AdGuard Home è un DNS sinkhole self-hosted che blocca pubblicità, tracker e domini malevoli a livello di rete, prima ancora che raggiungano i tuoi dispositivi.

A differenza di un semplice ad-blocker installato nel browser, funziona come server DNS per l’intera rete domestica o aziendale: ogni dispositivo che lo interroga (computer, smartphone, smart TV, console, IoT) beneficia automaticamente della protezione, senza bisogno di installare estensioni o app su ciascun device.

Questa guida spiega come installare e configurare AdGuard Home su Ubuntu Server 26.04 utilizzando Docker Compose, un approccio che semplifica notevolmente la gestione del servizio: l’applicazione gira in un container isolato, con configurazione e dati persistiti su volumi dedicati, aggiornamenti puliti tramite semplice pull dell’immagine e rollback rapido in caso di problemi, senza dover intervenire manualmente sul sistema operativo host.

Nella pratica vedremo come preparare l’ambiente Docker sul server, definire il file docker-compose.yml con le porte e i volumi necessari, avviare il container e completare la configurazione iniziale tramite l’interfaccia web di AdGuard Home impostando il DNS upstream, le liste di blocco (blocklist) e puntando i dispositivi della rete verso il nuovo server DNS.

Al termine avrai un servizio DNS filtrante, centralizzato e facilmente mantenibile, pronto per essere esteso in un secondo momento con funzionalità più avanzate come il filtraggio DNS-over-HTTPS/TLS o regole personalizzate.

PREREQUISITI

• Un’istanza Ubuntu Server 26.04 aggiornata
• Docker Engine e plugin Docker Compose installati
• Accesso root o utente con permessi sudo
• Porta 53 (DNS) libera sull’host

INSTALLAZIONE DI DOCKER

Se Docker non è presente installarlo con i seguenti comandi:

curl -fsSL https://get.docker.com | sudo shsudo usermod -aG docker $USER

newgrp docker

CREAZIONE STRUTTURA DI CARTELLE

Creare la struttura delle cartelle con i comandi:

sudo mkdir -p /opt/adguardhome/{work,conf}

cd /opt/adguardhome

Di seguito le cartelle che verranno create:

work/: conterrà dati, log e query log

conf/: conterrà il file di configurazione AdGuardHome.yaml

LIBERARE LA PORTA 53 DA SYSTEMD-RESOLVED

Su Ubuntu systemd-resolved occupa di default la porta 53 in ascolto su 127.0.0.53, in conflitto con AdGuard Home.

Va disabilitato lo stub listener editando il file resolved.conf con il comando:

sudo nano /etc/systemd/resolved.conf

Modificare o aggiungere le seguenti righe:

[Resolve]
DNS=1.1.1.1
DNSStubListener=no

Salvare e chiudere il file di configurazione

Poi eseguire i comandi:

sudo rm -f /etc/resolv.conf
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl restart systemd-resolved

Verificare che la porta sia libera con il comando:

sudo ss -tulpn | grep :53

Non deve restituire nulla legato a systemd-resolved.

CREAZIONE DEL FILE DOCKER-COMPOSE.YML

Creare il file docker-compose.yml con il comando:

nano /opt/adguardhome/docker-compose.yml

All’interno del file inserire il seguente output:

services:
adguardhome:
container_name: adguardhome
image: adguard/adguardhome:latest
restart: unless-stopped
ports:
- "53:53/tcp"
- "53:53/udp"
- "3000:3000/tcp" # setup wizard iniziale
- "80:80/tcp" # dashboard dopo il setup
- "443:443/tcp" # opzionale, HTTPS/DoH
- "853:853/tcp" # opzionale, DNS-over-TLS
- "3053:3053/udp" # opzionale, DNS-over-QUIC
volumes:
- /opt/adguardhome/work:/opt/adguardhome/work
- /opt/adguardhome/conf:/opt/adguardhome/conf

Salvare e chiudere il file di configurazione

AVVIO DEL CONTAINER

Avviare il container con i seguenti comandi:

cd /opt/adguardhome

docker compose up -d

Dovremmo visualizzare il seguente output:

[+] up 10/10
 Image adguard/adguardhome:latest Pulled
 Network adguardhome_default Created
 Container adguardhome Started

Eseguire un controllo rapido con il comando:

docker compose logs -f adguardhome

Dovremmo visualizzare il seguente output:

adguardhome | 2026/08/25 13:58:07.191706 [info] starting adguard home version="AdGuard Home, version v0.107.79"
adguardhome | 2026/08/25 13:58:07.192729 [info] this is the first time adguard home has been launched
adguardhome | 2026/08/25 13:58:07.192783 [info] checking if adguard home has the necessary permissions
adguardhome | 2026/08/25 13:58:07.193080 [info] adguard home can bind to port 53
adguardhome | 2026/08/25 13:58:07.194789 [info] tls_manager: using default ciphers
adguardhome | 2026/08/25 13:58:07.195988 [info] webapi: initializing
adguardhome | 2026/08/25 13:58:07.196037 [info] webapi: This is the first launch of AdGuard Home, redirecting everything to /install.html
adguardhome | 2026/08/25 13:58:07.196105 [info] permcheck: warning: found unexpected permissions type=directory path=/opt/adguardhome/work perm=0755 want=0700
adguardhome | 2026/08/25 13:58:07.196153 [info] webapi: AdGuard Home is available at the following addresses:
adguardhome | 2026/08/25 13:58:07.196295 [info] webapi: serving url=http://127.0.0.1:3000
adguardhome | 2026/08/25 13:58:07.196327 [info] webapi: serving url=http://[::1]:3000
adguardhome | 2026/08/25 13:58:07.196339 [info] webapi: serving url=http://172.19.0.2:3000
adguardhome | 2026/08/25 13:58:07.196381 [info] starting plain server server=plain addr=0.0.0.0:3000

SETUP WIZARD INIZIALE

Aprire il browser su:

http://<IP-DEL-SERVER>:3000

Cliccare Inizia

Il wizard chiede:

Interfaccia web: porta consigliata 80 (o altra se già in uso, es. se hai Nginx Proxy Manager su quella macchina)
Interfaccia DNS: selezionare l’IP dell’host porta 53

Cliccare Prossimo

Inserire l’utenza amministrativa con relativa password quindi cliccare Prossimo

Affinché AdGuard Home inizi a funzionare, è necessario configurare i dispositivi per utilizzarlo.

ATTENZIONE: Questa configurazione copre automaticamente tutti i dispositivi collegati al router di casa, non è necessario configurarli manualmente.

Accedi alle preferenze del tuo router. Di solito, puoi farlo dal tuo browser tramite un URL, come http://192.168.0.1/ o http://192.168.1.1/.

Potrebbe esserti chiesto di inserire una password. Se non dovessi ricordarla, puoi reimpostare la password premendo un pulsante presente sullo stesso router, ma tieni presente che scegliendo questa procedura, probabilmente perderai l’intera configurazione del router.

Se il tuo router necessitasse di un’app per configurarlo, installala sul tuo telefono o PC e utilizzala per accedere alle impostazioni del router.

Trova le impostazioni DHCP / DNS. Cerca le lettere DNS accanto a un campo che consente due o tre serie di numeri, ciascuno suddiviso in quattro gruppi di 1-3 cifre.

Inserisci qui gli indirizzi del tuo server AdGuard Home.

Su alcuni tipi di router, non è possibile configurare un server DNS personalizzato. In tal caso, configurare AdGuard Home come un server DHCP potrebbe aiutare.

In alternativa, dovresti leggere il manuale di istruzioni per capire come personalizzare i server DNS sul tuo specifico modello di router.

Cliccare Prossimo

Al termine del wizard cliccare su Apri pannello di controllo

Verrà aperto il link http://<IP-DEL-SERVER>

Inserire le credenziali create in precedenza e cliccare Accedi

Se è andato tutto a buon fine dovremmo visualizzare la Dashboard di AdGuard

CONFIGURAZIONE DEI CLIENT NELLA RETE

Per far usare AdGuard Home come DNS a tutti i dispositivi, la via più efficiente è impostarlo come DNS server sul router/gateway (DHCP), così ogni client lo riceve automaticamente.

In alternativa può essere configurato manualmente client per client.

CONFIGURAZIONE FILTRI DNS E UPSTREAM

Dal pannello di controllo le sezioni consigliate:

Filters → DNS blocklists: aggiungi liste come AdGuard DNS filter, EasyList, OISD

Settings → DNS settings → Upstream DNS servers: consigliato usare provider con DoH/DoT, es. Cloudflare (https://cloudflare-dns.com/dns-query) o Quad9

Settings → DNS settings → Parental control (opzionale)

Query Log: utile per verificare cosa viene bloccato e diagnosticare falsi positivi

REVERSE PROXY HTTPS (OPZIONALE)

Se il pannello deve essere raggiungibile dall’esterno o con certificato valido, meglio metterlo dietro un reverse proxy (es. Nginx Proxy Manager) piuttosto che esporre direttamente la porta 80/443 del container:

adguard.tuodominio.tld → http://<IP-host>:80

Ricorda di non esporre pubblicamente la porta DNS (53) se non necessario.

