Installare Active Directory su un VPS Windows Server 2025

Active Directory Domain Services, di solito abbreviato in AD DS, centralizza utenti, computer, autenticazione Kerberos, criteri di gruppo e accesso alle risorse di un'organizzazione. Può funzionare su un VPS Windows Server, a patto di trattare il controller di dominio come un componente critico e non come un normale server Windows esposto su Internet.

Questa guida spiega come creare una nuova foresta ad.example.com su Windows Server 2025, configurare il DNS, aggiungere una postazione al dominio, installare un secondo controller di dominio, mettere in sicurezza il servizio e preparare il ripristino. Ogni comando PowerShell è accompagnato da una verifica che consente di controllare il passaggio.

Metodo e perimetro di verifica

Le informazioni di questa guida sono state riscontrate il 29 agosto 2026 con la documentazione Microsoft applicabile a Windows Server 2025 e con le pagine OuiHeberg dedicate ai VPS Windows, al firewall e ai backup. I comandi sono stati confrontati con i riferimenti PowerShell ufficiali. Prima di usarli in produzione, eseguite comunque la procedura su un VPS di prova: indirizzamento, interfacce di rete, regole del firewall e sistema di backup dipendono dalla vostra infrastruttura.

Questa guida crea una nuova foresta. Per aggiungere un controller a un dominio esistente, migrare un dominio datato o sostituire un controller che detiene ruoli FSMO, servitevi di un piano di migrazione dedicato. Una promozione in un ambiente esistente non va mai improvvisata.

Active Directory, dominio e controller di dominio: le differenze

AD DS è il servizio di directory. Il dominio è un confine logico che contiene oggetti, criteri e uno spazio dei nomi DNS. Il controller di dominio, o DC, è un server che ospita una copia della directory e risponde alle richieste di autenticazione.

Nel nostro esempio:

Elemento	Valore di esempio	Ruolo
Dominio DNS di AD	`ad.example.com`	spazio dei nomi interno della foresta
Nome NetBIOS	`EXAMPLE`	nome breve compatibile con gli usi storici
Primo controller	`DC01.ad.example.com`	AD DS, DNS, catalogo globale e ruoli FSMO iniziali
Indirizzo privato di DC01	`10.50.0.10`	indirizzo usato dai membri del dominio
Secondo controller	`DC02.ad.example.com`	ridondanza di AD DS e DNS
Indirizzo privato di DC02	`10.50.0.11`	secondo DNS dei client

AD DS non è Microsoft Entra ID. Entra ID è un servizio di identità cloud rivolto soprattutto a Microsoft 365 e alle applicazioni moderne. AD DS fornisce i protocolli di dominio Windows tradizionali, tra cui Kerberos, LDAP, DNS integrato e i criteri di gruppo. Le due tecnologie possono essere collegate, ma l'una non sostituisce automaticamente l'altra.

Si può davvero mettere un controller di dominio su un VPS?

Sì, Windows Server supporta i controller di dominio virtualizzati. La domanda importante non è «fisico o virtuale», bensì come il servizio viene isolato, sottoposto a backup e reso disponibile.

Utilizzo	Architettura minima	Valutazione
Formazione o laboratorio	un VPS, un dominio di prova, accesso via VPN	accettabile se la perdita del dominio è tollerabile
Piccola produzione	due DC/DNS su due VPS e, se possibile, su due host o sedi distinti	minimo ragionevole per evitare un punto di guasto singolo
Produzione critica	almeno due DC, più zone di guasto, backup fuori dal server e una procedura di ripristino testata	consigliato
DC con le porte AD aperte a tutta Internet	un VPS pubblico senza VPN	assolutamente da evitare

Un solo controller può funzionare, ma il suo guasto rende indisponibili le nuove autenticazioni, le ricerche DNS interne e molte operazioni di amministrazione. Le credenziali Windows memorizzate nella cache possono consentire alcuni accessi, senza però rendere il dominio realmente operativo.

Prerequisiti

Sistema e risorse

Servono un Windows Server 2025 Standard o Datacenter aggiornato, un account amministratore locale, un indirizzo IP fisso per l'interfaccia privata o VPN di Active Directory, un nome di dominio pubblico realmente registrato come example.com, un sottodominio interno riservato ad AD come ad.example.com, un accesso RDP limitato o una console di emergenza e una destinazione di backup distinta dal disco di sistema.

Come punto di partenza, prevedete 2 vCPU e 4 GB di RAM per un laboratorio molto ridotto, e piuttosto 4 vCPU, 8 GB di RAM e 80 GB di archiviazione SSD per un piccolo controller di produzione. Non si tratta di minimi Microsoft universali: il dimensionamento dipende dal numero di oggetti, dalla frequenza delle autenticazioni, dal DNS, dai registri e dal software di sicurezza. Microsoft pubblica un metodo di pianificazione della capacità per AD DS.

