Informazioni sugli account di gruppo

I gruppi predefiniti, ad esempio il gruppo Domain Admins, sono gruppi di sicurezza creati automaticamente durante la creazione di un dominio Active Directory. È possibile utilizzare questi gruppi predefiniti per controllare l'accesso a risorse condivise e per delegare ruoli amministrativi specifici a livello di dominio.

A molti gruppi predefiniti viene assegnato automaticamente un insieme di diritti utente che autorizzano i membri del gruppo a effettuare azioni specifiche in un dominio, ad esempio accedere a un sistema locale o eseguire il backup di file e cartelle. Un membro del gruppo Backup Operators, ad esempio, ha il diritto di eseguire le operazioni di backup per tutti i controller di dominio nel dominio.

Quando si aggiunge un utente a un gruppo, l'utente riceve quanto segue:

• Tutti i diritti utente assegnati al gruppo
  
  
• Tutte le autorizzazioni assegnate al gruppo per le risorse condivise
  
  

I gruppi predefiniti si trovano nei contenitori Builtin e Users. L'ambito dei gruppi predefiniti nel contenitore Builtin è locale incorporato. L'ambito e il tipo di questi gruppi non può essere modificato. Il contenitore Users include gruppi definiti con un ambito globale e gruppi definiti con un ambito locale di dominio. È possibile spostare i gruppi che si trovano in questi contenitori in altri gruppi o in altre unità organizzative all'interno del dominio, ma non è possibile spostarli in altri domini.

Per ulteriori informazioni sui gruppi predefiniti, vedere la pagina relativa (https://go.microsoft.com/fwlink/?LinkId=131422).

I gruppi sono caratterizzati da un ambito che identifica il campo di applicazione del gruppo in un albero di dominio o in una foresta. Sono disponibili tre ambiti di gruppo, ovvero locale di dominio, globale e universale.

In Servizi di dominio Active Directory esistono due tipi di gruppi, ovvero gruppi di distribuzione e gruppi di sicurezza. È possibile utilizzare i gruppi di distribuzione per creare liste di distribuzione per posta elettronica e i gruppi di sicurezza per assegnare autorizzazioni per le risorse condivise.

È possibile utilizzare i gruppi di distribuzione solo con applicazioni di posta elettronica, ad esempio Microsoft Exchange Server 2007, per inviare posta elettronica a insiemi di utenti. I gruppi di distribuzione non sono dotati di funzioni di sicurezza, quindi non possono essere inclusi negli elenchi di controllo di accesso discrezionali (DACL). Se è necessario un gruppo per controllare l'accesso a risorse condivise, creare un gruppo di sicurezza.

Se utilizzati con attenzione, i gruppi di sicurezza rappresentano un modo efficiente per concedere l'accesso alle risorse in rete. Utilizzando i gruppi di sicurezza è possibile:

• Assegnare diritti utente a gruppi di sicurezza in Servizi di dominio Active Directory.
  
  I diritti utente vengono assegnati a un gruppo di sicurezza per determinare quali operazioni possono effettuare i membri di quel gruppo all'interno dell'ambito di un dominio o di una foresta. I diritti utente vengono assegnati automaticamente ad alcuni gruppi di sicurezza durante l'installazione di Servizi di dominio Active Directory per consentire agli amministratori di definire il ruolo amministrativo di un utente nel dominio. Ad esempio, un utente aggiunto al gruppo Backup Operators in Active Directory ha la possibilità di eseguire il backup e il ripristino di file e directory in ogni controller di dominio nel dominio.
  
  
• Assegnare autorizzazioni per le risorse a gruppi di sicurezza.
  
  Le autorizzazioni si differenziano dai diritti utente. Le autorizzazioni definiscono chi può accedere a una risorsa condivisa e determinano il livello di accesso, ad esempio Controllo completo. È possibile utilizzare i gruppi di sicurezza per gestire l'accesso e le autorizzazioni per una risorsa condivisa. Alcune autorizzazioni impostate sugli oggetti dominio sono assegnate automaticamente per attribuire vari livelli di accesso ai gruppi di sicurezza predefiniti, ad esempio il gruppo Account Operators o Domain Admins.
  
  

Analogamente ai gruppi di distribuzione, i gruppi di sicurezza possono essere utilizzati come entità di posta elettronica. Inviando un messaggio di posta elettronica al gruppo si invia il messaggio a tutti i membri del gruppo.