AGGIORNAMENTO DEL CONTAINER

Eseguire l’aggiornamento del container con i seguenti comandi:

cd /opt/adguardhome
docker compose pull
docker compose up -d

PRO E CONTRO

Pro

• Blocco pubblicità e tracker a livello di rete, per tutti i dispositivi
• Supporto nativo a DoH/DoT/DoQ per DNS cifrato
• Pannello web chiaro, query log dettagliato
• Leggero, gira bene anche su hardware modesto (es. Raspberry Pi)
• Parental control e regole personalizzate integrate

Contro

• Richiede di liberare la porta 53, che su Ubuntu significa disabilitare lo stub di systemd-resolved
• Punto singolo di fallimento per la risoluzione DNS: se il container si ferma, senza DNS di fallback configurato sul router la rete perde la risoluzione nomi
• Non ha clustering/HA nativo: per ridondanza vera serve una seconda istanza e configurazione manuale sui client/DHCP

CONCLUSIONI

Con questa configurazione hai un servizio DNS filtrante centralizzato, gestibile e aggiornabile in due comandi.

Per un homelab, il passo successivo naturale è mettere in piedi una seconda istanza su un altro host per avere un DNS di backup, così da evitare che un riavvio o un aggiornamento del container lasci la rete senza risoluzione DNS.

Nell’ambito di un percorso continuo di rafforzamento della sicurezza informatica e di semplificazione della gestione degli accessi, molte organizzazioni stanno adottando soluzioni di autenticazione centralizzata basate su standard federati come SAML.

In questo articolo vedremo come configurare l’integrazione SSO SAML tra Claude Team e il tenant Microsoft Entra ID (ex Azure AD), illustrando passo dopo passo le operazioni necessarie sia lato Microsoft Entra che lato Claude Team, con l’obiettivo di garantire un accesso sicuro, tracciabile e uniforme per tutti gli utenti dell’organizzazione.

PREREQUISITI

• Piano Claude Team attivo, con ruolo Owner o Primary Owner
• Accesso admin a Entra ID (Global Admin o Application Administrator)
• Accesso DNS del dominio nposervices.com per creare un record TXT

VERIFICA DEL DOMINIO SU CLAUDE

Andare sul sito claude.ai/admin-settings/organization

Nella sezione Organization and access Individuare Domains. Quindi avviare la verifica del dominio inserito cliccando su Verifiy

Si aprirà una nuova finestra dove dobbiamo inserire il dominio da verificare quindi cliccare Continue

In automatico verrà aperta una schermata con le istruzioni da seguire per la validazione.

Al fondo della pagine troviamo il record TXT da creare nel nostro dominio per la validazione

NOTA BENE: nel mio caso dovrò censire il record TXT su Godaddy

Quindi attendere qualche minuto per la propagazione e la verifica in Claude…

ATTENZIONE: verificare il dominio non impatta l’accesso degli utenti esistenti; l’accesso cambia solo quando il SSO viene effettivamente configurato ed eventualmente forzato.

Se tutto è andato a buon fine dopo qualche minuto dovremmo vedere una schermata come quella sovrastante

Ritornando su claude.ai/admin-settings/organization dovremmo visualizzare Verified come mostrato nell’ìmmagine sovrastante

AVVIO DEL SETUP SSO (FLUSSO WORKOS)

Sempre in claude.ai/admin-settings/organization cliccare Setup SSO

Selezionare Entra ID (Azure AD)SAML come identity provider

Dovremmo visualizzare la schermata con le istruzioni per la configurazione

Claude ti mostrerà due valori da usare in Entra:

Identifier (Entity ID)
Reply URL (ACS URL)

ATTENZIONE: Tenere questa pagina aperta in una scheda mentre lavori su Entra.

CREAZIONE DELL’APP ENTERPRISE IN ENTRA ID

Andare su portal.azure.com → Entra ID → Enterprise applications

Cliccare su New application

Cerca Claude nel gallery e se disponibile selezionala, altrimenti scegli Create your own application

Chiamare l’applicazione Claude SSO poi selezionare Integrate any other application you don’t find in the gallery e cliccare Create

Nella nuova app cliccare su Single sign-on quindi selezionare SAML

Cliccare Edit

In Basic SAML Configuration inserire:

• Identifier (Entity ID) dal flusso Claude
• Reply URL (ACS URL) dal flusso Claude

Quindi cliccare Save

CONFIGURAZIONE DEGLI ATTRIBUTI E DEL CLAIM

Nella sezione Attributes & Claims dell’app SAML

Cliccare Edit

Assicurarsi che le attestazioni richieste elencate di seguito siano configurate.

Le attestazioni potrebbero essere già configurate o meno, a seconda della tua configurazione attuale.

Se è tutto corretto dovremmo visualizzare un schermata come quella sovrastante

È inoltre necessario inviare le appartenenze ai gruppi ad Anthropic utilizzando un attributo gruppi.

Cliccare su Add a Group Claim

Le appartenenze ai gruppi consentono all’applicazione di assegnare gli utenti ai ruoli appropriati.

Nel pannello Group Claims selezionare Groups assigned to the application.

Quindi in Source Attribute selezionare l’opzione Cloud-only group display names

Cliccare Save

Se è tutto Ok dovremmo visualizzare una schermata come quella sovrastante

ASSEGNAZIONE UTENTI E GRUPPI

A questo punto configurare gli utenti e i gruppi per l’accesso

Cliccare dal menù a sinistra Users and Groups quindi cliccare su Add user/group

Selezionare il gruppo da assegnare all’app quindi cliccare Select

ATTENZIONE: Quando si assegna un gruppo a un’applicazione, solo gli utenti che appartengono direttamente a quel gruppo avranno accesso. L’assegnazione non si propaga ai gruppi annidati.

Cliccare Assign

AGGIUNGERE IL LOGO ALL’APPLICAZIONE (OPZIONALE)

Aggiungere un immagine identificativa all’applicazione

Cliccare sul pulsante indicato dalla freccia

Selezionare l’immagine quindi cliccare Save

CONFIGURAZIONE DELL’IDENTITY PROVIDER METADATA

Seguire la procedura che riporto di seguito per una configurazione dinamica

Nel menu di navigazione a sinistra selezionare la scheda Single sign-on.

Scorrere verso il basso fino alla sezione SAML Certificates.

Individuare l’App Federation Metadata Url quindi copiarlo

Incollare l’URL copiato nella pagina di configurazione di Claude come mostrato nell’immagine sovrastante

Cliccare Continue

TEST DI AUTENTICAZIONE

Nella pagina successiva di Claude è possibile eseguire un test di autenticazione

Cliccare su Continue to sign-in ->

Se tutto è andato a buon fine dovremmo visualizzare una schermata come quella sovrastante che ci dice che la connessione è attiva

Conferma definitiva che è tutto OK la da la schermata sovrastante…

TIPS AND TRICKS

Su Claude in User provisioning selezionare Just-in-Time (JIT)

Gli utenti assegnati alla tua app IdP riceveranno automaticamente il ruolo User al primo login senza configurazione aggiuntiva

Una volta validato con il gruppo pilota tornare nelle impostazioni identità di Claude e abilitare Require SSO per obbligare tutti gli accessi tramite Entra

Puoi anche disabilitare i magic link via email a questo punto

Con il rilascio di Ubuntu 26.04 LTS “Resolute Raccoon”, è arrivato il momento di pianificare l’aggiornamento dei sistemi che finora abbiamo mantenuto su Ubuntu 24.04 LTS.

Come ogni passaggio tra due versioni Long Term Support, si tratta di un’operazione che porta con sé nuovi pacchetti, kernel aggiornato e miglioramenti sotto il cofano, ma che va affrontata con il giusto metodo per evitare sorprese, specialmente su server di produzione o macchine che ospitano servizi critici.

In questa guida vedremo passo dopo passo come eseguire l’upgrade in sicurezza: dai controlli preliminari da fare prima di iniziare (backup, spazio su disco, repository di terze parti), fino al comando do-release-upgrade e alla verifica finale del sistema una volta completata la migrazione.

Vedremo anche come comportarsi in caso di problemi durante l’aggiornamento e quali accortezze adottare se il sistema fa parte di un ambiente di homelab o di produzione.

Se gestisci uno o più server Ubuntu e vuoi affrontare questo passaggio senza rischi, continua a leggere.

PREREQUISITI

Backup obbligatorio: snapshot della VM (o backup completo di /etc, dei file di configurazione, dei volumi Docker e dei database) prima di procedere.

Percorso supportato: si può passare direttamente da 24.04 a 26.04. Se una macchina è ancora su 22.04, deve prima passare a 24.04.

Nota sui tempi: Canonical apre l’upgrade diretto 24.04 → 26.04 solo dopo la prima point release (26.04.1). Se il comando do-release-upgrade restituisce “There is no development version of an LTS available”, significa che la point release non è ancora disponibile per il tuo sistema.

AGGIORNAMENTO DEL SISTEMA ATTUALE

Eseguire i comandi:

sudo apt update
sudo apt full-upgrade -y
sudo apt --purge autoremove -y

Se viene installato un nuovo kernel, riavviare prima di proseguire con il comando:

sudo reboot

INSTALLAZIONE DELLO STRUMENTO DI UPGRADE

Eseguire il comando:

sudo apt install update-manager-core -y

CONTROLLO DELL’IMPOSTAZIONE DEL PROMPT DI UPGRADE

Controllare l’impostazione del prompt di upgrade con il comando:

cat /etc/update-manager/release-upgrades

Assicurarsi che la riga Prompt= sia impostata su lts (non never).