I nostri VPS Windows vengono forniti con accesso amministratore completo. Consultate la pagina prodotto al momento dell'ordine, poiché versioni e caratteristiche possono cambiare.

Rete privata o VPN

Il controller deve avere un indirizzo stabile raggiungibile dai membri del dominio, ad esempio 10.50.0.10. Questo indirizzo può provenire da una rete privata tra VPS, da una VPN site-to-site tra l'azienda e il VPS, da un tunnel VPN permanente installato su ogni macchina membro oppure da una combinazione di queste soluzioni.

Una postazione remota deve poter stabilire il tunnel prima dell'accesso a Windows se deve contattare il dominio già dalla schermata di accesso. Una VPN che si avvia soltanto dopo l'accesso dell'utente non basta per tutti gli scenari relativi a Kerberos, criteri di gruppo e primo accesso.

1. Scegliere correttamente il nome del dominio Active Directory

Usate un sottodominio di un nome controllato dalla vostra organizzazione:

ad.example.com
corp.example.com
internal.example.com

Evitate un nome a etichetta singola come AZIENDA, un suffisso inventato come .lan, l'estensione .local, riservata a usi link-local dallo standard mDNS e quindi in grado di produrre risoluzioni ambigue, e il dominio pubblico nudo example.com se il vostro sito web e i vostri servizi Internet usano già quella stessa zona e non padroneggiate lo split DNS.

Microsoft raccomanda di registrare il livello DNS superiore o di usare un sottodominio di un nome già registrato, così da evitare collisioni. Consultate le raccomandazioni Microsoft sui nomi di dominio AD e la RFC 6762, che attribuisce una semantica particolare ai nomi che terminano in .local.

Il nome NetBIOS resta limitato a 15 caratteri. Per ad.example.com useremo EXAMPLE.

2. Preparare il VPS prima della promozione

Collegatevi in RDP, aprite PowerShell come amministratore e cominciate rilevando la configurazione attuale:

Get-ComputerInfo |
    Select-Object WindowsProductName, WindowsVersion, OsBuildNumber

Get-NetIPConfiguration
Get-NetAdapter
Get-DnsClientServerAddress
Get-NetFirewallProfile |
    Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction

Conservate queste informazioni nella documentazione operativa. Un errore di gateway, di prefisso o di interfaccia può interrompere immediatamente l'RDP.

Installare gli aggiornamenti

Installate gli aggiornamenti Windows disponibili e riavviate prima di aggiungere AD DS. La nostra guida ai primi passi con un VPS Windows illustra la connessione iniziale e Windows Update.

Dopo il riavvio:

Get-HotFix |
    Sort-Object InstalledOn -Descending |
    Select-Object -First 10

Rinominare il server

Scegliete un nome duraturo prima della promozione:

Rename-Computer -NewName "DC01" -Restart

Ricollegatevi quando il server è ripartito, poi verificate con hostname. Rinominare un controller dopo la messa in produzione è possibile in alcuni scenari, ma inutilmente rischioso per una prima installazione.

3. Fissare l'indirizzamento senza perdere l'accesso al VPS

Un controller di dominio non deve cambiare indirizzo al mutare di un lease DHCP. Su un VPS l'IPv4 pubblico è di norma già riservato, ma il metodo di configurazione dipende dal provider. Non sostituite mai indirizzo, prefisso o gateway con gli esempi seguenti.

Per visualizzare i valori attuali:

Get-NetIPConfiguration -All
Get-NetIPAddress -AddressFamily IPv4 |
    Sort-Object InterfaceIndex
Get-NetRoute -DestinationPrefix "0.0.0.0/0"

La sintassi Microsoft per creare un indirizzo fisso è la seguente:

# ESEMPIO DI SINTASSI: sostituite ogni valore con quelli realmente assegnati.
New-NetIPAddress `
    -InterfaceAlias "Ethernet" `
    -IPAddress "<IP_ASSEGNATO>" `
    -PrefixLength <PREFISSO> `
    -DefaultGateway "<GATEWAY>"

Se l'indirizzo pubblico è già configurato correttamente, non ricreatelo.

Caso consigliato: interfaccia pubblica e interfaccia privata distinte

Supponiamo un'interfaccia Ethernet Public con l'IPv4 pubblico usato per l'amministrazione limitata e un'interfaccia AD-Private con l'indirizzo 10.50.0.10 usato da AD DS e dal DNS.

