Windows Server 2019: Creazione gruppi in Active Directory

Lo scopo principale della creazione di gruppi in Active Directory è quello raccogliere e organizzare account utenti, account computer e altri gruppi in unità gestibili. Lavorare con i gruppi invece che con i singoli account semplifica notevolmente la manutenzione e la gestione della rete: gli amministratori devono assegnare le autorizzazioni/permessi una sola volta al gruppo anziché più volte a ogni singolo utente. Ogni account aggiunto a un gruppo riceverà automaticamente i diritti/autorizzazioni assegnati al gruppo in Active Directory.

Tipi di gruppo

In Active Directory esistono due tipi di gruppi: Distribuzione e Sicurezza.

Gruppi di Distribuzione
I gruppi di Distribuzione vengono usati per la creazione di liste di distribuzione di posta elettronica. Possono essere utilizzati solo con le applicazioni di posta elettronica, come ad es. MS Exchange Server, per inviare email ad un gruppo di utenti. I gruppi di Distribuzione, non essendo abilitati per la sicurezza, non possono essere elencati all'interno delle liste di controllo di accesso discrezionale (discretionary access control list o DACL).


Gruppi di Sicurezza
I gruppi di Sicurezza vengono utilizzati per assegnare permessi agli utenti e/o per assegnare autorizzazioni sulle risorse condivise. I gruppi di Sicurezza sono elencati negli elenchi DACL che definiscono le autorizzazioni per risorse e oggetti.
Come per i gruppi di Distribuzione, anche i gruppi di Sicurezza possono essere usati come entità di posta elettronica. Inviando un messaggio di posta elettronica al gruppo questo verrà inviato a tutti i membri del gruppo.
In Active Directory sono già presenti dei gruppi di Sicurezza, ad es.  il gruppo Backup Operators. Un account utente aggiunto al gruppo Backup Operators sarà in grado di eseguire il backup e il ripristino di file/directory presenti sui Domain Controller.

Ambito di gruppo

I gruppi sono caratterizzati da un ambito che determina dove il gruppo può essere applicato all'interno della foresta o dominio. L'ambito di applicazione determina anche chi può essere membro di un gruppo. Microsoft non ha inserito molte limitazioni in Active Directory riguardo a come i gruppi possono essere annidati (nesting) tuttavia bisogna prestare molta attenzione nell'eseguire tale operazione. L'unico aiuto offerto in Active Drirectory per evitare potenziali rischi dovuti al nesting di gruppi di sicurezza è quello dell'ambito di gruppo.
All'interno di Active Directory è possibile trovare tre ambiti di gruppo: Globale, Locale al Dominio, Universale.

Globale
I gruppi con ambito globale vengono utilizzati per gestire gli account utente e gli account computer e possono includere altri gruppi con ambito globale appartenenti allo stesso dominio. Dato che non vengono replicati all'esterno del dominio di appartenenza, gli account di un gruppo con ambito globale possono essere modificati senza che questo crei traffico di replica verso il catalogo globale (global catalog). 
Possiamo pensare ai gruppi con ambito globale come a "gruppi di account" che includono utenti con uno o più punti in comune. Ad esempio, consideriamo il reparto Marketing di una società. Tutti gli utenti di tale reparto potranno essere inseriti all'interno di un gruppo globale chiamato "GRP_Marketing"

Locale al dominio (Domain Local)
Grazie alla loro flessibilità relativa alle restrizioni, i gruppi Locali al dominio sono ideali per definire e gestire l'accesso alle risorse all'interno del singolo dominio. In particolare, questi gruppi vengono utilizzati perché ad essi possono essere aggiunti gruppi del dominio principale, nonché gruppi di altri domini e foreste trusted. Generalmente vengono utilizzati per l'accesso diretto a specifiche risorse non archiviate in Active Directory come condivisioni su file server, code di stampa, ecc. E' sconsigliato utilizzare tale ambito per l'assegnazione di autorizzazioni sugli oggetti di Active Directory.
Se i gruppi di ambito globale possono essere considerati come "gruppi di account" allora possiamo considerare i gruppi di ambito locale come "gruppi di risorse". 
Supponiamo che agli utenti del gruppo GRP_Marketing dobbiamo concedere l'accesso ad una condivisione di file chiamata DocumentiMarketing (gruppo GRP_DocumentiMarketing). Annidando il gruppo globale "GRP_Marketing" all'interno del gruppo locale al dominio "GRP_DocumentiMarketing", abbiamo appena dato a tutti gli utenti del dipartimento di marketing l'accesso ai contenuti della condivisione. 


Universale
I gruppi universali sono utilizzati solo in ambienti multi-dominio. I gruppi con ambito universale sono disponibili solo in domini con modalità nativa e le appartenenze vengono memorizzate all'interno del catalogo globale. Proprio per questo motivo è sconsigliabile modificare frequentemente l'appartenenza di un gruppo con ambito universale in quanto ogni modifica apportata verrà replicata sull'intera foresta
Supponiamo di avere una rete con 2 domini USA e EUROPE e un global group GRP_Marketing in ciascun dominio; è possibile creare un universal group UGRP_MArketing che racchiuda i gruppi USA\GRP_Marketing e EUROPE\GRP_Marketing. Il gruppo universale UGRP_MArketing potrà essere utilizzato ovunque all'interno dell'infrastruttura.  


