Microsoft Intune evolve con un ritmo di rilascio particolarmente sostenuto e seguire ogni aggiornamento può risultare complesso per chi gestisce quotidianamente i device. Con questo appuntamento periodico, la nostra community raccoglie le principali novità introdotte nelle ultime release: ogni funzionalità viene descritta in modo sintetico ed è accompagnata dai riferimenti alla documentazione ufficiale, utili per eventuali approfondimenti.
La novità di maggiore rilevanza introdotta nel mese di settembre risulta essere la disponibilità, in public preview, dei deployment plans: si tratta di una nuova modalità che consente di distribuire app e policy di configurazione per fasi (ring), anziché in un’unica soluzione, attraverso la nuova sezione Deployments (Devices > Manage devices > Deployments) dell’Intune admin center. Nel dettaglio:
- Deployment plan: modello riutilizzabile che definisce lo schema standard di rilascio per ring; il piano non contiene il payload, ma definisce i ring ed il numero di giorni e di ore di attesa tra un ring e il successivo.
- Deployment: meccanismo che distribuisce uno specifico payload (un’app o una policy di configurazione) utilizzando un deployment plan oppure una configurazione dei ring definita una tantum; tra un ring e il successivo è richiesto un intervallo minimo di un’ora ed il deployment può essere messo in pausa, ripreso o annullato.
Attualmente la funzionalità è disponibile per dispositivi Windows 10 e successivi e supporta come payload le policy Settings Catalog ed Endpoint security, le app Win32 e le app dell’Enterprise App Catalog (solo con intent Required). Inoltre, attraverso l’integrazione con Multi Admin Approval, la creazione, la ripresa, l’annullamento e l’eliminazione di un deployment richiedono l’approvazione di un secondo amministratore nel caso in cui sia configurata una access policy per il tipo di payload selezionato.
Anche il mese di ottobre ha visto il rilascio di interessanti novità, tra cui spicca la disponibilità della Security Baseline per Windows 11, versione 26H2: la nuova baseline riflette le attuali raccomandazioni di sicurezza Microsoft includendo nuovi settings dedicati alla nuova build di Windows 11. E’ importante sottolineare come i profili esistenti non vengono aggiornati automaticamente alla nuova versione: è quindi necessario creare un nuovo profilo oppure aggiornare quello esistente (Endpoint security > Security baselines > Update Version). Per i profili creati da maggio 2023 in poi sono disponibili due opzioni:
- Accept baseline changes but keep my existing setting customizations: Intune crea una nuova istanza del profilo basata sull’ultima versione della baseline, mantenendo ed applicando le personalizzazioni effettuate in precedenza;
- Accept baseline changes and discard existing setting customizations: Intune crea una nuova istanza che utilizza la configurazione predefinita della nuova versione; a tal proposito, nessuna personalizzazione del profilo di partenza verrà riportata.
In entrambi i casi il profilo originale rimane invariato, mentre scope tags e assegnazioni non vengono riportati sul nuovo profilo.
Le Service Release 2609 e 2610 hanno inoltre introdotto altre interessanti novità, tra cui spiccano:
- La possibilità di assegnare un numero illimitato di licenze alle app distribuite attraverso i canali Apple Business Manager e Apple School Manager;
- Il rilascio di nuovi settings catalog dedicati alla nuova build 26H2 di Windows 11.
- La fine del supporto per la registrazione di dispositivi con versioni del sistema operativo antecedenti iOS/iPadOS 18;
- La fine del supporto di Setup Assistant (legacy) nei profili di enrollment Apple in modalità Automated Device Enrollment (ADE);
- Il rilascio della nuova versione 5.2.1210.0 di Remote Help per sistemi Windows;
- La disponibilità all’interno della funzionalità Enterprise App Catalog di utilizzare script Powershell per l’installazione delle app come metodo alternativo all’utilizzo di una command line;
Nei prossimi paragrafi verrà fornita una panoramica delle altre principali novità introdotte nelle ultime 2 release di Microsoft Intune.
App management
Distribuzione più rapida delle app Win32
Microsoft Intune utilizza ora le notifiche push per le modifiche alle app Win32 effettuate dagli amministratori o lato servizio: attraverso questa modifica, i dispositivi gestiti possono effettuare il check-in in tempi più brevi dopo una modifica all’app, riducendo i ritardi di distribuzione e di aggiornamento rispetto all’attesa dei normali intervalli di polling.
