Windows Server 2022: Gestione dei gruppi di lavoro

In qualità di amministratore di un gruppo di lavoro è necessario occuparsi di diverse attività di gestione tra cui, le più comuni, troviamo la reimpostazione delle password e la modifica del ruolo dell'utente. In quest'articolo verranno illustrati alcuni metodi per la gestione degli account utente e dei gruppi di lavoro.

Gestione computer

La console Gestione computer è un ottimo punto di partenza per la gestione degli utenti e dei gruppi locali. Ad esempio, dalla console è possibile modificare la password di un account utente e/o visualizzarne e modificarne le proprietà:

• In Server Manager, cliccare sul menu Strumenti e selezionare Gestione computer.
  

  

  FIG 1 - Server manager, Gestione computer

  
  
• Fate doppio clic su Utenti e gruppi locali per espanderlo quindi selezionare Utenti per visualizzare l'elenco degli utenti.
  

  

  FIG 2 - Gestione computer, Utenti

  
  
• Se si desidera solo reimpostare la password, fare clic con il pulsante destro del mouse sull'account utente e scegliere Impostazione password.
  

  

  FIG 3 - Impostazione password

  
  
• Una finestra di dialogo ci avvisa che alcune informazioni potrebbero non essere più accessibili a seguito reimpostazione della password (ad es. per le informazioni cifrate). Cliccare su Continua per proseguire.
  

  

  FIG 4 - Avviso reimpostazione password

  
  
• Digitare, due volte, la nuova password e confermare cliccando su OK.

  

  FIG 5 - Nuova password

  
  
• Per visualizzare le proprietà di un account utente, cliccarci su con il tasto destro del mouse e selezionare la voce Proprietà.
• Nella finestra di dialogo Proprietà sono presenti diverse schede. Di seguito le vediamo in dettaglio.
  Generale
  In questa scheda è possibile obbligare l'utente a modificare la password all'accesso successivo, impedire che l'utente possa cambiare la password, disabilitare la scadenza della password e disabilitare l'account.
  

  

  FIG 6 - Proprietà, Generale

  Membro di
  Consente di visualizzare e modificare l'appartenenza ai gruppi dell'utente.
  

  

  FIG 7 - Proprietà, Membro di

  
  Profilo
  Nella scheda Profilo è possibile impostare il percorso del profilo utente, script di logon e la home directory.
  

  

  FIG 8 - Proprietà, Profilo

  
  Ambiente
  Nella scheda Ambiente è possibile specificare un programma da avviare al logon dell'utente e impostare il comportamento desiderato per i dispositivi client.
  

  

  FIG 9 - Proprietà, Ambiente

  
  Sessioni
  Consente di configurare il timeout e le impostazioni di riconnessione di Servizi Desktop remoto.
  

  

  FIG 10 - Proprietà, Sessioni

  
  Controllo remoto
  Permette di abilitare/disabilitare il controllo remoto della sessione di un utente. Utile per connettersi alla macchina da remoto per la risoluzione di problemi.
  

  

  FIG 11 - Proprietà, Controllo remoto

  
  
  Profilo Servizi Desktop remoto
  Simile alla scheda Profilo, ma si applica solo alle sessioni di Remote Desktop.
  

  

  FIG 12 - Proprietà, Profilo Servizi Desktop Remoto

  
  Chiamate in ingresso
  Controlla le opzioni di connessione alternative.
  

  

  FIG 13 - Proprietà, Chiamate in ingresso

  
  

Finestra Account

La finestra Account consente di eseguire le stesse funzioni di gestione degli utenti della console Gestione computer, ma con un'interfaccia più semplice.

Per accedere alla finestra Account:

• Accedere alle Impostazioni di Windows tramite il menu Start oppure tramite la combinazione di tasti WIN+I.
• Cliccare su Account.
  

  

  FIG 14 - Impostazioni

  
  
• Selezionare Altri utenti. Da qui è possibile modificare il tipo di account, rimuovere o aggiungere un account locale.
  

  

  FIG 15 - Account

  
  

PowerShell

Per la gestione dei gruppi di lavoro è possibile utilizzare PowerShell. Alcune operazioni amministrative non possono essere eseguite tramite GUI ma esclusivamente tramite PowerShell.

