio \\nomeserver\cartellacondivisione\nome utente.

Script di accesso

Consente di digitare il percorso dello script di accesso.

Percorso locale

Specifica che l'home directory si trova in un percorso locale. Digitare il percorso nello spazio disponibile.

Connetti

Selezionare questa opzione per scegliere il percorso di rete da connettere a una home directory. Per selezionare e configurare il percorso di rete:

  • Fare clic sulla freccia dell'elenco a discesa e quindi selezionare una lettera di unità.

  • Nella casella e è possibile specificare che la home directory si trova in una rete. Per specificare un percorso di rete per la home directory, è innanzitutto necessario creare la risorsa condivisa ed impostare le autorizzazioni che consentono l'accesso utente. A tale scopo è necessario utilizzare le cartelle condivise in un altro computer.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Proprietà Utente - Scheda Account

Controllo Dettagli

Nome accesso utente

Nella casella di testo a sinistra è possibile digitare il nome di account per l'utente, ovvero il nome utilizzato dall'utente per accedere al dominio di Active Directory.

L'elenco a discesa a destra contiene i suffissi dei nomi delle entità utente (UPN, User Principal Name) che è possibile utilizzare per creare il nome di accesso utente. Nell'elenco sono inoltre presenti il nome DNS (Domain Name System) del dominio corrente, il nome DNS completo del dominio radice della foresta corrente e gli eventuali suffissi UPN alternativi creati con Domini e trust di Active Directory.

Nome accesso utente (precedente a Windows 2000)

Nella casella di testo di sola lettura a sinistra è visualizzato il nome di dominio utilizzato dai computer che eseguono un sistema operativo precedente a Windows 2000. Il nome viene inoltre utilizzato nella sintassi precedente a Windows 2000 per l'accesso utente di tipo nomedominio\nomeutente.

Nella casella di testo a destra è possibile digitare il nome di accesso precedente a Windows 2000. Il formato di tale nome utente è quello precedente a Windows 2000, ovvero nomedominio\nomeutente.

Orario di accesso

Fare clic per modificare l'orario in cui per l'oggetto selezionato è possibile accedere al dominio. Per impostazione predefinita, l'accesso al dominio è consentito 24 ore al giorno sette giorni alla settimana. Si noti che l'impostazione di questo controllo non influisce sulla possibilità dell'utente di accedere in locale a un computer tramite un account computer locale anziché un account di dominio.

Accedi a

Fare clic per specificare le restrizioni di accesso relativi alle workstation e consentire all'utente di accedere solo ai computer del dominio specificati. Per impostazione predefinita, un utente è in grado di accedere a qualsiasi workstation aggiunta al dominio. Si noti che l'impostazione di questo controllo non influisce sulla possibilità dell'utente di accedere in locale a un computer tramite un account computer locale anziché un account di dominio.

Sblocca account

Consente di sbloccare account utente bloccati a causa nel numero eccessivo di tentativi di accesso non riusciti.

Note
  • Quando l'account utente selezionato viene indicato come "non bloccato" dal controller di dominio corrente, il controllo è attivato solo se il livello di funzionalità del dominio è impostato su Windows Server 2008 o Windows Server 2008 R2. In altri termini, solo i controller di dominio di Windows Server 2008 e Windows Server 2008 R2 consentono di forzare lo sblocco degli account utente. Questa funzionalità risulta particolarmente utile quando un account utente viene bloccato all'interno di un controller di dominio di sola lettura e l'informazione relativa al blocco non viene replicata negli altri controller di dominio. Si noti, tuttavia, che l'operazione di sblocco è consentita solo nei controller di dominio scrivibile.
  • Quando l'account utente selezionato viene indicato come "bloccato" dal controller di dominio corrente, il testo della casella di controllo è Sbloccare l'account. Questo account è attualmente bloccato in questo controller di dominio Active Directory.

Opzioni account

Di seguito sono elencate le opzioni disponibili per gli account utente Active Directory.

