Gestire Chrome tramite GPO in Active Directory
Gestire Google Chrome tramite GPO è una scelta ancora molto diffusa negli ambienti Windows basati su Active Directory. Permette di installare il browser in modo centralizzato, applicare configurazioni coerenti agli utenti o ai computer, controllare estensioni, proxy, home page, aggiornamenti e impostazioni di sicurezza senza intervenire manualmente su ogni postazione.
In una rete aziendale, lasciare il browser completamente non gestito significa aumentare la variabilità delle configurazioni, complicare il troubleshooting e ridurre il controllo su uno degli strumenti più utilizzati dagli utenti. Chrome, come Edge e altri browser moderni, può essere amministrato tramite template ADMX/ADML e criteri di gruppo, integrandosi con la normale gestione di Active Directory.
In questa guida vediamo come installare Google Chrome tramite MSI, importare i template amministrativi di Chrome, configurare le policy principali e verificare correttamente l’applicazione dei criteri sui client Windows.
Perché gestire Chrome tramite GPO in azienda
Il browser è ormai uno dei principali punti di accesso alle applicazioni aziendali: portali SaaS, gestionali web, CRM, ERP, servizi Microsoft 365, console amministrative e applicazioni interne. Per questo motivo la sua configurazione non può essere lasciata alla scelta del singolo utente o alla configurazione manuale delle postazioni.
- standardizzare la configurazione del browser sui client Windows;
- distribuire Google Chrome in modo centralizzato tramite pacchetto MSI;
- applicare impostazioni coerenti a livello computer o utente;
- controllare proxy, home page, estensioni, aggiornamenti e impostazioni di sicurezza;
- ridurre errori di configurazione e tempi di troubleshooting;
- rendere più prevedibile il comportamento del browser in ambienti aziendali.
La gestione tramite GPO resta particolarmente indicata quando i dispositivi sono joinati al dominio Active Directory e l’azienda usa ancora una governance classica basata su OU, Domain Controller e Group Policy Management Console.
Prerequisiti per configurare Chrome con Group Policy
Prima di configurare Chrome tramite GPO è necessario predisporre alcuni elementi tecnici.
- dominio Active Directory funzionante;
- accesso alla Group Policy Management Console;
- pacchetto MSI di Google Chrome Enterprise;
- template amministrativi ADMX/ADML di Chrome;
- share di rete accessibile dai computer o dagli utenti destinatari della policy;
- permessi corretti sulla share e sul file MSI;
- replica SYSVOL funzionante, se si usa il Central Store dei criteri di gruppo.
In ambienti di dominio è preferibile usare il Central Store, copiando i template amministrativi in SYSVOL, invece di distribuirli localmente su una singola macchina amministrativa. In questo modo tutti gli amministratori vedono gli stessi template e le modifiche vengono replicate sui Domain Controller.
Installare Google Chrome tramite GPO
Il primo passaggio consiste nel recuperare il pacchetto MSI di Google Chrome Enterprise. Per una distribuzione aziendale non è consigliabile usare l’installer consumer scaricato manualmente dal sito pubblico, ma il pacchetto pensato per la distribuzione centralizzata.
Creazione della policy di distribuzione software
- Aprire Group Policy Management Console.
- Creare una nuova GPO dedicata, ad esempio “Deploy Google Chrome Enterprise”.
- Collegare la GPO alla OU che contiene i computer destinatari.
- Aprire la GPO in modifica.
- Navigare in Computer Configuration > Policies > Software Settings > Software installation.
- Aggiungere un nuovo pacchetto e selezionare il file MSI da una share UNC.
- Scegliere l’assegnazione del software in base allo scenario di distribuzione.
Permessi sulla share del pacchetto MSI
Il file MSI deve trovarsi in una posizione raggiungibile dal client durante l’applicazione della policy. Il percorso deve essere una share UNC, non un percorso locale del server o della workstation amministrativa.
\\fileserver\software\GoogleChromeEnterprise\GoogleChromeStandaloneEnterprise64.msi
Se l’installazione è assegnata a livello computer, anche gli account macchina devono poter leggere la share e il file MSI. In pratica, va verificato che il gruppo Domain Computers o un gruppo equivalente abbia almeno i permessi di lettura necessari.