Avviare PowerShell come amministratore:cliccare con il tasto destro del mouse su Start e selezionare Windows PowerShell (amministratore)

Tramite l'utilizzo del cmdlet Get-LocalUser è possibile interrogare il sistema per ottenere informazioni sull'account corrente specificato. Ad esempio, per visualizzare le impostazioni correnti dell'account Utente1, digitare quanto segue:

Get-LocalUser -Name "Utente1"

Per modificare la password dell'utente e possibile eseguire i seguenti comandi:

$Password = Read-Host -Prompt 'Inserisci Password' -AsSecureString

Get-LocalUser -Name "Utente1" | Set-LocalUser -Password $Password

In PowerShell le variabili sono rappresentate da stringhe di testo che iniziano con un segno di dollaro ($) e possono essere considerate come contenitori di oggetti. 

Per esempio, il primo comando (Read-Host -Prompt 'Inserisci Password' 

-AsSecureString) richiede la digitazione di una password che viene salvata nella variabile $Password come stringa sicura. Il cmdlet Get-LocalUser recupera le informazioni relative all'account utente Utente1 a cui, tramite il cmdlet Set-LocalUser, viene assegnata la password memorizzata in precedenza.

FIG 16 - PowerShell, Nuova password account locale

Windows 10: Attivare l’account di amministratore nascosto

L'account di amministratore predefinito del sistema è un account nascosto creato automaticamente dal sistema operativo. Tale account gode di privilegi persino superiori rispetto ad un normale account di amministrazione pertanto viene tenuto normalmente disabilitato. Per poter sfruttare tale account in caso di necessità, bisogna prima attivarlo:

• Aprire una finestra del Prompt dei comandi o di PowerShell come amministratore
• Digitare il seguente comando seguito da invio
  net user administrator /active:yes
  

  

  FIG 1 - Attivare l'account Administrator

  
  
• Per utilizzare l'account amministratore appena attivato, disconnettersi dal sistema per ritornare alla finestra di autenticazione
• Nell’angolo inferiore sinistro sarà disponibile un nuovo utente (Administrator). Selezionarlo e cliccare su Accedi (l'account non è protetto da password).
  

  

  FIG 2 - Windows 10, Utente Administrator

  
  

Per disattivare nuovamente l'account basterà eseguire, da una finestra terminale avviata come amministratore, il comando 

net user administrator /active:no

PowerShell: Nessuna scadenza password per un account in Active Directory

Per fare in modo che la password di un account in Active Directory non abbia scadenza, è possibile utilizzare il cmdlet Set-ADUser insieme al parametro -PasswordNeverExpires.

Il comando sarà simile a

Set-ADUser -Identity <utenza> -PasswordNeverExpires $true

dove al posto di <utenza> va specificato l'account in AD su cui si intende agire.

Se il comando va integrato all'interno di uno script, è possibile fare in modo che ad ogni esecuzione venga richiesto di specificare l'account in AD a cui disabilitare la scadenza della password. Ad esempio è possibile creare uno script con le seguenti istruzioni

 $User = (Read-Host -Prompt "Username")  
 Set-ADUser -Identity $User -PasswordNeverExpires $true  
   

Andando a verificare in Utenti e computer di Active Directory, dopo aver eseguito il comando, vedremo che per l'account specificato è stata attivata la voce Nessuna scadenza password.

FIG 1 - Active Directory, Nessuna scadenza password

PowerShell: Modificare le proprietà di logon di un servizio

Per modificare le proprietà di logon di un servizio tramite PowerShell, si utilizzano i cmdlet Get-Credential e Set-Service. 

Il codice illustrato in questo articolo andrà a modificare il servizio AppReadiness (Preparazione app) che consente di preparare le app per l'utilizzo al primo accesso dell'utente al PC e all'aggiunta di nuove app. Il servizio viene eseguito di default utilizzando l'account Local System. Attraverso i seguenti comandi PowerShell faremo in modo che il servizio venga eseguito con un account da noi specificato (le credenziali ci verranno richieste tramite Get-Credential).

 $credenziali = Get-Credential  
 Set-Service -Name "AppReadiness" -Credential $credenziali  
   

Da notare che il  parametro Set-Service -Credential è supportato solo in PowerShell 6 e successivi.

PowerShell: Forzare un utente in AD a cambiare password al logon successivo

Per fare in modo che un utente in Active Directory, al successivo logon, modifichi la password si può utilizzare il cmdlet Set-ADUser.

