Ereditarietà e precedenza dei criteri di gruppo: come Windows decide quale regola prevale

By Mirko Peters · 2026-10-29

Padroneggia l'ereditarietà e la precedenza dei criteri di gruppo. Scopri come l'ordine di elaborazione LSDOU, le gerarchie di collegamento e le regole di blocco determinano le configurazioni di Windows che prevalgono.

Automatically translated with AI from the original post. Read the English original

Scopri come Windows stabilisce la precedenza delle regole tramite l'ordine di elaborazione LSDOU, le gerarchie dei contenitori e l'ordine dei collegamenti. Questa guida approfondita spiega come interagiscono gli oggetti criteri di gruppo, come funzionano il blocco dell'ereditarietà e l'imposizione in ambienti aziendali reali e come risolvere i problemi causati da regole amministrative sovrapposte.

Punti chiave

• I criteri di gruppo elaborano le regole in un ordine LSDOU rigoroso: Local, Site, Domain e Organizational Unit.
• L'unità organizzativa più vicina all'oggetto di destinazione viene elaborata per ultima e di norma prevale nei conflitti.
• All'interno di un singolo contenitore o di una singola OU, i criteri vengono applicati dal basso verso l'alto nell'ordine dell'elenco collegato: il primo elemento della console è quello che prevale.
• Il blocco dell'ereditarietà e le impostazioni imposte funzionano come vie di fuga amministrative per sovrascrivere il normale flusso gerarchico.
• Comprendere i numeri di versione e i aggiornamenti di sicurezza ogni 16 ore evita di diagnosticare in modo errato i problemi ostinati di applicazione dei criteri.

Il meccanismo di elaborazione LSDOU

Quando un amministratore applica impostazioni in una rete aziendale, Windows non valuta tutte le regole contemporaneamente. Il sistema operativo segue invece una sequenza precisa e prevedibile, universalmente nota con l'acronimo LSDOU. Capire questo ordine di elaborazione è essenziale per individuare il motivo per cui alcune configurazioni compaiono sugli endpoint di destinazione mentre altre scompaiono misteriosamente.

LSDOU sta per Local, Site, Domain e Organizational Unit. Per prima cosa Windows valuta le impostazioni dei criteri di gruppo locali configurate direttamente sul computer. Successivamente esamina i criteri di sito, che definiscono parametri in base alla posizione fisica o alla subnet del dispositivo. Poi il sistema elabora i criteri a livello di dominio, che si estendono all'intero dominio di Active Directory. Infine Windows elabora i criteri collegati alle unità organizzative (OU), scendendo dai contenitori padre fino all'OU figlia più profonda in cui si trova effettivamente l'account utente o computer.

Poiché Windows legge queste regole in sequenza secondo l'ordine LSDOU, le impostazioni in conflitto incontrate in precedenza nella catena vengono sovrascritte dalle valutazioni successive. Questo modello è alla base della gestione gerarchica: gli standard amministrativi generali vengono definiti in alto, mentre le personalizzazioni granulari, specifiche per reparto, vengono applicate più in basso nell'albero.

Perché vince l'impostazione più vicina

La regola d'oro della precedenza nei criteri di gruppo è apparentemente semplice: vince l'ultima regola elaborata. Poiché le unità organizzative vengono valutate per ultime nella catena LSDOU e le OU figlie vengono elaborate dopo le OU padre, le impostazioni configurate nel contenitore più vicino all'utente o al computer hanno la precedenza assoluta.

Consideriamo uno scenario aziendale concreto in cui un'organizzazione IT blocca i dispositivi di archiviazione USB a livello di dominio per la conformità generale e la prevenzione della perdita di dati. Tuttavia, l'OU dedicata ai tecnici IT richiede l'accesso USB locale per eseguire diagnostica e manutenzione hardware. Collegando un criterio di autorizzazione più in basso nell'albero della directory, a livello dell'OU dei tecnici, tale criterio sovrascrive la restrizione più ampia del dominio per quegli account amministrativi specifici. La regola più vicina prevale, concedendo eccezioni precise senza compromettere la sicurezza complessiva dell'organizzazione.

Gestire l'ordine dei collegamenti all'interno di un singolo contenitore

Mentre l'albero gerarchico gestisce la precedenza tra i diversi livelli organizzativi, gli amministratori collegano spesso più Group Policy Object a una singola UO. Quando due o più GPO si applicano esattamente allo stesso contenitore, entra in vigore una regola di precedenza diversa. All'interno di una stessa cartella, Windows elabora i GPO collegati dal basso verso l'alto nella Console di gestione dei criteri di gruppo.

