Microsoft Intune da zero: la serie completa

Dieci capitoli che vanno da un tenant Microsoft 365 senza niente configurato a un Windows 11 che si tira fuori dalla scatola da solo: entra in Entra ID, si registra in Intune, installa le sue applicazioni, si cifra il disco, si ruota la password dell’amministratore locale, e si raggiunge in desktop remoto da fuori la rete.

Tutto quello che c’è qui è stato costruito e rotto su hardware e macchine virtuali vere, nel luglio 2026. Ogni capitolo porta la data in cui quella parte è stata verificata.

Cosa lo rende diverso dalla documentazione

Microsoft documenta bene le procedure. Quello che manca ovunque è cosa succede quando un passaggio non funziona — e in questo deployment più di venti cose non hanno funzionato.

Una policy che non applica niente e riporta successo. Un registro eventi che dà la colpa al TPM per una ISO montata. Un gruppo che sembra vuoto perché lo strumento non sa descriverne i membri. Un token rifiutato con un messaggio sull’accesso condizionale quando di policy di accesso condizionale non ne esiste ancora nessuna.

Stanno qui dentro, nel punto in cui capitano. Non raccolti in un’appendice di problemi noti che nessuno legge prima di averne bisogno.

Cosa si costruisce

Un Entra ID join puro: il dispositivo appartiene alla directory in cloud e non ha nessun oggetto in un domain controller on-premise. Nessuna dipendenza da un DC durante l’OOBE, che è il modello moderno consigliato da Microsoft e quello che si comporta in modo prevedibile quando il dispositivo non è sulla rete aziendale.

Se ti serve anche l’Active Directory on-premise, quella è un’altra architettura e un’altra serie.

I capitoli

1 — Preparare un tenant Microsoft 365 per Intune Le licenze che contano davvero, gli account di emergenza, e l’impostazione di registrazione automatica MDM che rompe tutto in silenzio se la salti.

2 — Autopilot: gruppi dinamici, branding e profilo di distribuzione È il profilo a decidere il modello di join, non lo script di import. Gruppi per ZTDId, il limite di 10 KB sul logo, e i nomi troncati a quindici caratteri.

3 — Importare l’hash hardware Tre fallimenti di fila: PowerShell che esce in silenzio, AADSTS530035, e una VM senza numero di serie. Poi come renderlo non interattivo, e quanto costa quella comodità.

4 — Distribuire app e OneDrive Le applicazioni obbligatorie durante l’OOBE, Chrome come MSI aziendale, e il campo Tenant ID che fallisce in completo silenzio.

5 — Conformità, BitLocker e LAPS Perché non gestire l’Administrator integrato, e una policy BitLocker che per applicarsi ha richiesto una baseline eliminata, una ISO smontata e la chiave di registro giusta.

6 — Windows Update: anelli, scadenze e orari attivi Senza scadenze le patch restano scaricate e mai attive. Quality stretti, feature larghi, e perché le build di anteprima restano spente.

7 — Defender: policy dedicate invece della baseline Quanto costa un conflitto silenzioso, e la regola che ne è uscita: configurare il meno possibile.

8 — Desktop remoto su dispositivi Entra joined Cinque ostacoli in fila, fino a AADSTS293004 — il nome a cui ti colleghi deve essere il nome del dispositivo in Entra.

9 — Accesso condizionale: MFA sì, dispositivo conforme non ancora Due policy invece di una, l’emergenza esclusa per nome, e perché richiedere il dispositivo conforme a tutti ti chiude fuori dal tuo tenant.

10 — Tastiera italiana su un’immagine en-US Il profilo Autopilot richiede una lingua, non la installa.

Prima di cominciare

Una nota sull’onestà

Una cosa in questa serie non ha funzionato del tutto, ed è scritta come tale: BitLocker è rimasto su Used Space Only invece di Full encryption, nonostante il registro dicesse il contrario. La spiegazione è nel capitolo 5, e si scopre che è di progetto e non un errore.

Le guide in cui non fallisce mai niente sono guide da cui i fallimenti sono stati tolti. Questo è quello che è successo davvero.