Cos'è una Group Policy (GPO)?
Una Group Policy Object (GPO) è uno strumento di Microsoft Active Directory che permette agli amministratori IT di configurare e applicare in modo centralizzato oltre 3.000 impostazioni di Windows — dalla password policy alle restrizioni USB, dalla mappatura delle unità di rete al deployment del software — su tutti i computer e utenti di un dominio, senza toccare ogni singola macchina. Funziona creando oggetti di policy sulla GPMC (Group Policy Management Console) del Domain Controller (Windows Server 2008 R2 e successivi), collegandoli alle Organizational Unit (OU) dell'AD e lasciando che i client Windows le scarichino e applichino automaticamente all'avvio o al login. La precedenza segue la gerarchia LSDOU (Local → Site → Domain → OU): l'ultima policy applicata vince. Per ambienti con molti utenti remoti o dispositivi non-Windows, Microsoft Intune affianca o sostituisce le GPO con gestione cloud senza VPN.
Se gestisci un'infrastruttura Windows con Active Directory, le Group Policy sono lo strumento più potente che hai a disposizione per amministrare decine o centinaia di PC senza impazzire. BullTech Informatica, MSP attivo a Vimercate (MB) dal 2009, ha configurato ambienti AD e GPO per oltre 150 aziende lombarde. In questa guida ti spieghiamo come funzionano le GPO, come crearle correttamente, gli errori più comuni e quando ha senso affidarsi a un professionista.
Cos'è una Group Policy (GPO) e perché ogni PMI con Windows Server ne ha bisogno?
Immagina di dover impostare la stessa password policy su 80 PC Windows. Senza GPO, vai su ogni macchina, apri le impostazioni locali e la configuri una per una: 80 macchine × 10 minuti = 13 ore di lavoro. Con una GPO di dominio, crei la policy sulla GPMC, la colleghi all'OU “Tutti i computer” e in 5 minuti è applicata a tutti gli 80 PC, automaticamente al prossimo avvio o con gpupdate /force.
Ecco cosa puoi fare con le Group Policy di Microsoft Active Directory:
- Forzare policy di sicurezza uniformi (lunghezza password, blocco account, screensaver con timeout)
- Mappare automaticamente le unità di rete ai login degli utenti (Drive Mapping)
- Bloccare le porte USB su tutti i PC con un'unica impostazione
- Distribuire software (MSI/MSIX) senza intervento manuale
- Configurare Internet Explorer/Edge, la stampante predefinita, le impostazioni del firewall locale
- Limitare l'accesso al Pannello di Controllo, al CMD o al Registro di sistema per utenti non IT
- Applicare script di avvio/spegnimento e login/logout
La gestione server centralizzata tramite GPO è fondamentale per qualsiasi azienda con più di 5 PC Windows in un dominio. Se non stai usando le GPO, stai probabilmente perdendo ore di lavoro ogni settimana in configurazioni manuali. La nostra pagina su gestione server e infrastruttura IT spiega come integriamo AD e GPO nella gestione completa dei clienti.
Come funziona una GPO in Active Directory?
Una GPO è un insieme di impostazioni di configurazione archiviate nel SYSVOL del Domain Controller (la cartella condivisa che si replica tra tutti i DC). Ogni GPO ha due sezioni principali:
| Sezione GPO | Quando si applica | Esempi di impostazioni |
|---|---|---|
| Computer Configuration | All'avvio del PC (prima del login utente) | Policy firewall, Windows Update, installazione software, configurazione servizi, restrizioni USB, impostazioni di rete |
| User Configuration | Al login dell'utente sul PC | Drive mapping, stampanti, impostazioni IE/Edge, restrizioni desktop, script di login, redirect cartelle |
GPO locale vs GPO di dominio: qual è la differenza?
Ogni PC Windows ha una GPO locale (modificabile con gpedit.msc) che si applica solo a quella macchina, indipendentemente da Active Directory. È utile per PC standalone, kiosk o ambienti senza dominio — ma non è scalabile: va modificata su ogni macchina separatamente.
Le GPO di dominio vengono create sulla GPMC del Domain Controller, collegate a siti, domini o OU dell'AD, e si propagano automaticamente a tutti i computer e utenti nell'oggetto a cui sono collegate. Sono la soluzione per qualsiasi ambiente con 2+ PC in un dominio Windows Server.
Cos'è la GPMC e come si usa?