  • Cambiamento obbligatorio password all'accesso successivo

  • Cambiamento password non consentito

  • Nessuna scadenza password

  • Archivia password mediante crittografia reversibile

  • Account disabilitato

  • Per l'accesso interattivo occorre una smart card

  • L'account è sensibile e non può essere delegato

  • Utilizza i tipi di crittografia DES Kerberos per questo account

  • Questo account supporta la crittografia AES 128 bit Kerberos

  • Questo account supporta la crittografia AES 256 bit Kerberos

  • Non richiedere l'autenticazione preliminare Kerberos

Nota

Le opzioni di crittografia AES Kerberos, sia a 128 bit che a 256 bit, sono disponibili solo quando il livello di funzionalità del dominio è impostato su Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003. Advanced Encryption Standard (AES) è un nuovo algoritmo di crittografia adottato come standard dal National Institute of Standards and Technology (NIST) e prevedibilmente il suo utilizzo si diffonderà notevolmente nei prossimi anni. Per ulteriori informazioni sull'autenticazione Kerberos, vedere la spiegazione disponibile all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85494.

Scadenza account

Imposta il criterio di scadenza dell'account per l'utente. È possibile selezionare una delle opzioni seguenti:

  • Mai per specificare che l'account selezionato non ha scadenza. Opzione predefinita per i nuovi utenti.

  • A fine se si desidera che l'account utente scada in corrispondenza di una data specifica. È inoltre necessario selezionare la data.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Proprietà Computer - Scheda Delega

Elemento Dettagli

Non considerare questo computer attendibile per la delega

Specifica che per il computer non è consentita la delega di alcun servizio.

Computer attendibile per la delega a qualsiasi servizio (solo Kerberos)

Specifica che la delega di servizi al computer è consentita solo con il protocollo Kerberos.

Nota

Il protocollo di autenticazione Kerberos versione 5 (V5) rappresenta il protocollo di sicurezza principale per l'autenticazione in un dominio. Verifica l'identità dell'utente e del sistema.

Computer attendibile per la delega solo ai servizi specificati

Specifica che per il computer solo alcuni servizi selezionati sono autorizzati a ricevere la delega. Se è selezionata l'opzione Utilizza solo Kerberos, la delega è consentita solo con il protocollo Kerberos. Se è selezionata l'opzione Utilizza un qualsiasi protocollo di autenticazione, la delega è consentita con qualsiasi protocollo di autenticazione.

Casella di controllo Espanso

Quando l'opzione è selezionata, sono elencati tutti i nomi principali di servizio (SPN) associati al servizio selezionato per la delega.

Aggiungi

Fare clic per selezionare i servizi a cui è possibile presentare credenziali delegate.

Rimuovi

Fare clic per rimuovere i servizi dall'elenco dei servizi a cui è possibile presentare credenziali delegate.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Proprietà controller di dominio di sola lettura - Scheda Criteri replica password

Elemento | Dettagli
Gruppi, utenti e computer | Consente di visualizzare tutti i nomi di account nell'elenco di account di Criteri replica password per il controller di dominio di sola lettura. Criteri replica password è un meccanismo progettato per migliorare l'efficienza degli accessi successivi al dominio tramite lo stesso account. L'impostazione di Criteri replica password indica se la memorizzazione della password nella cache per un determinato account è consentita o negata in modo esplicito.
Avanzate | Fare clic per visualizzare le impostazioni avanzate di Criteri replica password in questo controller di dominio di sola lettura.
Aggiungi | Fare clic per aggiungere nomi di account all'elenco di account di Criteri replica password per questo controller di dominio di sola lettura.
Rimuovi | Fare clic per rimuovere nomi di account dall'elenco di account di Criteri replica password per questo controller di dominio di sola lettura.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Criteri di replica password avanzati - Scheda Utilizzo criteri

Elemento Dettagli

Menu a discesa Visualizza utenti e computer che soddisfano i criteri seguenti

Di seguito sono elencati i criteri che gli account del controller di dominio di sola lettura possono soddisfare:

  • Account con password archiviate in questo controller di dominio di sola lettura

  • Account autenticati in questo controller di dominio di sola lettura

Nota

È consigliabile rivedere periodicamente i proprietari degli account autenticati in un controller di dominio di sola lettura. Queste informazioni sono utili per la pianificazione degli aggiornamenti che si desidera effettuare per i criteri di replica delle password. È consigliabile, ad esempio, determinare gli account utente e computer autenticati in un controller di dominio di sola lettura in modo da aggiungerli all'elenco degli account autorizzati.

Utenti e computer

Visualizza l'elenco degli account che soddisfano i criteri selezionati nel menu a discesa precedente.

Oggetti recuperati

Visualizza il numero degli account elencati che soddisfano i criteri selezionati nel menu a discesa precedente.