PREPARAZIONE DI UNA SESSIONE RESILIENTE (CONSIGLIATO SU SERVER REMOTI)

Preparare una sessione resiliente con i comandi:

sudo apt install screen -y
screen -S upgrade

In questo modo, se la connessione SSH cade durante l’upgrade, puoi ricollegarti con il comando:

screen -r upgrade

Il tool do-release-upgrade apre anche un demone SSH di riserva sulla porta 1022. Se hai il firewall attivo aprila temporaneamente con il comando:

sudo ufw allow 1022/tcp
sudo ufw reload

AVVIARE L’UPGRADE

Avviare l’upgrade con il comando:

sudo do-release-upgrade

ERRORE “NO DEVELOPMENT VERSION OF AN LTS AVAILABLE”

Se si riceve l’errore “no development version of an LTS available” significa che la point release 26.04.1 non è ancora stata rilasciata/propagata al tuo sistema.

E’ possibile forzare l’upgrade con il flag -d:

sudo do-release-upgrade -d

Il flag -d non installa una versione beta: 26.04 è già rilasciata stabilmente da aprile 2026.

Bypassa solo il rollout graduale di Canonical. Su sistemi di produzione, se non c’è fretta, è comunque più prudente attendere che la point release sia disponibile e usare il comando semplice.

SEGUIRE LE RICHIESTE INTERATTIVE

Durante l’upgrade ti verranno poste alcune domande:

• File di configurazione modificati (es. sshd_config): scegli “Install the package maintainer’s version” per ottenere i nuovi default, poi riapplica manualmente le tue personalizzazioni dopo l’upgrade.
• Repository di terze parti (PPA): verranno disabilitati temporaneamente; potrai riabilitarli/verificarli dopo.
• Rimozione pacchetti obsoleti: conferma con y.
• Riavvio finale: conferma con y quando richiesto.

ATTENZIONE: Non interrompere il processo una volta iniziata l’installazione dei pacchetti.

VERIFICA POST UPGRADE

Dopo il riavvio ricontrollare che tutto sia andato a buon fine con i comandi:

lsb_release -a
cat /etc/os-release
uname -r

Dovresti vedere VERSION_ID=”26.04″ e VERSION_CODENAME=”resolute”.

Controllare eventuali servizi falliti con il comando:

systemctl --failed

Controlla pacchetti rotti o in sospeso con i seguenti comandi:

sudo dpkg --audit
sudo apt --fix-broken install
apt list --upgradable
sudo apt update
sudo apt upgrade -y

CONTROLLI POST UPGRADE

Di seguito le cose da controllare con attenzione dopo l’upgrade:

• cgroup v2 obbligatorio: il supporto a cgroup v1 è stato rimosso. Se usi Docker, LXC o altri runtime di container (es. i tuoi stack Docker Compose per LibreNMS, Gitea, Vaultwarden, CrowdSec, ecc.), verificare che tutto riparta correttamente.
• Repository di terze parti: se qualche sorgente APT fa ancora riferimento a noble invece di resolute, aggiornala manualmente.
• PPA obsoleti: verifica compatibilità dei PPA con 26.04 prima di riabilitarli.

RIEPILOGO DEI COMANDI IN SEQUENZA

# 1. Aggiornamento sistema attuale
sudo apt update
sudo apt full-upgrade -y
sudo apt --purge autoremove -y
sudo reboot # solo se è stato installato un nuovo kernel

# 2. Strumento di upgrade
sudo apt install update-manager-core -y

# 3. Verifica configurazione prompt
cat /etc/update-manager/release-upgrades

# 4. Sessione resiliente (opzionale ma consigliata)
sudo apt install screen -y
screen -S upgrade
sudo ufw allow 1022/tcp
sudo ufw reload

# 5. Avvio upgrade
sudo do-release-upgrade
# Se non disponibile:
sudo do-release-upgrade -d

# 6. Verifica finale (dopo il riavvio automatico)
lsb_release -a
cat /etc/os-release
uname -r
systemctl --failed
sudo dpkg --audit
sudo apt --fix-broken install
sudo apt update
sudo apt upgrade -y

CONSIDERAZIONI FINALI

Ecco un riepilogo delle principali differenze tra Ubuntu 24.04 LTS (Noble Numbat) e Ubuntu 26.04 LTS (Resolute Raccoon):

Kernel e core di sistema

• Kernel: dalla serie 6.x si passa al kernel Linux 7.0, con supporto Rust ora stabile (non più sperimentale) e miglior supporto per hardware recente.
• cgroup v2 obbligatorio: cgroup v1 non è più supportato e i sistemi che lo usano ancora vengono bloccati durante l’upgrade; le immagini container basate su Ubuntu più vecchie di 18.04 LTS non funzionano su un host 26.04.
• Questo è probabilmente il breaking change più rilevante per chi gestisce ambienti Docker/K3S.
• systemd 259: con rimozione completa del supporto a cgroup v1.
• Rust-based utilities: Canonical ha introdotto utility di sistema riscritte in Rust per una maggiore sicurezza della memoria, incluso un sudo basato su Rust.

Desktop (meno rilevante per i tuoi server, ma utile saperlo)

• GNOME 50 (da GNOME 46): con notifiche raggruppate, supporto HDR sui display compatibili, minore uso di CPU/memoria e miglior supporto per desktop remoto.
• Wayland-only: la sessione GNOME ora gira esclusivamente su Wayland; X11 non è più disponibile come opzione di sessione in GDM, anche se XWayland resta per la retrocompatibilità.
• Nuove app di default: Papers, Loupe, Ptyxis, Resources, Showtime al posto dei rispettivi predecessori.
• RAM minima: il requisito desktop sale da 4 GB (24.04) a 6 GB (26.04).

Sicurezza

• Security Center integrato nel desktop e crittografia full-disk basata su TPM, con sblocco automatico al boot dopo verifica dell’integrità.
• Supporto alla crittografia post-quantum in OpenSSL.
• Livepatch ora disponibile anche per server ARM64.
• Stack server/sviluppo (la parte che ti interessa di più)
• Stack server aggiornato con PostgreSQL 18, Docker 29 e PHP 8.5
• Dracut sostituisce initramfs-tools, APT aggiornato alla versione 3.1 con un dependency resolver migliorato.
• Supporto nativo a NVIDIA CUDA e AMD ROCm inclusi direttamente nei repository, utile se pensi ad AI/ML nel tuo homelab.

Tempistiche di upgrade importanti

• L’upgrade diretto da Ubuntu 24.04 LTS sarà disponibile solo dopo Ubuntu 26.04.1, previsto per il 6 agosto 2026.
• Supporto: 5 anni standard (fino ad aprile 2031), estendibile fino a 10-15 anni con Ubuntu Pro.

Quando si amministrano ambienti virtualizzati su VMware vSphere, capita spesso di dover esportare una VM come pacchetto OVF/OVA — ad esempio per un backup “a freddo”, per spostarla su un altro sito, o per consegnarla a un fornitore/partner come immagine autonoma. Dal client vSphere l’operazione è semplice: tasto destro sulla VM, “Export System Image”, e — se serve un pacchetto davvero fedele all’originale si spuntano le opzioni avanzate “Include BIOS UUID”, “Include MAC addresses” e “Include extra configuration”.

Il problema nasce quando questa esportazione va ripetuta più volte, magari su VM diverse o su vCenter diversi, e si vuole evitare di rifare manualmente tutti i click ogni volta — con il rischio di dimenticare proprio una di quelle tre checkbox avanzate, che sono facili da tralasciare ma spesso indispensabili (ad esempio per VM di sincronizzazione/DR che devono mantenere lo stesso BIOS UUID e gli stessi MAC address quando vengono re-importate altrove). Lo script che segue automatizza l’intero processo da PowerShell, usando PowerCLI per il lookup della VM e la gestione dello stato di accensione, e VMware OVF Tool per l’export vero e proprio — perché è l’unico strumento che espone il flag –exportFlags necessario per includere quelle opzioni avanzate. Il cmdlet PowerCLI Export-VApp, da solo, non le supporta.

PREREQUISITI

• PowerShell 5.1 o superiore, su Windows.
• Modulo VMware.PowerCLI (lo script lo installa automaticamente per l’utente corrente se non è già presente).
• VMware OVF Tool installato sulla macchina che esegue lo script. Non è incluso in PowerCLI: va scaricato a parte dal portale supporto Broadcom/VMware. Percorso tipico di installazione: C:\Program Files\VMware\VMware OVF Tool\ovftool.exe.
• Accesso in scrittura al percorso di destinazione (locale o condivisione UNC).
• Permessi su vCenter sufficienti per l’export: ruolo Administrator, oppure un ruolo custom con i privilegi Virtual machine > Provisioning > Allow disk access / Allow read-only disk access.

