Le Group Policy di Windows, note anche come GPO o criteri di gruppo, permettono di configurare e amministrare in modo centralizzato utenti e computer in un ambiente Windows basato su Active Directory. Invece di intervenire manualmente su ogni workstation o server, l’amministratore può definire configurazioni coerenti e applicarle agli oggetti corretti del dominio.
Le GPO vengono utilizzate per controllare impostazioni di sicurezza, configurazioni del sistema operativo, firewall, script, mappature di rete, stampanti, criteri del browser, restrizioni software, configurazioni del registro e numerosi altri parametri. In un’infrastruttura aziendale non sono quindi solo uno strumento di amministrazione: fanno parte della superficie di controllo e della postura di sicurezza del dominio.
Per comprendere il contesto nel quale vengono applicate, vedi anche la guida Nexsys su come funziona Active Directory.
Porta le tue GPO al livello successivo con il corso Windows Server Administration —> hardening, automazione e gestione enterprise. Finanziabile Fondimpresa.
Cosa sono le Group Policy e cosa significa GPO
Una Group Policy è un insieme di impostazioni che definisce il comportamento di computer e utenti Windows. In un dominio Active Directory queste impostazioni vengono raccolte in oggetti chiamati Group Policy Object, da cui l’acronimo GPO.
Una GPO può contenere configurazioni dedicate al computer, all’utente oppure a entrambi. Il valore operativo non è soltanto la singola impostazione, ma la possibilità di applicare una baseline centralizzata e ripetibile a un insieme di sistemi senza configurazioni manuali distribuite.
Esempi tipici includono:
- configurazione di Windows Defender Firewall e impostazioni di sicurezza;
- criteri di account e di autenticazione applicabili nel corretto scope;
- restrizioni su funzionalità e componenti Windows;
- distribuzione di chiavi e valori di registro;
- script di startup, shutdown, logon e logoff;
- mappatura di unità di rete e stampanti tramite Group Policy Preferences;
- configurazione di Microsoft Edge e altri prodotti tramite Administrative Templates;
- impostazioni di auditing e logging sui sistemi Windows.
Come funzionano le Group Policy in Active Directory
In Active Directory una GPO viene collegata a uno scope logico. Il collegamento può essere effettuato a un sito, a un dominio oppure a una Organizational Unit. Gli oggetti utente e computer ricevono le policy applicabili in funzione della loro posizione nella struttura AD, dei link configurati, dell’ereditarietà e degli eventuali filtri.
È importante distinguere il GPO dal GPO link: la GPO contiene le impostazioni, mentre il link determina dove l’oggetto viene applicato. La stessa GPO può essere collegata a più contenitori, ma questo approccio deve essere documentato per evitare dipendenze difficili da diagnosticare.
Ordine di applicazione LSDOU
Microsoft descrive l’ordine standard di elaborazione con la sequenza LSDOU: Local, Site, Domain, Organizational Unit. In condizioni normali le policy elaborate più tardi possono prevalere sulle impostazioni in conflitto definite ai livelli precedenti.
- Local: viene elaborata la policy locale del computer.
- Site: vengono elaborate le GPO collegate al sito Active Directory.
- Domain: vengono elaborate le GPO collegate al dominio.
- OU: vengono elaborate le GPO collegate alle Organizational Unit, dalla più alta fino alla OU più vicina all’oggetto.
La precedenza effettiva può essere modificata da link order, Enforced, Block Inheritance, Security Filtering, WMI Filtering e loopback processing. Per questo il troubleshooting non deve basarsi soltanto sulla posizione della GPO nell’albero AD.
Computer Configuration e User Configuration
Ogni GPO contiene due rami principali: Computer Configuration e User Configuration. Il primo raccoglie impostazioni legate al computer e viene elaborato nel contesto del sistema; il secondo contiene configurazioni rivolte all’utente.
La distinzione è fondamentale perché computer e utenti possono risiedere in OU differenti. Una policy configurata nel ramo corretto ma collegata allo scope sbagliato può risultare tecnicamente valida e, allo stesso tempo, non produrre alcun effetto.
Security Filtering e WMI Filtering
Il fatto che una GPO sia collegata a una OU non significa automaticamente che venga applicata a tutti gli oggetti contenuti in quella OU. L’applicazione può essere raffinata attraverso Security Filtering e WMI Filtering.
Con Security Filtering vengono utilizzate le autorizzazioni per determinare quali utenti o computer possono leggere e applicare la GPO. Perché una GPO sia applicabile devono essere presenti i diritti richiesti, inclusi Read e Apply Group Policy.
Il WMI Filtering consente invece di associare alla GPO una query valutata sul computer di destinazione. La policy rimane applicabile soltanto quando il filtro restituisce un risultato vero. Può essere usato, ad esempio, per distinguere versioni del sistema operativo o caratteristiche del dispositivo, ma query lente o troppo generiche possono aumentare la complessità del processing.
Group Policy Preferences: quando usarle
Le Group Policy Preferences estendono le possibilità delle GPO con configurazioni che non hanno necessariamente lo stesso comportamento prescrittivo delle impostazioni di policy. Sono comunemente utilizzate per drive maps, stampanti, file, cartelle, shortcut, registry e altre configurazioni operative.
Un vantaggio importante è l’item-level targeting: ogni singolo elemento di una Preference può essere applicato in base a condizioni come gruppo di sicurezza, sito AD, query WMI, intervallo temporale o altre proprietà. Questo permette una granularità superiore senza creare una GPO distinta per ogni variazione.