Esporta

Fare clic per esportare l'elenco di account generato in un'altra posizione.

Popolamento preliminare password

Fare clic per eseguire il popolamento preliminare delle password per gli account per i quali è consentita la memorizzazione della password nel controller di dominio di sola lettura.

Nota

Per ulteriori informazioni, vedere Eseguire il popolamento preliminare delle password.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Criterio di replica password avanzato - Scheda Criterio risultante

Elemento | Dettagli
Aggiungi | Fare clic per aggiungere all'elenco degli account un nome di account per cui si desidera determinare le impostazioni dei criteri di replica password sul controller di dominio di sola lettura.
Aggiorna | Fare clic per aggiornare i risultati visualizzati nell'elenco degli account.
Cancella | Fare clic per cancellare i risultati visualizzati nell'elenco degli account.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Eseguire il popolamento preliminare delle password

Memorizzazione delle credenziali nella cache

Per memorizzazione delle credenziali nella cache si intende l'archiviazione delle credenziali di utenti o computer. Per impostazione predefinita, un controller di dominio di sola lettura non archivia le credenziali utente o le credenziali computer, ad eccezione del proprio account computer e di uno speciale account krbtgt per il controller di dominio stesso. La memorizzazione di altre credenziali nella cache del controller di dominio di sola lettura deve essere autorizzata esplicitamente.

Criteri di replica delle password

Quando viene distribuito inizialmente un controller di dominio di sola lettura, è necessario configurare Criteri replica password nel controller di dominio scrivibile che costituirà il partner di replica. Criteri di replica password funge da elenco di controllo di accesso (ACL) e determina se consentire al controller di dominio di sola lettura di memorizzare nella cache le credenziali per un account. Quando il controller di dominio di sola lettura riceve una richiesta di accesso da parte di un utente o di un computer, tenta di replicare le credenziali per l'account da un controller di dominio Windows Server 2008 o Windows Server 2008 R2 scrivibile. Il controller di dominio scrivibile fa riferimento a Criteri di replica password per determinare se le credenziali per l'account devono essere memorizzate nella cache. Se Criteri di replica password consente la memorizzazione nella cache dell'account, il controller di dominio Windows Server 2008 scrivibile replica le credenziali per l'account nel controller di dominio di sola lettura e questo le memorizza nella cache. Per gli accessi successivi di tale account, il controller di dominio di sola lettura può autenticare l'account facendo riferimento alle credenziali memorizzate nella cache senza dover contattare il controller di dominio scrivibile.

Elenchi degli oggetti autorizzati e non autorizzati di Criteri di replica password

Nei domini Active Directory di Windows Server 2008 e Windows Server 2008 R2 sono disponibili due nuovi gruppi predefiniti per supportare le operazioni dei controller di dominio di sola lettura, ovvero Gruppo oggetti autorizzati alla replica delle password nei controller di dominio di sola lettura del dominio e Gruppo oggetti non autorizzati alla replica delle password nei controller di dominio di sola lettura del dominio. Questi gruppi consentono di implementare un elenco predefinito di oggetti autorizzati e un elenco predefinito di oggetti non autorizzati per i criteri di replica delle password per il controller di dominio di sola lettura.

Per impostazione predefinita, il Gruppo oggetti non autorizzati alla replica delle password nei controller di dominio di sola lettura include i membri seguenti:

  • Controller di dominio organizzazione

  • Controller di dominio di sola lettura organizzazione

  • Proprietari autori criteri di gruppo

  • Domain Admins

  • Cert Publishers

  • Enterprise Admins

  • Schema Admins

  • Account krbtgt esteso a tutto il dominio

Per impostazione predefinita, l'attributo dell'elenco degli oggetti non autorizzati contiene le entità di sicurezza seguenti che rappresentano tutte gruppi predefiniti.

  • Gruppo oggetti non autorizzati alla replica delle password nei controller di dominio di sola lettura

  • Account Operators

  • Server Operators

  • Backup Operators

  • Administrators

Cancellare password memorizzate nella cache

Non è disponibile alcun meccanismo per cancellare la password memorizzata nella cache per un utente specifico o un controller di dominio di sola lettura. Se si desidera cancellare una password archiviata in un controller di dominio di sola lettura, è necessario che la password venga reimpostata da un amministratore nel sito hub. In questo modo, la password memorizzata nella cache nella succursale non sarà più valida per l'accesso alle risorse nel sito hub o in altre succursali. In caso di violazione di un controller di dominio di sola lettura, reimpostare le password memorizzate nella cache e quindi ricreare il controller di dominio.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Nuovo oggetto - Unità organizzativa

Elemento Dettagli

Nome

Casella in cui digitare il nome dell'unità organizzativa.

