Amministratore locale per tutti i computer

Articolo originale: https://www.emanuelegenovese.it/utente-di-dominio-amministratore-locale-su-tutti-i-computer/

Come rendere un utente di dominio un amministratore locale per tutti i computer

In una rete aziendale è sicuramente cosa utile rendere un utente di dominio, amministratore locale per tutti i computer del dominio.

Anzi, normalmente viene concesso questo privilegio ad un gruppo specifico di utenti, magari coloro che lavorano nel reparto IT aziendale, o chi si occupa di helpdesk per i colleghi.

Si potrebbe raggiungere lo scopo, aggiungendo lo specifico utente al gruppo di dominio Domain Admins, ma non conviene quasi mai agire in tal senso, soprattutto se l’utente in questione non ha sufficienti skills come sistemista su macchine server.

Nella pratica, il sistema migliore è quello di creare uno specifico gruppo di sicurezza e poi abilitare un criterio di gruppo che andrà a configurare correttamente le macchine locali.

Cominciamo.

Step 1 – Creare un Gruppo di Sicurezza

Come prima cosa bisogna creare un gruppo di sicurezza del Dominio, nel quale dovranno essere inseriti gli utenti interessati.
Logghiamoci al Domain Controller e dal Server Manager selezioniamo Strumenti -> Utenti e computer di Active Directory oppure digitiamo dsa.msc dalla shell dei comandi.

Dal menu in alto selezioniamo Azione -> Nuovo -> Gruppo

Diamo un nome al nuovo gruppo, per esempio G_Ufficio_IT.

Aggiungiamo gli utenti interessati al gruppo appena creato, per esempio tutti gli utenti che lavorano nell’ufficio IT aziendale.

Step 2 – Creare un criterio di gruppo

Il prossimo passo è creare un criterio di gruppo che possa essere associato a tutti i computer del dominio.

Per fare questo, dal Server Manager, selezioniamo Strumenti -> Gestione Criteri di Gruppo oppure digitiamo gpmc.msc dalla shell dei comandi.

Facciamo click destro su Oggetti Criteri di gruppo e selezioniamo Nuovo.

Assegniamo un nome all’oggetto, per esempio “Local Admin GPO”, e facciamo click su OK.

Step 3 – Configurare il criterio di gruppo

Adesso è arrivato il momento di configurare il nuovo oggetto appena creato.

Facciamo click con il tasto destro su “Local Admin GPO” e selezioniamo Modifica.

Espandiamo i nodi Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni sicurezza\Gruppi con restrizioni, e nel pannello di sinistra, su Gruppi con restrizioni, clicchiamo con il destro e selezioniamo Aggiungi gruppo.

Nella finestra di dialogo Aggiungi gruppo, selezionare Sfoglia e scrivere G_Ufficio_IT e poi cliccare su “Controlla nomi”.

Successivamente cliccare due volte su OK, per chiudere la finestra di dialogo.

Si aprirà ora la finestra delle proprietà del gruppo, nella quale andremo ad impostare i gruppi locali dei pc.

• Clicchiamo su Aggiungi, di fianco al riquadro “Questo gruppo è membro di:“
• Aggiungiamo il gruppo “Administrators“
• Aggiungiamo il gruppo “Utenti desktop remoto“
• Clicchiamo due volte su OK per chiudere la finestra di dialogo

Step 4 – Collegare il criterio di gruppo

A questo punto la configurazione del Criterio di gruppo è terminata, e non ci resta che collegarlo al dominio o ad una UO.

Nella console di management, clicchiamo con il tasto destro sul dominio oppure su una Unità Organizzativa (UO) e selezioniamo Collega oggetto Criteri di gruppo esistente.

Selezioniamo Local Admin GPO e clicchiamo su OK.

Step 5 – Testare la GPO

Effettuiamo il login su un PC membro del dominio e lanciamo il comando gpupdate /force dalla shell dei comandi, per costringere il PC ad aggiornare i criteri di gruppo.

Andando a controllare il gruppo locale Administrator, si vedrà che il gruppo G_Ufficio_IT ne è un membro.

Assicurati che tutti i PC a cui si vuole dare accesso si trovino in una Unità Organizzativa, e che questa UO sia correttamente linkata al Criterio precedentemente creato.

Adesso tutti gli utenti di dominio che sono membri di G_Ufficio_IT potranno collegarsi in remoto su tutti i PC come amministratori locali.