Anche nel corso dei mesi estivi, Microsoft ha annunciato novità riguardanti Intune e, come di consueto, la nostra community rilascia questo riepilogo in modo tale rimanere così sempre aggiornati su questi argomenti e fornirvi una panoramica complessiva delle principali novità introdotte su Microsoft Intune.
Tra le principali novità introdotte nella release di luglio è opportuno segnalare l’integrazione tra Samsung Knox E-FOTA e Microsoft Intune: questa funzionalità permette alle aziende di controllare le versioni firmware distribuite sui dispositivi Samsung in modo controllato e centralizzato, fornendo una serie di vantaggi operativi come:
- possibilità di scegliere quale versione firmware distribuire, anche non l’ultima disponibile, bloccando i dispositivi su quella versione finché non è stata validata la compatibilità con le app aziendali;
- aggiornamenti forzati, distribuibili senza nessuna interazione da parte dell’utente;
- pianificazione del rilascio in finestre orarie che non interferiscono con l’operatività (es: fuori dall’orario lavorativo);
- possibilità di testare un aggiornamento su un gruppo ristretto di dispositivi prima di estenderlo all’intero parco device.
Per maggiori informazioni su questa funzionalità, è possibile fare riferimento all’articolo specifico presente al seguente link.
Sempre il mese di luglio, ha visto il rilascio di un’altra interessante funzionalità particolarmente utile in ottica di gestione moderna dei device attraverso Microsoft Intune: stiamo parlando dell’inventario delle chiavi di registry. Una delle discrepanze tra strumenti di gestione on-premise come Configuration Manager e Microsoft Intune era appunto la mancata possibilità di collezionare specifiche chiavi di registry come dato di inventario.
Con il rilascio della Service Release 2607, è ora possibile raccogliere le chiavi presenti sotto HKEY_LOCAL_MACHINE: all’interno della sezione Devices > Windows > Configuration sulla console di Microsoft Intune, è possibile creare una nuova policy di tipologia Properties Catalog che consente di attivare questa funzionalità:
Una volta selezionata la tipologia di policy ed aver assegnato un nome ed una descrizione, accedendo alla sezione Add Settings, sarà possibile selezionare la proprietà Registry:
Successivamente sarà possibile definire quali chiavi dovranno essere raccolte, attraverso le seguenti modalità:
- Single value: permette di recuperare un solo valore con nome, da un’unica chiave specifica. È il pattern più mirato dove è necessario indicare il percorso della chiave e il nome del valore esatto che si vuole raccogliere.
- All values under key: raccoglie tutti i valori presenti direttamente sotto una determinata chiave, ma senza scendere ricorsivamente nelle sottochiavi annidate.
- Same value across subkeys: legge lo stesso nome di valore, ma ripetuto su ogni sottochiave di una chiave padre.
Con il rilascio delle Service Release di luglio e agosto, sono state inoltre introdotte alcune novità tra cui è opportuno citare:
- Attivazione di default della nuova interfaccia per la visualizzazione dei device (per maggiori dettagli su questa nuova vista, è possibile fare riferimento al nostro precedente articolo).
- La possibilità, sui device Apple, di avviare la raccolta dei log di diagnostica attraverso AppleCare.
- L’introduzione di una Security Baseline per i CloudPC Windows 365 for Agents.
- La possibilità di utilizzare la funzionalità Apple Declarative Device Management (DDM) per la distribuzione e la configurazione di applicazioni attraverso il canale Volume Purchase Program (VPP).
Nei prossimi paragrafi, verranno riportate le altre importanti novità introdotte negli ultimi mesi su Microsoft Intune.
App management
Nuove protected app
Le seguenti protected app risultano essere state aggiunte su Microsoft Intune:
- Notion (Notion Labs)
- Superhuman Mail (Superhuman Labs)
- Calven (Calven Pty Limited)
- Heijmans (Heijmans)
- Notability (Ginger Labs, Inc.) for iOS
- Ben for Intune (Thanks Ben Ltd)
- SDP – On Premises | Intune (Zoho Corporation)
Device management
Migliorata l’esecuzione on-demand del comando Sync sui device Windows
Con il rilascio della Service Release 2607, l’azione remota di Sync è stata migliorata per consentire una sincronizzazione più efficace: infatti, in precedenza, questa azione forzava il check-in MDM del dispositivo mentre ora Intune avvia una sincronizzazione a tutto tondo che copre i principali workload gestiti: Configuration Profiles, App e Script, in modo che i dispositivi possano applicare più velocemente le modifiche implementate.
