Distribuire dispositivi aggiunti all'ambiente ibrido Microsoft Entra usando Intune e Windows Autopilot

• Configurati correttamente i dispositivi aggiunti all'ambiente ibrido di Microsoft Entra. Assicurati di verificare la registrazione del dispositivo usando il cmdlet Get-MgDevice .
• Se il filtro basato su dominio e unità organizzativa è configurato come parte di Microsoft Entra Connect, assicurarsi che l'unità organizzativa predefinita o il contenitore destinato ai dispositivi Windows Autopilot sia incluso nell'ambito di sincronizzazione.

Il dispositivo da registrare deve rispettare i requisiti seguenti:

• Usa una versione attualmente supportata di Windows.
• Avere accesso a Internet in base ai requisiti di rete di Windows Autopilot.
• Avere accesso a un controller di dominio Active Directory.
• Ping del controller di dominio del dominio da aggiungere.
• Se si usa il proxy, è necessario abilitare e configurare l'opzione Impostazioni proxy WPAD (Web Proxy Auto-Discovery Protocol).
• Sottoponiti all'esperienza predefinita (OOBE).
• Utilizzare un tipo di autorizzazione supportato da Microsoft Entra ID in Configurazione guidata.

Sebbene non sia necessario, la configurazione del join ibrido di Microsoft Entra per Active Directory Federated Services (ADFS) consente un processo di registrazione di Microsoft Entra Windows Autopilot più veloce durante le distribuzioni. I clienti federati che non supportano l'uso delle password e che usano ADFS devono seguire i passaggi descritti nell'articolo Supporto dei parametri prompt = login di Active Directory Federation Services per configurare correttamente l'esperienza di autenticazione.

• Il connettore Intune per Active Directory, noto anche come connettore ODJ (Offline Domain Join), deve essere installato in un computer che esegue Windows Server 2016 o versione successiva con .NET Framework versione 4.7.2 o successiva.

• Il server che ospita Intune Connector per Active Directory deve avere accesso a Internet e ad Active Directory.

  Nota

  Il connettore Intune per server Active Directory richiede l'accesso client di dominio standard ai controller di dominio, che include i requisiti della porta RPC necessari per comunicare con Active Directory. Per altre informazioni, vedere gli articoli seguenti:

  • Panoramica del servizio e requisiti delle porte di rete per Windows
  • Come configurare un firewall per i domini e i trust di Active Directory
  • Porte e protocolli necessari per la soluzione ibrida di gestione delle identità

• Per aumentare la scalabilità e la disponibilità, è possibile installare più connettori in un dominio. Ogni connettore deve essere in grado di creare oggetti computer nel dominio che supporta.

• L'amministratore che installa Intune Connector per Active Directory deve essere un amministratore locale nel server in cui viene installato Intune Connector per Active Directory.

• Per il connettore di Intune per Active Directory aggiornato, l'installazione deve essere eseguita con un account con i diritti di dominio seguenti:

  • Obbligatorio - Creare oggetti msDs-ManagedServiceAccount nel contenitore Managed Service Accounts

  • Facoltativo - Modificare le autorizzazioni nelle unità organizzative in Active Directory: se l'amministratore che installa il connettore di Intune aggiornato per Active Directory non dispone di questo diritto, sono necessari ulteriori passaggi di configurazione da parte di un amministratore che dispone di questi diritti. Per altre informazioni, vedere la sezione Aumentare il limite dell'account computer nell'unità organizzativa in questo articolo.

    Questi diritti consentono all'installazione di Intune Connector per Active Directory di creare correttamente gli account del servizio gestito (MSA) e di impostare correttamente le autorizzazioni per le unità organizzative a cui l'MSA aggiunge computer.

• Il connettore Intune per Active Directory richiede gli stessi endpoint di Intune.

Prima di iniziare

• Prima dell'installazione, assicurarsi che siano soddisfatti tutti i requisiti del connettore Intune per il server Active Directory.

• Microsoft raccomanda (non obbligatorio) che l'amministratore che installa e configura Intune Connector per Active Directory disponga dei diritti di dominio elencati in Intune Connector per i requisiti di Active Directory. Questi diritti consentono al programma di installazione e al processo di configurazione di Intune Connector per Active Directory di impostare le autorizzazioni per l'account del servizio gestito (MSA) nel contenitore di computer o nelle unità organizzative in cui vengono creati gli oggetti computer.

  Se l'amministratore non dispone di queste autorizzazioni, un altro amministratore con i diritti appropriati deve aumentare il limite dell'account computer nell'unità organizzativa.