La GPMC (Group Policy Management Console) è lo strumento grafico di Microsoft per creare, modificare, collegare e monitorare le GPO. Si installa come feature di Windows Server (oppure tramite RSAT su Windows 10/11 Pro). Dalla GPMC puoi:
- Creare nuove GPO e trascinarle sulle OU per collegarle
- Impostare Security Filtering (applica la GPO solo a certi gruppi AD)
- Usare WMI Filters per applicare la GPO solo a PC con certi requisiti hardware/OS
- Eseguire l'RSoP Wizard per simulare quali policy si applicherebbero a un utente
- Fare il backup e restore delle GPO prima di modifiche importanti
Come funziona la precedenza LSDOU?
Quando più GPO si applicano allo stesso oggetto, Windows segue la gerarchia LSDOU: Local → Site → Domain → OU. L'ultima policy applicata vince sui conflitti. In pratica: una GPO di OU sovrascrive una GPO di dominio. Esistono due eccezioni: Block Inheritance (un'OU blocca le GPO dei livelli superiori) e Enforce (una GPO viene forzata anche ignorando il Block Inheritance).
Come si crea e si collega una GPO?
Il processo è semplice sulla GPMC:
Apri la GPMC (gpmc.msc dal Domain Controller o da un PC con RSAT installato)
Clic destro su 'Group Policy Objects' → 'New' → dai un nome descrittivo (es. 'Password Policy Aziendale')
Clic destro sulla nuova GPO → 'Edit': si apre il Group Policy Management Editor con le impostazioni
Naviga nelle sezioni Computer Configuration o User Configuration e configura le impostazioni desiderate
Chiudi l'editor e torna alla GPMC: trascina la GPO sull'OU di destinazione (o clic destro sull'OU → 'Link an Existing GPO')
Testa su un PC di test con 'gpupdate /force' e verifica con 'gpresult /h report.html'
Come verificare le GPO applicate con gpresult?
gpresult /h report.html genera un report HTML completo che mostra quali GPO sono applicate al computer e all'utente corrente, quali sono state filtrate (non applicate per Security Filtering o WMI) e quali hanno generato errori. È il primo comando da eseguire in fase di troubleshooting quando una policy non si applica come previsto.
Esempi pratici di GPO più utilizzate in azienda
Ecco le GPO che configuriamo più frequentemente nelle PMI che gestiamo, con il percorso GPMC per trovarle rapidamente:
| Tipo GPO | Percorso GPMC | Impostazione tipica |
|---|---|---|
| Password Policy | Computer Config → Policies → Windows Settings → Security Settings → Account Policies → Password Policy | Min 12 char, complessità abilitata, max 90 giorni, lockout dopo 5 tentativi |
| Drive Mapping | User Config → Preferences → Windows Settings → Drive Maps | Lettera Z: → \\\\server\cartella-condivisa (con item-level targeting per reparto) |
| Blocco USB | Computer Config → Policies → Admin Templates → System → Removable Storage Access | "All Removable Storage classes: Deny all access" → Enabled (eccetto gruppo IT via Security Filtering) |
| Deployment Software | Computer Config → Policies → Software Settings → Software Installation | Package MSI su share di rete: si installa automaticamente all'avvio del PC |
| Screensaver sicuro | User Config → Policies → Admin Templates → Control Panel → Personalization | Screensaver dopo 10 min, richiesta password al rientro, utente non può modificare |
| Windows Update | Computer Config → Admin Templates → Windows Components → Windows Update | WSUS URL interno, update automatici alle 22:00, riavvio non forzato in orario lavoro |
Per la gestione degli endpoint completa, inclusa la distribuzione di policy di sicurezza avanzate, leggi la nostra pagina su endpoint management per aziende.
Group Policy o Intune: quale scegliere nel 2026?
È la domanda che riceviamo più spesso da chi sta modernizzando l'infrastruttura. La risposta breve: non è una scelta tra l'una e l'altra, ma dipende da dove sono i tuoi dispositivi.
| Caratteristica | Group Policy (GPO) | Microsoft Intune |
|---|---|---|
| Tipo di gestione | On-premise (AD join obbligatorio) | Cloud (Azure AD join, no VPN necessaria) |
| Sistemi operativi | Solo Windows | Windows, macOS, iOS, Android |
| Connessione richiesta | LAN o VPN (must raggiungere il DC) | Solo internet (nessuna VPN) |
| N° di impostazioni | 3.000+ (ogni versione OS ne aggiunge) | ~1.400 (in crescita rapida con ogni rilascio) |
| Costo | Incluso in Windows Server + CAL (da ~900 €) | Da ~6 €/utente/mese (Intune standalone) o incluso in M365 Business Premium (~22 €) |
| Smart working | Solo con VPN attiva | Nativo, senza VPN |
| Ideale per | Ambienti on-premise tradizionali, 5-500 PC in ufficio | Ambienti ibridi/cloud, molti smart worker, BYOD, multi-OS |
| Nel 2026 molte PMI usano entrambi in Co-Management: GPO per i PC in ufficio (AD join), Intune per laptop smart worker e dispositivi personali. | ||
Errori comuni nella gestione delle GPO (e come evitarli)
Dopo 150+ ambienti AD configurati, abbiamo visto di tutto. Ecco gli errori più frequenti e come evitarli.
