Guida alla pianificazione di Microsoft Intune

La corretta distribuzione o migrazione di Microsoft Intune inizia con la pianificazione. Questa guida consente di pianificare lo spostamento o l'adozione di Intune come soluzione di gestione unificata degli endpoint.

Diagramma che mostra i passaggi per pianificare la migrazione o il passaggio a Microsoft Intune, incluse le esigenze di licenza.

Intune offre alle organizzazioni la possibilità di eseguire le operazioni migliori per loro e per i diversi dispositivi utente. È possibile registrare i dispositivi in Intune per la gestione di dispositivi mobili (MDM). È anche possibile usare criteri di protezione delle app per la gestione di applicazioni per dispositivi mobili (MAM) incentrati sulla protezione dei dati delle app.

Questa guida:

  • Elenca e descrive alcuni obiettivi comuni per la gestione dei dispositivi
  • Elenca le potenziali esigenze di licenze
  • Fornisce indicazioni sulla gestione dei dispositivi di proprietà personale
  • Consiglia di esaminare i criteri e l'infrastruttura correnti
  • Vengono forniti esempi di creazione di un piano di implementazione
  • Altri aspetti

Usare questa guida per pianificare lo spostamento o la migrazione a Intune.

Passaggio 1 - Determinare gli obiettivi

Le organizzazioni usano la gestione dei dispositivi mobili (MDM) e la gestione delle applicazioni mobili (MAM) per controllare i dati dell'organizzazione in modo sicuro e con interruzioni minime per gli utenti. Quando si valuta una soluzione MDM/MAM, come Microsoft Intune, guardare qual è l'obiettivo e cosa si vuole ottenere.

In questa sezione vengono illustrati gli obiettivi o gli scenari comuni per l'uso di Intune.

Obiettivo: Accedere alle app e alla posta elettronica dell'organizzazione

Gli utenti prevedono di lavorare sui dispositivi usando le app dell'organizzazione, tra cui leggere e rispondere ai messaggi di posta elettronica, aggiornare e condividere dati e altro ancora. In Intune è possibile distribuire diversi tipi di app, tra cui:

  • App di Microsoft 365
  • App Win32
  • App line-of-business (LOB)
  • App personalizzate
  • App predefinite
  • App dello Store

Attività: Creare un elenco delle app usate regolarmente dagli utenti

Queste app sono le app che desideri sui loro dispositivi. Alcune considerazioni:

  • Molte organizzazioni distribuiscono tutte le app di Microsoft 365, come Word, Excel, OneNote, PowerPoint e Teams. Nei dispositivi più piccoli, ad esempio i telefoni cellulari, è possibile installare singole app, a seconda dei requisiti dell'utente.

    Ad esempio, il team di vendita potrebbe richiedere Teams, Excel e SharePoint. Nei dispositivi mobili è possibile distribuire solo queste app, invece di distribuire l'intera famiglia di prodotti Microsoft 365.

  • Gli utenti preferiscono leggere & rispondere ai messaggi di posta elettronica e partecipare alle riunioni su tutti i dispositivi, inclusi i dispositivi personali. Nei dispositivi di proprietà dell'organizzazione è possibile distribuire Outlook e Teams e preconfigurare queste app con le impostazioni dell'organizzazione.

    Sui dispositivi personali, questo controllo potrebbe non essere disponibile. Quindi, determinare se si vuole concedere agli utenti l'accesso alle app dell'organizzazione, come la posta elettronica e le riunioni.

    Per altre informazioni e considerazioni, vedere Dispositivi personali e dispositivi di proprietà dell'organizzazione (in questo articolo).

  • Se si prevede di usare Microsoft Outlook nei dispositivi Android e iOS/iPadOS, è possibile preconfigurare Outlook usando i criteri di configurazione dell'app Intune.

  • Esamina le app protette progettate per funzionare con Intune. Queste app sono app partner supportate e app Microsoft comunemente usate con Microsoft Intune.

Obiettivo: Accesso sicuro su tutti i dispositivi

Quando i dati vengono archiviati in dispositivi mobili, devono essere protetti da attività dannose.

Attività: Determinare come proteggere i dispositivi

L'antivirus, la scansione del malware, la risposta alle minacce e la conservazione dei dispositivi aggiornati sono tutte considerazioni importanti. Vuoi anche ridurre al minimo l'impatto di attività dannose.

Alcune considerazioni:

  • La protezione antivirus e malware è un must. Intune si integra con Microsoft Defender per endpoint e diversi partner di Mobile Threat Defense (MTD) per proteggere i dispositivi gestiti, i dispositivi personali e le app.

    Microsoft Defender per endpoint include funzionalità di sicurezza e un portale per consentire di monitorare e reagire alle minacce.

  • Se un dispositivo viene compromesso, è possibile limitare l'impatto dannoso usando l'accesso condizionale.

    Ad esempio, Microsoft Defender per endpoint analizza un dispositivo e può determinare se il dispositivo è compromesso. L'accesso condizionale può bloccare automaticamente l'accesso dell'organizzazione su questo dispositivo, inclusa la posta elettronica.

    L'accesso condizionale consente di proteggere la rete e le risorse dai dispositivi, anche da quelli non registrati in Intune.

  • Aggiorna il dispositivo, il sistema operativo e le app per proteggere i dati. Creare un piano su come e quando installare gli aggiornamenti. In Intune sono disponibili criteri che consentono di gestire gli aggiornamenti, inclusi gli aggiornamenti alle app dello Store.

    Le guide alla pianificazione degli aggiornamenti software seguenti possono aiutarti a determinare la strategia di aggiornamento:

  • Determinare in che modo gli utenti si autenticheranno alle risorse dell'organizzazione dai loro numerosi dispositivi. Ad esempio, è possibile:

    • Usare i certificati nei dispositivi per autenticare funzionalità e app, ad esempio la connessione a una rete privata virtuale (VPN), l'apertura di Outlook e altro ancora. Questi certificati consentono un'esperienza utente "senza password". L'assenza di password è considerata più sicura rispetto a richiedere agli utenti di immettere il nome utente e la password dell'organizzazione.

      Se si prevede di usare i certificati, usare un'infrastruttura PKI (Public Key Infrastructure) supportata per creare e distribuire i profili di certificato.