Disattivare la configurazione della sicurezza avanzata di Internet Explorer

A partire dalla versione 6.2504.2001.8, il connettore Intune aggiornato per Active Directory è passato all'uso di WebView2, basato su Microsoft Edge, anziché WebBrowser, basato su Microsoft Internet Explorer. Questa modifica significa che non è più necessario disattivare l'impostazione Configurazione sicurezza avanzata di Internet Explorer in Windows Server. Assicurarsi di installare la versione 6.2504.2001.8 o successiva di Intune Connector per Active Directory per evitare problemi con l'impostazione di configurazione della sicurezza avanzata di Internet Explorer.

Scaricare il connettore di Intune per Active Directory

1. Nel server in cui viene installato Intune Connector per Active Directory accedere all'interfaccia di amministrazione di Microsoft Intune.

2. Nella schermata iniziale , seleziona Dispositivi nel riquadro a sinistra.

3. Nei dispositivi | Schermata Panoramica , in Per piattaforma, selezionare Windows.

4. Nella finestra | Schermata Dispositivi Windows , in Onboarding del dispositivo, selezionare Registrazione.

5. Nella finestra | Schermata di registrazione di Windows, in Windows Autopilot, selezionare Intune Connector per Active Directory.

6. Nella schermata di Intune Connector per Active Directory selezionare Aggiungi.

7. Nella finestra Aggiungi connettore visualizzata, in Configurazione del connettore Intune per Active Directory selezionare Scarica il connettore Intune locale per Active Directory. Il collegamento scarica un file denominato ODJConnectorBootstrapper.exe.

Installare Intune Connector per Active Directory nel server

1. Accedere al server in cui viene installato Intune Connector per Active Directory con un account con diritti di amministratore locale.

2. Se è installato il connettore di Intune legacy precedente per Active Directory, disinstallarlo prima di installare il connettore di Intune per Active Directory aggiornato. Per ulteriori informazioni, vedere Disinstallare Intune Connector per Active Directory.

   Importante

   Quando si disinstalla il precedente programma di installazione di Intune Connector per Active Directory, assicurarsi di eseguire il programma di installazione di Intune Connector per Active Directory legacy come parte del processo di disinstallazione. Se il programma di installazione legacy di Intune Connector per Active Directory richiede di disinstallarlo durante l'esecuzione, selezionare per disinstallarlo. In questo modo si garantisce che il connettore Intune legacy precedente per Active Directory sia completamente disinstallato. Il programma di installazione legacy di Intune Connector per Active Directory può essere scaricato da Intune Connector per Active Directory.

   Consiglio

   Nei domini con un solo connettore di Intune per Active Directory, Microsoft consiglia di installare prima il connettore di Intune per Active Directory aggiornato in un altro server. L'installazione del connettore di Intune aggiornato per Active Directory in un altro server deve essere eseguita prima di disinstallare il connettore di Intune per Active Directory legacy nel server corrente. L'installazione di Intune Connector per Active Directory su un altro primo evento evita i tempi di inattività durante l'aggiornamento di Intune Connector per Active Directory sul server corrente.

3. Aprire il ODJConnectorBootstrapper.exe file scaricato per avviare l'installazione di Intune Connector per Active Directory.

4. Eseguire l'installazione di Intune Connector for Active Directory.

5. Al termine dell'installazione selezionare la casella di controllo Avvia connettore Intune per Active Directory.

   Nota

   Se Intune installazione di Connettore per Active Directory viene chiusa accidentalmente senza selezionare la casella di controllo Avvia Intune connettore per Active Directory, è possibile riaprire la configurazione di Intune Connettore per Active Directory selezionando Intune Connettore per Active Directory>Intune Connector per Active Directory dal menu Start.

Accedere al connettore di Intune per Active Directory

1. Nella finestra Intune Connector per Active Directory, nella scheda Registrazione, selezionare Accedi.

2. Nella scheda Accedi accedere con le credenziali di Microsoft Entra ID di un ruolo di amministratore di Intune. All'account utente deve essere assegnata una licenza di Intune. Il completamento del processo di accesso potrebbe richiedere alcuni minuti.

   Nota

   L'account usato per registrare Intune Connector per Active Directory è solo un requisito temporaneo al momento dell'installazione. L'account non viene più usato dopo la registrazione del server.

