Windows Server 2019: Creare un'unità organizzativa tramite PowerShell

Windows Server 2019 è stato rilasciato con integrato Powershell 5.1. L'ultima versione di PowerShell è, al momento, la 6.0 che può essere installata sia in Windows Server 2019 che in Windows 10.
PowerShell integra numerosi comandi che possono essere utilizzati, tra le altre cose, per controllare/configurare i server all'interno di un dominio. Sui server domain controller risulteranno già installati le estensioni PowerShell relative ad Active Directory che ci consentiranno di creare una nuova unità organizzativa. 

Per verificare la versione di Powershell installata sul server

• Cliccare con il tasto destro del mouse sul menu Start o premere la combinazione di tasti Win+X e cliccare su Windows PowerShell (amministratore).
• Eseguire il comando
  $PSVersionTable.PSVersion

FIG 1 - Windows Server 2019, Versione PowerShell

Lightweight Directory Access Protocol e Distinguished Name

Prima di mostrare come aggiungere una nuova unità organizzativa tramite PowerShell è necessario fare un accenno veloce ad alcuni argomenti come LDAP e DN.
Active Directory utilizza il protocollo Lightweight Directory Access Protocol (LDAP) per le interrogazioni. Per identificare in maniera univoca un oggetto all'interno di Active Directory, LDAP utilizza il Distinguished Name (DN). Il formato utilizzato da DN per identificare un oggetto è tipo_oggetto=Nome_oggetto e più oggetti sono separati da virgola.
Ad es. il dominio mycompany.local è composto da due componenti di dominio (mycompany e local) e da DN vengono rappresentati come oggetti di tipo DC (domain component) nel seguente modo
dc=mycompany,dc=local

Le unità organizzative sono oggetti di tipo OU (organizational unit) mentre i container Users e Computers vengono identificati come tipo CN (common name).

L'unità Organizzativa Direzione creata nell'articolo Windows Server 2019: Creare un'unità organizzativa (Organizational Unit) ha il seguente DN:
ou=Direzione,dc=mycompany,dc=local

Il container Users viene identificato dal Distinguished Name
cn=Users,dc=mycompany,dc=local

Un account utente con nome Elmer.Fudd presente all'interno dell'unità organizzativa Utenti in Direzione avrà il seguente DN
cn=Elmer.Fudd,ou=Utenti,ou=Direzione,dc=mycompany,dc=local

Dopo questo doveroso chiarimento, vediamo come procedere alla creazione di una nuova unità organizzativa tramite PowerShell.

Creazione di una nuova unità organizzativa mediante PowerShell

Per creare una nuova UO con nome Vendite all'interno del nostro dominio basta eseguire da PowerShell il comando
New-ADOrganizationalUnit –Name Vendite –Server server1DC.mycompany.local –Path "DC=mycompany,DC=local"
Parametri
-Name specifica il nome della UO da creare.
-Server specifica il domain controller dove si intende creare l'UO
-Path a tale parametro va passato il percorso (Distinguished Name) in cui creare l'unità organizzativa.


come visibile da FIG 2 e FIG 3 , l'unità organizzativa specificata è stata creata correttamente. 

FIG 2 - Windows Server 2019, Creazione nuova OU tramite PowerShell

FIG 3 - Windows Server 2019, Nuova OU creata tramite PowerShell

Il fatto che tali operazioni possano essere eseguite da PowerShell consente la creazione di script per automatizzare l'operazione.

