1 21/05/2026 9 min

Se vuoi portare l’icona di Software Center sul desktop tramite GPO, la prima cosa da chiarire è una: Software Center non è un componente “di Windows” standard. Esiste quando il client di Microsoft Configuration Manager (SCCM/MECM) è installato e correttamente registrato sul PC. La GPO quindi non “abilita” Software Center: al massimo distribuisce un collegamento al suo eseguibile oppure un file di shortcut, a condizione che l’applicazione sia già presente sul sistema.

Questo dettaglio cambia tutto, perché la soluzione corretta dipende da tre fattori: desktop fisico o virtuale, presenza del client MECM e profilo utente su cui vuoi applicare il collegamento. Se il client non c’è, l’icona sarà solo un link rotto. Se il desktop è multiutente, devi decidere se distribuire il collegamento a livello utente o macchina. Se invece l’obiettivo è dare agli utenti un punto unico per installare software approvato, la GPO è uno strumento sensato, ma va costruito in modo pulito e reversibile.

Quando ha senso usare una GPO per Software Center

Usare una GPO per mostrare l’icona sul desktop ha senso quando vuoi standardizzare l’esperienza utente su un parco macchine gestito da dominio. Il caso tipico è questo: il client MECM è già distribuito, gli utenti non usano il menu Start per abitudine, e vuoi rendere immediato l’accesso al portale di self-service delle applicazioni. In ambienti aziendali con help desk saturato, ridurre i ticket per installazioni banali ha un impatto reale, soprattutto se la distribuzione software è già governata da collection e maintenance window.

Non ha invece senso forzare la cosa se il client non è omogeneo, se i PC sono fuori dominio, o se il desktop è già gestito da un framework più moderno per il delivery delle app. In quel caso stai aggiungendo un collegamento che può confondere più che aiutare. La regola pratica è semplice: prima verifica che Software Center sia funzionante localmente, poi distribuisci il link.

Verifica preliminare: il client esiste davvero

Prima di toccare la GPO, controlla che il binario di Software Center sia presente sui client target. Il percorso più comune è C:\Windows\CCM\SCClient.exe. Su alcune installazioni puoi trovare anche riferimenti al menu Start o a componenti dell’agent, ma quel file è il punto di partenza più affidabile.

Una verifica rapida da fare su un client è questa:

dir C:\Windows\CCM\SCClient.exe

Se il file non esiste, la GPO non risolve il problema. Devi prima verificare la presenza del client MECM, lo stato del servizio ccmexec e la registrazione nel sito. In pratica, il desktop shortcut è il livello finale della catena, non il primo.

Se invece il file c’è, puoi procedere con il collegamento. A quel punto la domanda diventa: vuoi creare un collegamento diretto all’eseguibile oppure distribuire un file .lnk già pronto? In ambienti con più OU e più eccezioni, il secondo metodo è quello che di solito si gestisce meglio.

Metodo più pulito: preferenze GPO con collegamento desktop

La strada più lineare è usare Group Policy Preferences per creare un collegamento sul desktop dell’utente. È più flessibile delle policy “classiche”, perché puoi scegliere il percorso, il nome visualizzato, l’icona e l’azione da eseguire. In più, puoi rimuovere il collegamento senza dover ripulire a mano ogni profilo.

Il flusso operativo è questo: crei o modifichi una GPO, la colleghi all’OU degli utenti o dei computer, e aggiungi un elemento di tipo Shortcut sotto User Configuration se vuoi il desktop utente. Se preferisci il desktop pubblico o vuoi un comportamento più vicino alla macchina, puoi ragionare su Computer Configuration, ma per l’icona del desktop la parte utente è spesso più naturale.

  1. Apri Group Policy Management su una macchina di amministrazione.
  2. Crea una nuova GPO, ad esempio Deploy - Software Center Desktop Icon.
  3. Collegala all’OU corretta, oppure usa security filtering se devi limitare il target.
  4. Vai in User Configuration > Preferences > Windows Settings > Shortcuts.
  5. Crea un nuovo collegamento con Action: Create.
  6. Imposta Target type su File System Object o percorso diretto, a seconda della versione della console e del template disponibile.
  7. Inserisci il percorso dell’eseguibile: C:\Windows\CCM\SCClient.exe.
  8. Imposta il nome visualizzato, per esempio Software Center.
  9. Scegli Location: Desktop.
  10. Se disponibile, configura l’icona usando lo stesso eseguibile come sorgente, così eviti icone generiche.

Il vantaggio di questo approccio è che resta leggibile anche tra sei mesi, quando dovrai capire perché un collegamento è presente o assente. Il rischio invece è banale ma reale: se il percorso cambia o il client non è installato, il link resta lì e genera solo confusione. Per questo conviene sempre testare su una OU pilota prima del rilascio ampio.

Alternativa robusta: file .lnk distribuito con Group Policy Preferences

Se vuoi maggiore controllo, puoi preparare un collegamento .lnk e distribuirlo con GPP. È utile quando vuoi standardizzare anche l’icona, il nome del file e l’eventuale descrizione. In ambienti con desktop bloccati o con policy di hardening, questo metodo ti permette anche di tenere separata la logica di generazione del link dalla sua applicazione.