Modalità di connessione unattended su Remote Help
Questo mese Microsoft Intune ha introdotto il supporto unattended alle sessioni Remote Help su dispositivi Windows fisici: in pratica, un operatore IT autorizzato può accedere al dispositivo utilizzando le proprie credenziali, senza che l’utente sia presente o debba compiere alcuna azione (ad esempio accettare la richiesta). È importante sottolineare come la sessione che verrà instaurata sarà nel contesto dell’operatore; pertanto, non sarà possibile visualizzare/controllare la sessione dell’utente finale.
Device configuration
Nuovi settings per la gestione dei sistemi Windows via Settings Catalog
La versione 2607 di Intune ha introdotto una serie di configurazioni per la gestione dei device Windows attraverso la modalità Settings Catalog; di seguito è possibile trovare le nuove impostazioni introdotte in tale release:
- Microsoft Edge
- Allow Local Fonts permission on these sites
- Allow M365 authentication popups in work profiles
- Allow MAM enrollment when managed device has Purview DLP policy configured
- Automatically open Copilot side pane with contextual insights for links opened from Outlook
- Block Local Fonts permission on these sites
- Browsing with Copilot Allowed URLs
- Browsing with Copilot Blocked URLs
- Configure whether the Discover or Work feed tabs are shown on the Copilot new tab page
- Controls the availability of browsing with Copilot in Microsoft Edge
- Default Local Fonts permission setting
- Enable Copilot address bar suggestions
- Enable opaque origins for data URLs in Web Workers
- Enable the Copilot new tab page
- Enable the extended lifetime option for SharedWorkers
- Force foreground priority for specific URLs
- List of URL patterns for which developer tools are allowed to be opened
- List of URL patterns for which developer tools are blocked
- Maximum number of concurrent connections to the proxy server for WebSocket requests
- Override for the CPU performance tier
- Set the default Copilot new tab page feed tab to Work or Discover
- Windows App
- Turn off automatic updates for Windows App: controlla se la Windows app verifica e installa automaticamente gli aggiornamenti.
- Automatically log off users after inactive interval: disconnette gli utenti dalla Windows app dopo un determinato periodo di inattività.
- Skip First Run Experience (FRE): permette di bypassare il wizard di prima esecuzione in modo tale che gli utenti possano accedere direttamente alle loro risorse.
- Admin Release Ring Policy: permette di impostare il canale di aggiornamento della Windows app.
- Automatically create Windows App shortcuts to desktop: crea automaticamente un link sul desktop per le risorse pubblicate attraverso la Windows app.
- OneDrive
- Set a custom name for the OneDrive folder: imposta un nome personalizzato per la cartella OneDrive sincronizzata sul dispositivo dell’utente.
- Enable OpenID Connect (OIDC) authentication for syncing content from an on-prem SharePoint Server using the OneDrive sync app: consente all’app OneDrive di autenticarsi a un server SharePoint locale tramite OpenID Connect, se il server lo supporta.
- Specify the Application ID URI for your Entra application for OIDC: – specifica l’Application ID URI per l’applicazione Microsoft Entra utilizzata per OIDC quando è diverso dall’URL del server SharePoint.
- Prevent users at your organization from enabling offline mode in OneDrive on the web: impedisce agli utenti di attivare la modalità offline per OneDrive sul Web.
- Prevent users at your organization from enabling offline mode in OneDrive on the web for libraries and folders that are shared from other organizations: blocca la modalità offline per le raccolte e le cartelle condivise da altre organizzazioni.
- Hard-delete the contents of a folder shortcut when unmounted: elimina in modo permanente il contenuto di un collegamento a una cartella quando viene smontata, anziché spostarlo nel Cestino.
- Hard-delete contents of a folder shortcut when a user loses permissions to the folder: elimina in modo permanente il contenuto di un collegamento a una cartella quando l’utente perde i permessi di accesso a tale cartella.