Verificate prima i nomi esatti:

Get-NetAdapter |
    Select-Object Name, InterfaceDescription, Status, MacAddress

Evitate che l'indirizzo pubblico venga pubblicato nella zona DNS del dominio:

Set-DnsClient `
    -InterfaceAlias "Ethernet Public" `
    -RegisterThisConnectionsAddress $false

Set-DnsClient `
    -InterfaceAlias "AD-Private" `
    -RegisterThisConnectionsAddress $true

Microsoft documenta questa precauzione per i controller multirete con un'interfaccia che non deve essere registrata nel DNS. Dopo la promozione, verificate ed eliminate ogni record A indesiderato rimasto.

Configurare il DNS client del futuro DC

Per il primo e unico DNS del nuovo dominio, puntate l'interfaccia privata verso il proprio indirizzo stabile:

Set-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -ServerAddresses "10.50.0.10"

Get-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -AddressFamily IPv4

Questa configurazione sostituisce i DNS eventualmente forniti da DHCP su quell'interfaccia. Dopo l'installazione, il servizio DNS locale risolverà la zona AD e inoltrerà le altre richieste ai server d'inoltro. Consultate le raccomandazioni DNS di Microsoft per i controller di dominio.

4. Installare il ruolo AD DS

Aprite PowerShell come amministratore:

Install-WindowsFeature `
    -Name AD-Domain-Services `
    -IncludeManagementTools

Verificate il risultato:

Get-WindowsFeature AD-Domain-Services |
    Select-Object Name, InstallState

InstallState deve riportare Installed.

Questo passaggio installa i file del ruolo, ma non trasforma ancora il server in controller di dominio. Da Windows Server 2012 l'installazione del ruolo e la promozione sono due operazioni distinte; dcpromo.exe non è più il metodo da usare. La procedura attuale è descritta in Install Active Directory Domain Services.

5. Testare i prerequisiti e creare la foresta

Caricate il modulo di distribuzione e iniziate dal controllo dei prerequisiti:

Import-Module ADDSDeployment

Test-ADDSForestInstallation `
    -DomainName "ad.example.com" `
    -InstallDNS

Il test verifica la capacità del server di creare la foresta senza eseguire la promozione. Correggete gli errori bloccanti prima di proseguire.

Scegliere la password DSRM

La password della modalità di ripristino dei servizi directory (DSRM) permette di aprire una sessione di ripristino quando AD DS non è avviato. Deve essere diversa dalla password dell'amministratore di dominio, lunga e casuale, conservata nel gestore di password dell'organizzazione e accessibile alle persone incaricate del ripristino.

Creare la foresta

$DsrmPassword = Read-Host `
    "Password DSRM" `
    -AsSecureString

Install-ADDSForest `
    -DomainName "ad.example.com" `
    -DomainNetbiosName "EXAMPLE" `
    -InstallDNS `
    -SafeModeAdministratorPassword $DsrmPassword `
    -NoRebootOnCompletion:$false `
    -Force

Install-ADDSForest crea il dominio radice, installa il DNS per impostazione predefinita, inizializza SYSVOL e riavvia il server. Il riferimento Microsoft del cmdlet descrive tutti i parametri.

Per una foresta composta interamente da controller Windows Server 2025 potete usare il livello di funzionalità più elevato. Attenzione però: il livello 2025 accetta soltanto Windows Server 2025 come sistema del controller di dominio. Restate al livello 2016 se dovete poter aggiungere DC con 2016, 2019 o 2022. Consultate la matrice ufficiale dei livelli di funzionalità AD DS. Quando non specificate i parametri di livello, il modulo calcola i valori predefiniti; verificateli dopo la promozione anziché darli per scontati.

Metodo grafico equivalente

Manage > Add Roles and Features;
selezionate Active Directory Domain Services;
installate il ruolo e gli strumenti;
fate clic sulla notifica, poi su Promote this server to a domain controller;
scegliete Add a new forest;
inserite ad.example.com;
mantenete DNS e catalogo globale, quindi definite la password DSRM;
controllate il nome NetBIOS, i percorsi e i prerequisiti;
avviate l'installazione e lasciate riavviare il server.

PowerShell resta preferibile per una documentazione riproducibile e un registro delle modifiche utilizzabile.