Proteggi contenitore da eliminazioni accidentali

Se questa opzione è selezionata, il descrittore di sicurezza dell'oggetto ed eventualmente l'oggetto padre verranno aggiornati per negare a tutti gli amministratori o utenti del dominio e del controller di dominio la possibilità di eliminare l'oggetto.

Nota

In Utenti e computer di Active Directory, la scheda Oggetto è visibile solo quando l'opzione Caratteristiche avanzate è selezionata nel menu Visualizza.

Nota

Questa impostazione non offre protezione in caso di eliminazione accidentale di un sottoalbero che contiene l'oggetto protetto. Per questo motivo si suggerisce di abilitare l'impostazione per tutti i contenitori dell'oggetto protetto fino al vertice del contesto dei nomi del dominio.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Cambia <dominio> o <foresta>

Controllo Dettagli

Dominio

Visualizza il nome completo (FQDN, Fully Qualified Domain Name) del dominio che rappresenta l'elemento attivo corrente dello snap-in selezionato. Per spostare lo stato attivo dello snap-in Active Directory su un altro dominio, digitare qui il nome DNS (Domain Name System) completo del dominio.

Nota

In Siti e servizi di Active Directory e in Domini e trust di Active Directory questo controllo è denominato Dominio radice.

Sfoglia

Visualizza un elenco di domini contenuti nella foresta o nell'albero del dominio. È possibile spostare lo stato attivo dello snap-in Active Directory sul dominio selezionato.

Nota

Questo pulsante è disponibile solo nella finestra di dialogo Cambia dominio di Utenti e computer di Active Directory.

Salva questa impostazione del dominio per la console corrente

Specifica se salvare il dominio corrente con lo stato attivo nello snap-in Active Directory selezionato. Se si seleziona questa opzione, alla successiva apertura della console lo stato attivo verrà impostato sul dominio qui elencato.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Cambia controller di dominio

Elemento Dettagli

Qualsiasi controller di dominio scrivibile

Selezionare questa opzione per trovare qualsiasi controller di dominio disponibile e scrivibile nel dominio selezionato.

Controller di dominio corrente o istanza AD LDS

Selezionare questa opzione per digitare il nome di computer o l'indirizzo IP per un controller di dominio o per un'istanza di Active Directory Lightweight Directory Services (AD LDS) oppure selezionare un controller di dominio dall'elenco dei controller di dominio registrati nel dominio attualmente selezionato.

Specificare il dominio in cui eseguire la ricerca

Elenco di tutti i domini disponibili nella foresta specificata.

Nota

Questo menu a discesa non è visibile in Utenti e computer di Active Directory.

<Digitare il nome del server di directory[:porta]>

Per effettuare la connessione a un controller di dominio, digitare il nome di computer o l'indirizzo IP di un server che ospita tale controller.

Per effettuare la connessione a un'istanza di AD LDS, digitare il nome di computer e il numero di porta di un server che ospita tale istanza.

Salva questa impostazione per la console corrente

Specifica se salvare la selezione corrente del controller di dominio per la console specificata. Se si seleziona questa opzione, alla successiva apertura della console lo stato attivo si troverà sul dominio qui elencato.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Finestra di dialogo Aumento livello funzionalità dominio

Elemento Dettagli

Nome dominio

Specifica il nome del dominio selezionato.

Livello funzionalità dominio corrente

Specifica l'impostazione corrente del livello di funzionalità del dominio.

Nota

Dopo avere impostato questa opzione su un determinato valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità del dominio, con un'eccezione: quando si aumenta il livello di funzionalità del dominio a Windows Server 2008 R2 e il livello di funzionalità della foresta è Windows Server 2008 o inferiore, è possibile ripristinare il livello di funzionalità del dominio su Windows Server 2008. È possibile diminuire il livello di funzionalità del dominio solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità del dominio è impostato su Windows Server 2008 R2 non è possibile ripristinare un livello inferiore, ad esempio Windows Server 2003.