3. Al termine del processo di accesso:

   1. Viene visualizzata la finestra di conferma della registrazione completata di Intune Connector per Active Directory. Selezionare OK per chiudere la finestra.
   2. Un account del servizio gestito con il nome "<MSA_name>" è stato configurato correttamente viene visualizzata la finestra di conferma. Il nome dell'account del servizio gestito è nel formato msaODJ##### contenente ##### cinque caratteri casuali. Annotare il nome dell'MSA creato e quindi selezionare OK per chiudere la finestra. Il nome dell'MSA potrebbe essere necessario in un secondo momento per configurare l'MSA in modo da consentire la creazione di oggetti computer nelle unità organizzative.

4. Nella scheda Registrazione viene visualizzato il connettore di Intune per Active Directory registrato. Il pulsante Accedi è disattivato e l'opzione Configura account del servizio gestito è abilitata.

5. Chiudere la finestra Connettore Intune per Active Directory.

Verificare che il connettore Intune per Active Directory sia attivo

Dopo l'autenticazione, Connettore Intune per Active Directory termina l'installazione. Al termine dell'installazione, verificare che sia attivo in Intune seguendo questa procedura:

1. Passare all'interfaccia di amministrazione di Microsoft Intune se è ancora aperta. Se la finestra Aggiungi connettore è ancora visualizzata, chiuderla.

   Se l'interfaccia di amministrazione di Microsoft Intune non è ancora aperta:

   1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

   2. Nella schermata iniziale , seleziona Dispositivi nel riquadro a sinistra.

   3. Nei dispositivi | Schermata Panoramica , in Per piattaforma, selezionare Windows.

   4. Nella finestra | Schermata Dispositivi Windows , in Onboarding del dispositivo, selezionare Registrazione.

   5. Nella finestra | Schermata di registrazione di Windows, in Windows Autopilot, selezionare Intune Connector per Active Directory.

2. Nella pagina Intune Connector per Active Directory:

   • Verificare che il server sia visualizzato in Nome connettore e Attivo in Stato
   • Per la versione aggiornata di Intune Connector per Active Directory, verificare che la versione sia maggiore o uguale alla 6.2501.2000.5.

   Se il server non è visualizzato, selezionare Aggiorna o uscire dalla pagina e quindi tornare alla pagina Connettore Intune per Active Directory.

Dopo l'installazione di Intune Connector per Active Directory, inizierà l'accesso al Visualizzatore eventi nel percorso Registri> applicazioni e serviziMicrosoft>Intune>ODJConnectorService. In questo percorso sono disponibili i log di amministrazione e operativi.

Configurare l'MSA per consentire la creazione di oggetti nelle unità organizzative (facoltativo)

Per impostazione predefinita, gli MSA hanno accesso solo alla creazione di oggetti computer nel contenitore Computer . Gli MSA non hanno accesso alla creazione di oggetti computer nelle unità organizzative. Per consentire all'MSA di creare oggetti nelle unità organizzative, è necessario aggiungere le unità organizzative al ODJConnectorEnrollmentWizard.exe.config file XML che si trova nella ODJConnectorEnrollmentWizard directory in cui è stato installato Intune Connector per Active Directory, normalmenteC:\Program Files\Microsoft Intune\ODJConnector\.

Per configurare l'MSA in modo da consentire la creazione di oggetti nelle unità organizzative, seguire questa procedura:

1. Nel server in cui è installato il connettore Intune per Active Directory, passare alla ODJConnectorEnrollmentWizard directory in cui è stato installato il connettore Intune per Active Directory, normalmenteC:\Program Files\Microsoft Intune\ODJConnector\.

2. ODJConnectorEnrollmentWizard Nella directory, aprire il file XML esistente ODJConnectorEnrollmentWizard.exe.config in un editor di testo, ad esempio Blocco note.

3. Nell'elemento add key del ODJConnectorEnrollmentWizard.exe.config file XML:

   • Accanto a value=, aggiungere le unità organizzative desiderate a cui l'MSA deve avere accesso per creare oggetti computer.
   • Il nome dell'unità organizzativa deve essere nel formato nome distinto LDAP e, se applicabile, deve essere preceduto da un carattere di escape.
   • Più unità organizzative sono supportate separando ogni unità organizzativa con un punto e virgola (;).
   • Assicurati di mantenere le virgolette (") accanto a value=. Tutti i valori dell'unità organizzativa devono essere racchiusi tra una coppia di virgolette.
   • Non modificare il nome dell'elemento OrganizationalUnitsUsedForOfflineDomainJoinchiave.