Windows Server 2019: Creare un'unità organizzativa (Organizational Unit)

Una grande azienda è generalmente suddivisa in diversi dipartimenti come Direzione, Vendite, Acquisti, Ricerca & Sviluppo, ecc. L'organizzazione degli oggetti in Active Directory può rispecchiare tale schema suddividendo e organizzando gli oggetti di un dominio come utenti, gruppi di utenti e computer in dei container chiamati unità organizzative.
Come suggerisce il nome, le unità organizzative sono una sorta di contenitori utilizzati per organizzare gli oggetti all'interno di Active Directory. Le unità organizzative vengono utilizzate principalmente per formare una gerarchia di contenitori all'interno di un dominio a scopo amministrativo come ad esempio per l'applicazione dei Criteri di gruppo o per delegare il controllo. Il controllo su un'unità organizzativa e sugli oggetti in essa contenuti viene fornita tramite liste di controllo degli accessi (access control list o ACL). La delega del controllo supportata in Active Directory consente di trasferire il controllo amministrativo completo o limitato sugli oggetti ad altri utenti o gruppi. In questo modo è possibile distribuire la gestione di un numero elevato di oggetti ad una serie di utenti ritenuti attendibili

In questi articolo andremo a creare due unità organizzative: una relativa Direzione e l'altra relativa all'ufficio Marketing.
Ci sono due strumenti che è possibile utilizzare per la creazione di unità organizzative: Utenti e Computer di Active Directory e Centro di amministrazione di Active Directory.

Creazione unità organizzativa tramite Utenti e Computer di Active Directory 

1. Da Server Manager cliccare sul menu Strumenti e selezionare Utenti e Computer di Active Directory (Active Directory Users and Computers). In alternativa premere la combinazione di tasti WIN+R digitare dsa.msc e premere invio.
   

   

   FIG 1 - Server Manager, Strumenti, Utenti e computer di Active Directory

2. Espandere il dominio della propria azienda (mycompany.local) per visualizzare i container e le unità organizzative in esso contenute;
3. Cliccare con il tasto destro del mouse sul nome del dominio e, dal menu contestuale, selezionare Nuovo quindi Unità organizzativa.
   

   

   FIG 2 - Utenti e computer di Active Directory, nuova unità organizzativa

4. Inseriamo il nome da assegnare all'unità organizzativa, ad es. Direzione, e assicuriamoci che sia selezionata l'opzione Proteggi contenitore da eliminazioni accidentali (l'opzione è attiva di default) quindi cliccare su OK per procedere alla creazione.
   

   

   FIG 3 - Utenti e computer di Active Directory, Nome unità organizzativa

All'interno dell'unità organizzativa appena creata, crearne altre due: una relativa agli utenti e l'altra relativa ai computer. 

5. Cliccare con il tasto destro sull'unità organizzativa Direzione, selezionare Nuovo quindi Unità organizzativa. 
6. Assegnare il nome Utenti all'unità organizzativa e cliccare su OK per confermare. 
7. Cliccare nuovamente con il tasto destro sull'unità organizzativa Direzione, selezionare Nuovo, Unità organizzativa. 
8. Assegnare il nome Computer all'unità organizzativa e cliccare su OK per confermare. 

Ripetere i passaggi sopra indicati per l'unità organizzativa nominata Marketing.

FIG 4 - Unità Organizzative Direzione e Marketing

Rimuovere la protezione da eliminazione accidentale tramite Utenti e Computer di Active Directory

L'opzione Proteggi contenitore da eliminazioni accidentali impedisce la cancellazione accidentale dell'unità organizzativa.
Provando a cancellare un'unità organizzativa protetta dalle cancellazione viene visualizzato il messaggio mostrato in FIG 5. 

FIG 5 - Tentativo eliminazione UO protetta da eliminazione accidentale

Per poter cancellare un'unità organizzativa protetta da eliminazione accidentale è necessario prima rimuovere la protezione:

• Dal menu Visualizza di Utenti e computer di Active Directory selezionare Funzionalità avanzate.
  

  

  FIG 6 - Utenti e computer di Active Directory, Funzionalità avanzate

• Cliccare, con il tasto destro del mouse, sull'unità organizzativa che si intende cancellare (ad es. Direzione\Computer) e selezionare Proprietà.
  

  

  FIG 7 - Utenti e computer di Active Directory, Proprietà unità organizzativa

• Nella finestra di dialogo relativa alle Proprietà, selezionare la scheda Oggetto e rimuovere la spunta alla casella Proteggi oggetto da eliminazioni accidentali quindi cliccare su OK.
  