Nella seguente tabella, prelevata dalla documentazione Microsoft, vengono riportati gli ambiti di raggruppamento

Ambito	Membri possibili	Conversione ambiti	Può concedere autorizzazioni	Possibile membro di
Universale	Account da qualsiasi dominio della stessa foresta Gruppi globali di qualsiasi dominio della stessa foresta Altri gruppi universali di qualsiasi dominio della stessa foresta	Può essere convertito nell'ambito locale di dominio Può essere convertito in ambito globale se il gruppo non è un membro di altri gruppi universali	In qualsiasi dominio della stessa foresta o delle foreste trusting	Altri gruppi universali della stessa foresta Gruppi locali di dominio nella stessa foresta o nelle foreste trusting Gruppi locali nei computer della stessa foresta o delle foreste trusting
Globale	Account dello stesso dominio Altri gruppi globali dello stesso dominio	Può essere convertito in ambito universale se il gruppo non è membro di un altro gruppo globale	In qualsiasi dominio della stessa foresta o Trusted Domains o forests	Gruppi universali da qualsiasi dominio della stessa foresta Altri gruppi globali dello stesso dominio Gruppi locali di dominio da qualsiasi dominio della stessa foresta o da qualsiasi dominio di trusting
Dominio Locale	Account da qualsiasi dominio o da qualsiasi dominio attendibile Gruppi globali da qualsiasi dominio o da qualsiasi dominio attendibile Gruppi universali da qualsiasi dominio della stessa foresta Altri gruppi locali di dominio dello stesso dominio Account, gruppi globali e gruppi universali da altri insiemi di foreste e da domini esterni	Può essere convertito in ambito universale se il gruppo non contiene altri gruppi locali di dominio	All'interno dello stesso dominio	Altri gruppi locali di dominio dello stesso dominio Gruppi locali nei computer dello stesso dominio, esclusi i gruppi incorporati con SID noti

Una struttura AD ben progettata prevede che agli utenti vengano forniti solo i permessi/abilitazioni strettamente necessari per l'accesso alle informazioni e alle risorse essenziali per lo svolgimento del proprio lavoro. I modelli di sicurezza basati su ruoli, attributi e risorse sono tutti modi diversi che le organizzazioni utilizzano per raggiungere tale obiettivo in tutta l'infrastruttura IT e i tipi e l'ambito dei gruppi ricoprono un ruolo fondamentale. I modelli strutturali di best practice suggeriti da Microsoft per l'architettura Active Directory sono due: AGDLP e AGUDLP.

• AGDLP (Accounts, Global, Domain Local, Permissions) fornisce una guida su come aggiungere i gruppi all'interno degli altri senza compromettere la sicurezza o sacrificare l'efficienza operativa. Il modello prevede quanto segue: Gli account utente e computer dovrebbero essere membri di gruppi globali, che a loro volta possono essere membri di gruppi locali di dominio che descrivono i permessi delle risorse.
• AGUDLP (Accounts, Global, Universal, Domain Local, Permissions), come intuibile dal nome, è molto simile a AGDLP ma la "U" introduce i gruppi in ambito Universale. Le appartenenze di tali gruppi sono memorizzate nel catalogo globale, che è più che altro una necessità in ambienti multi-dominio. L'uso di questo modello dipende in realtà da quanto si fa affidamento sul catalogo globale nell'organizzazione. Se c'è un interesse personale ad avere il catalogo globale il più completo possibile (ad es. nel caso in cui bisogna gestire molti dipendenti mobile e permettere loro di ricercarsi l'un l'altro facilmente tramite Outlook), allora il modello AGUDLP aiuterà a raggiungere lo scopo. Tuttavia, per gli ambienti più piccoli che hanno solo un singolo dominio questo modello può aggiungere un inutile livello di complessità.

La ragione per cui i modelli strutturali AGDLP e AGUDLP suggeriti da Microsoft sono la migliore soluzione da adottare, almeno nella gran parte dei casi, è duplice. Dal punto di vista della sicurezza, utilizzando gruppi locali di domini per concedere permessi a risorse specifiche, un amministratore può dare ai membri di altri domini e foreste l'accesso alla risorsa senza dover dare loro accesso diretto al resto del dominio in cui risiede la risorsa. In questo modo si evita di aggiungere utenti di altri domini e foreste al dominio in cui risiede la risorsa. Dal punto di vista operativo, i modelli AGDLP e AGUDLP facilitano anche la gestione dei membri del gruppo consentendo di gestire i permessi e l'organizzazione degli utenti separatamente.
I modelli strutturali suggeriti da Microsoft non sempre rappresentano la migliore soluzione. In infrastrutture molto grandi l'uso dei gruppi locali al dominio per la gestione dei permessi delle risorse può portare alla generazione di un numero molto elevato di gruppi e, di conseguenza, ciò potrebbe portare un utente a diventare membro di migliaia di gruppi.