   Nell'esempio seguente è riportato un esempio di voce XML con più unità organizzative nel formato LDAP Distinguished Name:

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   Consiglio

   Nell'esempio sostituire il testo rosso di esempio accanto a value= con le unità organizzative dell'organizzazione nel formato LDAP Distinguished Name. Come mostrato nell'esempio, assicurarsi che tutte le voci dell'unità organizzativa siano racchiuse tra virgolette (") e che ogni unità organizzativa sia separata da un punto e virgola (;) .

4. Dopo aver aggiunto tutte le unità organizzative desiderate, salvare il ODJConnectorEnrollmentWizard.exe.config file XML.

5. In qualità di amministratore che dispone delle autorizzazioni appropriate per modificare le autorizzazioni dell'unità organizzativa, aprire Intune Connector per Active Directory passando a Intune Connector for Active Directory>Intune Connector for Active Directory dal menu Start.

   Importante

   Se l'amministratore che installa e configura il connettore di Intune per Active Directory non dispone delle autorizzazioni per modificare le autorizzazioni dell'unità organizzativa, la sezione o i passaggi Aumentare il limite dell'account computer nell'unità organizzativa devono essere seguiti da un amministratore che disponga delle autorizzazioni per modificare le autorizzazioni dell'unità organizzativa.

6. Nella scheda Registrazione nella finestra Connettore di Intune per Active Directory selezionare Configura account del servizio gestito.

7. Viene visualizzata una finestra di conferma L'account del servizio gestito denominato "<MSA_name>" è stato configurato correttamente . Selezionare OK per chiudere la finestra.

Usare un account del servizio gestito personalizzato (facoltativo)

Facoltativamente, è possibile configurare il connettore per l'utilizzo del proprio account di servizio gestito, anziché l'MSA configurato automaticamente dal connettore.

Requisiti MSA

In questa sezione vengono descritti i requisiti MSA.

• L'account fornito deve essere un account di servizio con una delle seguenti categorie di oggetti in Active Directory:

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• Il valore di configurazione per l'account di servizio deve avere il formato seguente: <msaAccountName@domain>

• L'account di servizio deve esistere nello stesso dominio del server del connettore ODJ.

• L'account di servizio deve essere installato nel server che ospita il connettore ODJ. Per altre informazioni, vedere Install-ADServiceAccount.

  • Se si usa l'account del servizio gestito (sMSA), l'account può essere collegato a un solo computer.
  • Se si usa un account del servizio gestito di gruppo, il server in cui si installa il servizio gestito del gruppo deve avere accesso alla password.

• L'account di servizio deve disporre di un'autorizzazione locale per l'accesso come servizio , che può essere impostata direttamente o tramite l'appartenenza a gruppi. Per ulteriori informazioni, vedere Abilitare l'accesso al servizio.

• L'autorizzazione deve essere concessa manualmente per gli account di servizio per creare oggetti computer per i flussi di Autopilot ibridi. Per altre informazioni, vedere Aumentare il limite dell'account computer nell'unità organizzativa.

Come si configura

Aggiorna ODJConnectorEnrollmentWizard.exe.config. La sua posizione predefinita è C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Nella sezione appSettings del file aggiungi la riga seguente:

   <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />

2. Accedere al connettore.

Disabilitare gli aggiornamenti dell'unità organizzativa

L'uso del proprio MSA impedirà al connettore di apportare aggiornamenti dell'unità organizzativa, indipendentemente da quelli configurati in OrganizationalUnitsUsedForOfflineDomainJoin. Per evitare errori, disabilitare gli aggiornamenti dell'unità organizzativa aggiornando ODJConnectorEnrollmentWizard.exe.config. La sua posizione predefinita è C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Nella sezione appSettings del file aggiungi la riga seguente:

   <add key="DisableOUUpdates" value="true" />

2. Accedere al connettore.

Prima di iniziare l'installazione, verificare che siano soddisfatti tutti i requisiti del connettore Intune per il server Active Directory.

Disattivare la configurazione di sicurezza avanzata di Internet Explorer

Per impostazione predefinita, in Windows Server è attivata la Configurazione sicurezza avanzata di Internet Explorer. La configurazione della sicurezza avanzata di Internet Explorer potrebbe causare problemi di accesso a Intune Connector per Active Directory. Dal momento che Internet Explorer è deprecato e, nella maggior parte dei casi, non è nemmeno installato su Windows Server, Microsoft consiglia di disattivare la protezione avanzata di Internet Explorer. Per disattivare la protezione avanzata di Internet Explorer:

1. Accedere al server in cui viene installato Intune Connector per Active Directory con un account con diritti di amministratore locale e diritti di amministratore di dominio. I diritti di amministratore di dominio sono necessari affinché il programma di installazione di Intune Connector per Active Directory possa creare correttamente un MSA.

