GPO Power Guide: Dominare il Browser e la Sicurezza dei PC

Configurare le Group Policy (GPO) per forzare l’apertura di pagine specifiche all’avvio del browser è una procedura standard per gli amministratori IT.
Questa operazione varia leggermente a seconda del browser utilizzato (Edge o Chrome).

Ecco la guida passo-passo per configurare il tuo Domain Controller.

Preparazione: Importazione dei Modelli ADMX

Prima di iniziare, assicurati di avere i file di configurazione più recenti (ADMX) nel tuo Central Store
(\\dominio.it\SYSVOL\dominio.it\Policies\PolicyDefinitions).

• Microsoft Edge: Generalmente inclusi nelle versioni recenti di Windows Server, ma aggiornabili dal sito Microsoft Business.
• Google Chrome: Devi scaricare il pacchetto “Google Chrome Bundle” (file ADMX) dal sito Enterprise di Google e copiarli nella cartella sopra indicata.
  https://support.google.com/chrome/a/answer/7650032?hl=en

Bisogna cercare i file con formato admx e metterli nelle policydefinitions del Domain controller.

Impostare le policy

Premi Windows + R, digita gpmc.msc  e premi Invio (o cerca “Modifica criteri di gruppo” in Strumenti di Windows). 

Crea una policy come oggetto con tasto destro su “Group Policy Objects” esempio “Apertura edge Intranet”

Adesso andiamo a fare “Edit” sul oggetto appena creato e andiamo su “User Configuration”> “Policies”> “Administrative Template: Policy definations (ADMX files) retrived from the central store”> Microsoft Edge> Startup, home page and new tab page.

Abilitiamo

• Action to take on Micorsoft Edge startup

• Sites to open when the browser starts
• Aggiungiamo nel mio caso l’indirizzo della Intranet, va il link assoluto esempio http://azienda.intranet/

Applicazione e Verifica

Una volta create le GPO, devi collegarle all’Unità Organizzativa (OU) che contiene gli utenti o i computer interessati, oppure abilitarla direttamente per tutto il dominio cosi come abbiamo fatto.

Per applicare all’istante la policy sul client del dominio bisogna aprire un prompt dei comandi e lanciare gpupdate /force oppure aspettare il riavvio del host.

gpupdate /force

Best Practices per l’Amministratore

• User vs Computer: Applica la policy a livello Utente se vuoi che le pagine seguano l’utente su qualsiasi postazione. Applicala a livello Computer se vuoi che quel PC apra sempre quelle pagine, a prescindere da chi effettua il login (es. chioschi o sale riunioni).
• Esperienza Utente: Evita di forzare troppe schede (massimo 2-3) per non rallentare l’avvio del browser.
• Pagine di Supporto: È utile includere sempre il portale di Ticketing IT o la Intranet aziendale.

Ricorda che forzare queste impostazioni spesso impedisce all’utente di scegliere le proprie pagine di avvio (le opzioni nel browser appariranno grigie con l’icona di un edificio “Gestito dalla tua organizzazione”).

Configurare le pagine di avvio tramite GPO è solo la punta dell’iceberg. Le Group Policy rappresentano il vero “coltello svizzero” di un amministratore di sistema Windows, permettendo di gestire dalla sicurezza granulare alla distribuzione automatica di software su migliaia di macchine contemporaneamente.

Il Laboratorio: La tua palestra di sicurezza

Il consiglio d’oro per ogni aspirante IT Manager è: non testare mai in produzione. Una GPO configurata male può bloccare l’accesso a intere unità organizzative (OU).

Il modo migliore per fare pratica è creare un ambiente di test virtualizzato:

• Virtualizzazione: Utilizza software come Hyper-V (nativo in Windows), VirtualBox o VMware.
• Setup Minimo: Crea una rete interna con un Domain Controller (Windows Server) e almeno una macchina client (Windows 10 o 11) per verificare l’effettiva applicazione delle policy.
• Snapshot: Prima di applicare modifiche radicali, scatta uno “snapshot” della VM. Se qualcosa va storto, puoi tornare indietro in un secondo.

FAQ: Domande Frequenti sulle GPO

Perché le mie GPO non si applicano ai client?

Esistono diverse ragioni, ma le più comuni sono:

• Latenza di replica: Il Domain Controller potrebbe non aver ancora replicato la policy. Usa gpupdate /force sul client.
• Filtro di sicurezza: Assicurati che l’utente o il computer facciano parte del gruppo di sicurezza autorizzato a leggere la GPO.
• Ereditarietà bloccata: Controlla se l’Unità Organizzativa ha l’opzione “Block Inheritance” attiva.
• Molto importante è la sezione “Delegation” sulla GPO creata se volete farle per singolo utente o OU ( unità organizzativa) è importante che ci sia “Authenticated Users in read”.

questa è stata applicata solo a un utente di prova riferita a un unità organizzativa, come nell’immagine in basso, AperturaBrowserChrome.

Qual è la differenza tra Configurazione Computer e Configurazione Utente?

• Configurazione Computer: Le impostazioni vengono applicate all’avvio del PC e riguardano chiunque acceda a quella macchina (es. aggiornamenti Windows, restrizioni hardware).
• Configurazione Utente: Le impostazioni vengono applicate al momento del login dell’utente e lo seguono su diversi computer (es. sfondo del desktop, mappatura unità di rete).

Come posso vedere quali GPO sono attive su un computer?

Il comando più efficace da lanciare nel prompt dei comandi (CMD) come amministratore è:

gpresult /r
Questo comando mostra un report dettagliato delle policy applicate e di quelle negate.

Cosa sono i file ADMX e perché sono necessari?

I file ADMX (e i relativi file di lingua ADML) sono modelli basati su XML che definiscono le impostazioni che puoi configurare nell’Editor GPO. Sono fondamentali per gestire software non nativi Microsoft.

Posso forzare le pagine di avvio su browser diversi da Edge?

Sì, ma è necessario scaricare i modelli amministrativi specifici dal produttore (es. Google Chrome Enterprise bundle) e caricarli nel Central Store del tuo Domain Controller per visualizzare le opzioni nell’Editor GPO.

Conclusione

Se saprete gestire le GPO, sarete ingrado di tenere sotto controllo l’intera infrastruttura aziendale e governarla al meglio!