Il comando è molto semplice, basta indicare l'account su cui intervenire e passare al parametro ChangePasswordAtLogon il valore $true (oppure 1). Il comando sarà simile a:

Set-ADUser -Identity Giovanni.Lubrano -ChangePasswordAtLogon $true

FIG 1 - Set-ADUser, ChangePasswordAtLogon

Andando a verificare in Utenti e computer di Active Directory, dopo aver eseguito il comando, vedremo che per l'account specificato è stata attivata la voce Cambiamento obbligatorio password.

FIG 2 - Proprietà account in AD

Volendo possiamo creare un semplice script che ci richiede l'account su cui forzare il cambio password al logon successivo.

 $User = (Read-Host -Prompt "Username")  
 Set-ADUser -Identity $User -ChangePasswordAtLogon $true  

PowerShell: Modificare la password di un account di Active Directory

Il cmdlet Set-ADAccountPassword consente di impostare la password di un account utente in Active Directory, di un computer o di un account di servizio.

Sintassi

Set-ADAccountPassword

   [-WhatIf]

   [-Confirm]

   [-AuthType <ADAuthType>]

   [-Credential <PSCredential>]

   [-Identity] <ADAccount>

   [-NewPassword <SecureString>]

   [-OldPassword <SecureString>]

   [-Partition <String>]

   [-PassThru]

   [-Reset]

   [-Server <String>]

   [<CommonParameters>]

   

   

Parametri

-AuthType

Specifica il metodo di autenticazione. I valori accettati dal parametro sono:

• Negotiate oppure 0 (default)
• Basic oppure 1

Per il metodo di autenticazione Basic è necessaria una connessione Secure Sockets Layer (SSL).  

-Confirm

Chiede conferma prima di eseguire il cmdlet.

-Credential

Specifica le credenziali dell'account utente da utilizzare per eseguire questa attività. Le credenziali predefinite sono quelle dell'utente attualmente connesso, a meno che il cmdlet non venga eseguito da un'unità provider di Active Directory module for Windows PowerShell. Se il cmdlet viene eseguito da tale unità provider, l'account associato all'unità è quello predefinito.

Per specificare questo parametro, è possibile digitare un nome utente, ad esempio User1 o Domain01\User01, oppure specificare un oggetto PSCredential. Se si specifica un nome utente per questo parametro, il cmdlet richiederà una password.

È anche possibile creare un oggetto PSCredential utilizzando uno script o il cmdlet Get-Credential. È quindi possibile impostare il parametro Credential sull'oggetto PSCredential.

Se le credenziali che agiscono non hanno l'autorizzazione a livello di directory per eseguire l'attività, il modulo Active Directory per Windows PowerShell restituirà un errore di terminazione.

-Identity

Specifica un oggetto di dominio Active Directory fornendo uno dei seguenti valori 

• Distinguished name
• GUID (objectGUID)
• Security identifier (objectSid)
• Security Account Manager account name (SAMAccountName) 

-NewPassword

Specifica il valore di una nuova password. Questo valore viene memorizzato come stringa crittografata.

-OldPassword

Specifica il valore della vecchia password. Questo valore viene elaborato come stringa crittografata.

-Partition

Specifica il distinguished name di una partizione di Active Directory. Il distinguished name deve essere uno dei contesti di denominazione del server di directory corrente. Il cmdlet cerca in questa partizione l'oggetto definito dal parametro Identity.

In molti casi, se non viene specificato alcun valore, viene utilizzato un valore predefinito per il parametro Partition. Le regole per determinare il valore predefinito sono riportate di seguito. Si noti che le regole elencate per prime vengono valutate per prime e che, una volta determinato un valore predefinito, non vengono valutate altre regole.

Negli ambienti Active Directory Domain Services, un valore predefinito per Partition viene impostato nei seguenti casi:

• Se il parametro Identity è impostato su un distinguished name, il valore predefinito di Partition viene generato automaticamente da questo distinguished name.
• Se si eseguono i cmdlet da un'unità del provider di Active Directory, il valore predefinito di Partition viene generato automaticamente dal percorso corrente dell'unità.
• Se non si applica nessuno dei casi precedenti, il valore predefinito di Partition viene impostato sulla partizione o sul contesto di denominazione predefinito del dominio di destinazione.

