Divertito? Decisamente sì.

Stanco? Sì (e qualcuno, prendendoci in pieno, me l’ha fatto notare). Ora c’è tutta un’estate per riposare e, soprattutto, molto margine per pianificare il 2027. Cosa che, nonostante i miei proclami, non ho potuto fare granché durante questo 2026: gli impegni vanno onorati e le promesse vanno mantenute.

Una piccola nota su BeConnected day: è stato un successone e, per una volta, voglio condividere esplicitamente con te una piccola nota di orgoglio.
Presentare l’apertura di un evento e moderarlo davanti a 600 persone è un qualcosa che, fino a qualche anno fa, non avrei mai neanche pensato lontanamente di essere in grado di fare. Quando dico “mai”, dico proprio “mai nella vita”. Da introverso che, fino a pochi anni fa era terrorizzato di parlare in pubblico, il salto è veramente più intergalattico di un teletrasporto di Star Trek. Mi do una pacca sulla spalla.

Fine dell’autocelebrazione.

La prima cosa che mi viene in mente è “Grazie”. In particolare a Roberto Ferazzi che, un annetto e mezzo fa, ha intuito (prima di me) che io questa cosa la potevo fare.
E, ovviamente, grazie a tutto il board e ai collaboratori di BeConnected per avermi accolto, ascoltato e supportato nelle mie decisioni su come impostare i momenti di apertura e chiusura.

In ordine rigorosamente casuale:

Alessio Giombini, Igor Macori, Michele Sensalari, Luca Vitali, Fabrizio Volpe, Davide Vettorato, Dario Gatti, Daniele Marfone, Alberto Jacomuzzi.

E ora? Dopo BeConnected e dopo AperiTeams (a cui ho partecipato lo scorso 24 Giugno, più dettagli quando saranno pronti i video delle sessioni), da qui alla fine dell’anno solare per me ci saranno solo due eventi: AzureOnBeer e WPC. Dettagli più avanti nell’apposita sezione.

Per il resto, buona lettura e, soprattutto, buon riposo / avventura / vacanza / viaggio / staycation qualunque cosa sia, visto che ormai siamo a Luglio!

📌 In questo numero

• FAQ… ma con stile: “Windows Hello for Business è considerato un’autenticazione multifattore?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: faccio anch’io la mia parte nel classico tormentone “ne riparliamo a Settembre”. AzureOnBeer e ultima chiamata per la call for speaker di WPC.

• On a personal note: espansione dell’universo.

❓ FAQ… ma con stile

Domanda

“Windows Hello for Business è considerato un’autenticazione multifattore?”

Risposta

Sì. Assolutamente sì. Definitivamente sì.

Windows Hello for Business implementa una vera autenticazione a due fattori, anche se l’utente percepisce il tutto come un singolo gesto di sign-in (PIN o biometrico) invece del classico “password + OTP via app/sms”.

Dal punto di vista dei fattori, abbiamo sempre almeno “qualcosa che hai”, cioè la chiave privata dell’utente protetta dall’hardware di sicurezza del dispositivo (TPM o equivalente), e “qualcosa che conosci”, ovvero il PIN di Windows Hello.

Ne ho parlato anche qui 👇

Quando aggiungi le biometrie (volto, impronta, ecc.), il modello non è che diventi magicamente “3FA”, stai solo sostituendo “qualcosa che conosci” con “qualcosa che sei”, mantenendo comunque due fattori: dispositivo + gesto di autenticazione (PIN o biometrico). In scenari Microsoft Entra ID, la chiave di Windows Hello for Business soddisfa i requisiti di multifactor authentication, motivo per cui riduce il numero di prompt MFA tradizionali che l’utente vede quando accede alle risorse cloud.

Se vuoi altri dettagli:

• 🔗 Windows Hello for Business - Overview

• 🔗 How Windows Hello for Business works

• 🔗 Windows Hello for Business authentication

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • What’s new in Microsoft Intune – June

  • Microsoft Intune and Apple platform updates: What to expect after WWDC 2026

  • Exporting all Microsoft Intune Enterprise App Management catalog apps to CSV using Microsoft Graph

  • Deploying Platform SSO for pre macOS 26 with Microsoft Intune: Lessons Learned

• Windows IT Pro

  • Best practices for deploying Secure Boot certificate updates

  • Point-in-time restore for Windows 11 is now generally available

  • Get ready for Windows 11, version 26H2

• Microsoft Entra

  • What’s New in Microsoft Entra: June 2026

  • Microsoft Entra ID security updates: What organizations need to do now

  • AI is accelerating cyberattacks - here’s how to stay ahead

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Playlist delle sessioni di BeConnected Day 14
  👤 Speaker Vari
  La playlist contiene i video delle sessioni tenute al BeConnected Day 14. AI, Copilot, Microsoft 365, sicurezza, gestione dispositivi, insomma una panoramica a 360° sul Future Of Work. Consultatela più volte perché è in costante aggiornamento.

• 🔗 What do I really get with Intune Suite?
  👤 Andrew Taylor
  Guida pratica a cosa includono davvero M365 E3 ed E5 ora che includono Intune Suite, con informazioni concrete su Remote Help, Advanced Analytics, Tunnel, EPM, EAM e Cloud PKI, casi d’uso reali.

• 🔗 The Ultimate Intune Troubleshooting Guide: How It Works and How I Fix It
  👤 Jannik Reinhard
  Una guida che va dove la documentazione ufficiale (talvolta) non arriva: due canali distinti (MDM nativo e IME), identity layer, log map completa, MMP-C / Declared Configuration e i 9 codici di errore più comuni. Una piccola bibbia del troubleshooting di Intune da tenere sempre a portata di mano.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

I prossimi eventi

• 💻 BeConnected Hour - S06E03
  📅 24 Luglio 2026 - 💻 Online
  Terza puntata della 6a Stagione del BCH! Dopo l’abbuffata di sessioni del recente BeConnected day, torna la vostra rubrica di approfondimento con novità dal mondo M365, Teams, MTR, Purview, MDO, Copilot con Roberto Ferazzi, Raffaele Colavecchi, Fabrizio Volpe e Luca Vitali.

• 💻 AzureOnBeer 2026
  📅 11 Settembre 2026 - 🌍 In presenza
  AzureOnBeer 2026 è un pomeriggio dedicato alle tecnologie Microsoft, tra AI, sicurezza, infrastrutture e modern work, unito a networking e degustazione di birre artigianali guidata da un mastro birraio: un format unico dove imparare, confrontarsi e fare community.

Ecco i dettagli della sessione che terrò ad AzureOnBeer, durante la quale condividerò il palco per la prima volta con il collega Riccardo Cozzi.

Call for Speaker

WPC 2026 torna dal 24 al 26 novembre 2026 all’NH Congress Centre di Assago e anche quest’anno cerchiamo speaker pronti/e a condividere case study, progetti concreti e competenze tecniche sul mondo Microsoft.

Quest’anno il tema AI & Agent sarà centrale e trasversale alle principali aree dell’agenda, insieme a Security: Business Solutions & Collaboration, Cloud Platform & Development, Data Platform e Infrastructure & Device (quest’ultima la parte per cui sarò responsabile d’agenda anche quest’anno).

⚠️ Il tempo stringe, hai tempo fino al 5 Luglio 2026 per inviare la tua candidatura: inviala subito!

Candida la tua sessione a WPC 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

Libri

Finalmente, dopo qualche mese in cui la vena di leggere libri era veramente scarsa, mi sono organizzato con un Kobo Clara Colour (← link affiliato Amazon). Dammi ancora qualche settimana per ricominciare a carburare il ritmo-lettura e torneranno anche i consigli sui libri.

Newsletter

• Raffaele Giuliani e la trappola della purezza

• Quanti creator guadagnano davvero? I numeri che nessuno mostra

• Tech Sovereignty Package: Bruxelles vuole l’autonomia digitale con vent’anni di ritardo

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Clear And Present Danger / Signs Of A Struggle / Mattafix

• Parabola / Lateralus / TOOL

• Setting Sun (Live Radio Broadcast) / Be Here Now (Deluxe Remastered Edition) / Oasis

✍️ Pensieri sparsi

Fulminato da un paio di idee per dei nuovi tattoo. Se si concretizzano, vi farò vedere.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità. Al momento questa newsletter non è sponsorizzata da nessuno e tutti i prodotti o servizi che segnalo tramite link affiliati sono acquisti che ho effettuato personalmente, a mie spese.

Ma bando alle ciance e lasciamo parlare le foto, non c’è bisogno di scrivere cose ruffiane verso l’algoritmo.

In queste immagini c’è tutto: divertimento, felicità, stanchezza, impegno, community, chiacchiere, complicità, sorrisi.

Grazie a tutti: agli sponsor, al board e ai collaboratori di BeConnected, agli speaker, al pubblico che ci dà fiducia ogni anno.

Semplicemente grazie. ❤️

P.S: nota di merito ad Adriana Tuzzo e alle sue foto. Fa sembrare che io sappia davvero cosa sto facendo sul palco. 😆

Rick

Una è semplice e veloce da configurare mentre l’altra richiede qualche passaggio in più, ma ti dà un livello di controllo e sicurezza decisamente superiore.

In questo articolo te le mostro entrambe, cercando di capire quando ha senso usarne una rispetto all’altra e, spoiler, ti dico già da subito qual è quella che preferisco. 😉

Metodo 1: il profilo Email di Intune

Come funziona

Il primo metodo si basa sul template Email di Intune. L’idea è semplice: crei un profilo di configurazione, lo assegni agli utenti o ai dispositivi, e iOS riceve automaticamente le impostazioni dell’account tramite Exchange ActiveSync.

Dal punto di vista dell’utente, l’esperienza è molto fluida. L’account arriva direttamente nelle impostazioni di sistema e alimenta in modo naturale Mail, Contatti e Calendario.

Configurazione del profilo

Per configurarlo andiamo sul portale di Intune, nella sezione Device Configuration, selezioni iOS/iPadOS, scegli il percorso Templates > Email e imposti i parametri dell’account. Assegni il profilo e lasci fare al resto a Intune.

Risultato sul dispositivo

Una volta ricevuto il profilo, l’account compare nelle impostazioni di iOS e da lì può alimentare tutte e tre le app native. È integrato, è coerente con l’esperienza di sistema e non richiede nessun intervento manuale da parte dell’utente.

Ok… e quindi dov’è la fregatura?

C’è un rovescio della medaglia che non puoi ignorare.