    • Usare l'autenticazione a più fattori (MFA) per un ulteriore livello di autenticazione nei dispositivi di proprietà dell'organizzazione. In alternativa, usare MFA per autenticare le app nei dispositivi personali. È possibile usare anche la biometria, come il riconoscimento facciale e le impronte digitali.

      Se prevedi di usare la biometria per l'autenticazione, assicurati che i tuoi dispositivi supportino la biometria. La maggior parte dei dispositivi moderni lo fa.

    • Implementare una distribuzione Zero Trust. Con Zero Trust, puoi usare le funzionalità di Microsoft Entra ID e Microsoft Intune per proteggere tutti gli endpoint, usare l'autenticazione senza password e altro ancora.

  • Configurare i criteri di contenimento dei dati forniti con le app di Microsoft 365. Questi criteri impediscono la condivisione dei dati dell'organizzazione con altre app e percorsi di archiviazione non gestiti dal reparto IT.

    Se alcuni utenti devono accedere solo alla posta elettronica e ai documenti aziendali, come avviene spesso per i dispositivi di proprietà personale, è possibile richiedere agli utenti di usare Microsoft 365 Apps con criteri di protezione delle app. I dispositivi non devono essere registrati in Intune.

    Per altre informazioni e considerazioni, vedere Dispositivi personali e dispositivi di proprietà dell'organizzazione (in questo articolo).

Obiettivo: Distribuire l'IT

Molte organizzazioni desiderano offrire ad amministratori diversi il controllo su sedi, reparti e così via. Ad esempio, il gruppo Amministratori IT di Charlotte controlla e monitora i criteri nel campus di Charlotte. Questi amministratori IT di Charlotte possono visualizzare e gestire solo i criteri per la sede di Charlotte. Non possono visualizzare e gestire i criteri per la sede di Redmond. Questo approccio è chiamato IT distribuito.

In Intune, l'IT distribuito beneficia delle funzionalità seguenti:

  • I tag degli ambiti usano il controllo di accesso in base ai ruoli. Quindi, solo gli utenti di un gruppo specifico hanno l'autorizzazione per gestire criteri e profili per gli utenti e i dispositivi nel loro ambito.

  • Quando si usano le categorie di registrazione dei dispositivi, i dispositivi vengono aggiunti automaticamente ai gruppi in base alle categorie create. Questa funzionalità usava i gruppi dinamici di Microsoft Entra e semplificava la gestione dei dispositivi.

    Consiglio

    Se l'obiettivo è scegliere come target criteri di Intune in base alla categoria del dispositivo, è anche possibile utilizzare i filtri assegnazione con la deviceCategory proprietà. I filtri valutano al momento dell'archiviazione senza dipendere dall'elaborazione dell'appartenenza al gruppo.

    Quando gli utenti registrano il dispositivo, scelgono una categoria, ad esempio Vendite, Amministratore IT, dispositivo del punto vendita e così via. Quando i dispositivi vengono aggiunti a una categoria, questi gruppi di dispositivi sono pronti per ricevere i criteri.

  • Quando gli amministratori creano criteri, è possibile richiedere l'approvazione di più amministratori per criteri specifici, inclusi i criteri che eseguono script o distribuiscono app.

  • La gestione privilegi endpoint consente agli utenti standard non amministratori di completare attività che richiedono privilegi elevati, come l'installazione di app e l'aggiornamento dei driver di dispositivo. Gestione privilegi endpoint fa parte della famiglia di prodotti Intune.

Attività: determinare come distribuire le regole e le impostazioni

Le regole e le impostazioni vengono distribuite usando criteri diversi. Alcune considerazioni:

  • Determina la struttura dell'amministratore. Ad esempio, è possibile separare per posizione, ad esempio Amministratori IT di Charlotte o Amministratori IT di Cambridge. È consigliabile separare per ruolo, ad esempio gli amministratori di rete che controllano tutti gli accessi alla rete, inclusa la VPN.

    Queste categorie diventano i tag dell'ambito.

    Per altre informazioni sulla creazione di gruppi di amministratori, vedi:

  • A volte le organizzazioni hanno la necessità di usare l'IT distribuito in sistemi in cui un numero elevato di amministratori locali si connette a un singolo tenant di Intune. Ad esempio, un'organizzazione di grandi dimensioni ha un singolo tenant di Intune. L'organizzazione ha un gran numero di amministratori locali, ognuno dei quali gestisce un sistema, un'area geografica o una posizione specifici. Ogni amministratore deve gestire solo la propria posizione e non l'intera organizzazione.

    Per altre informazioni, vedere Ambiente IT distribuito con molti amministratori nello stesso tenant di Intune.

  • Molte organizzazioni separano i gruppi in base al tipo di dispositivo, ad esempio i dispositivi iOS/iPadOS, Android o Windows. Alcuni esempi:

    • Distribuire app specifiche in dispositivi specifici. Ad esempio, distribuire l'app Microsoft Shuttle sui dispositivi mobili nella rete di Redmond.
    • Distribuire i criteri in posizioni specifiche. Ad esempio, distribuisci un profilo Wi-Fi nei dispositivi della rete Charlotte in modo che si connettano automaticamente quando si trovano nel raggio d'azione.
    • Controllare le impostazioni in dispositivi specifici. Ad esempio, disabilita la fotocamera nei dispositivi Android Enterprise usati in un'area di produzione, crea un profilo antivirus Windows Defender per tutti i dispositivi Windows o aggiungi le impostazioni di posta elettronica in tutti i dispositivi iOS/iPadOS.

    Queste categorie diventano le categorie di registrazione del dispositivo.

Obiettivo: mantenere i dati dell'organizzazione all'interno dell'organizzazione

Quando i dati vengono archiviati in dispositivi mobili, devono essere protetti da perdite o condividezioni accidentali. Questo obiettivo include anche la cancellazione dei dati dell'organizzazione dai dispositivi personali e di proprietà dell'organizzazione.

Attività: Creare un piano per coprire diversi scenari che influiscono sull'organizzazione

Alcuni scenari di esempio:

  • Un dispositivo è stato smarrito o rubato oppure non viene più utilizzato. Un utente lascia l'organizzazione.

  • Nei dispositivi personali, potresti voler impedire agli utenti di copiare e incollare, acquisire screenshot o inoltrare messaggi di posta elettronica. I criteri di protezione di app possono bloccare queste funzionalità sui dispositivi che non gestisci.