6. Verificare che il controller di dominio funzioni

Dopo il riavvio, accedete come EXAMPLE\Administrator oppure [email protected], quindi aprite PowerShell come amministratore:

Get-ADDomain |
    Select-Object DNSRoot, NetBIOSName, DomainMode, PDCEmulator, RIDMaster

Get-ADForest |
    Select-Object Name, ForestMode, SchemaMaster, DomainNamingMaster

Get-ADDomainController -Filter * |
    Select-Object HostName, IPv4Address, Site, IsGlobalCatalog

Get-Service NTDS, DNS, Netlogon, Kdc |
    Select-Object Name, Status, StartType

Verificate le condivisioni indispensabili:

Get-SmbShare -Name SYSVOL, NETLOGON

Testate poi lo stato generale e il DNS:

dcdiag /v
dcdiag /test:dns /v

Resolve-DnsName `
    -Type SRV `
    "_ldap._tcp.dc._msdcs.ad.example.com"

dcdiag analizza lo stato dei controller di dominio. Il test DNS verifica in particolare i record SRV usati per individuare LDAP, Kerberos, il catalogo globale e il PDC. Vedi verificare il DNS per la replica AD.

Con un solo DC, l'assenza di un partner di replica è normale. Non va confusa con un errore DNS o SYSVOL.

7. Configurare correttamente il DNS

Active Directory dipende dal DNS per individuare controller e servizi. Le postazioni membri devono usare soltanto i DNS AD sulla loro scheda privata o VPN. Non configurate 1.1.1.1, 8.8.8.8 o il DNS del router come secondo DNS di una postazione membro: Windows potrebbe interrogarlo e concludere che il dominio interno non esiste.

I DNS pubblici o quelli del provider vanno configurati come server d'inoltro sui server DNS AD, non direttamente sui client.

Visualizzare la configurazione:

Get-DnsServerForwarder
Get-DnsServerZone

Esempio di configurazione dei server d'inoltro, da sostituire con i resolver approvati dalla vostra organizzazione:

Set-DnsServerForwarder `
    -IPAddress 1.1.1.1, 9.9.9.9 `
    -UseRootHint $true

I server d'inoltro vengono usati per i nomi che il DNS AD non riesce a risolvere localmente. Il loro funzionamento è documentato in DNS Forwarding in Windows Server.

Limitare il DNS all'interfaccia privata

Su un VPS dotato di interfaccia pubblica e privata, limitate l'ascolto DNS all'indirizzo AD:

$DnsSettings = Get-DnsServerSetting -All
$DnsSettings.ListeningIpAddress = @("10.50.0.10")
Set-DnsServerSetting $DnsSettings

Restart-Service DNS

Verificate:

Get-DnsServerSetting -All |
    Select-Object -ExpandProperty ListeningIpAddress

Assicuratevi che l'indirizzo privato sia realmente raggiungibile prima di rimuovere l'ascolto su un'altra interfaccia.

8. Configurare l'ora del dominio

Kerberos dipende da orologi coerenti. Nella gerarchia AD i membri sincronizzano l'ora con il dominio e il controller che detiene il ruolo di emulatore PDC della foresta radice deve usare una fonte NTP esterna affidabile. Microsoft precisa che solo il PDC radice deve accedere direttamente a tale fonte; gli altri DC seguono la gerarchia del dominio. Vedi la gerarchia temporale di AD DS.

Individuate il PDC:

netdom query fsmo

Solo su questo PDC, sostituite i nomi con due fonti NTP approvate:

w32tm /config `
    /manualpeerlist:"<NTP1>,0x8 <NTP2>,0x8" `
    /syncfromflags:manual `
    /reliable:yes `
    /update

Restart-Service w32time
w32tm /resync /rediscover
w32tm /query /source
w32tm /query /status

Autorizzate UDP 123 in uscita verso quelle fonti. Dopo una modifica, verificate la fonte effettivamente visualizzata anziché considerare sufficiente il comando.

9. Creare una struttura di OU, un utente e un gruppo

Non collocate tutti gli oggetti nei contenitori predefiniti. Le unità organizzative facilitano la delega, i criteri di gruppo e la separazione tra postazioni, server e account.

Import-Module ActiveDirectory

$BaseDn = (Get-ADDomain).DistinguishedName

@(
    "Utenti",
    "Gruppi",
    "Postazioni",
    "Server",
    "Account di servizio"
) | ForEach-Object {
    New-ADOrganizationalUnit `
        -Name $_ `
        -Path $BaseDn `
        -ProtectedFromAccidentalDeletion $true
}

Creare un gruppo di sicurezza:

New-ADGroup `
    -Name "GG-Support" `
    -SamAccountName "GG-Support" `
    -GroupCategory Security `
    -GroupScope Global `
    -Path "OU=Gruppi,$BaseDn" `
    -Description "Team di supporto"

Creare un utente senza scrivere la password in chiaro:

$UserPassword = Read-Host `
    "Password temporanea" `
    -AsSecureString

New-ADUser `
    -Name "Alice Martin" `
    -GivenName "Alice" `
    -Surname "Martin" `
    -DisplayName "Alice Martin" `
    -SamAccountName "amartin" `
    -UserPrincipalName "[email protected]" `
    -Path "OU=Utenti,$BaseDn" `
    -AccountPassword $UserPassword `
    -Enabled $true `
    -ChangePasswordAtLogon $true

Add-ADGroupMember `
    -Identity "GG-Support" `
    -Members "amartin"

Verificate il risultato:

Get-ADUser amartin -Properties MemberOf |
    Select-Object Name, Enabled, UserPrincipalName, MemberOf

Create un account di amministrazione nominativo distinto dall'account d'ufficio quotidiano. Non aggiungete tutti i tecnici a Domain Admins: Microsoft raccomanda un modello a privilegio minimo e postazioni di amministrazione protette nelle sue buone pratiche per la messa in sicurezza di Active Directory.

10. Aggiungere una postazione Windows al dominio

La postazione deve eseguire un'edizione di Windows compatibile con l'aggiunta al dominio, ad esempio Pro o Enterprise. Windows Home non può entrare in un dominio AD DS. Vedi Join a computer to a domain.

Verificare rete e DNS sulla postazione

La VPN o la rete privata deve essere attiva. Puntate il DNS della postazione verso il DC:

Get-NetAdapter

Set-DnsClientServerAddress `
    -InterfaceAlias "Ethernet" `
    -ServerAddresses "10.50.0.10"

Poi verificate:

Resolve-DnsName "ad.example.com"
Resolve-DnsName `
    -Type SRV `
    "_ldap._tcp.dc._msdcs.ad.example.com"

nltest /dsgetdc:ad.example.com /force

Se la risoluzione SRV fallisce, non tentate di entrare nel dominio usando l'indirizzo IP. Correggete il DNS.

Eseguire l'aggiunta

$Credential = Get-Credential "EXAMPLE\Administrator"

Add-Computer `
    -DomainName "ad.example.com" `
    -Credential $Credential `
    -Restart `
    -Verbose

In produzione, delegate a un gruppo ristretto il diritto di aggiungere computer anziché usare sistematicamente Domain Admins.

Dopo il riavvio, accedete come EXAMPLE\amartin e verificate il canale sicuro:

Test-ComputerSecureChannel -Verbose
whoami
gpresult /r

11. Quali porte autorizzare nella VPN?

L'installazione del ruolo crea le regole Windows necessarie, ma anche il firewall di rete e la VPN devono consentire le comunicazioni. L'elenco esatto varia in base alle funzionalità utilizzate.

Servizio	Porte principali	Utilizzo
DNS	TCP/UDP 53	risoluzione del dominio e record SRV
Kerberos	TCP/UDP 88	autenticazione
NTP	UDP 123	sincronizzazione dell'ora
RPC Endpoint Mapper	TCP 135	individuazione dei servizi RPC
LDAP	TCP/UDP 389	directory, SASL e localizzazione
SMB	TCP 445	SYSVOL, NETLOGON e criteri di gruppo
Cambio password Kerberos	TCP/UDP 464	gestione delle password
LDAPS	TCP 636	LDAP cifrato per le applicazioni compatibili
Catalogo globale	TCP 3268 e 3269	ricerche su tutta la foresta
RPC dinamico	TCP 49152-65535	amministrazione, replica e operazioni RPC

Il riferimento ufficiale completo è Service overview and network port requirements for Windows.

Queste porte devono essere autorizzate soltanto tra le sottoreti private o VPN approvate. Non aggiungete una regola Internet Any/Any per semplificare una diagnosi. Anche l'RDP va limitato alla VPN o a indirizzi di amministrazione noti: vedete le nostre guide per configurare il firewall di Windows Server su un VPS e per bloccare gli attacchi brute force contro RDP.

12. LDAP, firma e LDAPS su Windows Server 2025

Le nuove installazioni di Active Directory su Windows Server 2025 richiedono per impostazione predefinita la firma LDAP, tramite il criterio «Domain controller: LDAP server signing requirements enforcement». Questa protezione impedisce la modifica dei messaggi LDAP in transito e rifiuta i bind SASL non firmati e i bind semplici non protetti. Microsoft descrive tale comportamento in LDAP signing for Active Directory Domain Services.

Non disattivate la firma LDAP per far funzionare in fretta una vecchia applicazione. Preferite, in quest'ordine:

Kerberos o Negotiate con firma LDAP;
StartTLS se l'applicazione lo supporta;
LDAPS su TCP 636 con un certificato server valido;
un aggiornamento o una sostituzione dell'applicazione se sa eseguire soltanto un bind semplice non cifrato.