  

  FIG 8 - Rimozione protezione eliminazione accidentale dell'unità organizzativa

• Dopo tale operazione l'unità organizzativa può essere eliminata normalmente.

Creazione unità organizzativa tramite Centro di amministrazione di Active Directory 

1. Da Server Manager cliccare sul menu Strumenti e selezionare Centro di amministrazione di Active Directory. In alternativa premere la combinazione di tasti WIN+R, digitare dsac.exe e premere invio.
   

   

   FIG 9 - Windows Server 2019, Centro di amministrazione di Active Directory

2. Cliccare con il tasto destro del mouse sul dominio e dal menu contestuale selezionare Nuovo quindi Unità organizzativa.
   

   

   FIG 10 - Centro di amministrazione di Active Directory, nuova unità organizzativa

3. Inserire il nome da assegnare all'unità organizzativa, ad es. Direzione, e verificare che sia selezionata l'opzione Proteggi contenitore da eliminazioni accidentali (l'opzione è attiva di default) quindi cliccare su OK per procedere alla creazione.
   

   

   FIG 11 - Centro di amministrazione di Active Directory, Crea unità organizzativa 

4. Selezionare l'UO Direzione appena creata, cliccarci su con il tasto destro del mouse e selezionare Nuovo, Unità organizzativa.
   

   

   FIG 12 - Creazione nuova unità organizzativa 

5. Come nome dell'unità organizzativa digitare Computer e cliccare su OK
6. Cliccare nuovamente con il tasto destro del mouse su Direzione e creare una nuova unità organizzativa nominandola Utenti.

Ripetere i passaggi precedenti per l'unità organizzativa nominata Marketing.

Rimuovere la protezione da eliminazione accidentale tramite Centro di amministrazione di Active Directory

Per rimuovere la protezione da eliminazione accidentale di un'unità organizzativa tramite Centro di amministrazione di Active Directory:

• Cliccare con il tasto destro sull'unità organizzativa su cui si intende eseguire l'operazione e, dal menu contestuale, selezionare Proprietà.
  

  

  FIG 13 - Centro di amministrazione di Active Directory, Proprietà unità organizzativa

• Rimuovere la selezione all'opzione Proteggi da eliminazioni accidentali e cliccare su OK.
  

  

  FIG 14 - Centro di amministrazione di Active Directory, Rimozione protezione da eliminazione accidentale unità organizzativa

Windows Server 2019: Join al dominio da riga di comando tramite netdom

Oltre alla rinomina del server, come visto nell'articolo Windows Server 2019: Modificare il nome del server da riga di comando con netdom, il comando netdom può essere utilizzato anche per la join del server ad un dominio esistente. La sintassi del comando è la seguente
netdom join <nome del server da unire al dominio> /Domain:<dominio a cui eseguire la join> /UserD:<account del dominio abilitato per eseguire la join al dominio> /PasswordD:*

Se il nostro dominio è mycompany.local e il nome del server da unire al dominio è server2 il comando da eseguire sarà
netdom join server2 /Domain: mycompany.local /UserD:mycompany\administrator /PasswordD:*

Eseguendo il comando, dal prompt dei comandi come amministratore, verrà richiesta la password dell'account del dominio abilitato ad eseguire la join (mycompany/Administrator). Completata l'operazione il server dovrà essere riavviato.

FIG 1 - Windows Server 2019, Join al dominio da riga di comando tramite Netdom

Per riavviare il server automaticamente dopo la modifica è possibile passare a netdom il parametro /reboot
netdom join server2 /Domain: mycompany.local /UserD:mycompany\administrator /PasswordD:* /reboot

In Active Directory vedremo che il server2 è stato aggiunto ai Computer appartenenti al dominio.

FIG 2 - Active Directory, Computer appartenenti al dominio

Windows Server 2019: Modificare il nome del server da riga di comando con netdom

Nell'articolo Windows Server 2019: Impostazione IP statico e nome Server è stato mostrato come modificare il nome del server tramite GUI. Lo stesso risultato può essere ottenuto agendo tramite il prompt dei comandi e utilizzando il comando netdom:

• All'interno del menu Start digitare cmd. Cliccare con il tasto destro su Prompt dei comandi e selezionare Esegui come amministratore.
  