    Nei dispositivi gestiti (dispositivi registrati in Intune), è anche possibile controllare queste funzionalità usando i profili di configurazione dei dispositivi. I profili di configurazione del dispositivo controllano le impostazioni del dispositivo, non dell'app. Nei dispositivi che accedono a dati altamente sensibili o riservati, i profili di configurazione dei dispositivi possono impedire il copia/incolla, l'esecuzione di screenshot e altro ancora.

Per altre informazioni e considerazioni, vedere Dispositivi personali e dispositivi di proprietà dell'organizzazione (in questo articolo).

Passaggio 2 - Fare l'inventario dei dispositivi

Le organizzazioni hanno una vasta gamma di dispositivi, tra cui computer desktop, portatili, tablet, scanner portatili e telefoni cellulari. Questi dispositivi sono di proprietà dell'organizzazione o degli utenti. Quando si pianifica la strategia di gestione dei dispositivi, considerare tutto ciò che accede alle risorse dell'organizzazione, inclusi i dispositivi personali.

Questa sezione include informazioni sul dispositivo da considerare.

Piattaforme supportate

Intune supporta le piattaforme dispositivo comuni e diffuse. Per le versioni specifiche, vai a Piattaforme supportate.

Attività: Aggiornare o sostituire dispositivi precedenti

Se i dispositivi usano versioni non supportate, che sono principalmente sistemi operativi meno recenti, è il momento di aggiornare il sistema operativo o sostituire i dispositivi. Questi sistemi operativi e dispositivi meno recenti potrebbero avere un supporto limitato e rappresentano un potenziale rischio per la sicurezza. Questa attività include i computer desktop che eseguono Windows 7, i dispositivi iPhone 7 che eseguono il sistema operativo v10.0 originale e così via.

Dispositivi personali e dispositivi di proprietà dell'organizzazione

Nei dispositivi personali, è normale e previsto che gli utenti controllino la posta elettronica, partecipino alle riunioni, aggiornino i file e altro ancora. Molte organizzazioni consentono ai dispositivi personali di accedere alle risorse dell'organizzazione.

I dispositivi BYOD e personali fanno parte di una strategia di gestione di applicazioni mobili (MAM) che:

  • Continua a crescere in popolarità con molte organizzazioni
  • È una buona opzione per le organizzazioni che vogliono proteggere i dati dell'organizzazione, ma non vogliono gestire l'intero dispositivo
  • Riduce i costi dell'hardware.
  • Può aumentare le scelte di produttività mobile per i dipendenti, inclusi i lavoratori remoti & ibridi
  • Rimuove solo i dati dell'organizzazione dalle app, invece di rimuovere tutti i dati dal dispositivo

I dispositivi di proprietà dell'organizzazione fanno parte di una strategia di gestione dei dispositivi mobili (MDM) che:

  • Fornisce il controllo completo agli amministratori IT dell'organizzazione
  • Ha un set completo di funzionalità per la gestione di app, dispositivi e utenti
  • È una buona opzione per le organizzazioni che vogliono gestire l'intero dispositivo, inclusi hardware e software
  • Può aumentare i costi dell'hardware, soprattutto se i dispositivi esistenti sono obsoleti o non più supportati
  • Può rimuovere tutti i dati dal dispositivo, inclusi i dati personali

Screenshot che confronta la gestione di dispositivi mobili e la gestione di app nei dispositivi in Microsoft Intune.

L'organizzazione e l'amministratore decidono se consentire i dispositivi personali. Se consenti i dispositivi personali, devi prendere decisioni importanti, tra cui come proteggere i dati della tua organizzazione.

Attività: Determinare come si vogliono gestire i dispositivi personali

Se la mobilità o il supporto dei lavoratori remoti è importante per l'organizzazione, prendere in considerazione gli approcci seguenti:

  • Opzione 1: consentire ai dispositivi personali di accedere alle risorse dell'organizzazione. Gli utenti possono scegliere se iscriversi o meno.

    • Per gli utenti che registrano i propri dispositivi personali, gli amministratori gestiscono completamente questi dispositivi, inclusi i criteri push, il controllo delle funzionalità & delle impostazioni dei dispositivi e persino la cancellazione dei dispositivi. Gli amministratori potrebbero volere questo controllo o pensare di volere questo controllo.

      Quando gli utenti registrano i propri dispositivi personali, potrebbero non rendersi conto o comprendere che gli amministratori possono fare qualsiasi cosa sul dispositivo, inclusa la cancellazione o la reimpostazione accidentale del dispositivo. Gli amministratori potrebbero non volere questa responsabilità o il potenziale impatto su dispositivi di cui l'organizzazione non è proprietaria.

      Inoltre, molti utenti si rifiutano di iscriversi e possono trovare altri modi per accedere alle risorse dell'organizzazione. Ad esempio, è necessario registrare i dispositivi per l'uso dell'app Outlook per controllare la posta elettronica dell'organizzazione. Per ignorare questo requisito, gli utenti aprono un qualsiasi Web browser nel dispositivo e accedono a Outlook Web Access, che potrebbe non essere quello desiderato. In alternativa, creano screenshot e salvano le immagini nel dispositivo, che non è quello che vuoi.

      Se si sceglie questa opzione, assicurarsi di informare gli utenti sui rischi e sui vantaggi della registrazione dei dispositivi personali.

    • Per gli utenti che non registrano i propri dispositivi personali, è possibile gestire l'accesso alle app e proteggere i dati delle app tramite criteri di protezione delle app.

      Usare un'istruzione Termini e condizioni con un criterio di accesso condizionale. Se gli utenti non sono d'accordo, non hanno accesso alle app. Se gli utenti accettano l'affermazione, un record del dispositivo viene aggiunto a Microsoft Entra ID e il dispositivo diventa un'entità nota. Quando il dispositivo è noto, puoi tenere traccia degli elementi a cui si accede dal dispositivo.

      Controlla sempre l'accesso e la sicurezza usando i criteri delle app.

      Esaminare le attività usate più spesso dall'organizzazione, come la posta elettronica e le riunioni. Usare i criteri di configurazione delle app per configurare impostazioni specifiche delle app, ad esempio Outlook. Usare i criteri di protezione delle app per controllare la sicurezza e l'accesso a queste app.

      Ad esempio, gli utenti possono usare l'app Outlook sul dispositivo personale per controllare la posta elettronica aziendale. In Intune, gli amministratori creano un criterio di protezione delle app di Outlook. Questo criterio usa l'autenticazione a più fattori (MFA) ogni volta che l'app Outlook si apre, impedisce il copia e incolla e limita altre funzionalità.