Il livello di funzionalità di un dominio o di una foresta definisce solo l'insieme di sistemi operativi Windows che è possibile eseguire nei controller di dominio e l'insieme delle funzionalità disponibili, non i sistemi operativi client supportati nella foresta.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Delega guidata del controllo

  • Attività da delegare

  • Tipo di oggetti Active Directory

  • Autorizzazioni

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Attività da delegare

Elemento Dettagli

Delega le seguenti operazioni

Di seguito sono elencate attività comuni per cui è possibile scegliere di delegare il controllo:

  • Creazione, eliminazione e gestione di account utente

  • Reimpostazione di password utente e imposizione della modifica della password all'accesso successivo

  • Lettura di tutte le informazioni utente

  • Modifica dell'appartenenza di un gruppo

  • Aggiunta di un computer a un dominio

  • Gestione dei collegamenti dei Criteri di gruppo

  • Generazione di Gruppo di criteri risultante (pianificazione)

  • Generazione di Gruppo di criteri risultante (registrazione)

  • Creazione, eliminazione e gestione di account inetOrgPerson

  • Reimpostazione di password inetOrgPerson e imposizione della modifica della password all'accesso successivo

  • Lettura di tutte le informazioni inetOrgPerson

Crea un'operazione personalizzata per eseguire la delega

Selezionare questa opzione per creare un'attività personalizzata se l'attività che si desidera delegare non è visualizzata nell'elenco delle attività comuni.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Tipo di oggetti Active Directory

Controllo | Dettagli
Questa cartella, gli oggetti che contiene e la creazione di nuovi oggetti in essa | Selezionare questa opzione se si desidera delegare il controllo completo della cartella, di tutti gli oggetti contenuti e degli oggetti che potrebbero essere contenuti in futuro.
Solo i seguenti oggetti contenuti nella cartella | Selezionare questa opzione se si desidera delegare il controllo solo degli oggetti selezionati contenuti nella cartella. I tipi di oggetti disponibili sono determinati dallo schema di Active Directory. Per ulteriori informazioni su tipi di oggetti specifici, vedere le informazioni di riferimento di Servizi di dominio Active Directory all'indirizzo http://go.microsoft.com/fwlink/?LinkId=80181.
Casella di controllo Crea gli oggetti selezionati in questa cartella | Selezionare questa casella di controllo per creare gli oggetti dei tipi selezionati nell'elenco dei tipi di oggetti.
Casella di controllo Elimina gli oggetti selezionati in questa cartella | Selezionare questa casella di controllo per rimuovere gli oggetti dei tipi selezionati nell'elenco dei tipi di oggetti.

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory


Autorizzazioni

Controllo Dettagli

Mostra queste autorizzazioni

Selezionare una o più delle caselle di controllo seguenti:

  • Generale. Questa è la visualizzazione predefinita. Quando la casella di controllo è selezionata, nell'elenco delle autorizzazioni sono visualizzate solo le autorizzazioni di base comuni a tutti gli oggetti selezionati nella pagina precedente della procedura guidata. Le autorizzazioni sono Controllo completo, Lettura, Scrittura, Leggi tutte le proprietà e Scrivi tutte le proprietà.

  • Proprietà. Selezionare la casella di controllo per aggiornare le autorizzazioni elencate con le proprietà specifiche dei tipi degli oggetti selezionati nella pagina precedente della procedura guidata. Se, ad esempio, sono stati selezionati oggetti account, tutte le proprietà specifiche del tipo di oggetto account, quali Read adminDescription e Write adminDescription, verranno visualizzate nell'elenco delle autorizzazioni.

  • Creazione/eliminazione di oggetti figlio. Selezionare la casella di controllo per aggiornare le autorizzazioni elencate con le proprietà specifiche della creazione e dell'eliminazione di oggetti figlio per i tipi di oggetto selezionati nella pagina precedente della procedura guidata.

Autorizzazioni

È possibile delegare il controllo utilizzando le caselle di controllo corrispondenti ad ognuna delle autorizzazioni disponibili. Ad esempio, per delegare il controllo completo sui tipi di oggetto selezionati in precedenza nella procedura guidata selezionare la casella di controllo Controllo completo. Per ulteriori informazioni, vedere la pagina relativa alle procedure ottimali per l'assegnazione di autorizzazioni agli oggetti Active Directory (http://go.microsoft.com/fwlink/?LinkID=63971).

Ulteriori riferimenti

  • Interfaccia utente: Utenti e computer di Active Directory