Le app native di iOS non supportano le App Protection Policies di Intune.

Questo significa che non hai lo stesso livello di protezione MAM che ottieni con Outlook: niente controlli su copia e incolla, niente restrizioni sul trasferimento dei dati tra app, niente protezione dell’accesso applicativo.

In più, questo approccio non si integra bene con i modelli moderni di Conditional Access basati su Require App Protection Policy.

Per questo oggi lo considero una soluzione da usare solo quando non hai requisiti avanzati di Mobile Application Management o DLP.

Sei sicuro di non averne? 🤔

Metodo 2: App Configuration e App Protection su Outlook

Un approccio diverso

Il secondo metodo cambia il modo in cui ci si approccia alla questione. Non si lavora più sulla configurazione dell’account a livello di sistema operativo, ma su Outlook come app gestita, combinando App Configuration Policy e App Protection Policy.

Il risultato è che hai più controllo, più granularità e un livello di sicurezza decisamente superiore. Puoi governare come i dati si muovono dentro l’app, limitare certe azioni, proteggere l’accesso con un PIN applicativo e allinearti a policy di Conditional Access come Require app protection policy.

C’è un compromesso da mettere in conto: in questo flusso la sincronizzazione nativa riguarda i contatti. Il calendario, invece, rimane dentro Outlook, proprio per mantenere un impianto più coerente con il modello applicativo e con la governance che stai cercando.

App Configuration Policy

Si parte dalla App Configuration Policy. Qui non stai semplicemente creando un account nel sistema operativo: stai modellando il comportamento dell’app Outlook in un contesto gestito.

App Protection Policy

Il secondo tassello è la App Protection Policy. Ed è qui che si vede davvero la differenza rispetto al metodo precedente. Con le policy di protezione dell’app puoi applicare controlli che le app native di iOS semplicemente non supportano: puoi intervenire su come i dati vengono condivisi, copiati o trasferiti tra app, e tante altre impostazioni. Vediamo una configurazione d’esempio.

Risultato finale

Con questa configurazione ottieni la sincronizzazione nativa dei contatti, ma dentro un impianto molto più controllato dal punto di vista della sicurezza.

Vediamo l’esperienza utente!

Confronto tra i due metodi

Documentazione allegata

Se vuoi approfondire ogni dettaglio tecnico e i requisiti di licenza, ti lascio qui sotto riferimenti alla documentazione ufficiale Microsoft, calda e “che-sa-di-vacanza” come l’estate che, ormai, è qui con noi!

App Configuration Policy – iOS/iPadOS

• App Configuration Policies for Microsoft Intune – Overview

• Add App Configuration Policies for Managed iOS/iPadOS Devices

• App configuration policies for Intune App SDK managed apps

App Protection Policy – iOS/iPadOS

• App Protection Policies Overview – Microsoft Intune

• How to Create and Assign App Protection Policies

• iOS/iPadOS App Protection Policy Settings

Template di configurazione Email (Exchange ActiveSync) – iOS/iPadOS

• Add e-mail settings for iOS and iPadOS devices in Microsoft Intune

Conclusioni

Se questo articolo ti è stato utile, ti aspetto qui su ITSpecialist.News: guide pratiche, news e approfondimenti sul mondo Microsoft, endpoint management e sicurezza aziendale, senza filtri e senza il rumore di fondo tipico dei social.

Iscriviti ora

A presto… MITICI!

Rick

Ultimi battiti di questa primavera-estate di eventi davvero intensa: a fine 2025 mi ero ripromesso di rallentare ma, per motivi totalmente casuali e poco razionali, in questi primi sei mesi del 2026 mi sono ritrovato ad aver fatto più cose di quelle che facevo quando ero MVP.

L’anno prossimo sicuramente dovrò cambiare qualcosa.

Per intanto, qui si continuano a sfornare novità varie ed eventuali, gli eventi continuano e vi segnalo in particolare BeConnected Day 14 e AperiTeams: in entrambi terrò una sessione. Dettagli più avanti in questa newsletter. 😉

Buona lettura!

📌 In questo numero

• FAQ… ma con stile: “Esistono metodi alternativi al classico file CSV contenente gli hash da caricare su Intune per censire i PC Autopilot?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: BeConnected Day - finalmente ci siamo!

• On a personal note: prossima domanda.

❓ FAQ… ma con stile

Domanda

“Esistono metodi alternativi al classico file CSV contenente gli hash da caricare su Intune per censire i PC Autopilot?”

Risposta

Sì.

Facciamo un brevissimo ripasso di quali siano i passaggi per registrare un PC in autopilot.

Per una registrazione corretta devono essere completati due step:

• L’identità unica hardware del dispositivo (chiamata hardware hash) viene acquisita e inviata al servizio Windows Autopilot.

• Il dispositivo viene associato ad un tenant.

Idealmente, questi due processi sono eseguiti dall’OEM, dal rivenditore o dal distributore presso cui sono acquistati i dispositivi.

La registrazione può essere effettuata anche internamente all’azienda, raccogliendo l’identità hardware da dispositivi nuovi o già esistenti e caricandola manualmente. Se i dispositivi soddisfano determinati requisiti, possono essere configurati per la registrazione automatica con Windows Autopilot.

Ma…

… se la tua azienda è seguita da un partner (o se sei tu il partner), ecco che si aprono strade alternative al solito CSV con l’hardware hash: tramite portale partner CSP, hai a disposizione differenti combinazioni che l’azienda stessa non avrebbe, sul portale di Intune.

Ecco tutte le combinazioni possibili:

• HardwareHash + ProductKey

• HardwareHash + SerialNumber

• HardwareHash + ProductKey + SerialNumber

• HardwareHash

• ProductKey

• SerialNumber + OemManufacturerName + ModelName

Come vedi, ci sono almeno 6 combinazioni diverse. Tu lo sapevi? Persino io l’ho scoperto da non molto tempo. C’è sempre da imparare. 😉

Tutti i dettagli su come registrare un PC in Autopilot, più altre risorse utili e documentazione per sfruttare i metodi alternativi di registrazione.

📎 OEM registration

📎 Reseller, distributor, or partner registration

📎 Automatic registration

📎 Manual registration

📎 Upload a list of devices to create a new batch for the specified customer

📎 CSP partners: Add devices to Windows Autopilot using Partner Center and PowerShell

📎 Windows Autopilot device registration options for partners: Using the tuple

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • What’s new in Microsoft Intune – May

  • New Platform SSO with registration during Automated Device Enrollment on macOS

  • Known issue: Upgrading Microsoft Tunnel version 20260129.1

• Windows IT Pro

  • Reducing NTLM Dependency: IAKerb and LocalKDC in Windows Insider Preview

  • Made for developers and agents, Windows 365 at Build 2026

  • Windows news you can use: May 2026

  • Updated Secure Boot status report in Windows Autopatch

• Surface IT Pro

  • Introducing Surface Laptop Ultra

  • Inside the new Intel‑powered Surface portfolio: A deep dive

• Microsoft Entra

  • What’s New in Microsoft Entra: June 2026

  • Platform SSO during automated device enrollment is now generally available for macOS

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 How to Deploy OneDrive for macOS Silently via Intune (Known Folder Move, Full Disk Access and Background Services)
  👤 Tobias Eriksson
  Guida super pratica per trasformare OneDrive su macOS in un’esperienza davvero silenziosa: dal deploy via Intune alle configurazioni per KFM, Full Disk Access e background services, con tanto di confronto prima/dopo che ti fa venire voglia di sistemare i tuoi profili già oggi.

• 🔗 The ultimate Intune Troubleshooting Guide
  👤 Niklas Tinner
  Piano d’attacco per quando Intune ti rema contro: dall’assegnazione lato portal fino a IME, Event Viewer, MDMDiagnostics e registro, con una logica chiara che ti evita di formattare il device “per disperazione”.

• 🔗 Intune Sync Debug Tool: The Last Royal Treasure
  👤 Rudy Ooms
  Un viaggio dentro ai “finti” problemi di sync Intune che in realtà sono quasi sempre colpa del certificato MDM: Rudy spacchetta stato di enrollment, chiavi, scheduled task e recovery flow in un unico toolkit concreto, subito riutilizzabile nel troubleshooting di produzione.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

I prossimi eventi

• 💻 BeConnected Day
  📅 11 Giugno 2026 - 🌍 In presenza
  La conferenza community più grande d’Italia su Microsoft 365, Copilot, Security e Power Platform, Modern Work e Security ti aspetta, gratis. Speaker MVP e architect Microsoft, sessioni pratiche, networking con i migliori professionisti del settore: una giornata che vale quanto un corso a pagamento.
  Non perderti l’evento e, soprattutto, non perderti la mia sessione che condividerò insieme all’amico Davide Salsi! 👇

  

• AperiTeams Conference 2026
  📅 24 Giugno 2026 - 💻 Online e 🌍 In presenza
  Conferenza gratuita di una giornata alla Microsoft House di Milano dedicata a professionisti IT su infrastrutture, cloud ibrido, modern workplace, cyber security e intelligenza artificiale, con sessioni tecniche, demo e networking organizzata da Inside Technologies.
  Se vuoi sapere le ultime (e ottime) notizie di licensing su Intune Suite e Microsoft 365 E3/E5, allora devi assolutamente assistere alla mia sessione. 👇

  

Call for Speaker

WPC 2026 torna dal 24 al 26 novembre 2026 all’NH Congress Centre di Assago e anche quest’anno cerchiamo speaker pronti/e a condividere case study, progetti concreti e competenze tecniche sul mondo Microsoft.

Quest’anno il tema AI & Agent sarà centrale e trasversale alle principali aree dell’agenda, insieme a Security: Business Solutions & Collaboration, Cloud Platform & Development, Data Platform e Infrastructure & Device (quest’ultima la parte per cui sarò ancora responsabile d’agenda quest’anno).

Candida la tua sessione a WPC 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• La Ferrari Luce è la scelta più vigliacca che potessero fare. E te lo dimostro coi numeri

• Restare in provincia è una scelta?

• I case study sono sopravvalutati? Lunga vita al “How I’d do [thing]”. Con Andrea Bosoni

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Passenger / White Pony (20th Anniversary Deluxe Edition) / Deftones

• San Ber’dino / One Size Fits All / Frank Zappa & The Mothers of Invention

• Y’est où Grand-Papa? / Au Parc / LeParc

✍️ Pensieri sparsi

Come va? Domanda di riserva, grazie.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Prerequisiti e licensing

Prima di mettere mano alla console, allineiamoci su quello che serve.