  • Opzione 2: vuoi che ogni dispositivo sia completamente gestito. In questo scenario, tutti i dispositivi vengono registrati in Intune e gestiti dall'organizzazione, inclusi i dispositivi personali.

    Per applicare la registrazione, è possibile distribuire un criterio di accesso condizionale (CA) che richiede la registrazione dei dispositivi in Intune. In questi dispositivi è inoltre possibile:

    • Configurare una connessione Wi-Fi/VPN per la connettività dell'organizzazione e distribuire questi criteri di connessione ai dispositivi. Gli utenti non devono immettere alcuna impostazione.
    • Se gli utenti hanno bisogno di app specifiche sul dispositivo, distribuire le app. È anche possibile distribuire le app necessarie all'organizzazione per motivi di sicurezza, ad esempio un'app mobile di difesa dalle minacce.
    • Usa i criteri di conformità per impostare le regole che l'organizzazione deve seguire, come normative o criteri che richiamano specifici controlli MDM. Ad esempio, è necessario Intune per crittografare l'intero dispositivo o per produrre un report di tutte le app nel dispositivo.

    Se vuoi controllare anche l'hardware, fornisci agli utenti tutti i dispositivi di cui hanno bisogno, compresi i telefoni cellulari. Investi in un piano di aggiornamento dell'hardware in modo che gli utenti continuino a essere produttivi e ottengano le funzionalità di sicurezza integrate più recenti. Registrare questi dispositivi di proprietà dell'organizzazione in Intune e gestirli usando criteri.

Come procedura consigliata, presupponi sempre che i dati lasceranno il dispositivo. Assicurarsi che siano presenti metodi di monitoraggio e controllo. Per altre informazioni, vedere Zero Trust con Microsoft Intune.

Gestire i computer desktop

Intune può gestire i computer desktop che eseguono Windows. Il sistema operativo del client Windows include funzionalità moderne predefinite di gestione dei dispositivi e rimuove le dipendenze dai criteri di gruppo locali di Active Directory (AD). È possibile ottenere i vantaggi del cloud quando si creano regole e impostazioni in Intune e si distribuiscono questi criteri a tutti i dispositivi client Windows, inclusi computer desktop e PC.

Per altre informazioni, passare all'esercitazione: configurare endpoint di Windows nativi per il cloud con Microsoft Intune.

Se i dispositivi Windows sono attualmente gestiti con Gestione configurazione, è comunque possibile registrare questi dispositivi in Intune. Questo approccio è chiamato co-gestione. La co-gestione offre molti vantaggi, tra cui l'esecuzione di azioni remote sul dispositivo (riavvio, controllo remoto, ripristino delle impostazioni predefinite), l'accesso condizionale con conformità del dispositivo e altro ancora. È anche possibile collegare i dispositivi al cloud a Intune.

Per altre informazioni, vedere:

Attività: esaminare ciò che si usa attualmente per la gestione dei dispositivi mobili

L'adozione di una gestione dei dispositivi mobili può dipendere da ciò che l'organizzazione usa attualmente, anche se tale soluzione usa funzionalità o programmi locali.

La guida alla distribuzione della configurazione contiene alcune buone informazioni.

Alcune considerazioni:

  • Se attualmente non usi alcun servizio o soluzione MDM, potrebbe essere meglio passare direttamente a Intune.

  • Se attualmente usi oggetti Criteri di gruppo locali (GPO), passare a Intune e usare il catalogo delle impostazioni di Intune è simile e può essere più facile passare ai criteri dei dispositivi basati su cloud. Il catalogo delle impostazioni include anche impostazioni per i dispositivi Apple e Google Chrome.

  • Per i nuovi dispositivi non registrati in Gestione configurazione o in qualsiasi soluzione MDM, potrebbe essere preferibile passare direttamente a Intune.

  • Se attualmente usi Gestione configurazione, le opzioni disponibili includono:

    • Se desideri mantenere l'infrastruttura esistente e spostare alcuni carichi di lavoro nel cloud, utilizza la co-gestione. Ottieni il vantaggio di entrambi i servizi. I dispositivi esistenti possono ricevere alcuni criteri da Gestione configurazione (locale) e altri da Intune (cloud).
    • Se si vuole mantenere l'infrastruttura esistente e usare Intune per monitorare i dispositivi locali, usare tenant-attach. È possibile usare l'interfaccia di amministrazione di Intune, pur continuando a usare Gestione configurazione per gestire i dispositivi.
    • Se desideri una soluzione cloud pura per gestire i dispositivi, passa a Intune. Alcuni utenti di Gestione configurazione preferiscono continuare a usare Gestione configurazione con il collegamento di tenant o la co-gestione.

    Per altre informazioni, passa ai carichi di lavoro di co-gestione.

Dispositivi per operatori sul campo

I tablet e i dispositivi condivisi sono comuni per gli operatori sul campo. Sono usati in molti settori, tra cui la vendita al dettaglio, la sanità, la produzione e altro ancora.

Sono disponibili opzioni per le diverse piattaforme, tra cui dispositivi di realtà virtuale Android (AOSP), dispositivi iPad e PC cloud di Windows 365.

Attività: Determinare gli scenari FLW

I dispositivi FLW sono di proprietà dell'organizzazione, registrati nella gestione dei dispositivi e vengono usati da un utente (assegnato dall'utente) o da più utenti (dispositivi condivisi). Questi dispositivi sono fondamentali per gli operatori in prima linea per svolgere il proprio lavoro e vengono spesso usati in modalità di utilizzo limitato. Può ad esempio essere un dispositivo che analizza gli elementi, un chiosco multimediale che visualizza informazioni o un tablet che effettua il check-in dei pazienti in un ospedale o in una struttura medica.

Per altre informazioni, vedere: Gestione dei dispositivi per gli operatori sul campo in Microsoft Intune.