Errore #1: Applicare una GPO al dominio senza testarla prima
Una GPO sbagliata applicata al dominio colpisce tutti i PC contemporaneamente. Abbiamo visto una password policy con “Maximum password age = 0” bloccare il login a 200 utenti in 5 minuti. Regola ferrea: crea sempre un'OU di test con 2-3 PC, applica la GPO solo lì, verifica con gpresult, poi estendi al dominio.
Errore #2: Nomi GPO non descrittivi. Trovare una GPO chiamata “New Group Policy Object (3)” e capire cosa fa è impossibile senza aprirla. Usa nomi del tipo “SEC-PasswordPolicy-Dominio”, “USR-DriveMaps-Contabilita”, “PC-BlockUSB-Tutti”: prefisso tipo (SEC/USR/PC) + funzione + ambito. Risparmia ore di troubleshooting futuro.
Errore #3: GPO con Security Filtering “Authenticated Users” rimosso. Per applicare una GPO a un gruppo specifico, alcuni rimuovono “Authenticated Users” dal Security Filtering e aggiungono solo il gruppo target. Corretto, ma dimenticano di dare il permesso Read ad “Authenticated Users”: la GPO non si applica a nessuno perché i client non riescono nemmeno a leggerla. Soluzione: lascia sempre “Authenticated Users” con Read, aggiungi il gruppo target con Read + Apply.
Errore #4: Non documentare le modifiche alle GPO. Sei sicuro di ricordare perché hai creato quella GPO 6 mesi fa? Un registro delle modifiche (anche un semplice file di testo su una share) è indispensabile. Meglio ancora: usa il backup automatico delle GPO (GPMC → Group Policy Objects → Back Up All) prima di ogni modifica importante.
Errore #5: Troppe GPO invece di poche ben organizzate. Abbiamo trovato ambienti con 80+ GPO collegate alla stessa OU, accumulate in anni senza una struttura. Il carico di processing alla startup/login aumenta e il troubleshooting diventa un incubo. Principio da seguire: una GPO per funzione (password, USB, software, desktop), non una GPO per ogni piccola impostazione.
Quando conviene affidarsi a un MSP per la gestione delle GPO?
La gestione delle Group Policy sembra semplice sulla GPMC, ma i dettagli che possono andare storto sono tanti. Affidarsi a un MSP (Managed Service Provider) ha senso quando:
Non hai un IT interno dedicato: una GPO sbagliata applicata al dominio può bloccare tutti i PC in minuti, e un sistemista esterno interviene in poche ore
Devi fare una migrazione AD o ristrutturare le OU: è un'operazione delicata che richiede pianificazione, test approfonditi e rollback plan
Hai esigenze di compliance (ISO 27001, NIS2): le GPO devono essere documentate, aggiornate e auditate periodicamente
Stai passando da un ambiente GPO-only a un modello ibrido GPO + Intune: il Co-Management con Microsoft Endpoint Manager richiede competenze specifiche
Vuoi applicare una password policy conforme alle linee guida NIST 2024 (passphrase ≥15 char, no cambio forzato periodico, MFA) senza impattare la produttività
BullTech include la gestione di Active Directory e Group Policy nei propri contratti di assistenza IT per PMI, da 35 €/postazione/mese. Questo comprende: configurazione GPO, audit periodico delle policy applicate, aggiornamento dei template ADMX (Microsoft li aggiorna ad ogni versione di Windows), e intervento in caso di policy mal applicata. Per ambienti che stanno migrando verso il cloud, gestiamo anche la transizione verso Microsoft Intune con Co-Management gradualo e zero interruzioni alla produttività. Per approfondire il tema della gestione Active Directory in azienda, leggi la nostra guida completa sull'argomento.
Vuoi un audit gratuito del tuo Active Directory e delle GPO?
BullTech offre un check-up gratuito di 30 minuti: verifichiamo la struttura OU, le GPO applicate, i conflitti e la compatibilità con le linee guida di sicurezza 2026. Ti diciamo cosa va e cosa no, senza impegno. Chiamaci al 039 5787 212 o scrivici.