Punti chiave
- Il criterio di gruppo locale può essere applicato ai soli amministratori usando il metodo dello snap-in MMC in Windows Pro, Enterprise o Education.
- Un Editor Criteri di gruppo personalizzato punta al gruppo locale Administrators per offrire un controllo preciso sui singoli utenti.
- Eseguendo gpupdate /force o riavviando il sistema vengono applicate le nuove impostazioni GPO, mentre gpresult /r permette di verificarle.
- Gli account amministrativi si possono proteggere limitando script, applicazioni e modifiche di sistema tramite policy riservate agli amministratori.
Questa guida mostra come applicare un criterio di gruppo locale agli amministratori in Windows 11 e Windows 10. Questa configurazione consente ai team IT di imporre impostazioni di sicurezza e limitare le azioni specificamente per gli account amministrativi, evitando l’uso improprio dei privilegi elevati, riducendo i rischi di sicurezza e garantendo la conformità alle policy dell’organizzazione.
Se invece vuoi applicare un criterio di gruppo locale a un altro gruppo di utenti o a un utente specifico, leggi:
- Come applicare criteri di gruppo locali a utenti specifici
- Come applicare un criterio di gruppo locale ai non amministratori
Altrimenti, puoi passare direttamente al tutorial passo passo qui sotto.
Se invece ti interessa applicare un criterio di gruppo locale ai non amministratori, guarda la nostra video guida: Come applicare un criterio di gruppo locale ai non amministratori in Windows 11 e 10.
Che cos’è il criterio di gruppo locale in Windows
Criteri di gruppo è una caratteristica di Windows disponibile nelle varianti Pro, Enterprise e Server del sistema operativo. Permette di amministrare e configurare i dispositivi Windows, comprese le impostazioni di sistema e utente, oltre alla configurazione delle applicazioni di terze parti. È lo strumento con cui gestire le policy di sicurezza di Windows, i permessi utente, la configurazione di rete e i profili utente.
I criteri di gruppo sono composti da oggetti Criteri di gruppo (GPO). Ogni singolo GPO contiene una serie di opzioni di configurazione che modificano il funzionamento della caratteristica di Windows o dell’applicazione associata. I GPO vengono applicati come Configurazione del computer, valida per uno specifico dispositivo Windows e per qualsiasi utente che vi acceda, oppure come Configurazione utente, valida per un singolo account utente mentre è connesso, indipendentemente dal dispositivo da cui accede.
Tra le configurazioni più comunemente realizzate con i criteri di gruppo e i GPO di Windows ci sono:
- Configurazione automatica delle condivisioni di rete e delle stampanti condivise.
- Impostazione di script di accesso e disconnessione.
- Configurazione automatica delle impostazioni del browser web, come i proxy e l’eventuale autorizzazione degli script.
- Configurazione delle regole anti-malware e del firewall.
- Blocco dell’accesso a determinate applicazioni o caratteristiche di Windows.
Tipi di criteri di gruppo di Windows
- Criterio di gruppo locale: i criteri di gruppo locali si applicano solo al dispositivo specifico su cui sono configurati. È importante ricordare che gli oggetti Criteri di gruppo locali vengono sovrascritti dagli oggetti Criteri di gruppo di dominio provenienti da Criteri di gruppo in Active Directory.
- Criteri di gruppo in Active Directory: gli oggetti Criteri di gruppo possono essere creati in un dominio Windows Active Directory. L’ambito di queste policy dipende dalla UO (Organizational Unit) dell’utente o del dispositivo all’interno di Active Directory. Active Directory viene solitamente utilizzato per gestire dispositivi e utenti Windows in un ambiente enterprise.
💡Tieni presente che i GPO locali possono essere sovrascritti dai GPO a livello di dominio.
Prerequisiti per applicare i criteri di gruppo ai gruppi di utenti
Le edizioni Home di Windows non consentono di gestire il criterio di gruppo locale. Per usare il criterio di gruppo locale o i criteri di gruppo in Active Directory, devi utilizzare una di queste versioni di Windows:
- Un account utente amministratore.
- Windows 7/8 Pro, Enterprise o Ultimate (versioni EOS).
- Windows 10 (EOS) e 11 Pro, Enterprise o Education.
Ricorda che l’uso di versioni dell’OS Windows giunte a fine supporto (EOS) o non più supportate comporta dei rischi.