Creare un gruppo tramite il Centro di amministrazione di Active Directory

• Da Server Manager cliccare sul menu Strumenti e selezionare Centro di amministrazione di Active Directory. In alternativa premere la combinazione di tasti WIN+R, digitare dsac.exe e premere invio.
  

  

  FIG 1 - Windows Server 2019, Centro di amministrazione di Active Directory

• Espandere il dominio mycompany.local quindi cliccare con il tasto destro sull'unità organizzativa Marketing e selezionare Nuovo->Raggruppa.
  

  

  FIG 2 - Centro di amministrazione di Active Directory, nuovo gruppo

• Nella casella Nome gruppo inserire il nome da assegnare al gruppo (ad es. GRP_Marketing).
• Come Tipo gruppo lasciare selezionato Sicurezza e come Ambito del gruppo lasciare attiva l'opzione Globale.
  

  

  FIG 3 - Centro di amministrazione di Active Directory, Crea Raggruppa

• Cliccare su OK per completare la creazione del gruppo.
  

  

  FIG 4 - Centro di amministrazione di Active Directory, Gruppo GRP_Marketing

Creare un gruppo tramite Utenti e computer di Active Directory

• Da Server Manager cliccare sul menu Strumenti e selezionare Utenti e Computer di Active Directory (Active Directory Users and Computers). In alternativa premere la combinazione di tasti WIN+R digitare dsa.msc e premere invio.
  

  

  FIG 5 - Server Manager, Strumenti, Utenti e computer di Active Directory

• Espandere il dominio mycompany.local quindi cliccare con il tasto destro sull'unità organizzativa Marketing e selezionare Nuovo->Gruppo.
  

  

  FIG 6 - Utenti e computer di Active Directory, nuovo gruppo

• Nella casella Nome gruppo inserire il nome da assegnare al gruppo (ad es. GRP_Marketing), come Tipo gruppo lasciare selezionato Sicurezza e come Ambito del gruppo lasciare attiva l'opzione Globale.
  

  

  FIG 7 - Utenti e computer di Active Directory, Nuovo oggetto gruppo

• Cliccare su OK per la creazione del gruppo.
  

  

  FIG 8 - Utenti e computer di Active Directory, Gruppo GRP_Marketing

Creare un gruppo tramite PowerShell

Per creare un gruppo in Active Directory tramite PowerShell è necessario utilizzare il cmdlet New-ADGroup. 

Sintassi
La sintassi del comando è la seguente
New-ADGroup
   [-WhatIf]
   [-Confirm]
   [-AuthType <ADAuthType>]
   [-Credential <PSCredential>]
   [-Description <String>]
   [-DisplayName <String>]
   [-GroupCategory <ADGroupCategory>]
   [-GroupScope] <ADGroupScope>
   [-HomePage <String>]
   [-Instance <ADGroup>]
   [-ManagedBy <ADPrincipal>]
   [-Name] <String>
   [-OtherAttributes <Hashtable>]
   [-PassThru]
   [-Path <String>]
   [-SamAccountName <String>]
   [-Server <String>]

   [<CommonParameters>]

Parametri

-AuthType 
Specifica il metodo di autenticazione. I valori accettati dal parametro sono:

• Negotiate oppure 0 (default)
• Basic oppure 1

-Confirm
Se specificato, tale parametro mostra la richiesta di conferma prima di eseguire il cmdlet.

-Credential
Specifica un'account utente che ha i permessi necessari per eseguire l'operazione. Se omesso viene considerato l'utente corrente che sta eseguendo il comando. Al parametro può essere passato il nome dell'account, come ad es. "utente01" o "Dominio\utente01" oppure può essere passato un'oggetto PSCredential generato dal cmdlet Get-Credential. Se viene specificato un'account utente verrà richiesto di inserire la password all'esecuzione del comando.

-Description
Permette di specificare la descrizione dell'oggetto. 

-DisplayName
Specifica il display name dell'oggetto.

-GroupCategory
Con questo parametro si va a specificare il tipo di gruppo. I valori accettati sono:

• Distribution oppure 0
• Security oppure 1

-GroupScope
Il parametro specifica l'ambito del gruppo. I valori accettati sono:

• DomainLocal o 0
• Global o 1
• Universal o 2

-HomePage
Permette di specificare l'URL della home page dell'oggetto.

-Instance
Specifica l'istanza di un oggetto di tipo gruppo da usare come template per la creazione di un nuovo gruppo.
E' possibile utilizzare un gruppo già esistente o costruirne uno nuovo utilizzando PowerShell.

Metodo 1: Utilizzare il cmdlet Get-ADGroup per recuperare un oggetto gruppo esistente per poi passarlo al parametro Instance del cmdlet New-ADGroup per creare un nuovo oggetto gruppo. È possibile sovrascrivere i valori delle proprietà del nuovo oggetto impostando i parametri appropriati.

