La situazione di partenza era quella che si trova spesso nelle organizzazioni che sono cresciute velocemente senza un piano IT strutturato: i dispositivi Apple aziendali erano gestiti tramite Mosyle, una soluzione MDM dedicata all'ecosistema Apple. I device Windows e Android non erano gestiti da nessun MDM. Circa 800-900 device totali, distribuiti su più strutture, senza una console unificata, senza visibilità centralizzata, senza policy coerenti.
Il progetto che ho proposto e implementato: portare tutto sotto Microsoft Intune, con un'architettura ibrida che preservasse l'Active Directory on-premise esistente estendendola su Microsoft Entra (ex Azure AD), integrando Apple Business Manager per la gestione dei dispositivi Apple e abilitando Windows Autopilot per il provisioning dei nuovi PC. Il tutto costruito da zero, su mia iniziativa e proposta.
1. Il Punto di Partenza: Hybrid AD
L'organizzazione aveva un'Active Directory on-premise consolidata — utenti, computer, GPO, tutto strutturato e funzionante. La scelta non era tra AD e Entra: era come farli coesistere. La risposta è l'Hybrid Azure AD Join (oggi Hybrid Entra Join): i device rimangono joinati all'AD on-premise, ma vengono simultaneamente registrati in Entra ID tramite Azure AD Connect Sync.
Questo setup è il prerequisito per tutto il resto. Intune per gestire i device Windows richiede che siano registrati in Entra. Autopilot richiede Entra. Il Conditional Access di Entra richiede che il device sia noto a Entra. Senza la parte cloud di Entra, nessuno di questi servizi funziona.
La complessità dell'Hybrid Join sta nella sincronizzazione: Azure AD Connect deve essere configurato correttamente per sincronizzare non solo gli utenti ma anche i computer. E i device devono completare il processo di registrazione in Entra, che avviene automaticamente ma richiede tempo e connettività verso gli endpoint Microsoft specifici. In un'organizzazione con 400 PC Windows, questo processo va monitorato — non tutti i device completano il join al primo tentativo.
2. Apple Business Manager + Intune: L'Integrazione che Richiede un Ingegnere
La parte più complessa — e più interessante — del progetto è stata l'integrazione tra Apple Business Manager (ABM) e Microsoft Intune per la gestione di circa 100 Mac e 300 iPhone/iPad.
ABM è il programma Apple che permette alle aziende di acquistare e gestire dispositivi Apple in modo centralizzato, con enrollment automatico nell'MDM aziendale. Senza ABM, ogni iPhone deve essere configurato manualmente; con ABM, un iPhone nuovo esce dalla scatola, si connette al WiFi e si iscrive automaticamente all'MDM senza che nessun tecnico lo tocchi.
Il collegamento ABM ↔ Intune richiede:
- Un certificato Apple MDM Push, rinnovabile annualmente, che autorizza Intune a gestire i device Apple
- Un token VPP (Volume Purchase Program) per la distribuzione delle app aziendali tramite App Store senza richiedere Apple ID personali
- Un token ADE (Automated Device Enrollment, ex DEP) che collega ABM a Intune per l'enrollment automatico
Per questa parte ho lavorato con un ingegnere di Apple Italia, messo a disposizione dal programma di supporto enterprise Apple. L'ingegnere ha supportato la configurazione dell'enrollment profile su ABM, la definizione delle policy di setup assistant (quali step mostrare o nascondere all'utente durante il primo avvio), e la verifica della catena di trust tra ABM e Intune.
Il risultato è quello che in gergo Apple si chiama Zero-Touch Deployment: un Mac o iPhone assegnato a ABM viene consegnato all'utente, acceso per la prima volta, e si configura da solo — applicazioni installate, VPN configurata, account email aggiunto, sfondo aziendale impostato. L'utente non deve fare nulla.
3. SSO Apple ↔ Microsoft: Utenti Apple con Credenziali Aziendali
Uno degli obiettivi più richiesti era eliminare la proliferazione di password: gli utenti avevano credenziali AD per Windows, un Apple ID separato per i dispositivi Apple, e potenzialmente altri account per vari servizi cloud. L'obiettivo era che le credenziali Microsoft (Entra) funzionassero anche per autenticarsi sui Mac e iPhone aziendali.
Questo è possibile tramite l'Enterprise SSO Plugin di Apple, distribuito via Intune come configuration profile. Il plugin integra Microsoft Authenticator nel sistema di autenticazione nativo di macOS e iOS, permettendo:
- Login al Mac con le credenziali Microsoft Entra (senza dover fare un "domain join" classico)
- SSO automatico su tutte le app che supportano l'autenticazione moderna (Teams, Outlook, SharePoint, OneDrive)
- Autenticazione MFA tramite Microsoft Authenticator integrata nel flusso di login
- Platform SSO su macOS 13+ — il Mac fa una sorta di join al dominio cloud, con le credenziali sincronizzate tra account locale e Entra
Dal punto di vista dell'utente: inserisce la stessa password su Windows, Mac e iPhone per accedere ai servizi aziendali. Un solo set di credenziali, gestito centralmente da IT.