Per LDAPS il certificato del controller deve contenere il proprio FQDN nel CN o nel SAN, includere l'utilizzo Autenticazione server, possedere la propria chiave privata e risalire a un'autorità riconosciuta dal client. Consultate Configurare i certificati LDAP over SSL.

Nemmeno LDAPS deve essere aperto a tutta Internet. Se un'integrazione esterna non può usare la VPN, limitate rigorosamente gli indirizzi di origine, sorvegliate i tentativi e valutate un gateway applicativo anziché esporre direttamente il DC.

13. Aggiungere un secondo controller di dominio

Per la produzione, create DC02 su un altro VPS e, se possibile, in un'altra zona di guasto. Collegatelo alla stessa rete privata o VPN.

Prima dell'aggiunta, configurate il suo DNS preferito verso DC01:

Set-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -ServerAddresses "10.50.0.10"

Aggiungete DC02 al dominio:

$Credential = Get-Credential "EXAMPLE\Administrator"

Add-Computer `
    -DomainName "ad.example.com" `
    -Credential $Credential `
    -Restart

Dopo il riavvio, installate AD DS e verificate i prerequisiti:

Install-WindowsFeature `
    -Name AD-Domain-Services `
    -IncludeManagementTools

Test-ADDSDomainControllerInstallation `
    -DomainName "ad.example.com" `
    -InstallDNS

Promuovete DC02:

$DsrmPassword = Read-Host `
    "Password DSRM di DC02" `
    -AsSecureString

Install-ADDSDomainController `
    -DomainName "ad.example.com" `
    -InstallDNS `
    -SafeModeAdministratorPassword $DsrmPassword `
    -NoRebootOnCompletion:$false `
    -Force

La sintassi è descritta in Install-ADDSDomainController.

Dopo la replica, configurate i DNS dei client in modo incrociato: DC01 con 10.50.0.11 come preferito e 10.50.0.10 come secondario, DC02 al contrario, e i membri con entrambi gli indirizzi.

Verificate la replica:

repadmin /replsummary
repadmin /showrepl
dcdiag /e /c
dcdiag /test:dns /e /v

Due DC sullo stesso hypervisor, sullo stesso storage e sulla stessa rete riducono i guasti software, ma non il guasto di quell'infrastruttura comune.

14. Attivare il Cestino di Active Directory

Il Cestino di AD consente di ripristinare determinati oggetti eliminati con i loro attributi. Non è attivo per impostazione predefinita e la sua attivazione è irreversibile, anche se il suo impiego è in genere consigliato dopo la convalida della foresta.

Get-ADOptionalFeature `
    -Filter 'Name -eq "Recycle Bin Feature"' |
    Enable-ADOptionalFeature `
        -Scope ForestOrConfigurationSet `
        -Target "ad.example.com"

Verificate:

Get-ADOptionalFeature `
    -Filter 'Name -eq "Recycle Bin Feature"' |
    Select-Object Name, EnabledScopes

Solo gli oggetti eliminati dopo l'attivazione possono essere ripristinati in questo modo. Il Cestino non sostituisce né il backup dello stato del sistema né un piano di ripristino. Vedi Attivare Active Directory Recycle Bin.

15. Applicare una baseline di sicurezza Windows Server 2025

Microsoft fornisce con OSConfig una baseline specifica per il ruolo di controller di dominio. Provatela prima in un ambiente non critico: irrigidisce i protocolli e modifica il comportamento del reindirizzamento delle unità nelle sessioni RDP, cosa che può ostacolare software datati o le vostre abitudini di lavoro.

Installare il modulo:

Install-Module `
    -Name Microsoft.OSConfig `
    -Scope AllUsers `
    -Force

Applicare la baseline DC:

Set-OSConfigDesiredConfiguration `
    -Scenario SecurityBaseline/WindowsServer/2025/DomainController `
    -Default

Verificare la conformità:

Get-OSConfigDesiredConfiguration `
    -Scenario SecurityBaseline/WindowsServer/2025/DomainController |
    Format-Table `
        Name, `
        @{Name="Status"; Expression={$_.Compliance.Status}}, `
        @{Name="Reason"; Expression={$_.Compliance.Reason}} `
        -AutoSize `
        -Wrap

Microsoft documenta prerequisiti, effetti e comandi in Configurare le baseline di sicurezza di Windows Server 2025.

Altre misure indispensabili:

mantenere Windows Defender attivo e monitorato;
installare rapidamente gli aggiornamenti di sicurezza;
vietare navigazione web, posta elettronica e software da ufficio sul DC;
non ospitare IIS, SQL Server, un server di gioco o strumenti per gli utenti sul controller;
usare account privilegiati distinti e nominativi;
limitare l'RDP alla VPN o a IP di amministrazione;
controllare i gruppi Domain Admins, Enterprise Admins e Administrators;
conservare il segreto DSRM in un gestore di password;
sorvegliare i registri Directory Service, DNS Server, DFS Replication, System e Security.