  

  FIG 1 - Windows Server 2019, Prompt dei comandi (Amministratore)

• Dal Prompt dei comandi, per visualizzare il nome corrente attribuito al server eseguire il comando
  HOSTNAME
• Per modificare il nome del server è possibile utilizzare il comando netdom. La sintassi del comando è la seguente
  netdom /renamecomputer <nome computer attuale> /newname:<nome computer desiderato>
  ad es
  netdom /renamecomputer Server1DC /newname:ServerUfficio
  Un messaggio avvisa l'utente che alcuni servizi, come Autorità di certificazione, si basano sul nome del computer e la modifica di quest'ultimo può comportare il mancato funzionamento del servizio. Se siamo consapevoli di ciò che stiamo facendo proseguiamo rispondendo S al messaggio di conferma.
  

  

  FIG 2 - Windows Server 2019, Modifica nome server tramite netdom

• L'operazione viene portata a termine in pochi secondi ma è necessario riavviare il sistema per renderla effettiva. Una volta riavviato il sistema ed eseguito il logon noteremo il nuovo nome mostrato all'interno della finestra Server Manager.
  

  

  FIG 3 - Windows Server 2019, Server Manager nuovo nome server

Windows 10: Disabilitare gli aggiornamenti automatici tramite il tool Windows Update Blocker

In Windows 10 è stata inibita agli utenti la possibilità di disattivare gli aggiornamenti del sistema operativo. Se da una parte questo consente di avere sempre un sistema aggiornato, protetto ed efficiente dall'altra può rappresentare un grosso problema in alcuni contesti dove un'aggiornamento può provocare malfunzionamenti con vecchie applicazioni o rallentamenti nella produttività. In questi casi può essere utile poter disabilitare gli aggiornamenti e abilitarli quando lo si ritiene più opportuno. Per effettuare tale operazione bisognerebbe bloccare e disabilitare i servizi relativi a Windows Update (operazione non alla portata di tutti). Il modo più semplice per raggiungere tale scopo consiste nell'utilizzo del tool Windows Update Blocker dello sviluppatore Sordum. Si tratta di un freeware portable, dunque non richiede alcuna installazione. Basta scaricarlo dal sito www.sordum.org ed avviare l'eseguibile. Per disabilitare gli aggiornamenti di Windows Update basta selezionare le opzioni Disabilita servizio e Impostazioni Protezione Servizio e cliccare sul pulsante Applica Adesso.

FIG 1 - Windows Update Blocker, Disabilitare Windows Update

Cliccando sul pulsante menu e selezionando Service List Options è possibile controllare anche altri servizi del sistema operativo.

FIG 2 - Windows Update Blocker, Service List Options

Per aggiungere ulteriori servizi all'elenco basta inserirli all'interno del file wub.ini accodandoli alla sezione [Service_List].

FIG 3 - Windows Update Blocker, Wub.ini

Windows Server 2019: Installazione Active Directory

Quando si installa il sistema operativo Windows, il computer viene automaticamente aggiunto ad un gruppo di lavoro chiamato WORKGROUP (o HOME). Come visibile in figura FIG 1 anche il nostro server appena installato appartiene al gruppo di lavoro WORKGROUP.

FIG 1 - Windows Server 2019, Gruppo di lavoro WORKGROUP

I computer connessi ad una rete possono essere parte di un gruppo di lavoro o di un dominio. La principale differenza tra un gruppo di lavoro e un dominio è data da come le risorse di rete vengono gestite. Generalmente i computer connessi a reti di piccole dimensioni, come quelle all'interno della propria abitazione, fanno parte di un gruppo di lavoro mentre i computer connessi a reti di grande dimensioni o di un'azienda fanno solitamente parte di un dominio. 