Negli ambienti AD LDS, il valore predefinito di Partition viene impostato nei seguenti casi:

• Se il parametro Identity è impostato su un distinguished name, il valore predefinito di viene generato automaticamente da questo distinguished name.
• Se si eseguono i cmdlet da un'unità del provider di Active Directory, il valore predefinito di Partition viene generato automaticamente dal percorso corrente dell'unità.
• Se l'istanza AD LDS di destinazione ha un contesto di denominazione predefinito, il valore predefinito di Partition è impostato sul contesto di denominazione predefinito. Per specificare un contesto di denominazione predefinito per un ambiente AD LDS, impostare la proprietà msDS-defaultNamingContext dell'oggetto agente del servizio di directory di Active Directory (nTDSDSA) per l'istanza AD LDS.
• Se non si applica nessuno dei casi precedenti, il parametro Partition assumerà alcun valore predefinito.

-PassThru

Restituisce un oggetto che rappresenta l'elemento con cui si sta lavorando. Per impostazione predefinita, non viene generato alcun output.

-Reset

Specifica la reimpostazione della password di un account. Quando si utilizza questo parametro, è necessario impostare il parametro NewPassword. Non è necessario specificare il parametro OldPassword.

-Server

Specifica l'istanza di Active Directory Domain Services a cui connettersi:

• Fully qualified domain name
• NetBIOS name
• Fully qualified directory server name
• NetBIOS name
• Fully qualified directory server name e la porta

-WhatIf

Mostra cosa accadrebbe se il cmdlet venisse eseguito. Il cmdlet non viene eseguito.

Esempi

Esempio 1

Set-ADAccountPassword -Identity Giovanni.Lubrano

Viene richiesta la vecchia password e la nuova password da impostare per l'account specificato.

FIG 1 - Set-ADAccountPassword

Esempio 2

Set-ADAccountPassword -Identity "CN=Giovanni Lubrano Lavadera,OU=Utenti,OU=Direzione,DC=mycompany,DC=local" -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "p@assw0rd1234" -Force)

Questo comando imposta la password dell'account utente con DistinguishedName "CN=Giovanni Lubrano Lavadera,OU=Utenti,OU=Direzione,DC=mycompany,DC=local"

Esempio 3

Set-ADAccountPassword -Identity Giovanni.Lubrano -OldPassword (ConvertTo-SecureString -AsPlainText "p@assw0rd1234" -Force) -NewPassword (ConvertTo-SecureString -AsPlainText "qwerty@01234" -Force)

Questo comando imposta la password dell'account utente con SamAccountName GLubrano su qwerty@01234. L'uso di -NewPassword con un valore, senza fornire il valore del parametro -OldPassword, reimposta ugualmente la password.

Esempio 4

Set-ADAccountPassword -Identity Giovanni.Lubrano -NewPassword (ConvertTo-SecureString -AsPlainText "qwerty@01234" -Force) -Reset

Analogo all'esempio 3 con la differenza che in questo caso viene specificata solo la nuova password e viene utilizzato il parametro -Reset.

FIG 2 - Set-ADAccountPassword -NewPassword

Esempio 5

$User = (Read-Host -Prompt "Username")

$NewPassword = (Read-Host -Prompt "Nuova password" -AsSecureString

Set-ADAccountPassword -Identity $User -NewPassword $NewPassword -Reset

Viene richiesto di specificare l'account utente su cui agire e la nuova password da assegnare all'account.

PowerShell: Rinominare l'account locale Administrator

Per ragioni di sicurezza, potremmo considerare di rinominare l'account Administrator locale incorporato in Windows che, avendo un nome noto e privilegi elevati, può essere oggetto di attenzione da parte di malintenzionati.

Prima di procedere con la rinomina dell'account bisogna chiarire alcuni punti:

• Una volta rinominato l'account questo continuerà a funzionare ma per utilizzarlo sarà necessario specificare il nuovo nome. 
• Assicurarsi che non ci siano processi automatici che utilizzino il vecchio nome account, in tal caso sarà necessario aggiornarli con il nuovo nome.
• Rinominare l'account non cambierà il suo SID. Trattandosi di un SID noto, l'account potrà essere comunque preso di mira da attacchi mirati.

