Le Group Policy rappresentano uno degli strumenti fondamentali per amministrare in modo centralizzato utenti, computer, server e impostazioni di sicurezza negli ambienti Microsoft Active Directory.
Attraverso gli Oggetti Criteri di gruppo, o Group Policy Objects – GPO, gli amministratori possono applicare configurazioni uniformi, limitare comportamenti non autorizzati, distribuire impostazioni e applicazioni, definire criteri di sicurezza e controllare il funzionamento delle postazioni aziendali.
Il corso approfondisce il funzionamento delle Group Policy, dalla loro creazione e associazione alle unità organizzative fino ai meccanismi di elaborazione, ereditarietà, precedenza e filtraggio. Una parte rilevante del percorso è dedicata alla sicurezza, all’auditing e alla diagnosi delle problematiche di applicazione.
Le attività pratiche consentono ai partecipanti di progettare, configurare, verificare e correggere le GPO in un ambiente Active Directory, utilizzando strumenti quali Group Policy Management Console, GPResult, Group Policy Results, Group Policy Modeling, registri eventi e comandi PowerShell.
Il corso ha l’obiettivo di fornire le conoscenze e le capacità operative necessarie per:
- comprendere l’architettura e il funzionamento delle Group Policy;
- creare, modificare, collegare e organizzare le GPO;
- controllare l’ordine di applicazione e la precedenza dei criteri;
- utilizzare ereditarietà, blocco dell’ereditarietà ed enforcement;
- applicare policy differenti in base a utenti, gruppi, computer e caratteristiche dei dispositivi;
- configurare impostazioni di sicurezza per utenti, workstation e server;
- diagnosticare e risolvere i problemi di applicazione delle policy;
- effettuare il backup, il ripristino e la migrazione delle GPO;
- adottare criteri di progettazione e gestione più sicuri e sostenibili.
Il corso è rivolto a:
- amministratori di sistema Windows;
- amministratori Active Directory;
- tecnici help desk di secondo livello;
- network administrator;
- infrastructure specialist;
- responsabili della sicurezza delle postazioni di lavoro;
- personale incaricato dell’hardening degli endpoint;
- consulenti IT;
- tecnici che devono standardizzare configurazioni e criteri aziendali.
Al termine del corso, il partecipante sarà in grado di:
- utilizzare la Group Policy Management Console per amministrare le GPO;
- creare e collegare una GPO a siti, domini e unità organizzative;
- interpretare l’ordine di elaborazione delle policy;
- gestire correttamente ereditarietà, precedenza, enforcement e blocco dell’ereditarietà;
- applicare Security Filtering e WMI Filtering in scenari controllati;
- configurare il loopback processing nelle modalità Merge e Replace;
- applicare configurazioni centralizzate a utenti e computer;
- predisporre policy di sicurezza e audit;
- verificare quali policy siano state effettivamente applicate;
- utilizzare GPResult, Group Policy Results e Group Policy Modeling;
- consultare i registri eventi relativi alle Group Policy;
- individuare le cause più comuni di mancata applicazione o applicazione errata;
- eseguire backup, ripristino, copia e importazione delle GPO.
Le competenze indicate riguardano attività coerenti con un percorso intermedio di 21 ore. Gli argomenti più complessi, come la progettazione enterprise delle policy, l’automazione avanzata con PowerShell e la gestione di ambienti ibridi tramite Microsoft Intune, richiedono una formazione successiva.
1. Introduzione alle Group Policy
- ruolo delle Group Policy nell’amministrazione centralizzata;
- relazione tra Active Directory, unità organizzative e GPO;
- Group Policy locali e Group Policy di dominio;
- struttura di un Group Policy Object;
- sezione Computer Configuration;
- sezione User Configuration;
- Administrative Templates;
- Group Policy Preferences;
- archiviazione delle GPO in Active Directory e SYSVOL;
- strumenti per la gestione delle Group Policy.
2. Creazione e gestione delle GPO
- utilizzo della Group Policy Management Console – GPMC;
- creazione di una nuova GPO;
- modifica delle impostazioni;
- collegamento delle GPO a siti, domini e unità organizzative;
- GPO collegate e GPO non collegate;
- abilitazione e disabilitazione delle sezioni User e Computer;
- ordine dei collegamenti;
- convenzioni di denominazione;
- descrizione e documentazione delle GPO;
- separazione delle policy in base alla funzione;
- criteri per evitare GPO eccessivamente estese.