Per capire meglio la differenza tra un gruppo di lavoro e un dominio supponiamo di voler inibire l'accesso al Pannello di Controllo agli utenti su tutte le postazioni di una rete. 
In un gruppo di lavoro dovremmo connetterci, come amministratore, su ciascuna postazione e procedere all'impostazione manualmente. 
In un dominio tutte le impostazioni possono essere gestite centralmente attraverso un software, presente sui server, chiamato Active Directory. Tramite Active Directory è possibile, ad esempio, fare anche in modo che un determinato utente possa eseguire il logon solo su una determinata workstation dell'azienda, specificare a che ora l'utente può effettuare il login sulle postazioni, personalizzare lo sfondo delle postazioni di un particolare dipartimento dell'azienda, ecc. Un'altro caso in cui è utile utilizzare il dominio è nella distribuzione del software. Supponiamo di dover installare MS Office su tutti i computer dell'azienda. Possiamo effettuare tale operazione attraverso le group policy e utilizzando un dominio (in un prossimo articolo mostrerò come effettuare tale operazione).

Prima di procedere con l'installazione del servizio Active Directory facciamo un po' di chiarezza su alcuni termini

Workgroup
Un gruppo di lavoro è un'insieme composto da uno o più computer su una stessa rete locale o subnet che non appartengono ad un dominio. Tutti i computer sono alla pari e indipendenti e non esiste un computer che ha il controllo sugli altri. Ciascun computer dispone di un insieme di account utente e, per poter utilizzare tutti i computer di un gruppo di lavoro, è necessario disporre di un account utente su ciascun computer.

Dominio
Un dominio è la massima unità amministrativa su una rete di computer e può essere considerato come un insieme di oggetti (account utente, computer, unità organizzative, stampanti, ecc) che condividono lo stesso database consentendo notevoli vantaggi nella gestione delle risorse IT. La stessa Microsoft definisce il dominio come un insieme di computer che condividono un database di risorse di rete e che vengono amministrati come un'unità con regole e procedure comuni. 
Uno o più computer della rete sono server. Gli amministratori del dominio utilizzano i server per gestire la sicurezza e i permessi di tutti i computer/account/risorse del dominio (gestione centralizzata tramite Active Directory). 
Gli utenti che dispongono di un account di dominio possono eseguire l'accesso su tutti i computer del dominio (salvo eventuali restrizioni imposte dagli amministratori) senza che sia già presente un account locale sulla postazione. I computer possono essere su reti diverse e un dominio può a sua volta far parte di un dominio di livello superiore. 

Domain Controller
Il Domain Controller è un server con installato Windows Server e Active Directory Domain Services che, all'interno del dominio, gestisce le richieste di autenticazione relative alla sicurezza (login, controllo permessi, abilitazioni, ecc) e permette l'organizzazione della struttura del dominio gestendo utenti, gruppi, computer, unità organizzative, risorse di rete, ecc. Il server su cui è installato Active Directory che gestisce il dominio di livello superiore è definito Primary Domain Controller.


Servizi di dominio Active Directory
Active Directory Domain Services (AD DS) è un servizio integrato nei sistemi operativi Windows Server ma non viene installato di default. Affinché un server possa essere promosso a Domain Controller è necessario installare Active Directory Domain Services, il relativo database e altre funzionalità necessarie al suo corretto funzionamento. Ciascun controller di dominio dispone di una copia locale del database Active Directory che viene aggiornata dinamicamente dagli stessi domain controller. Dato che tutti i sistemi di un dominio fanno riferimento ad Active Directory è opportuno avere almeno due controller di dominio a fini di ridondanza; in questo modo se un controller di dominio presenta problemi o non si avvia, l'intera infrastruttura continuerà a funzionare.

Foresta
Una Foresta è una singola istanza di Active Directory. All'interno di una Foresta è possibile avere uno o più domini che condividono lo stesso schema. Un singolo dominio su un singolo Domain Controller rappresenta la più piccola Foresta che è possibile creare. La Foresta è indicata anche come recinto di sicurezza in cui gli utenti, i computer e altri oggetti sono accessibili.