NOTA BENE: per installare PowerCLI manualmente, da una console PowerShell (non necessariamente elevata, basta lo scope utente) eseguire:

Install-Module VMware.PowerCLI -Scope CurrentUser -Force

FUNZIONALITÀ DELLO SCRIPT

Lo script fa le seguenti cose:

• Chiede quale vCenter usare tramite un menu (1/2/3), oppure accetta la scelta come parametro per esecuzioni non interattive.
• Chiede il nome esatto della VM da esportare, se non passato come parametro.
• Si autentica sempre con l’utente Windows correntemente loggato sulla macchina: nessuna username da digitare. Prova prima l’autenticazione SSO/SSPI silenziosa (zero prompt); se il vCenter non ha questa funzionalità abilitata lato SSO, ricade automaticamente su un prompt Get-Credential già precompilato con l’utente corrente.
• Riusa la stessa credenziale raccolta per PowerCLI anche per ovftool, evitando di chiederla una seconda volta. Se invece l’SSO/SSPI di PowerCLI ha funzionato (zero prompt), per ovftool resta comunque necessaria una password, perché — a differenza di PowerCLI — non ha alcun equivalente dell’autenticazione integrata di Windows: è un limite del tool, non dello script.
• Verifica che la destinazione sia scrivibile prima di toccare vCenter (fail-fast), creando la cartella se non esiste.
• Individua la VM su vCenter e ne controlla lo stato di accensione.
• Spegne opzionalmente la VM prima dell’export, per garantirne la consistenza: prova prima uno shutdown “gentile” del guest OS (via VMware Tools), e solo se non va a buon fine entro un timeout ricorre a uno spegnimento forzato (Stop-VM).
• Esegue l’export vero e proprio con ovftool, includendo per default tutte e tre le opzioni avanzate (–exportFlags=mac,uuid,extraconfig), replicando esattamente quanto fa il client vSphere con “Enable advanced options” spuntato su tutte e tre le voci.
• Riaccende la VM al termine, se richiesto e se era accesa prima dell’intervento dello script.
• Supporta -WhatIf / -Confirm su tutte le operazioni che modificano lo stato (spegnimento/accensione, scrittura dei file), così è possibile simulare l’esecuzione prima di lanciarla sul serio.
• Tiene un log timestampato di tutta l’operazione su file, oltre che a video.

Per impostazione predefinita lo script non spegne la VM: esporta lo stato “a caldo” (ovftool esegue comunque l’export, ma senza garanzia di consistenza applicativa se non c’è un quiescing via VMware Tools). Per un export garantito consistente si usa il parametro -PowerOffFirst (con eventuale riaccensione al termine tramite -PowerOnAfter).

