Come assegnare automaticamente tag ai dispositivi Intune in base al metodo di registrazione (BYOD, aziendale, Autopilot)

BYOD e gli endpoint aziendali richiedono policy di gestione diverse, quindi è fondamentale distinguere i dispositivi su larga scala. Microsoft Intune raccoglie i metadati di registrazione, ma il tagging dei dispositivi dovrebbe essere automatizzato per definire ambiti precisi. Con Microsoft Graph e PowerShell, gli MSP possono applicare etichette coerenti e tracciabili ai dispositivi, ottenendo maggiore controllo e visibilità.

Questa guida illustra i metodi necessari per assegnare tag ai dispositivi Intune in modo automatico in base al metodo di registrazione.

Vuoi approfondire l’argomento? Guarda il nostro video tutorial: Come assegnare automaticamente tag ai dispositivi Intune in base al metodo di registrazione (BYOD, aziendale, Autopilot).

Fai clic per scegliere un metodo	💻 Ideale per utenti singoli	💻💻💻 Ideale per le aziende enterprise
Metodo 1: recuperare il tipo di registrazione da Intune con Microsoft Graph		✓
Metodo 2: assegnare tag ai dispositivi per metodo di registrazione con gli attributi di estensione di Graph		✓
Metodo 3: assegnare automaticamente gruppi dinamici in base alla registrazione		✓
Metodo 4: assegnare etichette ai dispositivi via script e taggarli nel Registro di sistema		✓
Metodo 5: usare criteri di gruppo o PowerShell durante Autopilot o l’onboarding		✓

Metodi per assegnare tag ai dispositivi Intune in base al metodo di registrazione

📌 Prerequisiti generali:

• Microsoft Intune + Microsoft Entra ID (in precedenza Azure AD) (P1 o superiore)
• PowerShell 7+ con il modulo Microsoft.Graph installato
• Applicazione Microsoft Graph API registrata con le seguenti autorizzazioni:
  • Device.Read.All
  • DeviceManagementManagedDevices.ReadWrite.All
  • Directory.ReadWrite.All

Facoltativo: puoi anche usare uno strumento RMM (ad esempio NinjaOne) per convalidare i metadati dei dispositivi e verificare le chiavi di registro

Metodo 1: recuperare il tipo di registrazione da Intune con Microsoft Graph

Prima di avviare il tagging automatico, individua come ciascun dispositivo è stato registrato in Intune (BYOD, aziendale, Autopilot ecc.) e chi ne è il proprietario (personale o aziendale). Questo metodo estrae i dati direttamente da Intune tramite Microsoft Graph.

📌 Casi d’uso: creare un inventario di base dei dispositivi BYOD, aziendali e Autopilot.

Procedura passo passo:

1. Premi Win + S, digita PowerShell, fai clic con il pulsante destro e seleziona Esegui come amministratore.

💡 Suggerimento: Windows PowerShell funziona, ma è consigliato PowerShell 7+.

2. Installa il modulo Microsoft Graph (se non è già installato):

Install-Module Microsoft.Graph -Scope CurrentUser

3. Connettiti a Microsoft Graph: (leggi il punto 1 ⚠️ Aspetti a cui prestare attenzione.)

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"

Se richiesto, concedi il consenso all’autorizzazione.

4. Definisci le proprietà che vuoi recuperare:

$props = "deviceName,id,azureADDeviceId,managedDeviceOwnerType,deviceEnrollmentType,enrollmentProfileName"

5. Ottieni tutti i dispositivi gestiti con i dettagli di registrazione e proprietà:

$devices = Get-MgDeviceManagementManagedDevice -All -Property $props | Select-Object $props.Split(',')

6. Visualizza i risultati in formato tabella:

$devices | Select-Object deviceName, azureADDeviceId, managedDeviceOwnerType, deviceEnrollmentType, enrollmentProfileName | Format-Table -AutoSize

I tipi di registrazione includono:

• • windowsAutoEnrollment – Registrazione automatica
  • windowsAzureADJoin – Azure AD Join
  • windowsBulkUserless – Registrazione aziendale in blocco
  • windowsCoManagement – ConfigMgr ibrido + Intune
  • deviceEnrollmentManager – Registrazione tramite account DEM
  • userEnrollment – BYOD

Metodo 2: assegnare tag ai dispositivi per metodo di registrazione con gli attributi di estensione di Graph

Ora che conosci il metodo di registrazione e il tipo di proprietà di ciascun dispositivo, puoi scrivere un’etichetta in un attributo di estensione della directory sul dispositivo Microsoft Entra. In questo modo crei un tag persistente, utilizzabile per l’appartenenza ai gruppi dinamici e per la definizione degli ambiti in Intune.