Passaggio 3 - Determinare i costi e le licenze

La gestione dei dispositivi è una relazione con servizi diversi. Intune include le impostazioni e le funzionalità che è possibile controllare su diversi dispositivi. Ci sono anche altri servizi che svolgono un ruolo chiave:

  • Microsoft Entra ID P1 o P2 (incluso nella licenza di Microsoft 365 E5) include diverse funzionalità chiave per la gestione dei dispositivi, tra cui:

    • Windows Autopilot: i dispositivi client Windows possono registrarsi automaticamente in Intune e ricevere automaticamente i criteri.
    • Autenticazione a più fattori (MFA): gli utenti devono immettere due o più metodi di verifica, ad esempio un PIN, un'app di autenticazione, un'impronta digitale e altro ancora. L'autenticazione a più fattori è un'ottima opzione quando si usano criteri di protezione delle app per dispositivi personali e dispositivi di proprietà dell'organizzazione che richiedono una sicurezza aggiuntiva.
    • Accesso condizionale: se gli utenti e i dispositivi seguono le regole dell'organizzazione, ad esempio un passcode di 6 cifre, possono accedere alle risorse dell'organizzazione. Se gli utenti o i dispositivi non soddisfano le tue regole, non avranno accesso.
    • Gruppi di utenti dinamici e gruppi di dispositivi dinamici: aggiungi automaticamente utenti o dispositivi ai gruppi quando soddisfano criteri, come città, posizione, tipo di sistema operativo, versione del sistema operativo e altro ancora.

  • Microsoft 365 Apps (incluso nella licenza di Microsoft 365 E5) include le app su cui gli utenti si basano, tra cui Outlook, Word, SharePoint, Teams, OneDrive e altro ancora. È possibile distribuire queste app nei dispositivi usando Intune.

  • Microsoft Defender per endpoint (incluso nella licenza di Microsoft 365 E5) consente di monitorare ed eseguire analisi dei dispositivi client Windows alla ricerca di attività dannose. È anche possibile impostare un livello di minaccia accettabile. In combinazione con l'accesso condizionale, è possibile bloccare l'accesso alle risorse dell'organizzazione se viene superato il livello di minaccia.

  • Microsoft Purview (incluso nella licenza di Microsoft 365 E5) classifica e protegge documenti e messaggi di posta elettronica applicando etichette. Nelle app di Microsoft 365 è possibile usare questo servizio per impedire l'accesso non autorizzato ai dati dell'organizzazione, incluse le app nei dispositivi personali.

  • Microsoft Copilot in Intune è uno strumento di analisi della sicurezza di intelligenza artificiale generativa. Accede ai dati di Intune e può aiutare a gestire i criteri e le impostazioni, comprendere il livello di sicurezza e risolvere i problemi del dispositivo.

    Copilot in Intune è concesso in licenza tramite Microsoft Security Copilot. Per altre informazioni, vedere: Introduzione a Microsoft Security Copilot.

  • Intune Suite offre funzionalità avanzate di gestione e sicurezza degli endpoint, come assistenza remota, Microsoft Cloud PKI, Gestione privilegi endpoint e altro ancora.

A partire da luglio 2026, le funzionalità della Famiglia di prodotti sono distribuite tra livelli di licenza Microsoft 365:

  • Microsoft 365 E3 include Piano 2, Assistenza remota e Analisi avanzata.
  • Microsoft 365 E5 ed E7 includono tutto in E3, oltre alla Gestione privilegi endpoint, Microsoft Cloud PKI e Enterprise Application Management.
  • Per i clienti con altri piani, Suite è disponibile come abbonamento separato.

Per altre informazioni, vedere:

Attività: Determinare i servizi con licenza necessari per l'organizzazione

Alcune considerazioni:

  • Se l'obiettivo è distribuire criteri (regole) e profili (impostazioni), senza alcuna applicazione, è necessario almeno:

    • Intune

    Intune è disponibile con diversi abbonamenti, anche come servizio autonomo. Per altre informazioni, vedere Licenze di Microsoft Intune.

    Attualmente usi Gestione configurazione e vuoi configurare la co-gestione per i tuoi dispositivi. Intune è già incluso nella licenza di Gestione configurazione. Se si desidera che Intune gestisca completamente i dispositivi nuovi o i dispositivi co-gestiti esistenti, è necessaria una licenza di Intune separata.

  • Si desidera applicare le regole di conformità o password create in Intune. È necessario quanto segue:

    • Intune
    • Microsoft Entra ID P1 o P2

    Intune e Microsoft Entra ID P1 o P2 sono disponibili con Enterprise Mobility + Security. Per maggiori informazioni, consulta Opzioni di prezzo di Enterprise Mobility + Security.

  • Si vogliono gestire solo le app Microsoft 365 nei dispositivi. È necessario quanto segue:

    • Mobilità e sicurezza di Microsoft 365 Basic

    Per altre informazioni, vedere:

  • Si vogliono distribuire Microsoft 365 Apps nei dispositivi e creare criteri per proteggere i dispositivi che eseguono queste app. È necessario quanto segue:

    • Intune
    • App di Microsoft 365

  • Si vogliono creare criteri in Intune, distribuire Microsoft 365 Apps e applicare regole e impostazioni. È necessario quanto segue:

    • Intune
    • App di Microsoft 365
    • Microsoft Entra ID P1 o P2

    Poiché tutti questi servizi sono inclusi in alcuni piani di Microsoft 365, potrebbe essere conveniente usare la licenza di Microsoft 365. Per altre informazioni, vedere Piani di licenza di Microsoft 365.

Passaggio 4 - Rivedere i criteri e l'infrastruttura esistenti

Molte organizzazioni hanno criteri esistenti e un'infrastruttura di gestione dei dispositivi che viene solo "mantenuta". Ad esempio, si potrebbero avere criteri di gruppo vecchi di 20 anni e non sapere cosa fanno. Quando consideri di passare al cloud, invece di guardare a ciò che hai sempre fatto, determina l'obiettivo.

Tenendo presenti questi obiettivi, creare una linea di base dei criteri. Se si hanno più soluzioni di gestione dei dispositivi, questo potrebbe essere il momento di usare un unico servizio di gestione dei dispositivi mobili.

Attività: esaminare le attività eseguite in locale

Questa attività include l'esame dei servizi che potrebbero passare al cloud. Ricorda, invece di guardare a ciò che hai sempre fatto, determina l'obiettivo.

Consiglio

Scopri di più sugli endpoint nativi del cloud è una buona risorsa.

Alcune considerazioni:

  • Esaminare i criteri esistenti e la relativa struttura. Alcuni criteri possono essere applicati a livello globale, altri a livello di sito e altri ancora sono specifici per un dispositivo. L'obiettivo è conoscere e comprendere l'intento dei criteri globali, l'intento dei criteri locali e così via.