SCRIPT COMPLETO

#Requires -Version 5.1
<#
.SYNOPSIS
Esporta una VM da vCenter come pacchetto OVF/OVA su un percorso di rete
(UNC), includendo le stesse opzioni avanzate del client vSphere (Include
BIOS UUID, Include MAC addresses, Include extra configuration).
.PARAMETER VCenterChoice
"1", "2" o "3" per scegliere il vCenter senza il prompt interattivo:
1 = vcenter01.azienda.local
2 = vcenter02.azienda.local
3 = vcenter03.azienda.local
Se omesso, lo script mostra il menu e chiede la scelta.
.PARAMETER VMName
Nome esatto della VM da esportare. Se omesso, lo script lo chiede
interattivamente.
.PARAMETER DestinationPath
Cartella di destinazione (UNC o locale). Il file descrittore
(<VMName>.ovf o <VMName>.ova) verra' creato al suo interno; per il
formato Ovf, i file .mf e .vmdk vengono scritti nella stessa cartella.
Puoi anche indicare direttamente il percorso file completo.
.PARAMETER Format
"Ovf" (default, produce .ovf + .mf + uno o piu' .vmdk in una cartella) o
"Ova" (un unico file .ova).
.PARAMETER ExportFlags
Opzioni avanzate da includere nel pacchetto OVF, equivalenti alle
checkbox del client vSphere in "Enable advanced options". Default: tutte
e tre — @('mac','uuid','extraconfig') — cioe' Include MAC addresses,
Include BIOS UUID, Include extra configuration.
.PARAMETER OvftoolPath
Percorso di ovftool.exe. Se omesso, lo script cerca nelle posizioni di
installazione standard e nel PATH di sistema.
.PARAMETER ShareCredential
Credenziali opzionali da usare per autenticarsi sulla share di rete di
destinazione, se l'utente corrente non ha già accesso al percorso.
.PARAMETER PowerOffFirst
Se presente, spegne la VM (prima gentilmente via Guest OS, poi Stop-VM se
necessario) prima di esportarla, per garantire un export consistente.
.PARAMETER PowerOnAfter
Se presente insieme a -PowerOffFirst, riaccende la VM al termine
dell'export (solo se era accesa prima dello spegnimento fatto dallo script).
.PARAMETER Force
Sovrascrive eventuali file di export già presenti nella destinazione
(--overwrite di ovftool).
.EXAMPLE
.\Export-VM-OVF.ps1
Modalità completamente interattiva: chiede il vCenter (menu 1/2/3) e il
nome della VM, poi esporta in "\\fileserver01.azienda.local\export\ProgettoX".
.EXAMPLE
.\Export-VM-OVF.ps1 -VCenterChoice 2 -VMName "SRV-PROD-SYNC-01" -PowerOffFirst -PowerOnAfter -Force
Nessun prompt per vCenter/VM name (passati come parametro); chiede solo
le credenziali se necessario.
.NOTES
Prerequisiti:
- Modulo VMware.PowerCLI (per il lookup della VM e la gestione power state).
- VMware OVF Tool installato sulla macchina che esegue lo script
(download dal portale supporto Broadcom/VMware — non e' incluso in
PowerCLI). Percorso tipico: "C:\Program Files\VMware\VMware OVF Tool\ovftool.exe".
- Accesso in scrittura al percorso di destinazione.
- Permessi vCenter sufficienti per l'export (ruolo Administrator o
ruolo custom con i privilegi "Virtual machine > Provisioning >
Allow disk access / Allow read-only disk access").
#>
[CmdletBinding(SupportsShouldProcess = $true, ConfirmImpact = 'High')]
param(
[Parameter(Mandatory = $false)]
[ValidateSet('1', '2', '3')]
[string]$VCenterChoice = "",
[Parameter(Mandatory = $false)]
[string]$VMName = "",
[Parameter(Mandatory = $false)]
[string]$DestinationPath = "\\fileserver01.azienda.local\export\ProgettoX",
[Parameter(Mandatory = $false)]
[ValidateSet("Ovf", "Ova")]
[string]$Format = "Ovf",
[Parameter(Mandatory = $false)]
[string[]]$ExportFlags = @('mac', 'uuid', 'extraconfig'),
[Parameter(Mandatory = $false)]
[string]$OvftoolPath = "",
[Parameter(Mandatory = $false)]
[System.Management.Automation.PSCredential]$ShareCredential,
[Parameter(Mandatory = $false)]
[switch]$PowerOffFirst,
[Parameter(Mandatory = $false)]
[switch]$PowerOnAfter,
[Parameter(Mandatory = $false)]
[switch]$Force,
[Parameter(Mandatory = $false)]
[int]$GuestShutdownTimeoutSec = 180
)
$ErrorActionPreference = 'Stop'
# Tutte le operazioni usano sempre l'utente Windows correntemente loggato.
$CurrentUserForAuth = "$env:USERDOMAIN\$env:USERNAME"
# ==============================================================================
# Selezione vCenter (menu 1/2/3) — puoi anche passare -VCenterChoice 1|2|3
# per saltare il prompt in esecuzioni non interattive.
# ==============================================================================
$VCenterOptions = [ordered]@{
'1' = 'vcenter01.azienda.local'
'2' = 'vcenter02.azienda.local'
'3' = 'vcenter03.azienda.local'
}
if (-not $VCenterOptions.Contains($VCenterChoice)) {
Write-Host ""
Write-Host "Seleziona il vCenter:" -ForegroundColor Cyan
foreach ($key in $VCenterOptions.Keys) {
Write-Host (" {0}) {1}" -f $key, $VCenterOptions[$key])
}
do {
$VCenterChoice = Read-Host "Scelta (1-3)"
} while (-not $VCenterOptions.Contains($VCenterChoice))
}
$vCenterServer = $VCenterOptions[$VCenterChoice]
# ==============================================================================
# Nome della VM da esportare, se non passato come parametro
# ==============================================================================
if ([string]::IsNullOrWhiteSpace($VMName)) {
do {
$VMName = Read-Host "Nome esatto della VM da esportare"
} while ([string]::IsNullOrWhiteSpace($VMName))
}
$LogFile = Join-Path (Get-Location).Path "Export-VM-OVF_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"
$MappedDriveName = $null
$vmWasPoweredOn = $false
$global:VIConnection = $null
$SharedCredential = $null # riusata per ovftool se raccolta durante il fallback PowerCLI, per non chiedere due volte
# ==============================================================================
# Funzioni helper
# ==============================================================================
function Write-Log {
param(
[Parameter(Mandatory = $true)][string]$Message,
[Parameter(Mandatory = $false)][ValidateSet('INFO', 'WARN', 'ERROR', 'OK')][string]$Level = 'INFO'
)
$line = "[{0}] [{1}] {2}" -f (Get-Date -Format 'yyyy-MM-dd HH:mm:ss'), $Level, $Message
switch ($Level) {
'WARN' { Write-Host $line -ForegroundColor Yellow }
'ERROR' { Write-Host $line -ForegroundColor Red }
'OK' { Write-Host $line -ForegroundColor Green }
default { Write-Host $line }
}
try { Add-Content -Path $LogFile -Value $line -Encoding UTF8 } catch { }
}
function Test-DestinationWritable {
<#
Verifica che $Path esista (creandola se possibile) e sia scrivibile,
scrivendo e rimuovendo un piccolo file di prova. Funziona sia su
percorsi locali sia su UNC.
#>
param([Parameter(Mandatory = $true)][string]$Path)
if (-not (Test-Path -Path $Path)) {
Write-Log "La destinazione '$Path' non esiste: provo a crearla..." -Level WARN
New-Item -Path $Path -ItemType Directory -Force -ErrorAction Stop | Out-Null
}
$probeFile = Join-Path $Path (".write_test_$([guid]::NewGuid().ToString('N')).tmp")
try {
[IO.File]::WriteAllText($probeFile, "test")
Remove-Item -Path $probeFile -Force -ErrorAction SilentlyContinue
}
catch {
throw "Impossibile scrivere in '$Path': $($_.Exception.Message). Verifica i permessi sulla share o usa -ShareCredential."
}
}
function Wait-ForGuestShutdown {
param(
[Parameter(Mandatory = $true)]$VM,
[Parameter(Mandatory = $true)][int]$TimeoutSec
)
$elapsed = 0
while ($elapsed -lt $TimeoutSec) {
Start-Sleep -Seconds 5
$elapsed += 5
$current = Get-VM -Id $VM.Id
if ($current.PowerState -eq 'PoweredOff') { return $true }
}
return $false
}
function Get-InventoryFolderPath {
<#
Ricostruisce il percorso di inventory della VM (Datacenter e catena
di cartelle) necessario per il locator vi:// di ovftool, risalendo i
MoRef dei folder padre fino alla cartella "vm" radice del datacenter.
#>
param([Parameter(Mandatory = $true)]$VM)
$dc = Get-Datacenter -VM $VM -ErrorAction Stop
$vmFolderMoRefValue = $dc.ExtensionData.VmFolder.Value
$pathParts = [System.Collections.Generic.List[string]]::new()
$currentMoRef = $VM.ExtensionData.Parent
$guard = 0
while ($currentMoRef -and $currentMoRef.Value -ne $vmFolderMoRefValue -and $guard -lt 50) {
$folderView = Get-View -Id $currentMoRef -Property Name, Parent -ErrorAction Stop
$pathParts.Insert(0, $folderView.Name)
$currentMoRef = $folderView.Parent
$guard++
}
return [PSCustomObject]@{
Datacenter = $dc.Name
FolderPath = ($pathParts -join '/')
}
}
function Resolve-OvfToolPath {
<#
Individua ovftool.exe: usa il percorso fornito se valido, altrimenti
prova le posizioni di installazione standard, altrimenti cerca nel PATH.
#>
param([Parameter(Mandatory = $false)][string]$PreferredPath)
if ($PreferredPath -and (Test-Path -Path $PreferredPath -PathType Leaf)) {
return $PreferredPath
}
$candidates = @()
if ($env:ProgramFiles) { $candidates += Join-Path $env:ProgramFiles 'VMware\VMware OVF Tool\ovftool.exe' }
if (${env:ProgramFiles(x86)}) { $candidates += Join-Path ${env:ProgramFiles(x86)} 'VMware\VMware OVF Tool\ovftool.exe' }
foreach ($candidate in $candidates) {
if (Test-Path -Path $candidate -PathType Leaf) { return $candidate }
}
$cmd = Get-Command -Name ovftool.exe -ErrorAction SilentlyContinue
if (-not $cmd) { $cmd = Get-Command -Name ovftool -ErrorAction SilentlyContinue }
if ($cmd) { return $cmd.Source }
throw "ovftool non trovato. Installa 'VMware OVF Tool' (Broadcom/VMware support portal) oppure specifica il percorso con -OvftoolPath."
}
function Ensure-PowerCLIModule {
<#
Verifica che il modulo VMware.PowerCLI sia importato nella sessione
corrente; se manca del tutto sulla macchina, prova ad installarlo per
l'utente corrente da PowerShell Gallery. Senza questo controllo,
cmdlet come Set-PowerCLIConfiguration/Connect-VIServer falliscono con
"term ... is not recognized" su qualunque macchina dove PowerCLI non
sia già stato installato/importato in precedenza.
#>
if (Get-Command -Name Connect-VIServer -ErrorAction SilentlyContinue) {
return # già importato in questa sessione
}
Write-Log "Modulo VMware.PowerCLI non ancora caricato in questa sessione: verifico se è installato..."
if (-not (Get-Module -ListAvailable -Name VMware.PowerCLI)) {
Write-Log "VMware.PowerCLI non risulta installato: provo l'installazione (scope CurrentUser)..." -Level WARN
try {
[Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12
if (-not (Get-PackageProvider -Name NuGet -ErrorAction SilentlyContinue)) {
Install-PackageProvider -Name NuGet -MinimumVersion 2.8.5.201 -Force -Scope CurrentUser | Out-Null
}
Install-Module -Name VMware.PowerCLI -Scope CurrentUser -Force -AllowClobber -Confirm:$false -ErrorAction Stop
Write-Log "VMware.PowerCLI installato." -Level OK
}
catch {
throw "Impossibile installare VMware.PowerCLI automaticamente: $($_.Exception.Message). Installalo manualmente con: Install-Module VMware.PowerCLI -Scope CurrentUser"
}
}
Import-Module VMware.PowerCLI -ErrorAction Stop
Write-Log "Modulo VMware.PowerCLI importato." -Level OK
}
# ==============================================================================
# 1. Validazione destinazione (fail-fast prima di toccare vCenter)
# ==============================================================================
try {
Write-Log "==================== EXPORT VM: $VMName ===================="
Write-Log "Destinazione : $DestinationPath (formato $Format, exportFlags: $($ExportFlags -join ','))"
Write-Log "Utente corrente: $env:USERDOMAIN\$env:USERNAME su $env:COMPUTERNAME"
if ($ShareCredential) {
# Autentica una volta sul server della share; Windows mantiene la
# sessione autenticata per le successive operazioni dirette su UNC.
$uncRoot = ($DestinationPath -split '\\')[0..3] -join '\'
$MappedDriveName = "OvfExport_$([guid]::NewGuid().ToString('N').Substring(0,6))"
Write-Log "Autenticazione sulla share '$uncRoot' con le credenziali fornite..."
New-PSDrive -Name $MappedDriveName -PSProvider FileSystem -Root $uncRoot -Credential $ShareCredential -Scope Script -ErrorAction Stop | Out-Null
}
$extension = if ($Format -eq 'Ova') { '.ova' } else { '.ovf' }
if ($DestinationPath -match ([regex]::Escape($extension) + '$')) {
# E' stato passato direttamente un percorso file completo: lo si
# rispetta cosi' com'e', senza aggiungere una sottocartella.
$TargetFile = $DestinationPath
$TargetFolder = Split-Path -Parent $TargetFile
}
else {
# $DestinationPath e' una cartella "contenitore" (es. la share/cartella
# di progetto): dentro viene creata una sottocartella con il nome della
# VM, e dentro quella i file dell'export — stessa convenzione del
# client vSphere quando esporti in "Folder of files (OVF)".
$TargetFolder = Join-Path $DestinationPath $VMName
$TargetFile = Join-Path $TargetFolder "$VMName$extension"
}
Test-DestinationWritable -Path $TargetFolder
Write-Log "File di destinazione: $TargetFile" -Level OK
}
catch {
Write-Log "ERRORE sulla destinazione: $($_.Exception.Message)" -Level ERROR
if ($MappedDriveName) { Remove-PSDrive -Name $MappedDriveName -ErrorAction SilentlyContinue }
throw
}
# ==============================================================================
# 2. Connessione a vCenter (PowerCLI: lookup VM, power state, inventory path)
# ==============================================================================
try {
Ensure-PowerCLIModule
Set-PowerCLIConfiguration -InvalidCertificateAction Ignore -ParticipateInCeip $false -Confirm:$false | Out-Null
}
catch {
Write-Log "ERRORE preparazione PowerCLI: $($_.Exception.Message)" -Level ERROR
if ($MappedDriveName) { Remove-PSDrive -Name $MappedDriveName -ErrorAction SilentlyContinue }
exit 1
}
try {
Write-Log "Tentativo di connessione a '$vCenterServer' con l'utente Windows corrente ($CurrentUserForAuth) via SSO/SSPI..."
try {
$global:VIConnection = Connect-VIServer -Server $vCenterServer -SspiAuthentication $true -ErrorAction Stop
Write-Log "Connesso a $vCenterServer come $($global:VIConnection.User) (SSO)" -Level OK
}
catch {
Write-Log "Autenticazione SSO/SSPI non disponibile ($($_.Exception.Message)): il vCenter probabilmente non ha 'Windows Session Authentication' abilitata." -Level WARN
Write-Log "Fallback: prompt credenziali (precompilato con l'utente corrente $CurrentUserForAuth) — verranno riusate anche per ovftool più avanti, senza richiederle una seconda volta." -Level WARN
$SharedCredential = Get-Credential -UserName $CurrentUserForAuth -Message "Credenziali per $vCenterServer"
$global:VIConnection = Connect-VIServer -Server $vCenterServer -Credential $SharedCredential -ErrorAction Stop
Write-Log "Connesso a $vCenterServer come $($global:VIConnection.User)" -Level OK
}
}
catch {
Write-Log "ERRORE connessione a $vCenterServer : $($_.Exception.Message)" -Level ERROR
if ($MappedDriveName) { Remove-PSDrive -Name $MappedDriveName -ErrorAction SilentlyContinue }
exit 1
}
try {
# ==========================================================================
# 3. Individuazione VM
# ==========================================================================
$matchingVMs = @(Get-VM -Name $VMName -ErrorAction Stop)
if ($matchingVMs.Count -eq 0) {
throw "Nessuna VM trovata con nome '$VMName'."
}
if ($matchingVMs.Count -gt 1) {
throw "Trovate $($matchingVMs.Count) VM che corrispondono a '$VMName': specifica un nome univoco. ($(($matchingVMs.Name) -join ', '))"
}
$vm = $matchingVMs[0]
Write-Log "VM trovata: $($vm.Name) — Stato: $($vm.PowerState) — Host: $($vm.VMHost.Name)" -Level OK
$vmWasPoweredOn = ($vm.PowerState -eq 'PoweredOn')
# ==========================================================================
# 4. Spegnimento opzionale per consistenza dell'export
# ==========================================================================
if ($vmWasPoweredOn) {
if ($PowerOffFirst) {
if ($PSCmdlet.ShouldProcess($vm.Name, "Spegnimento (guest shutdown, fallback Stop-VM) prima dell'export")) {
Write-Log "Spegnimento della VM in corso (shutdown del guest OS)..." -Level WARN
$shutdownOk = $false
try {
Shutdown-VMGuest -VM $vm -Confirm:$false -ErrorAction Stop | Out-Null
$shutdownOk = Wait-ForGuestShutdown -VM $vm -TimeoutSec $GuestShutdownTimeoutSec
}
catch {
Write-Log "Shutdown del guest OS non disponibile (VMware Tools assenti/non attivi): $($_.Exception.Message)" -Level WARN
}
if (-not $shutdownOk) {
Write-Log "Guest shutdown non completato entro $GuestShutdownTimeoutSec secondi: eseguo Stop-VM (power off forzato)." -Level WARN
Stop-VM -VM $vm -Confirm:$false -ErrorAction Stop | Out-Null
}
$vm = Get-VM -Id $vm.Id
Write-Log "VM spenta. Stato attuale: $($vm.PowerState)" -Level OK
}
}
else {
Write-Log "La VM è ACCESA e verrà esportata 'a caldo'." -Level WARN
Write-Log "Per un export garantito consistente usa -PowerOffFirst." -Level WARN
}
}
else {
Write-Log "La VM è già spenta: export consistente senza bisogno di ulteriori azioni." -Level OK
}
# ==========================================================================
# 5. Export OVF/OVA tramite ovftool (unico modo per includere BIOS UUID,
# MAC addresses ed extra configuration — Export-VApp non lo supporta)
# ==========================================================================
if ($PSCmdlet.ShouldProcess("$($vm.Name) -> $TargetFile", "Export via ovftool (exportFlags: $($ExportFlags -join ','))")) {
$ovftoolExe = Resolve-OvfToolPath -PreferredPath $OvftoolPath
Write-Log "ovftool: $ovftoolExe"
# ovftool, a differenza di PowerCLI, non ha un equivalente di
# -SspiAuthentication: non esiste modo di fargli riusare in automatico
# e senza password la sessione Windows corrente. Se pero' e' già
# stata raccolta una credenziale durante il fallback della
# connessione PowerCLI (SSPI non disponibile su questo vCenter), la
# riusiamo qui invece di chiederla una seconda volta.
if ($SharedCredential) {
Write-Log "ovftool riusa la credenziale già inserita per la connessione PowerCLI (nessun secondo prompt)."
$ovfUser = $SharedCredential.UserName
$plainPassword = $SharedCredential.GetNetworkCredential().Password
}
else {
Write-Log "ovftool userà l'utente corrente ($CurrentUserForAuth); serve solo la password (ovftool non supporta il login integrato di Windows)."
$ovfUser = $CurrentUserForAuth
$securePassword = Read-Host -Prompt "Password vCenter per $CurrentUserForAuth (ovftool)" -AsSecureString
$plainPassword = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($securePassword))
}
$inv = Get-InventoryFolderPath -VM $vm
$locatorPath = if ($inv.FolderPath) { "$($inv.Datacenter)/vm/$($inv.FolderPath)/$($vm.Name)" } else { "$($inv.Datacenter)/vm/$($vm.Name)" }
Write-Log "Percorso inventory VM: $locatorPath"
# Percent-encoding di ogni segmento del path e delle credenziali
# (necessario per caratteri come spazi, backslash nel dominio, @ nella
# UPN o nella password, dentro il locator vi://user:pass@host/path).
$encodedLocatorPath = (($locatorPath -split '/') | ForEach-Object { [uri]::EscapeDataString($_) }) -join '/'
$encodedUser = [uri]::EscapeDataString($ovfUser)
$encodedPass = [uri]::EscapeDataString($plainPassword)
$sourceUri = "vi://{0}:{1}@{2}/{3}" -f $encodedUser, $encodedPass, $vCenterServer, $encodedLocatorPath
$plainPassword = $null
$ovftoolArgs = [System.Collections.Generic.List[string]]::new()
$ovftoolArgs.Add("--noSSLVerify")
$ovftoolArgs.Add("--exportFlags=$($ExportFlags -join ',')")
if ($Force) { $ovftoolArgs.Add("--overwrite") }
$ovftoolArgs.Add($sourceUri)
$ovftoolArgs.Add($TargetFile)
Write-Log "Avvio ovftool (exportFlags: $($ExportFlags -join ', '))..."
$ovftoolOutput = & $ovftoolExe @ovftoolArgs 2>&1
$ovftoolExitCode = $LASTEXITCODE
$ovftoolOutput | ForEach-Object { Write-Log " [ovftool] $_" }
if ($ovftoolExitCode -ne 0) {
throw "ovftool ha restituito il codice di uscita $ovftoolExitCode. Vedi l'output sopra e il file di log '$LogFile' per il dettaglio."
}
Write-Log "Export completato con successo (BIOS UUID, MAC addresses ed extra configuration inclusi)." -Level OK
if (Test-Path -Path $TargetFile -PathType Leaf) {
$baseName = [IO.Path]::GetFileNameWithoutExtension($TargetFile)
$siblingFiles = @(Get-ChildItem -Path $TargetFolder -ErrorAction SilentlyContinue | Where-Object { $_.BaseName -eq $baseName })
Write-Log "File presenti a destinazione: $($siblingFiles.Count)" -Level OK
$siblingFiles | ForEach-Object { Write-Log " - $($_.Name) ($([math]::Round($_.Length/1GB,2)) GB)" }
}
else {
Write-Log "Impossibile confermare la presenza del file '$TargetFile' — verifica manualmente." -Level WARN
}
}
else {
Write-Log "Export saltato (-WhatIf): nessuna modifica effettuata." -Level WARN
}
# ==========================================================================
# 6. Riaccensione opzionale
# ==========================================================================
if ($PowerOffFirst -and $PowerOnAfter -and $vmWasPoweredOn) {
if ($PSCmdlet.ShouldProcess($vm.Name, "Riaccensione dopo l'export")) {
Write-Log "Riaccensione della VM..."
Start-VM -VM $vm -Confirm:$false -ErrorAction Stop | Out-Null
Write-Log "VM riaccesa." -Level OK
}
}
Write-Log "==================== EXPORT COMPLETATO ====================" -Level OK
}
catch {
Write-Log "ERRORE FATALE: $($_.Exception.Message)" -Level ERROR
Write-Log ($_.ScriptStackTrace) -Level ERROR
throw
}
finally {
if ($global:VIConnection) {
Disconnect-VIServer -Server $global:VIConnection -Confirm:$false -ErrorAction SilentlyContinue
Write-Log "Disconnesso da $vCenterServer" -Level OK
}
if ($MappedDriveName) {
Remove-PSDrive -Name $MappedDriveName -ErrorAction SilentlyContinue
}
}