Applicazione della GPO ai computer
Dopo il collegamento della GPO alla OU corretta, l’installazione può richiedere un riavvio del client. In molti scenari la distribuzione software via GPO viene eseguita prima del logon utente, durante la fase di applicazione delle policy computer.
gpupdate /force
Per una distribuzione controllata è consigliabile applicare la GPO prima a una OU pilota, verificare il comportamento su un gruppo ristretto di client e poi estendere la policy alle OU di produzione.
Configurare Chrome tramite template ADMX
Per configurare Chrome tramite Group Policy è necessario scaricare i template amministrativi ufficiali di Chrome Enterprise. Il pacchetto contiene i file ADMX e ADML necessari per esporre le impostazioni di Chrome all’interno della Group Policy Management Console.
I file principali da copiare sono:
- admx
- admx
- i relativi file .adml nella cartella della lingua, ad esempio it-IT oppure en-US.
Dove copiare i file ADMX e ADML
In un ambiente locale i file possono essere copiati in:
C:\Windows\PolicyDefinitions
C:\Windows\PolicyDefinitions\it-IT
In un dominio Active Directory è preferibile utilizzare il Central Store:
\\dominio.local\SYSVOL\dominio.local\Policies\PolicyDefinitions
\\dominio.local\SYSVOL\dominio.local\Policies\PolicyDefinitions\it-IT
Dopo la copia dei template, aprendo una nuova GPO sarà possibile trovare le impostazioni di Chrome nei percorsi:
Computer Configuration > Policies > Administrative Templates > Google > Google Chrome
User Configuration > Policies > Administrative Templates > Google > Google Chrome
Una volta creata la policy, sono disponibili al suo interno le estensioni messe a disposizione dai file .admx e .adml copiati in poco fa.
Differenza tra Computer Configuration e User Configuration
Una distinzione importante riguarda il punto in cui configurare le policy di Chrome.
Le impostazioni sotto Computer Configuration vengono applicate al dispositivo, indipendentemente dall’utente che effettua l’accesso. Sono adatte per configurazioni aziendali rigide, come proxy, aggiornamenti, blocco di estensioni non autorizzate o impostazioni di sicurezza.
Le impostazioni sotto User Configuration vengono applicate all’utente. Sono utili quando si vogliono differenziare policy in base al reparto, al ruolo o all’unità organizzativa dell’utente.
In generale, per configurazioni di sicurezza e standardizzazione aziendale è preferibile usare Computer Configuration. User Configuration va usata quando la personalizzazione per gruppo utente è realmente necessaria.
Cliccando sul ramo policies-administrative templates-google si possono modificare le impostazioni per la gestione del browser Chrome; attraverso un elenco ricco di opzioni è possibile configurare in modo molto granulare il funzionamento del programma.
L’elenco e la relativa descrizione di tutte le impostazioni sono disponibili nel file chrome_policy_list.html contenuto nel file .ZIP scaricato in precedenza. Una volta attivate le configurazioni è importante poter verificare quali GPO sono applicate e quali eventualmente non lo sono, e verificare come il browser recepisce queste impostazioni.
È possibile verificare le impostazioni sia agendo sul sistema operativo che sul browser vero e proprio. Sul sistema operativo del client, eseguire:
- mmc
- gpresult -h <Percorso><nome-file.html>
Per verificare le policy applicate al pc / utente connesso, le GPO relative a Chrome sono identificate tramite le chiavi di registro relative al Chrome stesso.
Esempi di policy Chrome utili in azienda
Tra le policy Chrome più utili in un contesto aziendale rientrano:
- configurazione della home page;
- pagine da aprire all’avvio;
- proxy aziendale;
- gestione delle estensioni consentite o bloccate;
- blocco o controllo del password manager integrato;
- configurazione degli aggiornamenti automatici;
- controllo del comportamento dei download;
- gestione dei certificati e delle impostazioni TLS;
- disabilitazione della sincronizzazione con account personali;
- configurazione dei motori di ricerca consentiti;
- gestione delle impostazioni di privacy e telemetria.