    I criteri di gruppo di Active Directory locale vengono applicati nell'ordine LSDOU: locale, sito, dominio e unità organizzativa. In questa gerarchia, i criteri dell'unità organizzativa sovrascrivono i criteri di dominio, i criteri di dominio sovrascrivono i criteri del sito e così via.

    In Intune i criteri vengono applicati agli utenti e ai gruppi creati. Non c'è una gerarchia. Se due criteri aggiornano la stessa impostazione, l'impostazione viene visualizzata come conflitto. Per altre informazioni sul comportamento dei conflitti, vedi Domande comuni, problemi e risoluzioni con i criteri e i profili dei dispositivi.

    Dopo aver esaminato i criteri, i criteri globali di Active Directory iniziano logicamente ad applicarsi ai gruppi di cui si dispone o ai gruppi necessari. Questi gruppi includono gli utenti e i dispositivi che si desidera definire come target a livello globale, a livello di sito e così via. Questa attività offre un'idea della struttura del gruppo necessaria in Intune. I consigli sulle prestazioni per il raggruppamento, la destinazione e il filtro in ambienti di grandi Microsoft Intune potrebbero essere una buona risorsa.

  • Prepararsi a creare nuovi criteri in Intune. Intune include diverse funzionalità che coprono scenari che potrebbero interessarti. Alcuni esempi:

    • Baseline di sicurezza: nei dispositivi client Windows, le baseline di sicurezza sono impostazioni di sicurezza preconfigurate sui valori consigliati. Se non si ha familiarità con la protezione dei dispositivi o si vuole una baseline completa, consultare le baseline di sicurezza.

      Le informazioni dettagliate sulle impostazioni offrono maggiore attendibilità nelle configurazioni aggiungendo informazioni dettagliate adottate da organizzazioni simili. Gli approfondimenti sono disponibili per alcune impostazioni e non per tutte le impostazioni. Per ulteriori informazioni, consulta Informazioni dettagliate sulle impostazioni.

    • Catalogo delle impostazioni: il catalogo delle impostazioni elenca tutte le impostazioni che è possibile configurare e ha un aspetto simile agli oggetti Criteri di gruppo e ai modelli ADMX locali. Quando si crea il criterio, si parte da zero e si configurano le impostazioni a livello granulare.

    • Criteri di gruppo: usare l'analisi di Criteri di gruppo per importare e analizzare gli oggetti Criteri di gruppo. Questa funzionalità consente di determinare il modo in cui gli oggetti Criteri di gruppo vengono tradotti nel cloud. L'output mostra quali impostazioni sono supportate dai provider MDM, tra cui Microsoft Intune. Mostra anche le impostazioni deprecate o non disponibili per i provider MDM.

      È anche possibile creare un criterio di Intune in base alle impostazioni importate. Per altre informazioni, vedere Creare un criterio del catalogo impostazioni usando gli oggetti Criteri di gruppo importati.

  • Creare una baseline dei criteri che includa il minimo degli obiettivi. Ad esempio:

    • Proteggere la posta elettronica: come minimo, è possibile:

      • Creare criteri di protezione per le app di Outlook.
      • Abilitare l'accesso condizionale per Exchange Online o connettersi a un'altra soluzione di posta elettronica locale.

    • Impostazioni del dispositivo: Come minimo, è possibile:

      • Richiedere un PIN di sei caratteri per sbloccare il dispositivo.
      • Impedire il backup su servizi cloud personali, come iCloud o OneDrive.

    • Profili dispositivo: Come minimo, è possibile:

      • Crea un profilo Wi-Fi con le impostazioni preconfigurate per la connessione alla rete wireless Contoso Wi-Fi.
      • Creare un profilo VPN con un certificato per l'autenticazione automatica e la connessione a una VPN dell'organizzazione.
      • Creare un profilo di posta elettronica con le impostazioni preconfigurate che si connettono a Outlook.

    • App: come minimo, è possibile:

      • Distribuire Microsoft 365 Apps con criteri di protezione delle app.
      • Distribuire line-of-business (LOB) con criteri di protezione delle app.

    Per altre informazioni sulle impostazioni minime consigliate, vai a:

  • Rivedere la struttura corrente dei gruppi. In Intune è possibile creare e assegnare criteri a gruppi di utenti, gruppi di dispositivi e gruppi di utenti e dispositivi dinamici (è necessario Microsoft Entra ID P1 o P2).

    Quando si creano gruppi nel cloud, come Intune o Microsoft 365, i gruppi vengono creati in Microsoft Entra ID. È possibile che il marchio Microsoft Entra ID non sia visibile, ma è quello che si sta usando.

  • Se disponi di più soluzioni di gestione dei dispositivi, passa a un'unica soluzione di gestione dei dispositivi mobili. È consigliabile usare Intune per proteggere i dati dell'organizzazione nelle app e nei dispositivi.

    Per altre informazioni, passare a Microsoft Intune gestisce in modo sicuro le identità, gestisce le app e gestisce i dispositivi.

Passaggio 5: Creare un piano di implementazione

L'attività successiva consiste nel pianificare come e quando gli utenti e i dispositivi ricevono i criteri. In questa attività, considera anche:

  • Definisci i tuoi obiettivi e le metriche di successo. Usare questi punti dati per creare altre fasi di implementazione. Assicurati che gli obiettivi siano SMART (specifici, misurabili, raggiungibili, realistici e tempestivi). Pianificare la misurazione rispetto agli obiettivi in ogni fase, in modo che il progetto di implementazione rimanga in linea con i tempi previsti.
  • Avere scopi e traguardi chiaramente definiti. Includere questi obiettivi in tutte le attività di sensibilizzazione e formazione in modo che gli utenti comprendano perché l'organizzazione ha scelto Intune.

Attività: Creare un piano per distribuire i criteri

Inoltre, scegliere come gli utenti registrare i propri dispositivi in Intune. Alcune considerazioni:

  • Implementare i criteri in fasi. Ad esempio:

    • Iniziare con un progetto pilota o un gruppo di test. Questi gruppi devono sapere di essere i primi utenti ed essere disposti a fornire feedback. Usa questo feedback per migliorare la configurazione, la documentazione, le notifiche e agevolare l'implementazione futura per gli utenti. Questi utenti non devono essere dirigenti o VIP.

