Crea pacchetti di distribuzione di Firefox con GPO e criteri aziendali

Centralizzare la configurazione del browser e del software In un contesto aziendale, non è più un lusso, ma una necessità. Se la vostra organizzazione utilizza Firefox e desiderate mantenerlo sotto controllo, con estensioni e impostazioni configurate correttamente, l'approccio migliore è quello di sfruttare Active Directory, i Criteri di gruppo (GPO) e i modelli amministrativi ufficiali di Mozilla. Questo vi eviterà di dover ricorrere a script isolati, installazioni manuali o a un approccio in cui "ognuno lo configura come può".

Creare pacchetti di distribuzione di Firefox con GPO Consente di installare il browser stesso, applicare criteri di sicurezza, forzare l'installazione di estensioni (proprio come in Edge o Chrome) e distribuire automaticamente software aggiuntivo ai computer del dominio. Vediamo, passo dopo passo, come configurare questa infrastruttura, come lavorare con i file ADMX di Firefox, come forzare l'installazione di estensioni e come utilizzare gli Oggetti Criteri di gruppo (GPO) per distribuire altri programmi .MSI sui computer.

Prerequisiti e panoramica dell'implementazione con GPO

Prima di iniziare a creare GPO e a modificare i modelli, è necessario avere ben chiari i requisiti minimi per lavorare seriamente con i criteri di gruppo e Firefox in una rete aziendale. Questi sono:

Ambiente Active DirectoryTutto ciò che vedrete qui si basa su un dominio Windows Server con Active Directory Domain Services (AD DS). Avrete bisogno di almeno un controller di dominio, anche se negli ambienti reali di solito ce ne sono più di uno per garantire la ridondanza.
Autorizzazione dell'amministratorePer creare e modificare gli oggetti Criteri di gruppo (GPO), collegarli alle unità organizzative (OU) e copiare i modelli ADMX nell'archivio centrale, è necessario utilizzare un account con autorizzazioni amministrative nel dominio o, come minimo, deleghe specifiche sulle unità organizzative che si intende gestire.
Squadre unite nel dominioI client (Windows 10/11, server, ecc.) su cui si desidera distribuire Firefox, i relativi criteri o qualsiasi altro software devono essere aggiunti al dominio AD DS. In caso contrario, i criteri di gruppo non verranno applicati.
Software in formato aziendalePer la distribuzione generale delle applicazioni tramite Criteri di gruppo, si consiglia di utilizzare i pacchetti di Windows Installer (.msi) o le installazioni amministrative tramite setup.exe /a. Nel caso di Firefox e delle sue estensioni, combineremo ADMX e parametri specifici.

Modelli amministrativi ufficiali di Firefox (ADMX)

Per anni, gestire Firefox nelle aziende è stato un piccolo incubo. Poiché non esistevano modelli amministrativi ufficiali, gli utenti dovevano affidarsi a script, copiare manualmente i file di configurazione o utilizzare soluzioni di terze parti. La situazione è cambiata nel maggio 2018, quando Mozilla ha rilasciato i propri modelli di policy in formato ADMX.

compatibilità delle politicheLe policy di Firefox funzionano solo dalla versione 60 in poi. Nelle versioni precedenti, i modelli non avranno alcun effetto, quindi assicurati che Firefox sia aggiornato su tutti i tuoi computer prima di iniziare.

Scarica i modelli di MozillaÈ possibile ottenere i file ADMX e i relativi file di lingua (ADML) dal repository ufficiale di Mozilla su GitHub, nella sezione "Releases" del progetto policy-templates. Lì troverete un file compresso con tutti i modelli necessari per configurare Firefox utilizzando gli Oggetti Criteri di gruppo (GPO).

Decompressione e preparazioneUna volta scaricato il pacchetto, estraetelo in una posizione temporanea sulla vostra workstation amministrativa o su un server di file. Troverete cartelle per le diverse lingue e i file .admx che definiscono le categorie e le impostazioni dei criteri.

Copia i file ADMX e ADML nell'archivio delle direttive.Per consentire all'Editor Gestione Criteri di gruppo di riconoscere i nuovi modelli, è necessario copiare i file ADMX e ADML nel percorso appropriato, che può essere locale o centralizzato:

Negozio locale: C:\Windows\PolicyDefinitions sul controller di dominio stesso.
Negozio principale: \\dc-server\SYSVOL\nome-dominio\Policies\PolicyDefinitions sul controller di dominio primario o sul server utilizzato dall'organizzazione per l'archivio centrale.

Dopo aver copiato i modelli, all'apertura della console GPO (gpmc.msc) Nei modelli amministrativi, sia in Configurazione computer che in Configurazione utente, a seconda di ciò che offre ciascuna versione dei modelli di policy, verranno visualizzate nuove sezioni per Mozilla Firefox.

Creazione e gestione di base dei Criteri di gruppo (GPO) in Active Directory

L'intera distribuzione di Firefox e di altri programmi Il processo è gestito tramite oggetti Criteri di gruppo (GPO). Le procedure generali per la creazione, la modifica e il collegamento di un GPO sono le stesse, sia che si tratti di browser, estensioni o software di terze parti.

Accesso al Gestore delle politiche di gruppoDa un controller di dominio o da un server di amministrazione:

Apri il amministratore del serverVai su Strumenti e seleziona "Gestione Criteri di gruppo".
Se preferisci andare dritto al punto, puoi avviare direttamente GPMC.MSC Dalla finestra Esegui o da una console.

Creazione di un nuovo oggetto Criteri di gruppo (GPO)Per centralizzare la configurazione di Firefox o distribuire software:

Fai clic con il pulsante destro del mouse sul nome del dominio o sull'unità organizzativa (OU) a cui desideri applicare i criteri.
Seleziona "Crea un oggetto Criteri di gruppo (GPO) in questo dominio e collegalo qui...".
Inserisci un nome descrittivo, ad esempio "Firefox - Norme aziendali" o "Implementazione del software PuTTY".

Edizione GPOUna volta creato, fai clic con il pulsante destro del mouse su di esso e seleziona "Modifica". Si aprirà l'Editor Gestione Criteri di gruppo, dove troverai due sezioni principali: Configurazione computer e Configurazione utente, ognuna con i propri criteri, modelli amministrativi e opzioni di configurazione del software.

Controllo della sicurezza e dell'ambito di applicazioneDalle proprietà dei Criteri di gruppo (scheda Sicurezza in Utenti e computer di Active Directory o direttamente nella Console Gestione Criteri di gruppo), è possibile regolare chi ha l'autorizzazione ad "Applicare i Criteri di gruppo". Qui si decide quali gruppi di sicurezza visualizzeranno o meno i criteri. Deselezionare l'opzione per i gruppi da escludere e selezionarla per i gruppi di destinazione.

Ricorda che l'ambito dipende anche dall'OU a cui è collegato il GPO. È possibile avere criteri specifici per una filiale specifica, una sede, un gruppo di server o solo per determinati tipi di apparecchiature, a seconda di come è stata progettata la struttura dell'unità organizzativa (OU).

Configurare Firefox tramite GPO con modelli ADMX

Una volta copiati i modelli Mozilla e creato il GPO, puoi iniziare a definire le politiche che regoleranno il comportamento di Firefox all'interno dell'azienda. Queste politiche spaziano dalla configurazione della pagina iniziale al blocco di determinate opzioni utente o al controllo delle estensioni.

Navigazione nei modelli di Firefox

Nell'editor GPO, nella sezione Modelli amministrativi, troverai una sezione dedicata a Mozilla Firefox (la posizione esatta potrebbe variare leggermente a seconda della versione). Da lì, puoi definire le impostazioni a livello di utente o di computer.

Politiche tipiche di interesse negli ambienti aziendali Può includere:

Blocco delle modifiche critiche alla configurazione (proxy, certificati, aggiornamenti automatici, ecc.).
Impostazioni della pagina iniziale con la intranet aziendale o il portale dei servizi.
Definizione dei server proxy ed esclusioni per controllare il traffico web.
Disabilitare le funzionalità non conformi alla politica di sicurezza, come ad esempio determinate funzionalità di sincronizzazione o autorizzazioni del sito.
Gestione dell'estensione, indicando quali componenti aggiuntivi sono installati, quali sono bloccati e quali sono consentiti.

Applicazione della politica agli utenti o alle apparecchiature

A seconda di come si desidera controllare Firefox, è possibile scegliere tra:

Configura le policy nelle impostazioni dell'apparecchiatura.in modo che influenzino qualsiasi utente che acceda a tali macchine.
Configura le policy nelle Impostazioni utente.in modo che le impostazioni vengano trasferite insieme all'account, indipendentemente dal dispositivo utilizzato per la connessione.

È sempre consigliabile testare le policy su un sottoinsieme di utenti o in un'unità organizzativa di test prima di implementarle nell'intera organizzazione, per evitare sorprese in produzione.

Installazione automatica delle estensioni nei browser (Firefox, Chrome ed Edge)

Oltre al browser stesso, in molte aziende È fondamentale assicurarsi che una determinata estensione sia installata e attiva su tutti i computer (ad esempio, un plugin di sicurezza, un agente di monitoraggio o un'estensione per la produttività). La procedura varia leggermente tra Edge, Chrome e Firefox, ma la logica è simile.

Scenario tipico: ampliamento di Kabeen

Immagina di voler implementare l'estensione Kabeen per Microsoft Edge, Google Chrome e Mozilla Firefox. L'estensione funziona in combinazione con un agente nativo che deve essere installato anch'esso sul computer per registrare l'utilizzo delle applicazioni web, quindi dovrai gestire entrambi i componenti: l'agente e l'estensione.

Passaggio 1: Creare l'oggetto Criteri di gruppo (GPO) per la distribuzione dell'estensioneCome in precedenza, accedi alla workstation amministrativa o al controller di dominio, apri la Console Gestione Criteri di gruppo, fai clic con il pulsante destro del mouse sul dominio o sull'unità organizzativa pertinente e crea un nuovo oggetto Criteri di gruppo (GPO) con un nome descrittivo, ad esempio "Estensione Kabeen Browsers".
Passaggio 2: Installa i modelli di amministrazione del browserSu alcuni controller di dominio, sarà inoltre necessario implementare i modelli ADMX specifici per Microsoft Edge, Google Chrome e Mozilla Firefox per abilitare le opzioni di controllo delle estensioni. Questi modelli vengono copiati anche nell'archivio PolicyDefinitions locale o centrale.
Passaggio 3: Configurare l'installazione silenziosa dell'estensione per ciascun browser supportato, utilizzando le sezioni Estensioni all'interno dei modelli amministrativi.

Estensione di Microsoft Edge

Per forzare l'installazione dell'estensione in EdgeModifica i Criteri di gruppo e naviga nella struttura ad albero per:

Configurazione utente > Criteri > Modelli amministrativi > Microsoft > Microsoft Edge > Estensioni

All'interno di quella sezione, individua la politica "Controlla quali estensioni vengono installate in modalità silenziosa" (o nome equivalente a seconda della lingua/versione). Procedi come segue:

Modifica quella policy e seleziona l'opzione Abilitato.
Fare clic sul pulsante spettacolo per aprire l'elenco delle estensioni che verranno installate in modalità silenziosa.
Aggiungere l'identificativo dell'estensione Kabeen, ad esempio: jgdflahjneomipldehpneckiplknghbc (Il valore esatto dipenderà dalla documentazione attualmente in possesso del fornitore.)

Con questo, quando gli utenti accedono a Edge Sui computer interessati dalle GPO, l'estensione verrà installata automaticamente senza richiedere conferma.

Estensione in Google Chrome

In Chrome il meccanismo è simileMa il criterio che ci interessa è quello relativo all'elenco di installazione forzata di app ed estensioni. Nell'editor GPO, vai a:

Impostazioni utente > Norme > Modelli amministrativi > Google > Google Chrome > Estensioni

Da lì, modifica la politica. “Configura l’elenco di app ed estensioni per forzarne l’installazione” e:

Contrassegna la politica come Abilitato.
Premere spettacolo per aggiungere gli elementi all'elenco.
Includi l'identificativo assegnato a Kabeen in Chrome, ad esempio: hkmgmmaopoofgchofbngplopnhajbojc (verificare sempre questo aspetto nella documentazione ufficiale).

In questo modo, Chrome installerà l'estensione in background. per gli utenti inclusi nell'ambito di tale GPO, senza che debbano accedere al Chrome Web Store.

Estensione per Mozilla Firefox

In Firefox, gestione forzata delle estensioni Anche questo viene fatto tramite i modelli amministrativi, una volta installati. Nell'oggetto Criteri di gruppo (GPO), accedere a:

Configurazione utente > Criteri > Modelli amministrativi > Mozilla > Firefox > Estensioni

In quel ramo troverai la politica “Estensioni da installare” (o simile). Per forzare l’installazione dell’estensione Kabeen:

Modifica la policy e contrassegnala come Abilitato.
Nell'elenco delle estensioni da installare, aggiungi l'URL di installazione dal portale dei componenti aggiuntivi di Mozilla, ad esempio: https://addons.mozilla.org/firefox/downloads/latest/kabeen/latest.xpi.

Firefox scaricherà e installerà automaticamente l'estensione. all'avvio, senza intervento dell'utente, a condizione che la policy venga applicata correttamente e che la versione del browser supporti queste direttive.

Distribuzione del software sui computer di dominio tramite GPO

Oltre alla gestione di browser ed estensioniGli oggetti Criteri di gruppo (GPO) consentono di distribuire software completi su computer appartenenti a un dominio. Questa funzionalità è disponibile in tutte le versioni supportate di Windows Server ed è particolarmente utile per installare strumenti comuni (client VPN, utilità come PuTTY, agenti, ecc.) senza dover intervenire su ogni singola workstation.

La Direttiva di gruppo prevede due modalità di distribuzione principali:

Allocazione del software (a utenti o apparecchiature) per l'installazione automatica.
Pubblicazione del software (per gli utenti) da installare su richiesta tramite Aggiungi o rimuovi programmi.

Assegna un programma a un utente Ciò significa che il software si prepara all'accesso e completa l'installazione quando l'utente lo esegue per la prima volta. Assegnandolo a un computer, l'installazione avviene all'avvio del sistema e il software diventa disponibile per tutti gli utenti di quella macchina.

Pubblica un programma In questo modo il pacchetto viene visualizzato in "Aggiungi nuovi programmi" all'interno di "Installazione applicazioni" / Pannello di controllo, e l'utente decide se installarlo o meno.

Creare il punto di distribuzione del software

La distribuzione GPO si basa su una risorsa di rete condivisa Questo repository è il punto di accesso da cui i computer possono scaricare i pacchetti .msi o i file di installazione. In genere, risiede su un file server accessibile a tutti i computer del dominio.

Passaggi fondamentali per configurare il repository:

Accedi al file server o al Domain Controller stesso con privilegi di amministratore.
Crea una cartella che fungerà da repository del software, ad esempio "SoftRepo".
Fare clic con il tasto destro del mouse sulla cartella, immettere proprietà e vai alla scheda condividi.
Premere Uso del comparto avanzato, seleziona la casella “Condividi questa cartella” e poi fai clic su permessi.

Configura le autorizzazioni di condivisione rimuovendo l'accesso generico a "Tutti" e aggiungendo i gruppi o gli utenti appropriati (ad esempio, Tutti i computer del dominio e Tutti gli utenti del dominio, in base ai criteri di sicurezza).

Nella scheda Sicurezza della cartellaAccedere alle Opzioni avanzate, aggiungere i gruppi necessari e concedere loro i permessi di lettura (o i permessi appropriati). In questo modo, i computer potranno scaricare il programma di installazione senza problemi di permessi NTFS.

Verifica che l'accesso funzioni Inserisci il percorso UNC completo nel tuo file manager, ad esempio \\SRV-OLIN02-001\SoftRepo. Se si apre correttamente, il tuo punto di distribuzione è pronto.

Pubblicare o assegnare un pacchetto MSI tramite Criteri di gruppo

Il passo successivo consiste nel creare i criteri di gruppo (GPO) per l'installazione del software. e collegarlo dove preferisci. Puoi farlo sia da Utenti e computer di Active Directory che da GPMC, ma la procedura è la stessa.

Creazione dell'oggetto Criteri di gruppo (GPO) da Utenti e computer di Active Directory:

Aprire "Utenti e computer di Active Directory" da Strumenti di amministrazione.
Nell'albero, fai clic con il pulsante destro del mouse sul dominio e scegli proprietà.
Nella scheda Politica di gruppo, clicca su Nuova Creare un oggetto Criteri di gruppo (GPO) e assegnargli un nome descrittivo.
Nella scheda Sicurezza, configura quali gruppi hanno l'autorizzazione ad "Applicare i criteri di gruppo" selezionandoli o deselezionandoli a seconda delle necessità.