Per modificare il nome dell'account Administrator tramite PowerShell basta eseguire il seguente comando da una finestra PowerShell eseguita come amministratore

Rename-LocalUser -Name "Administrator" -NewName "GLubrano"

sostituendo la stringa passata al parametro -NewName con il nuovo nome che si intende assegnare all'account.

Per verificare se il nome dell'account di amministratore locale è stato modificato, eseguire il comando

Get-Localuser | Where-Object Sid -like 'S-1-5-*-500'

FIG 1 - Rename-LocalUser

MS Exchange: Rimuovere la foto associata all'account utente tramite EMS

Per rimuovere una foto associata ad un'account utente in ambiente MS Exchange 2013/2016 è possibile agire tramite EMS (Exchange Management Shell) utilizzando il cmdlet Remove-UserPhoto. La sintassi del comando è la seguente

Remove-UserPhoto -identity <IdentificativoMailbox>

oppure

Remove-UserPhoto -ClearMailboxPhotoRecord <SwitchParameter> -Identity <IdentificativoMailbox>

FIG 1 - MS Exchange, foto associata all'account utente

Parametri principali

Identity
Il parametro Identity specifica l'identità dell'account utente. Il parametro accetta un qualsiasi valore che consenta di identificare l'account in modo univoco come:
GUID
Nome distinto (DN)
Dominio\Account
Nome dell'entità utente
LegacyExchangeDN
SamAccountName
Indirizzo SMTP
Alias 


ClearMailboxPhotoRecord
Il parametro ClearMailboxPhotoRecord è disponibile solo per il servizio basato su cloud e indica che la foto eliminata da una casella di posta viene considerata vuota anziché rimossa. Non è necessario specificare un valore per questa opzione.

Esempi

Esempio 1
Remove-UserPhoto -identity GLUBRANO
Elimina la foto associata all'account GLUBRANO

Esempio 2
Remove-UserPhoto -identity giovanni.lubrano@contoso.com -Confirm:$false
Rimuove la foto associata all'account identificato dall'indirizzo giovanni.lubrano@contoso.com senza chiedere conferma prima di procedere.

Recuperare l'account e la password da un client di posta tramite Mail PassView

Per recuperare velocemente informazioni sugli account e relative password dai client di posta installati sul PC è possibile utilizzare il tool della NirSoft Mail PassView.
Il tool è gratuito, occupa pochi KB e può essere scaricato da http://www.nirsoft.net/utils/mailpv.html. Dalla pagina indicata è possibile scegliere 2 versioni: la versione che non richiede alcuna installazione, composta da un file zip contenente l'eseguibile e un file di help, e la versione installabile dotata di setup.
Il tool permette di recuperare gli account e relative password dai seguenti client di posta:
Outlook Express
Microsoft Outlook 2000 (solo account POP3 e SMTP)
Microsoft Outlook 2002/2003/2007/2010/2013/2016 (account POP3, IMAP, HTTP e SMTP)
Windows Mail
Windows Live Mail
IncrediMail
Eudora
Netscape 6.x/7.x (solo se la password non è cifrata con la master password)
Mozilla Thunderbird (solo se la password non è cifrata con la master password)
Group Mail Free
Yahoo! Mail (Se la password è salvata nell'applicazione Yahoo! Messenger)
Hotmail/MSN mail (se la password è salvata in MSN/Windows/Live Messenger)
Gmail (se la password è salvata in Gmail Notifier, Google Desktop, Google Talk)

L'utilizzo di Mail PassView è molto semplice: una volta avviato l'eseguibile (mailpv.exe) si aprirà una finestra contenente, oltre alla lista degli account e relative password salvati all'interno dei client di posta presenti sul PC, anche altre informazioni più o meno importanti. Il tool permette il salvataggio dei dati recuperati all'interno di un file di testo o nella clipboard.

FIG 1 - NirSoft, Mail PassView

Windows 10: Rimuovere la visualizzazione degli account locali dalla schermata di login

La schermata di logon di Windows 10 visualizza tutti gli account locali che hanno eseguito l'accesso al sistema. Per fare in modo che tali account locali non vengano più visualizzati è possibile procedere tramite registro di sistema:

• Avviare l'editor del registro di sistema (WIN+R e digitare regedit seguito da invio); 
• Posizionarsi su
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
• Creare, se non presente, la chiave SpecialAccounts;
• All'interno di SpecialAccounts creare una nuova chiave e nominarla UserList;
• Posizionarsi sulla chiave appena creata e al suo interno creare un nuovo valore di tipo DWORD (32 bit), nominarlo con il nome dell'account locale che si intende nascondere e assicurarsi che sia valorizzato a 0.