Come applicare un criterio di gruppo locale all’amministratore
Per gestire i criteri di gruppo destinati agli amministratori, puoi creare una finestra personalizzata di Microsoft Management Console (MMC) che modifica i criteri di gruppo solo per gli utenti del gruppo Administrators:
1. Fai clic con il pulsante destro sul pulsante Start, quindi seleziona Esegui.
2. Fai clic su OK e poi su Sì nella richiesta di Controllo dell’account utente per aprire la MMC.
3. Seleziona File nel menu di navigazione, quindi scegli Aggiungi/Rimuovi snap-in.
4. Scegli Editor oggetti Criteri di gruppo e fai clic sul pulsante Aggiungi →.
5. Fai clic sul pulsante Sfoglia nella finestra Seleziona oggetto Criteri di gruppo.
6. Seleziona la scheda Utenti.
Nota: se non vedi la scheda, il sistema potrebbe essere aggiunto a un dominio oppure limitato da una policy.
7. Seleziona il gruppo Administrators e fai clic su OK.
8. Fai clic su Fine nella finestra Seleziona Criteri di gruppo e poi premi OK nella finestra Aggiungi o rimuovi snap-in.
9. Nel riquadro di navigazione della finestra MMC comparirà ora l’Editor Criteri di gruppo locali per gli utenti amministrativi.
10. Seleziona File e poi Salva con nome, quindi salva questa vista MMC personalizzata sul desktop con il nome Editor Criteri di gruppo per utenti amministrativi.
Assicurati di testare la tua policy prima su un account amministrativo non critico, per evitare blocchi involontari o limitazioni del sistema.
D’ora in poi puoi saltare tutti i passaggi precedenti: ogni volta che vuoi gestire le policy utente, apri il file MMC salvato sul desktop per accedere direttamente all’Editor Criteri di gruppo per gli amministratori.
Esempio di policy: nascondere l’icona di Internet Explorer sul desktop degli amministratori
Tutte le modifiche apportate ai criteri di gruppo in questa finestra MMC si applicano solo agli utenti amministrativi del sistema locale. Ad esempio, puoi configurare un criterio di gruppo che nasconde l’icona di Internet Explorer sul desktop per gli utenti del gruppo Administrators:
- Apri la MMC usando il file creato in precedenza.
- Vai a Local Computer/Administrators Policy/Configurazione utente/Modelli amministrativi/Desktop.
- Fai doppio clic sull’impostazione Nascondi l’icona di Internet Explorer sul desktop.
- Seleziona Abilitato nella finestra dell’impostazione e poi fai clic su OK.
- Per applicare le modifiche, riavvia il sistema oppure esegui gpupdate /force in PowerShell o nel Prompt dei comandi.
Per annullare le modifiche, ripeti la stessa procedura ma, invece di selezionare Abilitato nell’impostazione Nascondi l’icona di Internet Explorer sul desktop, scegli Disabilitato oppure Non configurato.
Per evitare problemi in fase di distribuzione, testa a fondo i GPO dopo averli configurati, così da verificare che producano l’effetto desiderato.
Per una panoramica visiva di questi passaggi, ecco una video guida: Come applicare un criterio di gruppo locale agli amministratori in Windows 11 e 10.
Che cos’è il criterio di gruppo locale in Windows
Criteri di gruppo è disponibile nelle varianti Pro, Enterprise e Server di Windows. La caratteristica consente soprattutto ai team IT di gestire le policy di sicurezza, i permessi utente, la configurazione di rete e i profili utente di un dispositivo Windows.
I criteri di gruppo sono composti da oggetti Criteri di gruppo (GPO), ciascuno con le proprie opzioni di configurazione che modificano il funzionamento della caratteristica di Windows o dell’applicazione associata. Le policy possono essere applicate localmente oppure tramite Active Directory:
- Criterio di gruppo locale: i criteri di gruppo locali si applicano solo al dispositivo specifico su cui sono configurati. In particolare, gli oggetti Criteri di gruppo locali vengono sovrascritti dagli oggetti Criteri di gruppo di dominio in Active Directory.
- Criteri di gruppo in Active Directory: gli oggetti Criteri di gruppo possono essere creati in un dominio Windows Active Directory. L’ambito di queste policy è definito dalla UO (Organizational Unit) dell’utente o del dispositivo all’interno di Active Directory. Active Directory viene solitamente utilizzato per gestire dispositivi e utenti Windows in un ambiente enterprise.
