Errori Autopilot e Intune: sintomo, causa, rimedio

Ventidue cose andate storte durante un deployment Autopilot e Intune, nell’ordine in cui tendono a presentarsi. Ognuna è stata osservata su un dispositivo reale — nessuna è ipotetica, e parecchie si presentano come qualcosa di diverso da ciò che sono.

Import dell’hash hardware

PowerShell torna al prompt senza output dopo l’accesso Lo script ora usa il Graph SDK, e su Windows 11 l’autenticazione passa dal broker WAM. Nel contesto OOBE la sessione è defaultuser0, dove il flusso interattivo non può completarsi — e fallisce senza stampare niente. → Autenticarsi prima con Connect-MgGraph -UseDeviceAuthentication.

AADSTS530035 dopo che password e MFA sono state accettate Non è un fallimento di identità. L’autenticazione è riuscita; a essere rifiutato è il rilascio del token a quel flusso. I Security Defaults bloccano del tutto il device code flow. → Entra → Proprietà → Gestisci i valori predefiniti per la sicurezza → Disattivati. Poi sostituirli con l’accesso condizionale, nella stessa sessione.

serialNumber is null · 0 devices imported successfully Le macchine virtuali spesso non hanno seriale SMBIOS, e Autopilot ne pretende uno. → Proxmox: VM spenta → Options → SMBIOS settings (type1) → Serial.

«running scripts is disabled on this system» Set-ExecutionPolicy -Scope Process vale solo per quella finestra di PowerShell. Una finestra nuova la perde. → Ripeterla a ogni sessione. Nota che lo script non viene nemmeno caricato: quindi non è un problema di credenziali, anche se capita dove te lo aspetteresti.

Il dispositivo risulta Enabled: No in Entra dopo l’import Normale. È un segnaposto Autopilot, e si abilita da solo quando il dispositivo completa l’Entra join. → Non fare niente. Non forzarlo con script o remediation.

Durante l’OOBE

L’OOBE chiede se la configurazione è personale o aziendale Quella domanda significa che il profilo Autopilot non è stato applicato. Un dispositivo con profilo va dritto a «Let’s set things up for your work or school». → Di solito l’hash non ha finito di sincronizzarsi. Aspetta dieci o quindici minuti dopo l’import e riavvia. Se l’OOBE non è mai stato completato basta shutdown /r /t 0 da Shift+F10 — wpeutil in OOBE non esiste, appartiene a WinPE.

Nessuna personalizzazione aziendale sulla prima schermata È previsto. Il logo compare sulla pagina della password, non sulla prima schermata.

Il logo non si carica Il logo del banner deve essere 245×36 e non superare i 10 KB.

Tastiera americana nonostante il profilo dica italiano Il profilo Autopilot richiede una lingua, non la installa. Un’immagine en-US non ha il pacchetto italiano, quindi l’OOBE ripiega interamente su en-US. → Uno script della piattaforma per tastiera e formati. Da eseguire con le credenziali dell’utente connesso: le impostazioni di lingua sono per-utente.

Il nome del dispositivo è troncato I nomi dei computer Windows sono limitati a 15 caratteri, e il modello viene tagliato in silenzio. WA-%SERIAL% con seriale W11-AUTOPILOT-001 ha prodotto WA-AUTOPILOT001. → Usare WA-%RAND:6%. Lunghezza prevedibile, nessuna collisione — e il capitolo sull’RDP spiega perché un nome prevedibile conta più avanti.

BitLocker

Protection Off e Key Protectors: None Found su un volume cifrato al 100% Non è una contraddizione. È il pre-provisioning: Windows ha cifrato il volume durante l’installazione con una chiave in chiaro e aspetta che una policy aggiunga il protettore TPM e la chiave di ripristino. → Quella policy non sta arrivando. Vedi le due voci seguenti.

Evento 853: «Failed to enable Silent Encryption. TPM is not available.» La prima riga è falsa — Get-Tpm riporta il TPM presente e pronto. La causa vera sta nella seconda riga dello stesso evento: supporto avviabile rilevato. Le ISO di Windows e virtio erano ancora montate nella VM. → Proxmox → Hardware → ogni lettore CD/DVD → Do not use any media → riavvio.

Impostazioni in Conflict, e niente applicato Quando una security baseline e una policy dedicata configurano la stessa impostazione in modo diverso, Intune non ne applica nessuna. Non c’è nessun errore da nessuna parte: il dispositivo resta in silenzio sul valore predefinito di Windows. → Dispositivi → [dispositivo] → Configurazione dispositivo → [policy] mostra lo stato per singola impostazione con i profili sorgente. Togliere le voci dalla baseline può non bastare: quello che ha funzionato è stato eliminarla.