Come aggiornare e verificare le Group Policy
Le Group Policy vengono elaborate all’avvio o al logon quando previsto e vengono poi aggiornate periodicamente in background. Durante il troubleshooting è possibile forzare un nuovo ciclo di elaborazione e verificare quali policy risultano effettivamente applicate.
gpupdate /force gpresult /r gpresult /h C:\Temp\GPO-Report.html rsop.msc |
gpupdate forza l’aggiornamento delle policy, mentre gpresult consente di visualizzare il Resultant Set of Policy realmente applicato a utente e computer. Il report HTML di gpresult è particolarmente utile perché rende più semplice distinguere GPO applicate, negate e filtrate.
Cosa controllare quando una GPO non si applica
- link della GPO e OU effettiva dell’utente o del computer;
- stato Enabled della GPO e delle sezioni User/Computer;
- Security Filtering e permessi Read / Apply Group Policy;
- eventuale WMI Filter e relativo risultato;
- Block Inheritance, Enforced e link order;
- replica di Active Directory e disponibilità di SYSVOL;
- connettività DNS verso i Domain Controller;
- risultato di gpresult e Group Policy Results;
- eventi del client relativi al processing delle Group Policy.
Group Policy e sicurezza Active Directory
Una GPO può rafforzare la sicurezza di un ambiente Windows, ma può anche diventare un vettore di rischio. Una delega eccessiva sulla modifica delle GPO, permessi non controllati o policy collegate a scope troppo ampi possono consentire modifiche con impatto su numerosi sistemi e account.
Durante una revisione di sicurezza è quindi opportuno verificare non solo le impostazioni contenute nelle GPO, ma anche proprietà, link e ACL: chi può modificare una policy, chi può collegarla a una OU, quali gruppi ricevono la configurazione e quali eccezioni sono state introdotte nel tempo.
Per una verifica strutturata puoi usare come riferimento la Active Directory Security Checklist, che include uno specifico controllo su Group Policy, ACL e deleghe.
Verifica GPO, deleghe e baseline di sicurezza del dominio
Nexsys analizza Group Policy, configurazioni di sicurezza, permessi di modifica, autenticazione e percorsi di escalation nell’ambito di un assessment Active Directory.
Best practice per progettare e mantenere le GPO
- Definire una naming convention leggibile e coerente.
- Separare le policy per funzione senza frammentare inutilmente la configurazione.
- Evitare link ridondanti e documentare le dipendenze tra OU e GPO.
- Limitare Enforced e Block Inheritance ai casi realmente necessari.
- Usare Security Filtering con gruppi dedicati e facilmente auditabili.
- Utilizzare WMI Filtering soltanto quando aggiunge un vantaggio reale rispetto a OU o gruppi.
- Mantenere aggiornati gli Administrative Templates utilizzati dall’organizzazione.
- Eseguire backup delle GPO prima di modifiche rilevanti.
- Controllare periodicamente GPO non collegate, obsolete o duplicate.
- Revisionare ACL e deleghe sulle GPO come parte dell’hardening di Active Directory.
- Testare le modifiche su OU o gruppi pilota prima del rollout generalizzato.
- Documentare ownership, finalità e change history delle policy più critiche.
Group Policy, Windows Server e Active Directory: come approfondire
Le GPO sono strettamente legate alla progettazione di Active Directory e alla gestione dei sistemi Windows Server. Per una visione completa dell’infrastruttura puoi approfondire il corso Active Directory per amministratori IT oppure il corso Windows Server per amministratori IT.
Questi contenuti devono restare distinti semanticamente: questa pagina risponde alle query informative sulle Group Policy, mentre le pagine corso devono presidiare le ricerche con intento di formazione professionale.
FAQ sulle Group Policy Windows
Che cosa significa GPO in Windows?
GPO significa Group Policy Object. È un oggetto che raccoglie impostazioni di configurazione e policy applicabili a utenti e computer Windows, in particolare negli ambienti Active Directory.
Qual è la differenza tra GPO locale e GPO di dominio?
La Group Policy locale configura un singolo computer. Le GPO di dominio vengono invece gestite centralmente in Active Directory e possono essere collegate a siti, domini e Organizational Unit.
In quale ordine vengono applicate le Group Policy?
L’ordine standard è Local, Site, Domain, OU, spesso indicato come LSDOU. L’applicazione effettiva può però essere influenzata da link order, Enforced, Block Inheritance, Security Filtering, WMI Filtering e loopback processing.
A cosa serve la Group Policy Management Console?
GPMC è la console amministrativa per creare, modificare, collegare, filtrare, documentare, eseguire backup e analizzare le Group Policy in un dominio Active Directory.
Che differenza c’è tra Security Filtering e WMI Filtering?
Security Filtering usa autorizzazioni e gruppi per determinare quali utenti o computer possono applicare una GPO. WMI Filtering valuta invece una query sul computer di destinazione e applica la policy solo se la condizione risulta vera.
Come verificare quali GPO sono applicate a un computer?
È possibile usare gpresult, Group Policy Results in GPMC oppure gli strumenti Resultant Set of Policy. Un report gpresult in formato HTML consente di vedere le GPO applicate e quelle escluse dal processing.
Le Group Policy funzionano con Windows Server 2025?
Sì. Microsoft documenta Group Policy per Windows Server 2025, oltre che per Windows Server 2022, 2019 e 2016.