📌 Casi d’uso: tagging persistente a livello di directory per l’automazione e il raggruppamento dinamico.

📌 Prerequisiti:

• Il tenant deve disporre delle licenze Microsoft Entra ID (in precedenza Azure AD) e Intune
• Autorizzazione Graph richiesta:
  • Directory.AccessAsUser.All (delegata)
  • Device.ReadWrite.All oppure Directory.ReadWrite.All (applicazione).
• Disponi del GUID del dispositivo Azure AD ottenuto da Intune (vedi il Metodo 1)

Procedura passo passo:

1. Premi Win + S, digita PowerShell e premi Invio per aprirlo.

💡 Suggerimento: Windows PowerShell funziona, ma è consigliato PowerShell 7+.

2. Connettiti a Graph (modalità delegata):

Connect-MgGraph -Scopes "Directory.AccessAsUser.All"

3. Trova il dispositivo Entra tramite deviceID (il GUID del Metodo 1):

$azureAdDeviceId = "<GUID from Method 1>"
$dirDevice = Get-MgDevice -Filter "deviceId eq '$azureAdDeviceId'" -ConsistencyLevel eventual

4. Scrivi il tag in un attributo di estensione: (leggi il punto 2 ⚠️ Aspetti a cui prestare attenzione.)

Update-MgDevice -DeviceId $dirDevice.Id -BodyParameter @{
extensionAttributes = @{ extensionAttribute1 = "BYOD" }
}

5. Verifica l’aggiornamento:

Get-MgDevice -DeviceId $dirDevice.Id -Property "extensionAttributes" |
Select-Object -ExpandProperty extensionAttributes

Metodo 3: assegnare automaticamente gruppi dinamici in base alla registrazione

In questo metodo lascerai che siano le regole di appartenenza dinamica di Azure AD a gestire il tagging. Quando un dispositivo viene registrato con un profilo o un tipo di proprietà specifico, viene inserito automaticamente nel gruppo corrispondente. Questi gruppi possono poi essere usati come destinatari di app, policy e profili in Intune.

📌 Casi d’uso: indirizzare automaticamente dispositivi Autopilot, BYOD e di proprietà aziendale in base alla proprietà o al profilo.

📌 Prerequisiti:

• Microsoft Entra ID (in precedenza Azure AD) Premium P1
• Intune è connesso al tuo tenant Entra

Procedura passo passo:

1. Vai all’interfaccia di amministrazione di Entra > Gruppi > Nuovo gruppo.
2. Tipo di gruppo: Sicurezza > Tipo di appartenenza: Dispositivo dinamico.
3. Fai clic su Aggiungi query dinamica e usa la casella di testo per la sintassi delle regole.

Regole consigliate:

• • Autopilot:

(device.enrollmentProfileName -contains "Autopilot")

• • BYOD (proprietà personale):

(device.deviceOwnership -eq "Personal")

• • Di proprietà aziendale:

(device.deviceOwnership -eq "Company")

4. Salva e crea il gruppo.

Usa questi gruppi dinamici per indirizzare policy di conformità, distribuzioni di app e profili di configurazione in Intune, una volta che l’appartenenza si è popolata.

Metodo 4: assegnare etichette ai dispositivi via script e taggarli nel Registro di sistema

Questo metodo utilizza uno script per classificare i dispositivi in locale. In base al tipo di registrazione e alla proprietà, ogni dispositivo scrive il proprio tag nel Registro di sistema, un approccio utile per il reporting o per automazioni personalizzate.

📌 Casi d’uso: è utile quando vuoi che sia il dispositivo stesso a identificarsi (ad esempio durante l’accesso, la registrazione o tramite chiavi di registro) e a registrare un’etichetta in locale.