I requisiti sono abbastanza lineari:

• Microsoft Intune Plan 1, non serve il Plan 2 per MAA.

• Dispositivi gestiti da Intune.

• Gli utenti coinvolti devono avere i permessi appropriati nel portale Intune (lo vedremo tra poco).

Per tutti i dettagli tecnici ti rimando alla documentazione ufficiale Microsoft, allegata in fondo all’articolo.

I tre attori coinvolti

Prima di iniziare la configurazione, è importante avere chiaro un concetto fondamentale: in uno scenario MAA entrano in gioco tre attori distinti.

1. L’admin che crea e gestisce le policy MAA: decide quali operazioni devono essere soggette ad approvazione e chi ha il diritto di approvarle.

2. L’admin approver: è il “secondo paio di occhi”. Riceve le richieste, le approva o rifiuta.

3. Il change requestor: è l’operatore (tipicamente un Help Desk operator) che vuole eseguire un’operazione protetta e deve fare una richiesta esplicita di approvazione.

Questi tre ruoli interagiscono in sequenza. Nel tutorial li vedremo tutti in azione.

Pronti? Partiamo!

Creazione del gruppo Approver su Microsoft Entra

La prima cosa da fare è creare un gruppo security su Microsoft Entra ID che raccoglierà gli amministratori con ruolo di approver. MAA si basa su gruppi Entra per sapere chi può approvare cosa, quindi questo è il punto di partenza obbligato.

Vai sul portale di Microsoft Entra ID, crea un nuovo gruppo di sicurezza (io l’ho chiamato qualcosa di sensato tipo Intune MAA Approvers) e aggiungi come membro l’amministratore che farà da approver.

Niente di complicato fin qui. Però prima di passare alla policy MAA, c’è un passaggio che può sembrare strano ma è assolutamente fondamentale.

Assegnazione di un ruolo RBAC Intune al gruppo

Il gruppo di Entra appena creato deve essere assegnato a un ruolo RBAC di Intune.

Permessi necessari per approvare/rifiutare le richieste

L’approver deve:

• avere i permessi di lettura (Read) su tutte le tipologie di oggetti / configurazioni / policy che deve approvare

• Poter approvare le policy, con il permesso RBAC Approval for Multi Admin Approval che trovi all’interno della sezione Multi Admin Approval nell’elenco dei permessi del ruolo RBAC.

Quindi, tradotto in soldoni, hai due opzioni:

• Se il tuo approver è Intune Administrator, non hai bisogno di creare un ruolo RBAC specifico e, quindi, potrai associare il tuo gruppo di approver ad un ruolo RBAC qualunque, anche il Read Only Operator. È quello che ho fatto io perché, banalmente, essendo un lab, non ho così tante licenze che coprano tutti gli utenti del caso. Ho scelto questa strada per semplicità e per farti capire che l’assegnazione del ruolo RBAC è fondamentale.

• Se il tuo approver NON è Intune Administrator, allora dovrai associare il gruppo degli approver ad un ruolo RBAC ad-hoc con i permessi di Read per tutto quello che serve approvare più il permesso Approval for Multi Admin Approval.
  Ad esempio, potresti clonare il ruolo Read Only Operator e aggiungerci il permesso specifico Approval for Multi Admin Approval.

Tutto chiaro? Spero di sì. Ora assegnamo il ruolo al gruppo degli approver!

Perché è necessario? Perché se il gruppo non ha nessun ruolo assegnato in Intune, il sistema non lo considera rilevante e, attenzione, la membership del gruppo viene ripulita automaticamente. Gli approver spariscono, la tua configurazione smette di funzionare e non te ne accorgi subito.

Ok, ora possiamo finalmente creare la policy.

Creazione della policy di Multi Admin Approval

Eccoci al cuore della configurazione.

Vai su Intune > Tenant Administration > Multi Admin Approval e crea una nuova Access Policy.

Qui definisci quale operazione deve essere protetta da approvazione. Nel nostro esempio proteggiamo il wipe dei dispositivi, una delle operazioni più impattanti che esistano in Intune, perfetta per dimostrare MAA in azione.

Imposta il tipo di operazione, seleziona il gruppo approver creato al passo precedente, e salva.

⚠️ Attenzione però: la policy non è ancora attiva. E qui arriva il primo dei passaggi “non ovvi” di MAA, che sorprende spesso chi la configura per la prima volta.

Permessi necessari per creare e gestire le Access Policy

C’è una da tenere a mente: l’account che crea e gestisce le policy di MAA deve avere i permessi giusti. Qui hai due strade.

La prima opzione è usare il ruolo Intune Administrator (noto anche come Intune Service Administrator su Microsoft Entra): ha accesso completo in lettura e scrittura su Intune, quindi può fare tutto.

Nel video uso questo approccio per semplicità e, banalmente, perché non ho abbastanza licenze per provare il tutto con persone e admin diversi. 😆

Attenzione però: Microsoft stessa consiglia di non usarlo per la gestione ordinaria delle access policy, proprio perché è un ruolo privilegiato ad ampio raggio.

La seconda opzione, quella consigliata per ambienti di produzione, è creare un ruolo RBAC custom in Intune con i permessi specifici per MAA.

Il principio di least privilege, come sempre, è il tuo migliore amico.

L’approver approva la creazione della policy

Esatto: anche la creazione della policy MAA stessa richiede approvazione.

L’admin approver accede al portale Intune e va nella sezione Admin Tasks, dove trova la richiesta in attesa.

L’approver verifica la richiesta, aggiunge eventualmente una nota, e approva. Lo stato passa ad Approved.

Ma non è ancora finita! Manca un ultimo passaggio importantissimo.

Il primo admin completa la richiesta

Una richiesta in stato Approved non è una richiesta eseguita. L’admin che l’ha creata deve tornare su Admin Tasks e completarla esplicitamente.

Solo quando lo stato diventa Completed la policy è effettivamente attiva.

Questo comportamento vale sempre, per qualsiasi operazione protetta da MAA: non basta l’approvazione, bisogna anche completare il giro.

Lo vediamo anche nell’esempio del wipe qui sotto.

Hazel fa richiesta di wipe

Entra in scena Hazel, la nostra operatrice di Help Desk. Hazel ha il ruolo RBAC Help Desk Operator in Intune. Deve riassegnare un PC e, come prima cosa, ha bisogno di fare il wipe del dispositivo.

Hazel accede al portale Intune, trova il dispositivo, e clicca su Wipe.

Non parte nulla. Il portale mostra un messaggio che comunica che l’operazione richiede approvazione. Hazel ha fatto la sua parte: la richiesta è in coda.

Il dispositivo non viene toccato finché qualcuno non approva.

L’approver approva il wipe

L’approver riceve la notifica, accede al portale Intune e va in Admin Tasks, dove trova la richiesta di Hazel in attesa.

L’approver verifica il dispositivo, aggiunge una nota se necessario, e approva. La richiesta passa ad Approved.

Ora Hazel può fare la sua parte finale.

Hazel completa il wipe

Come detto prima: Approved non vuol dire eseguito. Hazel torna su Admin Tasks, trova la sua richiesta approvata e la completa.

Solo con lo stato Completed il wipe viene effettivamente avviato sul dispositivo.

Verifica sul client

E ora la parte che piace a tutti: andiamo a vedere cosa succede sul dispositivo.

Il dispositivo ha ricevuto il comando e sta eseguendo il reset.

Il flusso completo ha funzionato esattamente come previsto, dall’inizio alla fine.

📚 Documentazione ufficiale

Come sempre, trovi tutta la documentazione ufficiale Microsoft allegata qui sotto.

📎 Use multi admin approval in Intune — Microsoft Learn

🏁 Conclusioni

Il wipe che abbiamo visto oggi è solo uno degli scenari in cui puoi applicare Multi Admin Approval. MAA supporta anche la distribuzione di script, l’assegnazione di ruoli e altre operazioni sensibili nella gestione degli endpoint, e Microsoft sta continuando ad espandere le categorie supportate.

È uno strumento che vale la pena valutare seriamente ogni volta che hai operazioni ad alto impatto nel tuo ambiente.

Grazie per aver letto fino in fondo. Se il contenuto ti è stato utile, iscriviti a ITSpecialist.News per ricevere ogni nuovo articolo direttamente in inbox.

Iscriviti ora

A presto…

MITICI!

Scusami.

Per farmi perdonare, però, ne sto preparando uno SUPER su Intune Multi Admin Approval, che arriverà nelle prossime settimane.

Che eventi rimangono da qui all’estate? Lo scoprirai nell’apposita sezione. 😜

Dai che si ricomincia con la solita cadenza di newsletter. Buona lettura!

📌 In questo numero

• FAQ… ma con stile: “Durante il deployment con Windows Autopilot posso distribuire insieme app Win32 e app line-of-business (LOB)?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: BeConnected Day, AperiTeams!

• On a personal note: sensazioni già estive, anche se troppo presto.

❓ FAQ… ma con stile

Domanda

“Durante il deployment con Windows Autopilot posso distribuire insieme app Win32 e app line-of-business (LOB)?”

Risposta

Dipende da come stai facendo il provisioning del device.

• Con il deployment Autopilot “classico”, Microsoft sconsiglia di mescolare app Win32 e LOB nella stessa fase di enrollment. Entrambi i tipi di app usano il servizio Trusted Installer e, se partono in parallelo, possono pestarsi i piedi a vicenda e far fallire alcune installazioni, soprattutto nel caso di installer composti da più file. In questo scenario conviene stare solo su app Win32.

• Con il nuovo Windows Autopilot Device Preparation, invece, questo limite non c’è: potenzialmente potresti combinare app Win32 e LOB senza particolari rischi di conflitti.

Il mio consiglio operativo: per evitare qualunque tipo di mal di testa, standardizza il più possibile la distribuzione delle app, cercando di usare solo Win32, soprattutto ora che è possibile usare uno script PowerShell (separato dal pacchetto .intunewin) per pilotare l’installazione.