4. Le Policy Distribuite via Intune
Una volta che i device erano in Intune, la parte operativa era definire le policy. Ne elenco le principali per categoria.
Policy di compliance
La compliance in Intune definisce le caratteristiche minime che un device deve avere per essere considerato "sicuro": versione OS minima, PIN/password obbligatorio, crittografia disco attiva (BitLocker su Windows, FileVault su Mac), jailbreak/root non rilevato. Un device non compliant può essere bloccato dal Conditional Access — non può accedere alle risorse aziendali finché non rientra in compliance.
Policy di configurazione
- Sfondo aziendale — distribuito e bloccato su tutti i device. Non modificabile dall'utente.
- Restrizioni di navigazione — categorie di siti bloccate tramite filtro contenuti, configurato via Intune su iOS/Android e tramite profilo su macOS.
- Policy installazione app — su iOS, solo le app presenti nel Company Portal o nell'App Store aziendale approvato. Su Windows, distribuzione automatica delle app aziendali tramite Win32 apps in Intune.
- VPN sempre attiva — su iOS e Android, profilo VPN always-on per garantire che il traffico aziendale passi sempre attraverso l'infrastruttura di sicurezza.
Windows Autopilot
Per i nuovi PC Windows ho configurato Windows Autopilot nella modalità user-driven Hybrid AD Join. Il flusso: il PC viene acquistato, il fornitore registra il serial number in Autopilot tramite l'hash hardware, il PC viene consegnato all'utente. L'utente accende il PC, si connette al WiFi aziendale, inserisce le credenziali Entra — e Autopilot gestisce tutto il resto: join al dominio ibrido, installazione delle app, applicazione delle policy, configurazione dell'account. In circa un'ora, da un PC out-of-the-box a una postazione completamente configurata.
5. Conditional Access: il Controllore del Traffico
Il Conditional Access in Entra è il motore che trasforma una lista di policy in regole di accesso effettive. Ho configurato le policy di Conditional Access da zero, partendo dall'analisi dei rischi e dai requisiti di sicurezza dell'organizzazione.
Le policy principali implementate:
- Require MFA per tutti gli accessi da fuori rete aziendale — chi accede a Microsoft 365, SharePoint o Teams dall'esterno deve completare l'autenticazione a due fattori tramite Microsoft Authenticator.
- Block legacy authentication — protocolli di autenticazione vecchi (IMAP, POP3, SMTP basic auth) sono bloccati. Sono il vettore più comune di attacchi credential stuffing.
- Require compliant device — solo i device iscritti in Intune e in stato compliant possono accedere alle risorse aziendali cloud. Un PC personale non gestito, anche con credenziali valide, non accede.
- Sign-in risk policy — Entra Identity Protection calcola un risk score per ogni accesso basandosi su anomalie (paese insolito, IP anonimizzato, velocità di viaggio impossibile). Accessi ad alto rischio richiedono MFA o vengono bloccati automaticamente.
💡 Stai valutando l'implementazione di Intune nella tua azienda? Parliamone — prima consulenza gratuita.
6. Le Sfide Reali del Progetto
Un progetto di questa scala non fila mai liscio su tutto. Le sfide più significative che ho affrontato:
Hybrid Join su PC con GPO vecchie: alcuni PC avevano policy di Group Policy che interferivano con il processo di Hybrid Join — in particolare policy che modificavano il comportamento del Task Scheduler, usato internamente dal processo di join Entra. Il fix richiedeva identificare le GPO in conflitto e creare eccezioni mirate.
Device Android BYOD vs Corporate: con ~300 device Android c'era una distinzione importante tra device aziendali (completamente gestiti da Intune con Android Enterprise) e device personali in modalità BYOD (enrollment in Intune con Work Profile, che separa nettamente dati aziendali e personali). La policy di enrollment doveva gestire entrambi i casi in modo trasparente per l'utente.
Rinnovo certificati ABM: i certificati Apple MDM Push scadono annualmente e devono essere rinnovati con lo stesso Apple ID usato per crearli. È un'operazione semplice ma critica — se si dimentica o si usa un Apple ID diverso, tutti i device Apple perdono la gestione MDM. Ho impostato una reminder automatica 60 giorni prima della scadenza.
Il Risultato
Da un panorama frammentato — MDM Apple separato, Windows non gestito, Android senza policy — a una console unica in cui circa 800 device sono visibili, monitorati e gestiti con policy coerenti. Il team IT può vedere in tempo reale quanti device non sono aggiornati, quanti non hanno BitLocker attivo, quanti hanno un OS fuori dalla versione minima supportata. Il Conditional Access blocca automaticamente gli accessi da device non gestiti. Il provisioning di nuovi device richiede un'ora invece di mezza giornata.
Il progetto ha richiesto diversi mesi di implementazione progressiva — non si migrano 800 device tutti insieme. Ma l'architettura è scalabile: aggiungere un nuovo device oggi richiede meno di dieci minuti.