3. Elaborazione, ereditarietà e precedenza
- funzionamento dell’elaborazione delle Group Policy;
- sequenza Local, Site, Domain e Organizational Unit – LSDOU;
- elaborazione delle impostazioni computer;
- elaborazione delle impostazioni utente;
- applicazione sincrona e asincrona;
- aggiornamento periodico delle policy;
- comando
gpupdate;
- ereditarietà delle GPO;
- precedenza e conflitto tra impostazioni;
- Block Inheritance;
- Enforced;
- link order;
- valutazione degli effetti delle diverse configurazioni.
4. Security Filtering e delega
- funzionamento del Security Filtering;
- autorizzazioni Read e Apply Group Policy;
- utilizzo di utenti, computer e gruppi di sicurezza;
- rimozione e gestione di Authenticated Users;
- applicazione selettiva delle GPO;
- esclusione di utenti e computer;
- differenza tra Security Filtering e delega amministrativa;
- delega della creazione, modifica e gestione delle GPO;
- rischi derivanti da filtri e autorizzazioni non corretti;
- verifica delle autorizzazioni effettive.
5. WMI Filtering
- finalità dei filtri WMI;
- collegamento tra filtro WMI e GPO;
- struttura di una query WMI;
- utilizzo di Windows Management Instrumentation Query Language – WQL;
- applicazione delle policy in base a sistema operativo, versione e caratteristiche hardware;
- esempi di filtri WMI;
- verifica del funzionamento di un filtro;
- impatto dei filtri WMI sui tempi di elaborazione;
- criteri per limitarne l’utilizzo;
- differenze tra WMI Filtering e Item-level Targeting.
6. Loopback Processing
- funzionamento del loopback processing;
- scenari di utilizzo;
- computer condivisi;
- postazioni di laboratorio;
- chioschi, terminali e postazioni ad accesso controllato;
- server Remote Desktop Services;
- modalità Merge;
- modalità Replace;
- interazione tra policy utente e posizione del computer;
- errori comuni nella configurazione del loopback;
- verifica delle policy risultanti.
7. Configurazione centralizzata di utenti e computer
- configurazione dell’ambiente desktop;
- menu Start, barra delle applicazioni e interfaccia utente;
- limitazioni del Pannello di controllo e delle impostazioni;
- configurazione di cartelle e collegamenti;
- unità di rete e stampanti;
- variabili di ambiente;
- file, cartelle e chiavi di registro;
- script di avvio, arresto, accesso e disconnessione;
- configurazione dei servizi;
- Group Policy Preferences;
- Item-level Targeting;
- differenze tra Policies e Preferences.
8. Distribuzione di software e configurazioni
- principi della distribuzione software tramite Group Policy;
- pacchetti MSI;
- assegnazione del software ai computer;
- assegnazione e pubblicazione del software agli utenti;
- aggiornamento e rimozione delle applicazioni;
- utilizzo di percorsi UNC;
- requisiti delle condivisioni di rete;
- limiti della distribuzione software tramite GPO;
- confronto introduttivo con strumenti di gestione più moderni;
- distribuzione di configurazioni tramite Administrative Templates e Preferences.
9. Policy di sicurezza
- configurazione centralizzata delle impostazioni di sicurezza;
- password policy;
- account lockout policy;
- criteri Kerberos;
- User Rights Assignment;
- Security Options;
- restrizioni sull’utilizzo di dispositivi e funzionalità;
- configurazione di Microsoft Defender Firewall;
- impostazioni relative a Microsoft Defender Antivirus;
- controllo dell’accesso a strumenti amministrativi;
- principi di hardening tramite GPO;
- gestione prudente delle Default Domain Policy e Default Domain Controllers Policy;
- separazione delle policy di sicurezza dalle policy operative;
- introduzione ai security baseline Microsoft.
10. Auditing e registrazione degli eventi
- finalità dell’auditing;
- criteri di audit di base e avanzati;
- configurazione dell’Advanced Audit Policy;
- categorie e sottocategorie di audit;
- eventi di accesso e autenticazione;
- audit degli account;
- audit delle modifiche ad Active Directory;
- audit dell’accesso a file e cartelle;
- configurazione del Security Log;
- dimensionamento e conservazione dei registri;
- verifica degli eventi generati;
- relazione tra auditing, sicurezza e troubleshooting.