Nuovi settings per la gestione dei sistemi Windows via Settings Catalog
Sono stati introdotti significativi miglioramenti nella gestione dei device Android attraverso la funzionalità Settings Catalog; infatti, nelle ultime due release, il Product Group ha focalizzato il proprio lavoro nel rendere la configurazione di questa tipologia di device più semplice. Sul fronte della gestione del dispositivo e dello schermo, è ora disponibile la nuova impostazione Screen timeout, che consente agli amministratori di definire dopo quanti secondi di inattività il display deve spegnersi (il valore configurato deve essere uguale o inferiore a quello previsto dalla policy Time to lock screen). Sempre nell’ambito della gestione del display, Intune introduce inoltre la possibilità di mantenere lo schermo acceso durante la ricarica sui dispositivi Android Fully Managed e Dedicated: è ora possibile specificare una o più modalità di alimentazione tra AC, USB e Wireless, stabilendo quindi in quali condizioni il display debba rimanere attivo.
In queste ultime due release, Microsoft ha introdotto novità anche per quanto riguarda la sicurezza e la gestione del Work Profile: con l’impostazione Block one lock for device and work profile è possibile richiedere credenziali di sblocco separate per il dispositivo e per il profilo di lavoro, evitando che l’utente utilizzi lo stesso metodo di autenticazione per entrambe le aree. Per applicare questa configurazione è necessario aver prima definito una Password Policy relativa al Work Profile ed aver impostato il parametro sopra citato su True; nel caso in cui venga mantenuto il valore predefinito (False), l’utente sarà in grado di continuare ad utilizzare un’unica credenziale per entrambi gli ambienti.
A questa configurazione, si affianca la nuova impostazione Number of days work profile is allowed to be switched off, che permette di controllare per quanto tempo un utente può mantenere disattivato il proprio Work Profile. È possibile definire un numero massimo di giorni, con un valore minimo pari a 3, oppure utilizzare 0 per non applicare alcuna restrizione; in questo modo le organizzazioni possono trovare un migliore equilibrio tra flessibilità per l’utente e necessità di mantenere operativo e protetto l’ambiente di lavoro aziendale.
Infine, Intune ha esteso la funzionalità di Device Inventory anche ai dispositivi Android Enterprise personali con Work Profile gestiti tramite Android Management API: le informazioni raccolte possono essere consultate direttamente dalla pagina Inventory del dispositivo tramite Resource Explorer e possono essere utilizzate anche nelle interrogazioni effettuate con Multiple Device Query. Per ovvie ragioni legate alla privacy, l’inventario che viene esposto sui device personali risulta essere un sottoinsieme delle informazioni tendenzialmente raccolte sui dispositivi aziendali: dati identificativi come IMEI, ICCID e indirizzo MAC non sono disponibili. L’estensione del Device Inventory ai dispositivi BYOD consente comunque agli IT admin di ottenere una visione più uniforme del parco Android e di migliorare le attività di analisi, troubleshooting e reporting in ambienti caratterizzati dalla presenza contemporanea di dispositivi corporate e personali.
Miglioramenti nella gestione delle eSIM su Android Enterprise
In questi ultimi due mesi, Microsoft ha ampliato le funzionalità di gestione delle eSIM sui dispositivi Android Enterprise, introducendo in Intune nuovi strumenti per visualizzarne le informazioni, attivarle e rimuoverle, sia singolarmente sia durante il wipe del dispositivo.
Il primo miglioramento riguarda l’inventario delle SIM, che ora espone un set di informazioni più completo per i dispositivi Android Enterprise corporate-owned. Accedendo a Devices > All devices, selezionando il dispositivo e aprendo la sezione Hardware, è ora possibile visualizzare dati come EID, eventuali ICCID multipli e lo stato di attivazione delle SIM presenti sul dispositivo. Queste informazioni risultano particolarmente utili anche per le successive operazioni di gestione delle eSIM, perché l’ICCID permette di identificare in maniera univoca il profilo da rimuovere.