📎 Win32 app management in Microsoft Intune

📎 Add, Assign, and Monitor a Win32 App in Microsoft Intune

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • Migrating frontline mobile devices: Aligning stakeholders before real-world testing

  • Speed where it matters: How Microsoft Intune helps IT prioritize time-sensitive actions

  • Unpacking Endpoint Management is back - and we’ve got a lot to talk about

• Surface IT Pro

  • Designed for Surface Accessories for Frontline Work

• Microsoft Defender for Endpoint

  • Assess Secure Boot status with Microsoft Defender

• Microsoft Entra

  • Tenant Configuration Management APIs are now generally available

  • Now generally available: License usage insights in Microsoft Entra

  • Lock down AI, web, and private apps: what’s new in Internet Access and Private Access

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 How to Manage RC4 Hardening – Definitive Guide
  👤 Giulia Spinetti
  RC4 è obsoleto, Kerberos sta arrivando e il tuo ambiente AD potrebbe rompersi senza preavviso. Tre fasi, chiavi di registro, eventi da monitorare e script pronti all’uso: tutto quello che ti serve per migrare ad AES senza sorprese.

• 🔗 ABM, ABE, and Business Connect Are Gone — Welcome to Apple Business
  👤 Somesh Pathak
  Tre portali Apple diventano uno solo. Se amministri dispositivi Apple in azienda, questo è il momento di capire cosa cambia nel tuo workflow e cosa aggiornare prima che qualcosa smetta di funzionare.

• 🔗 To sysprep or not to sysprep, why are we still having this conversation?
  👤 Michael Niehaus
  Sysprep: un dibattito che sembrava morto e sepolto, ma che nel 2026 torna a fare rumore. I SID duplicati, finora ignorati da molti, sono ora ufficialmente un problema di sicurezza, con una deadline concreta: fine 2027.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

• 💻 BeConnected Day
  📅 11 Giugno 2026 - 🌍 In presenza
  La conferenza community più grande d’Italia su Microsoft 365, Copilot, Security e Power Platform, Modern Work e Security ti aspetta, gratis. Speaker MVP e architect Microsoft, sessioni pratiche, networking con i migliori professionisti del settore: una giornata che vale quanto un corso a pagamento.

• AperiTeams Conference 2026
  📅 24 Giugno 2026 - 💻 Online e 🌍 In presenza
  Conferenza gratuita di una giornata alla Microsoft House di Milano dedicata a professionisti IT su infrastrutture, cloud ibrido, modern workplace, cyber security e intelligenza artificiale, con sessioni tecniche, demo e networking organizzata da Inside Technologies.

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Dentro i social in Cina

• 67 negozi nel mondo. 7 in Sicilia. Indovina chi vince.

• Esclusiva: il piano di Substack per l’Italia

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Angine De Poitrine Vol. II / Angine De Poitrine

• Y’est où Grand-Papa? / Au Parc / LeParc

• Crooked Mile / Mercy / Planes Mistaken for Stars

✍️ Pensieri sparsi

Come ogni anno, arriva il mese di Maggio e la mia testa inizia torturarmi mettendomi addosso la sensazione tutta estiva di “lasciare andare”, come se fossimo vicini alle vacanze. Peccato che manchino ancora 3 mesi. Ogni anno la stessa storia, non mi abituerò mai, tocca solo tenere botta.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Per scelta consapevole, quest’anno, ho deciso di partecipare da semplice spettatore a due eventi su tre, proprio per privilegiare il networking senza il pensiero di dover fare una sessione: ha funzionato alla grande. Me ne torno a casa con tante conversazioni interessanti che, forse, da speaker mi sarei perso.

Un pensiero particolare al gruppo di studenti dell’evento di Torino con cui ho avuto una delle più belle chiacchierate degli ultimi anni. In quella chiacchierata credo proprio di aver trovato anche un po’ del mio futuro, oltre che del vostro. Voi sapete chi siete: grazie! ❤️

Tornando all’evento: intensi, divertenti, organizzati benissimo, interessanti. Ogni Global Azure a cui ho partecipato (Ticino, Veneto, Torino), pur con le loro differenze e caratteristiche peculiari, è stato un successone.

Grazie a OverNet per la fiducia e per avermi invitato in questo primo Global Azure Ticino che, spero, sarà l’inizio di una lunga serie!

Grazie per l’ospitalità squisita (nonostante il mio status di semplice spettatore): Luigi Pandolfino, Andrea Marchi, Alberto Jacomuzzi, oltre ad Azure Meetup Veneto ed Azure Meetup Torino.

Che dire: sono cotto ma stra-contento.

Alla prossima! ❤️

Rick

Per il resto, finalmente arrivano più spesso articoli in Italiano di membri delle community italiane (iniziavo a stufarmi di dover andare a recuperare contenuti dai soliti noti stranieri).

Buona lettura!

📌 In questo numero

• FAQ… ma con stile: “I codici degli eventi di Intune degli errori sono talvolta un po' criptici. Dove posso trovare un elenco facile e veloce da consultare dei codici di errore dei configuration profile di Intune?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: Global Azure ovunque, più altri appuntamenti soliti e, anche se siamo in anticipo, AperiTeams conference 2026.

• On a personal note: basta, ho deciso!

❓ FAQ… ma con stile

Domanda

“I codici degli eventi di Intune degli errori sono talvolta un po' criptici. Dove posso trovare un elenco facile e veloce da consultare dei codici di errore dei configuration profile di Intune?”

Risposta

Microsoft mantiene una documentazione ufficiale dedicata proprio a questo:

📎 Error and status codes in Microsoft Intune.

Qui trovi una tabella completa dei codici di errore MDM (iOS/iPadOS, Android, Windows) con descrizione e cause comuni, molto utile quando ti ritrovi con codici esadecimali poco parlanti nei report device.​

Per gli errori specifici di installazione app (VPP, LOB), c’è anche una pagina dedicata:

📎 App installation error codes for Microsoft Intune.

Tieni entrambe le pagine nei bookmark: sono le prime da consultare quando un profilo o un’app fallisce senza un messaggio chiaro!​

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • Windows 365 + Intune Advanced Endpoint Management Capabilities: Better Together

  • What’s new in Microsoft Intune – March

  • Secure apps: Where people, data, and AI intersect

• Surface IT Pro

  • Vibe Coding for the NPU

• Microsoft Defender for Endpoint

  • Introducing effective settings: See security configurations enforced on your device

• Microsoft Entra

  • Evolving identity security: How the Conditional Access Optimization Agent helps you adapt

  • Strengthen identity resilience: Recover with confidence using Microsoft Entra Backup and Recovery

  • External MFA in Microsoft Entra ID is now generally available

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 WinGet: creare app Win32 evergreen con Microsoft Intune
  👤 Simone Termine
  Nel mondo Intune, WinGet e PowerShell si uniscono per trasformare le classiche Win32 app in oggetti “evergreen” che si installano, aggiornano e si disinstallano leggendo lo stato reale del software sul client. Un pattern concreto, script e logging inclusi, per tagliare il lavoro ripetitivo senza rinunciare alla governance enterprise.

• 🔗 Windows Autopatch: guida pratica alla reportistica per monitorare aggiornamenti, readiness e anomalie
  👤 Davide Salsi
  Una mappa ragionata di tutti i report di Windows Autopatch in Intune: come leggere dashboard, trend e alert per capire davvero cosa succede ai Quality e Feature Update, misurare readiness, individuare anomalie e trasformare il patching da attività tecnica a strumento di governo del rischio.

• 🔗 Windows Autopatch Quick Start: gli aggiornamenti si fanno da soli (compreso l’addio a Windows 10)
  👤 Francesco Facco
  Una guida pratica per trasformare il caos degli update in un flusso automatico governato da Intune e Windows Autopatch, passando dall’analisi di eleggibilità a Windows 11 fino ai ring di test, pilota e produzione, con consigli reali su rischi, tempi, monitoraggio e gestione degli utenti.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso.

  • Global Azure Torino 2026 (ci sarò, da spettatore)

  • Global Azure Veneto 2026 (ci sarò, da spettatore)

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Svizzera) (ci sarò, da speaker)!

  • Global Azure Milano 2026

I dettagli della mia sessione al Global Azure Ticino 2026:

💻 SCEP It Easy Con Intune Cloud PKI
Durante questa sessione, esploreremo le migliori pratiche per implementare il Simple Certificate Enrollment Protocol (SCEP) e integrarlo con Intune per garantire una distribuzione sicura e automatizzata dei certificati, confrontando i vantaggi e le sfide di un’infrastruttura SCEP on-premises rispetto a una soluzione con Intune Cloud PKI.

• ⌚ BeConnected Hour
  📅 30 Aprile 2026 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.

• AperiTeams Conference 2026
  📅 24 Giugno 2026 - 💻 Online e 🌍 In presenza
  Conferenza gratuita di una giornata alla Microsoft House di Milano dedicata a professionisti IT su infrastrutture, cloud ibrido, modern workplace, cyber security e intelligenza artificiale, con sessioni tecniche, demo e networking organizzata da Inside Technologies.

Call for Speaker

Ecco alcune Call for Speaker di eventi interessanti.

• BeConnected Day 14

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Non aprite quella parentesi

• Il mercato del tradimento

• Stamattina 8 miliardi di persone si sono svegliate volendo essere te. Tu ti sei svegliato vergognandoti

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Ephemeral / What We All Come to Need / Pelican

• Luminance / Creative Eclipses / Cave-In

• Wasting Time / Vhs / Castlebeat

✍️ Pensieri sparsi

Ragazzuole, ragazzuoli, dopo anni di fascinazione a farmi una cultura guardando video su video, ho deciso: noleggio un van per un weekend e vediamo com’è. Devo ancora scegliere le date ma, giuro, ‘stavolta lo faccio.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Il 14 aprile dalle 14:00 alle 15:00 parlerò di un tema che mi sta molto a cuore:

Zero Trust non è più una best practice opzionale. Nel 2026, con l’AI che ridisegna sia gli attacchi che le difese, è diventato il fondamento di qualsiasi strategia cloud seria.

In questa sessione esploreremo:

🔐 Come il modello Zero Trust si evolve in un contesto cloud-first

🤖 Cosa cambia quando l’AI entra in gioco, sia lato attaccante che lato difensore

☁️ Strumenti e approcci concreti per proteggere identità, endpoint e dati

È un webinar gratuito, organizzato da OverNet.

Se lavori in ambito IT, security o cloud, questa è un’ora che vale la pena mettere in calendario.

👇 Registrati qui:
🔗 https://www.eventi.overnet.education/WebinarCyberTalk

Ci vediamo il 14 aprile!

Breve storia.

Riguardo la lingua italiana, ho sempre scelto di usarla come lingua principale (e sostanzialmente unica) per le mie pubblicazioni perché credo che, quando si condivide conoscenza, sia giusto farlo “qui e ora” per la community locale. C’è poco da aggiungere: lo faccio dal 2011 (anno del mio primissimo blog) e continuo a farlo tuttora.