2. Aprire Server Manager.

3. Nel riquadro sinistro di Server Manager selezionare Server locale.

4. Nel riquadro PROPRIETÀ a destra di Server Manager, selezionare il collegamento Attivato o Disattivato accanto a Configurazione sicurezza avanzata di Internet Explorer.

5. Nella finestra Configurazione sicurezza avanzata di Internet Explorer , selezionare Disattivato in Amministratori:, quindi selezionare OK.

Installare il connettore legacy di Intune per Active Directory nel server

1. Aprire il file scaricato ODJConnectorBootstrapper.exe in precedenza per avviare l'installazione di Intune Connector per l'installazione di Active Directory.

   Nota

   Se il connettore legacy di Intune per Active Directory è già installato, passare al menu >StartConnettore di Intune per Active DirectoryConnettore>di Intune per Active Directory e quindi procedere all'accesso al connettore di Intune legacy per Active Directory.

2. Nella finestra del programma di installazione di Intune Connector per Active Directory selezionare Accetto i termini e le condizioni di licenza, quindi selezionare Installa.

   Nota

   Se si desidera un percorso di installazione diverso da quello predefinito di C:\Program Files\Microsoft Intune\ODJConnector, selezionare Opzioni e specificare il percorso di installazione desiderato.

3. Al termine dell'installazione, selezionare Configura ora nella finestra del programma di installazione di Intune Connector per l'installazione di Active Directory.

   Nota

   Se si seleziona accidentalmente Chiudi o se la finestra del programma di installazione di Intune Connector per l'installazione di Active Directory viene chiusa accidentalmente, è possibile accedere alla configurazione di Intune Connector for Active Directory selezionando Intune Connector for Active Directory>Intune Connector for Active Directory dal menu Start.

Accedere al connettore di Intune legacy

1. Nella finestra Intune Connector per Active Directory, nella scheda Registrazione, selezionare Accedi.

2. Nella scheda Accedi accedere con le credenziali di un ruolo di amministratore di Intune. All'account utente deve essere assegnata una licenza di Intune. Il completamento del processo di accesso potrebbe richiedere alcuni minuti.

   Nota

   L'account usato per registrare Intune Connector per Active Directory è solo un requisito temporaneo al momento dell'installazione. L'account non viene più usato dopo la registrazione del server.

3. Al termine della procedura di accesso, viene visualizzata la finestra di conferma della registrazione corretta di Intune Connector per Active Directory. Selezionare OK per chiudere la finestra.

4. Nella scheda Registrazione viene visualizzato il connettore di Intune per Active Directory registrato e il pulsante Accedi disattivato.

5. Chiudere la finestra Connettore Intune per Active Directory.

Verificare che il connettore legacy di Intune per Active Directory sia attivo

Dopo l'autenticazione, Connettore Intune per Active Directory termina l'installazione. Al termine dell'installazione, verificare che sia attivo in Intune seguendo questa procedura:

1. Passare all'interfaccia di amministrazione di Microsoft Intune se è ancora aperta. Se la finestra Aggiungi connettore è ancora visualizzata, chiuderla.

   Se l'interfaccia di amministrazione di Microsoft Intune non è ancora aperta:

   1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

   2. Nella schermata iniziale , seleziona Dispositivi nel riquadro a sinistra.

   3. Nei dispositivi | Schermata Panoramica , in Per piattaforma, selezionare Windows.

   4. Nella finestra | Schermata Dispositivi Windows , in Onboarding del dispositivo, selezionare Registrazione.

   5. Nella finestra | Schermata di registrazione di Windows, in Windows Autopilot, selezionare Intune Connector per Active Directory.

2. Nella pagina Intune Connector per Active Directory verificare che il server sia visualizzato sotto il nome del connettore e come Attivo in Stato. Se il server non è visualizzato, selezionare Aggiorna o uscire dalla pagina e quindi tornare alla pagina Connettore Intune per Active Directory.

Dopo l'installazione di Intune Connector per Active Directory, inizierà l'accesso al Visualizzatore eventi nel percorso Registri> applicazioni e serviziMicrosoft>Intune>ODJConnectorService. In questo percorso sono disponibili i log di amministrazione e operativi.

Lo scopo di Intune Connector per Active Directory è quello di aggiungere computer a un dominio e aggiungerli a un'unità organizzativa. Per questo motivo, l'account del servizio gestito utilizzato per il connettore di Intune per Active Directory deve disporre delle autorizzazioni necessarie per creare account computer nell'unità organizzativa in cui i computer sono aggiunti al dominio locale.