Metodo 2: Creare un nuovo oggetto ADGroup e impostare i valori delle proprietà utilizzando l'interfaccia a riga di comando di PowerShell. Quindi passare questo oggetto al parametro Instance del cmdlet New-ADGroup per creare il nuovo oggetto gruppo.

-ManagedBy
Permette di specificare l'utente o il gruppo che gestisce l'oggetto. L'utente o il gruppo può essere indicato passando al parametro:

• Distinguished name;
• GUID (objectGUID)
• Security identifier (objectSid)
• SAM account name (sAMAccountName)

-Name
Il parametro permette di impostare il nome dell'oggetto.

-OtherAttributes
Specifica i valori degli attributi degli oggetti per gli attributi che non sono rappresentati dai parametri del cmdlet. 
Per specificare un singolo valore per un attributo
-OtherAttributes @{'AttributeLDAPDisplayName'=value}
Per specificare valori multipli per un attributo
-OtherAttributes @{'AttributeLDAPDisplayName'=value1,value2,...}
Per specificare valori per più attributi è necessario separare gli attributi da un punto e virgola
-OtherAttributes @{'Attribute1LDAPDisplayName'=value; 'Attribute2LDAPDisplayName'=value1,value2;...}

-PassThru
Restituisce un oggetto che rappresenta l'item su cui si sta lavorando. Per impostazione predefinita, il cmdlet non genera alcun output.

-Path
Specifica il path X.500 dell'unità organizzativa o del container dove verrà creato il nuovo oggetto.

-Server
Permette di specificare l'istanza di Active Directory Domain Services a cui connettersi per la creazione di un nuovo gruppo.

-WhatIf
Mostra cosa accadrebbe se venisse eseguito il cmdlet. Il cmdlet non viene eseguito.


Creare un gruppo in Active Directory tramite New-ADGroup
Per creare il gruppo GRP_Marketing all'interno della OU Marketing, avviare Windows PowerShell (amministratore) ed eseguire il comando
New-ADGroup -GroupCategory:"Security" -GroupScope:"Global" -Name:"GRP_Marketing" -Path:"OU=Marketing,DC=mycompany,DC=local" -SamAccountName:"GRP_Marketing" -Server:"Server1DC.mycompany.local"

FIG 9 - Windows Server 2019, Creare un gruppo in Active Directory tramite PowerShell

Come già visto per gli account utente nell'articolo Windows Server 2019: Aggiungere un account utente al dominio, per velocizzare la creazione di numerosi gruppi è possibile creare un file CSV con i valori dei parametri (FIG 10).

FIG 10 - File CSV contenente l'elenco dei gruppi da creare

Una volta creato il file sul server (nell'esempio al file è stato assegnato il nome GroupAD.csv e copiato in C:\) andremo ad eseguire il seguente comando in Windows PowerShell (amministratore) che aggiunge i gruppi elencati all'interno del file al dominio.
Import-Csv -Path C:\GroupAD.csv | ForEach-Object {New-ADGroup -GroupCategory:$_.GroupCategory -GroupScope:$_.GroupScope -Name:$_.Name -Path:$_.Path -SamAccountName:$_.SamAccountName -Server:$_.Server}

FIG 11 - PowerShell, import del file CSV e creazione dei gruppi in AD

Il file CSV e il file di testo contenente il comando in PowerShell possono essere scaricati dal seguente link
DOWNLOAD

Windows Server 2019: Aggiungere un account utente al dominio

Negli articoli precedenti è stato mostrato come creare una foresta/dominio e come aggiungervi unità organizzative. In questo articolo verrà mostrato come creare account utente all'interno del dominio.
Per default un utente che appartiene al dominio, a prescindere dalla unità organizzativa di appartenenza, può eseguire il logon su qualsiasi workstation del dominio stesso. In maniera analoga a quanto già visto per la creazione delle unità organizzative, la creazione di un nuovo account utente all'interno del dominio può essere eseguita con lo strumento Utenti e Computer di Active Directory, mediante l'utilizzo del Centro di amministrazione di Active Directory oppure tramite PowerShell. 
Prima di mostrare come aggiungere un nuovo utente al dominio è opportuno decidere uno standard da adottare relativamente ai nomi degli account utenti utilizzati per il logon. L'account utente dovrà essere univoco all'interno dell'intero dominio e può essere composto da caratteri alfanumerici e caratteri speciali ad eccezione di " / \ [ ] : ; | = , + * ? < >. Anche se gli spazi sono supportati è sconsigliabile utilizzarli all'interno dei logon name. Alcuni metodi comuni adottati prevedono l'utilizzo della prima lettera del nome seguito dal cognome, NomeCognome senza spazi, nome.cognome, matricola dipendente, ecc. Ciò non toglie che possiamo utilizzare un metodo a noi più congeniale e, per una questione di uniformità, è raccomandato applicare lo stesso metodo per tutti gli utenti che verranno aggiunti al dominio.