Catalogo Globale (Global Catalog)
Un catalogo globale contiene tutte le informazioni relative al suo dominio più le informazioni relative agli altri domini della foresta. Risiede sui controller di dominio che sono stati abilitati come server del catalogo globale e i dati sono distribuiti attraverso la replica di Active Directory. Un Domain Controller configurato come Global Catalog conserva, oltre alla intera partizione del suo dominio, alle partizioni schema e configuration della foresta anche una replica parziale e di sola lettura delle partizioni degli altri domini. Esiste un unico Global Catalog all'interno di una Foresta ma ci sono più copie distribuite tra i domain controller. Un Global Catalog oltre ad essere usato dai client per le ricerche in Active Directory, fornisce anche altri servizi come ad esempio fornire riferimenti ad altri oggetti in diversi domini, la risoluzione dei nomi principali degli utenti (UPN) e l'universal group membership caching.

Installazione ruolo Servizi di dominio Active Directory

Nell'articolo Windows Server 2019: Installazione sono stati mostrati i passaggi per l'installazione di Windows Server 2019. Affinché il server sia funzionale non basta la semplice installazione del sistema operativo ma bisogna attribuirgli un ruolo all'interno della rete. In Windows Server 2019 possiamo gestire ruoli e funzionalità attraverso il Server Manager. I ruoli forniscono un servizio specifico ai client come Servizi di dominio Active Directory, server DNS, server DHCP, server web, ecc. Le funzionalità, invece, sono generalmente software che supportano i ruoli ma non forniscono servizi ai client. Quando si installa un ruolo server spesso viene automaticamente proposta l'installazione delle funzionalità aggiuntive richieste. Alcuni esempi di funzionalità sono: .NET Framework 4.6, BitLocker Drive, Crittografia, Failover Clustering e Windows Server Backup.

Per creare e gestire il nostro primo dominio dobbiamo procedere all'installazione del ruolo Servizi di dominio Active Directory sul nostro server.
Come indicato precedentemente, il modo più semplice per assegnare un ruolo al server è quello di procedere tramite il Wizard di Server Manager:

• Nella finestra di Server Manager cliccare sulla sezione Dashboard;
• Cliccare su Aggiungi ruoli e funzionalità per avviare il Wizard che ci guiderà nelle operazioni;
  

  

  FIG 2 - Windows Server 2019, Server Manager, Aggiungi ruoli e funzionalità

• Il Wizard fornisce alcune informazioni preliminari sull'installazione/rimozione dei ruoli e funzionalità. Cliccare su Avanti.
  

  

  FIG 3 - Windows Server 2019, Aggiungi ruoli e funzionalità operazioni preliminari

• Il passo successivo consiste nel selezionare il tipo di installazione desiderato: possiamo scegliere tra installare ruoli e funzionalità su un server oppure installare una specifica risorsa sull'infrastruttura VDI. Selezionare l'opzione Installazione basata su ruoli o basata su funzionalità e cliccare su Avanti per proseguire.
  

  

  FIG 4 - Windows Server 2019, Installazione basata su ruoli o basata su funzionalità

• In questo passaggio possiamo selezionare su quale server installare i ruoli e le funzionalità. Al momento abbiamo un unico server quindi proseguire cliccando su Avanti.
  

  

  FIG 5 - Windows Server 2019, Selezione server di destinazione

• Dall'elenco dei ruoli, selezionare l'opzione Servizi di dominio Active Directory.
  

  

  FIG 6 - Windows Server 2019, Ruoli server, Servizi di dominio Active Directory

• Apparirà una nuova finestra che avvisa l'utente sulla necessità di installare ulteriori ruoli e funzionalità per il corretto funzionamento dei Servizi di dominio Active Directory. Cliccare su Aggiungi funzionalità.
  

  

  FIG 7 - Windows Server 2019, Aggiungere le funzionalità necessarie per Servizi di dominio Active Directory

• Si ritorna alla schermata precedente. Cliccare su Avanti per proseguire.
  