      Dopo il test iniziale, aggiungere altri utenti al gruppo pilota. In alternativa, creare più gruppi pilota incentrati su un'implementazione diversa, ad esempio:

      • Dipartimenti: ogni reparto può essere una fase di implementazione. Il target è un intero reparto alla volta. In questa implementazione, gli utenti di ogni reparto potrebbero usare il dispositivo nello stesso modo e accedere alle stesse applicazioni. È probabile che gli utenti abbiano gli stessi tipi di criteri.

      • Area geografica: distribuire i criteri a tutti gli utenti in un'area geografica specifica, che si tratti dello stesso continente, paese/area geografica o dello stesso edificio organizzativo. Questa implementazione consente di concentrarsi sulla posizione specifica degli utenti. È possibile fornire un approccio di Windows Autopilot per la distribuzione pre-provisioning, poiché il numero di posizioni che distribuiscono Intune contemporaneamente è inferiore. È possibile che reparti diversi o casi d'uso diversi si trovino nella stessa posizione. Quindi, potresti testare diversi casi d'uso contemporaneamente.

      • Piattaforma: questa implementazione distribuisce piattaforme simili contemporaneamente. Ad esempio, distribuire i criteri in tutti i dispositivi iOS/iPadOS a febbraio, a tutti i dispositivi Android a marzo e a tutti i dispositivi Windows in aprile. Questo approccio potrebbe semplificare il supporto dell'help desk, poiché supporta solo una piattaforma alla volta.

      Usando un approccio graduale, puoi ottenere feedback da un'ampia gamma di tipi di utenti.

    • Dopo aver completato un progetto pilota, sei pronto per avviare un'implementazione di produzione completa. L'esempio seguente è un piano di implementazione di Intune che include gruppi e sequenze temporali mirati:

    Fase di implementazione Luglio Agosto Settembre Ottobre
    Pilota limitato IT (50 utenti)
    Distribuzione pilota estesa IT (200 utenti), Dirigenti IT (10 utenti)
    Fase 1 di implementazione della produzione Vendite e marketing (2.000 utenti)
    Fase 2 di rollout della produzione Vendita al dettaglio (1.000 utenti)
    Fase 3 di rollout della produzione Risorse umane (50 utenti), Finanze (40 utenti), Dirigenti (30 utenti)

    Questo modello è disponibile anche per il download in Pianificazione della distribuzione, progettazione e implementazione di Intune - Modelli di tabella.

  • Scegliere la modalità di registrazione dei dispositivi personali e di proprietà dell'organizzazione da parte degli utenti. È possibile usare diversi approcci di registrazione, tra cui:

    • Self-service utente: gli utenti registrano i propri dispositivi seguendo la procedura fornita dall'organizzazione IT. Questo approccio è più comune ed è più scalabile rispetto alla registrazione assistita dall'utente.
    • Registrazione assistita dall'utente: in questo approccio di distribuzione pre-provisioning, un membro IT aiuta gli utenti durante il processo di registrazione, di persona o tramite Teams. Questo approccio è comune con il personale esecutivo e altri gruppi che potrebbero aver bisogno di maggiore assistenza.
    • Fiera della tecnologia IT: in questo evento, il gruppo IT allestisce uno stand di assistenza per la registrazione di Intune. Gli utenti ricevono informazioni sulla registrazione di Intune, pongono domande e ottengono assistenza per la registrazione dei dispositivi. Questa opzione è utile per l'IT e gli utenti, soprattutto durante le prime fasi di un'implementazione di Intune.

    L'esempio seguente include gli approcci di registrazione:

    Fase di implementazione Luglio Agosto Settembre Ottobre
    Pilota limitato
    Self-service IT
    Distribuzione pilota estesa
    Self-service IT
    Pre-provisioning Dirigenti IT
    Fase 1 di implementazione della produzione Vendite, Marketing
    Self-service Vendite e marketing
    Fase 2 di rollout della produzione Vendita al dettaglio
    Self-service Vendita al dettaglio
    Fase 3 di rollout della produzione Dirigenti, risorse umane, finanza
    Self-service Risorse umane, Finanze
    Pre-provisioning Dirigenti

    Per altre informazioni sui diversi metodi di registrazione per ogni piattaforma, vai a Linee guida per la distribuzione: Registrare i dispositivi in Microsoft Intune.

Passaggio 6 - Comunicare le modifiche

La gestione delle modifiche si basa su comunicazioni chiare e utili sulle modifiche imminenti. L'idea è quella di avere una distribuzione Intune senza intoppi e di rendere gli utenti consapevoli delle modifiche & di qualsiasi interruzione.

Attività: il piano di comunicazione per l'implementazione deve includere informazioni importanti

Queste informazioni devono includere come inviare notifiche agli utenti e quando comunicare. Alcune considerazioni:

  • Determinare quali informazioni comunicare. Comunicare in fasi con i gruppi e gli utenti, iniziando con l'avvio dell'implementazione di Intune, la pre-registrazione e quindi la post-registrazione:

    • Fase di avvio: comunicazione ampia che introduce il progetto Intune. Deve rispondere a domande chiave, come:

      • Che cos’è Intune?
      • Perché l'organizzazione usa Intune, inclusi vantaggi per l'organizzazione e per gli utenti
      • Fornire un piano di alto livello della distribuzione e dell'implementazione.
      • Se i dispositivi personali non sono consentiti a meno che non siano registrati, spiega perché hai preso la decisione.

    • Fase di pre-registrazione: comunicazione ampia che include informazioni su Intune e altri servizi (come Office, Outlook e OneDrive), risorse utente e tempistiche specifiche in cui utenti e gruppi si registreranno a Intune.

    • Fase di registrazione: la comunicazione è destinata agli utenti e ai gruppi dell'organizzazione per cui è pianificata la registrazione a Intune. Deve informare gli utenti che sono pronti per la registrazione, includere i passaggi di registrazione e chi contattare per assistenza e domande.

    • Fase successiva alla registrazione: la comunicazione è destinata agli utenti e ai gruppi dell'organizzazione registrati in Intune. Dovrebbe fornire più risorse che potrebbero essere utili per gli utenti e raccogliere feedback sulla loro esperienza durante e dopo la registrazione.

  • Scegliere come comunicare le informazioni sull'implementazione di Intune ai gruppi e agli utenti target. Ad esempio:

    • Creare una riunione di persona a livello di organizzazione o usare Microsoft Teams.