Con la Service Release 2610 lo stesso meccanismo è stato esteso agli script Windows: anche in questo caso, dopo una modifica effettuata dagli amministratori o lato servizio, i dispositivi gestiti effettuano il check-in in tempi più brevi, senza attendere il normale intervallo di polling.
Installazione delle app Win32 subito dopo l’enrollment
Sempre in ambito Win32, l’Intune Management Extension (IME) verifica ora le assegnazioni delle app Windows immediatamente dopo il completamento dell’Enrollment Status Page (ESP) o di Windows Autopilot device preparation: in questo modo si riduce il ritardo prima che le app Win32 assegnate come Required, e non installate durante il provisioning, inizino l’installazione sui dispositivi appena registrati.
Nuova protected app
Le seguenti protected app risultano essere state aggiunte su Microsoft Intune:
- Microsoft Dragon Copilot (Microsoft Corporation)
Autenticazione Managed Home Screen per le protected app
Per evitare che gli utenti possano aggirare l’autenticazione di Managed Home Screen (MHS), Intune protegge ora l’accesso ai contenuti delle app integrate con MAM: se MHS richiede la sign-in o un session PIN, l’app reindirizza l’utente a MHS prima di consentire l’accesso ai contenuti protetti. La funzionalità riguarda i dispositivi Android Enterprise corporate-owned dedicated che utilizzano Managed Home Screen con Microsoft Entra shared device mode e, secondo la documentazione, i dispositivi con Android 11 o successivi. Per utilizzare questo comportamento è necessario:
- escludere l’app integrata con MAM dal setting Silence apps while Managed Home Screen requires authentication attraverso l’opzione Exclude these apps from the silence setting;
- assegnare un’app protection policy di Intune sia all’app che all’utente connesso; non è richiesto nessun setting specifico all’interno della policy.
Gestione delle referenced app su dispositivi AOSP
Con la Service Release 2610 è stato introdotto, per i dispositivi Android Open Source Project (AOSP), il nuovo tipo di app denominato referenced app: attraverso questa modalità, un’app viene identificata tramite il package name, senza la necessità di caricare il relativo file APK. È quindi possibile gestire le app OEM, preinstallate o distribuite esternamente già presenti sui dispositivi AOSP supportati, assegnando uno dei seguenti intent:
- Required: l’app già presente sul dispositivo viene resa visibile (unhidden);
- Uninstall: l’app viene nascosta (hidden).
Le referenced app potranno inoltre essere oggetto di app configuration policy basate su JSON, mentre Configuration designer e Connected Apps non saranno supportati. In questo modo, le organizzazioni possono gestire le app residenti sul dispositivo senza introdurre un nuovo canale di distribuzione.
Device configuration
Nuovi settings Apple nella sezione Settings Catalog
Nella Service Release 2609 sono stati introdotti, all’interno della sezione Settings Catalog, nuovi settings per i dispositivi iOS/iPadOS e macOS: attraverso il consueto flusso di creazione delle policy, è ora possibile configurare controlli aggiuntivi nelle seguenti aree:
- App Settings
- Apple Intelligence
- Network e web-content filtering
- Login macOS
Assignment filters per le policy Settings Catalog Android
Le policy Settings Catalog per Android Enterprise e Android Open Source Project (AOSP) supportano ora gli assignment filters: è quindi possibile includere o escludere dispositivi specifici in base alle loro proprietà, ottenendo un controllo più granulare sulla distribuzione delle policy. Un filtro può essere utilizzato in due modalità:
- Include: i dispositivi che soddisfano le condizioni del filtro ricevono la policy, mentre gli altri non la ricevono;
- Exclude: i dispositivi che soddisfano le condizioni del filtro non ricevono la policy, mentre gli altri la ricevono.
Supporto Enforce Routes nei profili VPN Apple
I profili VPN per iOS/iPadOS e macOS supportano ora la funzionalità Apple Enforce Routes, in modo tale da ridurre il rischio che il traffico aggiri il tunnel VPN a causa della precedenza delle route locali. Il comportamento di routing viene definito attraverso i settings Include all networks ed Exclude local networks, mentre Intune ricava automaticamente la configurazione Enforce Routes più opportuna, che non viene esposta come setting autonomo. Nel dettaglio:
- con Include all networks attivo, la maggior parte del traffico del dispositivo viene instradata nel tunnel VPN ed Apple ignora il valore di Enforce Routes;
- con Include all networks ed Exclude local networks attivi, il traffico passa dalla VPN ad eccezione di quello verso la rete locale (ad esempio AirDrop o stampanti);
- con il solo Exclude local networks attivo, Intune abilita automaticamente Enforce Routes, in modo tale che le esclusioni della rete locale abbiano effetto;
- con entrambi i settings disattivati, il routing segue le route configurate nel profilo.