Creazione nuovo utente nel dominio tramite Utenti e Computer di Active Directory 

• Da Server Manager cliccare sul menu Strumenti e selezionare Utenti e computer di Active Directory. In alternativa premere la combinazione di tasti WIN+R, digitare dsa.msc e premere invio.
  

  

  FIG 1 - Server Manager, Utenti e computer di Active Directory

• Andremo a creare il nostro primo utente all'interno dell'unità organizzativa Utenti presente in Direzione. Espandere il dominio e l'unità organizzativa Direzione quindi selezionare l'unità organizzativa Utenti presente al suo interno.
• Cliccare sull'icona Crea nuovo utente nel contenitore corrente (in alternativa cliccare con il tasto destro del mouse sull'unità organizzativa Utenti, selezionare Nuovo quindi Utente dal menu contestuale).
  

  

  FIG 2 - Utenti e computer di Active Directory, Crea nuovo utente nel contenitore corrente

• Compilare i campi della nuova finestra di dialogo con il nome e cognome dell'utente da creare. Nella casella Nome accesso utente va inserito un identificativo con cui l'utente potrà effettuare il logon sulle workstation di dominio. Tale identificativo dovrà essere univoco sull'intero dominio. Una volta compilati i campi richiesti cliccare su Avanti per proseguire.
  

  

  FIG 3 - Utenti e computer di Active Directory, Nuovo oggetto utente

• Il passo successivo consiste nello specificare una password per l'utente appena creato. La password deve soddisfare i requisiti minimi di complessità: deve contenere almeno una lettera maiuscola, almeno un carattere numerico e avere una lunghezza di almeno 7 caratteri. In questa finestra possiamo impostare diverse opzioni:
  Cambiamento obbligatorio password all'accesso successivo
  Si tratta dell'opzione selezionata di default. Solitamente in questi casi l'amministratore specifica una password temporanea che l'utente dovrà cambiare al primo logon con una a propria scelta.
  Cambiamento password non consentito
  Selezionando tale opzione si impedisce all'utente di modificare la password. Per impedire il blocco dell'account alla scadenza della password, insieme a questa opzione va selezionata anche Nessuna scadenza password. Per default, se non diversamente specificato, la password dell'utente scadrà dopo 42 giorni.
  Nessuna scadenza password
  Abilitare tale opzione se non si vuole che la password dell'utente scada.
  Account disabilitato
  Selezionando l'opzione Account disabilitato l'utenza verrà comunque creata ma l'utente non potrà eseguire il logon al dominio finché il suo account non verrà abilitato.
  Per la creazione di questo primo utente specifichiamo una password temporanea e lasciamo attiva solo l'opzione Cambiamento obbligatorio password all'accesso successivo in modo da costringere l'utente a modificarla al primo logon. Cliccare su Avanti per proseguire.
  

  

  FIG 4 - Password account utente

• Nella finestra di dialogo successiva verrà mostrato un riepilogo delle informazioni del nuovo utente. Cliccare su Fine per procedere alla creazione dell'account.
  

  

  FIG 5 - Riepilogo impostazioni nuovo account utente

• L'account è stato creato nel percorso specificato.
  

  

  FIG 6 - Account utente creato in Active Directory

Creazione nuovo utente nel dominio tramite Centro di amministrazione di Active Directory 

• Da Server Manager cliccare sul menu Strumenti e selezionare Centro di amministrazione di Active Directory. In alternativa premere la combinazione di tasti WIN+R, digitare dsac.exe e premere invio.

  

  FIG 7 - Server Manager, Centro di amministrazione di Active Directory

• Sul pannello laterale di sinistra selezionare il proprio dominio (mycompany.local) quindi nel pannello centrale cliccare due volte sull'unità organizzativa Direzione e successivamente eseguire la stessa operazione su Utenti.
  

  

  FIG 8 - Unità Organizzativa Direzione

• Nel pannello Attività (sulla destra della finestra) cliccare su Nuovo e selezionare Utente (in alternativa cliccare con il tasto destro del mouse in una parte vuota del pannello centrale e selezionare Nuovo->Utente).
  

  

  FIG 9 - Centro di amministrazione di Active Directory, Nuovo account utente

• Come visibile dalla finestra di dialogo che appare, ci è possibile inserire molte più informazioni rispetto a quanto visto con lo strumento Utenti e Computer di Active Directory. Una volta inserito Nome, Cognome, la password, Accesso Utente UPN e SamAccountName, cliccare su OK per creare l'account utente.
  