Con le autorizzazioni predefinite in Active Directory, i join a domini tramite Intune Connector per Active Directory potrebbero inizialmente funzionare senza alcuna modifica delle autorizzazioni all'unità organizzativa in Active Directory. Tuttavia, dopo che MSA tenta di aggiungere più di 10 computer al dominio locale, smette di funzionare perché per impostazione predefinita Active Directory consente solo a un singolo account di aggiungere fino a 10 computer al dominio locale.

Gli utenti seguenti non sono limitati dal limite di aggiunta a 10 computer domain join:

• Utenti nel gruppo Administrators o Domain Administrators: Per garantire la conformità al modello dei principi dei privilegi minimi, Microsoft non consiglia di assegnare al servizio gestito il servizio gestito come amministratore o amministratore di dominio.
• Utenti con autorizzazioni delegate per unità organizzative e contenitori in Active Directory per creare account computer: questo metodo è consigliato perché segue il modello dei principi dei privilegi minimi.

Per correggere questa limitazione, l'MSA necessita dell'autorizzazione Crea account computer nell'unità organizzativa a cui i computer sono aggiunti nel dominio locale. Intune Connector per Active Directory imposta le autorizzazioni per gli MSA sulle unità organizzative purché venga soddisfatta una delle condizioni seguenti:

• L'amministratore che installa Intune Connector per Active Directory dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.
• L'amministratore che configura Intune Connector per Active Directory dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.

Se l'amministratore che installa o configura Intune Connector per Active Directory non dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative, è necessario seguire i seguenti passaggi:

1. Accedere a un computer che ha accesso alla console Utenti e computer di Active Directory con un account che dispone delle autorizzazioni necessarie per impostare le autorizzazioni per le unità organizzative.

2. Aprire la console Utenti e computer di Active Directory eseguendo DSA.msc.

3. Espandere il dominio desiderato e passare all'unità organizzativa a cui i computer vengono aggiunti durante Windows Autopilot.

   Nota

   L'unità organizzativa aggiunta dai computer durante la distribuzione di Windows Autopilot viene specificata in un secondo momento durante il passaggio Configurare e assegnare il profilo di aggiunta a un dominio .

4. Fare clic con il pulsante destro del mouse sull'unità organizzativa e selezionare Proprietà.

   Nota

   Se i computer vengono aggiunti al contenitore Computer predefinito anziché a un'unità organizzativa, fare clic con il pulsante destro del mouse sul contenitore Computer e scegliere Delega controllo.

5. Nella finestra Proprietà unità organizzativa visualizzata selezionare la scheda Sicurezza .

6. Nella scheda Sicurezza , selezionare Avanzate.

7. Nella finestra Impostazioni di sicurezza avanzate , selezionare Aggiungi.

8. Nelle finestre Immissione autorizzazioni , accanto a Entità, selezionare il collegamento Seleziona un'entità principale.

9. Nella finestra Seleziona utente, computer, account di servizio o gruppo, selezionare il pulsante Tipi di oggetto....

10. Nella finestra Tipi di oggetto selezionare la casella di controllo Account di servizio , quindi scegliere OK.

11. Nella finestra Seleziona utente, computer, account di servizio o gruppo, in Immettere il nome dell'oggetto da selezionare, immettere il nome dell'MSA utilizzato per Intune Connector per Active Directory.

    Consiglio

    L'MSA è stato creato durante il passaggio/sezione Installazione di Intune Connector per Active Directory e ha il formato del nome in msaODJ##### cui ##### sono presenti cinque caratteri casuali. Se il nome MSA non è noto, seguire questa procedura per trovare il nome MSA:

    1. Nel server che esegue Intune Connector per Active Directory fare clic con il pulsante destro del mouse sul menu Start e quindi selezionare Gestione computer.
    2. Nella finestra Gestione computer espandere Servizi e applicazioni , quindi selezionare Servizi.
    3. Nel riquadro dei risultati individuare il servizio con il nome Intune ODJConnector per il servizio attivo. Il nome dell'MSA è elencato nella colonna Accedi come .

12. Selezionare Controlla nomi per convalidare la voce del nome MSA. Una volta convalidata la voce, selezionare OK.

13. Nelle finestre Immissione autorizzazioni selezionare il menu a discesa Si applica a: e quindi selezionare Solo questo oggetto.