A partire dalle informazioni disponibili nell’inventario, Intune consente ora anche di gestire direttamente il ciclo di vita della singola eSIM; infatti, sui dispositivi Android Enterprise corporate-owned con Android 15 o versioni successive, è possibile effettuare l’attivazione di una eSIM direttamente dalla console di amministrazione: è sufficiente selezionare il dispositivo, scegliere Activate eSIM e specificare il codice di attivazione fornito dall’operatore telefonico (questo tipo di azione risulta disponibile solo abilitando la nuova interfaccia di visualizzazione dei device). Con una modalità analoga è ora possibile anche rimuovere una singola eSIM senza eseguire il wipe completo del dispositivo: dopo aver recuperato dall’inventario l’ICCID della eSIM interessata, è possibile selezionare Remove eSIM e indicare l’ICCID da eliminare.
Infine, all’interno della sezione Settings Catalog, è stata introdotta una nuova configurazione per la gestione delle eSIM durante il wipe di un dispositivo aziendale: impostando il setting Remove all eSIMs during a device wipe a True, contestualmente al wipe del device viene effettuata la rimozione di tutte le eSIM presenti sul dispositivo.
Nel complesso, queste novità rendono la gestione delle eSIM molto più completa all’interno di Intune: gli amministratori possono ora identificare con maggiore precisione le SIM presenti sui dispositivi, attivare nuovi profili eSIM, rimuoverli singolarmente e definire il comportamento da adottare durante il wipe, riducendo la necessità di interventi manuali e semplificando la gestione del ciclo di vita dei dispositivi.
Device security
Aggiornamenti per Microsoft Defender Antivirus su sistemi Linux
Per consentire una maggiore protezione dei dispositivi Linux, nel mese di agosto, il Product Group ha introdotto importanti novità legate alla soluzione Microsoft Defender Antivirus: tra le novità più interessanti, troviamo l’introduzione della modalità Audit all’interno dell’impostazione Enforcement level del template Microsoft Defender Antivirus. Configurando questo valore, il motore antivirus continua a rilevare le minacce in tempo reale, ma senza eseguire automaticamente azioni di remediation o mettere in quarantena i file malevoli. Le rilevazioni vengono comunque generate come alert nel portale Microsoft Defender, consentendo così di osservare il livello di esposizione e il comportamento delle minacce prima di applicare una modalità di protezione più restrittiva.
Oltre a questa funzionalità appena citata, si è aggiunto inoltre il supporto per la configurazione della scansione della memoria all’interno dello stesso template antivirus: è quindi possibile controllare in modo più granulare il comportamento di Microsoft Defender durante l’analisi della memoria dei sistemi Linux. Il template Microsoft Defender Antivirus può essere utilizzato sia sui dispositivi gestiti direttamente tramite Microsoft Intune, sia sui dispositivi gestiti tramite la funzionalità Security Settings Management.
Custom Compliance Policy su device macOS
Microsoft Intune ora supporta le Custom Compliance Settings anche su dispositivi macOS, funzionalità già disponibile per sistemi Windows e Linux; è quindi possibile definire controlli di conformità personalizzati per verificare configurazioni o proprietà non coperte dalle impostazioni native di Intune.
Questa funzionalità si basa su uno script Bash eseguito sul dispositivo e su un file JSON che definisce le regole di conformità e i relativi valori attesi; i risultati vengono integrati nei normali report di compliance e contribuiscono alla determinazione dello stato del device.
Questa novità permette di estendere i controlli di conformità sui device macOS, offrendo una maggiore flessibilità nella definizione dei requisiti adattando i controlli alle proprie esigenze operative e di sicurezza.
Controlled Configuration per Microsoft Defender Antivirus
Per i sistemi Windows gestiti, è ora disponibile in preview la funzionalità Controlled Configuration che permette di rendere autoritative le configurazioni Defender distribuite tramite Microsoft Intune o Security Settings Management; questa funzionalità permette quindi di dare precedenza a tali settings nel caso in cui le impostazioni vengano distribuite anche attraverso altri canali, come ad esempio GPO, Microsoft Configuration Manager, ecc…
Durante la fase di preview, Controlled Configuration sarà disponibile solamente per le Endpoint Security policy relative ad antivirus e Attack Surface Reduction (ASR).
Valutazione di Intune
Per testare e valutare in modo gratuito i servizi offerti da Intune è possibile accedere a questa pagina.