  

  FIG 10 - Centro di amministrazione di Active Directory, Crea Utente

Creazione nuovo utente nel dominio con PowerShell

Per la creazione di un account utente in AD tramite PowerShell va utilizzato il cmdlet New-ADUser. Anche questo cmdlet, come già visto per le unità organizzative nell'articolo Windows Server 2019: Creare un'unità organizzativa tramite PowerShell, richiede l'utilizzo dei Distinguished Name.
Quello che andiamo a fare è creare un nuovo utente all'interno dell'unità organizzativa Utenti contenuta in Direzione all'interno del nostro dominio mycompany.local. Il comando PowerShell da eseguire è

New-ADUser -Path "OU=Utenti,OU=Direzione,DC=mycompany,DC=local" -AccountPassword (ConvertTo-SecureString Password123 -AsPlainText -force) -Name "Giovanni Lubrano Lavadera" -Givenname Giovanni -Surname "Lubrano Lavadera" -DisplayName "Giovanni Lubrano Lavadera" -SamAccountName "Giovanni.Lubrano"  -UserPrincipalName "Giovanni.Lubrano@mycompany.local" -ChangePasswordAtLogon 1 -Enabled 1

Parametri
-Path Al parametro path va passato il percorso (Distinguished Name) in cui creare il nuovo account utente.
-AccountPassword Consente di specificare la password da assegnare al nuovo account. Il valore viene memorizzato come stringa cifrata. Prima di poter passare la password a -AccountPassword questa va convertita in una SecureString con il comando ConvertTo-SecureString. 
-Name Specifica il nome dell'oggetto (proprietà Name dell'oggetto user).
-Givenname Nome dell'utente.
-Surname Cognome dell'utente.
-DisplayName Specifica il DisplayName dell'oggetto.
-SamAccountName Specifica il nome Security Account Manager (SAM) per l'account utente. La lunghezza della stringa può arrivare a 256 caratteri ma per compatibilità con i vecchi sistemi operativi si consiglia di limitare la lunghezza a un massimo di 20 caratteri.
-UserPrincipalName User Principal Name (UPN) rappresenta il nome dell'utente in un formato analogo all'email. Un UPN è formato dal logon name, dal separatore/simbolo '@' e dal nome dominio (suffisso UPN).
-ChangePasswordAtLogon Necessita in input di un valore di tipo Boolean. A tale parametro può essere passato il valore 0 (per FALSO) o 1 (per VERO). Passando il valore 1 si forza l'utente a modificare la password al primo logon eseguito con la password temporanea (Password123).
-Enabled Anche tale parametro richiede in input un valore Boolean. Passandogli il valore 1 si indica che l'account creato è abilitato.

FIG 11 - PowerShell, Creazione nuovo account utente in Active Directory

Per velocizzare l'inserimento di numerosi account utente all'interno del dominio è possibile preparare un file CSV (comma-separated values): un file di testo contenente le informazioni degli utenti,separati da virgole, da aggiungere al dominio. Il file sarà simile a quello mostrato in FIG 12.

FIG 12 - File CSV contenete l'elenco degli utenti da aggiungere al dominio

Una volta creato il file sul server (nell'esempio al file è stato assegnato il nome UserAD.csv e copiato in C:\) andremo ad eseguire il seguente comando in Windows PowerShell (amministratore) che aggiunge gli utenti elencati all'interno del file al dominio.
Import-Csv -Path C:\UserAD.csv | ForEach-Object {New-ADUser -Path $_.ou -AccountPassword (ConvertTo-SecureString Password123 -AsPlainText -force) -Name $_.name -Givenname $_.fname -Surname $_.lname -DisplayName $_.name -SamAccountName $_.sam  -UserPrincipalName $_.email -ChangePasswordAtLogon 1 -Enabled 1}

FIG 13 - PowerShell, Import del file CSV e creazione account utente all'interno del dominio

FIG 14 - Account utente importati dal file CSV tramite PowerShell

Il file CSV e il file di testo contenente il comando in PowerShell possono essere scaricati dal seguente link

DOWNLOAD

Windows Server 2019: Visualizzare il Distinguished Name di un oggetto in AD tramite GUI

Nell'articolo Windows Server 2019: Creare un'unità organizzativa tramite PowerShell abbiamo parlato del Lightweight Directory Access Protocol (LDAP) e del Distinguished Name (DN). Per visualizzare il Distinguished Name di un oggetto tramite GUI è possibile utilizzare il Centro di amministrazione di Active Directory oppure Utenti e computer di Active Directory.

Visualizzare il Distinguished Name di un oggetto tramite Centro di amministrazione di Active Directory

• Da Server Manager cliccare sul menu Strumenti e selezionare Centro di amministrazione di Active Directory. In alternativa premere la combinazione di tasti WIN+R, digitare dsac.exe e premere invio.

  

  FIG 1 - Server Manager, Centro di amministrazione di Active Directory

• Selezionare l'oggetto desiderato in Active Directory. Cliccare sull'oggetto con il tasto destro del mouse e selezionare Proprietà (in alternativa cliccare sul link Proprietà presente all'interno del pannello Attività).
  

  

  FIG 2 - Centro di amministrazione di Active Directory, Proprietà oggetto

• Sul lato sinistro della finestra relativa alle proprietà dell'oggetto cliccare su Estensioni. Selezionare la scheda Editor attributi quindi eseguire un doppio clic sull'attributo distinguishedName.
  