Procedura passo passo:

Per audit locali o per l’integrazione con un RMM, scrivi la classificazione di registrazione del dispositivo nel Registro di sistema:

1. Premi Win + S, digita PowerShell, fai clic con il pulsante destro su Windows PowerShell (o PowerShell 7) e scegli Esegui come amministratore.
2. Esegui il comando seguente: (leggi il punto 3 ⚠️ Aspetti a cui prestare attenzione.)

$category = if ($device.managedDeviceOwnerType -eq "company" -and $device.enrollmentType -eq "windowsAutopilotDevice") {
"Autopilot"
} elseif ($device.managedDeviceOwnerType -eq "personal") {
"BYOD"
} else {
"Corporate"
}

New-Item -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "EnrollmentType" -Value $category
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "LastUpdated" -Value (Get-Date).ToString("u")

3. Facoltativo: verifica da CMD:

reg query HKLM\SOFTWARE\Org\IntuneTags

Metodo 5: usare criteri di gruppo o PowerShell durante Autopilot o l’onboarding

Questo metodo proattivo integra il tagging nel processo di distribuzione. Inserisci il tagging nel profilo Autopilot, nello script di onboarding o in un oggetto Criteri di gruppo (GPO), così i dispositivi vengono etichettati subito dopo la configurazione.

📌 Casi d’uso: contrassegnare i dispositivi come Autopilot, aziendali o BYOD già in fase di build e garantire che il tag esista prima del primo accesso o subito dopo la registrazione.

Procedura passo passo:

• Per Autopilot o per l’onboarding tramite script, aggiungi al pacchetto di provisioning uno script di tagging nel Registro di sistema.
• Per i dispositivi aggiunti al dominio, usa uno script di avvio tramite GPO:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "EnrollmentType" -Value "Autopilot"

Usa questo approccio insieme al tagging con gruppi dinamici per avere dispositivi classificati correttamente fin dal primo giorno.

⚠️ Aspetti a cui prestare attenzione

Rischi	Possibili conseguenze	Come rimediare
1. Connessione al tenant o all’ambito sbagliato in Connect-MgGraph	Inventario incompleto; azureADDeviceID mancante per i passaggi successivi	Riconnettiti con il -TenantID corretto e l’ambito delegato DeviceManagementManagedDevices.Read.All, quindi esegui di nuovo l’inventario con l’elenco –Property completo.
2. Aggiornamento dell’oggetto sbagliato o autorizzazioni di scrittura sulla directory insufficienti	Nessun extensionAttributes scritto; i tag non compaiono; i gruppi dinamici non si popolano	Cerca il dispositivo Entra tramite deviceId; riconnettiti con Directory.AccessAsUser.All (delegata) oppure con le autorizzazioni applicative Directory.ReadWrite.All/Device.ReadWrite.All; esegui di nuovo Update-MgDevice.
3. Script non eseguito con privilegi elevati o avviato in un host a 32 bit	Le scritture nel Registro di sistema non riescono o finiscono sotto WOW6432Node; i tag sembrano “mancanti”	Esegui lo script come SYSTEM o amministratore in PowerShell a 64 bit; rimuovi le chiavi errate; esegui di nuovo lo script.

Considerazioni aggiuntive

Ecco alcune considerazioni aggiuntive da tenere presenti durante la configurazione:

Dispositivi Autopilot

I dispositivi Autopilot possono comparire anche come AzureADJoined, quindi considera lo stato di aggiunta solo come informazione di contesto. Per maggiore precisione, controlla sempre deviceEnrollmentType per capire come è avvenuta la registrazione e managedDeviceOwnerType per conoscere il tipo di proprietà.

Rilevamento dei dispositivi BYOD

L’inferenza sui dispositivi BYOD può diventare imprecisa se gli utenti eseguono la registrazione al di fuori dei percorsi che prevedono identificatori aziendali. È affidabile solo quando durante la registrazione viene selezionata esplicitamente la proprietà personale.

Disallineamento dei profili

Col tempo i dispositivi possono essere reinstallati, rinominati o riassegnati, e i metadati rischiano di non essere più aggiornati. Riconvalida periodicamente gli attributi di estensione e le etichette nel Registro di sistema tramite script o polling su Graph.

MSP multi-tenant

Considera il tenant di ogni cliente come un confine rigido. Usa registrazioni di app e token API separati per ogni tenant, conserva i segreti in modo sicuro ed esegui la logica in container o vault specifici per tenant, così da mantenere l’isolamento.