La scelta delle policy non dovrebbe essere casuale. In un ambiente aziendale conviene partire da una baseline minima, testarla su una OU pilota e poi estenderla progressivamente alle postazioni di produzione.
Gestione estensioni Chrome
La gestione delle estensioni è uno degli aspetti più importanti nella configurazione aziendale di Chrome. Le estensioni possono introdurre rischi di sicurezza, accesso non controllato ai dati, raccolta di informazioni e incompatibilità applicative.
Una configurazione robusta prevede normalmente:
- blocco delle estensioni non autorizzate;
- allowlist delle estensioni approvate;
- installazione forzata delle estensioni aziendali necessarie;
- rimozione delle estensioni non conformi;
- separazione tra estensioni operative e personali.
Questa parte è particolarmente rilevante nei contesti in cui Chrome viene usato per accedere ad applicazioni SaaS, portali amministrativi, CRM, ERP o servizi cloud aziendali.
Impostare home page e pagine di avvio
Chrome distingue tra pagina iniziale, pulsante Home e pagine aperte all’avvio. In un contesto aziendale questa distinzione è utile perché consente di aprire automaticamente portali interni, intranet, applicazioni SaaS o dashboard operative.
- Aprire la GPO dedicata a Chrome.
- Navigare in Administrative Templates > Google > Google Chrome > Startup, Home page and New Tab page.
- Abilitare la policy relativa alle pagine da aprire all’avvio.
- Inserire l’elenco degli URL aziendali da aprire automaticamente.
- Configurare l’azione all’avvio affinché Chrome apra l’elenco di URL indicato.
- nome della GPO collegata a Chrome
- impostazione della Home Page
- impostazione del Proxy di Chrome, in questo caso il proxy di sistema
Un’altra modalità di controllo delle policy applicate consiste nel richiedere a Chrome le impostazioni. Per visualizzarle è necessario eseguire Chrome, quindi dalla barra dell’indirizzo digitare chrome://policy verrà così mostrato il set di impostazioni correnti come riportato nella figura sotto:
Come si può notare, sono riportate esattamente le impostazioni viste in precedenza, così come sono recepite da browser. Aprendo la pagina impostazioni di Chrome vedremo che le impostazioni derivanti da GPO non sono modificabili.
questo simbolo
indica che le impostazioni sono gestite dall’amministratore di sistema.
Errori comuni nella gestione Chrome via GPO
| Errore | Impatto / correzione |
| Template ADMX copiati solo localmente | In dominio è preferibile usare il Central Store, altrimenti altri amministratori potrebbero non vedere le stesse impostazioni. |
| File ADML mancanti o nella lingua sbagliata | Se il file ADML non è presente nella cartella corretta, la console può mostrare errori o non visualizzare correttamente le policy. |
| Pacchetto MSI non accessibile dai computer | Se la GPO installa Chrome a livello computer, anche gli account macchina devono poter leggere la share. |
| GPO linkata alla OU sbagliata | La policy deve essere collegata alla OU che contiene gli oggetti computer o utenti corretti. |
| Conflitto tra policy utente e policy computer | Alcune impostazioni possono essere configurate in entrambi i rami. Conviene documentare il modello scelto per evitare comportamenti incoerenti. |
| Nessuna fase pilota | Applicare direttamente la policy a tutti i computer può generare impatti operativi. Meglio testare prima su una OU pilota. |
| Mancato controllo con chrome://policy | La GPO può risultare applicata a Windows, ma non produrre il comportamento atteso in Chrome. La verifica dal browser è indispensabile. |
GPO Chrome, Intune o Chrome Enterprise Core: cosa scegliere
La gestione tramite GPO è ideale negli ambienti Windows tradizionali, con dispositivi joinati al dominio Active Directory e amministrazione centralizzata tramite Domain Controller.
In ambienti moderni o ibridi, la gestione può essere spostata verso Microsoft Intune, soprattutto quando i dispositivi sono Entra joined, distribuiti fuori sede o non sempre connessi alla rete aziendale.