  

  FIG 3 - Centro di amministrazione di Active Directory, Attributo distinguishedName

• Come visibile in FIG 4 verrà aperta una finestra di dialogo con il Distinguished Name dell'oggetto selezionato (OU=Computer,OU=Direzione,DC=mycompany,DC=local).
  

  

  FIG 4 -  Centro di amministrazione di Active Directory, Editor attributo distinguishedName

Visualizzare il Distinguished Name di un oggetto tramite Utenti e computer di Active Directory

• Da Server Manager cliccare sul menu Strumenti e selezionare Utenti e Computer di Active Directory (Active Directory Users and Computers). In alternativa premere la combinazione di tasti WIN+R digitare dsa.msc e premere invio.
  

  

  FIG 5 - Server Manager, Strumenti, Utenti e computer di Active Directory

• Dal menu Visualizza di Utenti e computer di Active Directory selezionare Funzionalità avanzate.
  

  

  FIG 6 - Utenti e computer di Active Directory, Funzionalità avanzate

• Cliccare con il tasto destro del mouse sull'oggetto in AD desiderato e selezionare Proprietà dal menu contestuale.
  

  

  FIG 7 -  Utenti e computer di Active Directory, Proprietà oggetto in AD

• Selezionare la scheda Editor attributi quindi eseguire un doppio clic sull'attributo distinguishedName.
  

  

  FIG 8 - Utenti e computer di Active Directory, Attributo DN

• In una nuova finestra di dialogo verrà mostrato il Distinguished Name dell'oggetto selezionato.
  

  

  FIG 9 - Utenti e computer di Active Directory, Editor Attributo distinguishedName

Visualizzare statistiche dei download Torrent per indirizzo IP

Un sito utile per la visualizzazione delle statistiche di download dei Torrent in base all'indirizzo IP è https://iknowwhatyoudownload.com. Si tratta di un sito per certi versi molto interessante che dimostra come la privacy sia una cosa molto difficile da preservare. Chi utilizza il protocollo BitTorrent per il download e la condivisione dei contenuti, accedendo alla homepage del sito si troverà dinanzi ad un elenco, abbastanza attendibile, degli ultimi Torrent scaricati. IKnowWhatYouDownload basa le proprie statistiche rilevando i dati dai siti di Torrent, dai tracker  e dalla rete DHT (Distributed Hash Table).

FIG 1 - IKnowWhatYouDownload, statistiche Torrent scaricati

Oltre alle statistiche relative al proprio indirizzo IP il sito permette di specificare e verificare le statistiche relative ad altri indirizzi, visualizzare le statistiche giornaliere relative al paese di appartenenza dell'indirizzo IP e quelle globali annuali sui Torrent più scaricati.

Un ulteriore strumento messo a disposizione dal sito prevede la possibilità di tracciare l'attività BitTorrent di un amico inviandogli uno speciale link camuffato. 

• All'interno della homepage cliccare sul link spy on them via special generated link.
• Nell'apposita casella specificare un link da condividere con l'amico che si intende spiare (ad es. digitare http://facebook.com) e cliccare sul pulsante Transform.
  

  

  FIG 2 - Generazione link camuffato da inviare ad amico

• Copiare il link generato e inviarlo all'amico. Quando quest'ultimo aprirà il link verrà dirottato all'indirizzo da noi specificato (facebook.com) mentre la pagina che abbiamo a video verrà aggiornata con le statistiche BitTorrent del nostro amico.
  

  

  FIG 3 - Link da inviare e visualizzazione delle statistiche

I risultati di IKnowWhatYouDownload non sono attendibili al 100%. Basandosi su indirizzi IP e considerando che le connessioni domestiche dispongono di un indirizzo IP dinamico, ne consegue che i risultati del tool vanno presi con le molle. 

Windows 7: Supporto esteso fino al 2023

Windows 7 ha fatto il suo debutto nel lontano 2009 ed è stato uno dei sistemi operativi più apprezzati dagli utenti tanto da indurre Microsoft a supportarlo e ad aggiornarlo per oltre 10 anni. Il supporto per questo sistema operativo è terminato il 14 gennaio 2020 e non verranno più rilasciati aggiornamenti di sicurezza. Per venire incontro alle aziende che dispongono ancora di numerose macchine con Windows 7, Microsoft ha istituito un programma di aggiornamenti di sicurezza estesa (Extended Security Updates, Esu) che può essere sottoscritto, a pagamento, unicamente dalle aziende. La copertura per gli aggiornamenti di sicurezza è fornita per tre periodi consecutivi di 12 mesi ciascuno (tre anni) a prezzi crescenti. Per maggiori dettagli sul programma di aggiornamenti ESU è possibile consultare la pagina https://support.microsoft.com/it-it/help/4527878/faq-about-extended-security-updates-for-windows-7

La community di My Digital Life ha sviluppato il tool BypassESU che, 
bypassando la verifica della chiave Esu,  consente l’installazione e l’attivazione del supporto esteso su qualsiasi sistema Windows 7/Windows Server 2008 R2 e senza dover pagare la licenza annuale. Ovviamente è da tenere in considerazione che, trattandosi di una soluzione non legale, Microsoft potrebbe intervenire e bloccare il funzionamento del tool da un momento all'altro lasciando gli utenti privi di protezione.

