Uno dei motivi fondamentali per cui si sceglie un’architettura server basata su Active Directory è la necessità di autenticare utenti verso le nostre risorse. Prendiamo quindi subito confidenza con i nostri utenti e cerchiamo di capire al meglio come gestirli.
Sempre dalla nostro preziosissimo Server Manager possiamo individuare i vari Snap-In associati ad Active Directory:
- Active Directory Users and Computers: come suggerisce il nome permette di gestire utenti, computer, gruppi e organizational unit.
- Active Directory Sites and Services: lo snap-in usato per la gestione della replica, il networking dell’intera rete e i servizi ad esso relativi.
- Active Directory Domains and Trust: gestisce le possibili relazioni tra alberi di foreste.
- Active Directory Administrative Center: un’interfaccia basata su PowerShell per la gestione di tutto il mondo AD.
Nel nostro caso dal menu Strumenti del Server Manager scegliamo Utenti e computer di Active Directory per iniziare la configurazione dei nostri utenti.
Per quanto concerne la creazione di utenti bisogna sottolineare che, in una rete basata su Windows Server 2012, possiamo avere sostanzialmente due tipi di utenze:
- Utenti locali: sono definiti sul singolo computer e possono operare, limitatamente ai permessi accordati, solo su quella macchina.
- Utenti di dominio: sono definiti nel pannello di Active Directory e generalmente, a meno di policy applicate, possono operare su qualsiasi risorsa del dominio.
Per creare un nuovo utente, dal pannello Utenti e computer di Active Directory, esploriamo l’albero del nostro dominio PARADISO.local, selezioniamo la voce Users e, dopo un clic con il tasto destro del mouse, scegliamo di creare un nuovo utente.
Compiliamo i moduli proposti inserendo nome, iniziali, cognome dell’utente e scegliamo successivamente un nome utente (ad esempio: Adamo) con il quale il nostro utente eseguirà l’accesso. Il campo Nome Completo è autogenerato a seconda dei dati precedentemente immessi e, insieme al campo Nome accesso utente, deve essere univoco all’interno di tutta la rete.
Scegliamo nella schermata successiva una password da consegnare all’utente per il primo login e lasciamo spuntata l’opzione Cambiamento obbligatorio password all’accesso successivo, in maniera da consentire agli utenti piena autonomia e confidenzialità nella scelta della propria password.
Una finestra ci informerà poi di tutti i dati scelti e cliccando su Fine abbiamo terminato la creazione del nostro primo utente.
Gli attributi dell’utente
Cliccando due volte sull'utente appena creato, visibile sempre dal pannello Utenti e computer di Active Directory, possiamo prendere visione di tutta una serie di attributi che possono aiutare nella gestione dell’utente stesso.
Certamente una delle schede più importanti e degne di nota è quella associata al profilo utente:
Da questa schermata sostanzialmente possono essere configurate tre proprietà:
- Percorso profilo: generalmente le proprietà “desktop” dell’utente possono essere o solo salvate localmente nel PC in uso o salvate in un percorso di rete. Se si sceglie questa seconda forma scegliamo di lavorare con i cosiddetti Roaming Profile.
- Script di accesso: ci permettono di indicare il percorso del file da eseguire all’avvio.
- Home directory / Percorso locale: qui viene indicato un percorso di una risorsa che funzioni come storage personale dell’utente.
Un modo molto comune per lavorare su questi attributi, al fine di indicare i giusti percorsi, è quello di usare la variabile %username%. In questa maniera ogni utente avrà una sua sotto cartella partendo da una risorsa condivisa comune. Potremmo per esempio considerare una configurazione del tipo:
- Profile Path: \\PARADISO-DC\Profile\%username%
- Home Folder configurata come Connect con “Z:” per l’unità specificata e \\PARADISO-DC\Home\%username% per il percorso
Eseguire il login dell’utente
Mostriamo di seguito qual è la percezione lato utente di queste modifiche. Prima di tutto dobbiamo legare un computer al nostro dominio, questa operazione è normalmente chiamata Join di un dominio ed è molto semplice da effettuare.
Andiamo nel pannello Proprietà di Sistema del computer che vogliamo legare al dominio (nel nostro caso un computer con Windows 7) e nella scheda Nome computer clicchiamo sul pulsante Cambia associato al gruppo di lavoro o nome a dominio.
Scegliamo l’opzione Dominio e inseriamo il nostro nome di dominio precedentemente configurato (PARADISO.local). Ci verranno successivamente richieste le credenziali di un utente abilitato alle operazioni di join a dominio (come l’utente Administrator).
A questo punto il join a dominio è effettuato con successo ed un riavvio della macchina ci consentirà di loggarci con il nostro utente precedentemente creato.
Effettuato il login con l’utente Adamo (che avremo avuto cura prima di aggiungere al dominio) notiamo che, in Risorse del computer, è stata aggiunta una nuova Unità di rete come da noi specificato.
Contestualmente, nella cartella Profile condivisa, è stata creata una cartella specifica per l’utente Adamo dove possiamo trovare tutte le cartelle proprie dell’utente.
Possiamo inoltre osservare come, nel momento del join, nella schermata Computer del pannello Utenti e computer di Active Directory troveremo il nuovo oggetto appena creato.
Gestione degli utenti
Per gestire ogni utente possiamo accedere con il destro del mouse al menu ad esso associato e scoprire le varie operazioni disponibili come:
- Cancellare uno user account.
- Disabilitare uno user account.
- Reimpostare la password.
- Modificare le proprietà dell’utente.
- Spostare uno user Account.
- Creare un nuovo Template Account (utile nel processo di creazione di molteplici utenti con proprietà simili).
- Creare uno user account partendo da un template creato (Copy).
Gli utenti possono essere inoltre organizzati in gruppi. In scenari medio piccoli la gestione degli utenti può essere effettuata anche a mano ma, pensando alla scalabilità, la soluzione più versatile ed efficace è quella di usare i Group Account.
In Windows Server esistono sostanzialmente due tipi di gruppi:
- Sicurezza: usato principalmente per l’applicazione di policy.
- Distribuzione: usato principalmente per applicazioni di tipo mail: invio di messaggi a tutti gli utenti facenti parte del gruppo.
Oltre alla tipologia, un gruppo ha anche un suo Ambito (o scope):
- Locale al dominio: applicabile a tutti gli oggetti del dominio.
- Globale: applicabile a tutti gli oggetti del dominio e dei domini trusted.
- Universale: applicabile a tutti gli oggetti della foresta.
Per creare un nuovo gruppo possiamo usare lo stesso meccanismo applicato alla creazione di un nuovo utente e scegliere l’opzione Gruppo. Attribuiamo al gruppo un nome, scegliamo un ambito e un tipo a seconda della nostra esigenza e confermiamo la creazione.
Possiamo ora aggiungere nuovi membri al gruppo creato. Per fare ciò possiamo o fare clic sugli utenti che vogliamo legare al gruppo con il tasto destro e scegliere l’opzione Aggiungi a un gruppo o aprire ogni singolo oggetto e, dal pannello Membro di, possiamo aggiungere un nuovo gruppo indicandone il nome.