Veniamo all’inglese. Ho iniziato a pubblicare anche in lingua inglese nel 2023, dopo il mio primo MVP Summit. L’idea era connettermi in qualche modo anche con la community al di fuori dell’Italia. Non ha funzionato perché il mio sforzo principale era comunque focalizzato sui contenuti in italiano: i post sui social, gli speech, gli eventi, eccetera. L’inglese era solo qualcosa in più che avevo inserito sulle ali dell’entusiasmo ma senza nessun sottostante concreto. Dopo qualche tempo mi sono accorto che era uno sforzo inutile che divorava solo tempo ed energie. Oggi su Substack c’è una sezione inglese con alcuni contenuti selezionati e, soprattutto, l’AI mi dà una grossa mano nelle traduzioni, facendomi risparmiare tantissimo tempo. È cambiato qualcosa? No, praticamente nulla, a parte lo sforzo che ci metto nella traduzione, decisamente inferiore grazie all’AI.

E quindi? Forse è un pensiero un po’ semplice e “ingenuamente entusiastico” ma, ogni volta che torno da un evento come lo scorso Tech Connect 2026 a Seattle, dove ci sono persone letteralmente da tutto il mondo... mi ricordo che esiste un mondo intero là fuori. 😃

Tu penserai: “Ma non mi dire!”. E hai ragione ma, a volte, bisogna avere le cose proprio davanti agli occhi per prenderne davvero consapevolezza.

Quindi? Tutto questo per dire che ho questo tarlo. Il problema è che, a livello di sforzo, focalizzazione, tempo, eccetera, sicuramente non riuscirei a produrre contenuti in due lingue con la stessa qualità e intensità. Oltre al lavoro in Microsoft e al progetto “IT Specialist” (spinto dalla sola passione e da cui non ricavo un solo euro), diciamo che mi piace avere una vita. 😅

Cosa significherebbe un nuovo progetto in Inglese, secondo ciò che il tarlo mi sta suggerendo? Sicuramente scegliere una sola tra le due lingue, non entrambe.

Ed è qui che il tutto diventa estremamente difficile.

Ci rifletterò, per intanto volevo condividere questo dubbio che mi assale.

Forse questo tarlo è solo l’inizio di qualcosa di nuovo… o magari passerà da solo, come tante altre idee notturne. 😄

E probabilmente anche i tarli nascono intorno a quell’ora.

Però c’è una domanda che per me conta molto: se un giorno ITSpecialist.News parlasse un’altra lingua, cambierebbe anche qualcosa nel modo in cui lo segui?

Avere qualche punto di vista su questo, sarebbe importante.

Vota il sondaggio e scrivimi pure qui o in privato per parlarne!

A presto,

Rick

Il 16 aprile ci vediamo presso Acer a Bioggio (Ticino) per una giornata interamente dedicata a Microsoft Azure, cloud e innovazione.

Dettagli dell'evento e della mia sessione:

🗓️ Data e orari evento: 16 aprile - dalle 09.30 alle 17.30
🎙️ La mia sessione: SCEP It Easy Con Microsoft Intune Cloud PKI
📍 Location: Acer Europe AG, Via della Posta 28, Bioggio (Ticino)

Se non l’hai ancora fatto, registrati gratuitamente qui:
👉🏻 Global Azure 2026 Ticino - Biglietti

Vuoi rimanere aggiornato su questo evento e su tutte le ultime novità del mondo Microsoft Endpoint? Iscriviti per seguire tutti gli sviluppi tecnici, i dietro le quinte e i prossimi appuntamenti della community!

Iscriviti ora

Ci vediamo in Ticino! 🇨🇭☁️

Rick

Tornando a noi: il prossimo grande evento è il Global Azure, trovate tutti i dettagli qui sotto. Per il resto, solite FAQ sfiziose e tante risorse ufficiali Microsoft utili.

Buona lettura!

📌 In questo numero

• FAQ… ma con stile: “Come posso trovare il Bundle ID di un’app iOS disponibile sull’App Store?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: Global Azure ovunque, più altri appuntamenti soliti.

• On a personal note: inquietudine invernale non appena le giornate si fanno più belle e caldine.

❓ FAQ… ma con stile

Domanda

“Come posso trovare il Bundle ID di un’app iOS disponibile sull’App Store?”

Risposta

Non è possibile cercare direttamente i Bundle ID all’interno dell’App Store di Apple. Tuttavia, puoi individuarlo accedendo a un file specifico associato alla tua app o utilizzando un metodo online.

Se l’app è già pubblicata sull’App Store, procedi così:

1. Trova la pagina web dell’app sull’App Store (ad esempio, cercando il link corrispondente).

   1. Esempio: Apple Pages, il cui URL è https://apps.apple.com/it/app/pages-crea-documenti/id361309726

2. Copia il numero che segue la sigla id nell’URL. Nell’esempio indicato, il numero è 361309726.

3. Apri nel browser l’indirizzo https://itunes.apple.com/lookup?id=361309726, sostituendo il numero con quello della tua app.

4. Nell’output visualizzato, cerca il campo bundleId. Nell’esempio appare in questo modo: “bundleId”:”com.apple.Pages”. Il Bundle ID dell’app, quindi, è com.apple.Pages.

📎 Get App Bundle ID - Microsoft Intune

📎 Bundle IDs for iPhone and iPad Apple apps

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • What’s New in Microsoft Intune – February

  • Protect browser-based work on agency-managed Windows PCs

  • Admin tasks in Microsoft Intune: Centralized control today, AI-ready for tomorrow

• Windows IT Pro

  • What to know about Windows 11, version 26H1

  • Plan for Windows Server 2016 and Windows 10 2016 LTSB end of support

  • Windows first sign-in restore experience now available

• Microsoft Defender for Endpoint

  • Introducing library management in Microsoft Defender

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Microsoft Intune: dynamic groups con Microsoft Graph e PowerShell
  👤 Simone Termine
  L’articolo racconta come utilizzare PowerShell e Microsoft Graph per creare Dynamic Groups personalizzati utilizzando gli extensionAttributes. Contiene inoltre una demo per mostrare step by step come intervenire su Entra, Intune e PowerShell, indicando anche come fare rollback degli attributi custom e le procedure di troubleshooting.
  

• 🔗 The Unexpected Enrollment: How Personal Windows Home Devices Slipped into Intune and How You Can Finally Block Them
  👤 T-Bone Granheden
  In questo pezzo T-Bone mostra come i PC Windows Home personali riescano comunque a finire in Intune tramite il flusso “Allow my organization to manage my device” quando l’utente aggiunge l’account lavoro in app come Outlook/Teams, e come chiudere il buco usando la nuova impostazione “Disable MDM enrollment when adding work or school account on Windows”, con dettagli pratici su portale, Graph, limiti e impatto su BYOD e SSO, quindi è molto utile se devi mettere ordine tra device personali e aziendali senza rompere l’esperienza utente.
  

• 🔗 Intune Administrator Is the New Domain Admin
  👤 James Robinson
  Intune Administrator può fare danni paragonabili a un Domain Admin. Nell’articolo vengono affrontati rischi reali (code execution di massa, configurazioni insicure, perdita di segregazione dei doveri) e come mitigarli con RBAC, scope tags e MAA.
  

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte.

• ⌚ BeConnected Hour
  📅 25 Marzo 2026 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso. L’elenco è parziale e lo aggiornerò man mano che i siti web saranno disponibili.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Svizzera)

  • Global Azure Milano 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Il patetico spezzone delle papere AI di Sanremo

• Il lento suicidio della Russia in Ucraina

• Sui social non devi essere te stesso

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Dumb / Nirvana / Nirvana

• Descending / Fear Inoculum / Tool

• Heliotrope / Vaya / At The Drive-In

✍️ Pensieri sparsi

Voglia di sole, primavera, mare, voglia di stare fuori dalle mura di casa e dell’ufficio, voglia di viaggiare.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Abbiamo mostrato Ask Copilot nella taskbar, Agents in Windows, Copilot Voice, l’integrazione di Copilot in File Explorer e Centro Notifiche, Click To Do e le capacità di Copilot+ PC. È stata un’esperienza indimenticabile, la prima come speaker ad un evento Microsoft.

Condividere idee, entusiasmo e intensità tecnologica da quel palco è esattamente ciò che rende speciali eventi e giornate come questa.

Windows come tela per AI e agenti

In una frase: Windows è una piattaforma affidabile dove AI e agenti si integrano perfettamente nei flussi di lavoro familiari e portano assistenza AI direttamente in finestre e gesti quotidiani, proprio come colori vivaci su una tela che gli utenti già padroneggiano.

Un grande ringraziamento ad Andrea Perna per aver condiviso il palco insieme: sinergia perfetta, erogazione fluida e una presentazione che abbiamo gestito alla grande insieme!

Un grazie sincero va a anche Francesco Falco, Natalia Valenti e Veronica Rosso per avermi concesso questa opportunità straordinaria.

Queste foto catturano l’atmosfera di oggi: magia del team, orgoglio per il contributo e grande carica per ciò che verrà.

A presto!

Rick

📰 Cosa preferisci? Video o articolo?

Alcune note per sfruttare al meglio questo contenuto.

Se preferisci vedere il video per intero, facile: lo trovi qui sopra nell’intestazione.

Se preferisci leggere, facile anche in questo caso: continua pure la lettura qui. Per ogni passaggio ho inserito lo spezzone specifico di video, così vedrai solo le schermate che ti interessano, senza il mio faccione che parla.

In ogni caso, iscriviti alla newsletter per essere sicuro di non perderti nemmeno una nuova uscita dei miei tutorial.

Iscriviti ora

Perfetto, iniziamo!

Disclaimer

Prima di entrare nel vivo della configurazione, è doveroso un disclaimer fondamentale: questa policy funziona esclusivamente su dispositivi Supervised.
Ciò significa che i device devono essere stati enrollati in Intune attraverso Apple Business Manager (ABM) sfruttando un profilo di Automatic Device Enrollment (ADE). Se stai gestendo dispositivi enrollati manualmente o in scenario BYOD, questa procedura non avrà alcun effetto.

Detto questo, tuffiamoci sul portale di Intune e iniziamo ad “operare”! ^😆

Reperire i Bundle ID delle App di Sistema

Per poter nascondere un’app, Intune necessita del suo Bundle ID, ovvero una stringa univoca che identifica l’applicazione all’interno del sistema operativo. In questo articolo ci concentreremo su due app native che spesso gli amministratori IT vogliono rimuovere dalla vista degli utenti: Freeform e Games.