  

  FIG 8 - Windows Server 2019, Ruoli server

• Nel passaggio successivo ci viene data la possibilità di installare ulteriori funzionalità se necessario ma al momento possiamo passare oltre cliccando su Avanti.
  

  

  FIG 9 - Windows Server 2019, Funzionalità

• Nella nuova schermata vengono fornite informazioni sui ruoli/funzionalità che si sta installando. Un buon suggerimento è quello di avere almeno due controller di dominio per ogni dominio (in un prossimo articolo mostrerò come aggiungere un nuovo domain controller all'infrastruttura). Cliccare su Avanti.
  

  

  FIG 10 - Windows Server 2019, Servizi di dominio Active Directory

• Ci viene mostrato un resoconto su tutte le funzionalità che verranno installate. Cliccare sul pulsante Installa per proseguire e attendere che l'installazione venga portata a termine.
  

  

  FIG 11 - Windows Server 2019, Conferma selezioni per l'installazione

  
  

  

  FIG 12 - Windows Server 2019, Stato installazione

• Con l'installazione completata dei Servizi Active Directory il passo successivo consiste nel promuovere il server a Domain controller. L'operazione può essere eseguita sia cliccando sull'apposito link Alza di livello il server a controller di dominio (FIG 13) che ci viene mostrato dopo l'installazione del servizio Active Directory sia utilizzando il link che ritroviamo cliccando sull'icona delle notifiche (FIG 14).
  

  

  FIG 13 - Windows Server 2019, Alza di livello il server a controller di dominio

  
  

  

  FIG 14 - Windows Server 2019, Alza di livello il server a controller di dominio

• Una volta cliccato sul link Alza di livello il server a controller di dominio verrà visualizzata una nuova procedura guidata con 3 opzioni:
  1. Aggiungi un controller di dominio a un dominio esistente;
  2. Aggiungi un nuovo dominio a una foresta esistente;
  3. Aggiungi una nuova foresta.
  Trattandosi del nostro primo dominio l'opzione da selezionare è Aggiungi una nuova foresta. Nell'apposita casella va inserito il nome del dominio radice che si intende creare. Il nome va inserito nel formato simile al Fully Qualified Domain Name (FQDN) e sarà composto da due parti: il nome vero e proprio e un suffisso separati da un punto (ad es. forest.com, azienda.com, miodominio.local). Generalmente per i domini che non devono essere visibili dall'esterno si preferisce utilizzare il suffisso .local. Digitare il nome del dominio radice (in FIG 15 è stato inserito mycompany.local) che si intende creare quindi cliccare su Avanti per proseguire. Il nome del dominio inserito sarà anche quello della foresta.
  

  

  FIG 15 - Windows Server 2019, Aggiungi una nuova foresta

• Il passo successivo consiste nello specificare le opzioni del controller di dominio. Le prime impostazioni sono relative al livello di funzionalità della foresta e del dominio. I software Active Directory installati su più server dell'infrastruttura devono essere compatibili tra loro: se all'interno della foresta c'è un server Domain Controller con installato Windows Server 2012 R2 allora gli altri server devono avere un livello di funzionalità compatibile con tale versione. Al momento la versione più recente del livello di funzionalità è Windows Server 2016. Dato che useremo solo server Windows Server 2019 all'interno dell'infrastruttura, selezioniamo Windows Server 2016 come livello di funzionalità per la foresta e il dominio.  Le successive tre opzioni consentono di specificare le funzionalità del controller di dominio: Server DNS (Domain Name System), Catalogo globale, Controller di dominio di sola lettura. Per il Domain Controller è necessario che sia presente un Server DNS (Domain Name System). Active Directory dipende fortemente dal DNS in quanto registra tutti i tipi di record di servizio (SRV) nel DNS per localizzare servizi specifici necessari per il suo corretto funzionamento. Il server DNS può essere installato anche su altre macchine della rete ma è preferibile che sia installato su un Domain Controller. Nel nostro caso lasciamo selezionata l'opzione Server DNS (Domain Name System). Oltre al DNS è necessario installare anche il catalogo globale (Global Catalog). Come visibile in figura l'opzione relativa al Catalogo globale non può essere disattivata in quanto fondamentale per il corretto funzionamento del nostro Domain Controller. La casella Controller di dominio di sola lettura consente di creare una copia di sola lettura del database di Active Directory su un server ubicato in un posto non del tutto sicuro. Trattandosi del primo Domain Controller l'opzione è disattivata: il primo controller di dominio all'interno dell'infrastruttura non può essere di sola lettura (Read Only Domain Controller o RODC). In questa fase viene anche richiesto di specificare e confermare la password da utilizzare in caso di ripristino dei servizi directory (Directory Services Restore Mode o DSRM). Una volta specificate le opzioni/impostazioni cliccare su pulsante Installa.
  