Questi GPO vengono applicati come Configurazione del computer, valida per uno specifico dispositivo Windows e per qualsiasi utente che vi acceda, oppure come Configurazione utente, valida per un singolo account utente mentre è connesso, indipendentemente dal dispositivo da cui accede.
Tra le configurazioni più comunemente realizzate con i criteri di gruppo e i GPO di Windows ci sono:
- Configurazione automatica delle condivisioni di rete e delle stampanti condivise.
- Impostazione di script di accesso e disconnessione.
- Configurazione automatica delle impostazioni del browser web, come i proxy e l’eventuale autorizzazione degli script.
- Configurazione delle regole anti-malware e del firewall.
Blocco dell’accesso a determinate applicazioni o caratteristiche di Windows.
Queste configurazioni comuni aiutano i team IT a mantenere sicurezza, coerenza e controllo su tutta l’infrastruttura Windows.
Risoluzione dei problemi più comuni con il criterio di gruppo locale
Se le impostazioni configurate nel criterio di gruppo locale non producono alcun effetto, puoi procedere così:
- Verifica che le policy siano assegnate al gruppo di utenti Administrators.
- Assicurati che gli utenti a cui vuoi applicare le impostazioni appartengano al gruppo Administrators della macchina locale.
Se le impostazioni vengono applicate a utenti non amministrativi invece che (o oltre che) agli utenti amministrativi, controlla che:
- Tu non stia assegnando il criterio di gruppo alla macchina (cosa che coinvolge tutti i suoi utenti) anziché a un gruppo di utenti.
- Il tuo criterio di gruppo punti effettivamente al gruppo di utenti desiderato.
Per elencare tutti i criteri di gruppo attivi, esegui gpresult /r dalla riga di comando. In caso di criteri di gruppo in conflitto, viene sempre applicato il più restrittivo.
Reimpostare i criteri di gruppo (avanzato)
Se commetti un errore durante la configurazione dei criteri di gruppo e non riesci a capire quale policy specifica annullare per sistemare le cose, puoi reimpostare tutti i criteri di gruppo eseguendo i comandi seguenti come amministratore:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
Per completare la procedura dovrai riavviare il dispositivo. Il comando qui sopra reimposta sia le policy della configurazione del computer sia quelle della configurazione utente.
Se non riesci ad aprire l’Editor Criteri di gruppo locali, guarda il video “Come aprire l’Editor Criteri di gruppo locali in Windows 10 e Windows 11” per scoprire metodi alternativi.
Perché applicare un criterio di gruppo locale solo agli amministratori?
Di solito i criteri di gruppo vengono distribuiti in un dominio Active Directory per avere un controllo centralizzato su più dispositivi Windows. Le installazioni più piccole, però, possono trarre vantaggio dalla creazione e dalla gestione dei criteri di gruppo in locale, per:
- Impedire che gli account amministrativi vengano usati per scopi non amministrativi, bloccando determinate applicazioni.
- Impedire agli utenti non amministrativi di eseguire script.
- Impedire agli utenti standard di accedere a client di posta o ad altri potenziali vettori di malware mentre sono connessi come amministratori.
Inoltre, questa configurazione può anche evitare che gli utenti finali modifichino le impostazioni di sistema compromettendo compatibilità o dipendenze, oppure disattivino caratteristiche critiche come firewall o software antivirus.
Come gestire in modo efficace i criteri di gruppo di Windows su larga scala
Amministrare un parco di dispositivi Windows tramite una rete e uno strumento affidabili può accelerare la distribuzione su larga scala. I criteri di gruppo di Windows in Active Directory, ad esempio, ti permettono di gestire migliaia di endpoint e di applicare policy in base alla posizione del dispositivo, alla sua tipologia o al ruolo dell’utente.
Detto questo, una soluzione dedicata per la gestione degli endpoint pensata per le aziende va oltre, offrendo controllo centralizzato, automazione e sicurezza avanzata. Questo approccio proattivo è sempre più determinante nel panorama attuale della cybersecurity, dove le lacune nella configurazione della rete o dei dispositivi possono portare a incidenti più costosi e disruptivi.
Argomenti correlati:
