Un’installazione clonata di Windows Server può ereditare lo stesso identificatore di sicurezza del computer, o SID, del sistema di origine. Su Windows Server 2025, i SID duplicati possono causare errori di autenticazione Kerberos e NTLM dopo l’installazione di aggiornamenti rilasciati a partire dal 29 agosto 2025.
I sintomi possono includere richieste ripetute di credenziali, condivisioni di rete inaccessibili, connessioni RDP non riuscite, errori del clustering di failover e l’evento LsaSrv con ID 6167. Microsoft documenta queste protezioni per Windows Server 2025, non per tutte le versioni precedenti di Windows Server.
La soluzione adatta dipende dal momento in cui rilevi il SID duplicato:
| Situazione | Intervento consigliato |
|---|---|
| Stai preparando un’immagine riutilizzabile o un modello di macchina virtuale | Esegui Sysprep prima di acquisire l’immagine |
| Il clone non è ancora entrato in produzione | Ricrealo da un’immagine generalizzata correttamente |
| Un server membro è già stato distribuito | Valuta la modifica del SID sul sistema esistente con uno strumento come Wittytool Disk Clone |
| Windows Server 2025 registra l’evento con ID 6167 | Ricrea l’installazione da un’immagine generalizzata correttamente |
| Hai soltanto trasferito Windows su un nuovo disco nello stesso server | La modifica del SID normalmente non serve se la copia originale non verrà più eseguita |
| Il server è un controller di dominio o ospita un ruolo critico | Segui la procedura di migrazione o ripristino supportata per quel ruolo |
Importante: non eseguire Sysprep o uno strumento generico per cambiare il SID su un controller di dominio in produzione, un’autorità di certificazione, un server Exchange o un altro sistema con ruoli critici senza un piano di ripristino supportato dal fornitore.
Che cos’è il SID del computer in Windows Server?
Il SID del computer è la parte specifica del sistema usata per creare i SID di utenti e gruppi locali. Gli account locali dello stesso server condividono questo prefisso e si distinguono per l’identificatore relativo, o RID, aggiunto alla fine.
Il SID del computer è distinto da:
- Nome del computer e indirizzo IP
- SID dell’oggetto computer in Active Directory
- MachineGuid
- SusClientId di WSUS
- CID di MSDTC
La clonazione può duplicare diversi di questi identificatori. Per questo, un sintomo compatibile non dimostra automaticamente che il problema dipenda dal SID del computer. Nomi host o indirizzi IP duplicati, record DNS obsoleti, problemi nella relazione di trust con il dominio e identità WSUS duplicate possono causare problemi simili.
Microsoft richiede che le installazioni di Windows destinate alla duplicazione vengano generalizzate con Sysprep prima dell’acquisizione. La modifica del SID dopo la distribuzione non rende un’immagine non generalizzata conforme ai criteri di distribuzione supportati da Microsoft. Consulta i criteri Microsoft per la duplicazione dei dischi.
Verifica la presenza di un SID duplicato prima di intervenire
Usa PsGetSid di Microsoft Sysinternals per confrontare i server interessati.
Dopo aver scaricato PsGetSid dal sito Microsoft, apri il Prompt dei comandi come amministratore.
Per controllare il server locale:
psgetsidPer controllare un server remoto:
psgetsid \\SERVER02Se i SID dei computer restituiti dal comando sono identici, probabilmente i sistemi sono stati distribuiti dalla stessa immagine non generalizzata.
Puoi anche cercare le voci recenti dell’evento LsaSrv con ID 6167:
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6167} -MaxEvents 20Non usare whoami /user come sostituto diretto. Il comando mostra il SID dell’account connesso e può restituire il SID di un utente di dominio anziché quello del computer server.
Prima di cambiare il SID di Windows Server
La modifica del SID interviene sull’identità di sicurezza del sistema operativo. Prima di procedere, completa queste verifiche:
- Crea un’immagine completa del sistema o un backup della macchina virtuale e verifica che sia ripristinabile.
- Isola il server clonato dalla rete di produzione.
- Assicurati di poter accedere tramite console locale, iLO, iDRAC o hypervisor.
- Annota il nome host, l’IP statico, le impostazioni DNS, l’appartenenza al dominio, i certificati, gli SPN, gli account di servizio, le attività pianificate e le licenze delle applicazioni.
- Esamina i ruoli server installati e i criteri di supporto delle applicazioni.
- Salva le chiavi di ripristino della crittografia e verifica la presenza di file crittografati con EFS.
- Pianifica una finestra di manutenzione per i riavvii e la verifica dei servizi.
Microsoft avverte che non tutti i ruoli server supportano Sysprep. AD DS, AD CS, AD FS, AD LDS, AD RMS e diversi altri ruoli richiedono una gestione specifica. Consulta la tabella Microsoft sul supporto dei ruoli server.
Metodo 1: esegui Sysprep prima di acquisire l’immagine
Sysprep è il metodo supportato da Microsoft per preparare Windows Server alla clonazione. Va eseguito sull’installazione di riferimento prima di acquisire l’immagine, non come intervento di riparazione ordinario su ogni clone già distribuito.
Passaggio 1: prepara il server di riferimento
Prepara un’installazione di riferimento pulita che:
- Non sia un sistema in produzione
- Non sia stata promossa a controller di dominio
- Non sia aggiunta al dominio di produzione
- Non contenga ruoli server non supportati
- Includa gli aggiornamenti necessari, i driver e le applicazioni approvate
Se la distribuzione richiede ulteriore automazione, usa la modalità di controllo e un file di risposte.
Passaggio 2: esegui Sysprep come amministratore
Apri il Prompt dei comandi con privilegi elevati usando un account amministratore. Non eseguire Sysprep con l’account Sistema locale.
Esegui:
%WINDIR%\System32\Sysprep\Sysprep.exe /generalize /oobe /shutdownLe opzioni svolgono queste operazioni:
/generalizerimuove le informazioni specifiche del computer, incluso il SID esistente./oobeconfigura ogni copia distribuita per avviare la Configurazione guidata al primo accesso./shutdownspegne il sistema di riferimento al termine della generalizzazione.
Per Windows Server Core, aggiungi /quiet:
%WINDIR%\System32\Sysprep\Sysprep.exe /generalize /oobe /shutdown /quietNell’interfaccia grafica, l’operazione equivalente consiste nel selezionare Accedi alla Configurazione guidata (OOBE), attivare Generalizza e scegliere Arresta il sistema. Microsoft ha tuttavia deprecato l’interfaccia grafica di Sysprep e consiglia di usare la riga di comando.
Passaggio 3: acquisisci l’immagine a server spento
Attendi che Sysprep spenga il server di riferimento. Acquisisci l’immagine o esegui la clonazione mentre il sistema resta spento.
Non riavviare l’installazione di riferimento prima dell’acquisizione. Il riavvio farebbe partire la fase specialize, rendendo l’installazione inadatta come immagine master generalizzata.
Passaggio 4: distribuisci e configura ogni server
Al primo avvio, Windows esegue il passaggio di configurazione specialize e crea un nuovo SID del computer.
Quindi:
- Assegna un nome univoco al computer.
- Configura correttamente le impostazioni IP e DNS.
- Completa la Configurazione guidata OOBE.
- Aggiungi il server al dominio.
- Installa o configura i ruoli specifici della distribuzione.
- Verifica il nuovo SID con PsGetSid.
Sysprep non è uno strumento per ripristinare le impostazioni di fabbrica o cancellare il disco, ma apporta modifiche significative al sistema. Rimuove punti di ripristino e registri eventi, riconfigura i dispositivi, rimuove l’appartenenza al dominio e può influire su ruoli, attivazione, applicazioni e dati crittografati. La panoramica Microsoft di Sysprep descrive queste limitazioni.
Metodo 2: cambia il SID sul sistema Windows Server esistente con Wittytool Disk Clone
Se un normale server membro è già stato distribuito e ricrearne subito l’installazione non è praticabile, la funzione Modifica SID di Wittytool Disk Clone offre un’opzione per intervenire sul sistema esistente, progettata per mantenere applicazioni, profili utente e dati su Windows Server 2019–2025.
Oltre al SID, la pagina della funzione elenca altri identificatori del sistema clonato, tra cui MachineGuid, l’ID client WSUS e il CID MSDTC.
Passaggio 1: apri lo strumento Modifica SID
Avvia Wittytool Disk Clone, vai a Strumenti e seleziona Modifica SID.
Passaggio 2: conferma le impostazioni
Controlla le opzioni selezionate, quindi fai clic su Avvia per iniziare la modifica del SID.
Scegli se mantenere il nome attuale del computer o farne generare uno casuale dal programma. Se entrambi i computer saranno collegati alla stessa rete, assicurati che abbiano nomi diversi.
Passaggio 3: lascia che il programma prepari le applicazioni
Wittytool Disk Clone disinstalla le applicazioni che potrebbero presentare conflitti di autorizzazione. Prima di rimuoverle, esegue automaticamente il backup delle applicazioni e dei relativi dati per ripristinarli in seguito.
Passaggio 4: attendi il riavvio automatico
Il computer si riavvia automaticamente per applicare il nuovo SID.
Passaggio 5: accedi e attendi il completamento del ripristino
Dopo il nuovo accesso, Wittytool Disk Clone reinstalla automaticamente le applicazioni rimosse e ripristina i relativi dati. La modifica del SID è completa al termine del ripristino.
Cosa aspettarti al nuovo accesso
- Account locali: la modifica del SID conserva gli account locali esistenti e le loro impostazioni, ma genera nuovi SID per questi account.
- Utenti con account Microsoft: al primo accesso dopo il riavvio dovrai reimpostare il PIN.
Guida video alla modifica del SID con Wittytool Disk Clone
Passaggio 6: verifica il risultato
Esegui di nuovo PsGetSid e verifica che il nuovo SID del computer sia diverso da quello del server di origine. Prova tutti i servizi critici prima di ricollegare il server alla rete di produzione.
Controlla la compatibilità e le edizioni disponibili di Wittytool Disk Clone.
Indicazioni specifiche per Windows Server 2025
Per i sistemi Windows Server 2025 interessati dai controlli di autenticazione sui SID duplicati, la soluzione definitiva indicata da Microsoft consiste nel ricreare il sistema operativo usando un’immagine generalizzata correttamente.
Uno specifico criterio di gruppo può offrire una soluzione temporanea, ma Microsoft indica che gli amministratori devono ottenerlo tramite il supporto Microsoft per le aziende. Non sostituisce la ricreazione dei sistemi interessati.
Per Exchange installato su un’immagine non generalizzata di Windows Server 2025, Microsoft consiglia espressamente di ricreare il sistema operativo e ripristinare Exchange con /Mode:RecoverServer. Consulta le indicazioni Microsoft per il ripristino di Exchange.
Verifica il server dopo la modifica del SID
Non limitarti a confermare che il SID sia cambiato. Completa una verifica del funzionamento:
- Confronta il nuovo SID con quello del server di origine usando PsGetSid.
- Controlla il nome host, l’indirizzo IP e i record DNS.
- Prova l’autenticazione locale e di dominio.
- Verifica il canale sicuro con il dominio.
- Prova RDP, le condivisioni SMB, WinRM e l’autenticazione delle applicazioni.
- Controlla il registro Sistema per individuare nuove voci dell’evento LsaSrv con ID 6167.
- Prova servizi, attività pianificate e script che usano account locali.
- Verifica gli agenti di monitoraggio, backup, sicurezza e gestione.
- Se presenti, controlla separatamente la comunicazione con WSUS e il funzionamento di MSDTC.
- Conferma l’attivazione di Windows e delle applicazioni.
- Conserva l’immagine di ripristino finché il server non ha completato un intero ciclo di verifica delle attività aziendali.
Se il server non si avvia correttamente, consulta la guida per risolvere i problemi di avvio dopo la modifica del SID.
Domande frequenti
Rinominare un server Windows cambia il suo SID?
No. Il nome del computer e il SID sono identificatori distinti. Rinominare il server non risolve un SID del computer duplicato.
Uscire dal dominio e rientrarvi cambia il SID del computer?
No. Il rientro nel dominio ripristina o ricrea la relazione del computer con Active Directory, ma non sostituisce il SID locale copiato insieme all’installazione di Windows.
Devo cambiare il SID dopo aver clonato un HDD su un SSD?
Di solito no. Se il nuovo disco sostituisce quello vecchio nello stesso server fisico e verrà eseguita una sola copia di Windows, normalmente è corretto mantenere il SID esistente.
Serve un nuovo SID quando due o più installazioni clonate devono funzionare come sistemi distinti.
KB5065426 interessa Windows Server 2022?
L’articolo Microsoft sugli errori di autenticazione dovuti a SID duplicati elenca Windows Server 2025 e Windows 11 nelle versioni 24H2 e 25H2. Non elenca Windows Server 2022.
Microsoft richiede comunque Sysprep per preparare immagini di Windows Server 2022 destinate a una duplicazione supportata.
Posso eseguire Sysprep su un controller di dominio?
Non eseguire la procedura standard di Sysprep su un server già promosso a controller di dominio. Usa invece la procedura supportata da Microsoft per clonazione, migrazione, rimozione e successiva riassegnazione del ruolo di controller di dominio, oppure ripristino di emergenza.
La clonazione di controller di dominio virtualizzati segue una procedura dedicata che coinvolge VM-Generation ID e DCCloneConfig.xml; non equivale alla clonazione di un normale server membro.
Sysprep elimina i miei file?
Sysprep non è progettato per cancellare i file degli utenti. Rimuove però lo stato specifico del computer e può influire su ruoli installati, configurazione dei dispositivi, attivazione, applicazioni e dati crittografati.
Microsoft avverte che i file crittografati con EFS possono diventare definitivamente illeggibili dopo Sysprep. Crea e verifica sempre un backup completo prima di procedere.
NewSID è ancora consigliato?
No. Microsoft ha ritirato NewSID, che non è consigliato per le distribuzioni moderne di Windows Server. Usa Sysprep per le nuove immagini oppure, se devi rinviare la ricreazione dell’installazione, valuta un’opzione di recupero attualmente mantenuta e verificata nel tuo ambiente.
Conclusioni
Il momento migliore per prevenire i SID duplicati è prima della clonazione. Esegui Sysprep sull’installazione di riferimento, attendi che si spenga e acquisisci l’immagine generalizzata prima di riavviarla.
Se un server membro è già stato distribuito, conferma il SID duplicato con PsGetSid prima di intervenire. Ricreare l’installazione da un’immagine generalizzata correttamente resta la soluzione definitiva supportata da Microsoft. Quando occorre rinviare questa operazione, puoi valutare Wittytool Disk Clone per modificare il SID sul sistema esistente, tenendo conto delle versioni di Windows Server e dei ruoli compatibili.