Utilizzo dell'Editor criteri di gruppo per modificare il PC

2024 Autore: Geoffrey Carr | [email protected]. Ultima modifica: 2023-12-17 10:55

Nella lezione di Geek School di oggi, spiegheremo come utilizzare l'editor Criteri di gruppo locali per apportare modifiche al PC che non sono disponibili in altro modo.

NAVIGAZIONE SCOLASTICA

Utilizzo di Utilità di pianificazione per l'esecuzione di processi successivi
Utilizzo del Visualizzatore eventi per la risoluzione dei problemi
Comprensione del partizionamento del disco rigido con Gestione disco
Imparare ad usare l'editor del registro come un professionista
Monitoraggio del PC con Resource Monitor e Task Manager
Comprensione del pannello Proprietà avanzate del sistema
Comprendere e gestire i servizi di Windows
Utilizzo dell'Editor criteri di gruppo per modificare il PC
Informazioni sugli strumenti di amministrazione di Windows

Dovremmo notare in anticipo che l'editor Criteri di gruppo è disponibile solo nelle versioni Pro di Windows: gli utenti di Home o Home Premium non potranno accedervi. Vale comunque la pena di imparare qualcosa.

I criteri di gruppo sono un modo davvero potente per configurare una rete aziendale con tutti i computer bloccati in modo che gli utenti non possano incasinarli con modifiche indesiderate e impedire loro di eseguire software non approvato, tra molti altri usi.

Nell'ambiente domestico, tuttavia, probabilmente non si desidera impostare restrizioni sulla lunghezza della password o forzare se stessi a cambiare la password. E probabilmente non avrai bisogno di bloccare le tue macchine per eseguire solo specifici eseguibili approvati.

Ci sono molte altre cose che puoi configurare, come disabilitare le funzionalità di Windows che non ti piacciono, bloccare alcune applicazioni da eseguire o creare script che vengono eseguiti durante l'accesso o la disconnessione.

Capire l'interfaccia

L'interfaccia è molto simile a tutti gli altri strumenti di amministrazione: la vista ad albero sulla sinistra consente di cercare le impostazioni in una struttura gerarchica delle cartelle, c'è un elenco di impostazioni e un pannello di anteprima che fornisce ulteriori informazioni sulla particolare impostazione.

Esistono due cartelle principali di cui tenere conto:

Configurazione del computer - detiene le impostazioni che vengono applicate ai computer indipendentemente da quale utente sta effettuando l'accesso.
Configurazione utente - mantiene le impostazioni applicate agli account utente.

Sotto ciascuna di queste cartelle ci sono un paio di cartelle che ti permettono di approfondire ulteriormente le impostazioni disponibili:

Impostazioni del software - questa cartella è pensata per le configurazioni relative al software ed è vuota per impostazione predefinita sul client Windows.
Impostazioni di Windows - questa cartella contiene le impostazioni di sicurezza e gli script per l'accesso / disconnessione e l'avvio / arresto.
Modelli amministrativi - questa cartella contiene configurazioni basate sul registro, che sono essenzialmente un modo rapido per modificare le impostazioni sul tuo computer o per il tuo account utente. Ci sono molte impostazioni disponibili.

Modificare le regole di sicurezza

Se dovessi fare doppio clic sulla voce "Impedisci l'accesso al prompt dei comandi" dallo screenshot in alto, ti verrebbe presentata una finestra simile a questa: in effetti, la maggior parte delle impostazioni in Administrative Templates andranno a cercare simile.

Questa particolare impostazione consentirebbe di bloccare l'accesso al prompt dei comandi per gli utenti sul PC. È inoltre possibile configurare le impostazioni all'interno della finestra di dialogo per bloccare anche i file batch.

Un'altra opzione nella stessa cartella ti consente di creare un'impostazione per "Esegui solo applicazioni Windows specificate" - devi configurare l'impostazione su Abilitato e quindi fornire un elenco di applicazioni consentite. Tutto il resto sarebbe bloccato dalla corsa.

In questo caso, se dovessi eseguire un'applicazione che non è presente nell'elenco, verrà visualizzato un messaggio di errore come questo.

Vale la pena notare che incasinare regole come questa potrebbe bloccarti dal tuo PC se fai qualcosa di sbagliato, quindi fai attenzione.

Modifica delle impostazioni UAC per la sicurezza

Sotto Configurazione computer -> Impostazioni di Windows -> Impostazioni di sicurezza -> Criteri locali -> Cartella Opzioni di sicurezza, troverai una serie di impostazioni interessanti per rendere il tuo computer un po 'più sicuro.

La prima opzione può essere trovata in quella cartella come la voce "Controllo account utente: Comportamento del prompt di elevazione per gli amministratori", e se si sceglie "Richiedi credenziali sul desktop protetto", forza l'utente (o un altro utente) a inserisci la tua password ogni volta che tenti di eseguire qualcosa in modalità amministratore.