14. In Autorizzazioni deselezionare tutti gli elementi e quindi selezionare solo la casella di controllo Crea oggetti computer .

15. Selezionare OK per chiudere la finestra Immissione autorizzazioni .

16. Nella finestra Impostazioni sicurezza avanzate , selezionare Applica o OK per applicare le modifiche.

Lo scopo di Intune Connector per Active Directory è quello di aggiungere computer a un dominio e aggiungerli a un'unità organizzativa. Per questo motivo, il server che esegue Intune Connector per Active Directory deve disporre delle autorizzazioni necessarie per creare account computer nell'unità organizzativa in cui i computer sono aggiunti al dominio locale.

Con le autorizzazioni predefinite in Active Directory, i join a domini tramite Intune Connector per Active Directory potrebbero inizialmente funzionare senza alcuna modifica delle autorizzazioni all'unità organizzativa in Active Directory. Tuttavia, dopo che il server che esegue il connettore Intune per Active Directory tenta di aggiungere più di 10 computer al dominio locale, smette di funzionare perché per impostazione predefinita Active Directory consente solo a un singolo account di aggiungere fino a 10 computer al dominio locale.

Gli utenti seguenti non sono limitati dal limite di aggiunta a 10 computer domain join:

• Utenti nel gruppo Administrators o Domain Administrators: per garantire la conformità al modello dei principi dei privilegi minimi, Microsoft non consiglia di assegnare la classificazione come amministratore o amministratore di dominio all'account computer che esegue Intune Connector per Active Directory.
• Utenti con autorizzazioni delegate per unità organizzative e contenitori in Active Directory per creare account computer. Questo metodo è consigliato perché segue il modello dei principi dei privilegi minimi.

Per correggere questa limitazione, il server che esegue Intune Connector per Active Directory necessita dell'autorizzazione Crea account computer nell'unità organizzativa a cui i computer sono aggiunti nel dominio locale:

Per aumentare il limite dell'account computer nell'unità organizzativa a cui i computer si uniscono durante Windows Autopilot, seguire questa procedura in un computer con accesso alla console Utenti e computer di Active Directory:

1. Aprire la console Utenti e computer di Active Directory eseguendo DSA.msc.

2. Espandere il dominio desiderato e passare all'unità organizzativa a cui i computer vengono aggiunti durante Windows Autopilot.

   Nota

   L'unità organizzativa aggiunta dai computer durante la distribuzione di Windows Autopilot viene specificata in un secondo momento durante il passaggio Configurare e assegnare il profilo di aggiunta a un dominio .

3. Fare clic con il pulsante destro del mouse sull'unità organizzativa e selezionare Delega controllo.

   Nota

   Se i computer vengono aggiunti al contenitore Computer predefinito anziché a un'unità organizzativa, fare clic con il pulsante destro del mouse sul contenitore Computer e scegliere Delega controllo.

4. Nella finestra Benvenuto nella Delega guidata del controllo della Delega guidata del controllo, selezionare Avanti.

5. Nella finestra Utenti o Gruppi , in Utenti e gruppi selezionati, selezionare Aggiungi.

6. Accanto a Seleziona questo tipo di oggetto: nella finestra Seleziona utenti, computer o gruppi , selezionare Tipi di oggetto.

7. Nella finestra Tipi di oggetto selezionare la casella di controllo Computer e quindi scegliere OK. Gli altri elementi in questa finestra possono essere lasciati predefiniti.

8. Nella finestra Seleziona utenti, computer o gruppi, nella casella Immettere i nomi degli oggetti da selezionare, immettere il nome del computer in cui è stato installato Intune Connector per Active Directory durante il passaggio Installa Intune Connector per Active Directory.

9. Selezionare Controlla nomi per convalidare la voce. Una volta convalidata la voce, selezionare OK.

10. Nella finestra Utenti o Gruppi , verificare che in Utenti e gruppi selezionati sia visualizzato il computer corretto e quindi selezionare Avanti.

11. Nella finestra Attività da delegare selezionare Crea un'attività personalizzata da delegare e quindi selezionare Avanti.

12. Nella finestra Tipo di oggetto di Active Directory :

    1. Selezionare solo gli oggetti seguenti nella cartella.

    2. In Solo gli oggetti seguenti nella cartella, selezionare Oggetti computer.

    3. Selezionare la casella di controllo Crea oggetti selezionati in questa cartella .

    4. Seleziona Avanti.

13. Nella finestra Autorizzazioni , in Autorizzazioni:, selezionare la casella di controllo Controllo completo e quindi selezionare Avanti.