Risoluzione dei problemi

Ecco i problemi più comuni che potresti incontrare e come risolverli:

I tag non compaiono

Se i tag non vengono visualizzati, verifica di scrivere negli extensionAttributes dell’oggetto dispositivo di Entra usando le autorizzazioni Graph corrette: DeviceManagementManagedDevices.ReadWrite.All. Se i tag alimentano gruppi dinamici, lascia il tempo necessario all’elaborazione dell’appartenenza.

Il Registro di sistema non si aggiorna

Le scritture nel Registro di sistema richiedono privilegi elevati. Esegui lo script come SYSTEM o con un account dotato di diritti di amministratore.

Il dispositivo non viene classificato correttamente

Le incongruenze o le classificazioni errate derivano di solito dal mix di fonti diverse. Confronta deviceEnrollmentType e managedDeviceOwnerType con il valore deviceOwnership usato nelle regole dinamiche (Company/Personal) ed eventuali categorie assegnate dagli utenti.

Il gruppo non si popola

Se un gruppo non si popola, il problema risiede in genere in errori di sintassi o in ritardi di sincronizzazione di Azure AD. Rivedi la sintassi della regola di appartenenza e verifica di usare attributi dei dispositivi supportati. Tieni presente che l’appartenenza al gruppo può richiedere da alcuni minuti ad alcune ore per stabilizzarsi. Usa la vista integrata Convalida regole e lo stato di elaborazione per avere conferma.

Servizi NinjaOne

I metodi descritti sopra offrono modi efficaci per assegnare tag ai dispositivi in Intune, ma possono risultare complessi, dispendiosi in termini di tempo e soggetti a errori. Per gli MSP che gestiscono più clienti, questo approccio diventa rapidamente insostenibile.

NinjaOne elimina queste difficoltà automatizzando il tagging dei dispositivi in un’unica piattaforma multi-tenant:

Funzionalità	Cosa permette di fare NinjaOne
Tagging tramite script	Distribuisci script di classificazione durante l’onboarding o quando vengono applicate le policy, senza dover connetterti manualmente a Graph o eseguire PowerShell.
Mappatura degli endpoint	Legge in tempo reale i metadati dei dispositivi e le voci del Registro di sistema, mantenendo i tag accurati anche dopo reinstallazioni o cambi di proprietà.
Avvisi basati sui tag	Avvisa immediatamente gli amministratori quando il metodo di registrazione di un dispositivo è assente, classificato in modo errato o si discosta dalla policy prevista.
Automazione delle policy	Risolve automaticamente i problemi di tagging senza interventi manuali, garantendo che i dispositivi rientrino sempre nell’ambito delle policy di conformità o sicurezza corrette.
Reporting multi-tenant	Offre un reporting aggregato su tutti i tenant dei clienti, dando agli MSP una visione unica della proprietà dei dispositivi e delle tendenze di registrazione.

Con NinjaOne, gli MSP ottengono visibilità più rapida, meno carico amministrativo e una precisione costante su tutti i tenant gestiti. I team IT possono contare su NinjaOne per classificare correttamente i dispositivi e applicare le policy come previsto, su larga scala.

Automatizza il tagging dei dispositivi Intune per metodo di registrazione e guadagna in efficienza operativa

Assegnare automaticamente tag ai dispositivi Intune in base al metodo di registrazione migliora la definizione degli ambiti delle policy, la gestione della conformità e i flussi di lavoro di onboarding.

Questa guida ha illustrato i metodi principali per implementare il tagging automatico in Intune: recuperare e classificare i dispositivi con Microsoft Graph, assegnare categorie ai dispositivi e scrivere attributi di estensione, e creare gruppi dinamici di dispositivi in Microsoft Entra ID in base al metodo di registrazione. Ha inoltre mostrato come registrare i tag in locale con le chiavi di registro per esigenze di audit o per l’uso con un RMM.

Infine, ha spiegato come NinjaOne supporta questa automazione su larga scala per aumentare l’efficienza operativa.

Argomenti correlati:

• Come registrare i dispositivi Azure in Intune
• Come aggiungere un dispositivo BYOD alla gestione dei dispositivi di Intune
• Come aggiungere un dispositivo aziendale alla gestione dei dispositivi di Intune