Fortunatamente, Apple ci viene incontro con una risorsa ufficiale. Esiste una pagina del supporto Apple che è una vera miniera d’oro per noi admin: qui sono elencati tutti i bundle ID delle app native preinstallate su iOS e iPadOS, pronti per essere copiati.

Ecco il link alla pagina di supporto:

• ID pacchetto per app Apple per iPhone e iPad

Creazione della Policy su Intune

Una volta recuperati gli ID necessari, ci spostiamo sul portale Microsoft Intune per creare la configurazione effettiva. Per ottenere il risultato, utilizzeremo un profilo di “Device Restrictions” (o in alternativa il Settings Catalog) specifico per iOS/iPadOS.

Un piccolo dettaglio tecnico ma importante: sebbene il portale Intune permetta di nascondere le app anche inserendo semplicemente l’URL dell’app sull’App Store, personalmente preferisco sempre utilizzare il Bundle ID.

Procediamo quindi incollando le stringhe recuperate nel passaggio precedente.

Il trucco per i Bundle ID delle App di Terze Parti

Abbiamo visto come gestire le app native Apple, ma cosa succede se volessimo nascondere un’app di terze parti (ad esempio un social network o un’app di messaggistica)?
In questo caso Apple non fornisce una lista comoda come per le app di sistema. Tuttavia, esiste un “trucchetto” molto rapido per risalire al Bundle ID partendo dalla pagina web dell’App Store.

Il metodo consiste nel cercare l’app desiderata sulla versione web dell’App Store, individuare il codice numerico ID presente nell’URL della pagina e utilizzarlo (tramite una query specifica o tool online gratuiti) per ottenere il Bundle ID esatto da inserire nella policy.

Questo è il link a cui “appiccicare” in coda il codice dell’app, in modo da ricavare il file di testo da cui estrarre il bundle Id (la procedura esatta la vedi nel video qui sotto).

• https://itunes.apple.com/lookup?id=<qui il codice>

Risultato Finale sul Dispositivo

Dopo aver applicato la policy e atteso la sincronizzazione del dispositivo, è il momento della verifica.
Come potrai vedere dal video qui sotto, scorrendo la App Library e la Home Screen del nostro iPhone di test, le icone di Freeform e Games sono sparite. È importante notare che le app sono tecnicamente ancora installate sul sistema, ma sono state rese completamente inaccessibili e invisibili all’utente.

Documentazione

Per chi volesse approfondire ogni singolo dettaglio tecnico, lascio qui sotto una quantità di documentazione che definirei “smodata” (sì, citazione necessaria 😆).

• iOS/iPadOS device restrictions in Intune

• iOS/iPadOS Bundle IDs for built-in apps

• iOS/iPadOS supervised mode with Intune

• iOS/iPadOS device feature settings in Intune

• Get App Bundle ID from Intune admin center

Mi raccomando: STUDIALA.

Conclusioni

Abbiamo visto come pulire l’interfaccia dei nostri device aziendali nascondendo ciò che non è strettamente necessario al lavoro quotidiano.

Se questo articolo ti è stato utile, iscriviti alla newsletter ITSpecialist.News per non perdere i prossimi approfondimenti sul mondo Microsoft Enterprise.

Alla prossima!

Rick

Non appena avrò deciso come pianificare questa “stagione primaverile” di eventi, ovviamente, ne avrai notizia qui. Spero di vederti e, come sempre, buona lettura!

Rick

📌 In questo numero

• FAQ… ma con stile: “Un amministratore di Intune nel contesto di uno specifico scope tag, quando va a rivedere le richieste di elevazione nell’Endpoint Privilege Management, cosa vede? Solo le richieste afferenti al suo scope tag o tutte quelle del tenant?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: ricomincia a muoversi qualcosa per la prossima stagione degli eventi.

• On a personal note: I’m a Seattleite.

❓ FAQ… ma con stile

Domanda

“Un amministratore di Intune nel contesto di uno specifico scope tag, quando va a rivedere le richieste di elevazione nell’Endpoint Privilege Management, cosa vede? Solo le richieste afferenti al suo scope tag o tutte quelle del tenant?”

Risposta

Con l’aggiornamento rilasciato nella settimana del 10 novembre 2025 (Service Release 2511), Microsoft ha implementato l’applicazione degli scope tag per le richieste di elevazione di Endpoint Privilege Management .

Prima di questo aggiornamento

Gli amministratori con le autorizzazioni per gestire le richieste di elevazione potevano visualizzare tutte le richieste del tenant, indipendentemente dagli scope tag assegnati .

Dopo l’aggiornamento

L’applicazione degli scope tag è ora attiva: gli amministratori possono visualizzare e gestire solo le richieste relative ai dispositivi e agli utenti che rientrano nell’ambito del loro scope tag assegnato. Questa modifica aiuta a mantenere i confini amministrativi e rafforza la sicurezza, allineando Endpoint Privilege Management ai principi Zero Trust e riducendo la visibilità non necessaria su dispositivi e utenti al di fuori del proprio perimetro di competenza .

In sintesi: se un amministratore ha assegnato lo scope tag “Italy”, vedrà solo le richieste di elevazione provenienti da dispositivi e utenti taggati con “Italy”, garantendo una gestione più granulare e sicura delle autorizzazioni .

Ti lascio, come sempre, il conforto della documentazione ufficiale per i tuoi approfondimenti.

📎 Scope tag enforcement for Endpoint Privilege Management elevation requests

📎 About support approved elevations

📎 What’s new in Microsoft Intune: December 2025

📎 Use role-based access control (RBAC) and scope tags for distributed IT

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft: tantissime le novità annunciate ad Ignite.

• Microsoft Intune

  • What's new in Microsoft Intune

  • Microsoft Intune - Important Notices

  • Microsoft Intune servicing information and details

• Windows IT Pro

  • Announcing hardware-accelerated BitLocker

  • Windows news you can use: December 2025

  • Windows skilling snacks: bite-sized learning for IT pros

• Microsoft Entra

  • Road to the cloud - Case studies to reduce your dependency on traditional on-premises Active Directory services - Microsoft Entra

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Active Directory: le best practice da seguire
  👤 Silvio Di Benedetto
  Una guida pratica per rendere Active Directory resiliente: privilegi ridotti all’essenziale, ruoli separati, Tier Model applicato con disciplina, password locali gestite con LAPS e rotazione consapevole della chiave KRBTGT. Vale la lettura perché offre criteri concreti per evitare compromissioni e rafforzare l’intera infrastruttura.
  

• 🔗 Come utilizzare uno script PowerShell come installer type per le app Win32 in Microsoft Intune
  👤 Simone Termine
  L’articolo spiega una novità di gennaio 2026: come usare PowerShell come “installer type” per gestire prerequisiti, logging e post-config, senza reimpacchettare ogni volta .intunewin. Include esempi e consigli pratici su detection, return code e troubleshooting.
  

• 🔗 Automated Windows Autopilot Weekly Reporting with Azure Logic Apps 📊
  👤 Simone Colella
  Come automatizzare un report settimanale di Windows Autopilot con Azure Logic Apps e Microsoft Graph, inviando al Service Desk email con KPI e CSV dettagliati. È interessante perché trasforma i log grezzi in metriche pronte all’uso, permettendo monitoraggio proattivo, analisi dei failure e ottimizzazione dei deployment Autopilot.
  

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso. L’elenco è parziale e lo aggiornerò man mano che i siti web saranno disponibili.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Puglia 2026

Nonostante manchi ancora un po’ di tempo (l’evento si terrà ad Aprile), la maggior parte delle C4S è già chiusa. Di seguito quelle ancora aperte ad oggi (11 Febbraio 2026).

• 🌐 Call for Speaker: Global Azure Pordenone 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

Libri

• Questo mese niente libri ma sto cercando ispirazione: se hai qualcosa da segnalarmi, sono tutto orecchi!

Newsletter

• Crans Montana e il gioco dei 26 Cantoni / Daniela Amenta

• Fatturi, fai utili e fallisci lo stesso / Frank Merenda

• French -Touch! / Mattia Ravanelli

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• ‎Ex Lion Tamer / Pink Flag / Wire

• Stay / Diving For A Prize / Sea Lemon

• Crystals (feat. Benjamin Gibbard) / Diving For A prize / Sea Lemon

✍️ Pensieri sparsi

Seattle here we go! Questo mese sarò in visita a Seattle, città in cui faccio ritorno per la quarta volta: ormai posso quasi definirmi un “Seattleite” e inizio a sviluppare una certa affezione per quei luoghi. Un viaggetto per interrompere la routine (sempre uguale a se stessa negli ultimi mesi) ci voleva proprio.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

English version here

📰 Cosa preferisci? Video o articolo?

Alcune note per sfruttare al meglio questo contenuto.

Se preferisci vedere il video per intero, facile: lo trovi qui sopra nell’intestazione.

Se preferisci leggere, facile anche in questo caso: continua pure la lettura qui. Per ogni passaggio ho inserito lo spezzone specifico di video, così vedrai solo le schermate che ti interessano, senza il mio faccione che parla.

In ogni caso, iscriviti alla newsletter per essere sicuro di non perderti nemmeno una nuova uscita dei miei tutorial.

Iscriviti ora

Perfetto, iniziamo!

Cosa sono le app preinstallate?

Quando si parla di “app preinstallate” si intendono le app Microsoft Store preinstallate/in-box che Windows 11 mette a disposizione di default (quelle che ti ritrovi già pronte in Start e nell’elenco App installate).

Sono comode in ambito consumer, ma in azienda spesso sono solo rumore: aumentano la confusione per l’utente, generano ticket evitabili e complicano la standardizzazione dell’immagine di base.

Approccio

L’approccio è: creare un profilo di configurazione nel Settings Catalog di Intune, abilitare “Remove default Microsoft Store packages from the system” e impostare a True le app che vuoi rimuovere.

L’enforcement avviene durante eventi specifici come OOBE/provisioning o il sign-in dopo upgrade/aggiornamento policy, quindi è normale non vedere risultati “istantanei”.

Requisiti

Per poter usare l’impostazione RemoveDefaultMicrosoftStorePackages servono prerequisiti precisi lato OS/edizione:

• la funzionalità è pensata per Windows 11 Enterprise/Education

• richiede Windows 11 versione 25H2 (o successiva).