Oltre ai gruppi presenti nei contenitori Users e Builtin, i server che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 includono diverse identità speciali. Per comodità tali identità vengono generalmente considerate gruppi. Questi gruppi speciali non dispongono di appartenenze specifiche che possono essere modificate. Essi possono rappresentare utenti diversi in orari diversi, a seconda delle circostanze. I gruppi seguenti rappresentano identità speciali:

• Accesso anonimo
  
  Questo gruppo rappresenta utenti e servizi che accedono a un computer e alle sue risorse attraverso la rete senza utilizzare un nome di account, una password o un nome di dominio. Nei computer che eseguono Windows NT e versioni precedenti, il gruppo Accesso anonimo è un membro predefinito del gruppo Everyone. Nei computer che eseguono Windows Server 2008 R2, Windows Server 2008 o Windows Server 2003 il gruppo Accesso anonimo non è un membro predefinito del gruppo Everyone.
  
  
• Everyone
  
  Questo gruppo rappresenta tutti i gli utenti correnti della rete, inclusi i guest e gli utenti di altri domini. Ogni volta che un utente accede alla rete, viene aggiunto automaticamente al gruppo Everyone.
  
  
• Network
  
  Questo gruppo rappresenta gli utenti che accedono a una determinata risorsa attraverso la rete, diversamente dagli utenti che accedono a tale risorsa connettendosi localmente al computer in cui si trova. Ogni volta che un utente accede a una determinata risorsa attraverso la rete, viene aggiunto automaticamente al gruppo Network.
  
  
• Interactive
  
  Questo gruppo rappresenta tutti gli utenti connessi a un determinato computer e che accedono a un risorsa che si trova in quel computer, diversamente dagli utenti che accedono a quella risorsa attraverso la rete. Ogni volta che un utente accede a una determinata risorsa nel computer in cui è attualmente connesso, viene aggiunto automaticamente al gruppo Interactive.
  
  

Sebbene alle identità speciali sia possibile assegnare diritti e autorizzazioni per le risorse, non è possibile modificarne o visualizzarne le appartenenze. Gli ambiti dei gruppi non si applicano alle identità speciali. Gli utenti vengono assegnati automaticamente a queste identità speciali ogni volta che si connettono o accedono a una determinata risorsa.

In Servizi di dominio Active Directory i gruppi vengono creati nei domini. Per creare gruppi, è possibile utilizzare Utenti e computer di Active Directory. Se si dispone delle autorizzazioni necessarie, è possibile creare gruppi nel dominio radice della foresta, in qualunque altro dominio della foresta o in una unità organizzativa.

Un gruppo è caratterizzato dall'ambito oltre che dal dominio in cui viene creato. L'ambito di un gruppo determina quanto segue:

• Il dominio da cui è possibile aggiungere membri
  
  
• Il dominio in cui sono validi i diritti e le autorizzazioni assegnati al gruppo
  
  

Scegliere il dominio o l'unità organizzativa in cui si crea un gruppo in base al tipo di amministrazione necessaria per il gruppo. Se ad esempio la directory include più unità organizzative, ognuna delle quali ha un amministratore diverso, è possibile creare gruppi con ambito globale all'interno di quelle unità organizzative, in modo che gli amministratori possano gestire le appartenenze ai gruppi per gli utenti nelle rispettive unità organizzative. Se sono necessari gruppi per il controllo dell'accesso all'esterno dell'unità organizzativa, è possibile nidificare i gruppi dell'unità organizzativa in gruppi con ambito universale o in altri gruppi con ambito globale che possono essere utilizzati altrove nella foresta.

Se il livello funzionale del dominio è impostato su Windows 2000 originale o versioni successive, il dominio contiene una gerarchia di unità organizzative e l'amministrazione è delegata agli amministratori di ogni unità organizzativa, potrebbe risultare più efficiente nidificare i gruppi con ambito globale. Se ad esempio l'unità organizzativa 1 contiene le unità organizzative 2 e 3, un gruppo con ambito globale nell'unità organizzativa 1 può avere come membri i gruppi con ambito globale nelle unità organizzative 2 e 3. Nell'unità organizzativa 1 l'amministratore può aggiungere o rimuovere membri dei gruppi dall'unità organizzativa 1 e gli amministratori delle unità organizzative 2 e 3 possono aggiungere o rimuovere membri dei gruppi per gli account delle proprie unità organizzative senza possedere diritti amministrativi per il gruppo con ambito globale nell'unità organizzativa 1.

	Nota
	È possibile spostare gruppi all'interno di un dominio. Tuttavia solo i gruppi con ambito universale possono essere spostati da un dominio all'altro. I diritti e le autorizzazioni assegnati a un gruppo con ambito universale vengono persi quando il gruppo viene spostato in un altro dominio, pertanto è necessario effettuare nuove assegnazioni.

• Gestire gruppi