Questa opzione fa sì che Windows funzioni più come Linux o Mac, dove ti viene chiesto di fornire la tua password ogni volta che devi apportare una modifica, e dal momento che Secure Desktop non consente ad altre applicazioni di interferire con la finestra di dialogo, è molto di più sicuro.

Controllo account utente: elevi solo gli eseguibili firmati e convalidati - questa opzione vieta alle applicazioni che non sono firmate digitalmente di essere eseguite come amministratore.
Console di ripristino, consentire l'accesso amministrativo automatico - Quando è necessario utilizzare la console di ripristino per eseguire attività di sistema, in genere è necessario fornire la password dell'amministratore. Se ti è capitato di dimenticare quella password, questo ti permetterebbe di entrare per resettarlo più facilmente. (E dato che puoi cancellare facilmente una password di Windows, non è molto meno sicuro).

Una cosa che vale la pena notare è che molte delle politiche nell'elenco non si applicano effettivamente a tutte le versioni di Windows. Ad esempio, nello screenshot sottostante, l'impostazione "Rimuovi i documenti personali" è disponibile solo per Windows XP e 2000.Alcune altre politiche diranno "Almeno Windows XP" o qualcosa del genere, il che significherebbe che continueranno a funzionare su tutte le versioni.

Ci sono un numero enorme di impostazioni nell'editor Criteri di gruppo, quindi è sicuramente la pena passare un po 'di tempo a guardarli se sei curioso. La maggior parte delle impostazioni ti consente di disabilitare le funzionalità di Windows che non ti piacciono particolarmente: pochissime offrono funzionalità che non avevi per impostazione predefinita.

Impostazione degli script da eseguire all'accesso, disconnessione, avvio o spegnimento

Ancora un altro esempio di qualcosa che puoi fare solo usando l'editor Criteri di gruppo è impostare uno script di disconnessione o di spegnimento da eseguire ogni volta che riavvii il PC.

Questo può essere davvero utile per ripulire il sistema o eseguire un backup rapido di determinati file ogni volta che si spegne e si possono usare i file batch o anche gli script di PowerShell per entrambi. L'unica avvertenza è che questi script devono essere eseguiti in modo invisibile o bloccano il processo di disconnessione.

Esistono due diversi tipi di script che è possibile eseguire.

Script Startup / Shutdown - Questi script si trovano in Configurazione computer -> Impostazioni di Windows -> Script e verranno eseguiti con l'account Sistema locale, in modo che possano manipolare i file di sistema, ma non verranno eseguiti come account utente.
Logon / Logoff Scripts - Questi script si trovano in Configurazione utente -> Impostazioni di Windows -> Script e verranno eseguiti con il tuo account utente.

Vale la pena notare che gli script di accesso e disconnessione non ti permetteranno di eseguire programmi di utilità che richiedono l'accesso come amministratore, a meno che tu non abbia completamente disabilitato il controllo dell'account utente.

Per l'esempio di oggi, creeremo uno script di disconnessione andando a Configurazione utente -> Impostazioni di Windows -> Script e facendo doppio clic su Disconnessione.

La finestra Proprietà disconnessione consente di aggiungere più script di disconnessione per l'esecuzione.

È inoltre possibile configurare gli script di PowerShell.

La cosa veramente importante da notare qui è che gli script devono essere in una cartella particolare affinché possano funzionare correttamente.

Gli script di accesso e disconnessione dovranno essere nelle seguenti cartelle:

C: Windows System32 GroupPolicy User Scripts disconnessione
C: Windows System32 GroupPolicy User Scripts Logon

Mentre gli script di avvio e arresto devono essere presenti in queste cartelle:

C: Windows System32 GroupPolicy Machine Scripts Shutdown
C: Windows System32 GroupPolicy Machine Scripts Startup

Una volta configurato lo script di disconnessione, puoi testarlo - abbiamo impostato un semplice script che ha creato un file di testo sul desktop, quindi disconnesso e ripristinato. Ma potresti farlo fare tutto ciò che volevi.

E, naturalmente, se si stesse eseguendo uno script di accesso, potrebbe effettivamente avviare le applicazioni.

Una cosa importante da notare è che se lo script richiede l'input dell'utente, Windows si bloccherà durante l'arresto o la disconnessione per 10 minuti prima che lo script venga ucciso e Windows possa riavviarsi. Questo è qualcosa che dovresti assolutamente tenere a mente durante la progettazione del tuo script.

Criteri di gruppo non finisce qui

Abbiamo appena scalfito la superficie per ciò che i Criteri di gruppo possono realmente fare e, in un ambiente di dominio aziendale, è uno degli strumenti più potenti e importanti a tua disposizione. Poiché questa serie non riguarda gli utenti IT, non ci occuperemo del resto, ma vale la pena di fare qualche ricerca da soli.