  

  FIG 16 - Windows Server 2019, Opzioni controller di dominio

• Nella successiva schermata appare un messaggio che ci avvisa sull'impossibilità di creare una delega per il server DNS in quanto non è definita una zona padre. Il messaggio non rappresenta un vero problema dato che sul server non disponiamo ancora del servizio DNS. Il DNS server verrà installato automaticamente con l'installazione di Active Directory e il problema verrà risolto. Cliccare su Avanti per proseguire.
  

  

  FIG 17 - Windows Server 2019, Opzioni DNS

• Il passo seguente consiste nel settare il nome NetBIOS del dominio. NetBIOS consente alle applicazioni che si trovano su diversi computer, di comunicare tra loro. Accettare il NetBIOS domain name suggerito e cliccare su Avanti.

  

  FIG 18 - Windows Server 2019, Nome di dominio NetBIOS

• A questo punto il Wizard consente di specificare il percorso in cui salvare il database di Active Directory, il file di log e il percorso per la cartella condivisa SYSVOL. In ambiente di produzione generalmente è preferibile salvare tali informazioni in uno o più dischi dedicati formattati come NTFS. La cartella condivisa SYSVOL viene utilizzata per condividere informazioni come script ed elementi relativi agli oggetti Group Policy (in AD tutti gli elementi sono considerati oggetti) tra i Domain Controller. Come tutti i grandi Database anche Active Directory è composto da un file principale e un file di log che tiene traccia delle transazioni. Le modifiche effettuate al database vengono prima scritte all'interno del file di log e successivamente riportate all'interno del database. Se il server dovesse per qualche motivo spegnersi nel bel mezzo di una modifica, al successivo avvio del server Active Directory può utilizzare il file di log per assicurarsi che il database sia in uno stato coerente. Nel nostro caso non modifichiamo l'impostazione di default e proseguiamo cliccando su Avanti.
  

  

  FIG 19 - Windows Server 2019, Percorsi file Active Directory

• Nella fase Verifica opzioni viene mostrato un riepilogo delle impostazioni selezionate nei passaggi precedenti. Presa visione delle opzioni, cliccare su Avanti per procedere.
  

  

  FIG 20 - Windows Server 2019, Verifica opzioni

• Nella fase Controllo dei prerequisiti del Wizard viene eseguita una verifica sui prerequisiti necessari alla promozione del server a controller di dominio. Se vengono rispettati i prerequisiti sarà possibile cliccare sul pulsante Installa per l'installazione del software.
  

  

  FIG 21 - Windows Server 2019, Controllo dei prerequisiti

  

  FIG 22 - Windows Server 2019, Installazione Active Directory

• Al termine dell'installazione il server verrà riavviato. Nella schermata di logon noteremo che adesso accediamo come amministratore di dominio (mycompany\Administrator) e non come amministratore locale. Eseguire il logon inserendo la password dell'utente Administrator.
  

  

  FIG 23 - Windows Server 2019, Logon come amministratore di dominio

• In Server Manager noteremo che sono stati aggiunti due servizi: DNS e Servizi di dominio Active Directory.
  

  

  FIG 24 - Server Manager, nuovi ruoli

L'installazione di Active Directory sul nostro server è terminata. In un prossimo articolo su Windows Server 2019 illustrerò come creare un unità organizzativa.