XTS-AES 128 invece di 256 Conseguenza del conflitto qui sopra. Cifrario e tipo di cifratura si scelgono quando la cifratura inizia e non si cambiano in corsa. → Sciogliere il conflitto, poi manage-bde -off C:, riavviare, e lasciare che la policy ricifri. Attenzione: questo genera una nuova chiave di ripristino, e quella vecchia in Entra diventa inutile.

OSEncryptionType = 1 nel registro ma la cifratura resta Used Space Only Non è una configurazione sbagliata. La cifratura silenziosa avviata da MDM usa sempre used-space-only, per progetto. L’impostazione ADMX governa le cifrature avviate a mano. → Niente da correggere. Su un disco nuovo non fa differenza pratica; Full conta sui dischi riutilizzati.

Una policy BitLocker che sembra non essere arrivata Le tre impostazioni contese sono ADMX-backed e non compaiono sotto PolicyManager\current\device\BitLocker. → Guarda invece in HKLM:\SOFTWARE\Policies\Microsoft\FVE.

OneDrive e applicazioni

Le cartelle note non vengono mai spostate, e nessuno segnala un problema Il campo Tenant ID è sbagliato, vuoto, o contiene il nome del tenant. La policy risulta applicata, l’accesso silenzioso funziona, i file su richiesta funzionano, e le cartelle restano semplicemente sul disco locale. → Verifica sul dispositivo: impostazioni di OneDrive → Backup. Le tre cartelle devono comparire e non essere disattivabili.

Desktop remoto

RDP abilitato da policy, ma ogni connessione va in timeout Abilitare il servizio non apre il firewall. È una policy a parte. → Sicurezza degli endpoint → Firewall → Windows Firewall Rules, TCP 3389 in ingresso.

Remote Desktop Users sembra vuoto net localgroup non mostra i membri Entra. La policy probabilmente ha funzionato. → Get-LocalGroupMember "Remote Desktop Users" — i membri Entra compaiono come SID che iniziano per S-1-12-1-.

Credenziali rifiutate con AzureAD\utente@dominio La NLA non può validare credenziali cloud quando client e bersaglio non condividono dominio o tenant. → mstsc → Mostra opzioni → Avanzate → «Usa un account Web per accedere al computer remoto».

«L’utilizzo di un indirizzo IP non è supportato» Il flusso con account web emette un token per un dispositivo, e un dispositivo si identifica con un nome. → Collegarsi per nome.

AADSTS293004: The target-device identifier was not found in the tenant Entra cerca fra i dispositivi del tenant esattamente la stringa a cui ti sei collegato. WA-AUTOPILOT001.home.arpa non è WA-AUTOPILOT001. → Usare il nome nudo. I suffissi interni — .home.arpa, .lan, .local — fanno fallire la ricerca.

Intune in generale

Una policy che non viene mai applicata a niente, senza errori Nella sezione Firewall, Intune distingue Windows da Windows (ConfigMgr). La seconda serve al co-management con Configuration Manager. Sceglierla per sbaglio crea una policy che sembra corretta e non fa niente.

Un dispositivo è non conforme dall’istante in cui si registra Manca il periodo di tolleranza. Viene marcato non conforme prima che qualunque policy sia arrivata — e se l’accesso condizionale richiede già il dispositivo conforme, hai appena chiuso fuori la persona che stavi configurando. → Impostare un periodo di tolleranza in Azioni per la non conformità.

Uno script che non riparte dopo che l’hai corretto Gli script della piattaforma Intune girano una volta sola per dispositivo. Non esiste un pulsante per rieseguirli. → Eliminare l’assegnazione e ricrearla.

Forzare la sincronizzazione risponde accesso negato Le attività pianificate EnterpriseMgmt girano come SYSTEM e sono protette. → Impostazioni → Account → Accedi al lavoro o alla scuola → Info → Sincronizza, visibile solo nella sessione dell’utente Entra, non da un account locale. Altrimenti aspettare il check-in automatico.

---

Lo schema che vale la pena notare

Guarda quante di queste si presentano come qualcos’altro.

Un registro eventi che dà la colpa al TPM per una ISO montata. Un conflitto che non produce nessun errore e lascia semplicemente il valore predefinito di Windows. Un gruppo che sembra vuoto perché lo strumento non sa descriverne i membri. Un token rifiutato con un messaggio sull’accesso condizionale quando di policy di accesso condizionale non ne esiste ancora nessuna.

L’abitudine che accorcia tutte queste storie è la stessa: verificare lo stato finale sul dispositivo, non lo stato di distribuzione nel portale. Un cruscotto riporta se una policy è stata consegnata. Non riporta se la cosa che volevi è successa davvero.