COME SI USA

Modalità completamente interattiva lo script chiede tutto:

.\Export-VM-OVF.ps1

Mostra il menu di scelta del vCenter, chiede il nome della VM, e poi procede con l’export “a caldo” nella cartella di destinazione di default.

Esecuzione non interattiva, con spegnimento pre-export, riaccensione automatica al termine e sovrascrittura di eventuali file già presenti:

.\Export-VM-OVF.ps1 -VCenterChoice 2 -VMName "SRV-PROD-SYNC-01" -PowerOffFirst -PowerOnAfter -Force

In questo caso l’unico prompt possibile è quello per le credenziali, e solo se necessario (SSO/SSPI non disponibile sul vCenter, oppure per ovftool come spiegato sopra).

Simulazione senza toccare nulla, utile prima di lanciare l’export su una VM di produzione:

.\Export-VM-OVF.ps1 -VCenterChoice 1 -VMName "SRV-PROD-SYNC-01" -PowerOffFirst -WhatIf

Export in formato OVA (un unico file) invece della cartella OVF+VMDK+MF:

.\Export-VM-OVF.ps1 -VCenterChoice 3 -VMName "SRV-PROD-SYNC-01" -Format Ova -DestinationPath "D:\Export"

OUTPUT ATTESO

Durante l’esecuzione, lo script produce un log a video (e su file, con lo stesso nome timestampato Export-VM-OVF_yyyyMMdd_HHmmss.log) simile a questo:

[2026-08-30 10:12:03] [INFO] ==================== EXPORT VM: SRV-PROD-SYNC-01 ====================
[2026-08-30 10:12:03] [INFO] Destinazione : \\fileserver01.azienda.local\export\ProgettoX (formato Ovf, exportFlags: mac,uuid,extraconfig)
[2026-08-30 10:12:03] [OK] File di destinazione: \\fileserver01.azienda.local\export\ProgettoX\SRV-PROD-SYNC-01\SRV-PROD-SYNC-01.ovf
[2026-08-30 10:12:05] [OK] Connesso a vcenter02.azienda.local come AZIENDA\mario.rossi (SSO)
[2026-08-30 10:12:06] [OK] VM trovata: SRV-PROD-SYNC-01 — Stato: PoweredOn — Host: esxi-host-03.azienda.local
[2026-08-30 10:12:06] [WARN] La VM è ACCESA e verrà esportata ‘a caldo’.
[2026-08-30 10:12:07] [INFO] Avvio ovftool (exportFlags: mac, uuid, extraconfig)…
[2026-08-30 10:14:52] [OK] Export completato con successo (BIOS UUID, MAC addresses ed extra configuration inclusi).
[2026-08-30 10:14:52] [OK] File presenti a destinazione: 3
[2026-08-30 10:14:52] [INFO] – SRV-PROD-SYNC-01.ovf (0 GB)
[2026-08-30 10:14:52] [INFO] – SRV-PROD-SYNC-01.mf (0 GB)
[2026-08-30 10:14:52] [INFO] – SRV-PROD-SYNC-01-disk1.vmdk (24.13 GB)
[2026-08-30 10:14:53] [OK] Disconnesso da vcenter02.azienda.local
[2026-08-30 10:14:53] [OK] ==================== EXPORT COMPLETATO ====================

Nella cartella di destinazione si troverà quindi il file descrittore .ovf, il manifest .mf con i checksum, e uno o più .vmdk con i dischi virtuali (oppure un unico .ova se è stato usato -Format Ova) — pronti per essere re-importati altrove mantenendo BIOS UUID, MAC address e configurazione extra della VM originale.