Dopo aver effettuato la registrazione gratuita al sito e completata l'autenticazione è possibile scaricare il tool dal seguente link
https://forums.mydigitallife.net/threads/bypass-windows-7-extended-security-updates-eligibility.80606/

FIG 1 - My Digital Life, BypassESU

Il file va scompattato utilizzando la password presente sul forum. Al suo interno sono presenti tre file:
- _ReadMe.txt contenente istruzioni e informazioni sul tool.
- Installer.bat che consente l'installazione/attivazione del supporto esteso.
- Remover.bat che rimuove l'attivazione del supporto esteso.

Cliccare con il tasto destro del mouse sul file Installer.bat e selezionare Esegui come amministratore. Rispondere affermativamente all'eventuale messaggio relativo al UAC e attendere il completamento dell'installazione.

FIG 2 - Installazione BypassEsu

Il tool consente solo di installare gli aggiornamenti ESU. Gli aggiornamenti non verranno installati tramite Windows Update ma vanno scaricati manualmente, ad esempio, tramite il sito  Microsoft Update Catalog https://www.catalog.update.microsoft.com.

E' possibile verificare il rilascio di aggiornamenti tramite KB consultando la seguente discussione
https://forums.mydigitallife.net/threads/19461/

Windows Server 2019: Creare un'unità organizzativa tramite PowerShell

Windows Server 2019 è stato rilasciato con integrato Powershell 5.1. L'ultima versione di PowerShell è, al momento, la 6.0 che può essere installata sia in Windows Server 2019 che in Windows 10.
PowerShell integra numerosi comandi che possono essere utilizzati, tra le altre cose, per controllare/configurare i server all'interno di un dominio. Sui server domain controller risulteranno già installati le estensioni PowerShell relative ad Active Directory che ci consentiranno di creare una nuova unità organizzativa. 

Per verificare la versione di Powershell installata sul server

• Cliccare con il tasto destro del mouse sul menu Start o premere la combinazione di tasti Win+X e cliccare su Windows PowerShell (amministratore).
• Eseguire il comando
  $PSVersionTable.PSVersion

FIG 1 - Windows Server 2019, Versione PowerShell

Lightweight Directory Access Protocol e Distinguished Name

Prima di mostrare come aggiungere una nuova unità organizzativa tramite PowerShell è necessario fare un accenno veloce ad alcuni argomenti come LDAP e DN.
Active Directory utilizza il protocollo Lightweight Directory Access Protocol (LDAP) per le interrogazioni. Per identificare in maniera univoca un oggetto all'interno di Active Directory, LDAP utilizza il Distinguished Name (DN). Il formato utilizzato da DN per identificare un oggetto è tipo_oggetto=Nome_oggetto e più oggetti sono separati da virgola.
Ad es. il dominio mycompany.local è composto da due componenti di dominio (mycompany e local) e da DN vengono rappresentati come oggetti di tipo DC (domain component) nel seguente modo
dc=mycompany,dc=local

Le unità organizzative sono oggetti di tipo OU (organizational unit) mentre i container Users e Computers vengono identificati come tipo CN (common name).

L'unità Organizzativa Direzione creata nell'articolo Windows Server 2019: Creare un'unità organizzativa (Organizational Unit) ha il seguente DN:
ou=Direzione,dc=mycompany,dc=local

Il container Users viene identificato dal Distinguished Name
cn=Users,dc=mycompany,dc=local

Un account utente con nome Elmer.Fudd presente all'interno dell'unità organizzativa Utenti in Direzione avrà il seguente DN
cn=Elmer.Fudd,ou=Utenti,ou=Direzione,dc=mycompany,dc=local

Dopo questo doveroso chiarimento, vediamo come procedere alla creazione di una nuova unità organizzativa tramite PowerShell.

Creazione di una nuova unità organizzativa mediante PowerShell

Per creare una nuova UO con nome Vendite all'interno del nostro dominio basta eseguire da PowerShell il comando
New-ADOrganizationalUnit –Name Vendite –Server server1DC.mycompany.local –Path "DC=mycompany,DC=local"
Parametri
-Name specifica il nome della UO da creare.
-Server specifica il domain controller dove si intende creare l'UO
-Path a tale parametro va passato il percorso (Distinguished Name) in cui creare l'unità organizzativa.


come visibile da FIG 2 e FIG 3 , l'unità organizzativa specificata è stata creata correttamente. 

FIG 2 - Windows Server 2019, Creazione nuova OU tramite PowerShell

FIG 3 - Windows Server 2019, Nuova OU creata tramite PowerShell

Il fatto che tali operazioni possano essere eseguite da PowerShell consente la creazione di script per automatizzare l'operazione.