16. Eseguire correttamente il backup di Active Directory

Uno snapshot del VPS è utile per certi scenari infrastrutturali, ma non deve essere il vostro unico metodo di ripristino di Active Directory. Microsoft mette a disposizione meccanismi di ripristino adatti ai DC virtualizzati e consiglia un backup dello stato del sistema nella sua guida al ripristino della foresta.

Installate Windows Server Backup:

Install-WindowsFeature Windows-Server-Backup

Eseguite un backup dello stato del sistema su un volume separato, qui E::

wbadmin start systemstatebackup `
    -backuptarget:E: `
    -quiet

Elencate le versioni disponibili:

wbadmin get versions -backuptarget:E:

Il supporto di destinazione non deve essere l'unico disco di sistema del VPS. Copiate o replicate il backup su uno storage separato, con una politica di conservazione e un controllo degli accessi. La nostra guida su come salvare un VPS Windows presenta diversi metodi generali; per un controller di dominio, accertatevi che il metodo scelto copra realmente lo stato del sistema.

Un backup è credibile solo dopo che ne avete testato il ripristino in una rete isolata. Documentate chi può avviare il ripristino, dove si trovano supporto e chiavi, la password DSRM, l'ordine di ripristino dei controller, la procedura di ripristino non autorevole o autorevole, nonché data e durata dell'ultimo test riuscito.

17. Controlli di integrità da automatizzare

Eseguite regolarmente:

dcdiag /e /c
dcdiag /test:dns /e /v
repadmin /replsummary
netdom query fsmo
w32tm /query /status
w32tm /query /source

Verificate anche condivisioni e servizi:

Get-SmbShare -Name SYSVOL, NETLOGON

Get-Service NTDS, DNS, Netlogon, Kdc, DFSR |
    Select-Object Name, Status, StartType

Alcune metriche utili: spazio libero del volume di sistema, code ed errori di replica, errori DNS e record SRV mancanti, scarto e fonte dell'ora, arresti di NTDS, DNS, Netlogon, Kdc o DFSR, modifiche ai gruppi privilegiati, errori di autenticazione e blocchi anomali, età ed esito dell'ultimo backup.

18. Risoluzione degli errori più frequenti

Sintomo	Causa probabile	Verifica e correzione
«The specified domain either does not exist or could not be contacted»	la postazione usa un DNS pubblico o non è collegata alla VPN	`ipconfig /all`, `Resolve-DnsName` e `nltest /dsgetdc:ad.example.com /force`
La promozione segnala un IP dinamico	interfaccia ancora in DHCP o indirizzo VPN non stabile	verificate `Get-NetIPConfiguration` e fissate l'indirizzo secondo l'infrastruttura
Il server risponde con il proprio IP pubblico nel DNS	l'interfaccia pubblica si registra dinamicamente	disattivatene la registrazione DNS, limitate l'ascolto ed eliminate il record A errato
Manca `SYSVOL` o `NETLOGON`	inizializzazione AD o DFSR incompleta	consultate `dcdiag`, il registro DFS Replication e gli errori della promozione
I criteri di gruppo non vengono applicati	DNS, SMB 445, RPC o SYSVOL non disponibili	`gpresult /h`, `Test-NetConnection`, `Get-SmbShare` e i registri GroupPolicy
Errore Kerberos benché la password sia corretta	scarto dell'ora o fonte NTP errata	`w32tm /query /status`, `w32tm /query /source` e il ruolo PDC
RDP perso dopo la promozione	profilo firewall passato da Public a Domain o regola mal delimitata	usate la console di emergenza e verificate profili e regole RDP
`repadmin` segnala 1722 RPC unavailable	porta 135, RPC dinamico, DNS o routing VPN bloccati	testate DNS, TCP 135 e l'intervallo RPC soltanto tra DC
Una vecchia applicazione LDAP non si collega più	Windows Server 2025 richiede la firma LDAP	aggiornate l'applicazione o configurate SASL firmato, StartTLS o LDAPS; non disattivate globalmente la protezione
La postazione entra nel dominio ma non riesce ad aprire una prima sessione fuori sede	VPN disponibile solo dopo l'accesso	distribuite un tunnel macchina o effettuate il primo accesso sulla rete privata
Il secondo DC non replica	il suo DNS puntava a un resolver pubblico prima della promozione	puntate DC02 verso DC01, rilanciate le diagnostiche DNS e poi la replica

Partite sempre da DNS, ora e registri. Gran parte degli errori di Active Directory che sembrano problemi di Kerberos, di replica o di criteri di gruppo nasce a monte da una risoluzione dei nomi difettosa.