CONSIDERAZIONI FINALI

Il punto centrale dello script è la combinazione di due strumenti che da soli non basterebbero: PowerCLI per parlare con vCenter in modo “nativo” (lookup della VM, stato di accensione, percorso di inventory) e ovftool per l’export vero e proprio, perché è l’unico dei due a esporre le opzioni avanzate del formato OVF.

Vale la pena ricordare che ovftool va installato separatamente (non arriva con PowerCLI) e che, autenticazione SSO a parte, resta comunque legato a un flusso utente/password classico  un limite intrinseco dello strumento di cui è bene tenere conto quando si progettano automazioni di questo tipo su più vCenter.

Se gestisci un ambiente VMware vSphere, prima o poi ti capiterà di ricevere questo alert nei log o dalla vSphere Client:

MACHINE_SSL_CERT certificate in VECS is about to expire

Un certificato Machine SSL scaduto non è un dettaglio da poco: quando succede, vCenter smette di comunicare correttamente con vLCM, con gli host ESXi e con qualsiasi client che verifichi il certificato TLS, con errori tipo x509: certificate has expired or is not yet valid che si propagano a raffica nei log di vlcm.log.

Fortunatamente Broadcom mette a disposizione vCert.py, un tool ufficiale a menu che permette di controllare lo stato di tutti i certificati di vCenter (Machine SSL, Solution Users, STS signing, VMCA, e altri) e di sostituirli senza dover ricorrere a manipolazioni manuali di VECS o OpenSSL a mano.

In questa guida vediamo passo passo come:

scaricare e caricare lo script sull’appliance vCenter,
verificare lo stato attuale dei certificati,
rinnovare il Machine SSL certificate (sia con firma VMCA che con CA custom),
aggiornare gli SSL Trust Anchors in caso di Enhanced Linked Mode,
riavviare i servizi correttamente a fine operazione.

PRIMA DI INIZIARE

Verifica se il tuo vCenter è 8.0 U3h+ con VMCA in modalità vmca (default): in quel caso il certificato si rinnova automaticamente 5 giorni prima della scadenza. Controlla comunque la data di scadenza reale prima di agire.

Se usi un certificato custom (CA interna, es. la tua AD CS, o Let’s Encrypt), il rinnovo automatico non si applica: serve intervento manuale.

Obbligatorio: crea uno snapshot (o backup VAMI) della VM di vCenter prima di toccare qualsiasi certificato. Se sei in Enhanced Linked Mode, snapshot su tutti i nodi PSC/vCenter del dominio SSO.

SCARICARE LO SCRIPT

Vai sulla pagina del KB385107

Andare al fondo della pagina e scaricare l’allegato vCert-6.1.2-20260713.zip (verificare hash se vuoi: MD5 ce8aea7d342e4ffa208769798aba56e3)

CARICARE LO SCRIPT SUL VCENTER

Caricare lo zip sull’appliance vCenter eseguendo i passaggi elencati di seguito

Aprire dal proprio PC un terminale Powershell

Collegarsi al Vcenter in SSH con il comando:

ssh root@<vcenter-fqdn-o-IP>

Abilitare la shell digitando il comando:

shell

Questo ti porta temporaneamente in bash. Poi per rendere bash la shell di default di root (così anche scp funziona senza intoppi), lancia da dentro la bash il comando:

chsh -s /bin/bash root

Quindi copiare il file con il seguente comando:

scp -O C:\temp\vCert-6.1.2-20260713.zip root@<vcenter-fqdn-o-IP>:/root/

NOTA BENE: nel mio caso ho il file .zip all’interno della cartella C:\temp

Oppure è possibile copiare il file tramite l’upload da VAMI/vSphere Client se preferisci non aprire SSH dall’esterno.

ESTRARRE ED ESEGUIRE LO ZIP

Connettersi via SSH all’appliance vCenter come root ed eseguire i seguenti comandi:

unzip -q vCert-6.1.2-20260713.zip
cd vCert-6.1.2-20260713
chmod +x vCert.py
./vCert.py

Confermare l’avviso iniziale (y) solo dopo aver verificato di avere lo snapshot pronto.

NOTA BENE: Lo script logga in /var/log/vmware/vCert/vCert.log e crea una working dir in /root/vCert-master/YYYYMMDD/ (backup dei certificati inclusi).

VERIFICARE LO STATO ATTUALE DEI CERTIFICATI

Se è andato tutto a buon fine dovremmo visualizzare una schermata come l’immagine sottostante

Selezionare l’opzione 1. Check current certificate status

Ci dice se il Machine SSL è scaduto/in scadenza entro 30gg, se il PNID è presente nel SAN, se la chain è completa, ecc.

Dovremmo vedere il certificato Machine SSL in scadenza come mostra l’imamgine sovrastante

Poi controllare i dettagli specifici selezionare l’opzione 2. View certificate info

Selezionare l’opzione 1. Machine SSL certificate quindi annotare scadenza, subject e fingerprint attuali.

SOSTITUZIONE DEL MACHINE SSL CERTIFICATE

Dal menu principale

Selezionare l’opzione 3. Manage certificates

Selezionare l’opzione 1. Machine SSL certificate

Verrà chiesto il tipo di certificato:

1. Replace Machine SSL certificate with a VMCA-signed certificate: Rinnovo rapido e ok se non serve trust esterno

2. Replace Machine SSL certificate with a custom CA-signed certificate: Se usi la tua AD CS interna o altra CA — lo script può generare CSR + chiave, oppure importare un certificato+chiave già firmati

ATTENZIONE: Se si sceglie custom CA-signed e la catena non è completa, lo script chiederà il file con la chain CA completa (vedi anche KB 316601 step 10 per i dettagli sulla chain).

AGGIORNAMENTO DEL SSL TRUST ANCHORS (SOLO SE IN ENHANCED LINKED MODE)

Se hai più nodi vCenter/PSC nello stesso dominio SSO, dal menu principale:

4. Manage SSL trust anchors → 2. Update SSL Trust Anchors

Questo allinea gli altri nodi al nuovo certificato appena generato.

RIAVVIO DEI SERVIZI

Dal menu principale

Selezionare l’opzione 8. Restart services

Selezionare l’opzione 1. Restart all VMware services

(oppure 2 per riavviare solo un servizio specifico, se lo script/log ti indica quale)

Se è andato tutto a buon fine dovremo visualizzare una schermata come mostrato nell’immagine sovrastante

VERIFICA FINALE

Dal menu principale

Selezionare l’opzione 1. Check current certificate status

Se è tutto OK dovremmo visualizzare una schermata come mostrato nell’immagine sovrastante

E’ possibile generare un report completo con il seguente comando:

9. Generate certificate report

e verrà salvato in /var/log/vmware/vCert/.

CONSIDERAZIONI FINALI

La gestione dei certificati in vCenter è uno di quegli aspetti dell’infrastruttura VMware che si tende a dare per scontato finché non arriva l’alert di scadenza e a quel punto, se non si è preparati, il rischio di impatto su vLCM, backup (Veeam), integrazioni di terze parti e comunicazione con gli host ESXi è concreto.

vCert.py semplifica enormemente questo processo rispetto alla gestione manuale via openssl e VECS CLI, ma resta comunque un’operazione delicata: non è un tool da lanciare “a scatola chiusa”. Alcuni punti da tenere sempre a mente:

Lo snapshot non è opzionale. Anche se la procedura guidata riduce il margine di errore, un problema nella sostituzione del Machine SSL può compromettere l’intera comunicazione di vCenter con l’ambiente. Uno snapshot pre-operazione è l’unica vera rete di sicurezza.

Verifica sempre il PNID prima di generare il certificato, non dopo. Come visto, un SAN incompleto (errore NO PNID) è uno degli errori più comuni e facilmente evitabili controllando vmafd-cli get-pnid prima di procedere.

In Enhanced Linked Mode, l’ordine conta. Aggiornare i trust anchor su tutti i nodi dopo la sostituzione evita disallineamenti tra i vCenter dello stesso dominio SSO, che possono generare errori di autenticazione intermittenti difficili da diagnosticare.

Pianifica una finestra di manutenzione, anche se l’operazione dura pochi minuti: il riavvio dei servizi VMware comporta una breve interruzione della gestione centralizzata (vSphere Client, API, integrazioni).

In ambienti multi-tenant o MSP come quelli che gestisco quotidianamente, vale la pena automatizzare un controllo periodico dello stato dei certificati (ad esempio con LibreNMS o uno script schedulato che lancia l’opzione 1 di vCert.py e notifica in caso di scadenza imminente), così da anticipare l’alert prima che diventi un’emergenza.