Il punto forte è la reversibilità: se qualcosa non convince, disabiliti l’elemento GPP o lo rimuovi. Il punto debole è che devi essere preciso nel percorso e nel target. Non stai distribuendo un’applicazione, stai distribuendo un puntatore. Se il puntatore è sbagliato, l’utente lo scopre al primo doppio clic.

  1. Su una workstation di test, crea un collegamento manuale a C:\Windows\CCM\SCClient.exe.
  2. Verifica che l’icona sia corretta e che il nome sia chiaro per l’utente finale.
  3. Copia il file .lnk in una share di distribuzione accessibile in lettura ai client, ad esempio \\domain.local\SYSVOL\domain.local\scripts\ oppure una share dedicata con permessi minimi.
  4. In GPP, usa User Configuration > Preferences > Windows Settings > Shortcuts e scegli Update o Create in base alla tua logica di gestione.
  5. Imposta il collegamento sul desktop utente o sul desktop pubblico, ma evita di mischiare i due modelli nella stessa OU senza una regola precisa.

Qui il blast radius è limitato, ma non nullo: se sbagli il filtro di sicurezza o il percorso del file, puoi distribuire un collegamento inutile a centinaia di utenti. Il rollback è semplice: disabilita l’elemento GPP o rimuovi la GPO dal link. Per questo conviene lavorare sempre in modalità “pilot first”, non in rollout diretto su tutta la foresta.

Desktop utente, desktop pubblico o computer policy

La scelta del contenitore conta più della tecnica. Se vuoi che ogni utente veda l’icona nel proprio profilo, lavora in User Configuration. Se vuoi che il collegamento sia visibile a chiunque acceda alla macchina, usa il desktop pubblico o una distribuzione lato computer. Se invece il parco è condiviso e gli utenti cambiano spesso, il desktop pubblico è spesso più coerente del desktop individuale.

Attenzione però: il desktop pubblico è utile solo se hai davvero una logica condivisa. In un ambiente VDI o in postazioni multiutenza, un’icona comune ha senso. In un laptop personale, può risultare invasiva. Anche qui la regola è pratica: usa il livello più basso che soddisfa il requisito.

Se il collegamento compare ma non apre nulla

Questo è il caso più classico: l’icona c’è, ma il doppio clic non produce risultati utili. Le cause probabili sono poche e vanno verificate velocemente. La prima è banale: il client MECM non è installato o è corrotto. La seconda: il percorso del file è diverso da quello usato nella GPO. La terza: il client è presente ma il servizio locale non è in stato sano.

  1. Verifica il file con dir C:\Windows\CCM\SCClient.exe.
  2. Controlla il servizio con sc query ccmexec e cerca uno stato RUNNING.
  3. Apri Event Viewer e controlla i log applicativi o i log del client MECM, se disponibili, per errori di avvio o registrazione.
  4. Se il client è stato aggiornato di recente, verifica che il collegamento punti al percorso effettivo e non a una vecchia installazione.

Se il problema è il client, correggere la GPO non basta. Devi ripristinare prima il componente locale. Se invece il path è sbagliato, la soluzione è immediata: aggiorni il target della shortcut e forzi un gpupdate /force sul client di test prima di espandere la modifica.

Verifica applicazione e tempi di propagazione

Dopo la modifica, non fidarti solo della console. Verifica sul client con gpresult /r oppure con il report HTML per capire se la GPO è davvero applicata all’utente o al computer. Se il collegamento non compare, il problema può essere nel filtro di sicurezza, nel WMI filter o nella OU sbagliata.

gpresult /h C:\Temp\gp.html

Apri il report e cerca il nome della GPO. Se non è presente, il problema è a monte della distribuzione. Se è presente ma il collegamento non c’è, il problema è nella sezione Preferences o nei criteri di item-level targeting. Questo ti evita di perdere tempo a modificare il file di destinazione quando il vero difetto è il filtro.

Hardening e pulizia operativa

Una GPO ben fatta non deve solo funzionare, deve anche essere manutenibile. Evita di lasciare spiegazioni implicite nel nome della policy. Usa nomi chiari, una OU pilota, e documenta il percorso del binario target. Se il collegamento punta a un eseguibile locale, non serve esporre credenziali, e questo è un bene: non stai distribuendo segreti, stai solo rendendo più comodo l’accesso a un tool già autorizzato.

Dal lato sicurezza, il rischio principale non è il collegamento in sé ma l’abuso di un canale di distribuzione troppo largo. Se la GPO finisce su macchine non gestite o su OU non previste, l’utente potrebbe vedere un’icona che non dovrebbe vedere. Per questo conviene applicare il principio del least privilege anche qui: target preciso, gruppi AD dedicati, e nessuna “eccezione temporanea” lasciata viva per mesi.

Approccio consigliato in pratica

Se devo scegliere una strada netta, la sequenza corretta è questa: prima verifico che il client MECM sia installato e funzionante, poi creo una GPO con Group Policy Preferences per distribuire il collegamento sul desktop utente, infine testo su una OU pilota e solo dopo allargo il perimetro. È il modo più rapido per ottenere il risultato senza introdurre effetti collaterali inutili.

In sintesi operativa: Software Center non si “installa” via GPO, si espone via GPO. Se tieni fermo questo punto, eviti il classico errore di trattare il problema come se fosse solo un collegamento. Il collegamento è l’ultimo miglio; il servizio vero è il client MECM sotto di lui.