Elenco di controllo per la messa in produzione

Il dominio usa un sottodominio di un nome realmente controllato.
DC01 ha un indirizzo privato o VPN fisso.
Nessuna porta AD è esposta a tutta Internet.
L'RDP è limitato alla VPN o agli indirizzi di amministrazione.
L'interfaccia pubblica non registra il proprio indirizzo nel DNS AD.
I client usano soltanto DC01 e DC02 come DNS.
I server d'inoltro esterni sono configurati sul server DNS AD.
dcdiag e il test DNS non mostrano errori bloccanti.
La fonte NTP del PDC è stata verificata.
SYSVOL e NETLOGON sono presenti.
Per la produzione esiste un secondo DC e DNS.
La replica tra i DC è integra.
Il Cestino di AD è stato valutato e attivato se scelto.
La baseline Windows Server 2025 è stata provata prima dell'applicazione.
È pianificato un backup dello stato del sistema fuori dal server.
Un ripristino è stato realmente testato.
Gli account amministratore sono separati dagli account quotidiani.
I gruppi privilegiati e i registri sono sorvegliati.

Domande frequenti

Active Directory può usare soltanto l'IPv4 pubblico del VPS?

Tecnicamente il servizio può restare in ascolto su quell'indirizzo, ma esporne le porte a Internet è sconsigliato. Usate un indirizzo privato stabile su una rete privata o una VPN. L'indirizzo pubblico deve servire all'amministrazione controllata, idealmente anch'essa via VPN.

Basta un solo VPS?

Per un laboratorio sì. Per un'azienda, un unico DC è un punto di guasto singolo per DNS, Kerberos e directory. Aggiungete almeno un secondo controller collocato in una zona di guasto diversa e configurate i client con entrambi i DNS.

Posso usare un dominio .local?

È meglio usare un sottodominio di un nome registrato, come ad.azienda.it. Questa scelta evita collisioni con la risoluzione mDNS e semplifica certificati, identità e future integrazioni.

Perché una postazione non deve avere un DNS pubblico come secondario?

Windows non considera il secondo DNS un semplice ripiego interrogato solo quando il primo server è offline. Può usarlo e ricevere una risposta secondo cui la zona interna non esiste. Le postazioni del dominio devono interrogare i DNS AD, che a loro volta inoltrano le richieste Internet ai propri server d'inoltro.

Active Directory richiede LDAPS?

I meccanismi Windows usano tra l'altro Kerberos e LDAP firmato. Per un'applicazione che effettua un bind LDAP con nome utente e password, usate un metodo protetto come SASL firmato, StartTLS o LDAPS. Windows Server 2025 impone la firma LDAP per impostazione predefinita sulle nuove installazioni.

Uno snapshot basta per il backup del DC?

Non come strategia unica. Conservate un backup dello stato del sistema compatibile con il ripristino di AD, una copia fuori dal server e una procedura testata. Gli snapshot dell'hypervisor possono integrare il dispositivo, non sostituire la preparazione di un ripristino della foresta.

Si può ospitare altro software sul controller?

Evitatelo. Un DC dovrebbe essere dedicato ad AD DS, al DNS e ai componenti strettamente necessari alla sua amministrazione e alla sua protezione. Aggiungere un'applicazione web, un database o un server di gioco aumenta la superficie di attacco e il rischio di conflitti.

Che cosa succede se la VPN cade?

Le postazioni che hanno già aperto una sessione possono talvolta usare le credenziali memorizzate nella cache, ma non dispongono più dell'insieme dei servizi di dominio. Kerberos, i nuovi criteri di gruppo, le ricerche DNS interne e l'accesso a determinate risorse possono fallire. La VPN fa quindi parte della disponibilità della vostra architettura AD.

Conclusione

Installare AD DS su Windows Server 2025 richiede pochi comandi. Costruire un dominio affidabile esige di più: un nome DNS controllato, una rete privata, DNS coerenti, un'ora corretta, due controller, privilegi limitati e un ripristino testato.

Il punto più importante è l'architettura di rete. Non trasformate il vostro VPS in un controller di dominio pubblico aprendo a Internet tutte le porte necessarie. Collegate le macchine tramite VPN, pubblicate soltanto gli indirizzi privati nel DNS AD e limitate l'RDP agli amministratori autorizzati. Poste queste basi, gli strumenti Microsoft consentono di automatizzare promozione, controlli di integrità, baseline di sicurezza e backup.