Poiché il criterio più in basso viene valutato per primo, i GPO posizionati più in alto vengono applicati successivamente: il criterio in cima all'elenco dei collegamenti è quindi elaborato per ultimo. Come sempre, l'ultima regola elaborata prevale in caso di conflitto. Se un amministratore constata che un'impostazione di un GPO appena collegato non viene applicata, la verifica delle frecce di ordine dei collegamenti nella console di gestione è spesso il modo più rapido per risolvere il problema. Spostando un GPO più in alto nell'elenco di precedenza, si obbliga Windows a elaborarlo più tardi nel ciclo, in modo che possa sovrascrivere le istruzioni in conflitto.

Comprendere l'ereditarietà bloccata e l'imposizione

Le strutture di directory complesse richiedono spesso eccezioni al normale flusso gerarchico. Windows offre due controlli efficaci, Blocca ereditarietà e Imposta su Forzato, per modificare il modo in cui le regole si propagano nell'ambiente.

Blocca ereditarietà può essere attivato su qualsiasi UO specifica, impedendo a quel contenitore e ai suoi figli di ereditare i criteri dai contenitori padre situati più in alto nella struttura del dominio. Questo offre un punto di partenza pulito per le unità di business specializzate che operano con vincoli normativi od operativi completamente diversi. Tuttavia, questa funzione comporta un rischio se un amministratore interrompe per errore criteri di sicurezza di base essenziali, imposti dai team di conformità aziendale.

Per contrastare i blocchi non autorizzati, gli amministratori possono contrassegnare un collegamento GPO di livello superiore come Forzato. Un'impostazione forzata supera qualsiasi opzione di Blocca ereditarietà nei livelli inferiori, garantendo che le configurazioni di sicurezza critiche o i requisiti di base non possano essere aggirati o rimossi dagli amministratori delle UO di livello inferiore.

Risolvere i problemi di precedenza con gli strumenti nativi

Quando in produzione si verificano conflitti tra criteri, tentare di indovinare l'ordine di precedenza fa sprecare ore di lavoro agli amministratori. Windows include utilità di diagnostica integrate progettate per mostrare esattamente quali GPO sono stati applicati correttamente e quali regole hanno perso la partita della precedenza.

L'utilità a riga di comando gpresult fornisce una panoramica immediata delle configurazioni applicate, mentre il report Risultati di Criteri di gruppo nella console di gestione grafica offre un'analisi completa e navigabile delle impostazioni di utenti e computer. Questi report mostrano esplicitamente la catena di precedenza, evidenziando affiancati i criteri vincenti e quelli perdenti, così gli amministratori possono verificare che la gerarchia funzioni come previsto.

Per un approfondimento su come le moderne architetture cloud e i sistemi ibridi gestiscono i confini amministrativi, puoi ascoltare l'episodio completo sul podcast M365 FM, con discussioni di esperti sulle strategie di distribuzione dell'ambiente di lavoro moderno.

Domande frequenti

Che cosa significa LSDOU nei Criteri di gruppo?

LSDOU sta per Local, Site, Domain, and Organizational Unit (Locale, Sito, Dominio e Unità organizzativa). Indica l'esatto ordine cronologico in cui Windows elabora i Group Policy Object durante un ciclo di aggiornamento.

Come gestisce Windows i conflitti all'interno della stessa UO?

Quando più GPO sono collegati a una singola UO, Windows li elabora dal basso verso l'alto dell'elenco dei collegamenti. Il criterio elencato in cima viene elaborato per ultimo e prevale quindi su eventuali impostazioni in conflitto.

Che cosa succede quando l'ereditarietà bloccata incontra un criterio forzato?

Un criterio forzato prevale completamente sull'ereditarietà bloccata. Anche se una UO figlia ha attivato il blocco dell'ereditarietà, qualsiasi GPO padre configurato con l'attributo Forzato continua ad applicarsi a tutti gli oggetti contenuti in quel contenitore.

Perché le impostazioni di sicurezza vengono riapplicate ogni sedici ore?

Le impostazioni di sicurezza sono trattate in modo diverso dai criteri standard di aspetto. Vengono riapplicate automaticamente ogni 16 ore, indipendentemente dal fatto che il numero di versione del GPO sottostante sia cambiato, così da correggere rapidamente eventuali modifiche amministrative locali non autorizzate.