11. Gestione centralizzata dei browser
- utilizzo delle Administrative Templates per i browser;
- importazione e aggiornamento dei file ADMX e ADML;
- configurazione del Central Store;
- gestione delle impostazioni di Microsoft Edge;
- home page e pagine iniziali;
- estensioni consentite e bloccate;
- password manager;
- download e contenuti;
- proxy e impostazioni di rete;
- compatibilità con siti e applicazioni aziendali;
- cenni alla gestione di Google Chrome mediante template amministrativi;
- differenze tra gestione tramite GPO e gestione cloud tramite Microsoft Intune.
12. Verifica e troubleshooting delle Group Policy
- cause comuni di mancata applicazione delle GPO;
- verifica della connettività con i domain controller;
- risoluzione DNS;
- replica di Active Directory e SYSVOL;
- appartenenza alle unità organizzative;
- autorizzazioni e filtri;
- problemi relativi ai client-side extensions;
- utilizzo di
gpupdate;
- utilizzo di
gpresult;
- generazione di report HTML;
- Resultant Set of Policy – RSoP;
- Group Policy Results;
- Group Policy Modeling;
- modalità Planning e Logging;
- analisi del registro eventi;
- GroupPolicy Operational Log;
- interpretazione degli errori;
- metodologia strutturata di diagnosi;
- documentazione della soluzione.
13. Backup, ripristino e migrazione delle GPO
- pianificazione dei backup;
- backup di una singola GPO;
- backup di tutte le GPO;
- gestione delle versioni di backup;
- ripristino di una GPO;
- ripristino di una GPO eliminata;
- copia di GPO nello stesso dominio;
- copia tra domini;
- importazione delle impostazioni;
- utilizzo delle migration table;
- migrazione di utenti, gruppi e percorsi UNC;
- reportistica in formato HTML e XML;
- introduzione ai cmdlet PowerShell per le Group Policy;
- verifica delle GPO dopo una migrazione.
14. Progettazione e buone pratiche
- definizione di una struttura coerente delle unità organizzative;
- relazione tra struttura delle OU e applicazione delle policy;
- principio del minimo privilegio;
- limitazione dell’uso di Enforced e Block Inheritance;
- utilizzo controllato dei filtri WMI;
- separazione tra configurazioni utente, computer e sicurezza;
- utilizzo di ambienti di test;
- processo di approvazione delle modifiche;
- versionamento e backup;
- documentazione delle GPO;
- revisione periodica delle policy;
- individuazione delle GPO non collegate, duplicate o obsolete;
- principi di change management applicati alle Group Policy.
Il corso utilizza una metodologia prevalentemente applicativa, basata sull’alternanza tra spiegazione, dimostrazione ed esercitazione.
Sono previste:
- lezioni interattive;
- dimostrazioni del docente;
- laboratori guidati;
- esercitazioni progressive;
- analisi di configurazioni reali;
- simulazione di errori e malfunzionamenti;
- attività di troubleshooting;
- confronto tra differenti soluzioni progettuali;
- verifica finale mediante esercitazione o test.
Le attività sono svolte, ove possibile, in un ambiente di laboratorio comprendente domain controller, computer client, utenti, gruppi e unità organizzative di test.
- Il corso si svolgerà in modalità online live streaming, con il docente che terrà le lezioni in diretta.
- I partecipanti dovranno avere a disposizione un Personal Computer e preferibilmente un secondo schermo.
- Saranno forniti labs online che vengono messi a disposizione anche dopo la fine del corso per 3 mesi.
- Al termine del corso, coloro che avranno partecipato ad almeno l'80% delle lezioni riceveranno un attestato di frequenza.
Per partecipare efficacemente al corso è consigliabile possedere:
- conoscenza di base di Windows Server;
- conoscenza del funzionamento di Active Directory Domain Services;
- capacità di gestire utenti, gruppi, computer e unità organizzative;
- conoscenza di base di DNS;
- familiarità con Windows 10 o Windows 11;
- conoscenza elementare dei comandi PowerShell.
Non è richiesta una conoscenza avanzata delle Group Policy, ma è preferibile avere già utilizzato Active Directory Users and Computers e gli strumenti amministrativi di Windows Server.