FIG 1 - Regedit, SpecialAccounts\UserList

Un metodo alternativo alla modifica delle chiavi di registro consiste nell'utilizzare i Criteri di sicurezza locali:

• Avviare l'editor dei criteri di sicurezza locali (WIN+R e digitare secpol.msc seguito da invio);
• Posizionarsi su Impostazioni sicurezza->Criteri locali->Opzioni di sicurezza;
• Sul lato destro della finestra, eseguire un doppio click sul criterio Accesso interattivo: non visualizzare l'ultimo nome utente;
  
  

  

  FIG 2 - Criteri di sicurezza locali

• Abilitare l'opzione Attivato e cliccare su OK.
  
  

  

  FIG 3 - Accesso interattivo: non visualizzare l'ultimo nome utente

Android: Malware Gooligan, verificare se il proprio account è stato violato

A partire da Agosto 2016 oltre un milione di account Google sono stati violati al ritmo di 13.000 al giorno dal malware Gooligan.

Gooligan esegue il root dei dispositivi Android vulnerabili per rubare indirizzi email e i token utilizzati per l'autenticazione dell'utente sulla piattaforma di Google. Con tali informazioni il malintenzionato può accedere all'account Google della vittima e di conseguenza a tutti i dati sensibili (Gmail, Google Photos, Google Docs, Google Play, Google Drive, ecc) presenti; inoltre,  può eseguire comandi da remoto sul dispositivo infetto.

I dispositivi a rischio sono quelli su cui è installato Android 4 (Jelly Bean e KitKat) e Android 5 (Lollipop).

Il malware si annida su molte App presenti su App-Store di terze parti (alternative a Google Play) e può essere distribuito anche tramite phishing inviando alla vittima un collegamento all'app infetta. Una volta che l'applicazione infetta viene installata sul dispositivo, Gooligan si attiva e procede al download di un rootkit dai server Command and Control (C&C server). Il rootkit sfrutta le vulnerabilità di Android 4 e 5 non aggioranti utilizzando gli exploit VROOT (CVE-2013-6282) e Towelroot (CVE-2014-3153). L'attacco in molti casi riesce in quanto le patch di sicurezza che sistemano queste falle non sono state rilasciate per tutti i dispositivi Android o non sono state mai installate dagli utenti. Una volta eseguito il rooting, il malvivente ha pieno controllo del dispositivo è può eseguire comandi da remoto.
Dopo aver ottenuto l'accesso alla root, Gooligan scarica e installa un altro modulo dai server C&C che viene utilizzato per inserire codice malevolo all'interno dell'App Google Play. Questo permette a Gooligan di rubare l'email e il token utilizzati per l'autenticazione dell'utente, di installare e valutare le App da Google Play in modo da incrementarne il rating, di installare adware che visualizzano spot pubblicitari.

FIG 1 - Gooligan

Verificare se il proprio account è stato violato

Per verificare se il proprio account è stato violato basta andare su https://gooligan.checkpoint.com/ e inserire l'indirizzo email relativo al proprio account Google.

Nel caso in cui l'account risultasse violato è necessario effettuare un'installazione pulita di Android sul dispositivo (flashing della rom) e successivamente procedere al cambio della password dell'account Google.

FIG 2 - Gooligan Checker

Skype: utilizzare due account contemporaneamente

Skype non mette a disposizione nessuna opzione per utilizzare contemporaneamente 2 account sulla stessa postazione. Una soluzione a questo problema consiste nell'utilizzare l'argomento /secondary nel lanciare la seconda istanza dell'applicazione.

Vediamo nel dettaglio come aprire 2 istanze di Skype sulla stessa postazione.

Avviamo normalmente Skype con il nostro account principale.

Creiamo un collegamento sul desktop specificando, come percorso del collegamento, la seguente stringa

"C:\Program Files (x86)\Skype\Phone\Skype.exe" /secondary

nel caso sulla postazione sia installata una versione di Windows a 32bit il percorso da indicare è il seguente:

"C:\Program Files\Skype\Phone\Skype.exe" /secondary

Cliccando sul collegamento viene avviata una seconda istanza di Skype in cui potremmo utilizzare un altro account