Assegnare il pacchetto software Questa operazione viene eseguita per team o singoli utenti dall'editor GPO:

Modificare i GPO facendo clic su Cambiare dalla scheda Criteri di gruppo o da GPMC.
Basso Configurazione dell'attrezzatura, espandere Configurazione del software ed entra Installazione software se si desidera che il programma venga installato all'avvio dei computer.
Fai clic con il pulsante destro del mouse su Installazione software e scegli Nuovo > Pacchetto.
Nella finestra di dialogo Apri, specificare il percorso UNC completo del file .msi presente nella condivisione: ad esempio, \\server\SoftRepo\program.msi.
Seleziona il pacchetto e, quando richiesto, scegli il metodo Assegnato.

Il pacchetto apparirà nel pannello di destra dell'editor. Si tratta di un programma gestito tramite GPO. Dopo aver chiuso l'editor e applicato i criteri, i computer interessati installeranno il software al successivo riavvio.

Se invece di assegnare vuoi pubblicare un pacchetto per gli utentiVai a Impostazioni utente > Impostazioni software > Installazione software, crea un nuovo pacchetto con lo stesso percorso UNC e seleziona il metodo pubblicareIl programma apparirà in "Aggiungi nuovi programmi" nel Pannello di controllo, da dove gli utenti potranno installarlo manualmente.

Manutenzione: ridistribuzione e rimozione dei pacchetti

Il ciclo di vita di un pacchetto software in un'organizzazione Il processo non si conclude con l'installazione iniziale. A volte è necessario aggiornare, ridistribuire o rimuovere completamente il software. Criteri di gruppo offre opzioni per gestire tutto ciò in modo controllato.

Ridistribuire un pacchetto Potrebbe essere necessario farlo quando si rilascia una nuova versione o si corregge un bug nel file MSI. Per farlo:

Apri Utenti e computer di Active Directory, vai a Proprietà del dominio e alla scheda Politica di gruppo.
Seleziona l'oggetto Criteri di gruppo (GPO) utilizzato per distribuire il pacchetto e fai clic su Cambiare.
Nell'editor, espandi il ramo di Configurazione del software che contiene la voce Installazione del software.
Fai clic sul contenitore Installazione software, individua il programma nel riquadro di destra, fai clic con il pulsante destro del mouse su di esso e seleziona Tutti i compiti poi Ridistribuisci l'applicazione.
Conferma il messaggio che indica che l'applicazione verrà reinstallata in tutte le posizioni in cui era stata precedentemente installata.

Da quel momento in poi, ai successivi riavvii o accessiI team riceveranno nuovamente il pacchetto, che verrà aggiornato secondo quanto definito nell'MSI.

Rimuovere un pacchetto Ciò è altrettanto importante quando il software diventa obsoleto o viene sostituito da un altro:

Dallo stesso contenitore di installazione del software, fai clic con il pulsante destro del mouse sul programma e seleziona Tutte le attività > Rimuovi.
Il sistema ti offrirà due opzioni: Disinstallare immediatamente il software dagli utenti e dai computer. o Consenti agli utenti di continuare a utilizzare il software, ma impedisci nuove installazioni..
Scegli quella che meglio si adatta alla tua strategia di transizione e conferma.

Si prega di notare che a volte i pacchetti pubblicati Questi programmi potrebbero continuare a comparire sulle workstation client anche dopo essere stati rimossi tramite Criteri di gruppo, soprattutto se l'utente li ha installati ma non li ha mai eseguiti. L'installazione si completa al primo avvio del programma e i Criteri di gruppo provvederanno quindi a rimuoverli in base alla nuova configurazione.

Padroneggia queste opzioni di manutenzione Consente di mantenere un parco software molto più pulito e omogeneo, evitando che vecchie versioni vengano dimenticate su alcune macchine.

Combinando i modelli amministrativi ufficiali di Firefox, i criteri di gruppo (GPO) per le estensioni del browser e l'installazione del software tramite pacchetti MSI.Si ottiene un controllo granulare sul browser utilizzato, sulle policy che lo regolano e sugli strumenti aggiuntivi presenti sulle workstation. Con una pianificazione minima (repository software, struttura delle unità organizzative ben ponderata e test preliminari in laboratorio), l'implementazione di Firefox e delle relative policy aziendali tramite GPO passa da un'attività complessa a un processo prevedibile, ripetibile e molto più pratico per gli amministratori di sistema.