    Nota

    Dopo aver selezionato la casella di controllo Controllo completo , tutte le altre opzioni in Autorizzazioni: vengono selezionate automaticamente. La selezione automatica delle caselle di controllo è normale e prevista. Non deselezionare alcuna casella di controllo dopo che sono state selezionate automaticamente.

14. Nella finestra Completamento della procedura guidata Delega del controllo , selezionare Fine.

1. Accedere al computer che ospita Intune Connector per Active Directory.

2. Fare clic con il pulsante destro del mouse sul menu Start, quindi selezionare Impostazioni>,App>installate.

   Oppure

   Selezionare il collegamento alle app > installate seguenti:

   Apri le app > App installate

3. Nella finestra App > installate trovare Intune Connector per Active Directory.

4. Accanto a Intune Connector per Active Directory, selezionare ...>Disinstalla e quindi seleziona il pulsante Disinstalla.

5. Il connettore Intune per Active Directory procede con la disinstallazione.

6. In alcuni casi, il connettore Intune per Active Directory potrebbe non essere disinstallato completamente fino a quando non viene eseguito di nuovo il programma di installazione ODJConnectorBootstrapper.exe originale di Intune Connector per Active Directory. Per verificare che Intune Connector per Active Directory sia completamente disinstallato, eseguire di nuovo il ODJConnectorBootstrapper.exe programma di installazione. Se chiede di disinstallarlo, seleziona per disinstallarlo. In caso contrario, chiudere il programma di ODJConnectorBootstrapper.exe installazione.

   Nota

   Il programma di installazione legacy di Intune Connector per Active Directory può essere scaricato da Intune Connector per Active Directory e deve essere usato solo per le disinstallazioni. Per le nuove installazioni, usare la versione aggiornata di Intune Connector per Active Directory.

1. Accedere al computer che ospita Intune Connector per Active Directory.

2. Fare clic con il pulsante destro del mouse sul menu Start , quindi selezionare Impostazioni>app.

   Oppure

   Selezionare il collegamento alle app seguente:

   Aprire le app

3. In App & funzionalità trovare e selezionare Intune connettore per Active Directory.

4. In Intune Connector for Active Directory selezionare il pulsante Disinstalla e quindi selezionare nuovamente il pulsante Disinstalla.

5. Il connettore Intune per Active Directory procede con la disinstallazione.

6. In alcuni casi, il connettore Intune per Active Directory potrebbe non essere disinstallato completamente fino a quando non viene eseguito di nuovo il programma di installazione ODJConnectorBootstrapper.exe originale di Intune Connector per Active Directory. Per verificare che Intune Connector per Active Directory sia completamente disinstallato, eseguire di nuovo il ODJConnectorBootstrapper.exe programma di installazione. Se chiede di disinstallarlo, seleziona per disinstallarlo. In caso contrario, chiudere il programma di ODJConnectorBootstrapper.exe installazione.

   Nota

   Il programma di installazione legacy di Intune Connector per Active Directory può essere scaricato da Intune Connector per Active Directory e deve essere usato solo per le disinstallazioni. Per le nuove installazioni, usare la versione aggiornata di Intune Connector per Active Directory.

1. Accedere al computer che ospita Intune Connector per Active Directory.

2. Fare clic con il pulsante destro del mouse sul menu Start e quindi selezionare Impostazioni>,app di sistema>& funzionalità.

   Oppure

   Selezionare il collegamento alle app seguente:

   Aprire le app

3. In App & funzionalità trovare e selezionare Intune connettore per Active Directory.

4. In Intune Connector for Active Directory selezionare il pulsante Disinstalla e quindi selezionare nuovamente il pulsante Disinstalla.

5. Il connettore Intune per Active Directory procede con la disinstallazione.

6. In alcuni casi, il connettore Intune per Active Directory potrebbe non essere disinstallato completamente fino a quando non viene eseguito di nuovo il programma di installazione ODJConnectorBootstrapper.exe originale di Intune Connector per Active Directory. Per verificare che Intune Connector per Active Directory sia completamente disinstallato, eseguire di nuovo il ODJConnectorBootstrapper.exe programma di installazione. Se chiede di disinstallarlo, seleziona per disinstallarlo. In caso contrario, chiudere il programma di ODJConnectorBootstrapper.exe installazione.

   Nota

   Il programma di installazione legacy di Intune Connector per Active Directory può essere scaricato da Intune Connector per Active Directory e deve essere usato solo per le disinstallazioni. Per le nuove installazioni, usare la versione aggiornata di Intune Connector per Active Directory.