• Il PC deve essere gestito da Microsoft Intune

• Non supporta ambienti multi-session

Nota importante 1: non è un anti-bloatware “universale”

Con questa configurazione rimuovi solo le default app Microsoft “in-box” previste dalla lista/policy, non eventuale bloatware di terze parti (OEM, trial, robe “esotiche”).

Per queste ultime si continua ad andare di script custom (PowerShell) o Remediations/Proactive Remediations via Intune, come da tradizione.

Nota importante 2: tempistiche e scenari di applicazione della policy di rimozione”

La policy si attiva in situazioni specifiche quindi, se ti aspetti che su una macchina esistente con un profilo utente già esistente le app scompaiano all’istante, ascolta bene quello che ti sto per dire.

Ecco le situazioni in cui la policy si attiva:

• Out-of-box experience (OOBE)

• Login di un utente dopo un upgrade di sistema operativo

• Login di un utente dopo una modifica alla policy

Questo significa che la rimozione viene garantita sui profili utente nuovi che vengono creati sulla macchina dopo l’applicazione della policy mentre, per quelli esistenti, bisogna fare come minimo logoff-logon dopo qualche ora dalla creazione della policy.

Perfetto, ora siamo pronti ad iniziare!

Verifica situazione iniziale

Prima di toccare Intune, conviene guardare la situazione “out of the box”: PC Windows 11 standard con le default app presenti, così hai un prima/dopo pulito e misurabile.

Questa verifica la puoi fare anche da

Impostazioni → App → App installate (o cercando “Xbox”, “Camera”, ecc. in Start).

Configurazione della rimozione

In Microsoft Intune admin center crea un Configuration profile per “Windows 10 and later” usando “Settings catalog”, poi cerca la setting Remove default Microsoft Store packages from the system.

Se vuoi navigare l’alberatura manualmente, trovi tutto sotto il nodo:

Administrative Templates → Windows Components → App Package Deployment

Verifica applicazione della policy di rimozione

Ora accedi ad una macchina in target rispetto alla nostra policy e verifica che le app selezionate non risultino più installate.

Microsoft descrive l’applicazione della policy in scenari come OOBE/provisioning e sign-in dopo upgrade o dopo aggiornamento della policy, quindi il timing corretto della verifica è fondamentale.

Per una verifica “da admin”, puoi anche controllare che la policy abbia scritto le chiavi di registro in HKLM\SOFTWARE\Policies\Microsoft\Windows\Appx\RemoveDefaultMicrosoftStorePackages.

Approfondimenti (generosi come i chili di troppo)

Qui sotto la solita secchiata di documentazione ufficiale Microsoft (sì: va STUDIATA).

• Policy-based in-box app removal (Microsoft Learn)

• Blog ufficiale Windows IT Pro

Conclusioni

Finalmente un metodo supportato e “pulito” per gestire le default app su Windows 11 Enterprise/Education senza basarsi solo su script che prima o poi ti presentano il conto durante Autopilot o dopo un upgrade!

Se l’articolo ti è piaciuto, lascia un cuoricino, ricondividi tutto sui tuoi social preferiti e iscriviti alla newsletter di ITSpecialist.News: è il modo migliore per non perderti guide pratiche su Intune, Windows e sicurezza.

Al prossimo video! A presto… MITICI!

Rick

Se ti va di fare due chiacchiere a riguardo, rispondi pure a questa mail con il tuo feedback sulla newsletter: leggo e rispondo a tutti!

Perfetto, iniziamo!

For English Readers

English version here

📌 In questo numero

• FAQ… ma con stile: “Nel mio ambiente ci sono delle macchine Azure Virtual Desktop in modalità multi-sessione, gestite con Intune. Alcune policy che ho fatto su queste macchine non funzionano. Perché? Esiste qualche tipo di limitazione al tipo di policy e di settings applicabili a session host AVD multi-sessione?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i creator delle community non conoscono sosta nemmeno durante le festività natalizie: per fortuna ci sono loro.

• Eventi: nuovo anno, nuovi eventi, nuove call for speaker!

• On a personal note: parola d’ordine...

❓ FAQ… ma con stile

Domanda

“Nel mio ambiente ci sono delle macchine Azure Virtual Desktop in modalità multi-sessione, gestite con Intune. Alcune policy che ho fatto su queste macchine non funzionano. Perché? Esiste qualche tipo di limitazione al tipo di policy e di settings applicabili a session host AVD multi-sessione?”

Risposta

Sì, e quello che stai sperimentando è completamente normale. Intune ha limitazioni quando si tratta di gestire host multi-sessione AVD. Non tutti i settings e le policy, che funzionano perfettamente su endpoint desktop tradizionali, sono supportati su Windows Enterprise multi-sessione.

Le limitazioni specifiche

Microsoft supporta ufficialmente il multi-sessione in Intune, ma solo pochi template di configurazione sono realmente supportati: certificati attendibili (Trusted, SCEP, PKCS) e VPN (solo Device Tunnel). Tutti gli altri template tradizionali non sono supportati e appariranno come “Not applicable” nei tuoi report di compliance.

Il vincolo device vs. user

C’è un aspetto critico che molti non conoscono: mentre su un classico endpoint questo non sarebbe un problema, su AVD multi-sessione le configurazioni a livello dispositivo non possono essere assegnate a utenti, e viceversa. In un ambiente multi-sessione, dove decine di utenti accedono allo stesso host fisico, la maggior parte delle policy deve essere assegnata a livello dispositivo tramite gruppi di dispositivi. Se assegni una policy a un utente pensando che funzioni, otterrai errori.

Ok, quindi come si fa a sapere quali settings funzioneranno?

Pochi conoscono questo trucchetto semplicissimo: inizia a filtrare il Settings Catalog utilizzando “OS edition = Enterprise multi-session” per visualizzare solo le configurazioni effettivamente supportate.

Dopo aver applicato il filtro, i settings disponibili saranno quelli davvero compatibili con AVD multi-sessione.

Poi, assegna tutte le policy a livello dispositivo, non a utenti. E soprattutto, testa sempre le tue configurazioni verificando i report di compliance: se una policy risulta “Not applicable”, è perché non è supportata su multi-sessione.

Ti lascio, come sempre, il conforto della documentazione ufficiale per i tuoi approfondimenti.

📎 Using Azure Virtual Desktop multi-session with Microsoft Intune

📎 Assign device profiles in Microsoft Intune

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft: tantissime le novità annunciate ad Ignite.

• Microsoft Intune

  • What’s new in Microsoft Intune: December 2025

• Microsoft Defender for Endpoint

  • Sensor Disconnection Notifications with Microsoft Defender for IoT and Microsoft Sentinel

• Surface IT Pro

  • Improved address management in service orders on Surface Portals

• Microsoft Entra

  • Securing the AI era starts with identity

• Microsoft 365 copilot

  • New capabilities for AI admins from Ignite 2025

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Surface Management Portal: analisi tecnica completa per IT Administrator
  👤 Francesco Cantoni
  Articolo che esplora in profondità il Surface Management Portal in Intune, illustrandone funzioni, vantaggi, limiti e scenari ideali per la gestione enterprise dei Surface.
  

• 🔗 Windows Admin Center v2511
  👤 Silvio Di Benedetto
  L’articolo presenta le novità di Windows Admin Center v2511, tra cui high availability, sicurezza avanzata per Windows Server 2025 e strumenti di migrazione da VMware a Hyper-V, offrendo spunti pratici per modernizzare gestione, auditing e automazione dell’infrastruttura.
  

• 🔗 Updated My Script To “Cleanup Entra ID Devices”, Faster and better logging
  👤 Mr T-Bone
  La versione aggiornata di uno script PowerShell molto utile per ripulire i dispositivi obsoleti su Entra: più veloce, robusto, con logging/reporting avanzati. Utile per sicurezza, inventario accurato e automazioni.
  

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte. Ecco qui la mia selezione.

• 🔋 #POWERCON2026
  📅 23 Gennaio 2026 - 💻 Online
  #POWERCON2026 è l’evento online gratuito che unisce innovazione, sicurezza e governance dell’IT moderno, con sessioni tecniche concrete su cloud, AI, Microsoft 365, sicurezza e normative, guidate da esperti e MVP, con registrazioni incluse per rivedere i contenuti quando vuoi.
  

• ⌚ Be Connected Hour
  📅 30 Gennaio 2026 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.
  

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking.

Visto che Global Azure sarà ad Aprile (c’è ancora tempo) e ci sono diverse istanze italiane, più che l’evento in sé mi piacerebbe segnalare le call for speaker. Eccole qui.

• 🌐 Call for Speaker: Global Azure Torino 2026

• 🌐 Call for Speaker: Global Azure Pordenone 2026

• 🌐 Call for Speaker: Global Azure Veneto 2026

• 🌐 Call for Speaker: Global Azure Milano 2026

So per certo che ci saranno anche delle istanze in lingua italiana a Lugano (Svizzera) ma, al momento in cui sto scrivendo questo numero della newsletter, la C4S non è ancora disponibile. La troverai sicuramente nel prossimo numero di febbraio!

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

Libri

• Il metodo Scortese: Una guida controcorrente per farcela nella vita quotidiana (Ilaria Albano / Editore Solferino)

Newsletter

• Barron’s Top 10 Stocks for 2026

• Il 2026 sarà l’anno dei porno

• Cosa rimane se nessuno ti guarda

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• ‎Plimsoll Punks / Artista: Alvvays / Album: Antisocialities

• Believe / Artista: Staind / Album The Illusion of Progress

• Zelda / Artista: TOLEDO / EP: Inertia

✍️ Pensieri sparsi

Mi aspettavo delle vacanze natalizie diverse: più attive, meno “lazy” e durante le quali riannodare alcune cose lasciate in sospeso, riprendere abitudini congelate dopo un periodo decisamente strano ed eccezionale. E invece, sono state decisamente “lazy”, forse troppo. La parola d’ordine ora è “scossa”.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Cosa vuol dire “ridurre AD”?

Nel documento Microsoft (trovi il link a fine articolo, più avanti) si parla di ridurre la dipendenza dai servizi AD tradizionali (domain join, GPO, infrastruttura e operational overhead) spostando identity e device management verso il cloud.
I benefici dichiarati sono chiari: meno costi infrastrutturali, sicurezza più moderna (es. Conditional Access), migliore user experience e gestione più semplice e centralizzata.

Bisogna per forza essere full-cloud?