È opportuno sottolineare che questi settings si applicano solo alle VPN a livello di dispositivo e non alle per-app VPN; inoltre, Microsoft sconsiglia di utilizzarli insieme allo split tunneling.
Rimozione dei workload legacy per l’aggiornamento software Apple
A seguito della dismissione, da parte di Apple, Intune sta rimuovendo i workload legacy MDM per l’aggiornamento software dei dispositivi iOS/iPadOS e macOS: per continuare a gestire gli aggiornamenti, è necessario utilizzare le update policy basate su Declarative Device Management (DDM). Tali policy si configurano attraverso la sezione Settings Catalog (categoria Declarative Device Management, ad esempio Software Update Enforce Latest) e richiedono dispositivi con iOS/iPadOS 17.0 o successivi e macOS 14.0 o successivi, registrati attraverso Device Enrollment o Automated Device Enrollment.
Device enrollment
Avvio automatico di Microsoft Defender for Endpoint durante il setup Android Enterprise
Con la Service Release 2609, Intune è in grado di aprire automaticamente Microsoft Defender for Endpoint durante il setup out-of-box dei dispositivi Android Enterprise corporate-owned supportati, in modo tale da consentire agli utenti di completarne la configurazione iniziale come parte del setup del device; nel caso in cui la configurazione non venga completata, lo step di setup di Intune rimane disponibile per aprire nuovamente Defender. Per abilitare questa esperienza è necessario:
- configurare il connettore Defender for Endpoint;
- attivare l’opzione Grant MTD role permissions;
- assegnare l’app Defender come Required;
- abilitare l’esperienza dalla sezione Endpoint security > Defender for Endpoint.
È opportuno assegnare Defender for Endpoint a gruppi di utenti o a tutti i dispositivi prima dell’enrollment: l’elaborazione dell’assegnazione verso uno specifico gruppo di dispositivi potrebbe infatti non completarsi in tempo per rendere disponibile l’app durante il setup. La funzionalità riguarda i dispositivi corporate-owned fully managed (COBO) e corporate-owned con work profile (COPE).
Upgrade della connessione Android Enterprise a un managed Google domain
I tenant che hanno collegato Android Enterprise attraverso un account Gmail possono ora effettuare un upgrade opzionale verso un managed Google domain: attraverso questa modifica, la connessione tra Google ed Intune viene gestita con l’account aziendale Microsoft Entra anziché con un account Gmail. L’upgrade può essere avviato con un account Intune Administrator attraverso il percorso Devices > Enrollment > Android > Prerequisites > Managed Google Play > Upgrade; al termine dell’operazione, il pulsante Upgrade risulterà disabilitato.
Device management
Dati di stato DDM di Apple OS 27 nell’inventario dei dispositivi
L’inventario dei dispositivi Apple con OS 27 si arricchisce dei dati di stato provenienti da Declarative Device Management: gli IT admin possono ora consultare nuove informazioni relative a:
- stato di salute dei componenti hardware;
- sessioni di logging avanzato;
- stato della content cache;
- stati MDM e di sicurezza Apple, come ad esempio il tipo di enrollment, l’attesa della configurazione finale (awaiting configuration) e la Lockdown Mode.
I valori disponibili dipendono dalla versione del sistema operativo, dall’hardware, dal tipo di enrollment e dalle funzionalità DDM supportate dal dispositivo.
Device security
Valutazione della compliance guidata dal client per Windows
Per i dispositivi Windows supportati, Intune introduce la client-driven compliance evaluation: attraverso questa funzionalità, il dispositivo è in grado di rilevare alcuni cambiamenti locali e richiedere in modo proattivo una nuova valutazione della compliance, senza attendere il successivo check-in pianificato. Il monitoraggio avviene su due livelli:
- Scheduled compliance monitoring: l’Intune Management Extension (IME) controlla periodicamente i settings rilevanti per la compliance e, se rileva una modifica rispetto alla situazione precedente, avvia un check-in con Intune;
- Real-time compliance monitoring: per i principali settings, la modifica viene rilevata nel momento in cui avviene ed Intune richiede subito un check-in del dispositivo; i settings monitorati in tempo reale risultano essere Firewall, Antivirus, BitLocker, stato di Microsoft Defender, versione della build del sistema operativo, Real-time protection (RTP) e Secure Boot.