Gestire attività, scadenze e progetti con strumenti cloud proprietari significa spesso rinunciare al controllo sui propri dati.

Vikunja è un task manager open source, self-hosted, che offre liste, board Kanban, diagrammi di Gantt e sincronizzazione CalDAV senza dipendere da servizi di terze parti.

Scritto in Go per il backend e Vue 3 per il frontend, viene distribuito come immagine Docker unificata, il che semplifica notevolmente il deploy rispetto ad altre soluzioni self-hosted più pesanti.

In questa guida vedremo come installare Docker da zero su Ubuntu Server 26.04 e come configurare Vikunja con Docker Compose, database PostgreSQL incluso, fino al primo accesso e alla configurazione base del servizio.

INSTALLAZIONE DI DOCKER

Rimuovere eventuali versioni precedenti/pacchetti in conflitto con il comando:

sudo apt remove docker docker-engine docker.io containerd runc

Aggiornare i repository e installare i pacchetti necessari con i comandi:

sudo apt update
sudo apt install -y ca-certificates curl gnupg

Aggiungere la chiave GPG ufficiale Docker con il comando:

sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg

Aggiungere il repository Docker con il comando:

echo \
"deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
$(. /etc/os-release && echo "$VERSION_CODENAME") stable" | \
sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

NOTA BENE: se Ubuntu 26.04 non ha ancora un repository dedicato su download.docker.com al momento dell’installazione usare il codename della release LTS precedente supportata (es. noble) al posto di $VERSION_CODENAME. Verifica su https://download.docker.com/linux/ubuntu/dists/ quali codename sono disponibili.

Installare Docker Engine, CLI, containerd e il plugin Compose con i comandi:

sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

Verificare l’installazione con il comando:

sudo docker run hello-world

Dovremmo visualizzare il seguente output:

Hello from Docker!
This message shows that your installation appears to be working correctly.

To generate this message, Docker took the following steps:
1. The Docker client contacted the Docker daemon.
2. The Docker daemon pulled the "hello-world" image from the Docker Hub.
(amd64)
3. The Docker daemon created a new container from that image which runs the
executable that produces the output you are currently reading.
4. The Docker daemon streamed that output to the Docker client, which sent it
to your terminal.

To try something more ambitious, you can run an Ubuntu container with:
$ docker run -it ubuntu bash

Share images, automate workflows, and more with a free Docker ID:
https://hub.docker.com/

For more examples and ideas, visit:
https://docs.docker.com/get-started/

Usare Docker senza sudo (Opzionale ma consigliato) con i seguenti comandi:

sudo usermod -aG docker $USER
newgrp docker

Verificare le versioni installare con i comandi:

docker --version

Dovremmo visualizzare il seguente output:

Docker version 29.7.2, build a7dcaa6

Quindi eseguire il comando:

docker compose version

Dovremmo visualizzare il seguente output:

Docker Compose version v5.4.0

INSTALLAZIONE DI VIKUNJA

Questa configurazione esporrà Vikunja direttamente sulla porta 3456 dell’host raggiungibile via http://<ip-del-server>:3456.

È la configurazione minima secondo la documentazione ufficiale, adatta per test o uso interno su rete LAN.

Creare le directory di progetto con il comando:

mkdir -p ~/docker/vikunja/{files,db}

cd ~/docker/vikunja

Impostare i permessi sulla cartella files con il comando:

sudo chown 1000 ./files

Con Docker rootless i permessi funzionano diversamente: in quel caso imposta user: “0:0” sul servizio vikunja nel compose invece di fare il chown.

Generare un secret sicuro con il comando:

openssl rand -hex 32

Dovremmo visualizzare un output simile al seguente:

b5a7c0652de8fd878b51c2369a3abc6dc23098a38ccc01dac64b370056e2850f

Copiare il secret perchè lo useremo più avanti in VIKUNJA_SERVICE_SECRET.

Creare il file docker-compose.yml con il comando:

sudo nano docker-compose.yml

quindi incollare all’interno del file il seguente output:

services:
vikunja:
image: vikunja/vikunja
environment:
VIKUNJA_SERVICE_PUBLICURL: http://<ip-del-server>:3456
VIKUNJA_DATABASE_HOST: db
VIKUNJA_DATABASE_PASSWORD: CAMBIA_QUESTA_PASSWORD
VIKUNJA_DATABASE_TYPE: postgres
VIKUNJA_DATABASE_USER: vikunja
VIKUNJA_DATABASE_DATABASE: vikunja
VIKUNJA_SERVICE_SECRET: "IL_SECRET_GENERATO_AL_PASSO_3"
ports:
- "3456:3456"
volumes:
- ./files:/app/vikunja/files
depends_on:
db:
condition: service_healthy
restart: unless-stopped
db:
image: postgres:18
environment:
POSTGRES_PASSWORD: CAMBIA_QUESTA_PASSWORD
POSTGRES_USER: vikunja
POSTGRES_DB: vikunja
volumes:
- ./db:/var/lib/postgresql
restart: unless-stopped
healthcheck:
test: ["CMD-SHELL", "pg_isready -h localhost -U $$POSTGRES_USER"]
interval: 2s
start_period: 30s

Salvare e chiudere il file YML

ATTENZIONE:

VIKUNJA_DATABASE_PASSWORD e POSTGRES_PASSWORD devono essere identiche.

VIKUNJA_SERVICE_PUBLICURL deve puntare all’IP/hostname e porta effettivamente raggiungibili dal browser: è l’URL che il frontend usa per contattare le API.
Se cambi porta o IP dopo, aggiorna anche questo valore.

NOTA BENE: Senza reverse proxy non hai TLS: il traffico resta in HTTP semplice. Va bene per una LAN interna, ma non per esporlo su internet.

Avviare lo stack con il comando:

docker compose up -d

Dovremmo visualizzare il seguente output:

[+] up 25/25
 Image vikunja/vikunja Pulled 7.0s
 Image postgres:18 Pulled 9.6s
 Network vikunja_default Created 0.0s
 Container vikunja-db-1 Healthy 12.9s
 Container vikunja-vikunja-1 Started

Controllare i log con il comando:

docker compose logs -f vikunja

Aspetta il messaggio che confermi che le migration del database siano completate e che il server sia in ascolto.

ACCESSO DI VIKUNJA DA WEB GUI

Aprire il browser e richiamare il seguente link:

http://<ip-del-server>:3456

Cliccare su Crea Account per creare il primo account

Inserire tutte le info richieste quindi cliccare su Crea Account

Se è andato tutto a buon fine dovremmo visualizzare la Dashboard di Vikunja come mostrato nell’immagine sovrastante

Disabilitare la registrazione pubblica dopo aver creato gli utenti necessari aggiungendo al servizio vikunja:

environment:
VIKUNJA_SERVICE_ENABLEREGISTRATION: "false"

Quindi riavviare docker con il comando:

docker compose up -d

COMANDI UTILI

Di seguito i comandi utili:

• docker compose down # ferma lo stack
• docker compose pull # scarica l’ultima immagine
• docker compose up -d # riavvia con l’immagine aggiornata
• docker compose logs -f # segue i log di tutti i servizi

PRO E CONTRO DI VIKUNJA

Ecco un elenco di pro e contro di Vikunja, pensato in chiave self-hosting.

PRO

• Open source e completamente gratuito da self-hostare — nessun limite su progetti, task o funzionalità nella versione self-hosted, a differenza di molti concorrenti che bloccano funzioni dietro un piano a pagamento
• Deploy semplificato — l’immagine Docker unificata (frontend + backend in un solo container) rende lo stack molto più leggero rispetto ad altre soluzioni PM self-hosted
• Viste multiple — lista classica, Kanban, tabella e Gantt nello stesso progetto, così ognuno usa il layout che preferisce
• Quick Add Magic — sintassi rapida per inserire scadenze, etichette e assegnatari direttamente durante la digitazione del task, senza passaggi aggiuntivi
• Collaborazione solida — condivisione di progetti/sottoprogetti con singoli o intere squadre, assegnazione task chiaraStrong collaboration features for teams
• Importer integrati — es. da Todoist, utile in fase di migrazione da tool proprietariVikunja.
• CalDAV nativo — sincronizzazione con client calendario esterni, cosa che molti tool PM self-hosted non offrono
• Reminders senza paywall — anche nella versione gratuita/self-hosted, a differenza di alternative come Todoist che le riservano al piano ProVikunja works.

CONTRO

• Richiede competenze tecniche per il self-hosting — setup e manutenzione (Docker, database, permessi, reverse proxy) non sono alla portata di un utente non tecnico
• Gestione utenti da riga di comando — nella versione self-hosted alcune operazioni di amministrazione utenti passano da CLI, non da interfaccia grafica (automatizzabile, ma è un gradino in più)
• SMTP da configurare fin da subito — reminder e reset password non funzionano senza un mailer configurato, e aggiungerlo dopo richiede un restart dello stack meglio pianificarlo al primo deploy
• Nessun account admin predefinito — il primo utente registrato è un utente normale, va gestito manualmente chi ha ruoli elevati
• App native ancora in roadmap — al momento è una PWA, non un’app nativa mobile/desktop
• Meno adatto a documentazione mista stile Notion — è un tool di task/project management puro, non un workspace con documenti ricchi integrati
• Community storage limitato solo su Vikunja Cloud — se non fai self-hosting e usi il piano cloud gratuito/personale, gli allegati hanno limiti di spazio