No: i case study mostrano percorsi diversi, e questo è il punto interessante.
Esempio pratico: puoi iniziare dai dispositivi (provisioning e gestione) senza “spegnere AD domani mattina”, e già così riduci parecchio la dipendenza dal dominio.

3 spunti pratici dai case study

1. Chugai Pharmaceutical: passaggio da device domain-joined a endpoint gestiti in cloud, con Windows Autopilot per il provisioning “cloud-first”.

2. NTT Communications: evoluzione da hybrid a gestione dispositivi “100% cloud” con Microsoft Intune, riducendo le dipendenze da AD e semplificando operations.

3. We Are Era: decommissioning di AD on-prem con focus su modern authentication e principi Zero Trust, includendo integrazione tra identità cloud e risorse on-prem dove necessario.

Vuoi approfondire?

Ecco l'articolo completo👉🏻 Active Directory minimization case studies

Mi preparo ad un 2026 in cui, sicuramente, semplificherò ulteriormente la mia presenza online e ridurrò (senza eliminarla del tutto) anche quella agli eventi. Per il resto, di materiale da leggere durante le feste ce n’è anche questo mese, specialmente dopo Microsoft Ignite 2025!

Sai però che ti dico? Metti da parte questo numero, fammi giusto un salutino natalizio rispondendo a questa mail (se ti va) e poi corri a fare tutt’altro: puoi benissimo recuperare più avanti e le feste natalizie bisogna godersele.

Senza troppi giri di parole, qualunque sia la tua idea sulle feste natalizie (e affini) che stanno per arrivare, ti auguro semplicemente che siano belle e che tu possa viverle al meglio. Ci rileggiamo nel 2026! Ciaooooo!

📌 In questo numero

• FAQ… ma con stile: “Cos’è questa storia che Intune Suite ora è inclusa nelle licenze Microsoft 365? 😱”

• Microsoft News Radar: novità post-Ignite 2025 direttamente dalle fonti Microsoft.

• Community Picks: sono stato poco presente su LinkedIn, ultimamente, ma la caccia ai contenuti della community non si è mai fermata. Anche questo mese una selezione dei più interessanti.

• Eventi: ebbene sì, dopo WPC non si molla e gli eventi continuano in salsa tech-natalizia!

• On a personal note: un anno che… boh.

❓ FAQ… ma con stile

Domanda

“Cos’è questa storia che Intune Suite ora è inclusa nelle licenze Microsoft 365? 😱”

Risposta

Il buon Lior Bela (Director @ Microsoft Intune), in una sera di inizio dicembre ha sganciato la bomba su LinkedIn.

Tutte le funzionalità di Microsoft Intune Suite verranno incluse e redistribuite all'interno di EMS E3, Microsoft 365 E3 ed E5.

Apriti cielo.

“Ma come? Quando? Quali funzionalità in E3 e quali in E5? DIMMELO SUBITO…AAAARGHHHH”

Facciamo un po’ d’ordine con domande e risposte alle questioni salienti.

Quali funzionalità di Intune ci sono nei vari piani M365?

La risposta nella tabella in figura.

Cosa include Intune Plan 2?

Le funzionalità di Intune Plan 2, incluse in EMS E3, comprendono:

• Microsoft Tunnel for Mobile Application Management (MAM): offre una connettività VPN sicura per app singole, consentendo l’accesso alle risorse aziendali senza richiedere l’iscrizione completa del dispositivo.

• Specialty device management: protegge dispositivi specializzati come auricolari AR/VR, schermi intelligenti e sistemi per sale riunioni.

• Firmware over-the-air (FOTA) updates: aggiornamenti del firmware per dispositivi Zebra supportati.

Quando entreranno in vigore questi cambiamenti?

Una domanda frequente è certamente quella riguardante le tempistiche. I cambiamenti diventeranno effettivi nel 2026, e la procedura sarà pressoché automatica:

• Tutti i tenant idonei con Enterprise Mobility and Security E3 e Microsoft 365 E5 riceveranno automaticamente il provisioning delle capacità di Intune Suite

• Microsoft notificherà gli amministratori delle organizzazioni idonee 30 giorni prima dell’effettiva applicazione del cambiamento tramite il Microsoft 365 admin center

• Non è necessario cambiare piano per usufruire di queste nuove capacità

Come sempre, ti lascio delle fonti verificabili su cui approfondire tutti i tuoi ragionamenti di licensing.

📎 Microsoft 365 adds advanced Microsoft Intune solutions at scale

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft: tantissime le novità annunciate ad Ignite.

• Microsoft Ignite 2025 Book of News

• Microsoft Intune

  • What’s new in Microsoft Intune at Ignite

  • What’s new in Microsoft Intune

  • Debunking the myth: Cloud-native Windows devices and access to on-premises resources

  • Essential Intune reading list: MVP community content for 2025

• Windows IT Pro

  • Experience next-gen productivity with Windows 365 AI-enabled Cloud PCs

  • Windows 365 and Azure Virtual Desktop support external identities, now generally available

• Microsoft Entra

  • ICYMI: Watch replays of Microsoft Entra sessions at Microsoft Ignite 2025

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Intune and Secure Boot Certificate Updates: What You Must Fix Before the 2026 Expiry
  👤 Florian Salzmann
  Come gestire gli aggiornamenti dei certificati per il Secure Boot su dispositivi gestiti tramite Microsoft Intune, offrendo indicazioni pratiche per garantire la sicurezza dei sistemi Windows. Un approccio concreto per evitare problemi a Giugno 2026.
  

• 🔗 Windows Backup for Organizations: a modern approach with Microsoft Intune
  👤 Nicky De Westelinck
  Questo articolo illustra come utilizzare Windows Backup for Organizations con Microsoft Intune per proteggere e ripristinare facilmente impostazioni e app Microsoft Store su dispositivi Windows 11, semplificando la gestione IT e migliorando l’esperienza utente in caso di reset o sostituzione del device.
  

• 🔗 Troubleshoot configured Defender AV settings with effective settings in Defender
  👤 Jeffrey Appel
  Questo articolo spiega come utilizzare la funzionalità Effective Settings in Microsoft Defender per analizzare quali configurazioni antivirus di Defender AV sono realmente applicate ai dispositivi quando le policy arrivano da più origini (Intune, GPO, MECM, script, ecc.), aiutando a individuare conflitti che possono disattivare o indebolire la protezione.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte.

• ⌚ Be Connected Hour
  📅 19 Dicembre 2025 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.
  

• 🎅🏻 Santa Cloud Day
  📅 20 dicembre 2025 - 🌍 In presenza (Lecce)
  Una giornata dedicata a Generative AI, Cloud e Sicurezza, organizzata insieme a Global AI Lecce, e inoltre talk, demo pratiche e tanto networking tra appassionati e professionisti del settore.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Libri

  • Sommersi: Resistere nellʼera delle notifiche e dellʼinfodemia social / Mattia Marangon / Apogeo

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• ‎Smash (Remastered) / The Offspring

• Gimme / Artist: Hazel English / Singolo: Gimme

• Breakdown / Artist: Sea Lemon / Album: Stop at Nothing - EP
  (questa in particolare mi sta ossessionando)

✍️ Pensieri sparsi

Non sono solito avere questi pensieri ma il 2025 è stato un anno che mando più che volentieri in archivio. Anche se per il 2026 ho una mezza idea che ci sarà da rimboccarsi le maniche su un po’ di questioni.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

English version here

📰 Cosa preferisci? Video o articolo?

Alcune note per sfruttare al meglio questo contenuto.

Se preferisci vedere il video per intero, facile: lo trovi qui sopra nell’intestazione.

Se preferisci leggere, facile anche in questo caso: continua pure la lettura qui. Per ogni passaggio ho inserito lo spezzone specifico di video, così vedrai solo le schermate che ti interessano, senza il mio faccione che parla.

Iscriviti ora

In ogni caso, iscriviti alla newsletter per essere sicuro di non perderti nemmeno una nuova uscita dei miei tutorial.

Perfetto, iniziamo!

Cosa sono le Device Cleanup Rules?

Le Device Cleanup Rules sono regole che permettono di nascondere dalla console di Intune i dispositivi che non fanno check-in da un certo numero di giorni.
Non vengono cancellati, ma rimossi dalla vista, così da evitare una lista infinita di device zombie.

Questa funzione è fondamentale per:

• Mantenere la console ordinata

• Migliorare la leggibilità e la gestione

• Ridurre il rumore nei report e nelle policy

Due cose da sapere prima di usarle

1. Il dispositivo può riapparire

Se un dispositivo è stato nascosto perché inattivo, ma viene riacceso e ha ancora un certificato di gestione Intune valido, tornerà visibile nella console.
Quindi non è una pulizia definitiva, ma una sorta di “archiviazione temporanea”.

2. La pulizia riguarda solo Intune, non Entra

Le Device Cleanup Rules agiscono solo su Intune. Se volete tenere pulito anche Entra ID, dovete implementare un flusso di svecchiamento separato.

Ecco cosa fare:

• Per dispositivi Entra Joined: verificate l’attributo ApproximateLastSignInDateTime

• Per dispositivi Hybrid Joined: agite su Active Directory, cancellando gli oggetti computer obsoleti o spostandoli in una OU non sincronizzata con Entra Connect

Come si impostano le Device Cleanup Rules

Le regole si configurano dal portale Intune e possono essere differenziate per piattaforma (Windows, iOS, Android, macOS).
Questo è utile se avete policy diverse per dispositivi mobili e desktop.

Come controllare la scadenza del certificato di gestione Intune

Ci sono due modi per verificare se un dispositivo ha ancora un certificato valido:

1. Dal client

Sul dispositivo stesso, potete controllare la validità del certificato Intune direttamente dal certificato installato.

2. Dal portale Intune

Nel portale Intune, nella sezione del dispositivo, è possibile vedere la data di scadenza del certificato di gestione.

Documentazione utile

Per chi vuole approfondire, ecco una selezione di risorse ufficiali e script utili:

• Automatically Hide Devices With Cleanup Rules

• How to manage stale devices in Microsoft Entra ID

Conclusione

Pulire il tenant non è solo una questione estetica: è una buona pratica di governance.
Le Device Cleanup Rules di Intune sono un ottimo punto di partenza, ma ricordate che Entra e AD vanno gestiti separatamente.

Grazie per aver letto fino a qui!
Se vi è stato utile, condividete l’articolo e iscrivetevi alla newsletter ITSpecialist.News per non perdervi i prossimi approfondimenti.

Alla prossima, e tenete puliti quei tenant 💪

Riccardo