    • Crea un messaggio e-mail per la pre-iscrizione, un messaggio e-mail per la registrazione e un messaggio e-mail per la post-registrazione. Ad esempio:

      • Email 1: Spiega i vantaggi, le aspettative e la pianificazione. Cogli l'occasione per presentare qualsiasi altro servizio il cui accesso è concesso sui dispositivi gestiti da Intune.
      • Email 2: annuncia che i servizi sono ora pronti per l'accesso tramite Intune. Informare gli utenti di iscriversi ora. Fornire agli utenti una sequenza temporale prima che l'accesso venga modificato. Ricordare agli utenti i vantaggi e i motivi strategici della migrazione.

    • Usare un sito Web dell'organizzazione che illustri le fasi di implementazione, cosa possono aspettarsi gli utenti e chi contattare per ottenere assistenza.

    • Crea poster, usa le piattaforme di social media dell'organizzazione (come Microsoft Viva Engage) o distribuisci volantini per annunciare la fase di pre-registrazione.

  • Crea una sequenza temporale che includa quando e chi. La prima comunicazione di avvio di Intune può essere rivolta all'intera organizzazione o solo a un sottoinsieme. Possono essere eseguite nell'arco di diverse settimane prima dell'inizio dell'implementazione di Intune. Successivamente, le informazioni potrebbero essere comunicate in fasi a utenti e gruppi, allineate con la pianificazione dell'implementazione di Intune.

    L'esempio seguente è un piano di comunicazione per l'implementazione generale di Intune:

    Piano di comunicazione Luglio Agosto Settembre Ottobre
    Fase 1 Tutti
    Kickoff meeting Prima settimana
    Fase 2 IT Vendite e marketing Vendita al dettaglio Risorse umane, finanza e dirigenti
    Pre-rollout Email 1 Prima settimana Prima settimana Prima settimana Prima settimana
    Fase 3 IT Vendite e marketing Vendita al dettaglio Risorse umane, finanza e dirigenti
    Pre-rollout Email 2 Seconda settimana Seconda settimana Seconda settimana Seconda settimana
    Fase 4 IT Vendite e marketing Vendita al dettaglio Risorse umane, finanza e dirigenti
    E-mail di registrazione Terza settimana Terza settimana Terza settimana Terza settimana
    Fase 5 IT Vendite e marketing Vendita al dettaglio Risorse umane, finanza e dirigenti
    E-mail post-iscrizione Quarta settimana Quarta settimana Quarta settimana Quarta settimana

Passaggio 7: help desk di supporto e utenti finali

Includere il supporto IT e l'helpdesk nelle prime fasi della pianificazione della distribuzione di Intune e delle attività pilota. Il coinvolgimento precoce espone il personale di supporto a Intune, che acquisisce conoscenze ed esperienza nell'identificare e risolvere i problemi in modo più efficace. Li prepara anche a supportare il lancio completo della produzione dell'organizzazione. Anche l'help desk e i team di supporto aiutano gli utenti ad adottare queste modifiche.

Compito: formare i team di assistenza

Convalidare l'esperienza dell'utente finale con metriche di successo nel piano di distribuzione. Alcune considerazioni:

  • Determinare chi supporterà gli utenti finali. Le organizzazioni possono avere diversi livelli (1-3). Ad esempio, i livelli 1 e 2 potrebbero far parte del team di supporto. Il livello 3 include i membri del team MDM responsabile della distribuzione di Intune.

    Il livello 1 è in genere il primo livello di supporto e il primo livello da contattare. Se il livello 1 non è in grado di risolvere il problema, si passa al livello 2. Il livello 2 lo eleva al livello 3. Il supporto tecnico Microsoft può essere considerato di livello 4.

    • Nelle fasi iniziali di implementazione, assicurarsi che tutti i livelli del team di supporto documentino i problemi e le risoluzioni. Cerca schemi e modifica le comunicazioni per la successiva fase di implementazione. Ad esempio:
      • Se diversi utenti o gruppi sono riluttanti a registrare i propri dispositivi personali, prendere in considerazione una chiamata Teams per rispondere alle domande comuni.
      • Se gli utenti riscontrano gli stessi problemi durante la registrazione dei dispositivi di proprietà dell'organizzazione, organizzare un evento di persona per aiutare gli utenti a registrare i dispositivi.

  • Crea un flusso di lavoro dell'help desk e comunica costantemente i problemi di supporto, le tendenze e altre informazioni importanti a tutti i livelli del tuo team di supporto. Ad esempio, organizza riunioni di Teams giornaliere o settimanali in modo che tutti i livelli siano a conoscenza di tendenze, modelli e possano ottenere assistenza.

    L'esempio seguente mostra come Contoso implementa i flussi di lavoro del supporto IT o dell'helpdesk:

    1. L'utente finale contatta il supporto IT o l'helpdesk di livello 1 con un problema di registrazione.
    2. Il livello 1 del supporto IT o dell'helpdesk non è in grado di determinare la causa radice e passa al livello 2.
    3. Il supporto IT o l'helpdesk di livello 2 esamina. Il livello 2 non è in grado di risolvere il problema e passa al livello 3 e fornisce informazioni aggiuntive per risolvere il problema.
    4. Il supporto IT o l'helpdesk di livello 3 esamina, determina la causa radice e comunica la soluzione ai livelli 2 e 1.
    5. Il supporto IT/helpdesk di livello 1 contatta quindi gli utenti e risolve il problema.

    Questo approccio, soprattutto nelle prime fasi dell'implementazione di Intune, offre molti vantaggi, tra cui:

    • Aiutaci a imparare la tecnologia
    • Identificare rapidamente i problemi e la risoluzione
    • Migliorare l'esperienza utente complessiva

  • Formare i team di help desk e supporto. Chiedere loro di registrare i dispositivi che eseguono le diverse piattaforme usate nell'organizzazione in modo che acquisiscano familiarità con il processo. È consigliabile usare i team di help desk e supporto come gruppo pilota per gli scenari.

    Sono disponibili risorse di formazione, tra cui video di YouTube, esercitazioni Microsoft su scenari di Windows Autopilot, conformità, configurazione e corsi tramite partner di formazione.

    L'esempio seguente è riportato di un'agenda di formazione per il supporto di Intune:

    • Revisione del piano di supporto di Intune
    • Panoramica di Intune
    • Risoluzione dei problemi comuni
    • Strumenti e risorse
    • Domande & risposte

Anche il forum di Intune basato sulla community e la documentazione per gli utenti finali sono ottime risorse.

  • Last updated on