Per garantire l’affidabilità del servizio, Intune applica un meccanismo di throttling: nel caso di più modifiche in un breve intervallo di tempo, alcuni aggiornamenti potrebbero essere elaborati nei cicli di valutazione successivi.
Administrator protection per Windows 11
Administrator protection è una funzionalità di sicurezza di Windows 11 che mantiene gli utenti con privilegi ridotti e concede l’elevazione dei privilegi solo quando necessario, in modalità just-in-time e previa autorizzazione esplicita (integrata con Windows Hello); il token amministrativo viene generato attraverso un account nascosto e distrutto al termine dell’operazione. Con la Service Release 2610, Intune consente di configurare due settings dedicati, sia all’interno delle policy Account protection di Endpoint security (versioni di Windows 11 supportate), sia nella sezione Settings Catalog per Windows 11 versioni 24H2 e 25H2:
- il tipo di Administrator Approval Mode;
- il comportamento del prompt di elevazione utilizzato con Administrator protection.
Nel Settings Catalog i due settings si trovano nella categoria Local Policies Security Options, rispettivamente con i nomi User Account Control Type Of Admin Approval Mode e User Account Control Behavior Of the Elevation Prompt for Administrator Protection.
Protezione runtime degli agenti AI con Microsoft Defender for Endpoint
Nella sezione Endpoint security è stato introdotto un nuovo template per Windows dedicato alla protezione runtime degli agenti AI locali, come ad esempio Claude Code, Codex CLI e GitHub Copilot CLI (funzionalità attualmente in preview): Defender ispeziona i punti critici del ciclo di funzionamento dell’agente in cui i contenuti entrano o escono dal suo processo di ragionamento, in modo tale da rilevare minacce come la prompt injection e, quando possibile, bloccare le azioni prima che vengano eseguite. I settings supportano dispositivi Windows gestiti attraverso Intune o attraverso MDE security settings management e prevedono le seguenti modalità:
- Audit: Defender rileva e segnala l’attività non sicura senza bloccarla, generando comunque un alert di sicurezza;
- Block: Defender blocca le azioni supportate dell’agente prima che vengano eseguite;
- Default: la protezione risulta disabilitata.
Su Intune la configurazione avviene attraverso il percorso Endpoint security > Antivirus > Create policy, selezionando la piattaforma Windows ed il profilo Microsoft Defender AI agent runtime protection (setting Ai Agent Protection). Tra i prerequisiti risultano essere necessari una licenza Microsoft Defender for Endpoint Plan 2, Microsoft 365 E5, Microsoft Agent 365 o Microsoft 365 E7 e dispositivi onboardati su Defender for Endpoint, con Microsoft Defender Antivirus in modalità attiva e real-time protection abilitata.
Onboarding self-service dei compliance partner
Intune supporta ora l’onboarding self-service dei partner di compliance MDM: i partner possono sviluppare, testare e pubblicare in autonomia i propri connettori, mentre l’amministratore può abilitarli direttamente dall’Intune admin center (Tenant administration > Connectors and tokens > Partner Compliance management > Add Compliance Partner), selezionando Custom MDM Compliance Partner ed inserendo l’Entra Application ID fornito dal partner. È possibile utilizzare un solo partner per piattaforma e, secondo la documentazione, le piattaforme supportate risultano essere Android, iOS/iPadOS e macOS.
Monitor e troubleshooting
Monitoraggio dello stato del Certificate Connector
Il Certificate Connector for Microsoft Intune espone ora i propri segnali di stato all’interno dell’Intune admin center (Tenant administration > Connectors and tokens > Certificate connectors), in modo tale da individuare in anticipo eventuali problemi nell’emissione dei certificati. Ogni connettore può assumere uno dei seguenti stati:
- Active: non è stato rilevato nessun problema;
- Warning: il connettore è in grado di emettere certificati, ma è presente un problema meno grave che richiede attenzione (ad esempio l’impossibilità di revocare i certificati o una connessione intermittente verso la CA);
- Action required: un problema impedisce l’emissione dei certificati oppure il connettore risulta disconnesso da Intune (ad esempio CA non raggiungibile, service account privo dei permessi di emissione o richieste rifiutate per mancata corrispondenza tra profilo PKCS e certificate template).
Ogni segnale è accompagnato da indicazioni utili per l’analisi e la risoluzione del problema; lo stato si basa sull’attività recente di elaborazione dei certificati e l’ultimo stato valutato viene mostrato per un massimo di 15 minuti.
Valutazione di Intune
Per testare e valutare in modo gratuito i servizi offerti da Intune è possibile accedere a questa pagina.