Come impostare gli orari di accesso per gli utenti di Active Directory

La configurazione degli orari di accesso per gli utenti di Active Directory consente agli amministratori di controllare quando i dipendenti possono accedere alle risorse di rete. Questa funzionalità aiuta ad applicare le policy aziendali sull'orario di lavoro e migliora la sicurezza impedendo l'accesso durante gli orari non lavorativi quando è più probabile un'attività sospetta. Quando gli utenti tentano di accedere al di fuori degli orari consentiti, vedranno un messaggio che dice "Il tuo account ha limitazioni di tempo che ti impediscono di accedere in questo momento". Esploriamo come impostare e gestire queste restrizioni.

Impostazione degli orari di accesso per i singoli utenti

Passaggio 1:Apri Utenti e computer di Active Directory (ADUC) sul controller di dominio o sulla workstation di gestione.

Passaggio 2:Individua e fai clic con il pulsante destro del mouse sull'account utente che desideri configurare, quindi seleziona "Proprietà" dal menu contestuale.

Passaggio 3:Nella finestra Proprietà, fai clic sulla scheda "Account". Troverai un pulsante denominato "Ore di accesso". Qui è dove puoi definire una pianificazione per quell'utente.

Passaggio 4:La finestra Ore di accesso visualizza una griglia che rappresenta i giorni della settimana e le ore del giorno. Le caselle blu indicano gli orari di accesso consentiti, mentre le caselle bianche mostrano gli orari negati.

Passaggio 5:Per impostare orari limitati, fare clic sul pulsante di opzione "Accesso negato". Quindi, fai clic e trascina sulla griglia per selezionare le ore che desideri bloccare. Ad esempio, potresti negare l'accesso dalle 18:00 alle 8:00 nei giorni feriali e tutto il giorno nei fine settimana.

Passaggio 6:Per impostare gli orari consentiti, fare clic sul pulsante di opzione "Accesso consentito" e selezionare i periodi di tempo appropriati. Ad esempio, potresti consentire l'accesso dalle 8:00 alle 18:00 nei giorni feriali.

Passaggio 7:Fare clic su "OK" per salvare le modifiche e applicare i nuovi orari di accesso per quell'utente.

Configurazione degli orari di accesso per più utenti

Per le organizzazioni più grandi, impostare individualmente gli orari di accesso può richiedere molto tempo. Ecco come applicare le restrizioni a gruppi di utenti:

Passaggio 1:In ADUC, crea una nuova unità organizzativa (UO) o utilizzane una esistente che contenga gli utenti che desideri limitare.

Passaggio 2:Seleziona tutti gli utenti nell'unità organizzativa tenendo premuto Ctrl e facendo clic su ciascun utente oppure premi Ctrl+A per selezionarli tutti.

Passaggio 3:Fare clic con il pulsante destro del mouse sugli utenti selezionati e scegliere "Proprietà".

Passaggio 4:Nella finestra delle proprietà a selezione multipla, fare clic sulla scheda "Account".

Passaggio 5:Seleziona la casella accanto a "Orari di accesso" per modificare questa impostazione per tutti gli utenti selezionati.

Per saperne di più:Crea utenti Active Directory in blocco con CSV

Passaggio 6:Fare clic sul pulsante "Ore di accesso" e impostare la pianificazione come descritto nella procedura per singolo utente sopra.

Passaggio 7:Fare clic su "Applica" e quindi su "OK" per salvare le modifiche per tutti gli utenti selezionati.

Applicazione delle restrizioni sull'orario di accesso

Per garantire che gli utenti vengano disconnessi allo scadere dell'orario di accesso, dovrai configurare un'impostazione di Criteri di gruppo aggiuntiva:

Passaggio 1:Apri la Console di gestione dei criteri di gruppo (gpmc.msc) sul controller di dominio.

Passaggio 2:Crea un nuovo oggetto Criteri di gruppo (GPO) o modificane uno esistente applicabile agli utenti o ai computer di destinazione.

Passaggio 3:Passare a Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Criteri locali > Opzioni di sicurezza.

Passaggio 4:Individuare e fare doppio clic sul criterio denominato "Server di rete Microsoft: disconnettere i client allo scadere dell'orario di accesso".

Passaggio 5:Impostare la policy su "Abilitato" e fare clic su "OK" per salvare la modifica.

Passaggio 6:Collegare l'oggetto Criteri di gruppo all'unità organizzativa appropriata contenente gli account utente o gli oggetti computer.

Passaggio 7:Correregpupdate /forcesui computer client o attendere il successivo ciclo di aggiornamento dei Criteri di gruppo affinché le modifiche abbiano effetto.

Monitoraggio dei tempi di accesso e disconnessione

Per monitorare quando gli utenti accedono al sistema, è possibile abilitare il controllo degli eventi di accesso:

Passaggio 1:Nell'editor Gestione criteri di gruppo passare a Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Configurazione avanzata dei criteri di controllo > Criteri di controllo > Accesso/disconnessione.

Passaggio 2:Configurare i criteri "Audit Logon" e "Audit Logoff" per verificare sia i successi che i fallimenti.

Passaggio 3:Applica l'oggetto Criteri di gruppo ai controller di dominio o ai server membri in cui desideri tenere traccia degli eventi di accesso.

Passaggio 4:Esaminare il registro eventi di sicurezza su tali server per visualizzare gli eventi di accesso e disconnessione per gli utenti del dominio.

Utilizzo di PowerShell per controllare gli orari dell'ultimo accesso

Per controlli rapidi della cronologia degli accessi degli utenti, PowerShell può essere uno strumento potente. Ecco un semplice comando per ottenere la data dell'ultimo accesso di un utente:

Get-ADUser -Identity "UserName" -Properties "LastLogonDate"

Sostituisci "NomeUtente" con il nome utente effettivo che desideri controllare. Questo comando recupera l'ultima volta che l'utente si è autenticato nel dominio.

Per informazioni di accesso più dettagliate, è possibile eseguire una query sui registri eventi sui controller di dominio. Ecco un esempio di script PowerShell per ottenere eventi di accesso recenti per un utente specifico:

$User = "UserName"
$DaysBack = -7
$StartTime = (Get-Date).AddDays($DaysBack)
Get-WinEvent -FilterHashtable @{
    LogName="Security"
    ID=4624
    StartTime=$StartTime
} | Where-Object {$_.Properties[5].Value -eq $User} | 
Select-Object TimeCreated,
    @{Name="User";Expression={$_.Properties[5].Value}},
    @{Name="LogonType";Expression={$_.Properties[8].Value}},
    @{Name="Status";Expression={$_.Properties[8].Value}},
    @{Name="ComputerName";Expression={$_.Properties[11].Value}}

Questo script recupera gli eventi di accesso riusciti (ID evento 4624) per l'utente specificato negli ultimi 7 giorni. Regola il$UserE$DaysBackvariabili secondo necessità.

Implementando restrizioni sull'orario di accesso e monitorando i tempi di accesso, puoi migliorare in modo significativo il livello di sicurezza della tua organizzazione e garantire la conformità alle politiche sull'orario di lavoro. Ricordati di comunicare queste modifiche ai tuoi utenti e di fornire supporto a coloro che potrebbero aver bisogno di un accesso fuori orario per motivi legittimi.