Chrome Enterprise Core rappresenta invece un’opzione specifica per la gestione centralizzata del browser Chrome, indipendentemente dal solo modello GPO tradizionale.
Scenario | GPO | Intune | Chrome Enterprise Core |
Ambiente AD classico | Scelta naturale | Possibile ma non primaria | Complementare |
Endpoint remoti/cloud | Limitata | Scelta preferibile | Complementare |
Governance solo browser | Buona se AD è centrale | Buona se già usato per endpoint | Molto mirata |
Gestione estensioni | Possibile via policy | Possibile via profili | Molto adatta |
Migrazione modern management | Legacy/ibrida | Target moderno | Browser-centric |
In sintesi: GPO è la scelta naturale per ambienti Active Directory classici; Intune è più adatto per endpoint moderni, remoti o cloud-managed; Chrome Enterprise Core è mirato alla governance avanzata del browser Chrome. Per molte aziende la strategia più realistica è ibrida: GPO per gli endpoint legacy e Intune o Chrome Enterprise Core per dispositivi moderni e scenari cloud.
Conclusione
Gestire Chrome tramite GPO è una soluzione efficace per standardizzare il browser negli ambienti Active Directory, ma richiede attenzione nella progettazione delle policy, nella gestione dei template ADMX e nella verifica dell’applicazione sui client.
Nexsys supporta le aziende nella configurazione di ambienti Windows, Active Directory, Group Policy ed endpoint management, affiancando attività consulenziali e formazione tecnica per amministratori IT.
Approfondisci il corso Group Policy Management oppure valuta un assessment Active Directory per verificare la qualità e la sicurezza delle configurazioni applicate nel tuo dominio.
FAQ
È possibile gestire Google Chrome tramite GPO?
Sì. Google Chrome può essere gestito tramite Group Policy usando i template amministrativi ADMX/ADML forniti da Google. Una volta importati, le impostazioni diventano disponibili nella Group Policy Management Console.
Dove si copiano i file ADMX di Chrome?
Su un singolo computer amministrativo possono essere copiati in C:\Windows\PolicyDefinitions. In un dominio Active Directory è preferibile copiarli nel Central Store, in \\dominio.local\SYSVOL\dominio.local\Policies\PolicyDefinitions.
Come verifico se una policy Chrome è applicata?
La verifica può essere fatta con gpresult, dal registro di Windows e direttamente da Chrome aprendo chrome://policy.
Posso installare Chrome tramite GPO?
Sì. È possibile distribuire il pacchetto MSI di Chrome Enterprise tramite una Group Policy di installazione software, purché il file MSI sia disponibile su una share accessibile dai computer o dagli utenti destinatari.
Meglio gestire Chrome con GPO o Intune?
Dipende dall’ambiente. Le GPO sono adatte a domini Active Directory tradizionali. Intune è più indicato per dispositivi moderni, remoti o gestiti in cloud. In molti scenari aziendali le due soluzioni possono convivere.
Vuoi gestire meglio browser, GPO ed endpoint aziendali?
La gestione di Google Chrome tramite GPO è solo una parte della governance degli endpoint aziendali.
Per ottenere configurazioni coerenti, sicure e facilmente manutenibili è importante progettare correttamente
Active Directory, Group Policy, criteri di sicurezza e strumenti di gestione centralizzata.
Nexsys supporta aziende e reparti IT nella configurazione, revisione e ottimizzazione di ambienti
Microsoft, Active Directory, Group Policy ed endpoint management, affiancando attività consulenziali
e percorsi formativi pratici per amministratori IT.
- Approfondisci il corso Group Policy Management per imparare a progettare, applicare e verificare correttamente le GPO in ambiente aziendale.
- Consulta il corso Active Directory per amministratori IT se vuoi rafforzare le competenze sulla gestione di utenti, computer, OU, permessi e criteri di dominio.
- Valuta un assessment e hardening Active Directory per individuare configurazioni deboli, deleghe eccessive, policy obsolete e rischi di sicurezza nel dominio.
- Scopri il servizio di endpoint management Nexsys per migliorare la gestione centralizzata di dispositivi, configurazioni, aggiornamenti e sicurezza.